Le cloud computing est un terme générique désignant une nouvelle catégorie de calcul en réseau utilisant Internet et fourni par un prestataire de services. Il permet un accès réseau à la demande et intègre un ensemble partagé de ressources informatiques configurables. Il repose sur une plateforme, qui intègre un ensemble de matériels, de logiciels et d'infrastructures Internet en réseau. Utilisant Internet pour la communication et le transport d'informations, il fournit aux clients des services matériels, logiciels et réseau. Ces plateformes masquent la complexité de l'infrastructure sous-jacente aux utilisateurs et aux applications grâce à une interface graphique simple ou une API (Interface de Programmation d'Application). Les services à la demande sont toujours disponibles, quel que soit le lieu, la date ou l'heure. Les utilisateurs paient les services en fonction de leurs besoins, et ces services sont flexibles, permettant d'adapter la capacité et les fonctionnalités à la hausse comme à la baisse. Les services matériels et logiciels sont accessibles aux entreprises, aux grandes entreprises, aux marchés interentreprises et au grand public.
Caractéristiques clés. Valeurs et risques.
Les caractéristiques clés qui définissent les données cloud, les services applicatifs et l'infrastructure sont les suivantes :
(i) Les services ou les données sont hébergés sur des infrastructures distantes.
(ii) Omniprésents. Les services ou les données sont accessibles de partout où l'on dispose d'une connexion internet (et qu'en est-il des attaques par brouillage, des interférences électromagnétiques et du brouillage radiofréquence ?).
(iii) Ils présentent un modèle de facturation à l'usage similaire aux services traditionnels comme le gaz, l'eau et l'électricité, où l'on paie uniquement ce que l'on consomme. Le cloud computing connaît actuellement une certaine croissance ; cependant, cette technologie présente encore plusieurs problèmes non résolus en matière de cybersécurité et de protection de la vie privée et reste, à certains égards, encore immature.
La principale valeur du cloud computing réside dans sa capacité à rendre les ressources (IaaS : infrastructure informatique en tant que plateforme de virtualisation, PaaS : plateforme informatique pour le développement d'applications, SaaS : applications logicielles elles-mêmes, etc.) disponibles de manière transparente, quel que soit l'emplacement du consommateur et sur tous types d'appareils matériels tels que tablettes, smartphones, consoles de jeux, PC, lunettes de réalité augmentée, prothèses médicales, etc., disposant d'une connexion Internet.
VMware, leader mondial de la virtualisation et des infrastructures cloud, définit le cloud computing comme une nouvelle approche qui simplifie la complexité informatique en combinant efficacement une infrastructure virtuelle autogérée et à la demande, consommée comme un service. Parmi les principales évolutions du cloud figurent Google App Engine (PaaS), IBM Blue Cloud (anciennement Salesforce), Microsoft Azure et Amazon AWS.
Dell travaille sur un projet nommé Ophelia, un ordinateur virtuel dans le cloud accessible de partout via une connexion internet. L'objectif est de permettre aux utilisateurs d'accéder à leur propre ordinateur et à leurs applications depuis n'importe quel appareil connecté. Le fournisseur de services surveille les performances afin de garantir une continuité de service, permettant ainsi à plusieurs utilisateurs d'utiliser les ressources et services fournis. Selon l'Institute of Engineering and Technology (IHS), le nombre d'abonnés au stockage cloud devrait passer d'environ 625 millions en 2013 à environ 820 millions en 2015, puis à environ 1 milliard en 2016, et enfin à environ 1,3 milliard en 2017. La Government Technology Research Alliance (GTRA) indique que la cybersécurité demeure le principal défi du déploiement du cloud computing.
Inconvénients et problèmes du cloud computing :
Les déploiements de cloud computing gagnent en popularité et englobent un nombre croissant d’applications, allant des traitements de texte comme Word aux logiciels antivirus, en passant par les applications photo et calendrier, les cartes, la visioconférence, les logiciels CRM, le stockage de données et les réseaux sociaux. Parmi les services utilisant le cloud, on peut citer Dropbox, WorldCat, Mendeley, ExLibris, LibraryThing, ResearchGate, etc., ainsi que Google Apps, YouTube, RemoteXS, Zimbara, Facebook, Cybrarian, Word 365, Liblime Koha, etc. Les services cloud sont attractifs car ils offrent disponibilité, fiabilité, accessibilité mondiale, etc., ce qui est plus complexe avec les applications pour ordinateurs de bureau.
Malheureusement, ces avantages s'accompagnent d'une dépendance totale envers le fournisseur de services quant à la confidentialité, l'intégrité et la disponibilité des données client. Nos données privées stockées chez les fournisseurs de cloud peuvent être copiées, volées, divulguées ou exposées sans aucune garantie à des entités malveillantes, qu'elles soient externes (concurrents), internes (employés malhonnêtes) ou gouvernementales (locales ou étrangères). Un fournisseur de cloud compromis ou malveillant peut manipuler les données utilisateur, voire afficher par erreur des informations contradictoires sur l'état du système. Certaines contre-mesures sont mises en œuvre, notamment concernant la sécurité de la gestion des clés cryptographiques. Cependant, même dans ce cas, il est possible de contourner la confidentialité des clés et le chiffrement grâce à des techniques avancées telles que la rétro-ingénierie, la cryptanalyse, les attaques par canaux auxiliaires, etc.
Domaines des cyberattaques. Mesures de cybersécurité dans le cloud computing.
Une analyse approfondie des enjeux de cybersécurité liés au cloud permet d'identifier différents domaines de cyberattaques :
(1) Cyberattaques contre la disponibilité. Certaines applications ne peuvent être exécutées dans le cloud en raison du risque de panne, lié au nombre d'utilisateurs ou à la puissance de calcul requise, comme c'est le cas pour des outils tels que SAPvX. Comment le fournisseur de cloud garantit-il l'intégrité des calculs ? Par exemple, par sa seule parole, ou en faisant exécuter la même tâche/application par plusieurs processeurs jusqu'à l'obtention d'un consensus sur le résultat correct ? Les points d'attaque contre la disponibilité sont nombreux : liaisons, serveurs, systèmes d'exploitation, hyperviseurs, applications, pilotes, données, etc.
(2) Cyberattaques traditionnelles. Cette section traite des attaques ciblant : (i) Les machines virtuelles. Vulnérabilités de la technologie des machines virtuelles/hyperviseurs utilisée par les fournisseurs de cloud dans leurs architectures mutualisées. Les mesures d'atténuation comprennent les pare-feu, la surveillance et les systèmes IDS/IPS/IAM. (ii) Les vulnérabilités des fournisseurs de cloud. Cela inclut les injections SQL, les attaques XSS, etc. Les mesures d'atténuation comprennent les outils de gestion et d'audit des vulnérabilités. (iii) L'analyse forensique professionnelle du cloud, même contre les techniques anti-forensiques. Actuellement, cette tâche est impossible. (iv) Les vecteurs d'attaque par hameçonnage. Le cloud peut servir de vecteur d'attaque pour l'ingénierie sociale. (v) Les tâches d'authentification et d'autorisation. Celles-ci ne peuvent pas être étendues au cloud. (vi) La surface d'attaque réseau étendue. Les utilisateurs de cloud doivent protéger l'infrastructure utilisée pour se connecter au cloud et interagir avec lui, une tâche très complexe.
(3) Cyberattaques contre le contrôle des données par des tiers. Cette section inclut les attaques visant : (i) l’espionnage des fournisseurs de services cloud ; (ii) le respect des obligations contractuelles et des SLA (accords de niveau de service) avec le fournisseur de services cloud ; (iii) les audits et les normes de conformité. Certaines réglementations exigent le maintien des données et des opérations dans des zones géographiques spécifiques. Certains fournisseurs ont commencé à proposer des services géolocalisés.
(4) Cyberattaques ciblant la gestion des clés. La gestion des clés de chiffrement cryptographique a été conçue pour les serveurs physiques et ne fonctionne pas correctement en environnement virtualisé. Il est dangereux de stocker des mots de passe ou des certificats dans des machines virtuelles individuelles.
(5) Autres cyberattaques. Attaques visant l'isolation des processus/VM, la ségrégation des données, la mutualisation, la localisation des données, l'authentification, le partage des données, l'accès aux données, le chiffrement/la signature numérique/la génération de nonces/le générateur de nombres pseudo-aléatoires, la délégation des droits d'accès, la gestion des identités et des accès (IAM/AAA), les architectures/modèles de sécurité, etc. Si la plateforme de VM assure une haute disponibilité, les applications ne le font pas, et inversement. Attaques visant la protection des données selon trois axes : sécurité des données personnelles, localisation des données personnelles et accès à ces données.
Technologies de virtualisation et de cloud computing. Xen.
La virtualisation est une technologie clé du cloud computing. Parmi les produits de virtualisation les plus connus, citons : Xen (initialement développé par Cambridge, désormais Citrix pour Linux), VMware (pour Linux et Windows) et Parallel Desktop (pour Mac). La virtualisation permet à plusieurs systèmes d'exploitation de partager une même machine. Une instance de système d'exploitation invité est appelée machine virtuelle (VM). La virtualisation peut héberger des centaines de machines virtuelles. Ses principaux avantages sont la consolidation des ressources, la migration des VM, l'équilibrage de charge et l'isolation des environnements.
Les composants de Xen sont :
(i) L'hyperviseur. Il se situe entre le matériel et le système d'exploitation. Il gère la planification du processeur et le partitionnement de la mémoire des machines virtuelles. Il permet de contrôler l'exécution des autres domaines et applique le principe « moins, c'est plus » (une nouvelle version est plus légère que la précédente et ne réimplémente pas les fonctions fournies par le système d'exploitation, telles que la gestion du réseau et les entrées/sorties).
(ii) Domaine 0. Il s'agit d'un noyau Linux modifié avec gestion et contrôle des domaines. Il contient les pilotes de périphériques permettant d'accéder au matériel (par exemple, ND-Network Driver et BBD-Block Backend Driver) et interagit avec les autres machines virtuelles.
(iii) Domaine U. Il n'a pas d'accès direct au matériel ; il partage des ressources avec les autres domaines (les ressources sont virtualisées). Sous Xen 3.X, des systèmes d'exploitation modifiés (Linux, Windows, Solar, UNIX) sont requis. À partir de Xen 4, il prend en charge les systèmes d'exploitation d'origine. L'écriture sur Xen est similaire à l'écriture sur le système d'exploitation Linux. Par exemple, les appels système sont des hyperappels, les signaux sont des événements et les systèmes de fichiers sont des XenStores. Parmi les hyperviseurs couramment utilisés dans les environnements de virtualisation, on trouve : KVM, Xen/XCP, Hyper-V, VMware, Grizzly, etc.
Considérations finales :
Le paradigme du cloud computing est un domaine de recherche très actif. Par exemple, des méthodes de stockage cloud offrant une confidentialité accrue par rapport à Dropbox, Google Drive et iCloud, telles que OwnCloud et Tahoe-lafs, ont été proposées. De même, des solutions open source comme Seafile (qui permet de créer un cloud privé pour le partage de fichiers et la collaboration en réseau, fonctionnant de manière similaire à Dropbox avec des clients à synchronisation transparente) et Duplicati (un outil de sauvegarde de fichiers chiffrés se connectant à des systèmes de stockage cloud tels qu’Amazon S3, Google Drive, Windows OneDrive et Rackspace, ainsi qu’à des serveurs personnels avec accès SSH/FTP) ont également été développées. Notre groupe de recherche évalue, analyse, synthétise et met en œuvre des systèmes de protection depuis plus de quinze ans afin d’améliorer la cybersécurité et la confidentialité, deux aspects particulièrement importants dans les environnements de cloud public et hybride.
Cet article s'inscrit dans le cadre des activités développées au sein du réseau LEFIS.
Auteur:
Prof. Dr. Javier Areitio Bertolín – E.Mail :
Professeur à la Faculté d'ingénierie de l'Université de Deusto.
Directeur du groupe de recherche sur les réseaux et les systèmes.
Littérature
Areitio, J. « Sécurité de l’information : réseaux, informatique et systèmes d’information ». Cengage Learning-Paraninfo. 2013.
Areitio, J. « Identification, analyse et corrélation entre protection physique et cybersécurité ». Conectrónica Magazine. N° 161. Octobre 2012.
Areitio, J. « Analyse des risques en matière de cybersécurité et de cyberprotection des informations entourant les systèmes AmI ». Conectrónica Magazine. N° 163. Janvier 2013.
Areitio, J. « Évolution des menaces et tendances en matière de sécurité des réseaux dans le contexte du Web ». Conectrónica Magazine. N° 142. Novembre 2010.
Winkler, V. « Sécuriser le cloud : techniques et tactiques de sécurité informatique en nuage ». Syngress Publications. 2011.
Mather, T., Kumaraswamy, S. et Latif, S. « Sécurité et confidentialité du cloud : une perspective d’entreprise sur les risques et la conformité ». O’Reilly Media. 2009.
Halpert, B. « Auditing Cloud Computing: A Security and Privacy Guide ». Wiley. 2011.
URL : http://www.cloudsecurityalliance.org
Krutz, RL et Vines, RD, « Cloud Security: A Comprehensive Guide to Secure Cloud Computing ». Wiley. 2010.
Murugesan, S. « Cloud Computing ». Chapman and Hall/CRC. 2012.
Smoot, SR et Tan, NK, « Private Cloud Computing ». Morgan Kaufmann. 2012.
Bauer, E. et Adams, R., « Reliability and Availability of Cloud Computing ». Wiley-IEEE Press. 2012.
Buchanan, W.J., « Advanced Cloud Computing and Virtualization ». Auerbach Publishers. 2012.
Lim, I, Hourani, P. et Coolidge, E.C., « Securing Cloud and Mobility: A Practitioner's Guide ». Auerbach Publications. 2012.
McNab, C. « Déploiement sécurisé dans le cloud ». McGraw-Hill Osborne Media. 2012.
Siepmann, F. « Gestion des risques et de la sécurité dans l’externalisation des services informatiques : infrastructures locales et cloud ». Auerbach Publications. 2013.
Rountree, D. et Castrilllo, I. « Les fondamentaux du cloud computing : comprendre les principes de la théorie et de la pratique ». Syngress. 2013.
Nepal, S. et Pathan, M. « Sécurité, confidentialité et confiance dans les systèmes cloud ». Springer. 2013.
