Qui sécurise l’edge?

Toute l’informatique prend la direction de l’edge. Du moins s’il faut en croire le message de grandes entreprises. A présent que tout est presque dans le nuage, ce cloud doit pouvoir être déployé jusqu’aux confins du pays. Reste qu’un tel cloud supportant l’Internet des objets (IoT) n’est pas sans défis.

Classiquement, l’edge consiste à traiter les données sur des appareils périphériques. L’ex- emple classique est celui de la voiture autonome. Celle-ci dispose de sa propre intelligence artificielle et de sa propre puissance de traitement car si quelque chose se passe devant le pare-chocs, le véhicule n’a pas le temps d’envoyer l’information vers un centre de données et d’attendre la réponse. La latence est en l’occurrence le mot clé.

Ces dernières années, la définition de l’edge s’est toujours étendue. Ainsi, l’edge est tout ce qui n’est pas dans le centre de données, estimait Antonio Neri, CEO de HPE, lors de la conférence utilisateurs fin 2018. L’edge est donc à la fois la puissance de calcul des appareils et capteurs qui doivent rendre les entreprises et les villes ‘intelligentes’, mais aussi les bureaux satellites et les magasins. C’est ainsi que Nutanix déploie son logiciel de gestion jusque dans les bureaux éloignés, ce qui permet de continuer à gérer en central la puissance de calcul de tous ces sites.

Et Microsoft utilise la même définition. ” Pour nous, il s’agit de tous les ‘device form factors’ qui ne sont pas sur la plate-forme cloud Azure, précise Ron Pooters, manager Data & AI Architects team chez Microsoft Belux. En d’autres termes, tant les ‘laptops’ que les téléphones, caméras et voitures autonomes, mais aussi les gros serveurs industriels classiques qui sont pour nous aussi des ‘edge devices’. ” Tant que le traitement des données se fait là où sont collectées les données plutôt que d’être envoyées à un centre de données, on parle donc d’edge.

Pour sa part, Cisco réfère aussi, au-delà des notions désormais acquises, au terme ‘fog’ imaginé en interne, lequel doit surtout permettre de clarifier les choses dans le secteur industriel. ” Prenez l’exemple d’un client industriel qui compte 10 usines et 2 centres de données dans le monde, explique Alexis Malchaire, responsable de l’IoT chez Cisco. Ces centres informatiques sont hébergés dans le cloud, tandis que l’edge est à la périphérie dans les usines pour assurer le traitement. Le ‘fog’ concerne pour sa part le niveau de la machine, ou plutôt des centaines de machines. C’est un peu comme un parc d’éoliennes : l’edge computing porte sur le parc et chaque éolienne est un ‘fog’. ”

Fini les échanges de données

Quelle que soit la définition retenue, les entreprises ont chacune leurs raisons de pousser l’edge. Traiter davantage de données sur place présente en effet certains avantages. Dont la latence évoquée ci-dessus, sans parler évidemment aussi du respect de la vie privée. A une époque de scandales en matière de vie privée et de fuites de données, une entreprise pourrait parvenir à convaincre ses clients d’utiliser un assistant numérique intégrant de l’apprentissage machine dès sa première version. Un tel appareil pourrait apprendre à connaître les besoins typiques d’un utilisateur, alors que les données, conversations et bruits de fond enregistrés resteraient au niveau de l’utilisateur lui-même. Ce faisant, les échanges de données sensibles seraient limités.

” Nous essayons de transposer dans l’edge l’intelligence de notre cloud en fonction de scénarios pertinents, précise Pooters. Songez aux caméras intelligentes. Il peut se révéler intéressant de traiter l’IA sur l’appareil même et d’effectuer l’interprétation des images sur place dans devoir envoyer toutes ces données dans le cloud. ” Pour permettre la gestion de ces données sur place, Microsoft propose Azure IoT Edge, la version edge d’Azure IoT pour les appareils en périphérie du réseau. Cette plate-forme peut notamment servir pour l’analytique en boucle fermée. ” Il s’agit d’une manière de déployer dans l’edge l’intelligence constituée dans le cloud et ce, sous forme de conteneur, dixit encore Pooters. L’intelligence artificielle d’un tel appareil est bâtie dans le cloud et une fois qu’elle arrive à maturité et est fiable, elle peut être transférée vers l’edge. Cette IA peut alors fonctionner en circuit fermé et ne transmettre de l’information que si une anomalie est détectée par exemple. ”

Botnet ou pas botnet

L’une des exigences majeures d’une infrastructure edge est évidemment la sécurisation des appareils. Or la réputation de la sécurité de l’Internet des objets a sérieusement été écornée lorsque, fin 2016, le botnet Mirai est parvenu à paralyser une grande partie de l’Internet à la suite d’attaques concentrées sur un fournisseur DNS. Ce botnet, vous vous en souviendrez, était largement constitué de TV intelligentes, grille-pains, brosses à dents et autres appareils qui, en pleine vague du ‘tout-connecté’, étaient reliés à l’Internet avec simplement un mot de passe standard programmé en usine. Du coup, les appareils ont été infectés en masse, simplement du fait de ces attaques ‘brute force’, ce qui a fait découvrir au monde les dangers de millions de brosses à dent mal sécurisées.

Mais ce battage médiatique a également sensibilisé les entreprises. Pooters : ” Quelque 9 milliards de microcontrôleurs sont fabriqués par an, chacun avec des composants électroniques, qu’il s’agisse de drones ou de jouets, dont environ 1% sont aujourd’hui connectés à l’Internet. Mais la pression pour connecter un nombre croissant d’appareils est grande, notamment parce que les fabricants veulent assurer de la maintenance préventive. C’est pour ce marché que nous entendons, en tant que Microsoft, proposer une plate-forme de bout en bout, avec la sécurité comme point de départ. Car imaginez que ces 9 milliards d’appareils soient infectés… ”

La solution proposée par Microsoft face à ce cauchemar potentiel est baptisée Azure Sphere, une offre intégrant un OS Linux léger, un microcontrôleur certifié et un service cloud. Le matériel ne sera pas construit par Microsoft elle-même, mais celle-ci en assurera le support et la gestion. ” Nous avons établi une liste de spécifications d’un tel appareil sécurisé “, précise Ron Pooters. Ainsi, ce matériel devra notamment intégrer l’identité, ” tout comme une voiture possède un numéro de châssis. ” Par ailleurs, il devra être segmenté afin qu’une infection ne puisse pas se propager à l’ensemble du système. De même, il devra prévoir une sécurisation par certificats plutôt que par mots de passe. Et enfin, un ‘online failure reporting and monitoring’. L’idée de base est que ce point final soit suivi toujours et partout par quelqu’un (ou par l’IA) pour éviter les infections massives, notamment par des botnets, et pour permettre le ‘patching’. Car s’il est une chose que les entreprises ont apprise, c’est qu’elles doivent elles-mêmes imposer les mises à niveau. Sachant qu’il est déjà extrêmement compliqué d’inciter les utilisateurs à mettre à jour leur smartphone, personne ne va télécharger un ‘update’ de sécurité pour son réfrigérateur.

Villes et entreprises intelligentes

Il est clair que l’industrie y voit depuis longtemps un intérêt majeur. En effet, un nombre croissant de machines et de sites sont équipés de capteurs pour assurer la maintenance prédictive qui permet d’entretenir un parc de machines et de remplacer les pièces avant que la production s’en trouve perturbée. Une entreprise comme Cisco est active sur ce marché avec une offre destinée à connecter de manière sécurisée l’ensemble des infrastructures industrielles. ” A la fois les routeurs, passerelles et dispositifs de sécurisation là où cela est nécessaire “, précise Alexis Malchaire. Dans cette optique, Cisco propose également une solution spécifique, en l’occurrence une plate-forme IoT. En effet, Cisco Kinetic est un ‘middleware’ permettant aux entreprises de collecter les données de capteurs avant de les traiter et de les transmettre à d’autres appareils.

L’une des pierres angulaires de l’offre est la sécurité où Cisco déploie notamment des certificats pour sécuriser l’ensemble de la plate-forme au départ de l’infrastructure réseau. ” Nous fournissons la sécurité réseau, le contrôle d’accès, mais aussi la gestion du matériel et du logiciel utilisés, ajoute Malchaire. Pour être certain que vos données sont sécurisées, il faut savoir si le matériel ou le logiciel est certifié, ce qui permet de s’assurer qu’il ne sera pas trafiqué. Nous avons pour ce faire mis en place des standards et mécanismes spécifiques. ” De son côté également, Cisco s’appuie sur des contrôles et du monitoring. ” C’est ainsi que nous avons prévu des mesures pour s’assurer qu’une machine ou un capteur est fiable. L’ensemble du processus de démarrage est d’ailleurs vérifié par nos équipements. Ainsi, si un problème devait se poser au démarrage, l’appareil serait débranché et vérifié. ”

Comme il s’agit souvent de grandes batteries d’appareils extrêmement dispersés, l’architecture de sécurité de l’infrastructure se révèle importante, estime toujours Malchaire. Dans ce contexte, le rôle des fournisseurs apparaît comme toujours plus important, considère Bart Van Hoecke, ‘consulting system engineer security’ chez Cisco. ” Il est important que les développeurs prennent en compte la sécurité dès le premier jour. Il faut penser sécurité dès l’entame du projet. Cela permet d’intégrer des dispositifs pour scinder les réseaux et pour segmenter les applications. Ainsi, il est possible de prévoir que si une personne doit vérifier des éoliennes à distance, elle puisse le faire à distance si elle se connecte au départ d’un VPN. De même, il faudra vérifier que la personne est bien autorisée, par exemple par le biais d’une authentification multi-facteur. En outre, il faut veiller à la visibilité : quels protocoles, quels appareils sont connectés. Et sont-ils autorisés ? Peuvent-ils envoyer des données, et vers quel ‘port’ ou quel serveur ? ”

Bref, les réseaux IoT doivent être sécurisés de la même manière qu’un réseau d’entreprise traditionnel. ” Il ne s’agit effectivement de rien d’autre qu’un réseau d’entreprise, considère Van Hoecke. Mais souvent dans le cadre d’un budget plus restreint. Heureusement, ces appareils sont simples. Dans un réseau classique, c’est souvent l’utilisateur qui est le maillon faible. “