Des réseaux d’objets connectés plus sûrs grâce à TIEMPO SECURE

Il existe un consensus à l’heure actuelle sur la nécessité de sécuriser les objets connectés.
Qu’en est-il des modalités de mise en œuvre ?

Si la sécu­ri­sa­tion des objets connec­tés fait effec­ti­ve­ment l’objet d’un consen­sus, il en est autre­ment de la manière employée pour assu­rer cette sécu­ri­sa­tion. Un cer­tain nombre de par­ties pre­nantes dans le domaine avancent qu’elle s’opère grâce aux logi­ciels, sans maté­riel spécifique. 

Chez Tiem­po, nous sommes convain­cus au contraire qu’une approche mixte hard­ware & soft­ware est indis­pen­sable pour réel­le­ment pro­té­ger les objets connec­tés et les don­nées qu’ils trans­mettent contre les ten­ta­tives d’attaque des cybercriminels. 

Dans l’approche soft­ware pure, la pro­tec­tion des don­nées trans­mises sur un réseau s’effectue via un micro­con­trô­leur stan­dard qui exé­cute du code embar­qué, grâce auquel se fait le cryp­tage des don­nées via des algo­rithmes de chif­fre­ment stan­dard avec clef unique (typi­que­ment un AES avec une clé de chif­fre­ment de 128 bits). 

Or, il est pos­sible aujourd’hui avec un équi­pe­ment qui coûte moins d’un mil­lier d’euros de retrou­ver en quelques minutes les clés de chif­fre­ment uti­li­sées dans ce type de micro­con­trô­leur stan­dard (par des attaques d’observation de type « side-chan­nel attacks ») et de déco­der ain­si toutes les infor­ma­tions trans­mises sur le réseau en question. 

Dans l’approche com­bi­née hard­ware & soft­ware, l’objet connec­té contient un micro­con­trô­leur sécu­ri­sé spé­ci­fique appe­lé Secure Ele­ment, équi­valent d’un « coffre-fort maté­riel » dans lequel les clefs sont sto­ckées et pro­té­gées des attaques les plus agres­sives grâce à des contre-mesures maté­rielles (secon­dées par des contre-mesures logi­cielles) très effi­caces implan­tées dans ce type de microcontrôleur. 

C’est à l’intérieur de ce Secure Ele­ment que va se faire le chif­fre­ment des don­nées, les clefs pri­vées ne quit­tant ain­si jamais ce « coffre-fort maté­riel ». Cette tech­no­lo­gie est uti­li­sée depuis des décen­nies pour les cartes ban­caires et les docu­ments d’identité sécu­ri­sés, pas­se­ports ou autres. 

Il est impor­tant de s’inspirer de ces expé­riences réus­sies pour garan­tir la sécu­ri­té des objets connectés. 

Comment assurez-vous le développement de circuits intégrés permettant le chiffrement des données sensibles et leur stockage sécurisé ?

Face aux menaces exé­cu­tées par les hackers, les auto­ri­tés ont déve­lop­pé des stan­dards per­met­tant de gra­duer les niveaux de résis­tance aux attaques des sys­tèmes élec­tro­niques fai­sant du chif­fre­ment sécu­ri­sé. Appe­lés Cri­tères Com­muns (CC), ils sont clas­sés par ordre crois­sant de résis­tance : EAL 2/3/4/5/5+/6/6+. Le niveau CC EAL5+ est ain­si exi­gé pour les docu­ments d’identité au niveau international. 

La véri­fi­ca­tion de la confor­mi­té des sys­tèmes à ces stan­dards est assu­rée par des labo­ra­toires indé­pen­dants, les labo­ra­toires CESTI en France qui sont eux-mêmes cer­ti­fiés par l’ANSSI (Agence Natio­nale de la Sécu­ri­té des Sys­tèmes d’Information), expert en France de ces normes Cri­tères Communs. 

Ces labo­ra­toires mènent des cam­pagnes d’attaques, attaques intru­sives (par injec­tion de fautes par laser par exemple) ou attaques par obser­va­tion (de la consom­ma­tion élec­trique du sys­tème, les fameuses « side-chan­nel attacks », très per­for­mantes), sur les sys­tèmes élec­tro­niques pour tes­ter leur niveau de résis­tance face à ces attaques. 

Le maté­riel est cer­ti­fié s’il résiste à ces attaques. Les labo­ra­toires d’évaluation anti­cipent même les nou­velles attaques poten­tielles et les intègrent à leurs campagnes. 

Actuel­le­ment, seule une dizaine de socié­tés de micro­élec­tro­nique dans le monde, dont la socié­té Tiem­po, sont en mesure de conce­voir des cir­cuits inté­grés cer­ti­fiés au niveau CC EAL5+ et donc capables de résis­ter à ce niveau d’attaque.

Quelles en sont les applications concrètes dans le domaine des objets connectés ?

Tiem­po uti­lise son exper­tise, ses pro­duits et sa pro­prié­té intel­lec­tuelle, vali­dés dans les domaines de sécu­ri­sa­tion les plus exi­geants que sont le ban­caire et l’identification gou­ver­ne­men­tale, pour décli­ner une offre de sécu­ri­sa­tion flexible qui soit adap­tée à l’Internet des Objets. 

Contrai­re­ment aux domaines pré­cé­dents, les besoins en sécu­ri­té pour les objets connec­tés sont très dif­fé­rents en fonc­tion du type d’application et du mar­ché visé. Il est impor­tant que les objets connec­tés aient une sécu­ri­sa­tion mini­mum qui passe par un hard­ware, mais celle-ci doit être adap­tée à l’usage de l’objet.

Cer­taines appli­ca­tions doivent être extrê­me­ment sécu­ri­sées lorsqu’elles mettent en jeu la vie humaine, comme les voi­tures connec­tées ou cer­tains équi­pe­ments médi­caux par exemple. 

L’enjeu est légè­re­ment dif­fé­rent lorsqu’on ne parle plus de sécu­ri­té vitale, mais de pro­tec­tion des don­nées per­son­nelles. À l’autre bout de la chaîne, un bra­ce­let connec­té pour le sport ne néces­si­te­ra pas le même maté­riel de sécu­ri­té. Il s’agit donc pour les pro­duc­teurs d’objets connec­tés de par­ve­nir à un équi­libre éco­no­mique adap­té au niveau de sécu­ri­té demandé. 

Vous proposez une nouvelle offre de sécurisation des objets connectés sur Internet.
Pouvez-vous nous expliquer en quoi consiste cette « end-to-end security solution » ?

Les acteurs indus­triels qui intègrent des Secure Ele­ments dans le domaine ban­caire et gou­ver­ne­men­tal sont des experts en sécu­ri­té. Ce n’est pas le cas de la plu­part des socié­tés qui pro­duisent et déploient des objets connectés. 

Tiem­po tra­vaille en coopé­ra­tion avec ces socié­tés, notam­ment des fabri­cants d’équipements pour la domo­tique, les comp­teurs intel­li­gents et des objets por­tables de sur­veillance médi­cale, dans le cadre d’un pro­jet de R&D col­la­bo­ra­tif pour défi­nir une offre de sécu­ri­sa­tion des objets connec­tés adap­tée à leurs besoins. 

Une « end-to-end secu­ri­ty solu­tion » vise ain­si à four­nir une solu­tion clé en main à nos clients qui déve­loppent et déploient des objets connec­tés pour sécu­ri­ser leur appli­ca­tion au niveau de l’objet connec­té, de la trans­mis­sion (chif­frée) de l’information sur le réseau jusqu’à la ges­tion de l’objet par des ser­veurs sécu­ri­sés dis­po­nibles sur le Cloud (d’où la déno­mi­na­tion « end-to-end »). 

Pour nos clients de l’IoT, il est impor­tant d’introduire cette sécu­ri­té au niveau de la fabri­ca­tion de l’objet autant que d’en per­mettre la ges­tion par des ser­veurs sécu­ri­sés, une fois la flotte d’objets connec­tés déployée sur le ter­rain, dans une voi­ture, une mai­son, une entre­prise ou une ville, par exemple pour per­mettre la mise à jour des clefs de chif­fre­ment et des logi­ciels embar­qués sur ces objets de manière sécu­ri­sée et via le Cloud (« Over-The-Air », ou OTA). 

Le client est ain­si assu­ré d’une ges­tion sécu­ri­sée de ses objets connec­tés durant tout leur cycle de vie. 

Pour finir, quels sont vos prochains challenges au vu du développement exponentiel de l’IoT ?

La typo­lo­gie des acteurs de l’Internet des Objets est très variable. On trouve des grands groupes dans cer­tains seg­ments de mar­ché comme le sec­teur auto­mo­bile, mais aus­si une majo­ri­té de start-ups, TPE, PME et ETI four­nis­sant des ser­vices ou objets connec­tés sur l’IoT.

Nous sou­hai­tons adres­ser nos pro­duits et solu­tions à ces clients en prio­ri­té car nous sommes par­ti­cu­liè­re­ment sen­si­bi­li­sés à leurs pro­blé­ma­tiques spé­ci­fiques, étant nous-mêmes une PME. Pour cela, nous allons donc pro­po­ser des solu­tions dimen­sion­nées aux besoins divers de ces socié­tés, dif­fé­rents en termes de sécu­ri­té et d’enjeux.

Un vaste pro­gramme donc, mais plein d’opportunités passionnantes…

---

Articles similaires :

EDF mise sur la réa­li­té vir­tuelle et la réa­li­té augmentée La ges­tion des risques : entre actua­riat et data science Un modèle unique au ser­vice de l’adaptation au chan­ge­ment climatique Un four­nis­seur d’innovation à haute per­for­mance dans le domaine du froid industriel La solu­tion qui opti­mise la per­for­mance et la rési­lience des parcs immobiliers