Alarmes, caméras, chaudières connectées : la porte d'entrée que personne ne surveille
Alarmes, caméras, chaudières connectées : installées sans précaution, elles ouvrent des portes dans votre réseau. Une histoire vraie, et les parades concrètes.
Chauffagistes, installateurs d'alarmes, de caméras, de contrôle d'accès : ces professions installent aujourd'hui des équipements connectés et des accès à distance au cœur des réseaux d'entreprise, le plus souvent sans aucune notion des risques informatiques. Chaque équipement ainsi raccordé est une nouvelle fenêtre ouverte sur le réseau, et donc sur les données de l'entreprise. Voici pourquoi ce sujet, qui prête à sourire, ne fait rire aucun spécialiste de la sécurité, histoire vraie à l'appui.
admin / admin
Les identifiants par défaut de milliers d'équipements connectés, publiés dans leurs manuels, eux-mêmes disponibles en ligne. Une caméra ou une alarme exposée sur internet avec ses identifiants d'usine offre à un cambrioleur le confort de visionner votre bâtiment, ou de désarmer votre alarme, depuis son canapé.
Une histoire vraie : l'alarme, l'installateur et l'adresse tchèque
Chez l'un de nos clients, un lundi comme un autre, le système d'alarme affiche un défaut réseau : impossible de l'armer. L'installateur, contacté, a un diagnostic immédiat : c'est sûrement l'informaticien, il aura changé quelque chose sur le réseau. Au téléphone avec nous, le même installateur devient nettement moins catégorique : il ne sait pas, mais comme ça marchait la veille, ça doit venir du réseau. À l'examen, l'équipement n'émettait tout simplement plus aucun trafic ; une réinitialisation de sa connexion le ranime, et l'alarme s'arme à nouveau.
L'histoire aurait pu s'arrêter là. Mais le contrôle du lendemain révèle deux choses que personne n'avait demandées. D'abord, le système d'alarme tentait de joindre un serveur de temps sur internet, un trafic jamais mentionné par l'installateur lors de la configuration ; légitime dans son principe (une alarme doit être à l'heure), il a été autorisé explicitement. Ensuite, et surtout : un autre équipement du même réseau caméras-sécurité tentait, sans relâche, de contacter une adresse IP dynamique en République tchèque. Tentatives bloquées par le pare-feu, précisément parce que notre politique n'autorise que le trafic explicitement justifié. Un équipement de sécurité qui appelle une adresse dynamique à l'étranger, ce n'est jamais bon signe ; sans cette politique d'ouverture minimale, personne ne l'aurait jamais su.
Pourquoi ces équipements sont-ils le maillon faible ?
Trois raisons se cumulent. La nature des équipements d'abord : alarmes, caméras et chaudières connectées reposent sur des composants IoT notoirement mal sécurisés, rarement mis à jour, et dont les vulnérabilités sont documentées publiquement, tutoriels d'attaque compris. Les conditions d'installation ensuite : ces systèmes sont posés par des professionnels excellents dans leur métier, qui n'est pas l'informatique ; lors de l'incident raconté plus haut, l'installateur s'est montré incapable de préciser quel trafic réseau son propre produit nécessitait. Enfin, l'exposition : pour offrir la consultation à distance promise au client, la solution de facilité consiste à rendre l'équipement directement accessible depuis internet, parfois avec ses identifiants d'usine. C'est exactement l'inverse de ce qu'il faut faire, et c'est pourtant ce que nous constatons régulièrement lors des reprises de parcs.
Comment intégrer ces équipements sans ouvrir la porte ?
Les parades sont connues et tiennent en quatre principes. L'isolement : les équipements connectés vivent dans leur propre zone réseau, étanche, sans aucun chemin vers les serveurs et les postes de travail ; c'est le rôle de la segmentation que nous détaillons dans notre article sur les switches manageables, et une caméra compromise n'atteint alors rien d'autre que ses semblables. L'ouverture minimale : le pare-feu n'autorise que les flux explicitement justifiés par l'installateur, rien d'autre ; c'est cette discipline qui a révélé l'adresse tchèque de notre histoire. La non-exposition : aucun équipement n'est directement accessible depuis internet ; la consultation à distance passe par un accès protégé, sur le modèle en couches que nous décrivons pour les accès distants. L'hygiène des accès enfin : identifiants d'usine remplacés, mots de passe solides, et chiffrement des communications de l'application de pilotage. Aucun de ces principes ne dépend de l'installateur : ils relèvent de celui qui gère le réseau, à condition qu'il soit associé à l'installation avant qu'elle ait lieu, pas après l'incident.
La prochaine fois qu'un prestataire, quel que soit son métier, propose d'installer un équipement « consultable à distance » dans votre entreprise, trois questions suffisent à jauger la situation : quels flux réseau exacts son produit nécessite-t-il, l'équipement sera-t-il accessible directement depuis internet, et votre gestionnaire réseau a-t-il été prévenu avant la pose ? Un installateur incapable de répondre à la première question, ou vexé par la troisième, vous renseigne déjà sur la suite. Votre alarme protège votre bâtiment ; encore faut-il que quelqu'un protège votre alarme.
Questions fréquentes
Une caméra de surveillance peut-elle vraiment servir de porte d'entrée aux pirates ?
Oui, et c'est documenté : les caméras et autres équipements IoT sont parmi les appareils les moins bien sécurisés du marché, avec des vulnérabilités publiées et des identifiants d'usine connus. Non isolée du reste du réseau, une caméra compromise devient un point d'appui vers les serveurs et les données de l'entreprise.
Faut-il refuser l'accès à distance à son chauffagiste ou son installateur d'alarme ?
Non : la maintenance à distance est un vrai service. Ce qu'il faut refuser, c'est l'exposition directe de l'équipement sur internet. L'accès distant doit passer par un chemin protégé et contrôlé, l'équipement doit vivre dans une zone réseau isolée, et l'installation doit être coordonnée avec le gestionnaire du réseau avant la pose.
Qui est responsable si un équipement installé par un tiers est piraté ?
L'entreprise reste responsable de ses données, notamment au sens du RGPD, quelle que soit l'origine de la faille. C'est une raison de plus pour encadrer contractuellement les installations de tiers et confier à un gestionnaire unique la cohérence de la sécurité du réseau, équipements connectés compris.