Comprendre les critères élémentaires de sécurité

Malgré les préoccupations croissantes concernant la sûreté et la sécurité des appareils connectés à Internet, de nombreuses entreprises continuent de fabriquer et de vendre des objets connectés qui ne sont pas sécurisés. De plus, de nombreuses entreprises ne fournissent pas d’informations claires sur la confidentialité des données des appareils qu’elles vendent. Vos données personnelles sont-elles utilisées d’une manière que vous n’auriez peut-être pas prévue ou envisagée ?

En 2018, Mozilla, Consumers International et Internet Society ont décidé d’adopter une approche plus proactive de ces insuffisances. Nous pensons que l’industrie devrait commencer à définir certaines « lignes rouges » à ne pas franchir dans ce domaine et devrait éliminer progressivement les pratiques qui conduisent aux problèmes les plus flagrants des objets connectés.

Ensemble, les trois organisations ont proposé cinq critères élémentaires que les fabricants d’objets connectés devraient être en mesure de respecter.

Critères élémentaires de sécurité

Chiffrement

Le produit doit utiliser le chiffrement pour toutes ses fonctions et capacités de communication réseau. Cela garantit que les communications ne sont pas écoutées ou modifiées pendant leur acheminement. Le produit doit également utiliser le chiffrement lorsqu’il n’est pas utilisé pour garantir la protection des données client lors du stockage.

Mises à jour de sécurité [1]

Le produit doit permettre, par défaut, des mises à jour automatiques pendant une période raisonnable après la vente. Cela garantit que lorsqu’une vulnérabilité est connue, le fabricant peut proposer des mises à jour de sécurité aux consommateurs, qui sont vérifiées puis installées en toute simplicité. Les mises à jour ne doivent pas rendre le produit inutilisable pendant une longue période.

Mots de passe robustes [2]

Si le produit utilise des mots de passe pour l’authentification à distance, il doit exiger l’utilisation de mots de passe forts et s’appuyer sur des critères de force des mots de passe. Tout mot de passe par défaut non unique doit également être réinitialisé lors de la configuration initiale de l’appareil. Cela aide à protéger l’appareil contre les attaques consistant à deviner les mots de passe, ce qui pourrait compromettre l’appareil.

Gestion des vulnérabilités

L’entreprise doit disposer d’un système permettant de gérer les vulnérabilités du produit. Ce système doit proposer un point de contact pour signaler des vulnérabilités ou disposer de l’équivalent d’un programme de bug bounty. Cela permet de s’assurer que les entreprises gèrent activement les vulnérabilités tout au long du cycle de vie du produit.

Pratiques en matière de confidentialité [3]

Le produit doit disposer d’informations de confidentialité qui s’appliquent spécifiquement à l’appareil, et non une politique de confidentialité générique rédigée pour couvrir uniquement les sites web de l’entreprise.

[1] Les mises à jour automatiques sont essentielles pour créer un écosystème de produits sécurisé. Néanmoins, nous avons relevé des préoccupations quant au fait que les mises à jour automatiques peuvent également être utilisées de manière à nuire aux utilisateurs. Ces critères ne visent en aucun cas à encourager ou à tolérer l’utilisation de mécanismes de mise à jour pour déployer des logiciels qui affaibliraient les mécanismes de confidentialité des produits ou modifieraient les paramètres de sécurité ou de confidentialité d’une manière incompatible avec les choix et les attentes des utilisateurs.

[2] Ces critères ne visent pas non plus à exiger que tous les appareils aient un mot de passe. Ils sont destinés aux appareils qui utilisent des mots de passe pour l’authentification à distance, plutôt qu’aux appareils qui peuvent être pris en main. Par exemple, de nombreux objets connectés utilisent des méthodes sécurisées pour l’authentification Bluetooth qui ne font pas appel à des mots de passe.

[3] Dans le guide d’achat de Mozilla *Confidentialité non incluse, nous évaluons d’autres aspects liés à la vie privée, notamment la manière dont les données sont partagées avec des tiers, la possibilité de supprimer des données et la lisibilité des informations de confidentialité.