Trend Micro, leader mondial dans le domaine des solutions de cyber-sécurité, recommande aux entreprises de réviser la situation de leur sécurité opérationnelle suite à la découverte de graves lacunes et d’implémentations vulnérables ayant trait à deux protocoles M2M (machine-to-machine) très répandus, à savoir le Message Queuing Telemetry Transport (MQTT) et le Constrained Application Protocol (CoAP). “The Fragility of Industrial IoT’s Data Backbone”, le nouveau rapport de Trend Micro, co-signé avec Politecnico di Milano, met en lumière une menace grandissante d’espionnage industriel et d’attaques ciblées ou de type déni de service, rendus possible par une exploitation impropre de ces protocoles.

En l’espace d’à peine quatre mois, les chercheurs de Trend Micro ont identifié plus de 200 millions de messages MQTT et plus de 19 millions de messages CoAP qui ont fuité en raison d’équipements intermédiaires et de serveurs vulnérables. En recourant à de simples recherches sur mots de passe, les assaillants malveillants peuvent localiser ces données de production ayant fait l’objet de fuites, identifier de juteuses informations sur des ressources, des collaborateurs ou des technologies pouvant être détournées pour procéder à des attaques ciblées.

« Les problèmes que nous avons découverts dans deux des protocoles de messagerie les plus répandus qu’utilisent les dispositifs IoT devraient inciter les entreprises à réexaminer sérieusement, de manière globale, la sécurité de leurs environnements IoT », déclare Greg Young, vice-président Cyber-sécurité chez Trend Micro. « Ces protocoles n’ont pas été conçus en mettant la sécurité au coeur de la réflexion. On les retrouve par contre dans un éventail sans cesse croissant d’environnements critiques et de scénarios d’utilisation. Voilà qui constitue un risque de cyber-sécurité majeur. Les pirates, même ceux qui ne disposent que de ressources limitées, pourraient exploiter ces failles de conception et ces vulnérabilités afin de procéder à des opérations de reconnaissance, à des mouvements latéraux, à des vols furtifs de données et à des attaques de déni de service. »

Les recherches effectuées expliquent la manière dont les pirates pourraient prendre le contrôle à distance de terminaux IoT ou appliquer un déni de service en tirant parti des problèmes de sécurité touchant la conception, l’implémentation et le déploiement de dispositifs qui ont recours à ces protocoles. Par ailleurs, en exploitant certaines fonctionnalités spécifiques de ces protocoles, les pirates pourraient s’arroger un accès permanent à une cible afin de se déplacer latéralement dans la totalité d’un réseau.

Quelques vulnérabilités ont également été identifiées à l’occasion de ces recherches. Elles ont été dévoilées par le biais des Zero Day Initiative (ZDI): CVE-2017-7653, CVE-2018-11615 et CVE-2018-17614 de Trend Micro. La CVE-2018-17614 offre un exemple de l’impact que pourraient avoir ces vulnérabilités. Il s’agit d’une écriture hors-limites qui pourrait permettre à un attaquant d’exécuter du code arbitraire sur des dispositifs vulnérables qui implémentent un client MQTT. Même si aucune nouvelle vulnérabilité CoAP n’a été découverte, le rapport insiste sur le fait que le protocole CoAP est basé sur le User Datagram Protocol et suit un schéma requête-réponse, ce qui en fait un vecteur tout trouvé pour des attaques d’amplification.

Afin de minimiser les risques mis en lumière dans le cadre de ces recherches, Trend Micro encourage les entreprises à:

• implémenter des règles appropriées afin d’éliminer des services M2M inutiles
• procéder régulièrement à des vérifications en utilisant des services de détection opérant à l’échelle de l’Internet, afin de s’assurer que des données sensibles ne font pas l’objet de fuites par le biais de services IoT publics
• implémenter un flux de gestion de vulnérabilités ou tout autre moyen tendant à sécuriser la chaîne logistique
• se tenir au courant des normes de l’industrie, compte tenu du fait que cette technologie évolue rapidement.

Afin de prendre connaissance de la totalité du rapport, nous vous invitons à visiter ce site.