Ce botnet Bitcoin est en lice pour devenir l'avenir de l'IoT sécurisé

Les affirmations fortes nécessitent des preuves solides, donc lorsque les fondateurs de NeuroMesh ont décrit leur produit basé sur Bitcoin comme un « botnet inviolable », il y avait beaucoup de questions à se poser.

Pourtant, cette affirmation a déjà été soutenue par des distinctions telles qu'une deuxième place auMIT 100 000 $ défi de démarrage et une position présélectionnée dans le cadre duAtos IT Challenge 2017– ces deux éléments renforcent la crédibilité du projet.

Fondée par Greg Falco, doctorant au MIT étudiant la cybersécurité, et Caleb Li, étudiant en MBA dans la même institution, NeuroMesh cherche à trouver des solutions aux problèmes de sécurité de l'Internet des objets (IoT).

« Vaccin » IoT

Le duo a vu ce qu'ils considèrent comme une lacune sur le marché pour un produit de sécurité qui fonctionnerait spécifiquement dans les limites imposées par les appareils à faible consommation d'énergie et à stockage limité.

L'idée de NeuroMesh est d'imiter les mêmes tactiques que celles utilisées par les pirates informatiques lorsqu'ils tentent de compromettre les machines en premier lieu : installer un code léger qui détourne le noyau puis se connecte à un serveur de commande et de contrôle (C&C), ajoutant les ressources de la machine à un botnet dirigé par le « berger » du bot.

« Nous voulions créer un vaccin pour les appareils IoT en installant d'abord notre propre logiciel de sécurité sur le noyau », a déclaré Li. « C'est comme jouer à 'King of the Hill', nous devenons ainsi les seuls à pouvoir contrôler l'appareil. »

ONEun des principaux points de vulnérabilité d'un botnet est une attaque sur le serveur C&C, ce qui est souvent observé lorsque des pirates informatiques concurrents tentent de mettre hors ligne les botnets de leurs rivaux et de prendre le contrôle des appareils.

La solution de NeuroMesh consiste à envoyer des commandes aux appareils sécurisés par leur Technologies via OP_RETURN codes dans la blockchain Bitcoin – code qui permet la transmission de données arbitraires (telles que « Mined by Antpool », « Happy halving day » ou dans un cas, le texte d'une lettre encyclique du pape François).

« Cela signifie que nous pouvons réellement envoyer une liste noire d'adresses IP auxquelles ces appareils IoT ne devraient T communiquer via la blockchain Bitcoin », a expliqué Falco, ajoutant :

« Habituellement [avec les botnets], vous pouvez fermer un serveur central d'où provient la commande, mais avec la blockchain, nous n'avons T à nous en soucier car elle est entièrement décentralisée. »

Nouvelle avancée dans la recherche

Concrètement, cela implique un serveur C&C connecté à une adresse de portefeuille Bitcoin et capable de signer des transactions. À leur tour, les objets connectés du réseau NeuroMesh exécuteraient un Client SPVqui lit uniquement les transactions signées par NeuroMesh et exécute les commandes contenues dans les données OP_RETURN.

Étant donné que les données sont propagées entre les nœuds Bitcoin de manière décentralisée, en théorie, la lecture de ces commandes ne donne aucune information supplémentaire sur l'emplacement du serveur qui les a émises à l'origine.

Dr Michael Siegel, directeur associé du MIT Consortium de cybersécurité IC3et conseiller de recherche pour le projet NeuroMesh, affirme que le travail de Li et Falco s'inscrit dans une tradition de recherche sur la communication sécurisée entre les systèmes distribués.

« C'est une utilisation intelligente d'un petit morceau de code qui peut fonctionner sur de nombreux types d'appareils », a déclaré Siegel à CoinDesk.

Il a continué :

« C'est une excellente idée : pas totalement nouvelle, mais, dans l'espace IoT, la combinaison de ce qu'ils font avec les botnets, la blockchain et le commandement central est quelque chose de nouveau qu'ils ont établi, et semble être un environnement extrêmement sécurisé pour la gestion de petits appareils distribués. »

Falco a également confirmé que la particularité de l’offre NeuroMesh réside dans la recherche d’une nouvelle utilisation pour les pratiques existantes.

« Bien que ce que nous faisons soit nouveau d'un point de vue commercial, il existe plusieurs études de cas de chercheurs en sécurité white hat faisant ce que nous faisons pour combler les vulnérabilités d'un système », a-t-il déclaré.

Autres risques

Roman Sinayev, ingénieur en logiciels de sécurité qui conçoit des systèmes anti-malware chezRéseaux Juniper, connaît les concepts derrière le projet NeuroMesh (bien qu'il n'ait pas vu le logiciel en action).

En supposant que le code soit écrit sans aucune erreur exploitable, le résultat serait un canal de communication sécurisé, a déclaré Sinayev.

Il a également souligné que la blockchain n’est T nécessaire pour masquer les communications.

« Une autre solution serait d'utiliser un programme P2P comme BitTorrent», a-t-il déclaré. « On pourrait aussi utiliser plusieurs serveurs proxy différents et modifier les adresses IP, ou utiliser un service intermédiaire, par exemple en intégrant des informations dans des images sur une chaîne publique. »

Sans avoir vu le code, Sinayev a souligné qu'il est impossible de vérifier que le produit NeuroMesh fonctionne exactement comme décrit. Cependant, il a suggéré que (comme pour tous les logiciels de sécurité) la meilleure pratique serait de procéder à un audit indépendant une fois le produit finalisé.

Dans un esprit de prudence similaire, le Dr Siegel du MIT a souligné que la Technologies n'est pas toujours le point le plus faible d'un système, en déclarant :

« À la base, il y a un système très sécurisé, doté d' une Technologies solide et d'une sécurité difficile à contourner. Mais cela n'empêche T les humains de faire des bêtises ! Au bout du compte, il y aura quelqu'un qui contrôlera les mots de passe et les accès, et cette personne pourrait toujours faire une bêtise. »

Même en tenant compte de l'erreur Human , le réseau Bitcoin s'est avéré extrêmement résistant aux activités malveillantes, et c'est cette propriété que Falco et Li espèrent exploiter avec leur produit IoT.

Li a dit :

« Nous l'appelons « inviolable » car à ce jour, la blockchain Bitcoin n'a T été piratée. »

Image de bébé du mondevia Flickr