CyLab présente au lancement par la Maison Blanche du nouveau système d'étiquetage de cybersécurité IoT

Yuvraj Agarwal, professeur agrégé de Carnegie Mellon, partage les recherches du CyLab lors du lancement par la Maison Blanche de son nouveau label de cybersécurité IoT. Source : diffusion en direct de la Maison Blanche

Mardi, le CyLab Security and Privacy Institute de l'Université Carnegie Mellon(opens in new window) a rencontré des représentants du gouvernement et des leaders de l'industrie technologique alors que la Maison Blanche a lancé son nouveau label de cybersécurité pour l'Internet des objets (IoT)(opens in new window).

Le professeur agrégé de l'École d'informatique Yuvraj Agarwal (ouvre dans une nouvelle fenêtre) a représenté la CMU lors de l'événement, partageant les principales conclusions de plus de cinq années de recherche du CyLab sur la sécurité et les étiquettes de confidentialité de l'IoT.

L’émergence de la technologie IoT a apporté aux consommateurs de nombreux avantages, allant de l’amélioration de l’efficacité énergétique à l’automatisation des tâches de routine. Cependant, des inquiétudes grandissent quant à la sécurité et à la confidentialité de ces appareils, ainsi qu’un malaise quant à la vente ou au partage de données sensibles avec des tiers.

« Nous voyons des babyphones dotés de caméras auxquelles des étrangers peuvent accéder via Internet et des thermostats intelligents qui ne divulguent pas l'utilisation de microphones », a déclaré Lorrie Cranor(opens in new window), directrice du CyLab et professeure au département Logiciels et sociétal de la CMU. Départements Systèmes et Ingénierie et Politiques Publiques. « Les consommateurs s’inquiètent à juste titre de la sécurité et de la confidentialité des appareils IoT. »

Depuis 2018, les professeurs et les étudiants du CyLab plaident en faveur des labels IoT afin de responsabiliser les consommateurs en leur fournissant les connaissances nécessaires pour prendre des décisions d'achat éclairées.

Dirigée par Cranor et Agarwal, l'équipe a exploré les facteurs de confidentialité et de sécurité dans les comportements d'achat d'appareils IoT, découvrant une volonté parmi les consommateurs de payer des primes significatives pour des produits arborant une étiquette cohérente mettant en évidence des caractéristiques positives de sécurité et de confidentialité.

L'année dernière, Agarwal, Cranor et Pardis Emami-Naeini, ancienne élève de Carnegie Mellon et professeur adjoint à l'Université Duke, ont publié un article de synthèse intitulé « Un label de « nutrition » informatif en matière de sécurité et de confidentialité pour les appareils Internet des objets (ouvre dans une nouvelle fenêtre) », décrivant leur parcours dans la conception d’une étiquette de sécurité et de confidentialité IoT. Ils ont également lancé un générateur gratuit et facile à utiliser (ouvre dans une nouvelle fenêtre), permettant aux fabricants d'appareils de créer des étiquettes spécifiques à leurs produits.

"Nous avons conçu notre étiquette selon un processus en plusieurs étapes qui impliquait des recherches approfondies auprès des consommateurs et des experts", a déclaré Agarwal. « Notre label IoT actuel met en évidence les informations les plus exploitables pour les consommateurs, couvrant à la fois les facteurs de sécurité et de confidentialité. »

Lors d'une précédente réunion de la Maison Blanche en octobre 2022 (ouvre dans une nouvelle fenêtre), Agarwal a présenté un exposé sur le label IoT de Carnegie Mellon, proposant une solution testée par les consommateurs qui pourrait être immédiatement mise en œuvre dans l'ensemble du secteur de l'IoT.

Agarwal et Cranor continuent de siéger à la table, faisant partie d'un groupe de travail chargé de faire avancer l'initiative d'étiquetage de l'IoT et rencontrant plusieurs organisations, y compris des associations industrielles, pour partager leurs recherches sur le sujet.

Dans leur étude la plus récente, Agarwal et Cranor ont interrogé plus de 500 acheteurs d'appareils IoT, leur montrant trois modèles potentiels de complexité variable pour les étiquettes d'emballage de produits IoT. La conception de faible complexité comprenait simplement un bouclier et un code QR, la version de complexité moyenne ajoutait quelques caractéristiques clés de sécurité et de confidentialité, et la conception de haute complexité incluait des informations détaillées sur la sécurité et la confidentialité.

Les consommateurs ont massivement préféré le design contenant le plus d'informations, même s'ils ont également trouvé que le design de complexité moyenne était compréhensible et utile pour choisir un produit à acheter. Une majorité de consommateurs n'étaient pas satisfaits de la conception peu complexe, l'identifiant comme l'option la moins appréciée.

« Nous avons constaté que les consommateurs souhaitent connaître les propriétés de sécurité et de confidentialité des produits IoT et que le fait de disposer de ces informations influence leur perception des risques et leur volonté d'acheter des appareils intelligents », a déclaré Agarwal. "Nos dernières recherches montrent que même si l'accès à ces informations via un code QR peut être utile, les consommateurs préfèrent que les informations importantes en matière de sécurité et de confidentialité soient facilement accessibles sur l'emballage du produit."