Le Royaume-Uni vient de mettre en application une loi qui empêchera d'intégrer des mots de passe par défaut trop évidents dans les appareils. Une avancée pour la sécurité destinée à être répliquée ailleurs ?
Le monde d'internet est un monde dangereux, où de nombreux pirates guettent la moindre occasion de faire des dégâts, comme on l'a encore vu récemment après l'attaque ciblant l'hôpital de Cannes. Alors, pour éviter de faciliter la tâche de ces pirates, il est souvent rappelé aux internautes la nécessité de bénéficier d'un mot de passe solide, voire d'une double authentification. Et pour obtenir de meilleurs résultats, la loi commence à imposer des contraintes. Et ça débute au Royaume-Uni.
De nouveaux standards de sécurité
La nouvelle version du Product Security and Telecommunications Infrastructure Act (PTSI) apporte des changements intéressants au Royaume-Uni. Car cette loi de régulation des objets connectés à internet interdit dorénavant aux fabricants de produire des mots de passe et des identifiants beaucoup trop évidents.
C'est ainsi que les appareils achetés ne pourront plus proposer des identifiants extrêmement populaires comme « admin », « password » ou bien « 12345 ». Des identifiants produits à partir de ce genre de base sont aussi bannis (exit donc « password1 » ou « password19 »). Les identifiants par défaut uniques seront par contre toujours possibles.
Des mesures qui s'appliqueront un jour dans toute l'Europe ?
Et les contrevenants s'exposent à des amendes en cas de non-respect de ces nouvelles règles. Ils pourront ainsi se voir administré des amendes pouvant monter jusqu'à 10 millions de livres (soit environ 11,68 millions d'euros) ou 4% de leur chiffre d'affaires global annuel, le juge devant choisir le montant le plus élevé.
Et le législateur britannique n'est pas le seul à réfléchir à des mesures pareilles. La loi sur la cyberrésilience (CRA), qui est discutée actuellement au niveau de l'Union européenne, contiendra des dispositions similaires, qui seront donc un jour effectives chez nous. Sauf qu'il faudra attendre encore quelques années, sa mise en application n'étant pas attendue avant 2027.
29 novembre 2024 à 08h50
Source : Ars Technica, The Record
