Le monde des appareils et machines IoT se divise en deux catégories : ceux qui disposent d'une puissance et d'une largeur de bande de connectivité abondantes et ceux dont le budget est beaucoup plus strictement limité. Mais ces deux catégories d'appareils ont les mêmes exigences en matière de sécurité.
La première catégorie ne donne pas la priorité aux économies d'énergie ou à l'efficacité des protocoles de communication. Ces appareils maîtrisent IP, TCP, TLS, HTTP, MQTT, etc., et n'ont aucune excuse pour ne pas utiliser des certificats X.509 et des adresses privées PKI pour sécuriser leurs communications. Voitures, machines industrielles, éoliennes, systèmes HVAC, passerelles, assistants domestiques et téléviseurs : leurs médias préférés sont l'Ethernet, le WiFi et la téléphonie cellulaire 4G/5G. Ces types d'appareils sont toujours connectés et prêts à interagir avec des serveurs distants, ce qui facilite la mise à jour de leur firmware chaque fois que cela est nécessaire.
Bien que la deuxième catégorie d'appareils ne dispose pas de la même puissance ou de la même connectivité que le premier groupe d'appareils, on les appelle toujours des appareils "intelligents". Elle comprend des appareils tels que les compteurs à piles, les thermostats domestiques intelligents, les traqueurs de biens ou d'animaux intelligents, les capteurs de cultures intelligents, les compteurs d'électricité intelligents connectés à un réseau cellulaire, et même les vélos ou scooters électriques. Ils ont tous en commun un besoin vital de s'intégrer dans un modèle économique strict où chaque coût a été soigneusement planifié. Par exemple, un compteur intelligent doit fonctionner avec la même batterie de 10 Ah pendant au moins 15 ans, car envoyer quelqu'un pour la remplacer ferait plus que doubler le coût total de possession. Prenons aussi le cas d'un vélo électrique : sa connectivité ne doit pas dépasser 12 Mo par mois, car c'est ainsi que le fabricant a négocié et prépayé son contrat de six ans avec l'opérateur de téléphonie mobile. Ces actifs tentent constamment d'optimiser tout ce qu'ils font. Ils se connectent à l'internet par WiFi, cellulaire LTE-M ou NB-IoT, LoRaWAN, BLE, SIGFOX, Zigbee, ou Thread mais doivent rester aussi silencieux que possible et s'endormir autant qu'ils le peuvent.
La conception de cette dernière catégorie d'appareils intelligents demande beaucoup de réflexion en raison de leur profil "bas" : silicium à faible coût et faible consommation, connectivité à faible largeur de bande, piles à faible empreinte mémoire et, plus récemment, faible impact sur l'environnement. Étant donné que ces appareils transmettent généralement des quantités moindres de données - de quelques octets à quelques centaines à la fois - ils doivent optimiser la manière dont ils se connectent à d'autres appareils ou serveurs. À cet égard, la pile TCP/TLS/HTTP, qui a été principalement conçue pour les pages web et la navigation sur internet, avec une taille moyenne de paquet de 1500 octets, n'est pas adaptée, car elle ajoute trop de surcharge à chaque couche.
C'est pourquoi raison, dans sa RFC7252 l'Internet Internet Engineering Task Force (IETF) a normalisés'est le protocole d'application Application Protocol (CoAP) comme une alternative efficace au protocole HTTP pour cette classe d'appareils. pour cette catégorie d'appareils. Il est accommodant à perte transmission de paquets et estpar conséquent, parfaitement adapté à l'UDPl'alternative plus légère à la couche de transport TCP.
Mais il est important de garder à l'esprit que dans ce contexte, un profil "inférieur" ne signifie pas "inférieur" ou "bon marché". Dans le passé, les appareils de faible puissance s'appuyaient sur des clés symétriques pré-partagées qui étaient maladroitement mises en service et jamais renouvelées car les certificats numériques étaient considérés comme trop lourds pour les appareils. Aujourd'hui, grâce aux progrès de la technologie et des protocoles, les certificats X.509 et les adresses privées PKI peuvent être utilisés dans les deux catégories, offrant aux appareils à ressources limitées la même sécurité que leurs homologues plus puissants utilisent actuellement.
Les normesMatter et WiSUN pour la maison intelligente et les compteurs intelligents, respectivement, illustrent parfaitement la manière dont une faible consommation d'énergie et une faible largeur de bande peuvent coexister avec une technologie de pointe PKI. En choisissant la cryptographie à courbe elliptique (ECC) plutôt que l'ancienne norme RSA, la taille d'un certificat X.509 peut être limitée à quelques centaines d'octets, ce qui est parfaitement adapté aux appareils limités.
Et en choisissant un PKI software ou un service qui permet l'enrôlement par transport sécurisé (EST - RFC7030) sur CoAP (EST sur CoAP), il est désormais possible d'obtenir des certificats initiaux uniques pour les appareils en toute sécurité à partir d'un site privé PKI et de les injecter dans les appareils au moment de la fabrication. En outre, il est possible de renouveler les certificats opérationnels des appareils par voie hertzienne, à volonté, pendant toute la durée de vie des appareils, sans avoir à concevoir un agent spécial de gestion du cycle de vie des certificats ni à consacrer des budgets d'alimentation et de connectivité à cette tâche. Désormais, l'inscription, la réinscription et le renouvellement sont tous gérés par des demandes et des réponses CoAP à destination et en provenance de PKI et sont sécurisés par DTLS.
KeyfactorLadernière version de EJBCA 8.0 introduit EST over CoAP pour prendre en charge l'inscription et le renouvellement des certificats des compteurs intelligents connectés WiSUN, NB-IoT, et LWM2M dans le site privé PKI du fournisseur d'électricité, d'eau ou de gaz. Jusqu'à récemment, les compteurs intelligents étaient protégés par des clés symétriques permanentes ou reposaient uniquement sur la sécurité partielle de leur connexion sans fil. Désormais, grâce aux certificats X.509 émis et gérés par les fournisseurs de services publics, ils peuvent garantir une authentification et une sécurité de bout en bout aux serveurs dorsaux de ces fournisseurs et accepter en toute sécurité les mises à jour occasionnelles des microprogrammes.
Découvrez comment les nouvelles fonctionnalités de EJBCA renforcent la sécurité des appareils IoT .
