Medtech

9 pharmaciens métropolitains sur 10 ont entendu parler des objets connectés, soit une progression de 17 points en un an: c’est ce que révèle une étude de juin 2016 d’Occurrence HealthCare.

L’utilisation des dispositifs médicaux connectés reste toutefois minoritaire : moins de deux pharmaciens sur 10 les utilisent. Leur taux d’utilisation est néanmoins deux fois plus important parmi ceux qui regardent l’avenir de la profession avec optimisme (31%). Plus le CA de l’officine est important, plus forte est l’utilisation des DMC.

15% des officines proposent aujourd’hui des DMC avec une différence du simple au triple entre les « optimistes » et les « pessimistes », selon Occurrence HealthCare.

1/5 des titulaires affirment avoir déjà conseillé un DMC à des patients (contre 1/10 il y a un an), 1/4 dans les grosses pharmacies.

3/4 des pharmaciens se déclarent prêts à utiliser et conseiller des OC contre moins de 2/3 il y a un an. On retrouve une plus forte appétence chez les hommes et les urbains. Les 45-55 ans sont les plus réfractaires à ces innovations.

« De nombreux fabricants (de bracelets connectés, ndlr) continuent à faire des erreurs […]. Ils n’accordent souvent pas suffisamment d’attention à l’aspect sécuritaire », c’est ce qu’indique une étude de AV-TEST publiée le 18 juillet 2016, portant sur la sécurité des informations issues de 7 bracelets connectés fonctionnant sous Android parmi les plus vendus, ainsi que l’Apple Watch.

Les montres offrant la meilleure sécurité selon les tests effectués :

• Pebble Time,
• Basis Peak,
• Microsoft Band 2,
• Mobile Action Q-Band
• Apple Watch (a fait l’objet d’un test séparé du fait des différences d’OS)

Les montres cumulant le plus de facteurs de risques:

• Runtastic Moment Elite,
• Striiv Fusion,
• Xiaomi MiBand

Le capteur, l’application et la communication en ligne ont été testés

Le capteur

• Visibilité: Tous les capteurs d’activité utilisent Bluetooth pour se connecter au smartphone. Les testeurs ont d’abord examiné les problèmes classiques. L’invisibilité pour les autres appareils Bluetooth constitue un aspect sécuritaire important.
  • Seuls les bracelets de Microsoft et Pebble offrent cette sécurité. Mobile Action prétend aussi pouvoir offrir cette sécurité, mais reste repérable.
• Confidentialité BLE: Le deuxième aspect sécuritaire pour Bluetooth est la fonction de confidentialité BLE disponible depuis la version 5.0 d’Android. L’appareil génère sans cesse une nouvelle adresse MAC pour la connexion Bluetooth. Il ne communique pas son adresse réelle et ne peut donc pas être pisté.
  • Seul Microsoft Band 2 a recours à cette technologie. Tous les autres ne connaissent pas cette technique.
• Connectivité: Il existe plusieurs possibilités techniques pour connecter un appareil. Un appairage Bluetooth exclusif (c’est-à-dire que le capteur ne peut se connecter qu’à un seul smartphone connu) est très sûr.
  • Il est seulement utilisé par Basis Peak et Microsoft Band 2 lors du test.
  • Pebble Time permet de se connecter à plusieurs appareils, mais chaque connexion doit être confirmée manuellement par l’utilisateur ce qui est également une méthode sûre.
  • Xiaomi MiBand choisit une solution simple et sûre à la fois : il devient invisible après s’être apparié et n’accepte pas d’autre connexion.
  • Seuls les bracelets de Striiv, Runtastic et Mobile Action n’utilisent pas de technique fiable pour empêcher des appareils étrangers de se connecter.
• Authentification: Si un smartphone étranger arrive à se connecter au capteur d’activité, alors certains produits proposent un autre mécanisme de sécurité : l’authentification. Seuls 3 des 7 produits utilisent ce second seuil de sécurité :
  • Basis Peak, Microsoft Band 2 et Pebble Time.
  • Xiaomi fait certes appel à cette technique, mais l’accès est assez simple à contourner et donc éventuellement inefficace.
  • Les 3 autres produits renoncent à cette sécurité supplémentaire ou ne l’appliquent pas suffisamment.
• Protection anti-manipulation: La protection doit être conçue de manière à empêcher l’accès par des tiers et à exclure la manipulation des données par le propriétaire du smartphone.
  • Seuls les produits de Basis, Microsoft, Pebble et Xiaomi présentent une protection fondamentale dans ce domaine. Cependant, l’appareil de Xiaomi peut aussi être dupé en raison de sa faible authentification. Un étranger peut ainsi faire vibrer le bracelet, modifier l’heure du réveil ou même réinitialiser tous les paramètres d’usine du capteur d’activité.
• Les bracelets connectés Striiv et Mobile Action n’utilisent aucune authentification adéquate et fonctionnelle ou d’autres mécanismes de protection ce qui les rend susceptibles d’être manipulés. Dans le cas de Striiv Fusion, les valeurs des mensurations de l’utilisateur pouvaient être modifiées jusqu’à atteindre un niveau surhumain. Ces dernières ont ensuite directement influencé le calcul des distances et des calories brûlées. Lors du test, il était également possible de modifier les informations enregistrées concernant le poids, la taille, la longueur de pas de l’utilisateur, etc. sur le bracelet connecté de Mobile Action. Ces valeurs étaient alors directement utilisées pour calculer les calories brûlées et la distance parcourue.

L’application

• Sauvegarde locale: Même lorsque la technologie d’un capteur est sûre, l’application correspondante sur le smartphone peut constituer son point faible. Les testeurs ont vérifié si les applications enregistraient des données sur le smartphone, lesquelles étaient accessibles à d’autres applications. Les fonctions de sécurité des appareils Android non rootés empêchent normalement cet accès. Mais si ces données sont enregistrées au mauvais endroit, alors elles sont accessibles à tous.
  • Seul Xiaomi MiBand commet cette erreur. Il sauvegarde un fichier-journal détaillant toute l’activité de l’application dans un emplacement complètement ouvert. Ce fichier-journal comprend toutes les données transmises ainsi que les informations personnelles, le pseudonyme, les mensurations, etc. et même des informations utilisées pour la procédure d’authentification.
• Obfuscation du code: La deuxième vérification concerne la mauvaise programmation des applications. Les testeurs ont vérifié si les applications avaient recours à l’obfuscation (brouillage) du code. Cette technique empêche la rétro-ingénierie et dissimule des informations utiles aux yeux des attaquants.
  • Les applications de Mobile Action, Pebble et Xiaomi utilisent pleinement cette technique.
  • Basic et Runtastic se sont ici fait remarquer de manière négative. Ils n’utilisent pas résolument l’obfuscation ce qui peut rendre service aux attaquants.
  • Les produits de Microsoft et Striiv n’emploient pas du tout l’obfuscation. Les spécialistes peuvent alors analyser l’application.
• Informations du fichier-journal ou de débogage: Une autre erreur de programmation concerne la sortie des informations du fichier-journal ou de débogage. Ces émissions d’informations incluent parfois tant de données essentielles que les autres mécanismes de protection deviennent inutiles. Seule l’application de Mobile Action fonctionne correctement. Durant le test, toutes les autres applications ont régulièrement dévoilé des informations.

Communication en ligne sécurisée

• La dernière vérification concerne toutes les connexions établies par l’application. La communication peut-elle être mise sur écoute ou n’est-elle même pas cryptée ? Si tel est le cas, quelles données sont envoyées ? Toutes les connexions devant être cryptées le sont. Les connexions HTTP ouvertes interceptées n’avaient pas de valeur et n’étaient donc pas chiffrées.
• Les testeurs ont vérifié si les contenus d’une connexion sécurisée étaient lisibles après l’installation d’un certificat racine (root certificate).
  • Les produits de Basis et Pebble démontrent qu’il existe aussi une façon sûre de procéder. Ils sont bien armés contre les tentatives d’accès.
  • Pour tous les autres produits, les testeurs ont pu lire les connexions sécurisées et en partie réussir à les manipuler. Ils étaient ainsi en mesure de lire les données d’authentification et de synchronisation.

« L’Apple Watch a globalement fait preuve d’une bonne sécurité. Les testeurs ont certes aussi reconnu des cibles théoriques, mais l’attaquant devrait alors fournir de très gros efforts pour accéder à la montre », explique l’étude au sujet de l’Apple Watch.