Des tests de sécurité pour les produits connectés, de la carte électronique au cloud
Nous testons les objets et produits que vous fabriquez comme un seul système : le matériel, le firmware, l'application associée, le backend auquel il se connecte et la façon dont il est mis à jour. Dans un périmètre que vous autorisez par écrit, avec des constats exploitables par vos ingénieurs.
Présentation
Pourquoi un produit connecté mérite son propre test
Un produit connecté est rarement d'un seul tenant. C'est un objet avec son firmware, une application mobile ou de bureau, un service cloud, une API et un canal de mise à jour, souvent construits par des équipes et des fournisseurs différents. Les faiblesses se logent souvent là où ces éléments se rencontrent ; nous les testons donc ensemble, en suivant la confiance qu'ils s'accordent.
Nous ne testons que des produits que vous fabriquez ou que vous êtes en droit de faire tester, sur des unités et des environnements que vous fournissez ou approuvez. La mission couvre les volets que vous choisissez, et nous pouvons examiner la documentation, la conception et le code source en complément des tests pratiques pour une vision plus complète.
Le travail peut s'appuyer sur des référentiels reconnus, par exemple ETSI EN 303 645 pour l'IoT grand public ou les guides IoT de l'OWASP, et il fournit des éléments de preuve utiles pour préparer le règlement européen sur la cyberrésilience. Black Fox n'est pas un organisme notifié et ne certifie pas de produits. Nous testons, nous rendons compte et nous vous aidons à corriger ce que nous trouvons.
À qui s'adresse ce service
Les fabricants d'objets et de produits connectés, de la maison connectée et des objets portés grand public aux équipements industriels, du bâtiment ou proches du médical, ainsi que les équipes qui développent leurs firmwares, applications et services cloud. Particulièrement utile aux fabricants qui préparent leurs produits au règlement européen sur la cyberrésilience ou qui doivent répondre aux questions de sécurité de distributeurs, d'intégrateurs et de clients professionnels.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Objet et matériel
L'unité physique et ses interfaces accessibles, par exemple ports de débogage et de maintenance, stockage et boutons, et ce qu'une personne ayant l'objet en main pourrait apprendre ou modifier.
Firmware
Une revue de l'image firmware et de son fonctionnement, entre autres secrets stockés, composants obsolètes, réglages par défaut, services locaux et protection de son propre code par l'objet.
Application compagnon
L'application mobile ou de bureau qui configure et pilote l'objet : appairage, authentification, données stockées sur le téléphone ou l'ordinateur, et ce qu'elle accepte de l'objet et du cloud sans vérification.
Backend cloud et API
Les services avec lesquels l'objet et l'application communiquent, y compris l'identité des objets, les comptes et le contrôle d'accès, le cloisonnement entre clients et les API exposées à l'objet, à l'application et aux tiers.
Processus de mise à jour
La façon dont les mises à jour sont construites, signées, distribuées et installées, si l'objet n'accepte que celles qu'il doit accepter, et son comportement en cas de retour arrière et de restauration.
Communications et appairage
La façon dont les éléments du produit communiquent entre eux par le réseau et les liaisons radio locales, et si ces échanges sont protégés et authentifiés comme le prévoit la conception.
Déroulement de la mission
Lancement et cadrage
Nous convenons du produit, des versions, des composants concernés et de ce qui est exclu. Un accord de confidentialité peut être signé avant la première réunion.
Proposition et autorisation
Une proposition, puis une autorisation écrite d'une personne habilitée et des règles d'engagement : unités de test, environnements, contacts et signalement des découvertes critiques.
Cartographie du produit
À partir de votre documentation et des unités fournies, nous cartographions les composants, interfaces, flux de données et relations de confiance, puis convenons des priorités.
Tests
Tests pratiques de l'objet, du firmware, de l'application, du backend et du processus de mise à jour dans le cadre convenu. Ce qui ne peut pas attendre le rapport vous est signalé immédiatement.
Remise des résultats
Un rapport métier et un rapport technique avec preuves de concept et conseils de remédiation, présentés aux ingénieurs et responsables produit qui vont agir.
Contre-test
Une fois les correctifs intégrés à une nouvelle version, nous testons à nouveau les vulnérabilités signalées et consignons celles qui sont closes.
Ce que vous recevez
- Périmètre et règles d'engagement convenus
- Cartographie du produit : composants, interfaces et relations de confiance
- Rapport métier avec appréciation des risques pour la direction
- Rapport technique avec preuves de concept et conseils de remédiation par composant
- Éléments pour l'évaluation des risques de cybersécurité et la documentation technique
- Résultats du contre-test pour les vulnérabilités corrigées
Questions
Testez-vous des objets que nous n'avons pas fabriqués ?
Non. Nous testons les produits que vous fabriquez, ou que vous êtes en droit de faire tester, avec une autorisation écrite. Si un composant tiers entre dans le périmètre, nous convenons avec vous de son traitement avant de commencer.
De quoi avez-vous besoin de notre part ?
En général des unités de test, un accès à l'application, un environnement de test pour le backend et la documentation que vous pouvez partager. Images firmware, documents de conception et code source sont facultatifs, mais ils permettent de couvrir davantage dans la même mission.
Ce test rend-il notre produit conforme au règlement sur la cyberrésilience ?
Non. Les tests sont une preuve pour certaines exigences essentielles, mais la conformité repose sur l'évaluation des risques, la conception, la gestion des vulnérabilités et la documentation ensemble. Black Fox n'est pas un organisme notifié. Le test vous dit où en est le produit et quoi corriger.
Pouvez-vous tester avant la mise sur le marché ?
Oui, et c'est souvent le meilleur moment. Tester une version de présérie laisse le temps de revoir des choix de conception difficiles à changer une fois les unités chez les clients.
Services associés
- Conformité et certificationCyber Resilience ActCyber Resilience Act avec Black Fox Security : écarts face aux exigences essentielles, tests de sécurité produit, gestion des vulnérabilités et documentation.
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Sécurité offensiveTests d'applications mobilesTests d'applications mobiles par Black Fox Security : vos applications iOS et Android et leurs API, sur un périmètre convenu, avec rapports et contre-test.
- Sécurité offensiveTests radio et sans filTests radio et sans fil par Black Fox Security : Wi-Fi, Bluetooth, liaisons sub-GHz et badges d'accès, évalués sur autorisation écrite, dans les règles radio.
Dites-nous ce que vous fabriquez
Décrivez le produit, sa façon de se connecter et d'être mis à jour. Nous revenons vers vous avec un périmètre et une proposition.