[TRIBUNE de Rémy Cricco, SIMalliance] Rémy Cricco, le président de la SIMalliance, explique pourquoi IoT-SAFE, une API standardisée permettant aux objets connectés de tirer facilement parti de la SIM pour exécuter des services de sécurité et stocker des informations d'identification, peut offrir échelonnabilité, simplicité et confiance à l'Internet des objets (*). ...

La croissance des ventes d’équipements et objets connectés ouvre la voie à de nouveaux services dans les domaines du M2M et de l’IoT grand public. ABI Research prévoit notamment que le chiffre d’affaires annuel généré par les services IoT atteindra 460 milliards de dollars d'ici à 2026. Les services IoT sont activés par des appareils qui récupèrent, traitent et émettent des données, souvent sensibles ou personnelles, vers le cloud. Un facteur clé du déploiement généralisé des services IoT est la capacité des principales parties prenantes - utilisateurs finaux et fournisseurs de services - à s’assurer que la collecte et la transmission des données vers le cloud IoT sont bien effectuées de manière sécurisée, afin de protéger leur intégrité et l'intégrité du service qui en résulte.

Les autorités mondiales, les industriels, les gouvernements et les régulateurs travaillent donc en collaboration pour définir des directives IoT et des mandats ad hoc. Ce processus est particulièrement avancé en Europe. Le Règlement général sur la protection des données (RGPD) définit des sanctions sévères pour les fabricants d'appareils et les fournisseurs de services qui ne protègent pas la vie privée des consommateurs. Un cadre de certification robuste a également vu le jour avec l’Acte législatif sur la cybersécurité qui renforce le mandat de l'ENISA, l’Agence européenne pour la cybersécurité, et avec le programme de certification Eurosmart IoT qui exige que les dispositifs IoT subissent des tests d’intrusion menés par des laboratoires de sécurité indépendants à l’état de l’art avant leur déploiement sur le terrain.

Par ailleurs innombrables sont les défis liés au provisionnement, à la gestion et à la mise à jour à distance des informations d'identification sur des millions d'appareils différents tout au long de leur cycle de vie pour garantir la sécurité et la confidentialité. C'est pourtant cette capacité à protéger les communications des données IoT d'une manière simple et standardisée à grande échelle qui est devenue un challenge majeur pour l'industrie.

Fragmentation du marché - un défi majeur

Le recours à un élément sécurisé (SE) matériel en tant que « racine de confiance » pour exécuter les services de sécurité et stocker les informations d'identification s’avère une étape essentielle au sein du cycle de développement pour garantir la sécurité de bout en bout des produits et services IoT. C’est aussi une recommandation clé des directives de sécurité IoT de la GSMA [NDLR : l’organisme qui représente les intérêts des opérateurs mobiles].

Il existe plusieurs solutions SE matérielles propriétaires pour fournir cette racine de confiance, mais cette fragmentation du marché est en fait un défi majeur. Les appareils connectés doivent être modifiés pour accéder aux services de sécurité de différents fournisseurs de SE, ce qui crée des problèmes de conception importants et ce qui n'est pas tenable sur des déploiements à grande échelle, étant donné la taille et la diversité toujours croissantes de l'écosystème IoT.

La SIM, de son côté, traditionnellement associée à une infrastructure de provisionnement et de gestion over-the-air, est entièrement normalisée. Lorsqu'elle est utilisée comme racine de confiance dans un appareil IoT, elle favorise l'interopérabilité entre différents fournisseurs et une utilisation plus cohérente pour les fabricants d'appareils et les fournisseurs de services IoT. Un avantage supplémentaire tient au fait que la SIM possède des fonctionnalités de sécurité et de cryptographie avancées, y compris une unité centrale de traitement (CPU) sécurisée et une mémoire spécifique, elle aussi sécurisée, calibrée pour stocker les programmes du système d'exploitation, les clés et les données de certificat. Cette approche protège les appareils IoT de divers scénarios de piratage, tels que le clonage, les attaques physiques sur un seul équipement et les attaques menées à distance via Internet sur de nombreux appareils simultanément.

Bien que cette fonctionnalité et cette infrastructure avancées permettent à la SIM de fonctionner efficacement en tant que racine matérielle de confiance dans un appareil IoT, le problème de la fragmentation n'est pas complètement supprimé. En effet, le middleware de l'appareil doit toujours être modifié pour permettre l'accès aux services SIM. Il est donc apparu évident que la suppression de cet obstacle était essentielle au développement d'un écosystème IoT sécurisé et échelonnable.

Présentation de l'IoT SAFE

On s’accorde aujourd’hui largement sur le fait que la collaboration industrielle est essentielle pour promouvoir un avenir connecté sécurisé et interopérable. Pour étendre davantage les capacités de la SIM, la GSMA et la SIMalliance se sont donc associées autour du projet IoT SAFE (IoT SIM Applet for Secure End-2-End Communication). IoT SAFE répond directement au problème de la fragmentation de l'industrie. En spécifiant une API commune et en définissant un moyen standardisé de tirer parti de la carte SIM pour effectuer en toute sécurité une authentification mutuelle entre les applications IoT des objets connectés et le cloud, il est beaucoup plus facile pour les fabricants d'appareils IoT d'exécuter des services de sécurité et de gérer les informations d'identification sur des millions d'appareils.

Et comme toutes les fonctions de sécurité critiques sont exécutées sur la SIM plutôt que sur des zones non fiables de l'appareil, la robustesse de l'authentification mutuelle est assurée. De plus, une interface distante permet la gestion de l'applet IoT sécurisée tout au long de son cycle de vie.

Offrir de la flexibilité et maximiser les investissements

Les avantages de l'IoT SAFE vont au-delà de l'échelonnabilité et de la sécurité. Par exemple, comme les fonctions de sécurité peuvent être déléguées à la SIM, les fabricants d'appareils ne dépendent pas uniquement des services des fournisseurs de cloud pour sécuriser leurs produits et solutions. De plus, les SIM ont déjà fait leurs preuves en étant largement déployées pour garantir une connectivité de confiance dans l'écosystème mobile. Selon Graham Trickey, en charge de l’IoT pour la GSMA, la carte SIM est la racine de confiance de l'industrie du mobile depuis plus de 25 ans, sa sécurité évoluant constamment au cours de cette période, de sorte qu'aujourd'hui la carte SIM sécurise plus de 9,4 milliards d'appareils connectés cellulaires.

IoT SAFE étend encore les capacités de sécurité de la SIM pour sécuriser de nouveaux services IoT de bout en bout. On estime que 5,6 milliards de cartes SIM ont été commercialisées en 2018 pour un total estimé de 32 milliards d’unités livrées entre 2013 et 2018. Cet écosystème peut aujourd’hui être exploité pour offrir une sécurité renforcée aux objets connectés avec un investissement supplémentaire minimal.

(*) Cet article est paru à l'origine en anglais sur le site de la SIMalliance sous le titre Making the IoT Scalable, Simpler and SAFEr

Vous pouvez aussi suivre nos actualités sur la vitrine LinkedIN de L'Embarqué consacrée à la sécurité dans les systèmes embarqués : Embedded-SEC