La forensique de l'Internet des objets (IoT) est une branche de la forensique numérique consistant en l'analyse d'éléments présents dans un ou plusieurs appareils numériques. La différence entre la forensique numérique classique et la forensique de l'IoT réside majoritairement dans les sources de preuves.

Le développement de cette branche de la forensique numérique rencontre un certain nombre de challenges liés aux spécificités de l'IoT, et soulève des questionnements sur les limites de cette pratique concernant à la fois le domaine juridique et celui de la vie privée.

Description Parallèle avec la forensique numérique classique

La criminalité informatique s'est étendue à l'IoT alors même que celui-ci se développait. La criminalité IoT représente toute activité malveillante impliquant le paradigme IoT, en ce sens que les dispositifs, services ou canaux de communication IoT peuvent être un sujet, un objet ou un outil liés aux crimes. En dépit des nombreuses mesures de sécurité en place, les cyberattaques liées à l'IoT continuent d'augmenter. Selon une étude datant de 2015 de HP, 84 % des utilisateurs de l'IoT ont déjà subi une violation de leur sécurité.

Il existe un grand nombre de périphériques IoT mais peu d'identifiants par défaut (ex: admin/admin, user/password, root/toor), ce qui permet d'ailleurs à des malwares d'exploiter cette . Par ailleurs, les utilisateurs laissent parfois les identifiants par défaut. De plus, les communications entre les périphériques et le routeur local ne sont pas tout le temps chiffrées. La possibilité d'accéder à ceux-ci via des applications mobiles n'augmente en rien leur sécurité. Parmi les appareils les plus populaires analysés, on retrouve des téléviseurs intelligents, des webcams, des serrures de porte connectées et des télécommandes de garage et de concentrateurs permettant de contrôler plusieurs appareils. Tous ces appareils présentent, s'ils sont utilisés par un tiers, un réel danger pour l'utilisateur.

La forensique de l'IoT présente plusieurs avantages par rapport à la forensique classique, découlant chacun de la différence majeure entre elles : les sources. Celles-ci différent par leur nature, par leur nombre, par le format des preuves et par les protocoles utilisés. Classiquement, les preuves pourraient être des ordinateurs, des appareils mobiles, des serveurs, etc. Pour la forensique de l'IoT, les preuves peuvent être extraites des appareils ménagers, des voitures, des lecteurs RFID, nœud-capteurs, implants médicaux chez l'homme ou l'animal, etc.

+ Comparaison entre les sources de la forensique classique et l'IoT d'après Alabdulsalam et al. Classique IoT Nature Ordinateurs, Téléphones portables, Réseaux sociaux, Cloud, Serveurs Proxy Electroménager connecté, Voitures, Réseaux de capteurs, Implants médicaux (homme ou animal) Nombre 10,8 milliards de périphériques connectés (11,9 prévus en 2022) (chiffres 2018) 7.0 milliards de périphériques connectés (13.5 prévus en 2022) (chiffres 2018) Format Documents numériques, Formats fichiers standards (JPEG, MP3, PDF) Tous les formats possibles Protocoles Ethernet, 802.11 (a,b,g,n), Bluetooth, IPv4/IPv6 RFID, Rime

Afin de pointer les différences entre forensique numérique classique et forensique de l'IoT, celui-ci est divisé en domaines tels que les services de cloud computing, les appareils mobiles, l'informatique fixe, les capteurs RFID ou l'intelligence Artificielle (IA). Ainsi, ces différences ont pu être mises en évidence en fonction des domaines ciblés. Par conséquent, un modèle composé de trois zones a vu le jour. Ces zones aident les enquêteurs à choisir leur point de départ pour travailler. La zone 1 est composée du réseau interne, c'est-à-dire tout le matériel et le logiciel directement lié au lieu de l'enquête (ex : périphériques Bluetooth ou Wi-Fi). La zone 2 comprend tous les périphériques et logiciels autour du réseau, ceux qui font la liaison entre réseau interne et externe. On retrouve par exemple les IPS/IDS et les pare-feux. La zone 3 contient tout ce qui se trouve en dehors du réseau interne, comme les données des FAI, celles des opérateurs de réseau mobile, etc. Cette conceptualisation de zone aide les praticiens à élaborer un plan d'enquête organisé.

La forensique de l'IoT en pratique La forensique numérique sert à comprendre et à reconstruire la séquence d'événements qui ont dû se produire lors de la génération desdits éléments. Cette investigation est commune à la forensique numérique classique et à celle de l'IoT. Elle concerne l'acquisition, l'examen, l'analyse et la présentation de ces éléments et de la séquence d'événements reconstruite comme preuve devant un tribunal. C'est McKemmish en 1999 qui décrit ce modèle à quatre étapes repris par la suite dans de nombreux articles. Ces quatre étapes sont décrites ainsi :

1 - Identification Cette étape consiste à identifier les sources potentielles de preuves, acquises de manière légale avec l’approbation de l’autorité appropriée. Savoir quelle preuve est présente et où et comment elle est stockée est essentiel pour déterminer quels processus doivent être utilisés pour faciliter sa récupération ; 2 - Préservation La conservation des données est cruciale compte tenu de la probabilité d'un examen judiciaire par un tribunal. Il est impératif que tout examen des données stockées soit effectué de la manière la moins intrusive possible. Certaines modifications sont inévitables, mais il est primordial de les minimiser. Lorsqu'on opère un changement, il doit pouvoir être expliqué. Cela s'applique non seulement aux modifications des données elles-mêmes, mais aussi aux modifications physiques des dispositifs électroniques ; 3 - Analyse Cette étape correspond à l'extraction, au traitement et à l'interprétation des données. Une fois extraite, la preuve numérique peut ne pas être assez significative en elle-même. Elle nécessite généralement un traitement avant qu'elle puisse être comprise et prise en compte par un jury ; 4 - Présentation La présentation est la dernière étape pour valider la donnée en tant que preuve devant un tribunal. Cela inclut la manière de présenter, mais aussi l'expertise et les qualifications du présentateur ainsi que la crédibilité des processus employés pour produire la preuve présentée.

Le volume d'affaires judiciaires concernant la criminalité numérique grandit également. Depuis 2010, l' a mis en place une solution DFaaS (nom inspiré par la solution software as a service) basée sur XIRAF afin de lutter contre le volume d'affaires en attente de traitement. Cette solution prend en charge une grande partie des questions de stockage lors d'une enquête, permettant ainsi aux enquêteurs une automatisation du traitement des données plus efficace. Pour garantir l'intégrité judiciaire, comme dans le processus traditionnel, la première tâche consiste à créer des copies légitimes des appareils numériques. La grande différence est que les images sont copiées dans un stockage central et traitées à l'aide d'un ensemble d'outils standards. Ceux-ci vont des outils d'extraction de systèmes de fichiers et des espaces non alloués aux outils d'analyse des logs et de l'historique Internet. Les résultats obtenus via ces outils sont stockés dans une base de données centralisée et peuvent être interrogés et analysés à tout moment au cours de l'enquête.

Début 2012, Hansken, le successeur de XIRAF, voit le jour dans le but d'être une version de production qui remplacera son prédécesseur en tant que solution DFaaS. Celui-ci se compose de plusieurs modules qui servent tous un objectif spécifique, communiquant ensemble via une technologie RPC.

Oriwoh propose un scénario hypothétique dans lequel un certain M. X a utilisé divers périphériques IoT pour commettre des infractions. Cette illustration aide à souligner les questions que les enquêteurs numériques peuvent se poser dans le cadre d'enquêtes liées à l'IoT.

Illustration d'un scénario hypothétique proposé par Oriwoh. Scénario

M. X travaillait pour « Smart Kids », l'école primaire locale, en tant que technicien informatique. Son réseau personnel (PAN) se compose de son téléphone portable et de sa tablette. Ses appareils personnels ne sont enregistrés chez aucun fournisseur de service de réseau mobile.

« Smart Kids » a mis en place un système dans lequel tous les ordinateurs sont en réseau. Toutes les voies d'entrée et de sortie (portes, portails et fenêtres) sont contrôlées par ordinateur. En outre, l'école dispose d'un système de Cloud central où les étudiants peuvent consulter leurs résultats en ligne. « Smart Kids » a récemment licencié M. X après avoir affirmé qu'il altérait leurs services de sécurité informatique.

Smart est la directrice de « Smart Kids ». Son réseau local (plus précisément son réseau de maison, ) est composé de son ordinateur portable, la console de jeux X-box de son fils, son système d'éclairage et de chauffage domestique, sa voiture et son matériel médical intelligent.

L'hôpital local « Healing Hands » a mis en place un système dans lequel tous les appareils électroniques et les systèmes liés au patient ont été mis en réseau. Les armoires de distribution de médicaments intelligentes et les dossiers des patients sont également connectés. Différents niveaux de droits d'accès sont évidemment présents sur les différents périphériques de ce réseau.

Attaque

M. X utilise ses appareils mobiles pour accéder aux dossiers de l'hôpital et de mener les attaques suivantes : Il commence par modifier les prescriptions de Smart, modifiant ainsi les médicaments qu'elle doit récupérer plus tard dans la journée. Il prend le contrôle du compte de messagerie de l'hôpital de son médecin et lui envoie un courrier électronique l'informant que l'ordonnance renouvelée a été réduite en raison de l'amélioration de son état de santé. Son distributeur de médicaments intelligent ne distribuera donc que la dose réduite. Il accède au système de navigation automatique de sa voiture et le configure pour qu'il sélectionne l'itinéraire le plus long vers la destination sélectionnée. En utilisant un exploit de porte dérobée qu'il a installée alors qu'il travaillait chez « Smart Kids », M. X accède aux dossiers scolaires du fils de Smart et baisse ses notes. Il remplit l'espace de stockage de de son fils sur sa Xbox avec des fichiers compromettants. En augmentant ses privilèges sur son réseau domestique, il altère le système d'éclairage intelligent installé chez Smart : celui-ci éteint maintenant lorsqu'il détecte un mouvement et allume dans le cas contraire. Smart est inquiète parce que cela signifie que les lumières restent allumées pendant toute la durée de leur absence de la maison.

À la suite de ces attaques, l'école « Smart Kids » demande une enquête sur le problème posé par ses systèmes informatiques. L'hôpital ordonne également une enquête afin de déterminer pourquoi certains dossiers de l'hôpital semblent avoir été falsifiés. Smart s'inquiète de l'augmentation de ses factures. Elle appelle les sociétés qui ont fourni et installé les différents services pour enquêter sur les situations. Elle invite également une société de police scientifique à s'assurer qu'elle n'a pas été piratée.

Investigation

Quelques questions pouvant être posées par les investigateurs dans le cadre de l'enquête fictive liée au précédent scénario. Questions pour l'hôpital et l'école : Qui a accès à quels enregistrements ? Comment ces enregistrements sont-ils généralement consultés (localement, à distance) ? Quels sont les niveaux d'autorisation et ceux-ci ont-ils été violés dans le passé ? Est-il facile de violer ces règles, c'est-à-dire est-ce que les tests de pénétration effectués ont donné des résultats ? Y a-t-il des registres tenus par l'hôpital et l'école de qui a eu accès à quoi et quand ?