Soutenance mémoire
Les équipements grand public connectés à Internet
Web 3.0
L’évolution constante des technologies, que nous avons en partie abordée dans l’introduction, existe également dans le monde du Web. En seulement quelques années, ce qui était initialement un ensemble de pages statiques sont devenues de réelles interfaces dynamiques et participatives. Afin de marquer cette évolution majeure, le terme “Web 2.0” a été introduit dès 2004. D’abord utilisé par tout un chacun sans réelle définition, il a rapidement été nécessaire d’en définir le sens. Plusieurs experts du domaine se sont livrés à l’exercice [52, 9] et ont proposé une définition. Celle qui semble le plus souvent citée est celle de Tim O’Reilly [80], que nous reportons ici littéralement :
Web 2.0 is the network as platform, spanning all connected devices; Web 2.0 applications are those that make the most of the intrinsic advantages of that platform: delivering software as a continually-updated service that gets better the more people use it, consuming and remixing data from multiple sources, including individual users, while providing their own data and services in a form that allows remixing by others, creating network effects through an “architecture of participation,” and going beyond the page metaphor of Web 1.0 to deliver rich user experiences. [79]
Ce que l’on peut retirer de cette définition est que le Web 2.0 tend à définir un Internet plus interactif et participatif, qui met l’individu au cœur du système [78]. L’ensemble des outils permettant de faciliter la collaboration et le partage d’informations sur Internet (les outils collaboratifs tels que les Wikis mais aussi tous les réseaux sociaux informatiques, à l’image de Facebook) font partie de ce Web 2.0. Ce terme et sa définition sont aujourd’hui globalement adoptés. Depuis, toute une nomenclature de versions a vu le jour, accentuant l’idée qu’on puisse définir différentes ères du Web. Sans discuter toutes les versions proposées, nous nous arrêtons sur l’introduction du “Web 3.0” [84]. En effet, du fait de son nom, elle laisse supposer une nouvelle version majeure. Les différentes définitions de ce nouveau terme apportent des aspects intéressants dans le contexte scientifique de cette thèse. Là ou le “Web 2.0” identifie les avancées d’un point de vue utilisation, le “Web 3.0” se focalise sur les évolutions structurelles et architecturales [88]. Ces évolutions se traduisent par des notions de “Web sémantique” et d’“Internet des Objets” [54].
Web sémantique
Le Web sémantique est un terme défini pour la première fois en 2001 [23]. Le Web sémantique y est défini comme une extension du Web actuel. Il s’agit d’une philosophie d’évolution des technologies du Web. Actuellement, les données sur le Web sont transmises de telle sorte que, seul un utilisateur peut les interpréter facilement (ex. : les horaires d’ouverture d’un magasin). Dans un Web sémantique, ces données sont transmises de telle manière qu’un ordinateur puisse les interpréter de manière autonome sans intervention humaine. Il s’agit d’offrir aux systèmes informatiques la même base de connaissances (et son interprétation) que celle qu’obtient un humain en analysant une page Web.
Internet des Objets
L’Internet des Objets, traduction littérale de l’anglais “Internet of Things” (IoT), est une expression apparue au début des années 2000 avec la création du laboratoire de recherche Auto-ID au MIT. À la même époque, des études de marché, notamment sur le commerce mobile [28], annoncent l’intégration d’une certaine intelligence dans des équipements grand public afin qu’ils soient capables de se connecter au contenu et commerce sur Internet. Dans [22], les auteurs proposent de définir l’Internet des Objets comme “un réseau de réseaux qui permet, via des systèmes d’identification électronique normalisés et unifiés, et des dispositifs mobiles sans fil, d’identifier directement sans ambiguïté des entités numériques et des objets physiques et ainsi de pouvoir récupérer, stocker, transférer et traiter, sans discontinuité entre les mondes physiques et virtuels, les données s’y rattachant”. Cette définition met en avant une interconnexion massive de tous les objets qui nous entourent, introduisant ainsi de nouveaux besoins d’identification et de communication. De plus, une notion d’ubiquité est introduite, ce qui donne tout son sens au besoin de données sémantiques, et ainsi le Web sémantique.
Globalement, on peut retenir, que le Web n’est plus uniquement un moyen d’échange homme / machine. Les objets de notre quotidien sont aujourd’hui connectés au Web, capables de communiquer avec nous, mais également capables de communiquer entre eux [29]. Les objets connectés et communicants (cf. section suivante) deviennent dès lors des acteurs primordiaux de l’Internet de demain.
Objets Intelligents
Les objets intelligents jouent un rôle essentiel dans l’Internet de demain. Dans cette section nous distinguons deux catégories d’objets intelligents.
Un objet communicant est un objet capable d’informer les équipements de son entourage sur son état. L’objet communicant n’effectue, en principe, pas de traitement sur les données qu’il envoie. Le premier objet communicant au monde est sans doute le distributeur de sodas à l’université de Carnegie Mellon dans le département informatique [96]. L’histoire raconte que la lassitude de se trouver face à une machine vide, ou remplie de sodas encore tièdes, a incité certains chercheurs de cette université à trouver une solution à ce problème. Quatre personnes ont alors installé des micro-capteurs à l’intérieur de la machine qu’ils ont reliés au serveur central de l’université. Ils ont alors développé un logiciel capable de calculer le nombre de sodas à l’intérieur de la machine ainsi que l’heure à laquelle chaque soda est arrivé dans la machine. Grâce à quelques capteurs, une carte électronique et du code informatique, cette machine était désormais capable de communiquer sur son état. Il existe aujourd’hui une multitude d’exemples d’objets communicants, jusqu’aux brosses à dents [65] ou les fourchettes communicantes [91]. Tous ces objets communicants sont capables d’informer l’utilisateur de l’état qui leur est propre. Ainsi, à l’aide d’une application mobile, les brosses à dents sont capables désormais d’informer l’utilisateur sur la durée et l’efficacité du brossage qu’il est en train de réaliser, alors que les fourchettes sont capables d’aider l’utilisateur à mieux manger. D’autres solutions [73] permettent, grâce à l’ajout de capteurs communicants, nommées “cookies”, de transformer n’importe quel objet du quotidien en objet communicant. Ces cookies intègrent des capteurs très précis capables de mesurer la température, l’humidité ou des mouvements très précis. Ainsi, accrochés à un arrosoir par exemple, ces cookies sont capables de déterminer si les plantes ont été arrosées. La précision des capteurs permet de différencier le mouvement d’un arrosage et celui d’un déplacement de l’arrosoir.
Objets connectés
Jusqu’à présent, nous avons uniquement abordé les objets communiquant sur leur état. Le traitement des données ou l’intelligence à proprement parler, se situe dans une application, souvent mobile, ou à l’intérieur d’un autre équipement connecté. Cette deuxième catégorie correspond aux objets connectés qui utilisent une connexion à Internet afin d’enrichir l’étendue de leurs fonctionnalités. Aujourd’hui, de nombreux équipements grand public deviennent connectés, comme par exemple, les téléviseurs ou les réfrigérateurs. Ces équipements remplissent toujours leur fonction d’origine (comme permettre de regarder des émissions télévisuelles ou conserver les aliments au frais) mais la connexion à Internet leur permet de proposer des services supplémentaires. Il est alors possible de regarder des émissions télévisées à la demande et de commander automatiquement ses courses lorsque les aliments à l’intérieur du réfrigérateur sont consommés. Ce dernier exemple est d’autant plus intéressant lorsque les aliments à l’intérieur du réfrigérateur sont capables de communiquer avec ce dernier, et sont de ce fait eux-mêmes des objets communicants. Dans ce cas précis, on suppose que les aliments sont dotés de capteurs [37, 47], capables de communiquer sur leur état (date d’achat, quantité, date de péremption, etc.). Ainsi, compte tenu de l’étendue et la variété des aliments (objets communicants) pouvant se trouver à l’intérieur d’un réfrigérateur, la sémantique des données, nécessaire à une co-habitation d’objets provenant d’origine et de constructeurs différents, prend ainsi, une nouvelle fois, tout son sens.
|
Table des matières
Introduction
1 Contexte scientifique & état de l’art
1.1 Définitions
1.1.1 La sûreté de fonctionnement
1.1.2 Les équipements grand public connectés à Internet
1.2 Caractérisation d’un objet connecté
1.2.1 Architecture générale
1.2.2 Entrées & Sorties
1.2.3 Système d’exploitation & applications
1.2.4 Environnement
1.3 Sécurité des équipements connectés
1.4 Travaux connexes
1.4.1 Critères de classification des attaques
1.4.2 Attaques depuis le domicile
1.4.3 Attaques logicielles depuis l’extérieur du domicile
1.4.4 Attaques physiques depuis l’extérieur du domicile
1.5 Contributions de la thèse
2 Méthode d’analyse
2.1 Analyse des risques
2.1.1 Les différentes normes
2.1.2 Méthodes d’analyse des risques pour les systèmes d’information
2.1.3 Identification & appréciation des risques
2.1.4 Discussion
2.2 Expérimentations
2.2.1 Observation passive
2.2.2 Simulation
2.2.3 Conduite d’attaque
2.3 Conclusion
3 Cas d’étude 1 : Unité d’accès intégrée & réseau d’accès
3.1 Analyse des risques d’une UAI
3.1.1 Contexte de l’étude
3.1.2 Étude des événements redoutés
3.1.3 Étude des scénarios de menaces
3.1.4 Étude des risques
3.2 Etude comparative des UAI
3.2.1 La boucle locale
3.2.2 Plateforme d’écoute sur une boucle locale
3.2.3 Résulats de l’étude comparative
3.3 Exploration des faiblesses
3.3.1 Simulation d’un fournisseur de services sur Internet
3.3.2 Conduite d’attaque
3.4 Compétences et vraisemblance : discussion
3.5 Conclusion
4 Cas d’étude 2 : Téléviseur connecté & réseaux d’accès
4.1 Analyse des risques d’un téléviseur connecté
4.1.1 Contexte de l’étude
4.1.2 Étude des événements redoutés
4.1.3 Étude des scénarios de menaces
4.1.4 Étude des risques
4.2 Le canal TV
4.2.1 Observation du flux DVB
4.2.2 Plateforme de simulation DVB-T
4.2.3 Simulation
4.3 Le protocole HbbTV
4.3.1 Observation du protocole HbbTV
4.3.2 Simulation du protocole HbbTV
4.3.3 Tentative d’attaque sur le protocole HbbTV
4.3.4 Contenu des pages HbbTV
4.3.5 Respect de la politique de la même origine
4.3.6 Exploitation du non respect de la politique de la même origine
4.3.7 Vérification du navigateur intégré
4.4 Procédure de mise à jour de firmware
4.4.1 Observation des procédures de mise à jour
4.4.2 Simulation des procédures de mise à jour
4.5 Vie privée
4.5.1 Première étude : identification de l’activité de l’utilisateur
4.5.2 Deuxième étude : connexion de périphériques de stockage
4.5.3 Troisième étude : utilisation et stockage des cookies
4.6 Conclusion
Conclusion
