Comment protéger les sonnettes et les caméras de la maison contre les pirates

Alors que la science continue de progresser, les choses de plus en plus banales deviennent des éléments technologiques sophistiqués. De nos jours, même des sonnettes ont rejoint la liste sans cesse croissante des appareils Internet des objets (IoT) qui ont été compromis par des tiers malveillants. Selon les rapports, les informations d'identification de 3000 comptes Ring ont été piratées, ce qui a entraîné un grand nombre d'attaques. Dans un rapport troublant, une caméra Ring dans la chambre d'une fillette de huit ans a été piratée par un individu, qui lui a dit d'appeler sa mère par des injures raciales. Et ce n'est pas le seul cas de piratage d'une caméra. Il y a eu plusieurs cas, qui ont donné lieu à des poursuites.

Malheureusement, les pirates peuvent aujourd'hui compromettre les appareils domestiques intelligents tels que les caméras, les sonnettes, les haut-parleurs intelligents et même les appareils comme les réfrigérateurs. Ring a publié une déclaration niant les accusations en disant que leurs systèmes n'étaient pas compromis mais que c'était le résultat d'autres systèmes étant compromis.
Voici ce que dit la déclaration Ring:

"Voici ce qui s'est passé. Des acteurs malveillants ont obtenu des informations d'identification de compte d'utilisateurs Ring (par exemple, nom d'utilisateur et mot de passe) à partir d'un service distinct, externe et non Ring et les ont réutilisés pour se connecter à certains comptes Ring. Lorsque les gens réutilisent le même nom d'utilisateur et mot de passe sur plusieurs services, il est possible pour les acteurs malveillants d'accéder à de nombreux comptes. "

Les attaques mentionnées dans la déclaration Ring sont appelées attaques de «bourrage d'informations d'identification».
Ce qui se passe, c'est que les connexions au compte d'un utilisateur (le plus souvent son adresse e-mail) et les mots de passe sont volés par de mauvais acteurs. Ces informations d'identification sont ensuite vendues au plus offrant sur le Dark Web, puis utilisées pour tenter d'accéder à d'autres systèmes. Il est regrettable que les utilisateurs réutilisent les mêmes mots de passe sur différents comptes. Une fois qu'ils ont le mot de passe de la victime, ils peuvent accéder à tous leurs comptes sur plusieurs systèmes.

Les instructions de Ring pour changer les mots de passe et activer l'authentification à deux facteurs (2FA), bien que appropriées, ne suffisent pas à dissuader les pirates. La plupart des experts en sécurité pensent que les appareils IoT, en particulier les caméras, devraient avoir des mesures de sécurité supérieures.
Ce n'est pas non plus la première fois que Ring est impliqué dans une violation de données. Auparavant, il y avait des rapports de sonnettes Ring qui fuyaient les informations d'identification WiFi et une faille de sécurité qui permettait aux utilisateurs de rester connectés à un appareil même après la mise à jour du mot de passe de l'appareil.

La violation de l'anneau n'est pas le seul exemple de fuite d'informations d'identification entraînant un piratage IoT. Le célèbre botnet Mirai, qui utilisait des mots de passe par défaut pour accéder à plusieurs types d'appareils IoT, est le parfait exemple de cette pratique. Les informations d'identification statiques (noms d'utilisateur et mots de passe) se sont révélées inefficaces et, pire encore, une menace de sécurité potentielle car de nombreux propriétaires ne prennent pas la peine de les modifier en raison de leur ignorance ou pour d'autres raisons. Nous disposons aujourd'hui d'une technologie de sécurité plus avancée et les informations d'identification par défaut des utilisateurs se sont avérées être un inconvénient plus que toute autre chose.

Comment créer des appareils IoT sécurisés

Les appareils IoT ne sont plus une nouvelle technologie émergente et ils exigent une sécurité avancée. Nous ne pouvons pas nous permettre de vendre des appareils connectés via Internet, comme des voitures, des caméras, des sonnettes intelligentes, des appareils électroménagers, sans ou simplement des mesures de sécurité. L'État de Californie et l'Union européenne ont déjà commencé à promulguer une législation exigeant des niveaux de sécurité plus élevés pour les appareils IoT. De nombreuses autres lois et réglementations sont ajoutées pour garantir la sécurité des appareils IoT. Plus que cela, les organismes de réglementation gouvernementaux comme la FDA ont commencé à ajouter de plus grandes exigences de cybersécurité pour les appareils IoT sur des marchés spécifiques.

Comment implémenter la sécurité IoT

La violation de Ring a été causée par de mauvaises pratiques de sécurité comme la réutilisation des mots de passe, mais cela ne signifie pas que Ring n'aurait rien pu faire. S'ils avaient exigé une authentification multifacteur ou une authentification par certificat pour ses appareils, ces fuites auraient pu être évitées. Il est impératif que les fabricants d'appareils IoT commencent à prendre la sécurité plus au sérieux et à ajouter des mesures de sécurité plus avancées à leurs produits. La technologie est suffisamment avancée pour qu'il soit possible de créer un environnement domestique connecté relativement sécurisé contre les cyberattaques en utilisant les derniers protocoles de sécurité.

Idéalement, les appareils connectés à Internet auraient des fonctionnalités de sécurité intégrées qui protègent l'appareil contre les attaques, protègent l'intégrité de l'appareil lui-même et ajoutent l'identité de l'appareil - afin que les appareils puissent être authentifiés et communiquer en toute sécurité entre eux via Internet en utilisant des algorithmes de chiffrement sophistiqués. Certaines des fonctionnalités qui amélioreraient la sécurité des appareils IoT sont les suivantes:

1. 1. Ajoutez un démarrage sécurisé . Cette fonction garantit que le logiciel n'a pas été altéré depuis la "mise sous tension" initiale jusqu'à l'exécution de l'application. En outre, il permet aux développeurs de coder en toute sécurité les chargeurs de démarrage, les micro-noyaux, les systèmes d'exploitation, le code d'application et les données.
   2. Appliquer les certificats d'identité de périphérique . Le marquage des appareils avec des certificats numériques pendant la fabrication garantit que les appareils IoT sont authentifiés lorsqu'ils sont ajoutés à un réseau, ainsi qu'avant d'interagir avec d'autres appareils de ce réseau. Cela les protégera des appareils contrefaits.
   3. Intégrez des pare-feu dans les appareils IoT. Les pare-feu intégrés bloquent les communications avec les appareils non autorisés et empêchent les messages malveillants.
   4. Utilisez Secure Elements . Les fabricants d'équipement d'origine (OEM) et les fabricants de dispositifs médicaux doivent utiliser un élément sécurisé, comme un élément sécurisé conforme au module de plateforme de confiance (TPM), ou un élément sécurisé intégré pour un stockage sécurisé des clés. Le stockage sécurisé des clés garantit un démarrage sécurisé et l'inscription PKI à l'aide de paires de clés créées au sein de l'élément sécurisé, ajoutent des niveaux de sécurité et de protection exceptionnellement élevés contre les hacks.
   5. Assurer des mises à jour sécurisées à distance . Il est essentiel de s'assurer que le micrologiciel de l'appareil n'a été modifié d'aucune façon avant l'installation. Les mises à jour sécurisées à distance garantissent que les composants ne sont pas modifiés et sont des modules authentifiés par l'OEM.