Comment protéger votre maison connectée

De nos jours, presque tous les téléviseurs, babyphones et autres appareils numériques sont équipés de fonctionnalités intelligentes et d’une connexion à Internet. Que vous utilisiez ou non ces caractéristiques, les dispositifs connectés créent des risques de sécurité que vous devriez connaître afin d’adopter certaines mesures de protection. D’autre part, si vous utilisez diverses fonctionnalités de votre maison connectée, il est essentiel de protéger tous les composants. Nous avons déjà publié un article qui explique comment connecter votre maison, donc nous allons nous concentrer sur la sécurité.

Les plus gros risques d’une maison connectée

Les appareils électroménagers en réseau créent principalement plusieurs types de risques :

• Les appareils partagent régulièrement beaucoup de données avec le fabricant. Par exemple, votre smart TV peut identifier le contenu que vous visualisez, même si vous utilisez une clé USB ou un reproducteur externe. Certains fabricants gagnent beaucoup d’argent en espionnant leurs clients. Même les appareils les plus basiques, comme un lave-linge connecté, peuvent recueillir et partager des données avec le fabricant.
• Si votre dispositif connecté est protégé par un mot de passe faible, utilise encore les réglages par défaut, c’est-à-dire que personne ne les a modifiés, ou a un système d’exploitation qui contient des vulnérabilités, alors les cybercriminels peuvent le pirater. Les conséquences varient selon le type d’appareil. Un lave-linge connecté peut être éteint au milieu d’un cycle de lavage pour vous jouer une mauvaise blague, alors que les babyphones peuvent être utilisés pour espionner voire effrayer les personnes qui vivent dans la maison. Une maison connectée entièrement équipée pourrait vivre certaines situations vraiment désagréables, comme une coupure totale de l’électricité ou du chauffage.
• Un dispositif connecté piraté peut être infecté par un code malveillant et utilisé pour lancer des attaques informatiques sur les ordinateurs du réseau domestique et sur les appareils connectés à Internet de façon générale. Certaines attaques par déni de service (DDoS) puissantes sont connues pour avoir entièrement été lancées à partir de caméras de surveillance infectées. Le propriétaire de l’appareil infecté risque de voir sa connexion Internet obstruée et d’apparaître sur plusieurs listes noires.
• Si le niveau de sécurité établi par le fabricant est insuffisant, les données envoyées par l’appareil peuvent être trouvées et publiées. Les images des caméras de surveillance ou judas sont parfois stockées dans des environnements Cloud dont la protection laisse à désirer et que n’importe qui peut visionner.

Heureusement pour vous, aucune de ces situations dramatiques ne peut vous arriver puisque les risques peuvent être considérablement réduits.

Si vous n’avez pas besoin d’une maison connectée

Il est assez courant qu’une maison connectée ne soit pas exploitée. Selon les statistiques des fabricants de ce type d’appareils, la moitié de tous les dispositifs IoT ne sont jamais connectés au réseau. Les propriétaires s’en servent à l’ancienne, sans utiliser les fonctions intelligentes, sans les gérer depuis l’application mobile ou tout autre luxe du 21^ème siècle. Pourtant, même un dispositif non configuré représente des risques de sécurité. Cet appareil pourrait exposer un point d’accès Wi-Fi accessible librement et non sécurisé, ou essayer de se connecter de temps à autre en Bluetooth aux téléphones qui se trouvent à proximité. Dans ce cas, une personne, comme un de vos voisins, pourrait en prendre le contrôle. Ainsi, pour simplifier vos dispositifs connectés vous devriez au moins lire le manuel d’utilisation, ouvrir les paramètres et désactiver la connexion en Wi-Fi et en Bluetooth.

Certains dispositifs ne vous laisseront pas le faire ou réactiveront le Wi-Fi après une coupure de courant. Il y a toute de même une astuce, quelque peu éprouvante, qui vous permet d’arriver à vos fins : modifiez temporairement le mot de passe de votre connexion Wi-Fi domestique, connectez l’appareil capricieux puis changez à nouveau le mot de passe. L’appareil essaiera sans cesse de se connecter en utilisant le mauvais mot de passe, mais il sera impossible de le pirater en exploitant les paramètres par défaut.

Quelques conseils généraux

Que votre maison connectée soit gérée de façon centralisée ou comprenne plusieurs appareils différents qui ne sont pas interconnectés, vous devez suivre quelques principes de sécurité de base.

• Assurez-vous que votre routeur Wi-Fi est sécurisé. N’oubliez pas que votre routeur fait partie du système de votre maison connectée. Nous avons publié plusieurs guides détaillés qui expliquent comment sécuriser le système Wi-Fi de votre domicile et comment configurer correctement votre routeur. Nous aimerions tout de même souligner que des vulnérabilités sont souvent détectées dans le micrologiciel du routeur et qu’elles sont exploitées pour attaquer les réseaux domestiques ; il ne s’agit pas seulement de configurer puis de ne plus y penser. Vous devez régulièrement vérifier s’il y a des mises à jour disponibles pour le micrologiciel. Les routeurs de qualité vous laissent mettre à jour le micrologiciel directement depuis le panneau de configuration de l’interface Web. Si ce n’est pas le cas, vous pouvez consulter le site du fabricant ou contacter votre fournisseur d’accès à Internet pour obtenir une version plus récente du programme et suivre les instructions pour l’installer. Pour conclure cette aventure avec votre routeur, pensez à vérifier dans les paramètres que l’option qui permet de gérer le routeur depuis l’extérieur du réseau domestique est désactivée. Les employés de votre fournisseur d’accès à Internet pourraient parfois en avoir besoin pour résoudre un incident, mais cette option est généralement activée alors qu’elle n’est pas nécessaire et augmente les risques de cybersécurité.
• Vérifiez régulièrement votre réseau pour être certain qu’aucun dispositif non autorisé n’est connecté. La méthode la plus facile consiste à utiliser une application spéciale. Kaspersky Premium peut afficher la liste des dispositifs connectés au réseau, mais aussi la marque et le statut de protection de chacun lorsque l’information est disponible. Il est essentiel de surveiller vos dispositifs et de supprimer ceux qui vous semblent étranges, comme un réfrigérateur, qui n’a pas vraiment besoin d’être connecté à Internet, ou un voisin qui utilise gratuitement votre connexion.
• Consultez la réputation du fabricant avant d’acheter un dispositif. N’importe quel fabricant est victime de vulnérabilités ou de défauts, mais certains corrigent rapidement les bugs et proposent des mises à jour, alors que d’autres nient le problème aussi longtemps que possible. Selon une étude réalisée par Kaspersky, 34 % des utilisateurs pensent qu’ils n’ont qu’à choisir un fabricant de confiance pour avoir une maison connectée protégée. Même s’il est évident qu’un choix avisé réduit les risques, d’autres mesures doivent être adoptées pour assurer la sécurité du domicile.

Que faire si votre maison connectée dépend du Wi-Fi ?

Utilisez-vous plusieurs dispositifs intelligents qui ne sont pas interconnectés, ou qui le sont grâce à Alexa d’Amazon ou Homekit d’Apple ? Dans ce cas, chaque appareil se connecte à Internet en Wi-Fi de façon indépendante. Il s’agit de la situation la plus complexe en termes de sécurité puisque les mots de passe, le micrologiciel et les vulnérabilités de chaque appareil doivent être suivis séparément. Malheureusement, les réglages varient considérablement selon le type d’appareil et le fabricant, donc nous ne pouvons vous donner que quelques conseils généraux.

• Créez un réseau Wi-Fi invité. Les professionnels parlent de « segmentation réseau ». Dans l’idéal, le réseau de votre maison doit être divisé en trois parties : les ordinateurs domestiques, les dispositifs de vos invités et les appareils intelligents. De nombreux routeurs sont incapables de réaliser de tels miracles, mais vous devriez au moins diviser les connexions en deux : une pour les appareils de votre foyer et une autre pour vos invités. Cette technique empêche les visiteurs de reconfigurer vos caméras ou de mettre en marche l’aspirateur robot juste pour s’amuser. Il va sans dire que les segments doivent être protégés par des mots de passe différents et que le segment réservé aux invités doit avoir des paramètres de sécurité plus stricts, comme l’isolation du client, les limites de la bande passante, etc. Le confinement des dispositifs IoT dans un segment isolé réduit les risques associés. De cette façon, un cybercriminel ne peut pas attaquer un ordinateur personnel grâce à l’adresse IP d’une caméra piratée. Pour suivre ce conseil, ouvrez l’interface de configuration du routeur basée sur le Web et analysez les paramètres du Wi-Fi. Si certains de vos appareils sont connectés par un câble Ethernet, vérifiez qu’ils utilisent le bon segment du réseau en analysant les autres sections des paramètres du routeur.
• Choisissez des mots de passe forts. Ouvrez les paramètres de chaque Cela est parfois possible depuis une application mobile officielle, ou alors depuis une interface Web. Pensez à un mot de passe long et unique pour chaque appareil en suivant le manuel d’utilisation. Vous ne pouvez pas utiliser le même mot de passe pour plusieurs dispositifs ! Vous pouvez utiliser un gestionnaire de mots de passe pour mettre un peu d’ordre. D’ailleurs, Kaspersky Premium en est équipé, et le programme est aussi disponible comme application indépendante.

• Mettez le micrologiciel à jour. Vous devez le faire pour chaque appareil dont les mises à jour du micrologiciel peuvent être installées via une application ou l’interface Web. Effectuez cette tâche régulièrement.
• Vérifiez les paramètres du service en ligne. Vous pouvez configurer un appareil pour qu’il opère dans différents modes et envoie plusieurs quantités d’informations via Internet. Par exemple, un aspirateur robot peut être autorisé ou non à télécharger un plan de nettoyage détaillé sur le serveur, c’est-à-dire un plan de votre maison. Une caméra judas peut être autorisée à sauvegarder sur le serveur toutes les photos et vidéos d’une personne qui s’approche de votre porte après l’avoir identifiée à l’aide d’un capteur de mouvement, ou bien elle ne peut le faire que lorsque vous appuyez sur un bouton. Évitez de surcharger le Cloud de stockage du fabricant avec des informations inutiles : désactivez toutes les fonctionnalités que vous n’utilisez pas. Il vaut mieux ne pas envoyer au serveur les informations que vous n’avez pas besoin de partager sans pour autant compromettre l’utilité du dispositif.
• Faites attention aux mises à jour publiées par les fabricants des appareils que vous utilisez. Parfois, les dispositifs IoT contiennent des vulnérabilités critiques ou présentent d’autres problèmes, et les propriétaires doivent agir : mettre à jour le micrologiciel, activer ou désactiver une certaine caractéristique, réinitialiser le mot de passe, supprimer une vieille sauvegarde sur le Cloud… Les fabricants consciencieux consacrent généralement une section à cela sur leur site et partagent des conseils de sécurités et des bulletins d’information. Malheureusement, ces documents sont souvent rédigés avec des termes complexes et contiennent des informations à propos d’appareils qui ne vous intéressent pas. Ainsi, il vaut mieux faire quelques recherches sur vos appareils de temps à autre et consulter le site officiel si vous trouvez quelque chose d’inquiétant.

Que faire si votre maison connectée est gérée de façon centralisée ?

Si votre maison connectée utilise un système centralisé, et que la plupart des appareils sont contrôlés par un hub, le travail du propriétaire est beaucoup plus simple. Toutes les étapes mentionnées ci-dessus, dont l’utilisation d’un mot de passe fort, l’installation régulière des mises à jour du micrologiciel, etc. ne se limitent qu’à un seul dispositif : un contrôleur pour maison connectée. Si possible, activez l’authentification à deux facteurs du contrôleur.

Nous vous conseillons également de limiter l’accès à Internet du contrôleur, par exemple en limitant le partage des données avec les autres ordinateurs, sauf avec les serveurs du fabricant et les appareils connectés au même réseau. Vous pouvez le configurer dans les paramètres de votre routeur domestique. Certains contrôleurs peuvent fonctionner sans connexion Internet. Si vous n’avez pas besoin de contrôler votre maison connectée à distance, une mesure de sécurité particulièrement efficace consiste à déconnecter le hub d’Internet. Il ne s’agit pas d’une solution miracle puisque les attaques complexes et à plusieurs étapes sont encore une menace, mais vous êtes au moins protégé contre les attaques les plus courantes et ordinaires.