Les États-Unis prennent enfin au sérieux la sécurité sur l’Internet des objets avec ce procès

L’Internet des objets a dérapé l’an dernier, car des failles de sécurité dans les dispositifs «intelligents» ont exposé des problèmes flagrants avec des objets connectés, comme en octobre où des caméras de sécurité ont été détournées et d’autres appareils électroniques utilisés pour supprimer certaines parties de l’Internet. Maintenant, le gouvernement américain met en garde le monde de l’IoT avec un procès contre le fabricant taïwanais de routeur D-Link alléguant des pratiques de sécurité de mauvaise qualité.

Les experts en sécurité avertissent le Congrès que l’Internet des objets pourrait tuer des gens

La plainte, déposée par la Commission fédérale du commerce (Federal Trade Commission), accuse D-Link de plusieurs failles de sécurité, notamment en rendant les informations de connexion par défaut non modifiables, en laissant les mots de passe des utilisateurs en clair sur ses applications de smartphone et en rendant les caméras et les routeurs vulnérables à un contrôle à distance.

L’action de la Commission est un “avertissement fort” pour les entreprises d’IoT, a déclaré Jeremy Goldman, un partenaire du cabinet d’avocats de Francfort Kurnit Klein et Selz qui se spécialise dans les questions de sécurité des données.

Dans un communiqué de presse, D-Link a déclaré qu’il va se défendre et a qualifié les allégations “injustifiées et sans fondement.”

Le procès attire également l’attention sur la question de la réglementation de l’Internet des objets. Même si la Commission prend des mesures dans ce procès, ce n’est pas nécessairement l’agence gouvernementale américaine chargée de superviser le secteur de l’IoT.

En fait, on ne sait toujours pas qui, exactement, devrait avoir compétence sur ces dispositifs. On peut invoquer une pléthore d’agences à trois lettres, dont la Federal Communications Commission, l’organisme de réglementation des produits alimentaires et pharmaceutiques et l’organisme de réglementation du transport routier, comme le souligne NextGov. La FTC elle-même s’est efforcée de ne pas devenir le premier flic de l’IoT, préférant plutôt que l’industrie naissante s’autorégule, pour ne pas étrangler l’innovation au berceau.

La FTC demande au tribunal d’ordonner à D-Link d’améliorer ses pratiques de sécurité et de payer les frais juridiques de la FTC.

Quartz

Les experts en sécurité avertissent le Congrès que l’IoT pourrait tuer des gens

Les webcams et autres dispositifs branchés à Internet mal sécurisés sont déjà utilisés comme armes dans les cyberattaques. Le gouvernement peut-il empêcher que cela ne devienne un problème catastrophique ?

Par Mike Orcutt – 5 décembre 2016, MIT

La masse croissante de dispositifs mal sécurisés sur l’Internet des objets représente un risque sérieux pour la sécurité des personnes et des biens matériels, et le gouvernement doit agir pour l’atténuer. Voilà essentiellement les propos que des éminents experts en sécurité informatique ont récemment tenus au Congrès.

L’attaque fulgurante de déni de services (DoS) déclenchée en octobre et qui a paralysé le fournisseur d’infrastructures Internet Dyn et mis KO une grande partie du Web pour les usagers de l’Est des États-Unis était « bénigne » selon les dires de Bruce Schneier, réputé chercheur en matière de sécurité et conférencier sur la politique publique à Harvard, lors de la dernière audience tenue par le House Energy and Commerce Committee. Il n’y a pas eu mort d’homme, mais il a ajouté que l’attaque, menée par un réseau de bots informatiques (Botnet) constitué de caméras Web, de caméscopes, de moniteurs pour bébés et autres dispositifs piratés, nous montre les « risques catastrophiques » que comporte la prolifération d’objets non sécurisés sur Internet.

Par exemple, Schneier et d’autres experts ont souligné que cette même sécurité précaire existe dans les ordinateurs des hôpitaux, y compris dans ceux utilisés pour gérer les ascenseurs et les systèmes de ventilation. On peut imaginer sans peine un possible désastre fatal, soulignant l’urgence du gouvernement de prendre les choses en main pour remédier à cette « lacune du marché », selon Schneier.

Les problèmes des dispositifs IoT s’aggravent en raison du manque d’intérêt des manufacturiers envers la priorisation de la sécurité. Même si les consommateurs souhaitaient le faire, il n’existe aucun moyen d’évaluer le niveau relatif de sécurité d’un thermostat ou d’un autre dispositif branché à Internet.

À peu près tout le monde s’entend pour dire que le gouvernement devrait agir face à cette situation, puisque bon nombre de systèmes indispensables sont vulnérables aux attaques comme celle qui a frappé Dyn. La façon dont le gouvernement devrait traiter cette situation fait cependant l’objet d’un intense débat à Washington, qui ne sera pas réglé avant le début du mandat du président élu Donald Trump. Des groupes d’entreprises comme la U.S. Chamber of Commerce et la Consumer Technology Association allèguent que de nouveaux règlements visant les dispositifs IoT pourraient entraver l’innovation.

Schneier avance que nous avons besoin d’un nouvel organisme chargé des règles en matière de cybersécurité. Ce qui semble peu probable, puisque Trump avait établi sa campagne sur la vaste promesse de faire marche arrière dans les règlements et que les républicains sont généralement opposés à toute expansion du gouvernement. Mais si une catastrophe survenait, le public apeuré exigerait probablement que quelque chose soit fait, et le gouvernement devrait y être préparé, a-t-il averti les membres du comité.

Quelle est l’ampleur du risque? Colossale et croissante, affirme Kevin Fu, professeur en informatique et en ingénierie de l’Université du Michigan spécialisé en cybersécurité. Non seulement les dispositifs IoT sont implantés dans des « endroits névralgiques à conséquences directes, comme des hôpitaux », souligne Fu, mais des millions de ces appareils peuvent aisément être piratés et réunis en d’énormes réseaux de botnets, armées d’ordinateurs zombies pouvant être utilisées par des adversaires pour affaiblir des institutions ciblées.

Fu, qui a également témoigné à l’audience du comité, estime que sans « changements significatifs en matière de cyber-hygiène », on ne peut se fier à Internet pour soutenir les systèmes névralgiques. Il recommande que le gouvernement mette sur pied une entité indépendante chargée d’évaluer la sécurité des dispositifs IoT. Cette évaluation devrait comprendre des tests avant mise sur le marché comme les essais de collision automobile effectués par la National Highway Traffic Safety Administration, des tests après collision similaires à ceux que le National Transportation Safety Board effectués à la suite d’accidents de voiture, et des essais « de survivabilité et de destruction » pour évaluer la façon dont les dispositifs gèrent les attaques, fait valoir Fu.

Nous ne savons pas encore si l’administration Trump ou le prochain Congrès priorisera le dossier des risques liés à l’IoT. Alors, que peut faire le gouvernement d’ici là ? Le mois passé, le département de la Sécurité intérieure a publié un ensemble de « principes stratégiques pour sécuriser l’Internet des objets » et a suggéré que le gouvernement pourrait poursuivre en justice les fabricants qui omettent d’« intégrer à la conception un dispositif de sécurité ». Le même jour, le National Institute of Standards and Technology, qui publie des normes industrielles pour nombre de secteurs de la technologie, a émis des directives volontaires pour la conception de systèmes connectés « plus défensifs et aptes à survivre ».

Pendant ce temps, tout nouvel ordinateur connecté, que ce soit dans une voiture, un drone, un dispositif médical ou dans l’un des innombrables autres gadgets et systèmes, est exposé à ces risques; d’où le besoin d’un organisme de réglementation centralisé, selon Schneier : « Nous ne pouvons pas avoir des règles différentes si l’ordinateur a des roues, ou des hélices, ou pour celui qui fait des appels téléphoniques, ou est implanté dans votre corps. »

Traduction Stéphanie S.

MIT Technology Review


La GSM Association (GSMA) a publié le 9 février 2016 un ensemble de documents dont l’objectif est d’apporter plus de sécurité à l’Internet des Objets.

Download Overview Document

Download Service Ecosystem Document

Download Endpoint Ecosystem Document

Download Network Operator Document

Download zip pack containing all documents

Quelqu’un se prépare à détruire Internet

Le spécialiste de la cybersécurité Bruce Schneier a posté un article alarmiste sur son blog, des menaces pèseraient sur les structures de l’internet : “quelqu’un est en train d’apprendre à détruire Internet”. C’est très sérieux. Quand Bruce Schneier dit quelque chose comme ça, il faut mieux y prêter attention….

rapport trimestriel de Verisign sur ce type d’attaques

“Depuis quelques mois donc, les entreprises critiques de l’internet subissent ce genre d’attaques en déni de service, mais elles ont un profil particulier. Elles portent sur un spectre plus large que d’habitude, et elles durent plus longtemps. Elles sont plus sophistiquées aussi. Mais surtout, elles donnent l’impression de tester des choses. … Comme si elle cherchait l’exact point de rupture. Et puis ces attaques semblent configurées pour voir les contours des défenses. “

“Tout converge donc vers le constat que quelqu’un est bien en train de tester les défenses des entreprises les plus critiques de l’Internet mondial. Mais qui ?

https://media.radiofrance-podcast.net/podcast09/16371-15.09.2016-ITEMA_21077545-0.mp3?_=1

Ce n’est peut-être pas quelqu’un, mais quelque-chose. Non pas Qui ? Mais plutôt Quoi ? → test d’une IA [hostile] de la NSA ?

→ La fuite d’un rapport montre que NSA a un programme top secret appelé SkyNet. […] Il analyse les données de localisation et de communication à partir de millions d’appels en vrac afin de détecter des schémas suspects.

Palantir Technologies Inc. développe et construit des plates-formes de fusion de données pour l’intégration, la gestion et la sécurisation de tout type de données à grande échelle. L’entreprise travaille pour la communauté du renseignement des États-Unis, notamment pour la NSA, la CIA et le FBI, ainsi que pour différents acteurs du système de défense américain, comme les US Marines, l’US Air force et les Opérations spéciales.