Deux failles majeures dans des protocoles IoT clés
Des centaines de milliers de déploiements machine-to-machine (M2M) non sécurisés mettent les entreprises en danger à l’échelle mondiale, prévient Trend Micro, entreprise japonaise parmi les leaders mondiaux en matière de solutions de sécurité informatique, dont les chercheurs ont détecté deux failles majeures dans des protocoles IoT.
Trend Micro invite ainsi les entreprises à revoir la sécurité de leurs technologies opérationnelles (OT) après avoir repéré des failles de conception et des vulnérabilités au niveau de l’implémentation pour deux protocoles M2M très répandus : le MQTT (Message Queuing Telemetry Transport ) et le CoAP (Constrained Application Protocol). Intitulé « The Fragility of Industrial IoT’s Data Backbone », un nouveau rapport Trend Micro, publié en collaboration avec l’École Polytechnique de Milan (Politecnico di Milano), met en avant les menaces croissantes d’espionnage industriel, de déni de service (DoS) et d’attaques ciblées liées au détournement de ces protocoles.
En seulement quatre mois, les chercheurs Trend Micro ont identifié plus 200 millions de messages MQTT et plus de 19 millions de messages CoAP divulgués par des serveurs et des agents de messages exposés. En effectuant de simples recherches par mot-clé, les hackers ont pu localiser les données de production dévoilées, tout en identifiant des informations lucratives portant sur des ressources matérielles, humaines et technologiques pouvant faire l’objet d’attaques ciblées.
« Les failles que nous avons identifiées dans deux des principaux protocoles de messagerie utilisés par des appareils IoT devraient inciter les entreprises à réévaluer sérieusement la sécurité globale de leur environnement OT », déclare Loïc Guézo, Stratégiste Cybersécurité Europe du Sud, Trend Micro. « Ces protocoles n’ont pas été conçus dans une optique de sécurité, mais ils sont de plus en plus présents au sein d’environnements critiques et de cas d’application. Cela représente un risque de cyber-sécurité majeur. Même sans disposer de ressources importantes, les hackers pourraient exploiter ces failles et vulnérabilités pour procéder à des opérations de reconnaissance, des mouvements latéraux, des vols de données clandestins et des attaques par déni de service ».
L’étude démontre comment les hackers peuvent contrôler à distance les Endpoints IoT ou provoquer des dénis de service en exploitant des problèmes de sécurité aux stades de la conception, de l’implémentation et du déploiement d’appareils utilisant ces protocoles. Par ailleurs, en s’appropriant certaines fonctionnalités spécifiques de ces protocoles, les cybercriminels pourraient avoir accès en permanence à une cible qu’ils pourraient déplacer latéralement au sein d’un réseau.
Cette étude a également permis d’identifier plusieurs vulnérabilités dévoilées par le programme Zero Day Initiative (ZDI) de Trend Micro : CVE-2017-7653, CVE-2018-11615, et CVE-2018-17614. Exemple représentatif des conséquences possibles de ces vulnérabilités, CVE-2018-17614 est une écriture hors-limites qui pourrait permettre à un hacker d’exécuter un code arbitraire sur des appareils vulnérables déployant un client MQTT. Alors qu’aucune nouvelle vulnérabilité CoAP n’a été établie, le rapport souligne que le CoAP est basé sur le protocole UDP (User Datagram Protocol) et suit un modèle de requête-réponse, ce qui le rend particulièrement exposé aux attaques par amplification.
Pour limiter les risques mis en lumière dans cette étude, Trend Micro appelle les entreprises à mettre en place des mesures adaptées en vue de supprimer les services M2M inutiles, à procéder à des contrôles réguliers à l’aide de technologies d’analyse déployées à l’échelle du Web pour empêcher la divulgation de données sensibles via des services IoT publics, à mettre en œuvre un workflow de gestion des vulnérabilités ou d’autres dispositifs en vue de sécuriser la chaîne logistique et enfin, à se mettre régulièrement en conformité avec les normes sectorielles, cette technologie évoluant rapidement.
Consulter le rapport dans son intégralité
