Objets connectés : la PKI, avec des certificats éphémères

Eviter les listes de révocation

Kevin Bocek, vice-président de Venafi en charge de la stratégie de sécurité et du renseignement sur les menaces, relève toutefois que, pour l’instant, la tendance reste à la PKI. Dans un entretien avec la rédaction, il explique observer des « concepts, dans l’industrie automobile, autour de certificats à durée de vie courte, de l’ordre de 30 minutes ».

L’ensemble repose sur la temporalité des échanges et des décisions à prendre en fonction des informations transmises : « c’est très éphémère. Il n’est pas vraiment nécessaire d’en garder la trace ». Et de souligner au passage la difficulté d’appliquer Blockchain avec « beaucoup de nœuds déconnectés », hors ligne. Pour lui, le « rôle de Blockchain reste là à déterminer ». D’où celui de la PKI traditionnelle, « le modèle que nous connaissons, avec des améliorations ».

L’idée de certificats à durée de vie courte permet d’éviter de voir à gérer des listes de révocation : « l’idée est d’essayer d’utiliser des attributs, de réputation en fait, que l’on peut dériver d’un certificat, dans un contexte donné, à la volée ».

Ce qui ne répond pas pour autant à toutes les questions : « le défi est de savoir comment va fonctionner ce système ? Comment va-t-il se comporter déconnecté ? Quelle est la solution de repli ? C’est un domaine où je pense qu’il y a beaucoup de travail à faire, et de choses à tester ».

Le spectre de la surveillance

Et d’autant plus qu’il faut tenir compte des communications éventuelles entre véhicules connectés : « le gouvernement américain s’implique dans ce sujet. Mais je ne l’ai jamais vu produire de réponse rapidement, tout particulièrement en sécurité [informatique] ». Alors pour Kevin Bocek, il ne faut pas s’attendre à « ce qu’un système gouvernemental hiérarchique authentifie chaque voiture roulant sur les routes ». A plus forte raison que cela soulèverait de nombreuses questions en matière de vie privée.

Un sujet qui semble fortement préoccuper le vice-président de Venafi, tout particulièrement après le bras de fer qui a opposé Apple et la justice américaine : « imaginons un peu dans le futur. Je suis dans ma voiture autonome, et maintenant le gouvernement a la possibilité de faire installer des applications sur ma voiture ? De tout savoir sur ma voiture ? Où je vais, à quelle vitesse… Et il peut la faire arrêter ».   

A qui sont les données, la voiture ?

Et si la question de la propriété des données générées par un objet connecté n’est pas encore tranchée, se pose, plus loin, celle de la propriété réelle de cet objet. Un appareil pour lequel on ne signe pas encore d’accord de licence de l’utilisateur final, mais « absolument, on le fera ». Et cette question de la propriété, Kevin Bocek la pose déjà : « si Apple, parce qu’il détient la clé [permettant de signer le firmware de l’iPhone] peut lui envoyer un logiciel. Eh bien, est-ce mon appareil ou celui d’Apple ? Est-ce que je contente de le louer ? » Une idée qui commence d’ailleurs à faire son chemin, comme l’illustrent certaines offres commerciales de la firme à la pomme outre-Atlantique ou encore de Tado, constructeur allemand qui propose ses thermostats connectés à la location.

Pour Kevin Bocek, c’est d’ailleurs là un défi qui attend nos sociétés : « les concepts de propriété, de libertés, de vie privée, vont évoluer très rapidement, au rythme de la loi de Moore ». Avec des risques importants : « je pense que certains appréhendent ces sujets en se disant ‘Waoh ! C’est vraiment très haut niveau. Non, mon gouvernement ne ferait jamais rien de mal. Non, mon gouvernement n’installerait jamais une application sur mon téléphone’. Mais je vous le dis, je pense que ce n’est pas une perspective très lointaine ».