Pentest IoT – objets connectés

IoT

Un pentest IoT permet de rechercher des vulnérabilités sur l’ensemble de l’écosystème de l’objet : hardware, software embarqué, protocoles de communication, serveurs, applications mobiles, APIs et interfaces web.

picto_cible

L’objectif d’un pentest IoT

La sécurité de l’IoT représente un challenge important, avec le développement des smart homes, des smart cities, de la santé connectée et de l’industrie 4.0.

La sécurité des objets connectés est un sujet complexe, de par l’étendue des technologies et le nombre de points d’attaques possibles.

L’objectif d’un pentest d’objet connecté est d’identifier les failles présentes sur les différentes couches afin de sécuriser l’ensemble de l’environnement de l’objet. Dans ce cas, l’audit cible le hardware (électronique), le software (logiciel embarqué, protocole de communication) ainsi que les APIs interfaces web et mobile (serveurs, applications web, applications mobiles). Cependant, il est aussi possible de focaliser l’audit sur un pan technique restreint en fonction des enjeux sécurité préalablement identifiés.

Le périmètre d’un audit de sécurité IoT est donc à définir en fonction des priorités du client :

  • Faut-il pentester l’ensemble de l’écosystème IoT ou uniquement certains pans ?
  • Quel est le niveau de détail recherché : une analyse rapide ou un travail de recherche approfondi ?
  • Quel est le niveau d’exposition publique de la solution et quelles sont les conséquences en cas de piratage ? (afin de choisir entre un test en boite noire ou en boite grise)

Nous contacter

Déroulement d’un audit de sécurité IoT

La première étape est la définition du périmètre de l’audit. Les échanges avec le client permettent de décider des objectifs, de la cible et des conditions du pentest.

Il est important de prévoir du temps pour la phase de préparation de l’audit : réception de l’objet par les pentesters, achat de matériel spécifique si nécessaire, transmission d’informations complémentaires par le client …

Dans certains cas, les pentesters effectuent l’audit depuis les bureaux de Vaadata, en ayant à leur disposition un ou plusieurs exemplaires de l’objet connecté. Dans d’autres cas, l’audit doit être effectué depuis un site client. Selon les conditions définies au préalable, le client peut être notifié des trouvailles au fur et à mesure de l’audit ou uniquement lorsque l’audit est terminé.

Demander un devis

Tester le hardware

Les tests d’intrusion sur le hardware se concentrent sur les composants électroniques de la solution (attaques non invasives et invasives).

Parmi les techniques utilisées, nous pouvons citer :

  • Reverse-engineering des éléments extraits de l’appareil étudié
  • Dumps de mémoires
  • Analyse cryptographique
hp_consulting_security

Tester le firmware

Les tests d’intrusion de firmware se concentrent sur le logiciel embarqué dans l’objet, ce qui inclue un certain nombre de techniques :

  • Détection de ports de communication ouverts et mal protégés
  • Buffer overflow
  • Cassage de mots de passe
  • Reverse-engineering
  • Analyse cryptographique
  • Modifications de firmware
  • Debugging
  • Détection d’interfaces de configuration ou de backdoors

Tester les protocoles de communication

Les tests d’intrusion sur les protocoles de communication se concentrent sur la technologie permettant la communication de l’objet et l’envoi de données vers l’extérieur (RFID, NFC, ZigBee, Bluetooth, WiFi, SigFox, LoRa …).

Les tests s’appuient notamment sur les techniques suivantes :

  • Capture et analyse de signaux radio (sniffing) multi-protocoles
  • Analyse cryptographique
  • Écoute passive des échanges
  • Interception et corruption des échanges
  • Dénis de service

Zoom sur le Bluetooth Low Energy

Le Bluetooth Low Energy (BLE) est un protocole de communication particulièrement utilisé car il permet d’envoyer des petites quantités de données entre les appareils en préservant la batterie.

Les problématiques de sécurité liées au BLE sont très souvent liées à une mauvaise implémentation du protocole. Il existe des moyens de chiffrer les échanges de données et de renforcer la sécurité du protocole, qui sont à étudier dès la phase de conception d’un objet connecté. En savoir plus

zoom bluetooth

Statistiques

26%

En 2018, 26% des organisations ont eu une fuite de données à cause spécifiquement d’objets connectés ou applications non sécurisés.
2019. The Third Annual Study on Third Party IoT Risk: Companies Don’t Know What They Don’t Know. Ponemon Institute. (p. 2).

65%

65% des consommateurs sont inquiets de la manière dont les objets connectés collectent et utilisent les données personnelles.
2019. The trust opportunity: Exploring consumers’ attitudes to the Internet of Things. Consumers International & Internet Society. (p. 7)

73%

73% des organisations ont subi au moins une attaque contre des objets connectés en 2018.
2018. The IoT Revolution: Uncovering Opportunities, Challenges and the Scale of the Security Threat. Trend Micro. (p. 4).

Notre offre de pentests

Notre gamme d’audits de sécurité a été spécifiquement élaborée pour répondre aux besoins des entreprises.

Nous contacter