De nouvelles normes de sécurité pour les appareils IoT sont publiées de manière cohérente, montrant que la sécurité n’est plus une réflexion après coup dans la conception de produits intégrés. Le mois dernier, la Maison Blanche a lancé la Cyber Trust Mark; Une grande évolution vers la sécurité des appareils IoT avec un concept plus robuste de «l’étiquette vivante», reconnaissant la nature dynamique de la sécurité au fil du temps. La norme exige essentiellement que les appareils préalables soient équipés d’un code QR qui peut être scanné pour des informations de sécurité, telles que si l’appareil aura ou non un support logiciel automatique tel que les correctifs de sécurité. Les vendeurs de produits IoT sont désormais censés s’associer à un «cyberLab accrédité et reconnu par la FCC pour s’assurer qu’il répond aux exigences de cybersécurité du programme», selon le FCC.
Dans une conversation avec le directeur de la sécurité de Silicon Labs, Sharon Hagi, EDN a appris un peu plus sur cette nouvelle norme, son histoire et la future application de sécurité potentielle de ce nouveau schéma d’étiquetage du code QR.
Dans le «boom» de l’IoT du début des années 2000 qui a duré jusqu’à ce que les années 2010, les entreprises étaient soucieuses de l’entrée sans fil pratiquement tous les appareils, et lorsqu’ils étaient associés au bon MCU de choix, les applications semblaient sans fin. Les cas d’utilisation de la domotique et de la ville intelligente à Agritech et à l’automatisation industrielle ont tous été explorés, avec des protocoles de soutien spécifiques à l’industrie ou ouverts qui pourraient varier en spectre (sous licence ou sans licence), technique de modulation, topologie, puissance de transmission, taille maximale de la charge utile, calendrier de radiodiffusion. , Nombre d’appareils, etc. Avec le battage médiatique croissant et la litanie des options matérielles / protocoles, la sécurité du réseau était encore principalement discutée à la touche, laissant des trous assez importants pour que les mauvais acteurs à exploiter.
Avec le temps et l’expérience, il est devenu clairement clair que la sécurité de l’IoT est, en fait, assez importante. Des résultats indésirables comme un Mirai Botnet pourrait conduire à plusieurs dispositifs IoT à infecter par des logiciels malveillants en permettant à la fois des attaques à plus grande échelle telles que le déni de service distribué (DDOS). En outre, une vulnérabilité et une exposition communes massives (CVE) ont révélé que des terrains élevés sur le système de notation de la vulnérabilité (CVSS) commun peuvent potentiellement impliquer l’agence de sécurité de cybersécurité et d’infrastructure du gouvernement américain et, si elle n’est pas résolue, entraîner des amendes . Il s’agit simplement d’ajouter l’insulte à la blessure de réputation qu’une entreprise pourrait rencontrer avec un problème de sécurité exploité. Sharon Hagi développe les vulnérabilités IoT-Device, «ces appareils sont sur le terrain, ils sont donc soumis à différents types d’attaques. Il y a des attaques logicielles, des attaques à distance sur le réseau et des attaques physiques comme les attaques de canaux latéraux, le glitching et l’injection de défauts », parlant de la façon dont les laboratoires en silicium comprenaient des contre-mesures pour bon nombre de ces attaques. Les développements initiaux de l’entreprise dans le domaine de la sécurité, à savoir se sont concentrés sur sa technologie de «coffre-fort sécurisé» avec un noyau de sécurité dédié avec des fonctionnalités cryptographiques encapsulées. Le noyau gère la racine de la confiance (Rot) de l’appareil, gère les clés et régit l’accès aux interfaces critiques telles que la possibilité de verrouiller / déverrouiller le port de débogage.
02.04.2025
02.02.2025
02.01.2025
Hagi a ensuite décrit les antécédents des normes de cybersécurité américaines qui conduisent aux cadres réglementaires les plus récents, citant le NIST 8259 Spécification Comme l’ensemble fondamental des exigences de cybersécurité pour que les fabricants soient conscients (Figure 1). Une autre norme de base est la norme européenne ETSI (En) 303 645 pour les appareils IoT des consommateurs.
Hagi s’est étendu davantage sur l’histoire de la marque de cyber-fiducie: «L’histoire de la marque de cyber-fiducie a suivi juste après [the establishment of NIST 8259] en 2021 pendant l’administration Biden avec Commande exécutive 14028», Ce qui avait à voir avec les mesures de sécurité des logiciels critiques,« et ce décret a essentiellement ordonné à NIST de travailler avec d’autres agences fédérales pour développer davantage les exigences et les normes concernant la cybersécurité IoT. » Il a mentionné comment cette ordonnance a spécifié la nécessité d’un programme d’étiquetage pour aider les consommateurs à identifier et à juger la sécurité des produits intégrés (Figure 2).
“Après ce décret, la FCC a pris les devants et a commencé à mettre en œuvre ce que nous connaissons maintenant sous le nom de Cyber Trust Mark Program”, a déclaré Hagi, mentionnant que les Laboratoires souscripteurs (UL) étaient le laboratoire de certification et de test de facto pour la conformité avec le cyber-américain Trust Mark Program ainsi que les exigences de la Connectivity Security Alliance (CSA) avec son groupe de travail sur la sécurité des produits (PSWG).
En fait, le PSWG est en cours 200 entreprises avec des promoteurs qui incluent des géants technologiques comme Google, Amazon et Apple ainsi que des OEM tels que Infineon, NXP Semiconductors, Ti, Stmicroelectronics, Nordic Semiconductor et Silicon Labs. L’objectif du PSWG est d’unir les exigences de sécurité régionales émergentes disparues, y compris, mais sans s’y limiter Cyber Resilience Act (CRA) dans l’UE avec le «CE Marking» et la Singapour Schéma d’étiquette de cybersécurité (CLS).
De nombreuses entreprises du PSWG ont formulé leurs propres mesures de sécurité au sein de leurs puces, NXP, par exemple, a leur programme d’assurance Edgelock, et ST a leur cadre de sécurité STM32TRUST. TI a une équipe de réponse aux incidents de sécurité des produits (PSIRT) allouée qui répond aux rapports de vulnérabilités de sécurité pour les produits TI tandis qu’Infineon a créé un centre de cyber-défense (CDC) avec une équipe de réponse aux incidents de sécurité informatique correspondante (CSIRT / CERT) et une équipe PSIRT pour la même but. Hagi a déclaré que Silicon Labs se distinguait en mettant en œuvre la sécurité «jusqu’au niveau du silicium» dans la conception des produits au début du jeu de développement IoT.
Ces SOC sans fil et ces MCU sont la clé de voûte du système IoT, fournissant le calcul intelligent, la connectivité et la sécurité du produit. L’utilisation de SOC plus sécurisés facilitera inévitablement le processus de respect des normes de conformité en matière de sécurité en constante évolution. Les ingénieurs peuvent choisir d’activer des fonctionnalités telles que le démarrage sécurisé, les mises à jour sécurisées du micrologiciel, les mises à jour signées numériquement avec de fortes clés cryptographiques et l’antichosité, pour finalement améliorer la sécurité de leur produit final.
L’aspect le plus intéressant de l’entretien était peut-être les applications potentielles de ces schémas d’étiquetage et comment les rendre plus conviviaux. “Le schéma d’étiquetage pourrait être comparé à une étiquette alimentaire”, a déclaré Hagi, “vous allez au supermarché, retirez le produit de l’étagère et vous montre les ingrédients et la valeur nutritionnelle et décidez si c’est quelque chose que vous veulent acheter. ” À l’avenir, un produit plus objectivement sécurisé pourrait être une option plus coûteuse pour l’alternative plus basique, mais il appartiendrait au consommateur de décider. Bien que cette analogie ait servi son objectif, ses similitudes se sont terminées là-bas. Bien que l’étiquette contient tous les «ingrédients» de sécurité intégrés dans le produit, la marque de cyber-fiducie n’est pas censée être statique, car les vulnérabilités peuvent toujours être découvertes bien après la fabrication du produit.
«Vous pourriez être en mesure de voir la facture de matériel logiciel (SBOM) où il y a peut-être une certaine bibliothèque open source que le produit utilise et il y a une vulnérabilité qui a été signalée contre elle. Et peut-être que lorsque vous rentrez chez vous, vous devez mettre à jour le produit avec de nouveaux logiciels pour vous assurer que la vulnérabilité est corrigée », a déclaré Hagi en discutant des cas d’utilisation potentiels pour l’étiquette.
Le matériel BOM (HBOM) peut également être très pertinent en termes de sécurité, mettant en lumière toute la chaîne d’approvisionnement qui est impliquée dans l’assemblage du produit final. L’objectif global de l’étiquette est d’inciter les entreprises à favoriser la confiance et la responsabilité avec transparence à la fois sur le SBOM et le HBOM.
Hagi continue de descendre la liste de contrôle des mesures de sécurité que l’étiquette pourrait inclure: «Quelle est l’historique original et de développement des mesures de sécurité du produit? Peut-il effectuer une authentification? Si oui, quel genre d’authentification? Quel genre de cryptographie a-t-il? Cette cryptographie est-elle certifiée? Le fabricant comprend-il des garanties? À quel moment le fabricant cessera-t-il d’émettre des mises à jour de sécurité pour le produit? Le produit contient-il des mesures conformes aux personnes dans des juridictions spécifiques? » Ces réglementations régionales sur la sécurité varient, par exemple, le règlement général de la protection des données de l’UE (RGPD) et, bien sûr, la marque de cyber-fiducie américaine.
ML apporte une autre dimension des considérations de sécurité à ces appareils: «Les questions seraient alors quels types de données le modèle collecte-t-il? Dans quelle mesure ces modèles ML sont-ils sécurisés dans l’appareil? Sont-ils verrouillés? Sont-ils déverrouillés? Peuvent-ils être modifiés? Peuvent-ils être falsifiés? Les nombreux attributs des modèles apportent d’autres niveaux de considérations de sécurité avec eux et des voies d’attaque.
En fin de compte, mettre cette quantité d’informations sur une boîte est impossible, ce qui est encore plus pertinent est la façon dont les utilisateurs sont censés interpréter la quantité d’informations. Les consommateurs étaient plus que susceptibles de ne pas vraiment comprendre toutes les informations sur une étiquette de sécurité robuste, même si elle était lisible par l’homme. “Un autre angle consiste à fournir une sorte d’API afin qu’un système automatisé puisse réellement interroger ce genre de choses”, a déclaré Hagi.
Il a mentionné un exemple de connexion en toute sécurité à partir de différents écosystèmes, “Imaginez un appareil Amazon se connectant à un appareil Apple, avec cette API, les informations de sécurité sont récupérées automatiquement pour faire savoir aux utilisateurs si c’est une bonne idée de connecter l’appareil à l’écosystème.”
Dans l’état actuel des choses, le schéma d’étiquetage est destiné à protéger le consommateur dans un sens plus abstrait, mais il pourrait être difficile pour le consommateur de comprendre avec précision les mesures de sécurité mises dans le produit. Afin d’utiliser pleinement un système comme celui-ci, «il est probable qu’un peu d’automatisation est nécessaire pour que les consommateurs prennent des décisions appropriées juste à temps.» Cela pourrait éventuellement permettre aux consommateurs de prendre des décisions éclairées sur l’achat de produits, le remplacement, les mises à niveau, la connexion à un réseau et les risques de sécurité lors de la lancement d’un élément qui pourrait contenir des informations privées en sa mémoire.
Aalyia ShaukatRédacteur en chef adjoint chez EDN, travaille dans l’industrie de l’édition de conception depuis six ans. Elle est titulaire d’un baccalauréat en génie électrique du Rochester Institute of Technology, et a publié des œuvres dans les principales revues EE ainsi que des publications commerciales.
#Lavenir #cybersécurité #létiquette #vivante