Le gouvernement fédéral a publié son code de pratique tant attendu pour les appareils de l’Internet des objets quotidiens comme les haut-parleurs et les sonnettes intelligents afin de mieux protéger les consommateurs contre les cybermenaces.
Mais les normes nationales seront volontaires pour les fabricants, bien que des pays comparables tels que le Royaume-Uni se dirigent désormais vers des fonctionnalités de sécurité similaires pour les appareils IoT grand public.
Le code, publié jeudi, représente la «première étape» du gouvernement pour améliorer la sécurité des appareils IoT en Australie, et intervient après 10 mois de consultation.
Le ministère de l’Intérieur et l’Australian Cyber Security Center ont publié le projet de code, qui a été construit sur le code IoT du Royaume-Uni, pour la communauté et l’industrie en novembre dernier.
Le code contient 13 principes, que le gouvernement «recommande à l’industrie comme norme minimale pour les appareils IoT» comme les haut-parleurs intelligents, les téléviseurs, les sonnettes et les caméras.
Cependant, les fabricants d’appareils, les fournisseurs de services et les développeurs d’applications ont été invités à «donner la priorité aux trois premiers», car ceux-ci «apporteront les plus grands avantages de sécurité à court terme».
Ces principes sont:
- Pas de mots de passe par défaut dupliqués ou faibles: assurez-vous que les mots de passe des appareils IoT ne sont pas une semaine ou une valeur d’usine par défaut commune à plusieurs appareils
- Mettre en œuvre une politique de divulgation des vulnérabilités: assurez-vous qu’il existe un contrat public permettant aux chercheurs en sécurité de signaler les problèmes et que toutes les vulnérabilités sont traitées rapidement
- Maintenez les logiciels à jour en toute sécurité: assurez des mises à jour «en temps opportun», qui sont distribuées via une infrastructure informatique sécurisée, qui ne modifient pas les préférences, la sécurité ou la confidentialité configurées par l’utilisateur
Ces trois principes sont également contenus dans le code de bonnes pratiques du Royaume-Uni sur la sécurité IoT des consommateurs., qui a été publié en 2018 et le gouvernement cherche maintenant à se renforcer.
Malgré «l’adoption généralisée» du code, le ministre britannique des infrastructures numériques, Matt Warman, a déclaré en juillet que «le changement n’a pas été assez rapide», et le pays est cherche maintenant à introduire une législation.
Les autres principes du code australien comprennent s’assurer que les informations d’identification ne sont pas stockées sur un appareil pour éviter la découverte via l’ingénierie inverse et minimiser la surface d’attaque exposée.
Annonçant jeudi le code australien, le ministre de l’Intérieur Peter Dutton a déclaré que «les fabricants devraient développer ces appareils avec une sécurité intégrée par conception».
«Les appareils connectés à Internet font de plus en plus partie des foyers et des entreprises australiennes et bon nombre de ces appareils ont des fonctionnalités de sécurité médiocres qui exposent les propriétaires à des compromis», a-t-il déclaré.
«Les Australiens devraient envisager des fonctionnalités de sécurité lors de l’achat de ces appareils afin de se protéger contre l’accès non sollicité des cybercriminels.»
L’ACSC a également publié des conseils aux consommateurs pour se protéger lors de l’achat et de l’utilisation d’appareils IoT, ainsi que des conseils aux fabricants sur la manière d’implémenter le code.
D’ici la fin de la décennie, les appareils IoT dans le monde devraient se situer entre 21 et 64 milliards.
