Navigation – Plan du site
Repères

Les enjeux sociétaux des objets connectés

Interview de Maryline Laurent, Professeur à Télécom SudParis et spécialiste des objets connectés
Cédric Gossart

Texte intégral

Propos recueillis par Cédric Gossart

Qu’est-ce qu’un objet connecté ?

Un objet connecté est un équipement électronique doté de capacités très hétérogènes en communication, traitement, mémoire, énergie et collecte de données ambiantes. Dans ce nuage d’objets qui nous entoure, on distingue un objet très personnel - le smartphone - du fait qu’il est intimement associé à un individu et que chaque activité du smartphone peut être rapporté à un individu ; en effet, le smartphone le suit dans ses déplacements, est toujours à portée de main, sait se rendre indispensable par la qualité des applications qu’il propose, et enfin dispose de capacités importantes comparativement à d’autres objets connectés. Par ailleurs, le smartphone permet souvent d’interagir avec d’autres objets en champ proches, comme la montre connectée, ou distants (la maison connectée comprenant l’alarme, les volets roulants…), l’interaction étant directe ou via le cloud. Très souvent les objets sont fortement associés à un cloud, ce qui permet de délester les objets du stockage de données volumineux, voire de backuper une image complète de l’objet. Le cloud regroupe alors une multitude de données qui peuvent être exploitées par les fournisseurs de services à l’attention des utilisateurs finaux (smart services, amélioration du confort, prévention des accidents, bouchons, intempéries, etc.). Enfin, on identifie les objets connectés autonomes, comme la voiture connectée (Tesla, Google car) qui peut conduire toute seule.

Pourriez-vous nous en donner quelques exemples ?

Ils sont présents dans de nombreux secteurs, comme celui du monitoring des personnes (Activité Pop : montre qui mesure toutes vos activités ; Apple Watch), de la domotique (Smarter : machine à café connectée ; Wake : réveil lumineux et sonore intelligent ; SmartTV : contrôle vocal ou reconnaissance faciale), de la santé (Quell : appareil de santé connecté pour soulager les douleurs ; Oral-B SmartSeries : brosse à dents connectée), ou de la voiture connectée (autoradio connecté via Android Auto ; application Blue Link pour Android Wear et Apple Watch permettant de démarrer/couper le moteur, de verrouiller ou déverrouiller les portes, de connaître la position GPS du véhicule, ou de passer un appel de secours). Pour se connecter, ces objets ont besoin d’une passerelle (gateway) comme les smartphones ou les set-top box des téléviseurs, et les données sont stockées sur des serveurs dans le cloud.

Quels sont les principaux défis technologiques associés aux objets connectés ?

Ils sont pour beaucoup liés à l’hétérogénéité des technologies en termes de capacités de communication (Lora, Sigfow, GSM Zigbee, 5G…), de capacités de traitement et mémoire – avec, par exemple, une mémoire exprimée en centaines de bits pour les puces RFID, en centaines de kilo-octet pour des capteurs Wismote et en gigaoctets pour les smartphones. L’hétérogénéité s’exprime également en termes d’usages (quantified self, domotique, santé, voiture connectée), avec des niveaux d’exigences (en sécurité, par exemple) et des législations à satisfaire très variées. La difficulté résultante est donc de répondre à des besoins fonctionnels, des exigences de sécurité très variés pour des objets disposant très souvent, pour des raisons de coûts, des capacités très limitées.

Quels sont les principaux enjeux sociétaux des objets connectés ?

Je citerais les enjeux de sécurité et de vie privée. Pour plus de clarté, je vous présenterai les quatre caractéristiques des objets, chacune d’elles étant source de menaces soit pour son propriétaire, soit pour le bon fonctionnement d’Internet. La première caractéristique est en grande majorité leur faible niveau de sécurité, avec un système d’exploitation souvent vulnérable, des mots de passe pour en contrôler l’accès à distance parfois inexistants, et des utilisateurs très laxistes qui ne changent pas le mot de passe par défaut ou qui ne mettent pas à jour les logiciels (voir l’article paru dans 01.net intitulé Les caméras de surveillance sont des passoires en sécurité informatique : www.01net.com/actualites/les-cameras-de-surveillance-sont-des-passoires-en-securite-informatique-593243.html). Même des objets supposés avoir un haut niveau de sécurité comme les véhicules connectés en charge de l’intégrité physique des passagers, ont pu être piratés par des chercheurs avec prise de contrôle à distance de plusieurs équipements du véhicule dont la coupure du moteur, et ce pour dénoncer les dangers de ce type de produit1. La deuxième caractéristique est le volume de plus en plus massif de ces objets connectés. Avec 6 milliards d’objets contre une centaine de millions d’ordinateurs seulement, ces objets même pourvus de faibles capacités de traitement peuvent par leur nombre constituer une véritable force de frappe et une réelle menace pour les entreprises et les institutions de plus en plus dépendantes du numérique. Ainsi on assiste comme par le passé, pour les ordinateurs traditionnels, à la constitution de botnets, c’est-à-dire des réseaux de ressources passées sous contrôle de hackers, ces hackers ayant un à un enrôlé dans ces botnets des objets faiblement sécurisés. Il leur suffit alors un jour de lancer une attaque massive vers une cible industrielle ou étatique pour provoquer un déni de services de plusieurs heures. Ce fut le cas du déni de service distribué dont l’hébergeur français OVH fut la cible en septembre 2016 avec un pic de trafic de 1 térabit/seconde enregistré et un botnet de 145 000 caméras IP mal sécurisées (voir l’article de zdnet intitulé OVH noyé par une attaque Ddos sans précédent : www.zdnet.fr/actualites/ovh-noye-par-une-attaque-ddos-sans-precedent-39842490.htm).

La troisième caractéristique dont je souhaite parler se rapporte au besoin de connectivité des objets pour des raisons de maintenance, ou de collecte de données. Les entreprises font parfois usage de ces objets qui sont connectés à leur infrastructure de réseau et interagissent avec des serveurs extérieurs à des fins de maintenance ou de collecte de données et de fait de cette connectivité introduisent une faille dans le système de sécurité de l’entreprise. Nous pouvons nous référer, par exemple, à l’affaire de la chaîne américaine de magasins Target qui disposait, fin 2013, d’un système de climatiseurs gérés à distance par une société extérieure ; cette dernière ayant été piratée, les hackers ont rebondi sur les climatiseurs pour faire une intrusion dans le système d’information de Target et dérober 40 millions de comptes de clients (voir l’article du journal du geek intitulé Target, la cible d’une cyberattaque massive : www.journaldugeek.com/2014/01/14/target-la-cible-dune-cyberattaque-massive). Parfois également ce sont les employés qui apportent leurs objets personnels (smartwatch) ; ceux-ci deviennent des vecteurs d’attaques potentiels par les interactions qu’ils peuvent avoir avec l’environnement, en particulier quand leurs propriétaires les rechargent sur le port USB de leurs ordinateurs professionnels. La quatrième caractéristique est liée à la collecte massive de données personnelles, souvent sans que l’utilisateur n’en soit conscient, et qui peut porter atteinte à la vie privée. Le cas de la télévision intelligente de Samsung qui vous espionne est exemplaire2, car pour rendre la TV intelligente, toute voix est captée, stockée et traitée dans le cloud, et donc à la merci dun opérateur peu scrupuleux.

Face à ce constat, l’enjeu est de sensibiliser et de former le grand public aux problématiques de la sécurité et de la protection des données personnelles pour qu’ils adoptent les bonnes pratiques vis-à-vis de leurs objets. Les entreprises consommatrices d’objets doivent également revoir leur politique de sécurité pour prendre en compte l’arrivée de ces nouveaux objets, de la même façon qu’ils avaient tenu compte quelques années auparavant de l’arrivée des smartphones personnels dans l’entreprise.

Enfin, les fournisseurs d’objets connectés vont devoir prochainement évoluer pour prendre en considération le nouveau règlement européen sur la protection des données personnelles (GDPR - General Data Protection Regulation) qui est plus stricte que la directive de 1995 et surtout qui prévoit, en cas de non respect du règlement, une sanction allant jusqu’à 4 % du chiffre d’affaires mondial de la société. Le règlement a des implications à la fois sur les garanties de sécurité et sur le traitement des données.

Quelles sont les perspectives économiques des objets connectés ?

  • 3 Sources : : IDC 2014, dernière consultation le 04/05/2017. Pour des chiffres plus récents, voir IDC (...)

On parle d’une croissance annuelle du marché des objets connectés de 17 % d’ici à 2020, pour atteindre 1 700 milliards US$3. Le marché des données personnelles est estimé à 1 000 milliards d’euros dici à 2020 en Europe, et les industriels sont engagés dans une véritable course pour être les premiers à fournir en Europe des objets connectés à prix bas. Jusque-là, ils privilégiaient la production d’objets et de services associés peu respectueux de la protection des données personnelles et de la sécurité, pour offrir des produits compétitifs sur le marché, mais la mise en application du règlement GDPR en avril 2018 changera sûrement la donne au vu du montant des sanctions prévues. Un autre phénomène est également en vogue, celui de presser les clients d’utiliser les objets pour bénéficier de tarifs attractifs. C’est le cas des assureurs qui promettent des prix plus bas aux clients s’équipant de télésurveillance ou d’un bracelet connecté. Les plus fortunés auront les moyens de ne pas céder… Certaines entreprises demandent le consentement des utilisateurs d’utiliser un objet, ce qui est plutôt positif en soi, mais seulement en apparence car en cas de refus, ils se voient tout simplement refuser l’accès au service, ce qui est souvent dissuasif !

Quid de la responsabilité juridique en cas d’accident ou de problèmes mettant en cause les utilisateurs ?

S’il s’agit des véhicules connectés, la législation diffère selon les pays. Je vous encourage à lire l’article de Romain Gola L’adaptabilité de la règle de droit face à l’émergence des véhicules connectés et autonomes, paru en janvier 2017 dans le dossier spécial Voiture connectée et voiture autonome de la revue Lamy, Droit de l’immatériel. Aujourd’hui en France, par exemple, un véhicule connecté est sous l’entière responsabilité du conducteur qui doit rester vigilant et doit quoiqu’il arrive rester maître de son véhicule en en reprenant le contrôle en cas de danger. Bien entendu, l’attrait du véhicule autonome en est grandement diminué, avec l’impossibilité du conducteur de se concentrer sur une autre activité plus agréable que la conduite.

Pourquoi les données personnelles manipulées par les objets connectés sont-elles si difficiles à protéger ?

Une donnée à caractère personnelle (GDPR - General Data Protection Regulation) est définie comme toute information concernant une personne physique identifiée ou identifiable. Avec cette définition, quasiment toute information est une donnée à caractère personnel. On peut donc distinguer dans une interaction entre un client et un serveur différents types de données, à savoir d’une part celles qui sont utiles au rendu du service dans le cadre de la transaction, ce que j’appelle « les données fonctionnelles » (nom, prénom, adresse postale… pour la livraison d’un colis ou la géolocalisation pour trouver le restaurant le plus proche) et, d’autre part, les données qui ne sont pas utiles au rendu du service, mais qui peuvent être capturées ou déduites par le fournisseur de service, ce que j’appelle « les données périphériques » (version du logiciel applicatif, identifiant du mobile, adresse IP, système d’exploitation…). Autant les données fonctionnelles sont clairement identifiables en fonction de la nature du service rendu, autant les données périphériques ne sont pas clairement identifiées ; ces dernières peuvent être représentées sous la forme d’un nuage de données qui se trouvent divulguées au cours d’une transaction. Il s’agit principalement de traces numériques laissées par le système d’information et sont par nature non maîtrisées. Dans ces conditions, il est très difficile de protéger ce gros volume de données périphériques contre la collecte.

Données fonctionnelles (au centre) vs. Données périphériques

Données fonctionnelles (au centre) vs. Données périphériques

Source : Présentation de M. Laurent lors du séminaire « Confiance numérique » (4 mai 2015), intitulée « Internet des objets : Quels sont les freins à la protection des données personnelles ? ».

Quelles garanties possède-t-on sur la confidentialité de certaines informations concernant la vie privée ?

Concernant leur stockage dans le cloud, principalement trois niveaux de protection existent. Généralement, ils reposent sur un contrôle d’accès simple à la donnée, opéré avec des mots de passe. Le premier niveau de protection ne propose pas de chiffrement ; les données sont stockées en clair ; le contrôle d’accès est la seule protection offerte.

Le second niveau correspond au chiffrement des données par le prestataire de services cloud ; chaque fois qu’une requête est effectuée vers ces données, le prestataire les déchiffre ; tout comme pour le premier niveau, de nouveaux services peuvent aisément être greffés pour bénéficier de ces données ; cependant le propriétaire des données doit obligatoirement faire confiance au prestataire pour ne pas qu’il divulgue ses informations. Un troisième niveau peu adapté à l’Internet des objets donne davantage la main au propriétaire des données qui est seul capable de les chiffrer et de les déchiffrer ; cette dernière approche offre l’avantage d’être sûre (quasi sûre) que les données ne pourront pas être divulguées, mais elle est peu propice au partage de données avec de nouveaux services. Enfin, n’oublions pas tout un pan de la recherche académique qui tente de définir de nouveaux cryptosystèmes de chiffrement homomorphique complet ; ces cryptosystèmes ont des propriétés intéressantes puisqu’ils permettent à des services applicatifs d’effectuer des traitements directement sur des données chiffrées ; cela a l’avantage que les services n’ont pas accès aux données brutes et ne peuvent pas compromettre leur confidentialité ; l’inconvénient des cryptosystèmes actuels est leur lourdeur du fait que les traitements sur les chiffrés sont 1 milliard de fois plus lents que sans chiffrement.

Alors pourquoi tout stocker sur le cloud si cela présente tant de problèmes ?

Le cloud garantit une très grande capacité de stockage et de traitement d’informations. Pour l’utilisateur, le cloud lui offre une meilleure disponibilité et une meilleure accessibilité à ses données, car il peut y accéder depuis n’importe quel terminal. Enfin, le cloud autorise d’autres acteurs à y accéder pour proposer de nouveaux services soit au propriétaire des informations, soit à d’autres utilisateurs. Encore faut-il que ces acteurs respectent la législation sur la protection des données personnelles.

Que font les pouvoirs publics pour prévenir les risques liés aux objets connectés ?

L’Europe est l’acteur institutionnel le mieux placé afin protéger l’ensemble des citoyens européens contre la collecte abusive de leurs données personnelles. Le règlement européen GDPR qui sera mis en application dans l’ensemble des pays membres en 2018 offre cette protection. Par ailleurs, l’Europe travaille actuellement à la définition de labels ou de certificats, ce qui permettrait aux consommateurs d’identifier aisément les objets répondant aux exigences de sécurité et de préservation de leur vie privée (conformément au GDPR) et de responsabiliser les consommateurs dans leurs achats. La définition de labels/certificats est loin d’être achevée car la difficulté est de savoir sur quelle partie porte cette marque de confiance. S’agit-il de l’objet matériel, d’une sous-partie de l’objet, du service, de la plateforme ? Il reste donc beaucoup à faire, ce qui est d’autant plus urgent que l’Europe compte de nombreux objets connectés, comme le montre la carte ci-dessous.

Cartographie des objets connectés dans le monde

Cartographie des objets connectés dans le monde

Source : Article d’Ed Mazza paru le 29/08/2014 dans le Huffington Post et intitulé « This Map Shows Every Connected Device On The Internet ». Dernière consultation le 04/05/2017.

Haut de page

Notes

1 Voir l’article de Pierre Alonso paru dans Libération le 27/07/2015 et intitulé « Jeep Cherokee hackée : pourquoi c'est une bonne nouvelle ». Dernière consultation le 04/05/2017.

2 Voir l’article de Damien Leloup paru dans Le Monde le 11/02/2015 et intitulé « Télés connectées, un espion dans le salon ». Dernière consultation le 04/05/2017.

3 Sources : : IDC 2014, dernière consultation le 04/05/2017. Pour des chiffres plus récents, voir IDC Directions 2016. Dernière consultation le 04/05/2017.

Haut de page

Table des illustrations

Titre Données fonctionnelles (au centre) vs. Données périphériques
Légende Source : Présentation de M. Laurent lors du séminaire « Confiance numérique » (4 mai 2015), intitulée « Internet des objets : Quels sont les freins à la protection des données personnelles ? ».
URL http://terminal.revues.org/docannexe/image/1500/img-1.png
Fichier image/png, 38k
Titre Cartographie des objets connectés dans le monde
Légende Source : Article d’Ed Mazza paru le 29/08/2014 dans le Huffington Post et intitulé « This Map Shows Every Connected Device On The Internet ». Dernière consultation le 04/05/2017.
URL http://terminal.revues.org/docannexe/image/1500/img-2.png
Fichier image/png, 153k
Haut de page

Pour citer cet article

Référence électronique

Cédric Gossart, « Les enjeux sociétaux des objets connectés », Terminal [En ligne], 120 | 2017, mis en ligne le 03 mai 2017, consulté le 28 mai 2017. URL : http://terminal.revues.org/1500 ; DOI : 10.4000/terminal.1500

Haut de page

Auteur

Cédric Gossart

Maître de conférences HDR à Télécom École de Management

Articles du même auteur

Haut de page

Droits d’auteur

tous droits réservés

Haut de page
  • Logo Télécom École de Management
  • Logo CREIS terminal
  • Revues.org