MtoM Mag - Le journal de l'MtoM.

Des failles connues mais ignorées : Le phénomène est en plein essor, il n’y a pas une semaine sans que la presse ne nous annonce l’attaque du système d’information d’une entreprise pour un vol de données ou pour un acte de malveillance. Les attaques concernant les objets connectés mal sécurisés ne font que commencer et le phénomène va également s’amplifier.

La très grande majorité des attaques ciblent des failles bien connues pour lesquelles existent déjà des correctifs de sécurité, souvent depuis des années, mais que les entreprises n’installent pas. Une des premières préconisations est donc qu’il est capital de faire systématiquement des mises à jour aussi bien pour le système d’exploitation que le logiciel des applications.

« Nous constatons que les ingénieurs sans culture de la sécurité ne pensent pas à utiliser les mécanismes de protection qui sont pourtant bien présents à différents niveaux, contre l’extraction du logiciel embarqué. Qu’il s’agisse de protéger la propriété intellectuelle ou bien des informations sensibles telles que des clés de chiffrement stockées, l’activation d’une option dans le logiciel de développement suffit dans la plupart des cas à atteindre un niveau minimum et convenable de sécurité. Pour se protéger de certaines attaques plus élaborées d’extraction de données sensibles contenues dans la mémoire vive, la mise en place d’un logiciel de démarrage sécurisé supplémentaire est nécessaire. La plupart du temps il est fourni par les fabricants et facilement intégrable. C’est pourquoi le choix technologique des composants principaux doit être bien réfléchi en amont. » Précise Julien Moinard, formateur chez SERMA Safety et Security et animateur des séminaires CAP’TRONIC sur la CyberSécurité.

Le principal problème en termes de sécurité lors du développement d’un produit est la méconnaissance (ou la non-évaluation) de la menace, d’autant plus lorsque ce produit est communiquant et qu’il est développé rapidement. L’impasse sur la sécurité est trop souvent courante pour des raisons économiques ou de délais de livraison, évidemment à tort.

Pour le hardware des équipements industriels souvent complexes, ou pour les systèmes à haute valeur ajoutée aux données sensibles, mieux vaut opter pour une sécurité dès la conception pour chaque composant contenant l’accès au logiciel embarqué. C’est aux électroniciens de faire le nécessaire pour la protection des appareils et pour cela, rien de tel que de comprendre comment font les hackers pour attaquer, afin de se prémunir et anticiper leurs actions.

Des séminaires de sensibilisation et des formations

Dans le cadre du programme CAP’TRONIC, les séminaires techniques de sensibilisation aux différentes attaques possibles sur un produit sont très suivis et les formations pratiques pour rendre plus sure la conception électronique se multiplient à travers la France. Ceci afin d’aider les PME à faire le premier pas dans la cybersécurité des systèmes embarqués et des objets connectés. La formation mise en œuvre a pour but, entre autres, de mettre en évidence les menaces et la simplicité de certaines attaques.

La première session vient d’avoir lieu à Toulouse et les places ouvertes ont été immédiatement réservées. La liste d’attente étant importante, les dates des prochaines sessions sont attendues, comme le confirme Julien Moinard : « La demande est en effet en forte croissance pour de l’accompagnement et les questions posées lors de cette formation indiquent une prise de conscience réelle de la problématique. »

http://www.captronic.fr/