Security for IoT
HACKING REALITY - JULIEN SEBIRE
Architecture
Sécurité
La triade de la sécurité
Disponibilité
Intégrité
Confidentialité
Traçabilité
Les risques
Menaces
Vulnérabilités
Risques
OWASP Top 10 vulnerabilities
https://owasp.org/www-project-internet-of-things/
https://wiki.owasp.org/index.php/OWASP_Internet_of_Things_Project#tab=
IoT_Top_10
La cryptographie
Algorithme Symétrique
Algorithme Asymétrique
Algorithme Symétrique
Algorithme Asymétrique & PKI
Cryptographie et son utilisation dans
la sécurité des objets connectés
Authentification IoT – Serveur
Authentification Serveur – IoT
Gestion des clés de sécurité
Sécurité opérationnel pour les IoT
Future proof design
Installation sans modification (plug & play)
Backup
Mise à jour à distance & vérification de la signature AVANT l’installation
Gestion des vulnérabilités
Durcissement
Comptes utilisateurs inutiles enlevés
Services réseaux inutiles désactivés
Interface hardware inutiles désactivées
Limitation des accès en lecture en mémoire
MPU (Memory Protection Unit)
ASLR (Address Space Layout Randomization)
Sécurité des communication
Protection de la confidentialité & de l’intégrité des communications
réseaux sur l’interface WAN
La sécurité pendant le développement
Mise en place des bonnes pratiques de sécurité pour le développement
Mise en place d’un processus de test de sécurité pendant le
développement
Test de robustesse
Analyse des interfaces web
Scan de vulnérabilités
Faire tester son application par une entreprise de sécurité
La sécurité pendant le développement
Initialisation de la configuration de la sécurité
Les contrôles d’accès et mesures de sécurités ont bien étés activés
Clés uniques pour l’installation
Gestion des vulnérabilités
Surveillance des bases de données de vulnérabilités
Liste des librairies utilisées dans l’IoT
Design fail secure
Protection des informations de sécurité, clés, données critique, access bypass
Capacité de restoration
Exercice: Analyse de sécurité
1. Aquarium casino
2. 50 000 Imprimantes YT
3. Jeep control
4. Objets connectés dans le monde du médical
5. Fake Nuclear attack
6. App Révèle la localisation d’une base militaire
1
8
Analyse de sécurité
(1) https://www.businessinsider.com/hackers-stole-a-casinos-database-through-a-
thermometer-in-the-lobby-fish-tank-2018-4?r=US&IR=T
(2) https://www.secureworldexpo.com/industry-news/printer-hacking-attack-example
(3) https://www.youtube.com/watch?v=RZVYTJarPFs
(4)https://www.informationweek.com/partner-perspectives/bitdefender/hacking-
vulnerable-medical-equipment-puts-millions-at-risk/a/d-id/1319873
(5)https://www.mercurynews.com/2019/01/21/it-was-five-minutes-of-sheer-terror-hackers-
infiltrate-east-bay-familys-nest-surveillance-camera-send-warning-of-incoming-north-
korea-missile-attack/
(6)https://www.theguardian.com/world/2018/jan/28/fitness-tracking-app-gives-away-
location-of-secret-us-army-bases
1
9
Merci de m’avoir écouté
