Pourquoi la fabrication sans confiance est essentielle pour créer des dispositifs de confiance sur le site IoT

The internet of things (IoT) has arrived, and so have a host of security challenges along with it.

Malgré la complexité des chaînes d'approvisionnement, les attaquants disposent de nombreux moyens pour compromettre un appareil, la sécurité est souvent ajoutée en tant que fonctionnalité plutôt que d'être un élément essentiel conçu dès le début du cycle de vie d'un produit.

Il est temps de changer cette approche. Et tout commence par une fabrication sans confiance.

Pourquoi la fabrication sans confiance est importante, en particulier dans le monde IoT

The more supply chain partners involved in the manufacturing process, the less you can trust that elements like hardware, firmware, and credentials haven’t been altered. As a result, all manufacturers must take a “zero trust” approach to security, especially those that produce IoT devices given the ultra complexity of their supply chains.

What is zero trust manufacturing? Zero trust manufacturing is an approach to manufacturing

trustworthy devices along a supply chain that inherently can’t be trusted. It’s not achieved by any single technology; rather, it describes an approach to designing, manufacturing, testing, and delivering products that can be trusted by the owner.

Il est important de noter que la fabrication sans confiance englobe de nombreux concepts, notamment la sécurité basée sur hardware, la sécurité intégrée, l'infrastructure à clé publique (PKI), la gestion du cycle de vie des clés et des certificats, la fiabilité des appareils, la signature des codes et l'authentification. 

Why does zero trust manufacturing matter? According to Global Market Insights, the market for electronic manufacturing services (EMS) is expected to grow from $500 billion in 2019 to $650 billion by 2026. The EMS market comprises global companies that design, manufacture, test, distribute and provide return/repair services for electronic components and assemblies for original equipment manufacturers (OEMs). This means even more parties will be involved in the manufacturing process, which creates even more opportunities for security gaps.

La fabrication sans confiance permet également aux équipementiers de confier plus rapidement la fabrication en sous-traitance à des entreprises sur l'ensemble du marché EMS, offrant ainsi un avantage concurrentiel significatif qui permet d'accélérer la mise sur le marché, de minimiser les risques de production et de maintenir la compétitivité en termes de coûts.

Les défis communs en matière de sécurité ne font que renforcer la nécessité d'une fabrication sans confiance.

Si l'on va plus loin, on constate que plusieurs problèmes de sécurité courants renforcent la nécessité d'une fabrication sans confiance, en particulier pour les fabricants de IoT .

Les fabricants sont victimes d'une série de cyberattaques et de failles de sécurité débilitantes, et nombre de ces attaques font appel à des moyens sophistiqués pour voler les informations d'identification. Selon le rapport Verizon 2020 Data Breach Investigation Report, 45 % des violations impliquent un piratage, et 80 % d'entre elles font appel à la force brute ou à l'utilisation d'identifiants volés. 

Stolen user and device credentials, including private keys and digital certificates, are typically the basis for these attacks and directly affect businesses. In a study by the Ponemon Institute, sponsored by Keyfactor, 92% of organizations experienced at least one certificate-related outage in the past 24 months and 81% of organizations experienced multiple disruptive outages due to expired certificates.

Par conséquent, la protection et la gestion des clés privées et des certificats numériques dans le cadre d'une approche de confiance zéro sont essentielles pour protéger les appareils et les applications contre les attaques sophistiquées tout au long de la chaîne d'approvisionnement. Parmi les menaces et les vulnérabilités les plus courantes sur le site IoT contre lesquelles une approche de confiance zéro peut aider à se protéger, on peut citer les suivantes :

• Man-in-the-middle attacks: An attack in which hackers use stolen credentials to impersonate a user and modify information.
• Root CA impersonation: An attack in which hackers authenticate rogue devices and users on a network by compromising the root Certificate Authority (CA).

• Unauthorized firmware updates: An attack in which hackers compromise code signing credentials to modify firmware.
• IP theft and counterfeiting: An attack in which hackers use compromised credentials to steal intellectual property and bring counterfeit products to market.

Meilleures pratiques pour la fabrication sans confiance

Heureusement, la mise en œuvre de la fabrication sans confiance et la gestion appropriée de tous les composants qui en font partie, tels que PKI, la gestion du cycle de vie des certificats et la sécurité intégrée, peuvent contribuer à éviter les attaques telles que celles mentionnées ci-dessus. En cours de route, les fabricants peuvent tirer profit de plusieurs bonnes pratiques :

• Hardware-based security: Introducing device-based, tamper-resistant hardware secure elements creates a trustworthy root of trust.
• On-device key generation: Generating and storing private keys securely on a device means it can attest to its own identity.
• PKI management: Automating PKI and certificate lifecycle management can ensure standardized operations and avoid outages.
• Secure communication with end-to-end encryption: Implementing encrypted SSL/TLS or IP VPN communications ensures data privacy.
• Secure bootstrap certificate: Replacing the initial bootstrap certificate with an updated certificate ensures the device boots up with the intended firmware.

• Enable mutual M2M authentication: Implementing strong user access controls and machine-to-machine (M2M) mutual authentication provides two-way verification.
• Centralized code signing: Ensuring firmware updates are signed by the developer and authenticated by the device avoids compromising situations.

Comment les fabricants de toutes les industries bénéficient déjà de la fabrication sans confiance

Compte tenu de la valeur que la fabrication sans confiance peut apporter, à quoi ressemble cette pratique dans la pratique ? Examinez les cas d'utilisation présentés par des fabricants de trois secteurs d'activité différents :

Soins de santé

L'essor des dispositifs médicaux connectés en réseau a exigé une authentification plus forte, car la falsification peut entraîner de graves problèmes, dont le moindre n'est pas le préjudice causé au patient. Par conséquent, les fabricants de dispositifs médicaux doivent être en mesure d'authentifier et d'autoriser toutes les personnes susceptibles d'accéder, de gérer et de faire fonctionner n'importe quel point de la chaîne de fabrication. Une fois le dispositif livré, la sécurité doit être gérée de manière tout aussi stricte, car le propriétaire du dispositif doit être en mesure de s'assurer que l'opérateur ne peut pas compromettre l'intégrité du dispositif ou accéder à des clés secrètes qui permettraient de le contrefaire.

Utilitaires

À mesure que les réseaux des compagnies d'électricité fusionnent leurs systèmes de contrôle des technologies opérationnelles et leurs réseaux informatiques pour une communication plus efficace, un meilleur accès à distance et une gestion plus efficiente, ils ont dû supprimer les pare-feux traditionnels qui entouraient leurs réseaux. Cette situation a créé le besoin d'identifier et d'authentifier de manière unique les utilisateurs et les appareils sur le réseau, étant donné que de nombreux systèmes et appareils utilisés sont essentiels à la mission et que leur mauvaise utilisation peut avoir des conséquences économiques massives, voire entraîner la mort.

Transport

Les progrès réalisés dans le domaine de la fabrication ont transformé les véhicules en appareils électroniques connectés. Ces véhicules doivent communiquer avec un réseau étendu de capteurs ainsi que directement avec les humains, ce qui nécessite la capacité de s'authentifier positivement à des moments clés du cycle de vie. Par exemple, lors de la connexion à un réseau de recharge électronique, le réseau doit être en mesure d'authentifier le véhicule, l'utilisateur et la méthode de paiement utilisée pour l'achat de la recharge.

C'est maintenant qu'il faut se lancer dans la fabrication sans confiance.

The manufacturing supply chain has become increasingly complex, and with the continued explosion of IoT devices, this shift will only continue. To successfully navigate this complexity, manufacturers must ensure security at every step of the way. And the only way to do so effectively is to take a zero-trust approach.

Vous voulez en savoir plus sur ce qu'il faut faire pour adopter la fabrication sans confiance ? Téléchargez notre livre blanc intitulé " How to Navigate Complex Supply Chains to Build Trusted IoT Devices" (Comment naviguer dans des chaînes d'approvisionnement complexes pour créer des dispositifs fiables).