Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Les infrastructures PKI au service de la sécurité « ?chip-to-cloud ? » des objets connectés

mai 2018 par GlobalSign

Sur le marché mondial des semi-conducteurs, Arm est un acteur incontournable. Même si la société ne fabrique pas ses propres puces, ses conceptions de processeurs sont présentes dans les quelque 100 milliards de puces électroniques qui équipent toutes sortes de produits allant des capteurs aux smartphones et jusqu’aux superordinateurs. On estime également qu’environ la moitié des 5,1 milliards de puces basées sur les conceptions d’Arm sont destinées à des usages industriels.

Comme toute entreprise de semi-conducteurs, Arm (aujourd’hui filiale de SoftBank, Japon) met particulièrement l’accent sur la sécurité. Elle a pour mission d’assurer une sécurité « ?chip-to-cloud ? » à l’ensemble des produits - les produits connectés sont alors sécurisés dès leur fabrication, pour être protégés dès qu’ils arrivent en ligne.

En annonçant récemment son initiative « ?Platform Security Architecture ? », Arm entend apporter aux développeurs d’objets connectés (IoT) des conseils sur les sujets liés à la sécurité. Cette initiative s’articule autour de quatre principes de sécurité recommandés, dont l’authentification basée sur les certificats — marché qui devrait se développer dans les années à venir. Ce n’est pas étonnant si l’on observe les tendances actuelles rapportées par le Ponemon Institute, l’un des principaux cabinets d’études spécialisés dans la sécurité de l’information. Dans son étude de 2017 sur les grandes tendances mondiales dans le domaine des infrastructures à clé publique (PKI) — étude étayée par les contributions de plus de 1 ?500 professionnels de la sécurité informatique à travers le monde pour tenter de prévoir l’évolution de la PKI — le Ponemon Institute estimait que 43 % d’objets connectés adopteraient d’ici deux ans des certificats numériques pour leur système d’authentification.

GlobalSign propose depuis longtemps des solutions basées sur les PKI car en plus de s’appuyer sur des normes ouvertes, la technologie est éprouvée, largement acceptée, et facile à mettre en œuvre. Particulièrement adaptées aux objets connectés, les PKI prennent tout leur sens ici. Elles sont relativement légères à mettre en œuvre sur plusieurs catégories d’équipements. La plupart des équipements IoT sont par définition des collecteurs, des transmetteurs voire parfois des processeurs de données. La sécurité des communications est donc un critère essentiel pour les objets connectés et, à ce titre, les infrastructures PKI offrent un moyen à la fois simple et économique d’y parvenir. La cryptographie asymétrique, sur laquelle se fonde la PKI, a prouvé mathématiquement et empiriquement son efficacité pour la distribution sécurisée de messages chiffrés à des expéditeurs ciblés.

Puces de sécurité

Aujourd’hui, les fonctions accélérées et activées par puce constituent le socle de la plupart des implémentations logicielles et matérielles sécurisées. L’identité fondamentale de tout équipement est ainsi stockée dans ce que l’on appelle un « ?élément sécurisé ? », à savoir une puce qui forme la racine de confiance d’un équipement. Elle sert d’ancre de confiance qui active ensuite d’autres fonctions de sécurité comme le démarrage sécurisé (Secure Boot) et l’attestation distante (Remote Attestation). Bon nombre de ces fonctions exigent une importante puissance de calcul — des puces cryptographiques dédiées accélèrent donc ces opérations, les rendant plus rapides et/ou moins énergivores. Quelques-unes de ces puces sont basées sur les conceptions de la société Arm. Sachez que pour ajouter un élément sécurisé, il existe plusieurs méthodes. On peut utiliser une puce TPM (Trusted Platform Module), qui est un coprocesseur cryptographique inséré à côté du processeur primaire. Son intégration exige cependant une refonte du circuit imprimé. On peut aussi utiliser une fonction physique non clonable (PUF, Physically Unclonable Function) ? ; c’est une autre solution plus récente, aussi sûre, mais bien plus rentable. Il existe d’autres solutions que nous n’aborderons pas dans le cadre de cet article.

Infrastructure PKI pour objets connectés

Il faut des rôles, des règles et des procédures de PKI pour créer, gérer, distribuer, utiliser, stocker et révoquer les certificats numériques, mais aussi pour gérer le chiffrement à clé publique. Utilisées depuis les années 1970, les PKI ont été appliquées pour la première fois aux signatures électroniques dans les années 1990. Elles sont aujourd’hui considérées comme l’un des moyens les plus fiables de sécurisation des équipements IoT.

Tous les objets connectés ont besoin d’une identité forte et doivent prouver qu’ils sont ce qu’ils prétendent être, et pas autre chose. Cette identité doit être universelle et facile à vérifier pour la partie communicante. Bientôt, les objets connectés généreront leur propre identité et la stockeront en toute sécurité grâce aux capacités mathématiques propres aux PKI. Chaque objet connecté aura, dans un avenir proche, un certificat unique qui lui est propre attestant de sa fiabilité. Une telle utilisation des PKI améliorera la fiabilité des objets connectés en limitant les risques d’accès non autorisés.

Sécurité « ?chip-to-cloud ? »

Comme évoqué plus haut, Arm est tenu d’assurer la sécurié à tous les niveaux, depuis ses puces (« ?chip ? »), en passant par sa pile logicielle IoT, jusqu’au cloud intégré sur une puce. Arm étoffe sa gamme de produits éco-efficients « ?Cortex-M ? » en ajoutant la prise en charge de Mbed OS, le système d’exploitation open-source embarqué d’Arm. Facile à utiliser et instantanément configurable, cette combinaison répond idéalement aux besoins des petits développeurs qui, pour la conception d’un objet connecté, sont prêts à créer leurs premières applications de conception — il leur suffit alors d’utiliser Mbed OS comme système d’exploitation embarqué.

La gamme Arm Mbed comprend également une plateforme cloud as a service (PaaS), Mbed Cloud — un service cloud qui a toute son utilité aujourd’hui. En effet, la plupart des cas d’utilisation IoT impliquent la collecte de données de capteurs à partir d’un équipement IoT en périphérie, puis leur transmission vers une application cloud en vue de leur traitement. Mbed OS peut nativement s’intégrer et se connecter à Mbed Cloud. Le TLS (Transport Layer Security) est actuellement le protocole de prédilection pour la plupart des connexions entre les équipements et le cloud. L’utilisation de certificats numériques est requise.

Mbed Cloud prend en charge le programme « ?Bring Your Own Certificate Authority ? ». Dans le cadre de ce programme, il est possible de demander à une AC tierce partie de créer une hiérarchie PKI dédiée et de télécharger le certificat de l’AC racine vers Mbed Cloud. En procédant ainsi, l’authentification à base de certificat accepte automatiquement les demandes de connexion de tous vos équipements dotés d’un certificat émis par cette hiérarchie spécifique.

Prise en main

Première étape très importante pour les développeurs d’objets connectés : intégrer verticalement la sécurité à toute l’infrastructure de la plateforme IoT — depuis le nœud de l’équipement ou du capteur final, à travers les couches en périphérie (Edge) ou inférieures (Fog), jusqu’à la plateforme cloud, et l’infrastructure de données et d’applications sous-jacente.

Il faut pour cela qu’au fur et à mesure que les données traversent ces différentes couches, l’identité et l’autorité d’une partie soient communiquées à chaque étape de la chaîne, avec, en même temps, l’assurance que la confidentialité et l’intégrité des données sont protégées. Ce que permet de faire une infrastructure PKI.

Pour ceux qui ne connaissent bien pas les PKI, cette approche est couramment utilisée pour les opérations de chiffrement et d’authentification. L’architecture offre un niveau de confiance renforcé pour le partage d’informations par voie électronique. Examinons tout d’abord la manière dont les équipements peuvent assurer eux-mêmes leur intégrité. Le démarrage sécurisé (Secure Boot) est un bon moyen. Un service de signature numérique peut être utilisé pour signer et calculer le condensé (hash) de n’importe quel firmware, avant de le charger sur l’appareil. La clé publique utilisée pour signer le firmware est stockée sur l’appareil, dans une mémoire non effaçable. Chaque fois que l’appareil démarre, un hash du bootloader est généré (processus consistant à appliquer un algorithme pour générer une petite chaîne à partir d’un plus gros fichier afin de vérifier ultérieurement l’intégrité du fichier) et signé par la clé publique. Si la fiabilité de cette clé publique et l’exactitude de cet enregistrement signé peuvent être établies, alors l’authenticité du bootloader (et de tout ce qui a été vérifié) est bel et bien prouvée. Si l’on envoie ensuite périodiquement ce rapport ou fichier signé à un serveur distant pour prouver l’authenticité du bootloader, on a ce que l’on appelle une attestation distante.

Une fois l’authenticité d’un équipement et de son code établie, penchons-nous sur les communications sécurisées « ?à l’extérieur ? ». Un appareil peut présenter son certificat d’identité au routeur de périphérie ou à la passerelle avec lequel (ou laquelle) il communique. La passerelle peut ensuite inspecter et valider le certificat, puis accepter le paquet de données entrantes. La passerelle de périphérie peut alors établir une connexion (TLS) avec le serveur de la plateforme cloud et prouver son identité au serveur via son propre certificat. Inversement, la passerelle de périphérie peut également demander à vérifier le certificat d’identité du serveur, et établir ainsi une connexion TLS mutuelle. Cette vérification bidirectionnelle offre une sécurité contre les écoutes, les injections de code malveillant et d’autres attaques par interception (Man-in-the-Middle). Les certificats d’équipements peuvent également prendre en charge les autorisations basées sur des rôles. Le certificat ne pouvant être modifié une fois émis par une AC, on insérera des champs d’identification spécifiques — ou rôles — que cet équipement sera autorisé à assumer. On peut maintenant vérifier la source des données, mais aussi le fait qu’un appareil est autorisé — ou pas — à transmettre ou accepter cette information. Les deux principes de sécurité de base que sont l’authentification et l’autorisation peuvent facilement être mis en œuvre par les concepteurs d’équipements. Il leur suffit en effet d’intégrer une étape d’assignation de certificats sécurisés à leur processus de fabrication. Ils peuvent ensuite facilement passer à des techniques de sécurité plus strictes comme le démarrage sécurisé et l’attestation de firmware. Certaines AC, y compris GlobalSign, proposent des outils et plateformes qui permettent d’atteindre ces objectifs de sécurité. C’est notamment le cas de notre nouveau service d’enregistrement des équipements. Toutes les techniques cryptographiques évoquées ici utilisent la cryptographie asymétrique comme élément de base. Des certificats installés sur les équipements, aux racines de confiance publique et à la signature de code… tous sont mis en œuvre à l’aide d’infrastructures PKI. En autorisant la prise en charge d’AC tierces, ARM a offert aux utilisateurs de Mbed un moyen efficace et simple de profiter de nombreuses options pour la mise en œuvre de fonctions de sécurité sur les équipements.

En Conclusion

Les infrastructures à clé publique ont actuellement le vent en poupe. De nombreuses organisations en profiteront sans doute pour aborder, grâce à la PKI, une démarche de sécurisation de leurs objets connectés. Si l’identité est le fondement de la sécurité, l’authentification et l’autorisation sécurisées sont les deux premiers objectifs à atteindre. La PKI rend cela possible en toute transparence. Les concepteurs et fabricants d’équipements qui font le choix de la PKI trouveront dans cette technologie éprouvée le moyen de lancer avec succès des applications et des produits sécurisés comme ceux qui sont décrits, avec à la clé de nouvelles opportunités. Fournisseurs de composants électroniques, fabricants de systèmes d’exploitation embarqués et fournisseurs de plateformes cloud proposent aujourd’hui une prise en charge native d’identifiants basés sur la PKI, voire l’exigent même dans certains cas. Voilà qui devrait convaincre les fabricants d’objets connectés de la simplicité et de la rentabilité d’une démarche intégrant la sécurité dès la conception des produits. Avec à la clé, un Internet des Objets plus sûr pour tout le monde.


Voir les articles précédents

    

Voir les articles suivants