{"id":768,"date":"2019-10-20T17:54:43","date_gmt":"2019-10-20T17:54:43","guid":{"rendered":"http:\/\/tex.fr\/?p=768"},"modified":"2019-10-20T17:54:43","modified_gmt":"2019-10-20T17:54:43","slug":"isolation-reseau-iot","status":"publish","type":"post","link":"https:\/\/tex.fr\/index.php\/2019\/10\/20\/isolation-reseau-iot\/","title":{"rendered":"Prot\u00e9ger son r\u00e9seau des vuln\u00e9rabilit\u00e9s de l’IOT"},"content":{"rendered":"\n

Pr\u00e9ambule<\/h3>\n\n\n\n

Avec la prise de conscience de tout un chacun d’\u00eatre une cible potentielle de tous les escrocs 3.0 de la plan\u00e8te, le niveau de s\u00e9curisation de nos PC a relativement augment\u00e9. Les \u00e9diteurs logiciel jouent aussi leur r\u00f4le dans cette am\u00e9lioration. Gr\u00e2ce \u00e0 une meilleur conception des d\u00e9fenses syst\u00e8mes, aux pr\u00e9-installations d’antivirus et de firewall ainsi qu’aux patchs correctifs d\u00e9livr\u00e9s automatiquement et du moment que l’on respecte les r\u00e8gles \u00e9l\u00e9mentaires en mati\u00e8re de s\u00e9curit\u00e9, nos machines d\u00e9sormais moins faciles \u00e0 infecter. Mais qu’en est-il des objets connect\u00e9s qui sont pr\u00e9sents sur notre r\u00e9seau et sur lesquels nous ne pouvons pas intervenir pour en renforcer la s\u00e9curisation? Sans possibilit\u00e9 de pouvoir intervenir sur ces \u00e9quipements comme nous pouvons le faire pour nos PC, que nous reste-t-il comme solution pour prot\u00e9ger son r\u00e9seau des vuln\u00e9rabilit\u00e9s de l’IOT?<\/p>\n\n\n\n

Malheureusement, les prises de conscience ainsi que les diff\u00e9rents outils et processus mis en place pour garantir la s\u00e9curisation de nos machines personnelles n’ont pas \u00e9t\u00e9 pas \u00e9t\u00e9 g\u00e9n\u00e9ralis\u00e9s aux autres \u00e9quipements. Fr\u00e9quemment, faute d’appliquer des correctifs logiciels qui bien souvent n’existent m\u00eame pas, les objets connect\u00e9s sont des passoires. Pour les hackers l’IOT est le nouveau s\u00e9same qui ouvre grandes les portes des r\u00e9seaux priv\u00e9s. Cam\u00e9ras, smart TV, enceintes connect\u00e9es, pour n’en citer que quelques uns, se multiplient dans nos maisons. Une prolif\u00e9ration qui augmente le risque de voir son r\u00e9seau domestique \u00eatre victime d’une attaque ayant pour origine les nombreuses vuln\u00e9rabilit\u00e9s pr\u00e9sentes dans ces \u00e9quipements.<\/p>\n\n\n\n

Apr\u00e8s avoir agit pour mieux s\u00e9curiser chacune de nos machines personnelles, il devient urgent de prot\u00e9ger son r\u00e9seau des vuln\u00e9rabilit\u00e9s de l’IOT. A cette fin, je pr\u00e9conise 2 mesures. Tout d’abord, l’isolation des objets connect\u00e9s avec la cr\u00e9ation d’un r\u00e9seau d\u00e9di\u00e9 \u00e0 l’IOT. Ensuite, l’ajout d’un firewall r\u00e9seau qui assurera l’\u00e9tanch\u00e9it\u00e9 entre le LAN d\u00e9di\u00e9 \u00e0 l’IOT et le reste du r\u00e9seau domestique.<\/p>\n\n\n\n

Les \u00e9quipements n\u00e9cessaires<\/h3>\n\n\n\n

Isoler son r\u00e9seau IOT requiert la cr\u00e9ation de 2 r\u00e9seaux physiquement s\u00e9par\u00e9s. Ces 2 r\u00e9seaux auront chacun leurs propres \u00e9quipements Wifi, c\u00e2bles Ethernet et prises CPL. La question qui vient \u00e0 l’esprit c’est pourquoi une s\u00e9paration physique couteuse quand on pourrait s\u00e9parer logiquement avec des VLAns? Ce que je peux r\u00e9pondre c’est qu’avec les routeurs “prosumers” il est tr\u00e8s difficile de router de fa\u00e7on sure et isol\u00e9e des vlans de bout en bout via du wifi. Certes certains \u00e9quipements professionnels Cisco assurent brillamment cette fonctionnalit\u00e9 mais…sans les performances Wifi de dingue des mat\u00e9riels prosumers.<\/p>\n\n\n\n

La s\u00e9paration des r\u00e9seaux est une d\u00e9fense n\u00e9cessaire mais puisque chacun est connect\u00e9 \u00e0 internet, elle n’est pas suffisante. C’est l\u00e0 qu’entre en action le firewall r\u00e9seau. Son r\u00f4le sera de contr\u00f4ler les connexions r\u00e9seau vers et depuis internet tout autant que les quelques rares flux que l’on aura autoris\u00e9s \u00e0 circuler entre les 2 r\u00e9seaux.

Aujourd’hui les firewalls jouent bien d’autres r\u00f4les que celui du portier qui laisse entrer ou sortir les flux, ils agr\u00e8gent au sein d’une application unifi\u00e9e diff\u00e9rentes fonctions de s\u00e9curisation du r\u00e9seau (IDS, IPS, Ad blocker, filtrage web, antivirus r\u00e9seau,…). Ces solutions int\u00e9gr\u00e9es de protection du r\u00e9seau se regroupent sous le nom d’UTM, Unified Threat Management. Apr\u00e8s quelques essais d’UTM sur des machines virtuelles, j’ai arr\u00eat\u00e9 mon choix sur la solution pfSense. Essentiellement parce qu’en sus de sa gratuit\u00e9, pfSense est un des seuls \u00e0 pouvoir g\u00e9rer des clients OpenVPN. Ce qui est indispensable si l’on veut “tuneller” son flux internet jusque chez un fournisseur de service d’anonymisation. <\/p>\n\n\n\n

Comme je voulais que ma solution UTM joue le r\u00f4le de routeur, de serveur DHCP, de client Open VPN et assure diff\u00e9rents autres services de protection (IDS, blocker, \u2026), il me fallait trouver l’\u00e9quipement hardware ad\u00e9quat. C’est \u00e0 dire une machine quad core (les instruction AES-NI \u00e9tant un plus), avec au moins 8Go de RAM et disposant de 4 ports r\u00e9seau Gigabit. Le choix fut assez rapide, seul le constructeur Protectli offre \u00e0 la vente ce genre de petite merveille de poche.<\/p>\n\n\n\n

Le d\u00e9tail des \u00e9quipements<\/h3>\n\n\n\n

Pour le r\u00e9seau IOT, dit r\u00e9seau bleu :<\/p>\n\n\n\n