Il y a une tendance à déployer de plus en plus de traitement de l’information vers les bords des systèmes d’information, à proximité des sources et des puits de données, et des utilisateurs finaux [31]. En 2018, Gartner a évalué que 10% des “données générées par l’entreprise sont créées et traitées en dehors d’un centre de données centralisé traditionnel ou d’un cloud” [55], et a prédit en 2021 que ce nombre passerait à 50% en 2025 [63] (qu’il prévoyait à l’origine à 75 % dans son rapport de 2018 [55]) tandis que le nombre d’appareils IoT triplera [63] ou quadruplera [23] entre 2020 et 2030 atteignant “plus de 15 milliards d’appareils IoT [qui] se connecteront à l’infrastructure de l’entreprise d’ici 2029” [23] (IoT analytics prévoit même 27 milliards d’appareils IoT connectés en 2025 [38]]). Les raisons de cette tendance sont diverses, parmi lesquelles : améliorer la latence, soulager la bande passante du réseau d’une partie de l’énorme quantité de données générées et apporter une certaine autonomie aux utilisateurs finaux interagissant à la périphérie du système d’information. Cette tendance existe dans le monde civil, et notamment dans l’industrie avec le concept spécifique d’Industrial IoT (IIoT) [86] [81] [52] [80], mais aussi dans le militaire avec les concepts de l’Internet of Battle Things (IoBT) [49] [78] [2] ou Internet of Military Things (IoMT) [87] [18], qui visent en partie à accroître l’exploitation des informations locales [73] [57] [58]. Pour développer ces concepts dans le domaine militaire, entre autres initiatives, l’Internet of Battlefield Things Collaborative Research Alliance (IoBT-CRA) [70] [1] [89] a été créé en 2017 pour une durée de 10 ans.

Dans cet appel, les appareils gérant ces calculs périphériques sont appelés Smart Peripheral Devices (SPD). Ces SPD sont assez différents et ont plus de variabilité que les appareils trouvés dans le “cœur” des systèmes d’information (serveurs, ordinateurs de bureau et ordinateurs portables). Ils vont : d’appareils quelque peu coûteux et puissants, tels que les smartphones ou les équipements de communication des véhicules militaires [58] ; aux appareils à faible consommation et à faible coût, tels que les appareils portables jetables ou les récipients jetables [54] [25] ; via des appareils Internet des objets (IoT) [88] et certains appareils Edge Computing légers [85]. Bien qu’assez différents, les SPD partagent certaines caractéristiques : ils résident à la périphérie du système et sont plus susceptibles d’être perdus et volés ; ils doivent respecter des contraintes spécifiques limitant les ressources qu’ils peuvent utiliser ; ils s’exécutent sur du matériel spécifique généralement introuvable dans les périphériques “de base” ; ils utilisent des technologies de connexion absentes du cœur du système pour communiquer avec le cœur et entre eux ; ils gèrent directement certains traitements de l’information, indépendamment du cœur du système ; ils doivent permettre des déconnexions « temporaires » du cœur, tout en continuant à fonctionner correctement ; et ils ne sont pas visibles et surveillés en permanence par le cœur du système d’information.

Ces spécificités soulèvent certaines inquiétudes quant à leur résistance aux attaques de cybersécurité [20] [21] [61] [8] [77] [9] [37] [50] [26] [53] [5] [79], et même la confiance que l’on peut accorder à leur chaine d’approvisionnement [72]. Comme l’indique Verizon for IoT [83], mais s’appliquant à tous les SPD, “un [SPD] peut être un vecteur d’attaque (un point faible qui peut être exploité pour monter une attaque), un véhicule d’attaques ( comme une partie d’un botnet utilisé pour mener une attaque par déni de service distribué (DDoS)) ou une cible à part entière ». Par exemple, le botnet Mirai [4] a infecté de nombreux appareils IoT et a été utilisé pour attaquer de nombreux autres systèmes. Les mobiles sont également une cible intéressante pour les attaquants [74] [90] [14] [67]. Sur une période d’un an, la moitié des entreprises récemment interrogées par Verizon ont subi une compromission impliquant un appareil mobile [83] ; pour la moitié des entreprises concernées, les applications étaient concernées (en 2021, le pourcentage d’organisations connaissant l’installation d’un malware sur un appareil distant a doublé [43]) ; et la moitié des PME qui ont subi un piratage lié au mobile ont déclaré que cela avait eu un impact majeur. Les attaquants conçoivent des applications et des campagnes de phishing spécifiquement pour les mobiles [83], et s’ils le font, c’est parce qu’il y a un avantage à le faire. En conséquence, plus de 8 entreprises sur 10 ont un budget spécifique pour la sécurité mobile [83]. L’année dernière C&ESAR a abordé le concept de Zero Trust, entre autres. Du point de vue de la sécurité du cœur du système d’information, un SPD peut être déconnecté si le cœur a perdu confiance en lui. Cependant, les fonctionnalités portées par ce SPD seront également perdues. Il est donc important de pouvoir sécuriser ces SPDs.

Cependant, les technologies et méthodologies de cybersécurité appliquées au cœur des systèmes d’information ne sont pas nécessairement directement applicables aux SPDs. Adapter les solutions standard Endpoint Detection and Response (EDR) à la grande variété de SPD et les intégrer au cœur du système informatique SIEM n’est pas une tâche simple. Les technologies spécifiques utilisées pour les SPD peuvent contenir des faiblesses et des vulnérabilités différentes de celles des technologies du système de base [84] [76]. Assurer la cybersécurité des SPDs peut également nécessiter des méthodologies spécifiques [51].

Par exemple, les SPD utilisent des technologies spécifiques dans leur pile de traitement (matériel et logiciel). Parmi les différents matériels utilisés, ils s’appuient plus couramment sur les plates-formes et technologies ARM. Ces matériels et environnements de déploiement ont des caractéristiques spécifiques impactant leur cybersécurité [6] [75]. Parmi les différents supports matériels de sécurisation des SPD [39], on peut citer Secure Elements (SE) [11] ou Tusted Execution Element (TEE). Les SPD utilisent également des systèmes d’exploitation spécifiques, comme Android et iOS pour les smartphones [91] [35]. Et, pour certains d’entre eux, ils permettent aux utilisateurs finaux (espérons-le l’administrateur de l’appareil) d’extraire des charges utiles de calcul à partir de magasins d’applications peuplés de logiciels provenant de sources diverses, parfois obscures. La faible confiance dans le niveau de cybersécurité de ces magasins d’applications a poussé certaines institutions telles que Google à lancer des initiatives pour améliorer la situation [36] ou à lancer des projets visant à normaliser les exigences de cybersécurité pour ces applications [62] [42]. Cet état de fait concernant le faible niveau de cybersécurité des applications mobiles pousse à des améliorations indispensables [16].

Les SPD utilisent également différentes technologies pour se connecter au cœur du système d’information et pour se connecter entre eux. Une technologie prometteuse est la 5G [46] [7] [44] [38] [40], et la 6G à l’avenir [24] [3]. Cependant, cette technologie, ainsi que les autres, ont soulevé des inquiétudes en matière de cybersécurité parmi les chercheurs [10], les institutions [22] [28] [27] [60] [59] [32] [65] [69] et l’industrie [66] [41]. Par exemple, même la spécification de Bluetooth contient des vulnérabilités [19] [13] [12]. L’environnement de déploiement et la capacité des SPD à créer des connexions d’appareil à appareil se traduisent par des réseaux, tels que des réseaux ad hoc ou maillés, ayant des formes différentes et se comportant différemment des réseaux de système d’information de base, et ayant des problèmes de cybersécurité spécifiques.

Pour sécuriser les communications dans ces réseaux, les SPD peuvent s’appuyer sur la cryptographie. Cependant, le faible niveau de support d’infrastructure que certains d’entre eux reçoivent et la faible puissance de calcul dont disposent certains d’entre eux peuvent nécessiter des solutions cryptographiques spécifiques, telles que la cryptographie légère [34] ou des protocoles d’accord de clés spécifiques [56].

Un autre défi des SPDs est leur déploiement « loin » du cœur du système d’information, et avec une connexion intermittente à celui-ci. Ce paramétrage empêche la mise en place de politiques de sécurité centrées sur le cœur du système d’information. Les SPD nécessitent des politiques de sécurité spécifiques qui nécessitent des moyens spécifiques pour le déploiement, la gestion et l’application. Ces moyens doivent être sécurisés en eux-mêmes afin d’éviter que des attaquants ne les exploitent pour prendre le contrôle des SPDs gérés.

Enfin, le déploiement périphérique des SPD, leur proximité avec les sources d’informations et leur dépendance commune à la collecte d’informations impliquent des préoccupations concernant les questions de confidentialité et de protection des données [33] [45] [48] [47]. En conséquence, les décideurs politiques ont publié des lois et réglementations spécifiques et génériques qui s’appliquent aux SPDs [64] [82] [68] [15] [17] [71] [29] [30].