Pour Valtech, le jeu peut aider à comprendre les enjeux de sécurité de l'IoT. Hier matin, nous avons participé à un test grandeur nature de Serious Game.
La sécurité des objets connectés est primordiale. Tout le monde le répète constamment, notamment Gartner qui hisse cette problématique à la tête de son top 10. La montée en puissance des pirates informatiques provoque la peur et l'imagination de Motherboard, la filiale de Vice, qui fantasme des grille-pains futuristes qui récolteront les données utilisateurs. Pour faciliter cette étape avant l'industrialisation Valtech, une agence de formation et de marketing digital, utilise le Serious Game en direction des développeurs.
Ce concept se sert des règles d'un jeu pour former des employés dans un domaine particulier. Les simulateurs de vol et de conduite en font partie, mais il y a d'autres types d'expériences menés autour de cette activité de prime abord ludique.
La Smart City comme terrain d'expérimentation
La session à laquelle nous avons participé mardi matin se basait sur un cas pratique, le prototype d'un module connecté conçu pour s'intégrer dans la Smart City. Le matériel devant nous compose un écosystème, un vrai projet IoT propulsé par Valtech nommé « IoT for a better life ».
Le but est de connecter des modules capables de mesurer la pollution ambiante. Expérimentés à Toulouse, les capteurs collectent des informations sur la qualité de l'air et du son. Branché sur une carte Arduino, un dispositif mesure le dioxyde de carbone présent dans l'air, un autre la température ambiante et un troisième n'est autre qu'un microphone qui remonte des données brutes afin de constater la pollution sonore.
Dans ce projet, les modules sont installés par les services de la ville, des entreprises ou des particuliers. Ceux-ci communiquent en réseau maillé avec une passerelle via des puces Xbee. Elles utilisent le protocole Zigbee. La passerelle elle-même fait transiter les informations par le réseau IoT Sigfox jusqu'à un ordinateur qui renvoie les données au tableau de bord fourni par l'entreprise Actoboard. Puis le tout est récupéré dans le Cloud d'AWS, la célèbre filiale d'Amazon.
D'apparence simple, « IoT for better life » pose un certain nombre de problèmes. La phase expérimentale montre des failles matérielles, mais pose aussi des questions en termes de développement. Il faut dire que Valtech commence tout juste à penser la sécurité dans son dispositif connecté.
Dans le but de mêler Serious Game et sécurité dans l'IoT, Valtech a donc fait appel à des participants via Meetup. la société les invitent à jouer au jeu de cartes de son cru : IoT Threats. Les personnes intéressées provenaient majoritairement du monde du développement informatique et web, comme Yvan, un Ingénieur développeur chez Orange :
« Je me suis déjà intéressé au jeu de cartes développé par Microsoft, « Elevation of privilege ». L'utilisation des jeux permet un décalage, ce qui invite à penser différemment et imaginer des solutions auxquels on n'aurait jamais pensé.«
Un cas pratique formateur
Mais avant de placer ses cartes, il est nécessaire de décrire l'objet de ce petit jeu. Après avoir décrit le matériel, les protocoles et les outils logiciels utilisés, Paul Emmanuel Faidherbe et son collège invitent à les questionner sur le module présent physiquement.
La première question posée par la petite assistance présente hier matin concernait l'accessibilité aux composants. Comme le montre l'image ci-dessus, le boîtier contenant le module ne dispose pas de vis et encore moins de dispositifs de verrouillage du matériel. Ainsi, il est simple d'accéder aux composants. De plus, les puces Xbee sont lisibles par tous utilisateurs d'un lecteur de carte de ce type.
Très vite, les questions portent sur l'utilisation de deux protocoles réseau : Zigbee conçu pour la courte portée (10 mètres) et Sigfox pour la longue portée. De même, l'entreprise n'utilise pas directement les données son, mais une empreinte qui est envoyée au Cloud. Tout comme le fait l'application Shazam.
Autant de défis que Valtech a déjà listé en 7 points : le matériel, l'architecture, l'autonomie, la connectivité, le développement, la volumétrie, le traitement des données et bien sûr la sécurité et le respect de la vie privée.
Des règles basées sur méthodes vérifiées
Ensuite les deux animateurs ont défini les règles du jeu. Ils s'agit d'un tarot modifié à partir des règles établies par des instances bien connues des professionnels : les méthodes STRIDE et DREAD de Microsoft, l'OWASP Risk Rating, et l'identification des attaquants par NCC Group ( les atouts dans le jeu). Le but de ces recommandations est de repérer les grandes phases d'une attaque de la sécurité en définissant les étapes clés de ce genre d'événement.
Les menaces sont nombreuses : accessibilité aux matériels, programmation permissive, protocoles de communication facilement détournés, système d'authentification léger, données mal protégées par l'hébergeur, etc.
L'atout des cartes : comprendre très rapidement les enjeux de sécurité
Chaque carte jouée décrit une faille dans le projet. Les failles sont catégorisées par type en couleur : le bleu pour les attaques physiques, le jaune pour les données, le vert pour l'identification, et le mauve pour la communication. Ensuite, le jeu suit les règles classiques d'un tarot.
Petite particularité, quelques cartes « name it » sont présentes dans le paquet. Elles permettent de nommer une faille ou un attaquant qui n'a pas été encore imaginé.
La partie commence. Sur les deux tables, quatre joueurs échangent et enchaînent les tours avant de compter les points en fin de partie. La défausse peut être source de malus si les propositions rejetées sont pertinentes.
Par exemple, nous avons défaussé la carte « Weak Password » correspondant à la description : « les mots de passe sont trop courts ou ne disposent pas de caractères spéciaux ». Nous avons perdu un point puisque cette possibilité est envisageable, malgré les conditions imposées par le constructeur.
Le court texte présent sur les cartes s'adresse plus particulièrement aux développeurs, mais avec quelques explications, on peut très bien s'en sortir. Ainsi, pour un premier projet IoT, c'est une méthode de découverte idéale.
Les deux animateurs signalent qu'il faut se pencher sur ce point très rapidement dans la conception d'un projet. Cela permet à toute l'équipe de participer à la mise en place d'un niveau de sécurité suffisant, même s'il ne s'agit pas de leur domaine d'expertise.
Une expérience agréable
En mêlant cette approche avec les méthodes agiles, les retours d'expérience sont plus efficaces. A chaque phase du projet, on obtient « une zone de confiance » élargie. Il s'agit de l'aspect technologique que l'on estime sûr. La modélisation des menaces est d'autant plus précise.
Encore en phase d'expérimentation, le jeu présentait quelques défauts. Des cartes n'avaient pas une valeur assez forte et certaines descriptions des failles amenaient rapidement au débat puisqu'elles sont sujettes à interprétation. Cependant, l'émergence du gameplay, le fait de laisser une marge de liberté aux joueurs, est bien amenée.
Malgré ces défauts, le plaisir de jeu est là et la réflexion porte rapidement sur des points très précis. Une très bonne approche pour intégrer les enjeux de sécurité dans le secteur de l'Internet des Objets.
- Partager l'article :
