Il sera peut-être bientôt possible d’activer les appareils électroniques à distance en vue d’une captation de son d’image, notamment les téléphones portables. C’est en tout cas ce que propose l’article 3 du projet de loi et de programmation du ministère de la Justice 2023/2027 déposé au Sénat le 3 mai 2023.
Une possibilité qui inquiète le Conseil de l’ordre du Barreau de Paris : « Cette possibilité nouvelle de l’activation à distance de tout appareil électronique dont le téléphone portable de toute personne qui se trouve en tout lieu constitue une atteinte particulièrement grave au respect de la vie privée qui ne saurait être justifiée par la protection de l’ordre public » – cette possibilité est évoquée ici uniquement dans le cadre d’enquêtes judiciaires.
Des smartphones aux montres, des assistants vocaux aux réfrigérateurs, les objets de notre entourage sont de plus en plus « intelligents » et connectés. Ces objets connectés captent des informations dans leur environnement immédiat et peuvent les transmettre via des réseaux sans fil à Internet – ce que l’on appelle « internet(s) des objets ».
Ces objets sont une ressource importante de données sur notre vie privée. Difficile pour chacun d’entre nous d’imaginer la quantité d’informations qu’ils collectent : les smartphones connaissent par exemple nos géolocalisations, temps d’éveil, consommations électriques, nombres de pas quotidien, calories dépensées, niveaux de stress. Ils transmettent ces informations pour qu’elles soient exploitées, en théorie afin d’améliorer notre quotidien.
Mais pour améliorer notre quotidien, il doit être connu le mieux possible, et ce quotidien, c’est aussi notre vie privée. Par exemple, les trottinettes électriques donnent notre position et peuvent donner accès à notre identité numérique via l’abonnement qu’elles requièrent. Les données collectées par une voiture moderne peuvent renseigner sur nos comportements de conducteur, qui peuvent en dire long sur nous.
Si l’activation à distance d’un objet connecté est sur le devant de la scène aujourd’hui, c’est pourtant un vecteur d’attaque déjà pointé du doigt par Symantec en 2019. On connaissait par exemple la vulnérabilité « blueborne » qui permettait à un attaquant de prendre la main sur smartphone via la connexion Bluetooth, pour par exemple prendre et rapatrier des photos.
Ainsi, non seulement les objets connectés collectent de nombreuses données, mais elles peuvent potentiellement être collectées et transmises à notre insu.
Comment protéger sa vie privée à l’époque des objets connectés ?
Une partie de la sécurisation des objets connectés dépend de nous, utilisateurs, si l’on prend le temps de paramétrer les informations collectées par ces objets connectés, par exemple en refusant aux applis de santé la remontée des données dans le cloud, en enlevant la géolocalisation par défaut ou en éteignant le Bluetooth dès que l’on n’en a plus besoin.
Mais une partie nous échappe et nous échappera toujours, car elle dépend uniquement des entreprises de l’internet des objets. En effet, le cœur des objets connectés et les réseaux qu’ils utilisent sont des boites noires, contrôlées par les fabricants. Par exemple, avant nous pouvions nous assurer du silence de notre smartphone en lui enlevant sa batterie, mais ce ce n’est plus le cas aujourd’hui, du moins plus de manière simple et accessible. C’est pour cela que les régulations sont si importantes.
C’est bien pour « veiller à ce que les fabricants améliorent la sécurité des produits comportant des éléments numériques depuis la phase de conception et de développement et tout au long du cycle de vie » que l’Union européenne a rédigé le Cyber Resilience Act ; mais mettre en place ces exigences est compliqué, long et coûteux – notamment pour les PME, en raison des coûts de cette mise en œuvre.
[Plus de 85 000 lecteurs font confiance aux newsletters de The Conversation pour mieux comprendre les grands enjeux du monde. Abonnez-vous aujourd’hui]
Des efforts sont également faits pour standardiser la sécurité en Internet des objets, par les entreprises et les institutions, et les enjeux de sécurité restent un sujet de recherche permanent.
Dans un sens, est-ce que protéger sa vie privée ne passerait pas aussi par plus de sobriété numérique ? Limiter l’usage du numérique aux cas où il est réellement pertinent, c’est faire preuve de sobriété numérique, mais c’est aussi faire preuve de sobriété de données (et donc aussi d’énergie)… et c’est donc ainsi protéger sa vie privée.
Quels sont les risques de sécurité de l’internet des objets ?
Pour comprendre les risques introduits par l’internet des objets, il faut se référer à l’architecture en quatre couches qui le caractérise et qui sont chacune sujette à des vulnérabilités de sécurité : couche détection, couche réseau, couche service et couche application.
On isolera ici les menaces qui pèsent plus particulièrement sur les données qui relèvent de la vie privée, à savoir essentiellement la perte de confidentialité et la perte d’intégrité (donnée modifiée).
On pourrait penser que la vie privée est uniquement menacée par la perte de confidentialité, à savoir par le fait que certaines données vous appartiennent et ne devraient pas être accessibles à un tiers non autorisé – par exemple les données médicales (qui correspondent au niveau digital au principe du secret médical).
Mais la vie privée est aussi menacée par de fausses informations, comme les deepfakes dans lesquels des selfies sont utilisés pour créer des scènes pornographiques à des fins de chantage par exemple.
Au final, si les données se revendent sur le dark web, c’est bien parce qu’elles permettent d’en savoir plus sur notre intimité et qu’au-delà de simplement nous dévoiler, elles deviennent un levier pour faire pression sur nous, extorquer des informations ou de l’argent.
D’où viennent ces risques ?
Les risques qui pèsent sur la confidentialité et l’intégrité se retrouvent sur les quatre couches qui définissent l’internet des objets.
La couche détection correspond à l’interaction de l’objet avec le monde physique (l’objet lui-même, ses capteurs et actionneurs) : montre, pacemaker, pompe à insuline, ou téléphone notamment. Cette couche permet d’acquérir les données qui seront ensuite transmises pour être utilisées.
On pourrait comparer la couche suivante, la couche réseau, à un ensemble de moyens de locomotion (réseau ferré, avions, bus, voitures) dont les informations seraient les passagers. Nous comprenons tout de suite la complexité de synchroniser des milliards de passagers sur tous les transports disponibles pour les emmener de leur point de départ à leur point d’arrivée sans encombre, surtout s’ils changent de moyens de transport pendant leur voyage (à pieds jusqu’à la gare, puis le train, puis l’avion, puis encore le train). Cette couche permet de transmettre l’information de la couche détection vers la couche service où elle sera prise en charge.
Pour notre passager en voyage, la couche service est semblable à son hôtel de destination (stockage) et autour duquel il trouvera tous les services utiles : magasins, restaurants, cinémas, etc. Cette couche contient donc l’ensemble des services permettant l’extraction de l’information du trafic réseau, son prétraitement (nettoyage, lissage, complétion…) et son stockage.
Et finalement la couche application est la couche qui permet à l’utilisateur d’interagir avec les objets connectés. C’est par exemple l’application mobile ou le portail Internet qui permet de piloter sa domotique (éclairage, température, volets, etc.).
Compromettre la confidentialité de données
Rompre la confidentialité peut résulter du clonage d’un objet à la couche détection : sur le clone d’un smartphone, on voit tout ce qui se passe sur l’original et on accède à son contenu.
Il est également possible de détourner un trajet sur la couche réseau pour emmener l’information envoyée par l’objet vers un nouveau point, où l’on peut y accéder facilement (détournement de routage).
En accédant directement à du contenu stocké dans un serveur par la couche service, ou bien en usurpant un compte d’accès au niveau de la couche application, il est possible d’avoir directement accès aux données. On connaît de nombreux cas et techniques d’exfiltration de données depuis le cloud par exemple – cloud dont le rapport à la donnée privée pose de nombreuses questions.
Plus subtile : la perte d’intégrité
Au niveau de la couche détection, on cherche par exemple à tromper les capteurs, comme en piégeant les IA embarquées dans des véhicules pour reconnaître les panneaux de signalisation et plus largement on pourrait attaquer massivement les capteurs en réseau qui se développent dans l’internet des objets.
Sur la couche réseau, transmettre de fausses informations est plus trivial, par exemple en volant l’identifiant unique de l’objet sur le réseau, et en l’attribuant à un autre objet – qui peut alors transmettre des informations en se faisant passer pour l’autre.
La couche service prend en charge la manipulation de l’information et son stockage, et on peut facilement introduire des comportements dans ces services qui nuisent à l’intégrité des données.
Enfin, au niveau de la couche application, avec un compte « à privilège », on peut accéder directement aux données et les modifier.
La sécurisation de l’internet des objets reste une tâche difficile, vu la complexité du système en question, en particulier celle de la couche réseau.
Finalement, pour aider à protéger la vie privée actuellement, la meilleure solution reste l’information et la sensibilisation : il faut que chacun connaisse ce qu’il utilise, afin de le faire en toute conscience. Et bien sûr, suivre une politique de sobriété numérique ne peut être qu’un plus.