Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Paris Identity Tech Talk IoT

425 views

Published on

Mes objets sont connectés ! Quels points clés dois-je respecter lors du design de l’objet et de l’architecture IoT pour ne pas me retrouver fournisseur de chair à botnet ?

Published in: Internet
  • Login to see the comments

  • Be the first to like this

Paris Identity Tech Talk IoT

  1. 1. Identity tech talk Meetup #2 19 janvier 2016| Bertrand Carlier
  2. 2. confidentiel | © WAVESTONE 2 Internet of Things
  3. 3. confidentiel | © WAVESTONE 3 Beaucoup d’idées d’objets connectés, pas tout le temps très heureuses Quelques erreurs emblématiques & un potentiel de nuisance déjà démontré (eg. botnet Mirai) Des retours d’expérience encore peu nombreux mais quelques recommandations & checklists commencent à apparaitre: › BITAG › OWASP › Cloud Security Alliance › Online Trust Alliance (orienté utilisateur final) › Tout plein de blogs › Ce meetup ;-) Que donne la checklist idéale ? › Firmware » Current, up-to-date & actively maintained software/librairies » Allow updates › General security design » Encrypt communications & local storage » Close unnecessary ports » Design for failure » Resilience to Internet connection down with « fail safe & secure » › Identity-oriented » Mutually authenticate communications to and from the device » Design unique & updatable credentials per device » Reset mechanism Le contexte IoT en quelques mots Tout le monde en parle et très peu le font vraiment…
  4. 4. confidentiel | © WAVESTONE 4confidentiel | © WAVESTONE 4 IOT Reference Architecture (Gartner) Sécuritédebout-en-bout Trouver le bon équilibre entre sécurité, ergonomie utilisateur & facilité/coût de conception/fabrication Mot de passe vs. Certificat vs. Chip Appairage et cycle de vie de l’objet Pas forcément du HTTP / REST / API comme on aimerait Protocoles & transport économes en bande passante, « déconnectés » (eg. MQTT, SigFox/LoRa) Modèle de données IoT Modéliser les relations objets/capteurs/utilisateur/service Respecter un principe de cloisonnement Protocoles « edge-to-cloud » Gérer les identités multiples, achat/revente Gérer les objets « idiots » et/ou sans écran Authentification des objets Internet of Things Connecting the physical and the digital Edge Capteurs et actionneurs Passerelle IOT Platform Authentification des appareils Passerelle Gestion des appareils Edge Data persistance Data Analytics Event processing et orchestration Enterprise Passerelle API Application servicesAnnuaire utilisateurs
  5. 5. confidentiel | © WAVESTONE 5 Un retour d’expérience concret (1/2) Objet connecté dans le contexte smartHome 1. Chaque objet possède un identifiant unique Mot de passe généré aléatoirement 2. Aucune confiance accordée par défaut à l’objet Un appairage préalable est requis avant toute action 3. Cloisonnement des données Les données accédées (RW) par l’objet sont uniquement celles de l’utilisateur appairé 4. Connexion sortante uniquement L’objet ne peut contacter que son vaisseau-mère (seule AC dans le truststore) 5. Mode rescue désactivé Pas de possibilité d’esporter/importer un firmware, y compris localement 6. Signature des firmwares Vérification de la signature du binaire avant application Sans un audit de sécurité, ces principes de sécurité risquent de rester uniquement des voeux pieux !
  6. 6. confidentiel | © WAVESTONE 6 Toutes les communications sont authentifiées mutuellement / Via TLS mutuel pour quelques échanges cloud-to-cloud / Via TLS simple + mot de passe (~basic auth) pour quelques systèmes legacy (ou API Key, etc.) / Via des jetons Oauth pour la plupart des échanges › Authentification machine-to-machine › Authentification user Un retour d’expérience concret (2/2) Objet connecté IDP Oauth/OIDC MQTT broker Objet virtuel API Gateway API Partenaire w/ IdP SI métier API météo (ie. Yahoo) Password over MQTT+TLS Oauth device flow JWT bearer profile
  7. 7. wavestone.com @wavestone_ Bertrand CARLIER Senior Manager M +33 (0)6 18 64 42 52 bertrand.carlier@wavestone.com riskinsight-wavestone.com @Risk_Insight securityinsider-solucom.fr @SecuInsider
  8. 8. PARIS LONDON NEW YORK HONG KONG SINGAPORE * DUBAI * BRUSSELS LUXEMBOURG GENEVA CASABLANCA LYON MARSEILLE NANTES * Partenaires stratégiques PARIS LONDRES NEW YORK HONG KONG SINGAPORE * DUBAI * SAO PAULO * LUXEMBOURG MADRID * MILAN * BRUXELLES GENEVE CASABLANCA ISTAMBUL * LYON MARSEILLE NANTES * Partenariats

×