L'étude de l'internet des objets et contrôle d'accès aux données.

IV.3. Contrôle de flux d'accès

La sécurité d'un système informatique a pour but la protection des ressources, incluant les données et programmes, contre la révélation, la modification ou la destruction accidentelle ou malintentionnée, tout en garantissant l'accès pour les utilisateurs légitimes. Pour assurer la sécurité, plusieurs techniques sont employées dont le contrôle d'accès, le chiffrement et la cryptographie. Dans le cadre de notre travail, nous nous intéressons au contrôle d'accès, qui est un processus permettant de contrôler les tentatives d'accès afin de garantir les propriétés de sécurité suivantes : la confidentialité, l'intégrité et la disponibilité de service.

Le contrôle d'accès, les sujets et les objets

Les techniques de contrôle d'accès sont utilisées dans des systèmes dont on veut protéger les ressources. Plusieurs entités entrent alors en jeu :

Les objets sont des entités passives qui contiennent des informations, ils représentent les éléments du système qui doivent être protégés.

Les entités actives qui manipulent les objets sont appelés sujets. Ces derniers possèdent des autorisations `droits d'accès) sur les objets et demandent d'y accéder. Un sujet peut être considéré en tant qu'objet puisqu'il est susceptible d'être manipulé par un autre sujet^19(*).

IV.3.1. Technique de contrôle d'accès

Internet des Objets emploie deux techniques de contrôle d'accès aux données, notamment : l'Authentification et l'Identification.

Dans le contexte des systèmes de contrôle d'accès des objets connectés, et en fonction de la technologie choisie, la phase dite d'identification et authentification peut se réduire à l'identification du badge, ou à l'identification et l'authentification du badge seulement.

a. L'Authentification

L'authentification est le processus de confirmation d'une identité, ou est le fait de prouver son identité par une quelconque méthode, qu'elle soit choisie ou imposée. Cette opération intervient juste après l'identification. Elle peut utiliser plusieurs moyens, information que seuls nous connaissons (mot de passe), une autorité tierce (carte d'identité), ou encore des moyens biométriques.

L'authentification vise à prouver que toutes les entités sont bel et bien ce qu'elles affirment être. Cela permet de s'assurer que les communications sont uniquement transmises au destinataire prévu ; l'authentification rassure complètement le destinataire sur l'origine de la communication. Dans l'univers de l'Internet des Objet, plusieurs scénarios sont possibles : authentification des appareils sur les services cloud, des utilisateurs sur les appareils, des objets sur des objets... en fait, toute entité sur n'importe quelle autre.

L'Internet des Objets exige une approche éprouvée et musclée pour maintenir la sécurité, la confiance et la confidentialité des données dans l'écosystème.Interopérable et basée sur des standards, l'infrastructure PKI est une technologie fondatrice qui a fait ses preuves. Elle propose des fonctions de sécurité des données essentielles comme l'authentification, la confidentialité et l'intégrité des données. L'infrastructure PKI s'adapte facilement pour répondre aux besoins de l'Internet des Objets en termes de vélocité, de diversité et de volumes. Plusieurs modes d'implémentation sont possibles pour intégrer une PKI à votre solution. Les plus fiables incorporent cependant une PKI (Public Key Infrastructure) basée dans le cloud avec un dispositif cryptographique matériel côté équipement, tel une puce TPM ou tout autre dispositif similaire.

L'activation d'identités fortes au niveau matériel protège contre l'usurpation d'identité et la compromission des clés qui mettraient en danger l'ensemble du système interconnecté. Si un changement se produit, tout l'écosystème en est avisé et les administrateurs peuvent réagir en conséquence.

a.1. Mot de passe

A l'heure où l'Internet des Objets met en ligne des milliards de nouveaux appareils, services et applications, la possibilité de surveiller et d'authentifier les utilisateurs en continu pendant qu'ils utilisent les services d'une entreprise deviendra un véritable avantage commercial. Il est nécessaire d'utiliser une plate-forme de gestion des identités qui applique l'identité contextuelle, le risque adaptatif et l'authentification multifactorielle lors de l'authentification, mais aussi à tout moment pendant une session. Ce type d'approche sécuritaire continue sera largement adopté sur le marché et deviendra la nouvelle norme, car il garantit l'authenticité des utilisateurs, des appareils, des objets et des services à tout moment et peut réduire les risques lors de la détection d'une anomalie, même au cours de sessions existantes.

a.2. La Protection de Sécurité Chip-To-Cloud

La plupart des chaînes de données s'étalent à présent sur tout le spectre allant des puces au cloud en passant par l'équipement et le réseau (ainsi que toutes les autres étapes intermédiaires), et de nombreuses organisations commencent à réaliser qu'une approche fragmentée de la protection n'est tout simplement pas efficace. Ceci encourage l'adoption de plus de stratégies de sécurité de type "chip-to-cloud". Dans ce modèle, tous les objets pouvant être connectés sont sécurisés dès l'instant où ils arrivent en ligne, ce qui signifie que leur identité est immédiatement authentifiée. Ce faisant, l'approche élimine toutes les opportunités qu'ont des pirates pour usurper l'identité d'objets non sécurisés, et de compromettre ainsi l'ensemble de la chaîne de données via un seul point d'entrée.

a.3. Délégation de Gestion aux Utilisateurs

Des objets intelligents et connectés émergent à un rythme rapide et davantage d'utilisateurs veulent profiter de services qui leur simplifieront la vie. Mais pas au prix de leur vie privée et de leur sécurité. Les organisations qui réussissent savent qu'elles ont besoin de bâtir la confiance des clients pour générer de nouvelles opportunités en donnant aux utilisateurs le pouvoir de fusionner des données pour créer de la valeur avec des flux de données précis à la minute près, notamment en matière de santé, de foyer intelligent, de géolocalisation et autres sources. Elles réfléchissent aux moyens de bâtir des fonctionnalités de délégation et de consentement assez vite pour satisfaire leurs clients, les entreprises, et le paysage réglementaire en évolution constante. Et elles savent qu'elles doivent réaliser tout cela avec une architecture qui évolue pour prendre en charge des millions de consommateurs et de collaborateurs pouvant gérer leurs propres autorisations. L'accès géré par les utilisateurs (UMA - User Managed Access) rend tout cela possible. Cette nouvelle norme devient à présent disponible et ceux qui l'adoptent de façon précoce pourront construire une relation bien plus solide avec leurs clients, basée sur la confiance et sur les avantages mutuels.

* ¹⁹ Anal HADDAD, Modélisation et Vérification de Politiques de Sécurité,Master2 Recherche Systèmes d'Information, Université Joseph Fourier, Paris, 2005, P.2.