Un « Nutriscore » pour connaître le niveau de sécurité des appareils connectés

Pour certains, les appareils connectés apportent confort et commodité à notre vie quotidienne. Pour d’autres, ils peuvent surtout créer de nouvelles complications et de nouveaux risques pour la sécurité domestique. Plus les consommateurs ont recours à l’Internet des Objets (IoT, Internet of Things) et plus les possibilités de piratages augmentent.

C’est cette crainte qui ressort d’une récente étude commanditée par BlackBerry, pionnier des téléphones intelligents au début des années 2000 et qui est aujourd’hui un éditeur de solutions de sécurités.

Menée aux États-Unis, son enquête constate que près de 3 personnes sur 4 pensent que les voitures connectées et les chargeurs de véhicules électriques devraient être notés pour leur capacité à résister aux menaces de cybersécurité.

Des réseaux zombies d’objets connectés…

L’enquête a été commandée en réponse à une nouvelle initiative de la Maison-Blanche qui prévoit de lancer, en 2023, un programme d’étiquetage pour les appareils de l’IoT, similaire aux classements EnergyStar qui indiquent la consommation électrique d’un téléviseur ou d’un appareil électroménager.

Le gouvernement américain souhaite que le National Institute of Standards and Technology et la Federal Trade Commission proposent un ensemble de normes de sécurité de base afin que les Américains puissent savoir d’un coup d’œil si leur nouveau haut-parleur ou leur nouvelle machine à laver risque de rejoindre un botnet¹ ou d’être frappé par un ransomware².

Selon une récente étude menée par Nozomi Networks, une entreprise américaine spécialisée dans la protection des réseaux industriels, « l’activité des botnets IoT s’est intensifiée au premier semestre 2022 ».

À l’instar de ce qui se passe avec l’informatique, où des pirates prennent le contrôle d’ordinateurs (des botnets ou « réseaux zombie »), la finalité des capteurs industriels est également détournée par des cybercriminels pour lancer des attaques DDoS (Distributed Denial of Service, déni de service distribué). Le but est de paralyser l’activité d’un serveur ou d’une ressource web en le ou en la submergeant de requêtes.

Code-barres

Bien que les détails du programme n’aient pas encore été confirmés, l’administration américaine a déclaré qu’elle « gardera les choses simples ». Les étiquettes, qui seront « reconnues mondialement » et débuteront sur des appareils tels que les routeurs et les caméras domestiques, prendront la forme d’un « code-barres ». Il suffira de le scanner avec son smartphone pour découvrir son niveau de sécurité.

Le code-barres scanné permettra de consulter des informations fondées sur des normes, telles que les politiques de mise à jour des logiciels, le chiffrement des données et la correction des failles de sécurité.

Certains détracteurs de ce plan rappellent que les États-Unis ne fabriquent pas la plupart des produits connectés que les consommateurs achètent. Par ailleurs, ils rappellent que ce type d’étiquetage est en cours de développement au Royaume-Uni, dans l’Union européenne et à Singapour.

Les États-Unis n’auraient qu’à l’adapter plutôt que d’en créer un autre. En septembre dernier, l’Union européenne a mis la pression sur les fabricants de ce type d’appareils. Ils seront désormais tenus d’évaluer tous les risques et de notifier les problèmes à l’UE dans les 24 heures.

1. Un réseaux de « bots » qui prennent, de façon malveillante, le contrôle sur un ensemble d’appareils connectés à Internet.
2. Le « rançongiciel » bloque l’accès au système ou à des données.