Le cryptage des données sensibles au sein des entreprises

Les pirates progressent en même temps que les enjeux économiques, alors que le niveau technique de l’utilisateur de base diminue du fait de la démocratisation de l’informatique. En conséquence, il se produit de plus en plus de vols de données (surtout à l’ère du cloud computing, mais ce n’est pas l’objet de cet article).

Dans ce contexte, le chiffrement des données est un élément crucial permettant de limiter l’impact d’une intrusion ou d’un vol de données. Si un pirate parvient à s’emparer de données chiffrées, sa tâche sera singulièrement compliquée, voire pratiquement impossible dans certains cas. Le chiffrement de données s’effectue à l’aide d’une clef, qui n’est autre qu’une suite de caractères (ou de bits) qui peut être stockée dans un fichier.

Ainsi, dans les méthodes modernes de chiffrement, la clef est en général asymétrique, c’est à dire que la clef de chiffrement est différente de la clef de déchiffrement. Grâce à cela, la clef de chiffrement peut être publique. Elle permet à tout utilisateur humain ou à toute application de chiffrer des données avant de les envoyer sur le réseau ou de les stocker. Mais seul le possesseur de la clef privée pourra déchiffrer les données.

C’est ainsi qu’il est possible de sécuriser les échanges mail par exemple. Il est même possible avec ce type de chiffrement d’authentifier l’émetteur d’un mail ou d’un document. Le chiffrement permet aussi de protéger les données sensibles d’un serveur Internet, par exemple les données de la base client d’un site d’e-commerce. Un utilisateur de base pourra se servir du chiffrement à clefs asymétriques pour protéger ses données contre l’indiscrétion de son hébergeur ou de son employeur. La principale erreur à éviter est de stocker sur le même serveur ou sous le même profil utilisateur la clef de chiffrement et la clef de déchiffrement. Si l’on ne peut pas faire autrement, la clef de déchiffrement doit au minimum être elle-même protégée par un mot de passe, que l’on appelle passphrase.

Ainsi, si un pirate ou un indiscret s’emparait de la clef de déchiffrement, sa tâche s’en trouverait compliquée. Il est possible également de chiffrer un disque entier, ou une clef USB, et ainsi de sécuriser les données en cas d’intrusion physique ou de vol.

La mise en oeuvre du chiffrement de données n’est pas forcément compliquée. Pour protéger ses propres données contre une personne ayant un accès au même ordinateur ou au même serveur, on peut utiliser le protocole asymétrique PGP et le logiciel GnuPG disponible gratuitement pour Windows ou Linux. Pour chiffrer un disque dur entier, on peut se tourner vers TrueCrypt, disponible notamment pour Windows ou Linux.

Le cryptage des données sensibles au sein des entreprises

Mais attention, le chiffrement / déchiffrement ralentira sensiblement le temps d’accès aux données. Un élément à prendre en considération dans un chiffrement est la taille de la clef. Le minimum pour un chiffrement digne de ce nom est 256 bits. Le chiffrement est donc une bonne précaution à prendre, mais doit être utilisé à bon escient. Un chiffrement asymétrique, une clef puissante, une passphrase de protection supplémentaire, et surtout mener une réflexion préalable sur l’architecture souhaitée au final. Car la mise en place du chiffrement dans l’entreprise doit être pilotée sous les conseils d’un expert et s’inscrire dans une stratégie globale.

Illustration : GNU Privacy Guard