MtoM Mag - Le journal de l'MtoM.

Mais si cette interconnectivité offre une grande valeur ajoutée aux utilisateurs, elle n’est pas sans risque ! Les exigences en matière de sécurité évoluant, un système IoT doit désormais être doté d’un cadre d’identité solide dès sa conception. KeyFactor, la solution de sécurité " identity-first " pour les entreprises, rappelle les 5 principes clés de la sécurité IoT.

1. Utiliser des informations d’authentification uniques pour chaque appareil

Trop souvent, les appareils IoT utilisent des mots de passe statiques ou des clés partagées qui n’offrent pas le niveau de sécurité ou de contrôle requis. En effet, la compromission d’un seul appareil peut affecter tous les autres. Idéalement, chaque appareil doit posséder un certificat numérique unique afin d’assurer l’authenticité de chacun, de réduire l’impact d’un appareil compromis mais aussi de garantir des échanges plus sûrs ainsi que l’intégrité des données.

2. Stocker les clés privées dans le matériel chaque fois que cela est possible

Les TPM (Trusted Platform Module) et les secure elements offrent un niveau de sécurité supplémentaire basé sur le matériel, via un crypto-processeur sécurisé qui permet de stocker les clés et les certificats mais aussi d’effectuer les opérations cryptographiques en toute sécurité.

3. Vérifier les firmwares et les mises à jour de logiciels signés numériquement

Il est important que les appareils puissent vérifier l’authenticité de tout nouveau logiciel ou micrologiciel avant leur installation. Pour ce faire, il est indispensable de mettre en place une infrastructure de signature de code robuste, qui consiste à appliquer une signature numérique unique à l’entreprise aux fichiers de mise à jour. et ainsi garantir qu’ils sont légitimes et que le code n’a pas été modifié par un tiers depuis leur publication.

4. Etablir une racine de confiance propre à l’entreprise

Gérer sa propre racine de confiance (RoT) donne à l’entreprise un contrôle total pour valider l’identité de chaque appareil (ou personne) recevant une clé. Partager une RoT avec un tiers, qu’il s’agisse de partenaires ou d’autres entreprises clientes d’un même service de PKI partagée. peut multiplier les risques de compromission de l’entreprise et briser la chaine de confiance. Alors que de nombreux industriels continuent à livrer leurs appareils équipés de clés et de certificats préchargés, les entreprises ne doivent pas les accepter aveuglément. Elles peuvent, en revanche, les utiliser pour valider l’authenticité du nouveau matériel à partir de la clé existante, puis injecter leurs propres informations d’authentification émises par leur RoT privée.

5. Mener une gestion continue du cycle de vie des certificats, des clés et des RoT

Les systèmes statiques sont intrinsèquement peu fiables et ce principe s’applique également à la cryptographie. En effet, les algorithmes cryptographiques et les clés s’affaiblissent avec le temps et l’usage, et de nombreux appareils IoT sont déployés bien au-delà de l’efficacité de leurs clés cryptographiques. Il faut donc être en mesure d’effectuer une gestion complète du cycle de vie des certificats, des clés et des RoT stockés pour pouvoir les renouveler, les remplacer et les révoquer à tout moment et à distance.

https://www.keyfactor.com/