Nous avons piraté une main intelligente pour éviter que d’autres ne le fassent

« Dans l’Internet des Objets la lettre S signifie sécurité », et c’est sûrement la plaisanterie que j’ai le plus souvent entendue ces dernières années dans le secteur de la sécurité des informations. Comme on pouvait s’y attendre, les experts en sécurité se sont longtemps moqués de l’Internet des Objets, et lors de chaque conférence digne de ce nom sur le piratage, il y avait toujours un débat à propos de personnes ayant réussi, d’une façon ou d’une autre, à pirater un de ces appareils intelligents. Nous sommes tellement habitués à ces histoires que nous sommes surpris lorsque ce n’est pas le cas, et que les chercheurs concluent que l’appareil est assez sûr.

En général, les chercheurs se concentrent sur les vulnérabilités de l’IoT, et essaient de voir en quoi elles représentent une menace pour l’utilisateur. Il ne faut pas oublier que chaque médaille a son revers : les vulnérabilités des appareils intelligents peuvent être aussi dangereuses pour les développeurs. Elles peuvent engendrer des fuites de données ou des dégâts, perturber l’infrastructure, et peuvent casser les appareils, ou les rendre inutiles.

Lors du MWC19, les experts de notre Équipe d’Intervention Informatique d’Urgence des Systèmes de Contrôle Industriel (ICS CERT) ont présenté un rapport sur les prothèses artificielles intelligentes développées par Motorica.

Commençons par la bonne nouvelle. Nos experts n’ont pas trouvé de vulnérabilités dans le micrologiciel des prothèses. Ensuite, les données du système de Motorica ne se déplacent que dans un sens, de la prothèse vers le Cloud. Cela signifie qu’il n’est donc pas possible, par exemple, de pirater une prothèse intelligente ayant été posée, et d’en prendre le contrôle à distance.

Cependant, une étude plus approfondie a révélé quelques défauts importants dans le développement de l’infrastructure Cloud, quant à la collecte et au stockage des données de télémesure transmises par les prothèses. Cela permettait aux pirates informatiques :

• D’avoir accès aux données de tous les systèmes de comptabilité (de l’utilisateur et de l’administrateur), y compris les identifiants et mots de passe non chiffrés.
• De lire, effacer, et modifier les données de télémesure conservées dans la base de données, ou de créer de nouvelles entrées.
• D’ajouter de nouveaux comptes, y compris d’administrateur.
• D’effacer, ou de modifier les comptes existants, comme le mot de passe de l’administrateur.
• De lancer une attaque par déni de service contre un administrateur, en bloquant la connexion au système.

Ces vulnérabilités pourraient divulguer ou endommager les données de l’utilisateur. De plus, le dernier des points mentionnés ci-dessus pourrait augmenter de façon significative le temps dont vous auriez besoin pour gérer ce piratage.

Nos chercheurs ont évidemment signalé toutes les vulnérabilités détectées à Motorica, et à ce jour, tous les problèmes trouvés ont été résolus. Malheureusement, nous n’avons remporté qu’une petite victoire au sein de cette bataille qui est beaucoup plus vaste, et que nous menons pour que l’Internet des Objets soit parfaitement sécurisé. Voici ce qui doit changer :

• Les développeurs devraient connaître les menaces les plus courantes, et les bonnes méthodes permettant de créer des codes sûrs. Cet aspect est crucial dans toutes les phases de développement. Notre étude montre clairement que si une erreur est commise lors de la création d’une partie du système, cela peut avoir des conséquences catastrophiques.
• Les fabricants d’appareils intelligents devraient introduire des programmes de récompense pour les bugs (bug bounty), puisqu’ils sont particulièrement utiles pour détecter les vulnérabilités, et les résoudre.
• Dans l’idéal, les experts en sécurité des informations devraient évaluer et tester la sécurité des produits en développement.