Cybersécurité des objets connectés : loi britannique et bonnes pratiques pour sécuriser sa maison

En 2024, la loi britannique Product Security and Telecommunications Infrastructure Act (PSTI Act) est entrée en vigueur, interdisant que les fabricants livrent des appareils connectés avec des mots de passe par défaut facilement devinables. Cette mesure vise à réduire une vulnérabilité répandue dans les objets connectés, qui sont souvent utilisés comme portes d’entrée pour des attaques sur les réseaux domestiques ou industriels. La loi s’applique à un large éventail d’appareils, des enceintes intelligentes aux caméras de sécurité en passant par les téléviseurs.

Les recommandations pratiques publiées par le gouvernement britannique et son National Cyber Security Centre (NCSC) mettent l’accent sur plusieurs étapes simples que les utilisateurs peuvent entreprendre pour sécuriser leurs appareils. Parmi celles-ci, changer le mot de passe par défaut, activer l’authentification à deux facteurs (2FA) si disponible, et maintenir les logiciels à jour figurent en première ligne de défense. Ces recommandations figurent notamment dans le guide officiel « Smart devices: using them safely in your home ».

Cela dit, cette approche a ses limites car elle repose largement sur l’action de l’utilisateur. Une étude académique récente souligne que la simple recommandation de bonnes pratiques peut ne pas être appliquée de manière cohérente sur une large gamme d’appareils grand public en raison de textes d’aide peu clairs ou inexistants. Cette discordance entre conseils généraux et instructions spécifiques de produits peut réduire l’efficacité réelle des mesures de sécurité.

La législation mise en place au Royaume-Uni va au-delà du simple changement de mot de passe en imposant aux fabricants de fournir des points de contact pour signaler les vulnérabilités et d’indiquer la durée minimale de support en matière de mise à jour de sécurité. Les contrevenants s’exposent à des amendes significatives. Cette combinaison de règles vise à responsabiliser les acteurs de la chaîne technologique, pas seulement les consommateurs.

Les bonnes pratiques recommandées pour sécuriser les appareils incluent également la mise à jour automatique des logiciels et des firmwares, un élément crucial car de nombreuses vulnérabilités sont corrigées via des mises à jour après leur découverte. Les recommandations officielles précisent que maintenir les appareils à jour peut réduire significativement les risques d’exploitation de failles connues.

En parallèle, des guides techniques recommandent de segmenter son réseau domestique en plaçant les objets connectés sur un réseau séparé de celui utilisé pour les appareils contenant des données sensibles, comme les ordinateurs personnels ou les smartphones. Cela limite l’impact potentiel d’un appareil compromis. Cette stratégie n’est pas explicitement obligatoire mais considérée comme une meilleure pratique par la communauté technique.

Il est important de noter qu’un consensus global pour des normes uniformes de sécurité IoT n’existe pas encore. Plusieurs organizations et standards internationaux, comme BITAG ou IETF, recommandent des principes similaires de sécurisation par défaut, mais leur application varie selon les juridictions.

La discussion sur les réseaux sociaux reflète à la fois une prise de conscience des risques et parfois des commentaires confus ou inexactes concernant la portée de la réglementation. Certaines publications non officielles sur des forums techniques mentionnent des interprétations diverses de la loi ou des exemples d’implémentations réelles de mots de passe uniques par appareil, mais ces échanges ne constituent pas des sources officielles. Aucune source fiable indépendante n’a confirmé universellement ces allégations techniques spécifiques par elles-mêmes.

Sur le plan sociétal, ces mesures visent à réduire les risques associés à l’augmentation exponentielle des objets connectés dans nos vies quotidiennes. Bien qu’elles n’éliminent pas tous les vecteurs d’attaque, elles constituent un pas vers des produits plus sûrs. Des voix critiques indiquent que ces règles pourraient être complétées par une éducation accrue des utilisateurs et une harmonisation internationale des normes, car les failles techniques ne sont pas uniquement liées à des mots de passe faibles, mais aussi à la conception même de nombreux matériels.

En conclusion, la combinaison d’une législation plus stricte envers les fabricants, de recommandations pratiques claires pour les utilisateurs et de standards techniques en évolution représente une réponse multifacette aux défis de sécurité des objets connectés. L’utilité pour la société repose sur la réduction des attaques automatisées, la protection des données personnelles et une meilleure résilience des réseaux domestiques et professionnels face aux cybermenaces.