Veille-cyber.com était un des partenaire média du congrès Cybersecurity and IOT Solutions de Barcelone qui a eu lieu du 30 janvier au 2 février 2023 à Barcelone. Nous avons pu interviewer plusieurs intervenants et nous proposons cette semaine une interview de Mr Guillaume Crinon directeur de la stratégie commerciale IOT chez Keyfactor
Mr Crinon, en quelques mots
Guillaume Crinon est directeur de la stratégie commerciale IOT chez Keyfactor .
Il a plus de 25 ans d’expérience dans l’industrie des semi-conducteurs et du logiciel, la sécurité IoT, la conception de circuits intégrés, la gestion d’équipes et de projets et le développement commercial. Depuis 7 ans, il consacre tout son temps aux technologies de sécurisation IoT et à la façon d’unifier les approches cyber entre IT et IoT. Il est diplômé de SUPELEC à Paris (MSc en EE) et est co-auteur de 13 brevets internationaux dans la sécurité, les systèmes sans fil, les architectures et la conception de circuits intégrés.
Pourquoi ce poste chez Keyfactor ?
Keyfactor est une entreprise spécialisée dans le logiciel de gestion de PKI privée (Public Key Infrastructure) et de CLM (gestion du cycle de vie de certificats) avec une renommée bien établie sur le marché IT. Je suis personnellement convaincu depuis longtemps que la sécurisation des projets IoT de nos clients doit tout simplement s’intégrer dans leur stratégie cyber globale, supervisée par leur service IT. A ce titre, il me semblait intéressant d’aider Keyfactor à développer ce marché IoT grâce à ma connaissance du monde manufacturier tout en y apportant la technologie du certificat numérique et de la PKI privée qui sécurisent parfaitement internet et les réseaux privés de nos clients. Adapter cette technologie au monde IoT, c’est tout simplement étendre les types de machines, objets et appareils qui peuvent en bénéficier, au-delà des traditionnels ordinateurs, serveurs et smartphones.
Quel est le métier de Keyfactor ?
Keyfactor est un éditeur de logiciels qui permettent de générer et d’administrer des identités numériques pour des machines ou des personnes de façon très sécurisée. Nos produits s’articulent autour de 3 axes : la génération de certificats numériques par EJBCA, un outil de PKI privée ; l’administration dynamique et automatisée de ces certificats par COMMAND, un outil de gestion de cycle de vie de certificats ; la protection de documents ou logiciels serveurs ou embarqués par SIGNUM et SignServer, nos outils de signature numérique.
La spécificité de l’entreprise est d’aider nos clients à mettre en place des process de DevSecOps qui permettent de gérer droits et traçabilité des actions de signature numérique et de zéro-trust afin de simplifier leurs architectures de réseaux tout en garantissant une sécurité à l’état de l’art. Nos outils aident nos clients à protéger leurs données sensibles, garantir la sécurité de leurs communications, s’assurer de l’authenticité des transactions et de respecter les réglementations et les normes de sécurité en vigueur.
Quelle est votre clientèle cible côté IOT ?
Nous avons principalement deux catégories de clients dans le domaine IoT :
- les fabricants d’appareils connectés qui doivent injecter une identité forte et unique dans chacun de leurs objets à la fabrication, à la manière d’un passeport numérique infalsifiable attestant de la provenance de l’appareil tout au long de sa vie et permettant au fournisseur de service de le déployer sans intervention manuelle. Ces certificats numériques souvent au format X.509 contiennent des informations telles que sa clé publique, le numéro de série de l’appareil à qui le certificat a été délivré, l’identité et la clé publique de l’autorité de certification qui a délivré le certificat, ainsi que les dates de validité du certificat. Ces informations sont signées numériquement par l’autorité de certification pour garantir l’intégrité des données et s’assurer que le certificat n’a pas été altéré depuis sa délivrance.
- les fournisseurs de services qui déploient ces machines et appareils avec des services associés à des clients finaux et doivent s’appuyer sur des certificats numériques opérationnels à durée de vie courte afin de sécuriser les communications de ces appareils, leurs mises-à-jour à distance, le changement d’utilisateur, des migrations cloud éventuelles, la protection des données des utilisateurs finaux, etc
Quels sont les enjeux et avantages de l’externalisation de la PKI dans un contexte des managements des identités dans l’IOT chez Keyfactor ?
Dans le contexte de la gestions des identités, l’externalisation de la PKI peut présenter des avantages, tels que la simplification des opérations et la réduction des coûts pour les entreprises qui ne disposent pas d’une grande équipe dédiée à la cybersécurité. Quelque soit le déploiement et le modèle retenus, il faut cependant s’assurer de ne jamais partager son certificat racine avec d’autres entreprises comme certains acteurs de la PKI le proposent trop souvent dans un but de mutualisation de coûts ou de « simplification » de process. C’est beaucoup plus risqué sur le plan cyber, cela rend l’authentification des machines concernées plus difficile à vérifier lors de chaque transaction opérationnelle, et il est quasiment impossible de changer d’avis ultérieurement et de migrer sa branche sous une autre racine.
Je recommande plutôt à chaque organisation qui souhaite externaliser tout ou partie de sa PKI de s’assurer qu’elle est totalement indépendante et détachée de toute racine extérieure, de garder le contrôle et la propriété légale des clés privées de tous les certificats, racines, intermédiaires et feuilles de manière à pouvoir le cas échéant, migrer l’infrastructure chez un autre fournisseur sans risque de perte d’information.
Quels sont les cas d’usages possibles de vos solutions dans l’industrie automobile ?
Une voiture haut-de-gamme actuelle embarque beaucoup de logiciel, 100 millions de lignes de code pour 10 millions dans un Boeing 787 à titre de comparaison. Cela signifie que ces logiciels doivent pouvoir être mis à jour de façon sécurisée, chez le garagiste ou à distance chez le particulier. Pas moins d’une centaine de processeurs locaux composent les sous-systèmes de ces véhicules, gérant aides à la conduite, sécurité, confort, média. Les bus de communication entre ces sous-systèmes doivent être rigoureusement sécurisés de façon à prévenir toute attaque cyber extérieure, d’autant plus si le véhicule dispose d’une connexion de service au réseau cellulaire, donc internet. Les véhicules électriques doivent en plus s’authentifier auprès des bornes de recharge.
Les standards C-ITS anticipent une interactivité croissante des véhicules avec leur environnement par le biais de communications radio avec les infrastructures routières (V2I), les autre véhicules (V2V), des services routiers (V2X), afin d’améliorer la sécurité de nos routes.
La PKI est un système de sécurité efficace pour protéger les échanges de données et les informations sensibles, mais les certificats numériques peuvent devenir obsolètes et nécessitent des mises à jour régulières pour garantir leur efficacité et leur sécurité.
C-ITS fait donc un grand usage de PKI afin de sécuriser ces systèmes très sensibles que sont nos véhicules et infrastructures routières.
Keyfactor fournit déjà des solutions à de grands constructeurs et équipementiers automobiles pour sécuriser la connectivité, les transactions V2V V2I et V2X, les systèmes internes des voitures et camions et leurs mises à jour logicielles, améliorant ainsi la sécurité des véhicules connectés, protégeant les données sensibles de leurs conducteurs et passagers et la vie de ces derniers.