Les systèmes cyber-physiques, historiquement utilisés dans les systèmes de contrôles industriels, se sont répandus dans des produits grand public au sein de l'internet des objets. Ils sont l'objet d'attaques qui peuvent avoir des impacts tant humains que matériels. Leur sécurité soulève des problématiques spécifiques, différentes de celles posées par les systèmes informatiques traditionnels. Les exigences de sécurité attendues varient fortement suivant l'usage qui est fait de la technologie, et les attaquants contre lesquels on souhaite la protéger. La protection de ces systèmes repose sur un ensemble de pratiques qui vont de la segmentation du réseau à la validation des éléments embarqués présents à sa périphérie. Des technologies de détection et de prévention d'intrusion sont développées spécialement pour ces systèmes, en tenant compte des particularités des usages et des protocoles mis en œuvre.
Illustration des menaces Les technologies de l'automatisation sont destinées à des usages très divers. Elles ont d'abord été largement utilisées dans les systèmes de contrôle industriels, puis se sont répandues à des usages plus courants, parfois regroupés sous l'appellation d'Internet des objets. Comme tous les systèmes informatiques, ces technologies peuvent faire l'objet d'attaques, de natures et d'impacts variés. Dans le passé, de nombreux systèmes industriels en ont été la cible. Depuis les années 2010, les usages de l'internet des objets par des particuliers sont en plein essor, et peu d'attaques sur ces systèmes ont été recensées. De nombreux travaux sont cependant menés afin d'accompagner leur développement et de prévenir des risques que leur rapide expansion peut impliquer. Industrie Les sites industriels ont massivement recours aux technologies de l'automatisation. Ces technologies sont souvent regroupées au sein de systèmes SCADA. Elles se composent généralement de trois types d'éléments : Des dispositifs embarqués, utilisés pour la télémesure ou l'opération des machines; des serveurs qui récoltent les données et pilotent les contrôleurs; et des clients qui sont utilisés par les administrateurs humains. Le bon fonctionnement de ces infrastructures peut être vital pour le maintien de l'activité et la prévention des accidents. Les protocoles utilisés sont nombreux et souvent propriétaires. Ils ont rarement été conçus pour être connectés à un réseau accessible de l'extérieur, et comportent donc peu de sécurité, ce qui les rend vulnérables à des intrusions.
Ces attaques peuvent parfois être menées par un individu isolé. En 2000, un ancien contractant du centre de traitement des eaux de Maroochy provoqua le déversement d'un million de litres d'eaux non traitées dans les cours d'eau de la région. Il utilisa un équipement radio volé à son employeur pour désactiver les alarmes des stations de pompage et détraquer leur fonctionnement. En 2008, un collégien utilisa "une télécommande de télévision modifiée" infrarouge pour prendre le contrôle des aiguillages du réseau de tramway de Łódź, faisant dérailler quatre tramways.
Elles ont également été utilisées dans le cadre d'opérations militaires. En 2010, le virus Stuxnet, développé par les armées américaines et israéliennes fut utilisé contre la centrale de Natanz en Iran. Selon un rapport de l', il causa la destruction d'un millier de centrifugeuses. La centrale étant isolée d'internet, les différentes versions du programme furent introduites au moyen de clés usb. Stuxnet reprogrammait les contrôleurs Siemens des centrifugeuse, et faisait varier la vitesse de rotation. Lorsqu'une attaque était en cours, le contrôleur remontait de fausses informations au système SCADA, qui était donc incapable de détecter l'attaque.
Les entreprises exploitant des infrastructures industrielles peuvent également être victimes d'extorsion. Selon Alan Paller cité par le journal Forbes en 2008, ces installations sont régulièrement la cible d'attaques auxquelles font suite des demandes de rançon.
Internet des objets Des systèmes de contrôle aux fonctions similaires à ceux utilisés dans l'industrie sont désormais répandus dans des usages destinés à un grand public.
Ces usages sont parfois catalogués au sein de l'internet des objets. Ce concept représente la grande diversité d'objets connectés qui peuvent être connectés à internet, directement ou indirectement. Pour s'intéresser à la sécurité des objets connectés, on peut choisir de distinguer ceux qui communiquent directement avec internet, et ceux qui utilisent des technologies machine à machine. Comme dans les systèmes industriels, beaucoup de cas d'usage font intervenir ces deux modes de communication.
Ces objets sont souvent minimalistes, conçus pour accomplir une tâche simple au coût le plus bas possible. Ils disposent donc d'une mémoire et d'une capacité de calcul très limitée, et n’intègrent pas de défense avancée contre les attaques. Une fois mis sur le marché, il est difficile d'y ajouter des protections supplémentaires.
Véhicules Les véhicules sont un bon exemple d'objets connectés. Ils comportent quasiment toujours des unités de commande électronique (UCE). Ces UCE servent à capter des informations : Jauge de carburant; pression des pneus; température; vitesse; détection de collision, et commander des actionneurs : lampes; electrovannes; ABS; etc. L'interconnexion de ces modules se fait généralement sur un bus standard CAN. Les voitures modernes sont également souvent équipées d'un ordinateur de bord qui fournit différents fonctionnalités au conducteur : affichage d'informations sur la conduite, lecteur multimédia, GPS, etc. Ces ordinateurs de bord peuvent être accessibles à distance, par exemple via le bluetooth ou un réseau cellulaire.
En 2010, une équipe des universités de Washington et San Diego a recensé les risques induits par un composant capable de communiquer sur le bus CAN d'une voiture. Ils ont montré que malgré l'authentification nécessaire pour certaines actions critiques, un composant CAN malicieux posait de sérieux risques sur une auto en fonctionnement, en étant par exemple capable de manipuler le système de freinage ou d'éteindre son moteur. Des doutes ont été émis sur la faisabilité réelle d'une telle attaque, dont la démonstration avait requis un accès physique à la voiture par plusieurs experts. Dans un second article, ils ont donc présenté une étude exhaustive de la surface d'attaque permettant une prise de contrôle du système informatique de la voiture cible. Ils proposent une classification des vecteurs d'intrusion : accès physique direct; accès physique indirect; sans-fil courte portée; sans-fil longue portée. Pour chacun des vecteurs, ils présentent une ou plusieurs méthodes permettant l'exécution de code arbitraire en exploitant des failles logicielles.
En 2015, Charlie Miller et Chris Valasek ont présenté les résultats de leur étude d'un Jeep Cherokee. Ils ont découvert que le système multimédia Harman Uconnect de ces véhicules exposait une interface D-Bus sur un port TCP accessible via le réseau cellulaire Sprint. Il était dès lors possible d'exécuter des commandes arbitraires à distance sur le système d'exploitation du véhicule. Ce système multimédia fonctionne sur une puce OMAP qui n'est pas directement connectée au bus CAN de la voiture, mais peut communiquer avec une puce d'entrée-sortie reliée au bus CAN. Les deux chercheurs ont montré qu'il était possible de reprogrammer cette puce pour envoyer des paquets CAN arbitraires et causer les mêmes risques que ceux présentés dans les papiers précédent, par exemple désactiver les freins et le système anti-collision. Pour corriger le problème, dans un premier temps l'opérateur Sprint a bloqué le port vulnérable sur tout la plage d'adresses ip allouée à ces voitures, puis le constructeur automobile a rappelé de véhicules pour une mise à jour du logiciel.
Réseaux de capteurs sans fil Les réseaux de capteurs sans fil permettent le déploiement de petits capteurs contraints en ressources. Ils communiquent au moyen de technologies radio basse consommation sur des réseaux WPAN et peuvent être agencés selon une technologie en étoile, maillée, ou hybride. La norme IEEE 802.15.4 propose un standard pour les couches PHY et MAC. Il est utilisé dans beaucoup d'implémentations propriétaires. Des normes existent également pour les couches supérieures, comme ZigBee destiné aux réseaux personnels, ou 6LoWPAN, qui permet la compatibilité IPV6 en ajoutant une passerelle réseau.
La spécification IEEE 802.15.4 de 2003 propose plusieurs modes de chiffrement, et indique pour chacun s'ils permettent le contrôle d'accès; le chiffrement des données; l'intégrité; et la séquentialité. Cette classification n'est pas toujours pertinente, car l'implémentation de la norme est complexe, et une erreur peut facilement compromettre les propriétés anti rejeu et d'intégrité. Le provisionnement des clés n'est pas couvert par la norme, et doit donc être défini adéquatement par ceux qui implémentent une solution IEEE 802.15.4 en fonction des propriétés de sécurité souhaitées.
Les réseaux de capteurs sans fil peuvent être sujets à des vulnérabilités génériques inhérentes à leur système de routage.
Retour d'anciennes vulnérabilités S'agissant d'internet des objets, il existe des usages qui ne font pas intervenir de technologies spécifiques, mais "connectent" simplement des objets au réseau, en leur associant un système - souvent de type Unix - qui est relié à internet par des moyens conventionnels. Dans bien des cas, les systèmes d'exploitation qu'ils utilisent sont très mal sécurisés comparé aux systèmes d'exploitation qui tournent sur les serveurs ou les postes de travail. Ils peuvent donc constituer une cible de choix pour des attaquants.
En 2016, un cas notable se produit avec la formation du botnet MIRAI, qui prend le contrôle de milliers de NAS et de caméras IP en se connectant sur leur port telnet avec les identifiants par défaut. Pour s'étendre, le ver balaye en permanence le web à la recherche de machines vulnérables. Il est utilisé pour mener des attaques en déni de service, notamment sur les sociétés OVH et Dyne. Selon Octave Klaba, directeur général d'OVH, l'attaque qu'ils ont subi mettait à contribution près de , et représentait un trafic supérieur à 1 Tbit/s.
Pour mitiger ce type de menaces, le CERT propose deux solutions complémentaires : les administrateurs de systèmes d'information sensibles doivent les rendre plus résistants aux attaques par déni de service, et les acheteurs d'un équipement devraient personnellement s'assurer de sa sécurité avant de le connecter à internet. Les organisations qui supervisent leur parc de machines peuvent également se prémunir contre ces attaques, en surveillant l'activité des ports telnet, ou en utilisant un système de gestion de parc ou un scanner de vulnérabilités capable de détecter un service configuré avec les identifiants par défaut.
Catégorisation des menaces
Les systèmes de contrôle industriels ou les objets connectés jouent des rôles divers, souvent très différents de ceux des systèmes informatiques classiques. Pour chaque usage, les propriétés de sécurité requises doivent être identifiées avant de choisir une solution technique. Les méthodes de catégorisation de la sécurité des SISystèmes d'information peuvent être appliquées aux ICSIndustrial control systems : Systèmes de contrôle industriel.
Dans les systèmes industriels
Directives gouvernementales Le guide NIST 800-82 fournit des indications pour sécuriser les systèmes de contrôle industriel. Il propose une identification des risques et des solutions pour les mitiger. Les menaces sont distinguées en quatre catégories : adverses, accidentelles, structurelles, environnementales. La stratégie de gestion des risques doit traiter tous ces aspects. Les risques adverses doivent être correctement évalués en tenant compte du coût d'une attaque et de l'apparition de nouvelles vulnérabilités.