Confidentialité, sécurité. Informations externes privées.
La confidentialité des informations est la capacité des individus et des institutions à exercer un contrôle important sur la collecte, l'utilisation et la divulgation de leurs informations personnelles. Autrement dit, c'est leur capacité à contrôler les conditions d'acquisition et d'utilisation de leurs informations personnelles. Par exemple, la maîtrise de la réputation d'une entreprise sur les moteurs de recherche performants comme Google et Yahoo. Des politiques de conformité telles que LOPS/RMS existent. La sécurité des informations, quant à elle, est le processus continu et itératif de protection des données et des ressources contre tout accès, utilisation, divulgation, destruction, modification ou perturbation non autorisés. La confidentialité permet aux individus et aux institutions de contrôler leurs informations personnelles et institutionnelles, tandis que la sécurité permet de protéger toute information ou ressource. Ainsi, la sécurité peut contribuer à la confidentialité (mais elle ne la définit pas), et inversement. Parmi les outils de protection de la vie privée couramment utilisés, on trouve les gestionnaires de cookies, les anonymiseurs (Tor est un système d'anonymisation Internet qui permet aux utilisateurs d'envoyer des messages intraçables, par exemple lors de la navigation web, de conversations en ligne de commande, d'utilisation de réseaux P2P, etc. Il prend désormais en charge une interface graphique en plus de l'ancienne interface en ligne de commande), les outils de chiffrement et de stéganographie, les utilitaires d'effacement de disque, les agents utilisateurs P3P, les technologies ZKIP/CS, les services de réexpédition anonymes d'emails, les tunnels sécurisés, les services bancaires anonymes, les logiciels antivirus dotés de fonctionnalités de suppression des cookies de suivi, des chevaux de Troie et des logiciels espions, etc. Les informations externes privées sont les informations issues des données que nous générons lors de nos activités de recherche d'informations. Les informations personnelles sont soit des informations que nous divulguons inconsciemment (informations dont nous ne pouvons contrôler la diffusion, telles que les cookies de suivi utilisés lors de la navigation web, les webcams, le GPS des téléphones portables, etc.), soit des informations que nous sommes contraints de divulguer, telles que les conditions générales d'utilisation qui nous sont imposées pour accéder à un service web, un réseau social, un système d'exploitation ou toute autre ressource. Parmi les autres exemples d'informations externes privées, on peut citer les tonalités émises lorsque l'on appuie sur les touches d'un téléphone ou d'un clavier pour ouvrir une porte. Ces sons permettent d'identifier le numéro composé ou le code d'accès. On peut citer comme autres exemples le numéro de sécurité sociale figurant sur certains permis de conduire lorsqu'il sert d'identifiant, ou encore les cartes de crédit non détruites retrouvées dans certaines poubelles, qui permettent d'établir un lien entre le nom et l'adresse d'une personne.
Objectifs de sécurité et leurs interactions
Parmi les principaux objectifs que l'on peut identifier en matière de sécurité et de confidentialité, on trouve : (1) La confidentialité, sous ses deux aspects : la confidentialité des données et l'anonymat des participants. (2) L'intégrité des données et l'authentification des participants. (3) La responsabilité, sous ses deux aspects : la disponibilité des ressources et la responsabilité des actions effectuées par les participants, avec un suivi de leurs opérations grâce à la journalisation et aux journaux d'audit. La non-répudiation est parfois également prise en compte, exigeant que personne ne puisse nier une action effectuée, telle que l'envoi ou la réception. La confidentialité des données vise à empêcher les participants (utilisateurs) non autorisés de découvrir le contenu/la signification des messages (dans le contexte des communications) et/ou leur emplacement (dans le contexte du stockage/des référentiels) et leur exécution (exécution sans possibilité de lecture). On utilise un chiffrement robuste des données (basé sur la cryptographie symétrique, par blocs ou de flux, la cryptographie asymétrique ou quantique), l'obfuscation des données (basée sur la stéganographie) et la restriction de l'accès en lecture aux données (basée sur le contrôle d'accès, par exemple, le contrôle d'accès basé sur les rôles dans les systèmes d'exploitation et les applications). Les politiques de sécurité permettent de réglementer/contrôler qui est autorisé à lire, écrire, modifier ou exécuter quelles données en fonction des rôles et des privilèges et dans quelles conditions (en utilisant des exceptions aux règles).
L'anonymat permet à un utilisateur (ou participant) d'accéder à des ressources ou des services sans révéler son identité, garantissant ainsi que le service ou la ressource consultée reste inconnu et que les expéditeurs et les destinataires ne peuvent être corrélés. Ceci est rendu possible grâce à l'utilisation de pseudonymes, de réseaux d'anonymisation (tels que les MIX), de serveurs proxy et de protocoles comme OT/CS/ZKIP. L'objectif est de masquer les communications et les données consultées. L'intégrité des données permet de détecter toute manipulation des données par des participants (utilisateurs) non autorisés (création, suppression, modification). Ceci est assuré par l'utilisation de signatures numériques conventionnelles et aveugles/multi-signatures, de fonctions de hachage et de restrictions d'accès (écriture, exécution, etc.) basées sur un contrôle d'accès. L'authentification permet de déterminer (vérifier et prouver) l'identité des participants (utilisateurs). Si l'authentification mutuelle était actuellement utilisée, le phishing serait plus difficile, car le client et le site web visité devraient s'authentifier mutuellement, et non plus seulement le client comme c'est le cas actuellement (authentification simple, même multifactorielle). L'authentification utilise des mots de passe (ce que vous connaissez – il est préférable d'utiliser des claviers virtuels pour se protéger des enregistreurs de frappe – ou ce que vous reconnaissez – mots de passe visuels) ; des connaissances partagées. Avec la technologie ZKIP, ces connaissances ne sont pas partagées, votre mot de passe ou vos informations bancaires ne sont donc pas divulgués. D'autres méthodes incluent la biométrie (identification de votre identité, qu'elle soit comportementale ou physiologique), l'infrastructure à clés publiques (PKI), la géolocalisation (GPS, adresses IP L3 et MAC L2, etc.), l'horodatage (date et heure), la vidéo en temps réel avec preuve irréfutable de la date et de l'heure de l'autre partie, etc. Cela vous permet de savoir qui utilise un système ou envoie un message. La disponibilité vise à prévenir les interruptions de service non autorisées. On peut citer comme exemples le blocage des ressources du processeur (imprimantes, serveurs, etc.) au moyen d'applets Java et la saturation du réseau (par exemple avec des courriels) et des applications.
La responsabilité vise à empêcher, par exemple, que l'expéditeur et/ou le destinataire d'informations nient avoir envoyé ou reçu des informations (grâce aux signatures numériques et à la preuve de communication/accord actif avec un tiers de confiance), l'accès non autorisé à des bases de données ou l'exécution d'applications critiques, comme dans le secteur industriel pour les automates programmables et les systèmes SCADA. Les objectifs de sécurité ne sont pas toujours indépendants ; l'anonymat et la confidentialité affaiblissent la responsabilité, et le contrôle d'accès repose sur l'identification/l'authentification et l'autorisation (attribution de permissions, de privilèges, de rôles et d'exceptions). Dans notre société de l'information et du savoir, la sécurité doit être multiniveaux et multilatérale, afin que chaque participant : (i) ait ses propres besoins en matière de sécurité ; (ii) puisse formuler ses propres problèmes ; (iii) soit confronté à des conflits qui doivent être résolus. Quelques points importants à considérer : (a) la sécurité est un processus continu et itératif à plusieurs niveaux de protection ; (b) la sécurité ne peut être ajoutée ; l'insécurité doit être réduite à un niveau proportionnel au risque assumé par l'organisation. c) Un système, un réseau ou une ressource n'est jamais sécurisé à 100 %. d) Il convient de prendre en compte les menaces et la valeur de ce qui doit être protégé.
Le principe de protection adéquate stipule que les ressources réseau/informatiques ne doivent être protégées que jusqu'à ce qu'elles perdent de leur valeur, et ce, à un degré proportionnel à cette valeur. Lors de la protection des entités d'une organisation, outre les personnes, les éléments suivants sont également pris en compte : (i) Les données : informations, connaissances et savoir-faire stockés, en transit sur les réseaux et exécutés sur des systèmes informatiques et réseaux physiques et virtuels. (ii) Les ressources : les appareils informatiques eux-mêmes (PC/Mac, tablettes, PDA, smartphones, RFID, automates programmables, électronique embarquée, etc.), les dispositifs de transmission (routeurs, commutateurs, UTM, points d'accès Wi-Fi, etc.) et les dispositifs de stockage (bases de données, mémoires tampons, caches). (iii) La réputation : les risques encourus par votre organisation nuisent à sa crédibilité et à son classement sur les moteurs de recherche performants tels que Google et Yahoo. Si votre organisation ne gère pas ses risques, elle sera tenue responsable des intrusions et des cybercrimes. Les causes de l'insécurité sont diverses : (1) le partage de ressources critiques sur les réseaux sociaux ; (2) la complexité. Il devient de plus en plus difficile de suivre l'activité en raison de la virtualisation, du cloud computing, de la complexité des protocoles, etc. (3) Difficulté à définir les limites du réseau. L'essor des communications mobiles, de l'intelligence ambiante (IA), etc., rend très difficile la mise en place de défenses périmétriques robustes. (4) Multiplication des points d'attaque : internes (employés, auditeurs, adversaires, espions, invités, sous-traitants avec SLA, terroristes, etc.) et externes (employés, adversaires, fournisseurs de services/d'identité/de sécurité, espions, terroristes, concurrents, cloud, etc.). (5) Anonymat des attaquants et chiffrement/stéganographie de leurs communications. (6) Existence de multiples routes entre deux nœuds quelconques d'un réseau.
Identification des contrôles.
Parmi les contrôles pertinents à mettre en place figurent : (1) Inventaire des composants physiques et logiciels. Il est essentiel de déployer des outils automatisés de recherche et d’inventaire des actifs afin de constituer un registre en temps réel de tous les systèmes connectés au réseau de l’entreprise. Ce registre doit indiquer leur localisation GPS, leur adresse IP, leur adresse MAC, le nom de chaque machine (type de matériel : processeur-RAM, nom et version du système d’exploitation), la finalité de chaque système, le responsable de chaque appareil, le service associé, le fournisseur du matériel, etc. Pour évaluer l’efficacité de l’outil d’inventaire, il est nécessaire de connecter et de déconnecter régulièrement de nouveaux systèmes et de mesurer le délai d’activation ou de désactivation de chaque appareil dans l’inventaire, ainsi que la date et l’heure de ces opérations. Il est également crucial de disposer d’outils automatisés capables de rechercher et d’inventorier tous les logiciels répartis sur les appareils de l’organisation, y compris les terminaux (serveurs, ordinateurs utilisateurs), les disques durs, les lecteurs virtuels, les stations de travail, les ordinateurs portables (PC/Mac), les appareils mobiles (PDA/iPhone/iPad), les smartphones/tablettes, le cloud, etc.
Les types, versions et niveaux de correctifs des systèmes d'exploitation, applications, programmes, etc., seront collectés. Afin d'évaluer l'efficacité de l'outil d'inventaire automatisé, divers logiciels, mises à jour et packages seront installés/désinstallés périodiquement, et le délai d'inventaire logiciel sera mesuré pour indiquer les modifications apportées. Ces opérations peuvent être effectuées sur des machines de contrôle afin d'éviter tout impact négatif sur les systèmes de production. (2) Configuration matérielle et logicielle sécurisée. Cette étape est nécessaire après une analyse approfondie, l'approbation et la documentation des configurations de sécurité de toutes les images système et leur déploiement. Celles-ci doivent correspondre aux versions appropriées des systèmes d'exploitation, des plug-ins et des applications installées. Tout écart par rapport à la valeur établie ou toute mise à jour ultérieure doit être documenté et approuvé dans le système de gestion des changements. Des programmes d'évaluation doivent être exécutés périodiquement, modifiant la configuration de certains systèmes afin de déterminer le nombre de systèmes correctement configurés ou non, conformément aux politiques ou directives de configuration établies. (3) Protection périmétrique et défense en profondeur. Les organisations doivent bloquer les communications provenant d'adresses IP connues ou potentiellement malveillantes (listes noires/listes grises) ou restreindre l'accès aux sites de confiance (listes blanches). Il convient également de définir des architectures réseau séparant les systèmes internes de ceux connectés à la DMZ (zone démilitarisée) et de ceux situés sur l'extranet ou Internet. Les organisations doivent mettre en œuvre des schémas de segmentation du réseau interne (par exemple, basés sur des VLAN avec commutateurs et sous-réseaux IP) afin de limiter le trafic aux seuls services nécessaires à leur fonctionnement sur le réseau interne (ou intranet). L'authentification mutuelle et à deux facteurs doit être exigée pour tout accès distant, notamment via VPN/SSL-TLS/SSHv2.
Il est nécessaire de vérifier périodiquement si des paquets IP provenant d'adresses sources bloquées (listées noires avec des adresses malveillantes et non routables) parviennent à pénétrer le périmètre de notre réseau interne. Par exemple, une adresse IP intranet ne peut pas être l'adresse IP source d'une PDU provenant d'Internet. Parmi les autres contrôles clés, citons : (i) la protection du réseau ; par exemple, une étude de la qualité de service (QoS) peut détecter en amont les tentatives d'intrusion potentielles, même avec du trafic chiffré ; (ii) les tests d'intrusion/hacking éthique. Cela nous permet d'évaluer notre résistance aux attaques potentielles. Il arrive que des audits de tests d'intrusion révèlent la présence de programmes de jeux d'argent illégaux installés sur les serveurs d'institutions fournissant des services critiques ; (iii) la réponse aux incidents de sécurité. Une procédure opérationnelle automatisée doit être mise en place pour les incidents ; (iv) la récupération des données. Cela inclut des procédures régulièrement testées et opérationnelles pour les sauvegardes et la restauration à l'état antérieur au problème ; (v) la reprise des systèmes et des installations en cas de sinistre. Ceci peut être réalisé à l'aide de sites chauds et froids situés dans des zones géographiquement distinctes. Obligatoire si l'organisation est cotée en bourse. (vi) Des plans de sensibilisation, appuyés par des formations et des outils de surveillance, permettent de développer les compétences, de renforcer la culture de sécurité et de corriger les lacunes de comportement identifiées. Ces outils d'assistance aux employés surveillent les non-conformités et les erreurs (accidentelles et intentionnelles) et permettent la mise en quarantaine du poste de travail de l'employé jusqu'à ce qu'il se conforme à la politique établie. Pendant la quarantaine, l'employé ne peut ni intentionnellement ni inconsciemment nuire à autrui, par exemple en propageant des vers informatiques contractés en branchant une clé USB infectée à son poste de travail. La sensibilisation sans surveillance et sans responsabilisation est inutile. (vii) Maintenance, surveillance et analyse des journaux d'audit, y compris ceux échangés entre administrateurs. (viii) Contrôle de l'utilisation des privilèges, c'est-à-dire utilisation contrôlée des privilèges d'administrateur, journalisation, analyse et audit des journaux. Dumpsec est un outil permettant d'examiner les utilisateurs et les politiques de sécurité dans les environnements Windows. Il fournit des informations détaillées provenant des contrôleurs de domaine sur les politiques, les utilisateurs, les groupes, les droits et les services. Il peut être exécuté en ligne de commande sur tout système disposant des droits d'administrateur de domaine. (viii) Tester la robustesse des mots de passe à l'aide de logiciels de piratage tels que JTR (John The Ripper) pour Windows et Unix ; voir http://www.openwall.com/john. (ix) Contrôle d'accès basé sur les besoins individuels. (x) Gestion et surveillance des comptes. (xi) Protection contre les logiciels malveillants et les logiciels espions. (xii) Contrôle des appareils mobiles. (xiii) Prévention des pertes de données (DLP), par exemple en chiffrant toutes les informations susceptibles d'être transmises sur le réseau, les clés USB, les CD/DVD, les disques amovibles ou par émissions électromagnétiques à l'aide du logiciel de chiffrement Soft-Tempest.
Considérations finales
Notre groupe de recherche travaille depuis plus de vingt ans dans le domaine de la sécurité et de la protection de la vie privée dans différents types d'environnements de réseau, du (W)BodyAN au (W)WideAN, y compris (W)PersonalAN, (W)CampusAN, (W)LocalAN, (W)MetropolitanAN, (W)RuralAN, etc.
Cet article fait partie des activités menées dans le cadre du projet LEFIS-APTICE (financé par Socrates, Commission européenne).
Bibliographie
- Areitio, J. « Sécurité de l'information : réseaux, informatique et systèmes d'information ». Cengage Learning-Paraninfo. 2010.
- Areitio, J. « Nouvelles approches dans l'analyse des systèmes de détection, de prévention et de gestion des attaques et des intrusions ». Conectrónica Magazine. N° 123. Janvier 2009.
- Fry, C. et Nystrom, M. « Surveillance de la sécurité. Méthodes éprouvées de détection d'incidents sur les réseaux d'entreprise ». O'Reilly. 2009.
- Norman, T.L. « Analyse des risques et sélection des contre-mesures de sécurité ». CRC Press. 2009.
Auteur : Professeur Javier Areitio Bertolín – Professeur à la Faculté d’ingénierie. Directeur du groupe de recherche Réseaux et Systèmes. Université de Deusto.
