"Am I Just That Dumb?": Applicability, Action and Verification in Consumer IoT Security Advice
Cette étude évalue l'applicabilité, l'exploitabilité et la vérifiabilité des conseils de sécurité relatifs à l'IdO grand public émis par le gouvernement aux Pays-Bas, révélant des écarts significatifs entre les directives génériques et les capacités réelles des appareils les plus vendus, lesquels manquent souvent d'identifiants par défaut partagés et de mécanismes de mise à jour clairs, entravant ainsi la capacité des utilisateurs à sécuriser efficacement leurs appareils.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans la maison moderne, une révolution tranquille a eu lieu. Des objets du quotidien — des enceintes connectées et des sonnettes intelligentes aux appareils de cuisine et aux ampoules — ont été connectés à Internet, créant un réseau d'appareils pouvant être contrôlés à distance. Cette commodité s'accompagne toutefois d'un coût caché : la sécurité. Tout comme une maison physique a besoin d'une serrure sur sa porte d'entrée, ces dispositifs numériques ont besoin d'une protection contre les intrus qui pourraient tenter d'en prendre le contrôle. Depuis des années, les gouvernements et les experts en sécurité proposent une solution simple en deux parties pour sécuriser ces foyers : changer le mot de passe par défaut fourni avec l'appareil et maintenir le logiciel de l'appareil à jour. L'hypothèse sous-jacente à ce conseil est que n'importe qui peut suivre ces instructions, trouver les bons paramètres sur son gadget spécifique et vérifier qu'il l'a bien fait. Mais cette hypothèse repose sur la croyance que le conseil s'adapte parfaitement à chaque appareil et que le chemin vers la sécurité est clair et visible pour l'utilisateur moyen.
Une équipe de chercheurs de l'Université de technologie de Delft, aux Pays-Bas, a décidé de tester si ce conseil simple fonctionne réellement dans le monde réel. Ils n'ont pas demandé aux gens ce qu'ils pensaient faire ; ils les ont regardés le faire. Les chercheurs ont recruté vingt-huit volontaires et leur ont lancé un défi spécifique. Chaque personne a reçu une carte imprimée contenant le conseil standard du gouvernement consistant à changer le mot de passe par défaut et à vérifier les mises à jour. On leur a ensuite demandé d'essayer de suivre ce conseil sur trois appareils domestiques intelligents choisis parmi les meilleures ventes d'un grand détaillant en ligne. Les appareils comprenaient une prise connectée, un capteur d'humidité, un carillon de sonnette, une enceinte intelligente, une imprimante et une caméra de sécurité intérieure. Les participants devaient imaginer qu'ils possédaient ces appareils et tentaient de les sécuriser, mais ils n'avaient pas le droit de modifier réellement les paramètres ou d'installer des mises à jour, seulement de montrer où ils iraient pour le faire. Cela a permis aux chercheurs de voir exactement où les instructions menaient et où les utilisateurs bloquaient, sans altérer l'état réel des appareils.
Les résultats ont révélé un écart important entre le conseil donné et la réalité des appareils. Lorsque les participants ont essayé de changer le mot de passe par défaut, ils ont été confrontés à un labyrinthe déroutant. Dans trente-trois cas sur quatre-vingt-quatre tentatives, ils n'ont trouvé aucun paramètre de mot de passe. Dans cinquante cas, ils ont trouvé un endroit pour changer un mot de passe, mais il s'agissait d'un compte en ligne lié à l'appareil, et non de l'appareil lui-même. Une seule session a réellement atteint le paramètre spécifique sur le matériel de l'appareil où un mot de passe par défaut serait modifié. Les chercheurs ont découvert qu'aucun des six appareils populaires testés ne possédait le type de mot de passe partagé, défini en usine, décrit par le conseil. Au lieu de cela, certains appareils avaient des mots de passe uniques pour chaque unité, tandis que d'autres n'avaient aucun mot de passe par défaut, obligeant le propriétaire à en créer un de toutes pièces. Comme le conseil n'expliquait pas comment faire la différence, les participants avaient souvent l'impression d'avoir réussi alors qu'ils avaient en réalité changé la mauvaise chose, comme leur identifiant de compte, laissant l'appareil lui-même vulnérable.
La situation était similaire lorsque les participants tentaient de mettre à jour le logiciel. Dans vingt-sept sessions, ils n'ont trouvé aucune option de mise à jour. Dans dix-neuf sessions, ils ont trouvé une mise à jour, mais elle concernait l'application compagnon sur leur téléphone, et non le logiciel interne de l'appareil. Seule trente-huit sessions ont réussi à atteindre l'état de mise à jour du firmware de l'appareil. Les chercheurs ont constaté que le langage utilisé dans les conseils et les étiquettes sur les appareils ne correspondaient souvent pas. Des termes comme « firmware » étaient inconnus de nombreux utilisateurs, qui hésitaient à cliquer dessus par peur de casser quelque chose. Sur certains appareils, l'information de mise à jour était cachée profondément dans les menus, tandis que sur d'autres, elle était clairement affichée. La confusion était si profonde que, dans plusieurs cas, les participants ont conclu qu'ils avaient parfaitement suivi le conseil, alors qu'ils n'avaient pas réellement sécurisé l'appareil. Un participant, frustré par la difficulté, a demandé aux chercheurs : « Suis-je juste aussi stupide ? » La réponse des chercheurs était claire : le problème n'était pas l'intelligence de l'utilisateur, mais l'inadéquation entre les instructions génériques et la conception spécifique, souvent cachée, des appareils.
L'étude a montré que l'approche actuelle de la sécurité est défaillante car elle suppose que tous les appareils fonctionnent de la même manière. Lorsqu'on dit à un utilisateur de « changer le mot de passe par défaut », il n'a aucun moyen de savoir si son appareil en possède un, ou si le paramètre qu'il trouve est le bon. Les chercheurs ont constaté que les utilisateurs suivaient naturellement le chemin le plus évident, qui les menait souvent à changer le mot de passe de leur compte plutôt que celui de l'appareil. Cela leur donnait un faux sentiment de sécurité, l'impression d'avoir accompli la tâche alors que l'appareil restait sans protection. Les preuves suggèrent que se contenter de dire aux gens d'être plus prudents ou de lire les instructions ne suffit pas. Le conseil lui-même doit changer pour aider les utilisateurs à déterminer si l'action est même nécessaire pour leur appareil spécifique, et les appareils doivent être conçus de manière à ce que les paramètres de sécurité soient visibles et faciles à comprendre. Tant que l'écart entre le conseil et la technologie ne sera pas comblé, les utilisateurs continueront de lutter, non pas parce qu'ils en sont incapables, mais parce que le chemin vers la sécurité est obscurci par une conception qui ne parle pas leur langue.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.