14 Fév Objets connectés : le nouveau danger du piratage
Imaginez un salon qui éteint les lumières lorsque tout le monde est allé au lit. Un fer à repasser qui, s’il est laissé dans une maison vide, envoie un message à votre téléphone. Ou une machine à café qui se met en marche dans la cuisine au moment où vos pieds touchent le sol de votre chambre à coucher. Ces scénarios d’une « maison intelligente » sont devenus monnaie courante : les nouveaux logements sont de plus en plus équipés de matériaux et de produits de pointe, conçus pour envoyer et recevoir des données numériques. Ce que les chercheurs appellent « l’Internet des objets » (ou IdO, en anglais « Internet of Things » ou IoT) représente l’extension d’Internet à des choses et à des lieux du monde physique. Considéré comme la troisième évolution de l’Internet, baptisé Web 3.0 (parfois perçu comme la généralisation du Web des objets mais aussi comme celle du Web sémantique) qui fait suite à l’ère du Web social, l’Internet des objets revêt un caractère universel pour désigner des objets connectés aux usages variés, dans le domaine de la e-santé ou de la domotique : le pouvoir de rendre la vie plus sûre et plus facile, en anticipant les besoins humains.
Mais selon de nouvelles recherches, ce sont les dangers imprévus des objets connectés qui devraient nous empêcher de dormir la nuit. Une étude publiée par le Professeur Adi Shamir de l’Institut Weizmann des Sciences – un expert de renommée mondiale en matière de cryptage – a démontré comment une faille dans la technologie sans fil facilite l’utilisation de signaux radio malveillants pour pirater les appareils ménagers et les infecter avec un code malveillant capable de se propager comme un incendie à travers les réseaux des objets connectés. Avec Eyal Ronen, étudiant en doctorat dans le laboratoire du professeur Shamir, les autres contributeurs de l’étude sont Achi-Or Weingarten, étudiant en Master à l’Institut Weizmann, et Colin O’Flynn, un doctorant de l’Université Dalhousie à Halifax, au Canada.
Selon le professeur Shamir et son équipe, « les objets connectés » deviennent une cible de plus en plus attrayante pour les cyber-attaques, car les dispositifs des objets connectés à faible sécurité ouvrent une « porte arrière » aux réseaux de données dont notre société dépend aujourd’hui. Les appareils ménagers en réseau peuvent être détournés, offrant aux cybercriminels une stratégie potentielle et relativement simple, permettant d’accéder et de voler des informations provenant de systèmes informatisés, voire d’arrêter une ville en coupant le réseau électrique.
L’étude a fait les grands titres des journaux à travers le monde, y compris dans le New York Times, en raison de ses implications dramatiques bien sûr, mais aussi parce qu’elle est dirigée par le Professeur Shamir du Département d’Informatique et de Mathématiques appliquées de l’Institut Weizmann, qui est un lauréat du prix Turing ; Adi Shamir est le spécialiste de la recherche cryptographique et l’inventeur du RSA, qui protège aujourd’hui quasiment toutes les transactions commerciales sur Internet : il est le co-inventeur de l’algorithme de cryptographie « RSA » pour l’encodage et le décodage des messages, parmi les avancées les plus importantes en matière de sécurité numérique.
Bien que les méthodes du professeur Shamir aient rendu le partage en ligne nettement plus sécurisé, des événements récents nous montrent que les objets connectés suscitent de nouveaux défis : les récentes cyber-attaques qui ont désactivé temporairement Twitter et Amazon ont été lancées par des pirates informatiques qui ont simplement profité des faibles standards de sécurité des dispositifs des objets connectés.
Petites vulnérabilités, grands problèmes
Les chercheurs ont entrepris de montrer comment de petites vulnérabilités issues des protocoles des objets connectés pouvaient conduire à des problèmes majeurs. Ils ont apporté la « preuve de concept » à travers un ensemble d’expériences dans lesquelles ils ont réussi à infecter les ampoules « intelligentes » (ampoules avec la capacité intégrée d’envoyer et de recevoir des données), avec un virus informatique.
« Nous avons découvert que, dans la fabrication spécifique des ampoules connectées « Zigbee » (un protocole d’objets connectés utilisé pour les luminaires en réseau), il existe un problème dans le code qui permet d’infecter les ampoules avec des logiciels malveillants », explique Ronen, ajoutant que les chercheurs ont prévenu les fabricants d’ampoules, mais qu’ils ont retardé la publication des résultats de leur recherche, et attendu que les causes de la vulnérabilité soit corrigées… « En utilisant un équipement simple qui coûte juste quelques centaines de dollars, nous avons pu effectuer un piratage en direct des logiciels de contrôle des ampoules intelligentes, et détourner les réseaux de lampes intelligentes ».
Les chercheurs ont également prouvé que cette prise de contrôle malveillante pouvait être effectuée à distance, grâce à une furtivité qui semble être tout droit sortie du film « Mission Impossible ».
Dans un scénario que l’équipe a appelé « Conduite de guerre », les chercheurs ont réussi à faire clignoter les lampes d’un bâtiment de l’Institut Weizmann la nuit, à une distance de 70 mètres. Dans un deuxième scénario, appelé « Vol de guerre », l’équipe a utilisé un drone pour détourner un réseau d’objets connectés à l’intérieur d’un immeuble de bureaux à Beer Sheva (il se trouve que ce bâtiment abrite certaines des sociétés de cyber sécurité les plus connues en Israël…) : un émetteur radio a survolé avec succès les lampes à une distance de 350 mètres, ce qui prouve la vulnérabilité de tels dispositifs pour des pirates agissant depuis l’extérieur.
La recherche effectuée par l’équipe du Professeur Shamir révèle, à petite échelle, la vulnérabilité potentiellement catastrophique des réseaux d’objets connectés. Avec des milliards de dispositifs d’objets connectés qu’il est prévu d’installer dans les prochaines années – en particulier dans les villes densément peuplées – un simple virus dans une seule ampoule a le potentiel de se répandre de façon explosive sur de grandes zones, dans une sorte de réaction en chaîne, à la condition que la densité des dispositifs des objets connectés compatibles dépasse une certaine masse critique.
En prenant le contrôle de ces réseaux, les cybercriminels peuvent allumer ou éteindre toutes les lumières d’une ville, les désactiver de façon permanente ou les exploiter dans une attaque massive contre la communication sans fil. De l’écrasement de sites internet spécifiques à la désactivation de systèmes de communication compromettants, en passant par la suppression de réseaux essentiels à la sécurité nationale, les conséquences sont énormes.
Selon Ronen, l’étude révèle une lacune systémique dans la façon dont les nouveaux protocoles de cyber-sécurité sont produits et diffusés. « ZigBee a été conçu par un consortium de sociétés internationales, et standardisé dans le cadre d’un processus fermé qui ne sollicite pas la contribution d’experts. À l’avenir, les protocoles de sécurité devraient être développés dans un environnement plus ouvert afin que les professionnels et les experts puissent prévoir et corriger les failles d’un système, avant que les produits ne deviennent des produits de grande consommation ».
Les recherches du Professeur Adi Shamir sont financées par Microsoft Coproration. Le Professeur Shamir est le titulaire de la Paul & Marlene Borman Professorial Chair of Applied Mathematics.
