Des réseaux d’objets connectés plus sûrs grâce à TIEMPO SECURE

Il existe un consensus à l’heure actuelle sur la nécessité de sécuriser les objets connectés.
Qu’en est-il des modalités de mise en œuvre ?

Si la sécuri­sa­tion des objets con­nec­tés fait effec­tive­ment l’objet d’un con­sen­sus, il en est autrement de la manière employée pour assur­er cette sécuri­sa­tion. Un cer­tain nom­bre de par­ties prenantes dans le domaine avan­cent qu’elle s’opère grâce aux logi­ciels, sans matériel spécifique. 

Chez Tiem­po, nous sommes con­va­in­cus au con­traire qu’une approche mixte hard­ware & soft­ware est indis­pens­able pour réelle­ment pro­téger les objets con­nec­tés et les don­nées qu’ils trans­met­tent con­tre les ten­ta­tives d’attaque des cybercriminels. 

Dans l’approche soft­ware pure, la pro­tec­tion des don­nées trans­mis­es sur un réseau s’effectue via un micro­con­trôleur stan­dard qui exé­cute du code embar­qué, grâce auquel se fait le cryptage des don­nées via des algo­rithmes de chiffre­ment stan­dard avec clef unique (typ­ique­ment un AES avec une clé de chiffre­ment de 128 bits). 

Or, il est pos­si­ble aujourd’hui avec un équipement qui coûte moins d’un mil­li­er d’euros de retrou­ver en quelques min­utes les clés de chiffre­ment util­isées dans ce type de micro­con­trôleur stan­dard (par des attaques d’observation de type « side-chan­nel attacks ») et de décoder ain­si toutes les infor­ma­tions trans­mis­es sur le réseau en question. 

Dans l’approche com­binée hard­ware & soft­ware, l’objet con­nec­té con­tient un micro­con­trôleur sécurisé spé­ci­fique appelé Secure Ele­ment, équiv­a­lent d’un « cof­fre-fort matériel » dans lequel les clefs sont stock­ées et pro­tégées des attaques les plus agres­sives grâce à des con­tre-mesures matérielles (sec­ondées par des con­tre-mesures logi­cielles) très effi­caces implan­tées dans ce type de microcontrôleur. 

C’est à l’intérieur de ce Secure Ele­ment que va se faire le chiffre­ment des don­nées, les clefs privées ne quit­tant ain­si jamais ce « cof­fre-fort matériel ». Cette tech­nolo­gie est util­isée depuis des décen­nies pour les cartes ban­caires et les doc­u­ments d’identité sécurisés, passe­ports ou autres. 

Il est impor­tant de s’inspirer de ces expéri­ences réussies pour garan­tir la sécu­rité des objets connectés. 

Comment assurez-vous le développement de circuits intégrés permettant le chiffrement des données sensibles et leur stockage sécurisé ?

Face aux men­aces exé­cutées par les hack­ers, les autorités ont dévelop­pé des stan­dards per­me­t­tant de graduer les niveaux de résis­tance aux attaques des sys­tèmes élec­tron­iques faisant du chiffre­ment sécurisé. Appelés Critères Com­muns (CC), ils sont classés par ordre crois­sant de résis­tance : EAL 2/3/4/5/5+/6/6+. Le niveau CC EAL5+ est ain­si exigé pour les doc­u­ments d’identité au niveau international. 

La véri­fi­ca­tion de la con­for­mité des sys­tèmes à ces stan­dards est assurée par des lab­o­ra­toires indépen­dants, les lab­o­ra­toires CESTI en France qui sont eux-mêmes cer­ti­fiés par l’ANSSI (Agence Nationale de la Sécu­rité des Sys­tèmes d’Information), expert en France de ces normes Critères Communs. 

Ces lab­o­ra­toires mènent des cam­pagnes d’attaques, attaques intru­sives (par injec­tion de fautes par laser par exem­ple) ou attaques par obser­va­tion (de la con­som­ma­tion élec­trique du sys­tème, les fameuses « side-chan­nel attacks », très per­for­mantes), sur les sys­tèmes élec­tron­iques pour tester leur niveau de résis­tance face à ces attaques. 

Le matériel est cer­ti­fié s’il résiste à ces attaques. Les lab­o­ra­toires d’évaluation anticipent même les nou­velles attaques poten­tielles et les intè­grent à leurs campagnes. 

Actuelle­ment, seule une dizaine de sociétés de microélec­tron­ique dans le monde, dont la société Tiem­po, sont en mesure de con­cevoir des cir­cuits inté­grés cer­ti­fiés au niveau CC EAL5+ et donc capa­bles de résis­ter à ce niveau d’attaque.

Quelles en sont les applications concrètes dans le domaine des objets connectés ?

Tiem­po utilise son exper­tise, ses pro­duits et sa pro­priété intel­lectuelle, validés dans les domaines de sécuri­sa­tion les plus exigeants que sont le ban­caire et l’identification gou­verne­men­tale, pour déclin­er une offre de sécuri­sa­tion flex­i­ble qui soit adap­tée à l’Internet des Objets. 

Con­traire­ment aux domaines précé­dents, les besoins en sécu­rité pour les objets con­nec­tés sont très dif­férents en fonc­tion du type d’application et du marché visé. Il est impor­tant que les objets con­nec­tés aient une sécuri­sa­tion min­i­mum qui passe par un hard­ware, mais celle-ci doit être adap­tée à l’usage de l’objet.

Cer­taines appli­ca­tions doivent être extrême­ment sécurisées lorsqu’elles met­tent en jeu la vie humaine, comme les voitures con­nec­tées ou cer­tains équipements médi­caux par exemple. 

L’enjeu est légère­ment dif­férent lorsqu’on ne par­le plus de sécu­rité vitale, mais de pro­tec­tion des don­nées per­son­nelles. À l’autre bout de la chaîne, un bracelet con­nec­té pour le sport ne néces­sit­era pas le même matériel de sécu­rité. Il s’agit donc pour les pro­duc­teurs d’objets con­nec­tés de par­venir à un équili­bre économique adap­té au niveau de sécu­rité demandé. 

Vous proposez une nouvelle offre de sécurisation des objets connectés sur Internet.
Pouvez-vous nous expliquer en quoi consiste cette « end-to-end security solution » ?

Les acteurs indus­triels qui intè­grent des Secure Ele­ments dans le domaine ban­caire et gou­verne­men­tal sont des experts en sécu­rité. Ce n’est pas le cas de la plu­part des sociétés qui pro­duisent et déploient des objets connectés. 

Tiem­po tra­vaille en coopéra­tion avec ces sociétés, notam­ment des fab­ri­cants d’équipements pour la domo­tique, les comp­teurs intel­li­gents et des objets porta­bles de sur­veil­lance médi­cale, dans le cadre d’un pro­jet de R&D col­lab­o­ratif pour définir une offre de sécuri­sa­tion des objets con­nec­tés adap­tée à leurs besoins. 

Une « end-to-end secu­ri­ty solu­tion » vise ain­si à fournir une solu­tion clé en main à nos clients qui dévelop­pent et déploient des objets con­nec­tés pour sécuris­er leur appli­ca­tion au niveau de l’objet con­nec­té, de la trans­mis­sion (chiffrée) de l’information sur le réseau jusqu’à la ges­tion de l’objet par des serveurs sécurisés disponibles sur le Cloud (d’où la dénom­i­na­tion « end-to-end »). 

Pour nos clients de l’IoT, il est impor­tant d’introduire cette sécu­rité au niveau de la fab­ri­ca­tion de l’objet autant que d’en per­me­t­tre la ges­tion par des serveurs sécurisés, une fois la flotte d’objets con­nec­tés déployée sur le ter­rain, dans une voiture, une mai­son, une entre­prise ou une ville, par exem­ple pour per­me­t­tre la mise à jour des clefs de chiffre­ment et des logi­ciels embar­qués sur ces objets de manière sécurisée et via le Cloud (« Over-The-Air », ou OTA). 

Le client est ain­si assuré d’une ges­tion sécurisée de ses objets con­nec­tés durant tout leur cycle de vie. 

Pour finir, quels sont vos prochains challenges au vu du développement exponentiel de l’IoT ?

La typolo­gie des acteurs de l’Internet des Objets est très vari­able. On trou­ve des grands groupes dans cer­tains seg­ments de marché comme le secteur auto­mo­bile, mais aus­si une majorité de start-ups, TPE, PME et ETI four­nissant des ser­vices ou objets con­nec­tés sur l’IoT.

Nous souhaitons adress­er nos pro­duits et solu­tions à ces clients en pri­or­ité car nous sommes par­ti­c­ulière­ment sen­si­bil­isés à leurs prob­lé­ma­tiques spé­ci­fiques, étant nous-mêmes une PME. Pour cela, nous allons donc pro­pos­er des solu­tions dimen­sion­nées aux besoins divers de ces sociétés, dif­férents en ter­mes de sécu­rité et d’enjeux.

Un vaste pro­gramme donc, mais plein d’opportunités passionnantes…

---

Articles similaires :

La réforme du droit des con­trats, un événe­ment majeur dans la vie des affaires Coopéra­tion européenne, taille cri­tique et autonomie stratégique Les éner­gies nou­velles au sein de la tran­si­tion energétique SNCF Réseau : nous avons un devoir de réussite Faire entr­er le voy­age dans l’ère connectée Beauté 2.0 : du virtuel au réel