Mesures de sécurité pour environnements mobiles BYOD

Malheureusement, bien souvent les utilisateurs choisissent d’abord leur appareil, puis vous laissent le soin, en tant que pro IT, de le rendre fonctionnel et sécurisé. Mais tous les appareils mobiles ne peuvent pas être rendus suffisamment sûrs pour un usage professionnel.

L’appareil candidat doit présenter de nombreux critères : puissant cryptage sans fil, protocoles de transport fortement cryptés pour le e-mail, le VPN, et le transfert de fichiers ; le cryptage embarqué pour les données stockées sur le mobile ; et de rigoureux contrôles d’accès aux mots de passe. Autant dire que cela exclut aujourd’hui de nombreux smartphones, tablettes, netbooks, et même PC portables. S’il est vrai que le cryptage embarqué est très répandu pour les PC portables, comme, par exemple, la technologie Self-encrypting Drive (SeD) du Trusted Computing Group, il est beaucoup plus rare pour les smartphones et les tablettes.

liste des fonctions que chaque appareil mobile doit posséder pour être jugé sûr.

Mot de passe puissant pour chaque utilisation

Si un utilisateur perd un appareil, toute barrière placée entre l’appareil et le possesseur illégitime devient cruciale. La plupart des appareils mobiles utilisent un mot de passe de connexion (login) pour permettre l’accès tant que l’appareil est utilisé activement. Après une minute ou plus d’inactivité, il se reverrouille. On le sait bien, la plupart des utilisateurs s’agacent de devoir s’identifier chaque fois qu’ils veulent utiliser l’appareil. Mais c’est un mal nécessaire, au moins tant que les appareils ne seront pas capables de reconnaître les utilisateurs autorisés par un moyen tactile ou visuel.

Certains fabricants ont conçu des schémas d’entrée de mots de passe qui facilitent la tâche de l’utilisateur. Par exemple, en remplaçant le clavier AZERTY classique par un clavier numérique qui enregistre un profil gestuel complexe que l’utilisateur peut entrer bien plus rapidement qu’en tapant un mot de passe. D’autres déjouent les attaques par force brutale en imposant un certain délai au-delà de trois saisies de mot de passe incorrectes. La meilleure méthode passe par une limite maximum de mots de passe incorrects, comme 10 tentatives, après quoi l’appareil transmet un message fatal (death message) à l’organisation responsable (par exemple, via SMS), avant de s’auto-effacer. Cette mesure peut sembler radicale, mais il vaut mieux devoir reconstituer un appareil effacé que redresser une entreprise à genoux.

Un fort mot de passe peut être complété par des fonctions de recherche à distance dans des appareils
équipés du GPS. Vous pouvez alors à tout moment connaître l’emplacement GPS via une page ou une application web gérée par le fournisseur de services. Vous saurez ainsi si un appareil manquant est vraiment perdu ou simplement égaré au bureau ou au domicile. Idéalement, ce service vous permet de déclencher une forte alarme sonore sur l’appareil, même avec le son désactivé, ou d’envoyer un message à la personne qui aurait trouvé l’appareil. Dans le pire des cas, vous pouvez provoquer l’effacement complet de l’appareil afin de ne pas divulguer son contenu.

Bloquer les écoutes clandestines

Comme indiqué plus haut, l’écoute clandestine à distance sur les
appareils mobiles est le paradis du hacker, avec un arsenal d’outils et de méthodes d’attaque automatisés.
La première ligne de protection contre de telles attaques est de ne jamais permettre l’accès physique,
sans surveillance ou sans autorisation, à un appareil. C’est une règle que vous devez fixer et imposer par
l’éducation continue. Vous devez aussi enseigner aux utilisateurs les symptômes d’appareils compromis :
chaleur, lumière, ou sons insolites, indiquant peutêtre qu’une application en arrière-plan est en train de
suivre des communications et d’envoyer son butin au repaire d’un hacker.

Certains outils d’écoute clandestine sont en vente libre dans le commerce, et vous devriez les bannir purement et simplement. Ce peut être du logiciel ou du matériel, comme des clés USB, qui, une fois installé ou connecté à un appareil, instaure une interception à distance qui peut même être utilisée pour écouter des conversations proches quand l’utilisateur croit que son appareil est en mode veille.

Au-delà des règles et des mesures de surveillance du comportement des utilisateurs, il existe aussi des utilitaires « crack checker » spécifiques à un modèle d’appareil particulier qui vérifient périodiquement les tentatives de percée, les root kits, les chevaux de Troie, et autres gracieusetés.

Sécuriser le e-mail

Par défaut, la plupart des protocoles e-mail, comme SMTP, POP, et IMAP, ne cryptent pas les données envoyées et reçues. Vous devez donc configurer le cryptage, à la fois sur l’appareil mobile et sur le serveur d’e-mail à distance, pour empêcher que des oreilles indiscrètes ne siphonnent les messages. Où se produisent de telles écoutes ? Le plus souvent, dans des réseaux WiFi publics : bibliothèques, cafés, gares et aéroports. En effet, ces réseaux ne sont pas cryptés et laissent cette responsabilité aux utilisateurs. Le cryptage du e-mail s’effectue à deux niveaux : l’authentification et le transport. Le cryptage d’authentification sert à masquer l’identification et le mot de passe d’un utilisateur. Le cryptage de transport protège toute la conversation— authentification et transfert des messages— mais impose plus de travail de calcul au serveur, d’autant plus considérable si les messages contiennent des pièces jointes volumineuses. Le cryptage de transport le plus courant est SSL/TLS et il est reconnu par la plupart des fournisseurs de serveurs de e-mail (mais pas tous).

Si les utilisateurs ne se connectent qu’à votre serveur d’e-mail entreprise, il est bon d’avoir une couche
supplémentaire de cryptage : un tunnel VPN vers votre passerelle VPN en bordure. Les meilleures passerelles vous permettent d’envoyer le trafic e-mail au serveur d’e-mail autorisé, et uniquement à celui-là. Ainsi, le réseau n’est pas exposé si un téléphone est compromis.

La meilleure protection de e-mail utilise le cryptage de transport à deux couches associé au cryptage de
contenu des e-mails embarqué. À l’heure actuelle, aucun appareil mobile n’est capable de cela, mais certaines applications tierces le font, et les appareils dotés d’un cryptage embarqué (décrit ci-après) ont une possibilité équivalente. Attention : assurez-vous que le mécanisme de cryptage des données stockées couvre aussi le média de stockage amovible, comme les cartes flash. Ce n’est pas le cas de tous.

Sur les appareils à messagerie complètement intégrée —combinant le e-mail, les contacts, l’agenda, et
la messagerie vocale dans une seule application— le cryptage de transport intégré de l’application couvre généralement aussi ces services d’intendance. C’est le cas par exemple de Microsoft Exchange. Mais le fait que le transport de e-mail soit crypté ne signifie pas que les applications collatérales en bénéficient.

Cryptage de données complet matériel embarqué

La meilleure solution pour protéger les données
de l’appareil est le cryptage des données embarqué, à l’aide d’un moteur de chiffrage matériel (pour des
raisons de sécurité et de performance), avec une détection d’intrusion et une forte protection par clé.
Le cryptage matériel utilise de longues clés — jusqu’à 2048 bits— trop incommodes pour que les utilisateurs les saisissent. Au lieu de cela, le mot de passe de l’utilisateur sert à déverrouiller la clé de cryptage, laquelle est stockée dans des registres matériels rémanents et sert ensuite à décrypter le reste des données stockées dans l’appareil.

Tant que l’appareil est éteint ou que l’utilisateur n’est pas connecté, les données stockées sont en sécurité.En revanche, dès que l’utilisateur est connecté, l’appareil est vulnérable : exportation de données, infection par malware, et écoute clandestine. Certains appareils permettent l’exécution en arrière-plan sans que l’utilisateur soit connecté ; ils sont vulnérables à certaines attaques de voisinage (drive-by) comme le « bluejacking », qui contournent le cryptage embarqué parce que l’application Trojan est elle-même considérée «connectée» pendant son exécution.

Dans le cas d’un appareil mobile crypté, il faut songer à l’accès administratif aux données cryptées, dans
l’hypothèse où l’utilisateur perdrait son mot de passe ou quitterait l’entreprise sans le divulguer. Le cryptage embarqué de type professionnel offre des login multiniveaux, y compris bien sûr un niveau administratif qui permet de récupérer les données cryptées au moyen de la clé stockée.

Le cryptage matériel des données stockées présente une caractéristique intéressante : pour effacer
l’appareil, il n’est pas nécessaire d’effacer physiquement les données elles-mêmes. Il suffit de détruire la
clé numérique pour rendre illisibles toutes les informations sensibles.

250 Dossier et tutoriaux pour aller plus loin sur le thème de la sécurité du BYOD : Mobilité | iTPro.fr