L’idéal pour sécuriser les usages du cloud

L’essor du cloud a largement contribué à la démocratisation de l’usage de la data dans tous les secteurs économiques. Comme nous l’évoquions dans notre précédent article sur l’infrastructure as a service (IAAS, l’une des notions fondatrices du cloud avec le PAAS et le SAAS), le cloud permet aux entreprises de développer un usage de la donnée avec plus de scalabilité, et surtout une plus grande flexibilité en matière d’investissements IT. Cela a aussi nettement facilité le travail d’administration des DSI qui peuvent externaliser une partie de leurs missions à faible valeur ajoutée (comme la maintenance des infrastructures) afin de se focaliser sur les plus stratégiques. 

Toutefois, de par les fréquents échanges de données qu’il impose et la concentration de ces dernières au sein de ses data centers, le cloud est devenu une cible de choix pour tous les cybercriminels. Dans ce contexte, même la plus petite erreur de configuration peut entraîner des fuites de données potentiellement dommageables pour toutes les entreprises qui travaillent sur le cloud. 

De nombreuses entreprises et acteurs du cloud mettent alors tout en œuvre pour assurer la sécurité de leurs serveurs et data centers. Parmi les solutions apportées, le chiffrement de bout en bout est souvent considéré comme la plus efficace pour protéger les données stockées dans le nuage. En effet, grâce à cette méthode, même si les infrastructures du cloud sont pénétrées par un pirate, la data reste inexploitable. La seule chose que ce pirate obtient c’est un charabia dont le volume rendrait un déchiffrement automatique bien trop long (à l’échelle de la vie humaine) même avec un supercalculateur.

Si tous les échanges de données transitaient par des canaux chiffrés de bout en bout, les entreprises et leurs clients seraient prémunis des conséquences d’une faille de sécurité dans le cloud.

Les avantages de l’end to end encryption 

• Protéger vos données contre les hackers : avec le chiffrement de bout en bout, vous êtes le seul à disposer de la clé privée nécessaire pour lire votre data. 
• Assurer la data privacy de votre entreprise et de vos clients : des prestataires du cloud tels que Google et Microsoft peuvent théoriquement lire toutes les données stockées sur les serveurs de leurs data centers. Par le chiffrement de bout en bout vous vous assurez de la confidentialité des informations stockées.
• Protégez vos administrateurs : ils sont habituellement les premières cibles des hackers qui tentent de percer les secrets d’une entreprise. Toutefois, avec le chiffrement de bout en bout, ils ne sont pas en possession des clés de déchiffrage. Cela a pour intérêt de dissuader les offensives sur ces postes stratégiques. 

Comment ça marche ?

Le chiffrement de bout en bout repose sur le principe dit de “chiffrement asymétrique” et s’opère directement sur les devices des utilisateurs. Dans ce cas de figure, deux clés sont employées. La clé “publique” assure le chiffrement (et donc la sécurisation du message) quand la clé “privée” permet de le déchiffrer et donc de rendre les données intelligibles.

Prenons l’exemple de la cliente Sandra qui crée un compte sur la nouvelle app mobile de son magasin préféré. Celui-ci lui transmet alors une confirmation d’inscription avec un récapitulatif de ces informations.

Lors de la procédure, Sandra transmet différentes données personnelles qui peuvent être très sensibles (on pense notamment aux coordonnées bancaires). Heureusement, cette app a été conçue en intégrant dès le départ une fonctionnalité de chiffrement de bout en bout (c’est notamment ce qu’assurent les raisonnements dits de “security by design”).

Du côté de Sandra :

Les données que Sandra entre dans le formulaire sont immédiatement chiffrées - depuis son smartphone - à l’aide de la clé publique de l’entreprise qui est importée depuis le serveur. Dès lors, elles peuvent être envoyées au système de l’entreprise.

Du côté de l’entreprise :

Pour interpréter les données qui lui sont transmises, le système informatique (SI) de l’entreprise peut alors exploiter sa clé privée afin de déchiffrer le message directement depuis le device de réception des données. 

Le SI renvoie alors dans l’app de Sandra une notification de confirmation. Le processus inverse s’enclenche : c’est la clé publique de Sandra qui est utilisée pour chiffrer le message et sa clé privée qui assure le déchiffrement sur son smartphone.

Il est important de garder à l’esprit, c’est que les informations transmises entre les devices de Sandra et du SI de l’entreprise transitent par de nombreux serveurs sur Internet. Les sociétés qui possèdent ces serveurs, ainsi que tous les pirates qui pourraient les espionner, ne peuvent pas exploiter les données qui transitent par leur biais, car ils ne possèdent aucune des deux clés privées nécessaires.

Des failles potentielles ? Gare au spoofing

Tout expert sécurité l’admettra : aucune solution n’est fiable à 100%. La sécurité est une chaîne dont la résistance est égale à celle de son maillon le plus faible. De fait, si le chiffrement de bout en bout ne peut être cassé, il peut être contourné en s’en prenant à d’autres systèmes.

La plupart du temps, les serveurs par lesquels transitent les clés publiques (servant à chiffrer les messages) peuvent être attaqués. S’ils ne sont pas suffisamment sécurisés, le pirate peut alors infiltrer le système de chiffrement et usurper l’identité de l’un des protagonistes de la communication (on parle de spoofing).

Si l’on reprend l’exemple de Sandra, ce ne serait plus la clé publique du commerçant qui serait employée pour chiffrer ses données, mais celle du pirate (faisant croire qu’il s’agit bien de celle de l’entreprise). Le pirate recevrait alors des données chiffrées, mais il pourrait les déchiffrer avec sa propre clé privée.

La plupart des sociétés de sécurité recommandent ainsi que le chiffrement de bout en bout soit combiné à d’autres solutions de sécurité bloquant les moyens de contournement, c’est notamment le cas des procédures d’authentification renforcées qui feront l’objet de discussions dans le track IT du prochain HUBDAY Future of Retail & E-commerce.