L’association, c’est le moment où un babyphone décide à quel appareil faire confiance. Cette étape compte davantage que ne le laisse penser l’écran de configuration. Un code court facilite le démarrage, mais ne remplace ni l’échange de clés ni la confirmation sur les deux appareils.
Processus de sécurisation
À quoi devrait ressembler une association sécurisée
Créer un point de rencontre
Un code court ou un lien permet d’abord aux deux appareils de se retrouver au même endroit.
Échanger les données cryptographiques nécessaires aux clés
Ensuite, les appareils doivent effectuer un échange cryptographique ; le code visible ne suffit pas.
Comparer ce que voient les deux appareils
Les deux appareils doivent pouvoir vérifier qu’ils voient la même session et que l’appareil en face est bien le bon.
Ne faire confiance à la session qu’après ces vérifications
Ce n’est qu’alors que la connexion est protégée contre les erreurs d’association les plus évidentes, d’une manière compréhensible pour les parents.
Pourquoi un code court peut donner un faux sentiment de sécurité
Les codes courts ont leur utilité : ils sont rapides à saisir, faciles à lire à voix haute et pratiques dans la vie de famille. Le problème commence lorsqu’on les considère comme l’unique mécanisme de sécurité. Souvent, ils ne sont qu’un point de rencontre. Sans échange de clés ni comparaison entre les deux appareils, l’écran de configuration masque une trop grande partie des éléments sur lesquels repose la confiance.
Pour un babyphone, ce n’est pas une question abstraite de cryptographie. Il faut s’assurer que le mauvais appareil n’est pas associé par erreur, qu’une autre session ne s’introduit pas dans le processus et que les parents voient clairement à quoi ressemble une association correcte. Une bonne sécurité permet de vérifier cette étape.
Modèle fragile
Saisir un seul code court, puis c’est terminé, sans autre confirmation. C’est simple à utiliser, mais difficile à vérifier du point de vue des parents.
Meilleur modèle
Le code sert d’abord de point de rencontre, puis vient un véritable échange de clés avec une confirmation visible sur les deux appareils.
Modèle robuste
Une identité d’appareil clairement indiquée, la comparaison d’un numéro de sécurité ou d’un code de type SAS, et une faible dépendance à des données de compte conservées à long terme.
À quoi ressemble une bonne association pour un parent
Une bonne association affiche davantage qu’un simple message indiquant que la connexion est établie. Elle rend le processus visible : une vérification de sécurité, une confirmation sur les deux appareils et un texte clair expliquant pourquoi un numéro, un code ou une validation est nécessaire. C’est ainsi que la sécurité technique devient utile au quotidien.
Moins la logique d’association est visible, plus les parents doivent l’examiner attentivement. Une configuration très fluide peut sembler pratique, mais elle laisse peu de possibilités de vérifier cette étape cruciale. Les produits accessibles à distance par Internet devraient expliquer particulièrement clairement comment ils empêchent les associations erronées.
Signes que l’association est peut-être trop faible
il manque peut-être tout simplement une étape de sécurité importante.
le produit ne communique pas assez clairement l’identité de l’appareil.
il devient difficile de vérifier que l’association est bien celle voulue.
Association et confidentialité vont de pair
Une association sécurisée protège contre la connexion au mauvais appareil et contribue aussi à limiter les données nécessaires. Si une application sécurise correctement les sessions et la connexion avec l’autre appareil, elle a moins besoin de comptes permanents, d’adresses e-mail ou de systèmes complexes de gestion des utilisateurs. Les systèmes bien conçus peuvent souvent fonctionner avec moins de données personnelles.
C’est précisément pour cela que les pages consacrées à l’architecture sont utiles. Elles montrent si un fournisseur considère l’association comme un véritable enjeu de sécurité ou simplement comme une étape de prise en main qui doit être fluide à tout prix.
Questions à poser sur l’association
- Le code visible sert-il seulement à simplifier la procédure, ou assure-t-il à lui seul toute la sécurité ?
- Les deux appareils confirment-ils clairement qu’il s’agit de la même session ?
- Les parents peuvent-ils comprendre comment le produit empêche d’associer le mauvais appareil ?
- Le système a-t-il besoin de données de compte conservées à long terme uniquement pour associer deux appareils ?
- Après l’association, peut-on toujours voir à quel appareil appartient la session ?
Questions fréquentes
Un code d’association court est-il sécurisé à lui seul ?
Le code court doit seulement aider deux appareils à se trouver. Les appareils doivent ensuite créer les véritables clés cryptographiques sans les envoyer au serveur.
Pourquoi les deux appareils affichent-ils un numéro de vérification ?
Des numéros de vérification identiques permettent de détecter une éventuelle manipulation passée inaperçue lors de l’échange de clés. Si les numéros diffèrent, arrêtez le processus et recommencez l’association.
Dois-je associer les appareils à nouveau après une réinstallation ?
Cela dépend de la conservation de la clé cryptographique propre à l’appareil. Après une réinstallation ou un changement d’appareil, recommencer l’association est généralement la solution la plus sûre et la plus claire.
Sources et lectures complémentaires
- Sécurité et architecture de Babyphone Timmy · Babyphone Timmy
- S’authentifier anonymement avec Firebase · Documentation Firebase
- Premiers pas avec WebRTC · WebRTC
- API WebRTC · Documentation Web MDN
- Internet des objets OWASP · Fondation OWASP
- Appareils connectés : les utiliser en toute sécurité chez vous · National Cyber Security Centre (Royaume-Uni)
- *Privacy Not Included – Guide d’achat des produits connectés · Fondation Mozilla
- Exigences de la politique relative aux familles · Aide Google Play