Manifeste pour la sécurisation des IOT

L’attaque de sites hébergés par OVH, notre principal fournisseur français de cloud en septembre dernier, qui revendique héberger plus de 3 millions de sites web, a porté sur un déni de service (DDOS - Distributed Denial of Service). Le niveau d’attaque a été sans précédent, puisqu’il a atteint pour ce faire 1 Toctets par seconde. Même si l’hébergeur dit pouvoir supporter jusqu’à 5 fois plus, il faut réaliser que « seulement 145 607 IOT » (des caméras chinoises) ont été utilisées pour ce faire , selon Octave Klaba, le fondateur d’OVH.

Ce n’est pas la première attaque du genre (Incapsula Oct 2015 : 900 caméras ; Sucuri juin 2016 25 000 caméras). En regardant la courbe d’évolution des tentatives de saturation de bande passante, on se rend compte que la progression est fulgurante : Un an avant (sept 2015), le niveau d’attaque était de 0,15 Toctets par seconde, soit 7 fois moins.

Le fournisseur des caméras de surveillance utilisées dans l’attaque OVH en aurait écoulé 1,5 million. Le malware a utilisé le fait que cette caméra avait bien un login et mot de passe, mais … codé en dur dans le logiciel. Il est estimé que quand on détecte qu’une de ces caméras est compromise, et qu’on l’éteint et la rallume, le malware met moins de 5 minutes à réinfecter l’appareil.

Sans stigmatiser les défauts des caméras de surveillance, il faut aussi noter que leurs déficiences en sécurité facilitent beaucoup le travail des cambrioleurs, qui peuvent ainsi espionner l’intérieur de la maison – en temps réel, pour optimiser leurs interventions. De nombreux autres IOT commencent à apparaître, et on peut facilement imaginer le nombre d’ampoules électriques connectées pour optimiser la consommation qui équiperont les foyers dans quelques années, car il y a une vraie économie d’énergie à faire.

Beaucoup de fabricants d’IOT sont soit inconscients, soit irresponsables en ne mesurant pas les conséquences de mise sur le marché d’IOT non sécurisés.

Il faut donc réagir par tous les moyens possibles.

Il pourrait être envisagé de créer un label, délivré aux matériels respectant un cahier des charges minimal en sécurité.

La labellisation a montré dans certains secteurs une efficacité relative. Ainsi, le label « biologique » a acquis sa noblesse et représente un vrai secteur de l’économie. Mais dans d’autres secteurs comme les jouets, il a fallu recourir à la réglementation et imposer des normes : NF pour la France, CE pour l’Europe.

On pourrait rétorquer que si la réglementation européenne impose des règles minimales de sécurité des IOT en Europe, cela ne réglera pas le problème : Internet n’a pas de frontières et tous les IOT compromis en dehors de l’Europe, peuvent être utilisés pour attaquer à l’intérieur de notre territoire. En fait, on peut aussi espérer que les fabricants d’IOT ne se priveraient pas d’un marché européen et n’aurait aucune raison de dégrader les spécifications en sécurité, si celles-ci sont raisonnables et pas trop chères à implémenter.

Concernant le cahier des charges minimal à respecter pour les IOT, il pourrait être défini par l’ANSSI, notre Agence Nationale pour la Sécurité des Systèmes d’Information. Il faudra néanmoins un relais législatif, ainsi qu’un certain nombre de laboratoires agréés pour délivrer le label nécessaire à la mise sur le marché. C’est une organisation et des processus où ANSSI a largement démontré son savoir-faire, par exemple à l’occasion de la labellisation des formations en cyber-sécurité.

Le même process pourrait être engagé au niveau de l’ENISA (European Union Agency for Network and Information Security), car c’est son rôle, et c’est ce qu’on attend d’elle au niveau européen.

Si cet enjeu majeur vous concerne aussi, vous pouvez me contacter par exemple sur Linkedin, pour que nous organisions un groupe de travail qui proposera à l’ANSSI et l’ENISA des solutions à apporter à cette problématique.