Archives par mot-clé : objets connectés

Pas (encore) de normes de sécurité pour les objets connectés

De nombreux objets connectés iot pour la maison et le bureau ne sont tout simplement pas sécurisés. On ne compte plus les histoires sur les vulnérabilités des objets connectés – particulièrement ceux utilisés à domicile. Bien que certaines aient l’air « tirées par les cheveux » – comme celle de la caméra pour bébé piratée qui répondait à sa mère – d’autres, comme le botnet Mirai, montrent que les problèmes de sécurité liés aux petits objets peuvent rapidement prendre de l’ampleur. Bref, difficile d’oublier que nombre d’objets connectés ne sont pas très sécurisés.

Camouflés derrière le plastique lustré de ces appareils connectés iot tout neufs pour la maison, de nombreux facteurs contribuent pourtant à créer cet environnement à risque. Voici les trois facteurs principaux, mais il en existe d’autres :
1.Les mots de passe codés en dur
2.Les mots de passe par défaut difficiles à changer
3.Les vulnérabilités non corrigées

La balle n’est PAS dans votre camp (mais vous êtes quand même coupable)
Avec un ordinateur à la maison, vous pouvez suivre de bonnes mesures de sécurité. Cela signifie entre autres, avoir installé un antivirus et faire en sorte que toutes vos applications et pilotes soient à jour (voire même utiliser un programme qui s’en charge tout seul). Et puis il y a cet élément important du piratage psychologique, vous en tant qu’utilisateur, ne cliquez pas sur des offres trop alléchantes sur Internet sans en être sûr.

Mais avec les objets connectés, impossible de suivre ce genre de précautions. Dans le meilleur des cas, vous pouvez modifier le mot de passe par défaut, mais ça s’arrête là. Le plus souvent, vous ne saurez même pas avec qui votre télé connectée communique et de quoi elle parle. Et ces appareils recueillent un tas de données potentiellement compromettantes sur vous et vos activités. En fait, même si votre caméra de surveillance faisait partie d’une armée internationale de botnets par DDoS, vous ne le sauriez pas.

SOS, mais qui pouvez-vous appeler ?
Les failles de sécurité de nombreux objets connectés ont lancé le débat sur les moyens des autorités ou des instances de réglementation pour remédier au problème. Aux États-Unis, une loi a été proposée qui obligerait les objets connectés achetés par le gouvernement fédéral à répondre à certaines normes. L’entrée en vigueur de cette loi aurait des répercussions sur la sécurité, car les fabricants devraient faire en sorte que leurs appareils soient plus sécurisés pour les clients du secteur public. Puis, cette certification pourrait également être utilisée pour d’autres types de clients.

Dans l’Union européenne, la Commission européenne dispose de l’AIOTI, l’Alliance for Internet of Things Innovation, un groupe de travail qui souhaiterait que les labels sur les produits – comme ceux utilisés pour présenter les données sur la consommation d’énergie – s’étendent aussi aux objets connectés.

Toutefois, cet autre concept d’auto réglementation ferait encore appel à des organismes de tests indépendants comme l’American Underwriters Laboratories, le German Stiftung Warentest ou l’AFNOR en France.

Il est temps de faire vos propres recherches sur la sécurité
Cependant, toutes ces options n’en sont encore qu’à leurs balbutiements et au moment d’acheter un objet connecté sécurisé, vous êtes encore livré à vous-même. La seule option pratique qui vous soit disponible pour le moment est de faire des recherches pour écarter toute marque ou modèle lié(e) à un problème de sécurité. Vous pouvez également jeter un œil à la liste de Krebsonsecurity des objets considérés comme problématiques. Cependant, cette approche en mode « système D » ne mettra pas au jour les composants génériques d’objets connectés, qui ont été intégrés à un système.

Il existe aussi des solutions qui peuvent vous aider à sécuriser vos connexions telle que Avira Home Guard. Il s’agit d’une application gratuite pour Windows qui scanne les objets intelligents connectés au réseau, identifie les vulnérabilités de sécurité, suggère des solutions et conserve un inventaire des appareils connectés. Cette solution vous donne une vue complète des appareils connectés à votre réseau et de leurs failles potentielles. Avira Home Guard est inclue dans le tableau de bord Avira pour Windows.

La sécurité des objets connectés dans une motion aux Pays-Bas

Les Pays-Bas viennent d’adopter une motion imposant aux fabricants d’ objets connectés (IoT) des tests de sécurité informatique.

Voilà une loi traitant de la sécurité des objets connectés qui fait tendre l’oreille. Les Pays-Bas viennent de valider une motion qui impose des tests de piratage à l’encontre des objets connectés vendu dans le pays. Bref, l’Internet of Things (IoT) pris au sérieux et d’une maniérè sécuritaire. C’est l’idée du sénateur Maarten Hijink qui demande au gouvernement et aux entreprises d’organiser des « pentests », des tests de sécurité, afin de tester les appareils connectés. Il y a quelques mois, la Chambre des députés avait réclamé au gouvernement d’agir sur ce même thème, la sécurité des objets connectés. Dans cette nouvelle motion, l’état est inviter à des actions proactives, comme le « hack éthique » dont la mission est d’améliorer la sécurité des objets, donc des utilisateurs.

Les Français plébiscitent les objets connectés sans en mesurer les risques !

A l’occasion de Noël, les objets connectés semblent être le cadeau de cette fin d’année : tendance d’achat, appréhension de la sécurité, prise de mesure, etc. L’étude « Most Hackable Gifts » dévoile la liste des cadeaux de Noël les plus prisés à la fois par les consommateurs, mais aussi par les cybercriminels.

Objets connectés, Noël et les pirates. Ainsi, parmi les cadeaux les plus attendus au pied du sapin figurent les indétrônables tablettes et smartphones (60 %) et autres ordinateurs portables (30 %). Les accessoires domotique de l’habitat connecté (25%) sont également très populaires cette année, aux côtés des jouets connectés (22 %), des casques de réalité virtuelle (19 %) et des Smart TV (17 %).

Une méconnaissance des risques associés aux objets connectés

Une grande majorité de consommateurs Français reconnait la nécessité de sécuriser ordinateurs portables, tablettes et smartphones (64 %). Mais moins 1/3 estiment que les casques réalité virtuelle, les jouets et autres accessoires connectés doivent être sécurisés.

Il faut rappeler qu’ils gèrent également un certain volume d’informations personnelles. 15 % pensent même que les objets connectés n’ont pas besoin d’être sécurisés.

« A Noël, les objets connectés seront cette année encore à l’honneur. Or, on constate que les consommateurs ne mesurent pas tous l’importance de la protection de ces appareils et du risque auquel ils s’exposent lors d’une connexion avec un device non connecté« , précise Lam Son Nguyen expert en sécurité – McAfee.

91 % estime qu’il est important/voir très important que leur identité en ligne et leurs appareils connectés soient sécurisés. La moitié des consommateurs prennent des mesures pour s’assurer que leur nouvel appareil connecté est protégé avant utilisation. 23% ne sont d’ailleurs pas sûrs de savoir prendre les mesures adaptées en matière de sécurité. Les consommateurs sont tout simplement mal informés sur les dangers et la manière dont il faut protéger ces appareils connectés.

Peu conscients des risques ils ne mettent pas en œuvre les mesures nécessaires pour se protéger ce que les cybercriminels pourraient exploiter pour le piratage de leurs objets et le vol de leurs données personnelles.

Ces informations révèlent l’importance pour les consommateurs d’être vigilants quant aux enjeux de sécurité inhérents aux objets connectés qu’ils déposeront au pied du sapin de Noël. Il est important que chacun mesure les risques liés à tout objet connecté et cesse de penser qu’il suffit simplement de s’en remettre aux mesures des fabricants pour éviter le vol de leurs données dans le temps. Il serait bon, aussi, que les fabricants fournissent des informations sur la sécurisation générale, ainsi que de leur produit. L’éducation devrait être imposée dans chaque notice, en plus des obligations légales copiées à longueur de page de certaines notices.

Quelques réflexes simples à adopter en matière de sécurité des objets connectés

D’abord, lisez la notice. Vous pourriez y trouver quelques réponses (mot de passe, …). Ensuite, protéger votre réseau domestique. Plus facile à dire, qu’à faire, mais loin d’être impossible si vous vous y penchez un peu. DataSecurityBreach vous propose par exemple de regarder du côté des adresses MAC de vos materiels et votre box, ou encore du côté de la double authentification. Mettre à jour les logiciels et applications des objets connectés. Voyez si elles peuvent être automatisées. Sécuriser votre appareil avec une solution dédiée : antivirus, firewall, … Privilégiez une connexion Wi-Fi sécurisée. Celle de la maison, mais avec un bonus qu’est le contrôle par l’adresse MAC. Protéger vos objets avec des mots de passe complexes. Même si cela n’est pas gage d’efficacité optimale, un mot de passe fort (lettres, majuscules, chiffres et signes de ponctuations) permet de retarder le malveillant qui ira voir ailleurs. Et au moindre doute, agissez !

Objets connectés : prise d’otage possible

Deux chercheurs démontrent que les prochaines prises d’otage numérique pourraient toucher nos objets connectés.

Objets connectés dangereux ? Je vous racontais, l’année dernière, comment des routeurs et des répartiteurs Wifi avaient été pris en otage par des pirates informatiques. Une méthode simple qui permet d’utiliser le matériel infiltré pour d’autres attaques. Les caméras de vidéo surveillance, des bouilloires ou encore des congélateurs connectés avaient pu être utilisés dans ce genre de malveillance. Heureusement, dans la plupart des cas, des démonstrations de chercheurs.

Lors du Defcon de Las vegas, Andrew Tierney et Ken Munro, deux chercheurs en sécurité informatique se sont amusés à démontrer que les objets connectés, comme par exemple des thermostats connectés, pouvaient être pris en otage par un ransomware. Des pirates pourraient réclamer quelques euros aux propriétaires piégés par leur thermostat bloqué.

Pour les deux ingénieurs, mais cela devient une lapalissade que de le dire, encore trop de créateurs de périphériques connectés ne prennent pas de précautions dans la sécurité de leurs objets, mettant en danger les utilisateurs. « Nous ne disposons de quasdiment aucun contrôle sur nos appareils, soulignent les deux britanniques à Mother board, et nous ne savons pas vraiment ce qu’ils font et comment ils le font« .

Les objets connectés : maison en danger

La société HP vient de sortir une étude sur le top 10 des produits de sécurité vendus pour sécuriser sa maison. Caméra de vidéosurveillance et autres détecteurs de mouvement sans fil loin d’être des fort Knox.

L’entreprise américaine explique que tous les produits testés contiennent des vulnérabilités. Dans le lot des problèmes : authentification faible et manque de chiffrement. Gros écueil, selon HP, la non utilisation de la double authentification alors que ces matériels permettent d’être administrés et consultés à distance, via Internet par exemple.

La seconde inquiétude, la collecte des données personnelles allant du nom, adresse, date de naissance du propriétaire du matériel, ou encore, dans certains cas, numéro de téléphone et données de carte bancaire. L’Internet of Things a encore du chemin à faire pour fusionner la sécurité informatique à la course effrénée du marketing et de l’expérience de l’utilisateur. Avoir la plus belle robe et le clic facile ne devraient pas être prioritaires à ce qui permet de protéger la robe et le doigt.

Objets connectés : Le mot de passe reste la meilleure sécurité, si on s’en sert !

Un pirate a récemment mis en ligne sur un site russe des liens qui permettent de regarder en direct les vidéos de milliers webcams de particuliers et d’entreprises, dans plus de 250 pays. En se connectant au site, on peut voir en direct ce qui se passe dans une chambre d’enfants à Birmingham ou dans un magasin de vêtements à Aix En Provence. Comment cela est-il possible ? Une grande partie de ces utilisateurs auraient tout simplement oublié de changer le mot de passe par défaut permettant d’accéder au flux vidéo de leur webcam.

Ce nouveau piratage illustre les nouveaux défis de sécurité qui sont induits par le développement des objets connectés. Ces derniers, souvent regroupés sous l’appellation « Internet des objets » connaissent une croissance fulgurante. Le Gartner prévoit ainsi qu’en 2015 4,9 Milliards d’objets connectés seront en circulation. Qu’il s’agisse de votre maison (domotique), de votre corps (capteur d’activité, montres connectées, appareils médicaux), de votre voiture ou de vos vêtements, de nouveaux objets et services connectés sont inventés tous les jours. Ils collectent des données de votre quotidien, les interprètent via des logiciels en ligne et vous aident à améliorer différents aspects de votre vie : confort, santé, dépenses, performance, productivité…

Ces données qui partent dans le Cloud
Pour pouvoir vous aider au mieux et pour stocker toutes ces données collectées sur votre quotidien, ces objets communiquent généralement avec des logiciels hébergés sur des serveurs sur Internet, « dans le Cloud », accessibles via des identifiants et mots de passe, comme n’importe quel site web. Mais cela n’est pas sans danger car si les français digitalisent leur vie quotidienne, ils n’adoptent pas pour autant les comportements de sécurité en ligne qu’ils ont dans la vie réelle. L’étude IFOP réalisée pour Dashlane en 2012 l’avait montré : Alors que 100% des français mettent leur ceinture de sécurité en voiture, 42% utilisent encore le même mot de passe sur plusieurs sites. Et pourtant, c’est une règle de base que d’utiliser un mot de passe différent par site web…

Et alors ?
Beaucoup minimisent sans doute le risque : on pense que lorsque l’on se fait pirater son compte email ou sa carte bancaire,  il y a toujours un moyen de réinitialiser son compte ou d’annuler les transactions frauduleuses réalisées avec la carte. Il n’y a pas « mort d’homme ». Maintenant imaginez-vous ce que peut être un piratage à l’heure de l’Internet des objets : une webcam pour surveiller vos enfants qui s’éteint toute seule, une voiture automatisée qui ne s’arrête plus, des données médicales modifiées qui conduisent à un traitement inapproprié, un pacemaker ou une pompe à insuline qui se mettent à fonctionner anormalement… Ce ne sont plus uniquement nos comptes en banque ou notre vie privée qui sont menacés, c’est notre intégrité physique et celle de nos proches.

Certains prennent ces menaces très au sérieux. Par exemple l’ancien Vice-Président américain Dick Cheney est en effet allé jusqu’à se faire opérer pour retirer les possibilités de connexion sans fil de son Pacemaker, par crainte d’un piratage potentiellement mortel. Solution radicale mais qui a le mérite d’être efficace. La sécurité en ligne n’est plus uniquement une question d’argent ou de confidentialité. Avec l’explosion des objets connectés c’est maintenant une question qui va concerner nos proches, notre intimité, notre santé, notre vie quotidienne dans toutes nos activités.

La nature du risque a changé. Il y a encore quelques années, pour les consommateurs, les risques associés au monde digital étaient limités à cet objet encombrant posé sur leur bureau, l’ordinateur. On se protégeait de ces risques à l’aide d’antivirus, d’anti spam, de firewall….Aujourd’hui, le risque s’est déplacé vers le Cloud : nos données personnelles y sont stockées et c’est aussi par-là que des hackers peuvent prendre le contrôle des objets connectés. Le seul rempart qui protège nos données et nos objets dans le Cloud, ce sont nos mots de passe. Ne l’oublions pas ! (Par Emmanuel Schalit, CEO de Dashlane)

Les objets connectés vont-ils inviter virus et pirates à la maison ?

Nous avons beaucoup entendu parler dernièrement de l’Internet des Objets et des implications, en termes de sécurité, que sous-entendrait l’émergence de 50 milliards d’objets connectés d’ici 2020. Les experts de Symantec ont déjà détecté un ver nommé Linux.Darlloz, qui ciblait initialement les ordinateurs domestiques, décodeurs et routeurs, et qui infecte désormais les ordinateurs à la recherche de monnaies cryptographiques – à savoir Mincoins et Dogecoins.

Ce qu’il est intéressant de souligner ici est l’évolution parallèle entre un tel maliciel ayant la capacité de se répandre dans l’Internet des Objets, et le défi grandissant de sécuriser ce nouvel espace tout en restant au-devant des dangers menaçant les outils que nous utilisons tous les jours et sur lesquels nous nous reposons quotidiennement.

L’objet connecté en cheval de Troie du Big Data?
Pour Stéphane Darracq, PDG de makazi group, au-delà des services immédiats qu’ils rendent à leurs utilisateurs et de leur rôle de canal de communication, la vocation des objets connectés est aussi de collecter des données en très grande quantité. Température de la maison, rythme cardiaque du sportif, vitesse d’un véhicule, géo-localisation de son utilisateur : autant de données d’une grande diversité dont il ne fait pas de doutes qu’elles iront bientôt constituer des bases de données et enrichir l’information déjà collectée sur les utilisateurs. Il n’y a alors qu’un pas à franchir pour conclure que la véritable valeur de ces objets connectés réside dans leur capacité à collecter des données récentes, variées, d’une très grande richesse d’information et en très grande quantité. L’utilisation de celles-ci conduira logiquement à de nouveaux modèles d’affaires créateurs de valeur pour toutes les parties prenantes.

Comment sinon justifier le prix impressionnant de 2,3 milliards de dollars payé par Google pour le rachat de la société Nest Labs au début de l’année 2014 ? Au-delà des thermostats design de cette société installés dans les maisons californiennes par des propriétaires soucieux d’économies d’énergie, il ne fait aucun doute que ce n’est pas le chiffre d’affaires de quelques dizaines de millions de dollars de la société qui justifie une telle valorisation : ce sont bien les flux d’informations collectés chez leurs utilisateurs qui intéressent Google dans la cadre de sa stratégie d’agrégation de données et vont lui permettre à terme de croiser ces données du monde physique – la maison, la voiture, l’environnement visuel – avec les milliards de données digitales qu’il collecte déjà depuis ses débuts.

L’idée de Google est claire: ajouter un nouveau point d’entrée au sein des foyers – américains dans un premier temps – pour décrypter de façon encore plus précise les habitudes, les usages et les comportements des utilisateurs, via l’analyse des données collectées par les thermostats conçus par Nest Labs. Les spécialistes du marketing digital y auront reconnu le fameux « cookie » physique ou marqueur des comportements et des activités des consommateurs dans le monde réel …. Passerelle vers l’enrichissement d’autres données purement digitales.

De multiples opportunités de nouveaux modèles d’affaires pour les acteurs économiques
Dans ce futur ou tout objet pourra être connecté les vainqueurs ne seront pas les seuls fabricants de ces objets connectés. Il y a fort à parier que les entreprises qui parviendront à imaginer des services répondant aux besoins identifiés grâce à ces données et qui sauront trouver de nouveaux modèles économiques créateur de valeur à partir des montagnes de données collectées seront les véritables bénéficiaires de cette révolution en marche de l’« Internet of everything ». A ce titre, l’utilisation des données à des fins de communication ou de ciblage publicitaire compte parmi les pistes les plus avancées : en s’équipant de plateformes logicielles de gestion des données (ou DMP pour « Data Management Platform » selon l’acronyme consacré), les grands annonceurs publicitaires seront très vite à même d’enrichir leur communication avec leurs clients grâce aux informations spécifiques remontées via les capteurs de la maison ou de la voiture connectée par exemple.

Le juge de paix sera le consommateur final
Il ne fait aucun doute que les objets connectés vont modifier en profondeur notre quotidien. Que ce soit dans le domaine de la santé, du sport, de l’automobile, le grand public va adopter ces objets utiles ou répondant à de nouveaux besoins. Attention toutefois aux risques juridiques et de réputation que font prendre aux entreprises l’utilisation de données souvent personnelles ou rattachées à des données personnelles ! Seul le respect des règles juridiques régissant l’utilisation des données personnelles par les entreprises feront disparaître les réticences du grand public devant la pertinence ou l’attractivité des nouveaux services proposés grâce à l’utilisation intelligente de ces données. L’enjeu est double pour  les entreprises qui sauront mener cette démarche, avec la création de valeur grâce à de nouveaux services ciblés à destination de leurs clients mais aussi la création d’un véritable « capital data ».