Ask HN : Je suis un commissaire de la FCC proposant une réglementation sur les mises à jour de sécurité de l’IoT

• Le commissaire de la FCC Nathan Simington cherche à traiter le problème des vulnérabilités graves fréquentes dans les appareils IoT, du fait que les fabricants publient les mises à jour tardivement, voire pas du tout, et que la durée de support n’est pas clairement communiquée au moment de la vente ou de la fin de vie du produit
• La FCC a proposé un projet de réglementation pour un programme d’étiquetage cybersécurité des appareils connectés, et veut y inclure une exigence de divulgation de la durée pendant laquelle un produit recevra des mises à jour de sécurité
• Les fabricants s’opposent aux engagements liés aux mises à jour de sécurité ; si vous soumettez un avis à la procédure de la FCC avant le 25 septembre 2023 à minuit, heure de l’Est, la FCC devra examiner ces arguments

[GN⁺]

Avis Hacker News

• Un commissaire de la FCC propose une réglementation sur les mises à jour de sécurité des objets connectés et échange avec la communauté Hacker News pour discuter et recueillir des retours.
• La FCC recueille en ligne des commentaires officiels sur cette proposition jusqu’au 25 septembre. Tous les commentaires seront pris en compte dans la règle finale.
• La discussion inclut des points de vue variés, notamment ceux d’ingénieurs firmware, qui soulèvent des questions sur la définition des failles de sécurité, les risques de sécurité potentiels des mises à jour à distance, ainsi que la responsabilité des fabricants pour les dommages causés par des attaques visant des appareils vulnérables.
• Certains commentaires soulignent la hausse de la cybercriminalité liée aux objets connectés, en particulier dans les zones de conflit, ainsi que la possibilité que ces appareils soient utilisés pour de la surveillance illégale ou la coordination d’attaques.
• Des inquiétudes existent quant aux difficultés rencontrées par les fabricants, en particulier les petites équipes, pour identifier les vulnérabilités et maintenir la sécurité, ainsi qu’au devenir des appareils s’ils cessent leur activité ou si leur site web est compromis.
• Il est proposé que les objets connectés puissent fonctionner sans contact avec un service central et qu’il existe des règles imposant un niveau minimal de fonctionnalités dans des environnements isolés ou autogérés afin d’éviter les risques de sécurité inhérents.
• Certains demandent que les fabricants assurent un support de leurs appareils pendant une durée minimale et, à la fin de ce support, publient l’intégralité du code source afin que les consommateurs puissent contrôler le firmware et éviter que les appareils deviennent inutilisables.
• Des inquiétudes sont aussi exprimées quant à la capacité d’appliquer réellement la réglementation proposée, en particulier aux fabricants étrangers, avec la suggestion que les grandes plateformes IoT devraient auditer les appareils et interdire ceux qui ne respectent pas les critères.