29 janvier 2008

Version imprimable

Pour poster un commentaire

Toute institution – qu’il s’agisse d’une entreprise ou d’une administration – est dotée d’un « périmètre de sécurité » : il entoure les ressources qu’elle doit protéger contre les accidents naturels ou les attaques humaines.

Ce périmètre est évident dans l’espace physique : les locaux, les équipements, les documents et les personnes doivent être protégés contre les intempéries et les agressions.

Alors que la plate-forme du système d’information (ordinateurs et réseaux) se trouve dans le périmètre de sécurité physique, l’informatisation a procuré un nouveau périmètre de sécurité, moins évident : les données, systèmes d’exploitation et programmes informatiques se trouvent en effet dans le « cyberespace » ou « espace logique ». Comme les réseaux lui confèrent l’ubiquité géographique, la protection ne peut plus y être assurée par des bâtiments, des portes et des serrures[1].

Les menaces auxquelles l’institution est confrontée ne sont pas nouvelles : menaces naturelles (incendie, inondation, séismes etc.) et d’origine humaine (malveillance, espionnage[4], vol etc.). Mais elles prennent, dans l’espace logique, des formes nouvelles ; elles pénètrent l’institution en empruntant des procédés et vecteurs nouveaux ; elles peuvent enfin, s’appuyant sur la puissance de l’informatique, causer des dommages d’une ampleur inédite.

Les institutions n’ont pas encore pleinement assimilé les apports de l’informatisation : il s’en faut de beaucoup que les référentiels soient satisfaisants, que les processus soient bien outillés, que les systèmes d’aide à la décision soient au point. De même, elles ne perçoivent pas clairement les menaces auxquelles elles sont exposées dans l’espace logique. Beaucoup d’entre elles sont, dans cet espace, ouvertes à tous les vents comme si elles n’avaient ni portes ni fenêtres. Certaines, instruites par l’expérience, se protègent mais les prédateurs perfectionnent leurs armes et s’activent pour contourner leurs défenses.

Toute grande institution est ainsi la cible de plusieurs dizaines d'attaques par jour. La plupart d'entre elles peuvent être bloquées automatiquement par les outils de sécurité, mais quelques-unes, recourant à des procédés nouveaux auxquels ces outils ne savent pas répondre, représentent un réel danger.

Qui sont les pirates ?

Dans deux tiers des cas environ, ce sont des personnes qui veulent s’enrichir aux dépens de l’institution ou de ceux qu’elle doit servir. Elles attaquent les banques pour déclencher des virements vers leurs comptes ; elles vendent des permis de conduire, des pensions d’invalidité, des aides sociales, des retraites, à des gens qui n’y ont aucun droit et ces faux documents peuvent encore faciliter d’autres délits. Elles usurpent l’identité d’autres personnes[5] pour s’emparer de leurs biens, ou bien s’appuient sur des données intimes pour commettre des indiscrétions ou faire du chantage.

D’autres cherchent à se venger de l’institution : elles vont saboter le système d’exploitation, les applications et les données, causant des dommages parfois irréparables, puis faire en sorte que d’autres personnes soient accusées et sanctionnées lorsque le sabotage sera découvert.

Certaines institutions détiennent des informations stratégiques importantes et secrètes : projets industriels et commerciaux, opérations de fusion et d’acquisition, intentions politiques et géopolitiques, résultats de la R&D etc. Des espions sont intéressés à les acquérir pour les revendre, des agences de renseignement sont à l’écoute (que l’on pense au système Echelon de la NSA).

Graphique 1 : importance relative des attaques (source : Whitman, op. cit.)

Dans la moitié des cas environ, les attaques viennent de l’intérieur : les agents de l’institution sont bien placés pour connaître ses rouages, ils les connaissent mieux que ne le font les dirigeants (asymétrie d’information et donc risque moral), ils sont habilités à pénétrer le système d’information. La plupart de ces délits sont des délits d’occasion : l’institution a laissé grande ouverte une porte, elle a refusé d’entendre d’éventuelles alarmes, l’agent a fini par céder à la tentation. Dans ce cas, on peut dire que la responsabilité est partagée entre l’institution et le coupable[6].

Dans d’autres cas l’agent cherche à se venger, à s’affirmer etc.

Souvent, les attaques sont précédées par des manœuvres qui visent à acquérir des habilitations et par des tests à petite échelle pour vérifier si « cela marche ». Il n’est donc pas impossible de les détecter à l’avance, pour peu que l’institution dispose d’une gendarmerie vigilante...

Il existe une étonnante disproportion entre les dommages qu’une attaque peut causer et la modicité des moyens qu’elle réclame. Point n’est besoin d’explosifs, d’une pince monseigneur ou de fausses clés : il suffit de pianoter sur un clavier quelques instructions bien choisies et le mal est fait.

Quelle est la nature des dommages que les prédateurs peuvent causer ? On pense immédiatement à la perte économique, à la perte d’argent[7], mais ce n’est sans doute pas le plus grave. Une institution est responsable envers les personnes qui lui ont confié leurs données qu’il s’agisse de l’état civil, du compte bancaire, des déclarations fiscales etc. Protéger ces données est un devoir à la fois moral et civique. Négliger la protection, les exposer aux prédateurs, est répréhensible et peut être jugé pénalement coupable[8].

Outre les risques financier et juridique, la perte de crédibilité est peut-être le risque le plus important : la légitimité d’une institution, le poids donné à ses décisions, sont atteints si les faits montrent qu’elle est vulnérable, incapable de défendre sa propre sécurité.

La CNIL, qui a mission de protéger les personnes physiques et morales, s’oppose parfois à des innovations que les institutions estiment utiles pour leur système d’information. Si l’on peut apporter à la CNIL des garanties suffisantes sur la protection des données, le contrôle des habilitations etc., certains de ces obstacles seront sans doute levés.

*     *

L’informatique ne se sépare pas du réseau : données et applications sont ainsi accessibles, sous la seule contrainte des habilitations, depuis n’importe quel endroit du monde. Certaines institutions tentent de se protéger en isolant les ordinateurs du réseau mais le remède est sans doute pire que le mal car privée de réseau, l’informatique étouffe.

Tout comme l’air que nous respirons apporte en sus de l’oxygène des virus et bactéries, le réseau apporte des « virus » à l’informatique et offre un chemin d’invasion aux prédateurs. Le contrôle du réseau sera donc pour une institution la meilleure des défenses.

Les institutions s’équipent de pare-feux (firewalls) et de logiciels antivirus. C’est une excellente chose à condition de les tenir ponctuellement à jour – il suffit de quelques heures, voire quelques minutes de retard dans une mise à jour pour qu’un nouveau virus envahisse un système d’information.

Elles s’équipent de procédures d’identification, authentification et habilitation qui délimitent les droits de chaque agent. C’est une excellente chose à condition que ces procédures soient gérées de façon rigoureuse –  l’expérience montre que c’est rarement le cas, les institutions étant étonnamment négligentes dans la gestion des habilitations.

Certaines utilisent pour les messages et communications le chiffrement à clé publique, excellent procédé à condition de bien protéger les clés privées.

Les secrets de l’institution, les clés de chiffrement, se trouvent sur les micro-ordinateurs portables et sur les téléphones mobiles de ses agents : un micro-ordinateur perdu, ou volé, offrira à qui sait s’en servir des moyens d’accès vers les ressources les plus intimes de son utilisateur et de l’institution où il travaille. Lorsque des ordinateurs sont mis à la casse on ne pense pas assez à effacer réellement les disques durs (opération délicate et coûteuse) : un tiers des ordinateurs mis à la casse contiennent des données que l’on aurait dû effacer[10].

*     *

Les spécialistes en sécurité sont très recherchés par les institutions les plus menacées, notamment les banques et les assurances : ils quittent bientôt l’université pour trouver des emplois plus rémunérateurs que l’enseignement. Par ailleurs les entreprises qui développent des outils pour la sécurité se protègent par des brevets et font en sorte qu’aucune autre entreprise ne puisse réutiliser leurs procédés.

Tandis que la lutte pour la sécurité est ainsi entravée, les pirates coopèrent en utilisant les procédés de l’open source, alimentant des sites web sur lesquels les outils nécessaires aux attaques sont gratuitement mis à disposition[11]. Un pirate peut ainsi trouver sur un site le vecteur qui lui permettra de pénétrer les défenses de l’institution, et sur un autre site le virus que le vecteur ira déposer, comme une charge explosive, au bon endroit du système d’information pour y causer le maximum de dommages. Point n’est besoin d’être un génie pour construire une arme meurtrière : n’importe qui peut la monter en kit. 

*     *

S’il ne convient pas d’être paranoïaque, il ne faut pas non plus être insouciant. Personne ne laisserait ses locaux, ses bureaux, ses documents ouverts à tous les vents : de même, il faut protéger le périmètre de sécurité de l’institution dans l’espace logique.

Graphique 2 : importance relative des moyens de défense (source : Whitman, op. cit.)

La sécurité est devenue une spécialité complexe. Les experts doivent suivre l’évolution technique, qui est permanente, lire assidûment les revues spécialisées, participer à des colloques, entretenir des relations avec leurs collègues, articuler enfin leur compétence avec les autres spécialités du système d’information (architecture, urbanisation et modélisation, bureautique et groupware, projets applicatifs, qualité etc.) afin de faire respecter les exigences de la sécurité.

Comme les invasions passent pratiquement toutes par le réseau (Internet, Intranet, WAN), c’est sur le réseau que les spécialistes de la sécurité vont placer leurs outils et exercer leur vigilance. Les procédés les plus efficaces sont ceux qui s’appuient sur l’analyse statistique du trafic[12] : le trafic normal sur le réseau d’une institution obéissant à des « patterns » en fonction de l’heure et des opérations en cours, les attaques ou leur préparation font apparaître des anomalies par rapport à ces patterns.

Authentifier les accès, « notariser » les transactions (non répudiation), superviser les accès et surveiller le trafic sur les réseaux, tenir à jour et exploiter les pare-feux et antivirus, tout cela relève aussi de la sécurité logique. Ses exigences s’articulent avec celles de la sécurité physique, qui implique de programmer la reprise automatique en cas d’incident, assurer la disponibilité permanente du réseau et du service, sauvegarder les données en temps réel sur un site distant, assurer un archivage pérenne, protéger l’accès aux locaux techniques, superviser la plate-forme technique.

L’architecture articulera divers outils (graphique 3) : un routeur filtre les appels venant de l’Internet selon le « socket » appelé (« prise », couple formé par l’adresse IP et le numéro de port). La consultation du serveur Web de l’entreprise et l’accueil des messages se font dans une DMZ (« zone démilitarisée ») où le serveur Web est un « proxy » du vrai serveur, tandis que le relais de messagerie route immédiatement les messages reçus vers leur destinataire. Ainsi quelqu’un qui accède à la DMZ ne peut accéder ni au serveur Web, ni aux données, ni à la lecture des messages, toutes opérations réservées au réseau privé qui est protégé par un pare-feu. Le proxy Web et le relais de messagerie sont des mandataires applicatifs : ils ont chacun pour mission de protéger une application. 

*     *

L’institution doit-elle tout faire elle-même ? Peut-elle rentabiliser à elle seule les équipes de spécialistes et les équipements nécessaires ? Est-il préférable qu’elle se procure ces ressources auprès d’un fournisseur ? C’est, je le suppose, autour de ces questions que les prochains exposés vont pivoter. Je voudrais conclure par quelques remarques.

Pour que l’intervention d’un fournisseur soit efficace dans le domaine de la sécurité, il ne suffit pas de passer avec lui un contrat commercial : il faut instaurer un partenariat, fondé sur un partage dûment suivi et contrôlé des tâches et responsabilités. On ne sera pas exonéré de toute responsabilité parce que l’on aura confié la sécurité à un prestataire : si l’institution est insouciante, si elle n’efface pas les disques durs des ordinateurs mis à la casse, si elle n’est pas vigilante dans la gestion des habilitations, elle sera vulnérable quelle que soit la qualité du prestataire. Il faudra que le prestataire s’engage enfin à contrôler ses propres personnels, car le risque interne existe chez lui tout autant que dans l’institution.

Graphique 3 : une architecture pour la sécurité

La sécurité ne peut enfin être convenable que si le système d’information est lui-même de bonne qualité. Le désordre dans les référentiels, notamment dans le référentiel des personnes qui sert de socle aux habilitations, l’incohérence des processus, l’absence de supervision offrent autant d’occasions aux prédateurs.

La plupart des entreprises, et plus généralement des institutions, travaillent aujourd’hui en partenariat avec d’autres institutions : un même produit est élaboré par un réseau d’entreprises qui se partagent les responsabilités, les coûts et les profits. Ces réseaux élargissent d’autant le périmètre de sécurité qu’il convient de protéger, de contrôler ; leur maîtrise suppose, là encore, une qualité élevée du système d’information.

Au plan moral comme au plan juridique enfin, il sera impossible pour un maître d’ouvrage de faire porter par un prestataire la pleine responsabilité d’un sinistre : c’est au maître d’ouvrage qu’il revient de contrôler la qualité de la prestation, et de s’assurer que les services qui lui sont fournis protègent effectivement sa sécurité. On peut déléguer beaucoup de choses, mais pas la responsabilité : il faut que le maître d’ouvrage soit assez compétent pour contrôler ses fournisseurs.