Danger, objets connectés

Les objets connectés ont le vent en poupe. De partout on voit surgir de nouveaux petits appareils censés améliorer notre quotidien, comme la balance connectée, la montre connectée, la voiture connectée, le frigo connectée. En attendant le barbecue connecté, la tondeuse à gazon connectée ou la chasse d’eau connectée. Bref, en rajoutant un bout de hardware, une carte wifi et un site web associé, on modernise d’un coup les usages, on en invente d’autres – parfois discutables – et on fait monter les prix. Mais à part le coté vaguement branché du concept d’”objets connectés”, cette course au tout accessible en temps réel ne pose-t-il de sérieux problèmes de sécurité ? Essayons de voir ensemble ce qui relève du risque réel, et ce qui touche au fantasme ou à de la science-fiction…

Quel est le principe d’un « objet connecté » ?

Il n’est pas inutile de se mettre d’accord sur une terminologie commune. Partons du principe qu’on est en présence d’un objet connecté à partir du moment où l’on est en présence d’un objet qui pourrait très bien vivre hors réseau, mais qui dispose de moyens de connexion à un réseau de communication IP, par un moyen quelconque (3G, Wifi, connexion par un câble), associé à un peu de mémoire et un microprocesseur. Je laisse volontairement de côté tout ce qui se connecte par bluetooth, cette norme ne permettant pas une prise de contrôle au-delà d’une certaine distance.

Un objet connecté possède donc une – ou plusieurs, tout est possible – adresse IP sur un réseau. Par le truchement de cette adresse, on peut effectuer des requêtes sous un format quelconque – Web Service ou autre, je ne suis plus vraiment au top de ces technologies. Pour l’anecdote, je me souviens d’avoir travaillé, dès la fin des années 90, sur une couche Java d’interconnexion d’objets classiques, appelée Jini. Le format était encore balbutiant, la norme complexe. Mais quinze ans plus tard, les concepts technologiques sont apparemment devenus plus simples à maîtriser.

Les objets connectés au service de la création de valeur pour les entreprises from Toucan Toco

Que peut-on faire avec un objet connecté ?

On peut imaginer deux usages basiques – il y en a probablement d’autres plus sophistiqués : le mode pull et le mode push. Le premier cas consiste à interpeller l’objet à distance, à lui demander de répondre à des requêtes : récupérer des données qu’il stocke en mémoire ou qu’il récupère via un capteur (un thermomètre, une balance), déplacer un dispositif par translation ou rotation (pour contrôler une caméra), mais aussi vider sa mémoire, redémarrer, ou toute autre procédure de gestion interne. Dans le second cas, c’est l’objet lui-même qui décide de se connecter à des services distants, par exemple pour diffuser des informations collectées. Bien entendu, on peut imaginer des scenarios plus complexes, ou l’on va demander à l’objet d’effectuer un certain traitement suite à des informations qu’il aura diffusées au préalable.

Où est le risque alors ?

Le risque, bien entendu, réside dans un usage imprévu de ces objets connectés. On pourrait envisager plusieurs cas, de sensibilité croissante.

Le premier niveau correspond à un usage autorisé, mais en dehors du cadre prévu par les ingénieurs qui ont conçu le dispositif de communication. Cette situation se produit lorsque l’utilisateur va au-delà de ce que prévoit le constructeur. Quels sont les effets de bord, quels sont les risques d’un usage possible mais non envisagé ? Il est de la responsabilité des concepteurs d’envisager ce type d’usage et de prévoir les dispositifs adéquats pour éviter tout dérapage et tout risque pour l’utilisateur, son entourage ou ses biens.

Le second niveau correspond à un usage défectueux de l’objet concerné. En gros, c’est la partie logicielle qui s’emballe, le bug, qui fait que l’objet diffuse des données qu’il ne devrait pas diffuser, diffuse des données fausses qui peuvent conduire à des conclusions erronées (système de vidéo surveillance par exemple), voire diffuser des informations à destination de mauvais destinataires. Là aussi il relève de la responsabilité des concepteurs d’envisager ces situations tordues, afin de limiter les risques.

Le troisième niveau, et de loin à mon avis le plus dangereux, correspond à une prise de contrôle de l’objet connecté par des utilisateurs pas toujours bien intentionnés. Il ne s’agit pas d’irruption dans un système informatique au sens où l’on n’ouvre pas de session sur un ordinateur distant, mais qu’on accède à son interface via les services exposés par l’objet concerné. On peut imaginer toute sorte de pratiques, allant de l’extraction de données personnelles (votre poids sur la balance connectée peut intéresser votre assureur… ) à la reprogrammation complète d’un dispositif comme un réseau de caméras de surveillance ou de feux tricolores sur un croisement.
Vous vous dites que cela n’arrive qu’aux autres ? Détrompez-vous ! Comme le rappelle Cyberland, il existe même un moteur de recherche qui recense des millions d’objets connectés accessibles sur la planète. Shodan se présente comme un moteur pas beaucoup plus sophistiqué que le moteur de recherche de Google. Il propose même des fonctionnalités proches, comme des alertes dès que de nouveaux objets répondant à une requête préalablement enregistrée sont référencés.

Un risque majeur de dimension internationale

Pirater un frigo, une balance ou votre système de domotique intéressera sans doute la prochaine génération de cambrioleurs 2.0. Ce sera sans doute très désagréable pour celles et ceux qui en pâtiront, mais cela ne vous coûtera pas la vie.

Bien plus important est le risque associé à des objets connectés dans des contextes autrement plus sensibles. Le système de signalisation routière en est un des constituants : paralyser le trafic routier sur plusieurs heures peux porter préjudice à toute une région. Attaquer le système de contrôle d’une site de production industrielle peut avoir des répercussions terribles sur l’environnement. Et, cauchemar des compagnies aériennes, l’accès aux IP embarquées à bord d’un avion – et oui, il en existe, cf. d’ailleurs ce brevet Google dépose en 2009 – par un utilisateur mal intentionné costituera probablement la nouvelle forme de terrorisme aérien.

Bienvenue dans le 21e siècle.