Votre maison connectée est vulnérable au piratage. De nouvelles normes de sécurité contribueront à améliorer la situation, mais restez vigilant.
Dans une rue tranquille de banlieue, une maison australienne moderne s’éveille avant ses propriétaires. Les lumières s’allument automatiquement, le thermostat se règle sur une température agréable et la machine à café se met en marche. Une sonnette vidéo surveille le jardin, un babyphone diffuse des images en direct sur le téléphone des parents et une enceinte connectée attend sa prochaine commande.
Voici la promesse de la maison intelligente : confort, efficacité et tranquillité d’esprit. Mais derrière cette expérience utilisateur fluide se cache un risque : chaque appareil connecté peut aussi être une porte d’entrée pour les cybercriminels.
Le gouvernement australien a réagi en introduisant des normes de sécurité minimales pour les appareils intelligents afin de mieux protéger les ménages dans ce monde de plus en plus connecté.
| En vertu des nouvelles règles, les fabricants et les fournisseurs doivent respecter des obligations claires et concrètes visant à renforcer le niveau de cybersécurité minimal des appareils intelligents. Ces obligations comprennent : Pas de mots de passe par défaut universels – les mots de passe doivent être uniques pour chaque produit ou définis par l’utilisateur du produit pour le matériel ou les logiciels préinstallés d’un appareil intelligent utilisé dans un état autre que celui par défaut d’usine et lorsque l’installation d’un logiciel est requise pour l’utilisation prévue du produit. Les fabricants publient un moyen de signaler les problèmes de sécurité, permettant ainsi de les signaler au fabricant et de recevoir des mises à jour sur l’état de leur résolution. Les fabricants publient des informations sur la durée de prise en charge de l’appareil , offrant ainsi aux consommateurs une transparence quant à la période, y compris la date de fin, pendant laquelle le produit recevra des mises à jour de sécurité. |
Ces normes sont entrées en vigueur récemment. Que contiennent-elles ? Et sont-elles suffisantes pour garantir la sécurité des personnes ?
Commençons par les fabricants
D’après une expérience dans le domaine de la cybersécurité , il a été constaté que les risques de sécurité proviennent des fabricants eux-mêmes.
De nombreux appareils intelligents ne sont pas conçus en accordant une priorité à la sécurité. Les fabricants privilégient souvent la réduction des coûts, la mise sur le marché rapide des produits et leur facilité d’utilisation. La sécurité est alors reléguée au second plan.
Par exemple, de nombreux appareils sont livrés avec des mots de passe par défaut faibles tels que « admin » ou « 1234 », que les utilisateurs modifient rarement. Cela offre une opportunité facile aux attaquants d’y accéder.
L’ attaque du botnet Mirai en 2016 a clairement mis en évidence les risques. Dans ce cas précis, des centaines de milliers d’appareils non sécurisés, comme des sonnettes vidéo, ont été piratés pour lancer des attaques par déni de service distribué (DDoS) de grande ampleur. Ce type de cyberattaque consiste à utiliser simultanément de nombreux ordinateurs ou appareils pour saturer un site web, un serveur ou un réseau de trafic, le rendant ainsi lent, voire totalement inaccessible aux utilisateurs légitimes.
Des recherches plus récentes ont montré que les appareils domotiques peuvent être exploités non seulement pour perturber les systèmes, mais aussi pour espionner les foyers. Dans certains cas, des inconnus ont accédé à des babyphones et des caméras mal sécurisées ont permis la diffusion en ligne d’images privées.
Un autre problème majeur est le manque de mises à jour logicielles régulières.
De nombreux appareils anciens ou peu coûteux ne bénéficient pas de mises à jour de sécurité régulières, ce qui signifie que des failles logicielles connues restent accessibles indéfiniment. Les pirates informatiques scrutent activement Internet à la recherche de ces appareils, exploitant ces vulnérabilités à grande échelle. Les systèmes connectés au cloud et dotés d’intelligence artificielle amplifient ces risques.
Les conséquences de ces failles dépassent le cadre des foyers individuels. Les appareils compromis peuvent être utilisés dans le cadre de cyberattaques de plus grande envergure, formant des réseaux de zombies (botnets) qui ciblent les infrastructures critiques ou les entreprises.
En effet, une ampoule connectée ou une caméra non sécurisée peut devenir un élément fondamental des opérations de cybercriminalité mondiales.
Quelles sont les nouvelles normes ?
Face à ces menaces croissantes, le gouvernement australien a commencé à introduire des normes de sécurité minimales obligatoires pour les appareils connectés.
Ces normes sont entrées en vigueur au début du mois. Elles visent à établir un niveau de protection minimal pour tous les produits mis sur le marché.
Même si les détails de ces normes peuvent évoluer, les idées clés sont claires.
Premièrement, les appareils ne doivent pas utiliser de mots de passe par défaut universels. Chaque appareil doit exiger des utilisateurs qu’ils créent un mot de passe unique lors de sa configuration ou être livré avec des identifiants uniques.
Deuxièmement, les fabricants doivent fournir une politique claire de divulgation des vulnérabilités, permettant aux chercheurs en sécurité de signaler les problèmes de manière responsable.
Troisièmement, il faut assurer la transparence quant à la durée pendant laquelle un appareil recevra des mises à jour de sécurité, afin que les consommateurs puissent prendre des décisions éclairées.
Ces changements transfèrent une partie de la responsabilité des utilisateurs aux fabricants. Au lieu d’attendre des consommateurs qu’ils corrigent eux-mêmes les problèmes de sécurité, les appareils doivent être conçus pour être plus sûrs dès le départ.
Concrètement, cela se traduit par moins de vulnérabilités et une plus grande responsabilisation dans l’ensemble du secteur.
La réglementation seule ne suffit pas
Toutefois, la réglementation seule ne suffit pas. Les comportements au sein des ménages restent essentiels au maintien de la sécurité. Heureusement, certaines des mesures les plus efficaces sont simples.
Changer les mots de passe par défaut pour des mots de passe forts et uniques est une étape essentielle. Un mot de passe fort doit être long, complexe et ne pas être réutilisé sur plusieurs appareils ou comptes.
L’activation de l’authentification multifacteurs chaque fois que cela est possible ajoute une deuxième couche de défense, rendant l’accès beaucoup plus difficile pour les attaquants.
La mise à jour régulière du micrologiciel , également appelé « logiciel pour matériel », est tout aussi importante. Ces mises à jour incluent souvent des correctifs pour les vulnérabilités récemment découvertes ; les retarder expose les appareils à des risques.
Les utilisateurs doivent également tenir compte de la conception de leur réseau domestique. Placer les appareils intelligents sur un réseau distinct, tel qu’un réseau Wi-Fi invité, peut contribuer à les isoler des informations plus sensibles présentes sur les appareils personnels ou professionnels.
Enfin, le choix de fabricants réputés est primordial. Les entreprises ayant fait leurs preuves en matière de mises à jour de sécurité régulières et de politiques transparentes sont généralement des choix plus sûrs que les alternatives inconnues ou bon marché.
Les maisons intelligentes s’intègrent de plus en plus à notre quotidien et leurs avantages ne cessent de croître. Cependant, à mesure que l’intelligence et l’automatisation se développent, le confort ne doit pas se faire au détriment de la sécurité et de la confiance.
Grâce à des normes plus strictes, des appareils mieux conçus et des utilisateurs mieux informés, il est possible de profiter des avantages des maisons intelligentes sans s’exposer à des cyber-risques inutiles.