Royaume 3 : les données

Compte-tenu des multiples couches de protection des réseaux et des applications, faut-il vraiment protéger les données elles aussi ?

Bien sûr, parce que les assaillants exploitent souvent la confiance implicite qui règne entre les référentiels d’information comme les bases de données, et les processeurs d’information comme les applications et les réseaux. Il est imprudent de supposer que juste parce qu’une requête de base de données, par exemple, émane (ou prétend émaner) d’un serveur d’applications réputé sûr, elle sera autorisée. Un hacker peut fort bien procéder à une attaque intermédiaire pour extorquer des données sensibles de la base de données, ou un utilisateur voyou peut être à la recherche de secrets d’entreprise pour les dévoiler aux émules de Wikileaks. Il existe plusieurs moyens de protéger les données contre tout accès ou modification non autorisé(e), et vous devez les employer tous.

Authentification à deux facteurs

La forme la plus courante de perte de données survient quand un intrus imite un utilisateur légitime, en présentant des références volées pour se connecter à un serveur d’applications. Souvent l’application transmet ces références à un stockage de données lorsqu’elle effectue des requêtes ou des mises à jour. Par conséquent, il est très important d’empêcher l’utilisation frauduleuse des références. L’authentification à deux facteurs renforce le couple habituel ID/mot de passe utilisateur avec un jeton physique ou une lecture biométrique. Par exemple, un utilisateur devra introduire une clé USB ou une carte dans un ordinateur avant qu’un mot de passe ne soit accepté, ou passer un doigt devant un lecteur d’empreintes digitales.

L’authentification à deux facteurs n’est pas la panacée, car l’utilisateur doit garder le second facteur d’authentification sur lui (facile pour un doigt, pas sûr avec une clé USB). Mais le second facteur bloque immédiatement les fameuses attaques par répétition de mots de passe, dans lesquelles un intrus intercepte le login tapé par l’utilisateur, soit physiquement ou par l’enregistreur de frappes logiciel, soit par des techniques d’ingénierie sociale comme un regard par-dessus l’épaule ou l’usurpation d’une fonction d’assistance. Heureusement, l’authentification à deux facteurs n’est pas très onéreuse. Au bas de l’échelle, on trouve des seconds facteurs gratuits, comme un SMS envoyant une phrase secrète au téléphone mobile d’un utilisateur. Parmi les solutions intermédiaires, on trouve des générateurs de mots de passe ponctuels USB open source peu coûteux, comme Yubikey dont le prix ne dépasse pas 25 $ par utilisateur. Et bien sûr des solutions haut-de-gamme, avec des claviers et des écrans spécialisés, pour des protections supplémentaires, comme la journalisation d’accès embarquée.

Cryptage sur place

Les professionnels IT que nous sommes connaissent bien le cryptage des données en transit, là où elles sont le plus vulnérables, particulièrement au travers d’Internet. Les procédés de cryptage des communications —principalement IPSec et SSL/TLS— sont bien connus, puissants, fiables, et peu coûteux à déployer. Parfois nous sous-estimons le degré d’exposition des données dans des emplacements «au repos», comme des serveurs de bases de données, des matrices de stockage SAN, du stockage virtualisé, et des lecteurs de disques durs d’utilisateur final : tout particulièrement ceux des PC portables.

Dans les bases de données, le cryptage est souvent négligé sous le prétexte que leur accès est bien sécurisé et peut-être même crypté, et donc que le cryptage de données au repos nuirait aux performances. Or les bases de données se trouvent sur des unités de stockage génériques faisant souvent l’objet d’accès offline. Par conséquent,il est possible de les reconstruire ou de les modifier sans passer par les canaux d’accès officiels. La parade consiste en un cryptage matériel sur disque, largement répandu sous la forme du Trusted Platform Module (TPM) du Trusted Computing Group. Les lecteurs de disques durs de type TPM existent depuis 2007, et ils ont prouvé leur efficacité pour empêcher l’accès offline non autorisé aux données stockées.

TPM est aussi une excellente protection des données itinérantes, comme celles des ordinateurs portables. Les données du lecteur interne sont impossibles à récupérer, sauf bien sûr si l’ordinateur est allumé et déverrouillé au moment du vol. Vous pouvez d’ailleurs atténuer le risque du portable déverrouillé en appliquant un délai de déconnexion (logout) automatique. Un ordinateur alimenté mais verrouillé est techniquement vulnérable, mais seulement par des techniques de haut vol, comme le gel du processeur, le renforcement continu de l’alimentation, et l’analyse des signaux électroniques.

Le problème de la virtualisation

Le stockage virtualisé, ainsi que les machines virtuelles elles-mêmes, présente un risque de sécurité entièrement nouveau, sans remède à l’heure qu’il est. C’est ce qu’on appelle parfois la vulnérabilité «pilule bleue», inspirée du film The Matrix. La pilule bleue transporte mentalement son consommateur dans une réalité virtuelle indistincte du monde réel. Dans notre cas, la pilule bleue est la virtualisation matérielle, qui isole tellement un ordinateur actif de son matériel sous-jacent, qu’un intrus peut intercepter toutes les transactions de données sans être détecté. Comme les systèmes de stockage virtuels—et les machines virtuelles—sont des systèmes fonctionnant dans un tel monde électronique virtuel, ils font l’objet de piratages de données indécelables. Par exemple, un intrus ayant accès à la machine hôte sous-jacente peut initier un «instantané» de la machine virtuelle qui capture l’état de la machine active sur disque, d’où l’intrus peut extraire des données sensibles comme des mots de passe et des clefs de cryptage à partir de l’image mémoire sauvegardée. Pour protéger des systèmes virtuels, la meilleure méthode consiste à contrôler rigoureusement l’accès logique et physique au matériel sous-jacent.

Vous êtes le gardien des royaumes

Vous connaissez maintenant les trois royaumes critiques de la sécurité IT. Il ne vous reste plus qu’à acquérir et à déployer l’un de chaque outil décrit ici, afin de renforcer la sécurité de l’information de votre entreprise. En chemin, vous découvrirez probablement d’autres outils intéressants.