Comment les améliorations de confidentialité basées sur la blockchain peuvent renforcer la confiance dans les écosystèmes IoT

Lorsque nous parlons des écosystèmes de l'Internet des objets (IoT), nous faisons référence à un vaste réseau de différents gadgets et appareils qui discutent les uns avec les autres. Imaginez votre réfrigérateur intelligent envoyant un message à votre smartphone pour vous dire qu'il n'y a plus de lait ou votre thermostat intelligent ajustant la température de la pièce en fonction de vos préférences. Cela semble futuriste, n'est-ce pas ?

Mais voici le hic : ces appareils, aussi avancés qu'ils puissent paraître, ne sont pas aussi puissants ou ressources que les ordinateurs que nous utilisons quotidiennement. Ils sont comme de petits messagers avec une énergie limitée, toujours en mouvement.

Pourquoi les appareils IoT sont différents de votre ordinateur ordinaire

• Ressources limitées : Contrairement aux gros serveurs ou ordinateurs puissants auxquels nous sommes habitués, les appareils IoT ont souvent seulement un peu de mémoire et de puissance de traitement.
• Canaux de communication différents : Au lieu des canaux plus sécurisés utilisés par nos ordinateurs, les appareils IoT communiquent souvent sur des canaux sans fil moins sécurisés, comme ZigBee ou LoRa. Pensez-y comme à un choix de cadenas de vélo fragile au lieu d'un solide.
• Langue et fonctions uniques : Chaque appareil IoT est comme un individu unique. Ils ont leurs fonctions et communiquent à leur manière. C'est comme avoir beaucoup de personnes de différents pays, chacune parlant sa langue, essayant d'avoir une conversation. Cela rend difficile l'élaboration d'un protocole de sécurité unique pour eux.

Pourquoi est-ce un problème ?

Eh bien, à cause de ces défis uniques, les appareils IoT peuvent être des cibles faciles pour les cyberattaques. C'est un peu comme une ville. Plus la ville est grande, plus il y a d'opportunités pour que quelque chose tourne mal. Et tout comme dans une grande ville avec beaucoup de types de personnes différents, les appareils IoT de différentes entreprises doivent trouver des moyens de communiquer les uns avec les autres. Parfois, cela nécessite un intermédiaire, un tiers de confiance, pour les aider à se comprendre.

De plus, parce que ces appareils sont limités en puissance, ils ne sont pas aussi équipés pour se défendre contre les cybermenaces sophistiquées. C'est comme envoyer quelqu'un avec une fronde pour repousser une armée moderne.

Décomposer les vulnérabilités

Les vulnérabilités IoT peuvent être divisées en deux catégories principales

• Vulnérabilités spécifiques à l'IoT : Des problèmes tels que les attaques de drainage de batterie, les défis de normalisation ou les problèmes de confiance appartiennent ici. Pensez-y comme à des problèmes auxquels seuls ces appareils font face.
• Vulnérabilités courantes : Ce sont des problèmes hérités du monde plus large d'Internet. Les problèmes typiques auxquels la plupart des appareils en ligne font face.

Comprendre les menaces de sécurité dans l'IoT

En plongeant dans le monde de la cybersécurité, en particulier dans le domaine de l'IoT (Internet des objets), il est courant d'entendre parler de la triade CIA. Cela ne fait pas référence à une agence secrète mais signifie Confidentialité, Intégrité et Disponibilité. Ce sont trois principes qui sous-tendent la plupart de la cybersécurité.

Le premier, la Confidentialité, consiste à s'assurer que vos données privées restent privées. Pensez-y comme à un journal que vous gardez sous votre lit. Seule vous (et peut-être quelques personnes de confiance) devriez avoir la clé. Dans le monde numérique, cela se traduit par des informations personnelles, des photos ou même une conversation que vous avez avec un ami via un appareil intelligent.

L'Intégrité, d'autre part, consiste à s'assurer que ce que vous avez écrit dans ce journal reste tel que vous l'avez laissé. Cela signifie que vos données, qu'il s'agisse d'un message, d'une vidéo ou d'un document, ne sont pas modifiées par quelqu'un d'autre sans votre connaissance.

Enfin, il y a la Disponibilité. Ce principe est similaire à avoir toujours votre journal disponible lorsque vous souhaitez y consigner vos pensées. Dans le domaine numérique, cela pourrait signifier accéder à un site Web lorsque nécessaire ou récupérer les paramètres de votre maison intelligente à partir du nuage.

Avec ces principes à l'esprit, plongeons plus profondément dans les menaces auxquelles l'IoT est confronté. En ce qui concerne l'IoT, nos appareils quotidiens, comme les réfrigérateurs, les thermostats et même les voitures, sont interconnectés. Et bien que cette interconnectivity apporte une commodité, elle introduit également des vulnérabilités uniques.

Une menace courante est l'attaque par déni de service (DoS). Imaginez ceci : vous êtes à un concert et vous essayez de passer par une porte, mais un groupe de farceurs bloque constamment le passage, n'autorisant personne à entrer. C'est ce qu'un DoS fait aux réseaux. Il les submerge de fausses demandes afin que les vrais utilisateurs comme vous et moi ne puissent pas entrer. Une version plus menaçante est le DoS distribué (DDoS) où ce n'est pas seulement un groupe qui bloque la porte mais plusieurs groupes bloquant plusieurs portes en même temps.

Une autre menace sournoise est l'attaque de l'homme du milieu (MiTM). C'est semblable à quelqu'un qui écoute secrètement votre appel téléphonique, et parfois même qui se fait passer pour la personne à qui vous pensez parler. Dans l'espace numérique, ces attaquants relaient secrètement et peuvent même altérer la communication entre deux parties.

Ensuite, nous avons les logiciels malveillants, l'équivalent numérique d'un rhume mais souvent avec des intentions plus nuisibles. Ce sont des logiciels conçus pour s'infiltrer et parfois endommager nos appareils. À mesure que notre monde se remplit de plus d'appareils intelligents, le risque d'infections par des logiciels malveillants augmente.

Mais voici le bon côté : aussi nombreuses que ces menaces puissent paraître, des experts du monde entier travaillent sans relâche pour les combattre. Ils emploient des techniques avancées, comme l'Intelligence Artificielle, pour détecter et contrer ces attaques. Ils affinent également la façon dont nos appareils communiquent, s'assurant qu'ils peuvent véritablement se reconnaître et se faire confiance. Ainsi, bien que l'ère numérique ait ses défis, nous ne les naviguons pas les yeux bandés.

Confidentialité 

Outre les menaces de sécurité susmentionnées, les appareils IoT et les données qu'ils traitent font face à des risques liés à la vie privée, y compris l'écoute des données (sniffing), la démasquage des données anonymes (dé-anonymisation) et le tirage de conclusions basées sur ces données (attaques par inférence). Ces attaques ciblent principalement la confidentialité des données, qu'elles soient stockées ou en cours de transmission. Cette section explore ces menaces pour la vie privée en détail.

MiTM dans le contexte de la vie privée

Il est suggéré que les attaques MiTM peuvent être divisées en deux catégories : les attaques MiTM actives (AMA) et les attaques MiTM passives (PMA). Les attaques MiTM passives impliquent la surveillance discrète des échanges de données entre les appareils. Ces attaques peuvent ne pas altérer les données, mais elles peuvent compromettre la vie privée. Considérez quelqu'un avec la capacité de surveiller secrètement un appareil ; il pourrait le faire pendant une période prolongée avant de lancer une attaque. Étant donné la prévalence des caméras dans les appareils IoT allant des jouets aux smartphones et aux objets connectés portables, les conséquences potentielles des attaques passives, comme l'écoute ou le sniffing de données, sont substantielles. En revanche, les attaques MiTM actives jouent un rôle plus direct, utilisant les données acquises pour interagir de manière trompeuse avec un utilisateur ou accéder aux profils des utilisateurs sans autorisation.

Confidentialité des données et ses enjeux

Semblable au cadre MiTM, les menaces pour la confidentialité des données peuvent également être classées en attaques actives de confidentialité des données (ADPA) et en attaques passives de confidentialité des données (PDPA). Les préoccupations liées à la confidentialité des données touchent à des problèmes tels que les fuites de données, les altérations non autorisées des données (manipulation des données), le vol d'identité et le processus de dévoilement de données apparemment anonymes (ré-identification). Plus précisément, les attaques de ré-identification, parfois appelées attaques par inférence, reposent sur des méthodes telles que la désanonymisation, le repérage de localisations et l'accumulation de données provenant de sources diverses. L'objectif principal de ces attaques est d'assembler des données provenant de différents endroits pour dévoiler l'identité d'un individu. Ces données regroupées peuvent ensuite être utilisées pour se faire passer pour la personne cible. Les attaques qui modifient directement les données, comme la manipulation des données, relèvent de la catégorie ADPA, tandis que celles associées à la ré-identification ou aux fuites de données sont considérées comme des PDPA.

La blockchain comme solution potentielle

La blockchain, couramment abrégée en BC, est un réseau résilient caractérisé par sa transparence, sa tolérance aux pannes et sa capacité à être vérifié et audité. Souvent décrite avec des termes tels que décentralisée, pair-à-pair (P2P), transparente, sans confiance (trust-less) et immuable, la blockchain se distingue comme une alternative fiable par rapport aux modèles client-serveur centralisés traditionnels. Une caractéristique notable de la blockchain est le « contrat intelligent » (smart contract), un contrat auto-exécutant dont les conditions d'accord ou les conditions sont écrites dans le code. La conception inhérente de la blockchain garantit l'intégrité et l'authenticité des données, offrant une défense solide contre la manipulation des données dans les appareils IoT.

Efforts pour renforcer la sécurité

Diverses stratégies basées sur la blockchain ont été proposées pour différents secteurs tels que les chaînes d'approvisionnement, la gestion des identités et des accès, et, en particulier, l'IoT. Certains modèles existants, cependant, ne respectent pas les contraintes temporelles et ne sont pas optimisés pour les appareils IoT aux ressources limitées. Au contraire, certaines études se sont principalement concentrées sur l'amélioration du temps de réponse des appareils IoT, négligeant les considérations de sécurité et de confidentialité. Une étude de Machado et ses collègues a introduit une architecture blockchain divisée en trois segments : IoT, Fog et Cloud. Cette structure mettait l'accent sur l'établissement de la confiance entre les appareils IoT à l'aide de protocoles basés sur des méthodes de preuve, conduisant à des mesures d'intégrité et de sécurité des données telles que la gestion des clés. Cependant, ces études n'ont pas directement abordé les préoccupations en matière de confidentialité des utilisateurs.

Une autre étude a exploré le concept de « DroneChain », qui se concentrait sur l'intégrité des données pour les drones en sécurisant les données avec une blockchain publique. Bien que cette méthode ait garanti un système robuste et responsable, elle utilisait la preuve de travail (PoW), qui peut ne pas être idéale pour les applications IoT en temps réel, en particulier les drones. De plus, le modèle manquait de fonctionnalités pour garantir la provenance des données et la sécurité globale des utilisateurs.

La blockchain comme bouclier pour les appareils IoT

À mesure que la technologie continue d'évoluer, la vulnérabilité des systèmes aux attaques, telles que les attaques par déni de service (DoS), augmente. Avec la prolifération d'appareils IoT abordables, les attaquants peuvent contrôler plusieurs appareils pour lancer des cyberattaques redoutables. Le réseau défini par logiciel (SDN), bien que révolutionnaire, peut être compromis par des logiciels malveillants, le rendant vulnérable à diverses attaques. Certains chercheurs préconisent l'utilisation de la blockchain pour protéger les appareils IoT de ces menaces, citant sa nature décentralisée et inviolable. Il est toutefois notable que la plupart de ces solutions restent théoriques, manquant d'implémentation pratique.

D'autres études ont visé à combler les lacunes de sécurité dans différents secteurs en utilisant la blockchain. Par exemple, pour contrer la manipulation potentielle dans un système de réseau intelligent (smart-grid), une étude a proposé l'utilisation d'une transmission de données cryptographique combinée à la blockchain. Une autre étude a défendu un système de preuve de livraison utilisant la blockchain, rationalisant le processus logistique. Ce système s'est révélé résilient face aux attaques courantes telles que MiTM et DoS, mais présentait des lacunes dans la gestion de l'identité des utilisateurs et de la confidentialité des données.

Architecture cloud distribuée

En plus de répondre aux défis de sécurité familiers tels que l'intégrité des données, MiTM et DoS, plusieurs efforts de recherche ont exploré des solutions multifacettes. Par exemple, un article de recherche de Sharma et son équipe a introduit une technique blockchain rentable, sécurisée et toujours disponible pour l'architecture cloud distribuée, en mettant l'accent sur la sécurité et la réduction des délais de transmission. Cependant, il y avait des domaines négligés, notamment la confidentialité des données et la gestion des clés.

Un thème récurrent dans ces études est l'utilisation prévalente de la PoW comme mécanisme de consensus, qui pourrait ne pas être le plus efficace pour les applications IoT en temps réel en raison de sa nature intensive en énergie. De plus, un nombre significatif de ces solutions a négligé des aspects vitaux tels que l'anonymat des utilisateurs et l'intégrité globale des données.

Défis de l'implémentation de la blockchain dans l'IoT

Délai et efficacité

Bien que la technologie blockchain (BC) existe depuis plus de dix ans, ses véritables avantages n'ont été exploités que récemment. De nombreuses initiatives sont en cours pour intégrer la BC dans des domaines tels que la logistique, l'alimentation, les réseaux intelligents, les VANET, la 5G, les soins de santé et la collecte de données par foule. Néanmoins, les solutions prévalentes ne traitent pas du délai inhérent à la BC et ne conviennent pas aux appareils IoT aux ressources limitées. Le mécanisme de consensus prédominant dans la BC est la Preuve de Travail (PoW). La PoW, malgré son utilisation généralisée, est comparativement lente (traitant seulement sept transactions par seconde par rapport à la moyenne de deux mille transactions de Visa) et est intensive en énergie.

Calcul, gestion des données et stockage

L'exécution d'une BC nécessite des ressources informatiques, énergétiques et de mémoire importantes, surtout lorsqu'elle est répartie sur un vaste réseau pair-à-pair. Comme l'ont souligné Song et al., en mai 2018, la taille du registre Bitcoin dépassait 196 Go. De telles contraintes soulèvent des préoccupations concernant l'évolutivité et la vitesse des transactions pour les appareils IoT. Une solution potentielle pourrait consister à déléguer leurs tâches de calcul à des clouds centralisés ou à des serveurs semi-décentralisés de type Fog, mais cela introduit des délais réseau supplémentaires.

Uniformité et normalisation

Comme toutes les technologies naissantes, la normalisation de la BC est un défi qui peut nécessiter des ajustements législatifs. La cybersécurité reste un défi redoutable, et il est trop optimiste de s'attendre à une norme unique capable d'atténuer tous les risques de cybermenaces contre les appareils IoT dans un avenir proche. Cependant, une norme de sécurité peut garantir que les appareils se conforment à certains seuils de sécurité et de confidentialité acceptables. Tout appareil IoT devrait englober une gamme de fonctionnalités essentielles de sécurité et de confidentialité.

Préoccupations en Matière de Sécurité

Même si la BC est caractérisée par son immuabilité, son caractère sans confiance, sa décentralisation et sa résistance à la manipulation, la sécurité d'un dispositif basé sur la blockchain n'est aussi robuste que son point d'entrée. Dans les systèmes construits sur une BC publique, n'importe qui peut accéder aux données et les examiner. Bien que les blockchains privées puissent être une remède à cela, elles introduisent de nouveaux défis tels que la dépendance à un intermédiaire de confiance, la centralisation et les questions législatives entourant le contrôle d'accès. Fondamentalement, les solutions IoT facilitées par la blockchain doivent répondre aux critères de sécurité et de confidentialité. Ceux-ci incluent : garantir que le stockage des données est aligné avec les besoins de confidentialité et d'intégrité ; assurer une transmission sécurisée des données ; faciliter le partage de données transparent, sécurisé et responsable ; maintenir l'authenticité et la non-répudiation ; garantir une plateforme permettant une divulgation sélective des données ; et toujours obtenir le consentement explicite de partage des entités participantes.

Conclusion

La blockchain, une technologie au potentiel et à la promesse immenses, a été saluée comme un outil transformateur pour divers secteurs, y compris le vaste et en constante évolution paysage de l'Internet des objets (IoT). Grâce à sa nature décentralisée, la blockchain peut fournir une sécurité accrue, de la transparence et de la traçabilité – des fonctionnalités très prisées dans les implémentations IoT. Cependant, comme toute fusion technologique, la combinaison de la blockchain avec l'IoT n'est pas sans défis. Des problèmes liés à la vitesse, au calcul et au stockage, à la nécessité pressante de normalisation et à la résolution des vulnérabilités, il y a de multiples aspects qui nécessitent une attention. Il est essentiel que les acteurs des écosystèmes blockchain et IoT abordent ces défis de manière collaborative et innovante pour pleinement exploiter le potentiel synergique de cette union.