Chaque appareil a un compte. Chaque compte se réinitialise depuis la même adresse.
Faites le compte. L’enceinte, le thermostat, les ampoules, la caméra d’entrée, la serrure, l’aspirateur, la prise connectée du sapin de Noël. Chacun a une application. Chaque application a un compte. Et chaque compte, sans exception, peut être réinitialisé depuis la même adresse : la vôtre.
Celui qui contrôle cette boîte mail contrôle la maison. C’est rarement présenté ainsi, et c’est pourtant l’architecture réelle de la plupart des foyers connectés.
Le point de défaillance unique
Les fabricants d’objets connectés sécurisent leurs appareils avec des degrés de sérieux variables. Certains chiffrent correctement, imposent une authentification forte et publient des mises à jour pendant des années. D’autres non. Mais tous partagent un point commun : la procédure « mot de passe oublié » envoie un lien à votre adresse.
Autrement dit, la sécurité de la serrure connectée la mieux conçue du marché se ramène, en dernière analyse, à la sécurité de la boîte mail qui reçoit le lien de réinitialisation.
Si cette boîte est protégée par un mot de passe réutilisé ailleurs, sans double authentification, la maison entière hérite de cette faiblesse.
Ce qui transite par cette boîte
Au-delà des réinitialisations, la messagerie reçoit un flux continu d’informations sur votre vie domestique : alertes de mouvement, notifications d’ouverture de porte, rapports de consommation, confirmations que le chauffage est passé en mode absence.
Prises ensemble, ces notifications décrivent vos horaires, vos absences, la présence ou non de quelqu’un chez vous. Une boîte mail compromise n’est pas seulement une porte d’entrée vers vos comptes ; c’est un journal de bord de votre domicile.
Le dispositif Cybermalveillance.gouv.fr le rappelle régulièrement : la messagerie est le compte à protéger en priorité, précisément parce qu’elle donne accès à tous les autres.
Cinq mesures, dans l’ordre
Un mot de passe unique pour la messagerie. Pas le même que pour le compte de l’enceinte, ni celui de la boutique en ligne. Long, généré, stocké dans un gestionnaire.
La double authentification, avec une application plutôt que par SMS. Un code reçu par SMS peut être détourné ; une application d’authentification, beaucoup moins.
Une adresse dédiée aux objets connectés. C’est la mesure la plus efficace et la moins pratiquée. Les comptes des appareils pointent vers une adresse que vous n’utilisez pour rien d’autre, jamais communiquée, jamais exposée dans une fuite de données d’un autre service. Une boîte mail qui permet de créer des alias par appareil ou par fabricant va plus loin encore : si un fabricant subit une fuite, l’adresse compromise est celle de ce seul fabricant, et il suffit de la désactiver.
Le tri des notifications. Désactivez celles qui ne servent à rien. Ce qui ne transite pas ne peut pas être lu.
La revue annuelle des accès. Quels appareils sont encore actifs, quels comptes existent pour des objets que vous avez revendus ou jetés, quelles applications tierces ont un accès permanent. Ce qui ne sert plus se supprime.
Le cas de l’appareil revendu
Un point souvent oublié : la caméra ou l’enceinte vendue d’occasion reste liée à votre compte tant que vous ne l’avez pas dissociée. L’acheteur peut, dans certains cas, accéder aux enregistrements ou recevoir vos notifications. Réinitialiser l’appareil ne suffit pas toujours ; il faut aussi le retirer de votre compte côté fabricant, puis vérifier que l’adresse mail associée ne reçoit plus rien.
Ce que ça change
Aucune de ces mesures n’améliore la sécurité de vos appareils eux-mêmes. Ce qu’elles changent, c’est que la compromission d’un fabricant, d’une boutique en ligne ou d’un réseau social ne se propage plus jusqu’à votre porte d’entrée.
La maison connectée est un ensemble d’appareils. Sa sécurité est une adresse mail. Il vaut mieux le savoir avant qu’après.
- Partager l'article :
