L'Internet des objets (IoT) révolutionne notre quotidien en connectant une multitude d'appareils pour créer des maisons intelligentes accessibles et abordables. Cependant, cette interconnectivité massive expose de graves failles de sécurité.
Des chercheurs en cybersécurité de l'Université de Princeton révèlent que l'IoT est extrêmement vulnérable, au point que même le trafic réseau chiffré peut être facilement identifié.
Cette affirmation repose-t-elle sur des bases solides, ou s'agit-il d'une alerte exagérée ? Examinons les faits.
Le cœur du problème réside dans les profils de sécurité uniques à chaque appareil IoT, souvent figés par les fabricants. Les utilisateurs ne peuvent pas les modifier, et des milliers d'appareils identiques partagent les mêmes paramètres.
Cela crée une vulnérabilité massive : un malentendu général sur la facilité de piratage des appareils IoT amplifie les risques à l'échelle mondiale.
Par exemple, un expert en sécurité a rapporté à Brian Krebs avoir observé des routeurs mal sécurisés utilisés comme proxies SOCKS, ouverts au public. Les webcams et autres objets connectés sont tout aussi vulnérables, propices à des usages malveillants.
Fin 2016, une attaque DDoS massive de 650 Gbit/s (environ 81 Go/s) a été menée par des appareils IoT compromis, selon Imperva. Surnommé "Leet", ce botnet rivalisait avec Mirai, qui avait visé Brian Krebs.
Dans leur étude A Smart Home is No Castle [PDF], Noah Apthorpe, Dillon Reisman et Nick Feamster de Princeton montrent que les fournisseurs d'accès ou observateurs passifs peuvent analyser le trafic IoT chiffré pour déduire des informations sensibles. Ils ont testé un moniteur de sommeil Sense, une caméra Nest Cam Indoor, un commutateur WeMo et un Amazon Echo.
Conclusion : les signatures de trafic de chaque appareil sont reconnaissables malgré le chiffrement.
Les chercheurs supposent un attaquant interceptant les paquets via un FAI, en analysant métadonnées (en-têtes IP/TCP, débits). Leur méthode en trois étapes :
Même avec plusieurs services, un seul flux suffit souvent pour identifier l'état de l'appareil. Voir le tableau des requêtes DNS :
Les résultats reposent sur des hypothèses réalistes, comme l'arrêt des appareils avant le sommeil pour Sense.
Business Insider Intelligence prévoyait 24 milliards d'appareils IoT d'ici 2020. L'OWASP liste toujours les 10 principales vulnérabilités (depuis 2014) :
Comme le montrent les chercheurs de Princeton, le trafic chiffré reste identifiable facilement.
Les solutions ? VPN IoT intégrés, ou obligation pour les fabricants d'améliorer la sécurité. Prioriser les appareils sensibles (médicaux vs. assistants vocaux). Aucune inspection de paquets n'est requise, juste les débits. Les fabricants doivent assumer leur responsabilité.
Avec la prolifération des objets connectés, ces recherches soulignent des enjeux cruciaux de privacy.
Avez-vous des appareils IoT chez vous ? Inquiétudes sur la vie privée ? Quelles mesures de sécurité imposer aux fabricants ? Partagez vos avis en commentaires !
