Mon Blog Défense: [Le B.A.-BA] : la sécurité de l'information

Nouvelle rubrique pour mon blog, que j'essaierai d'alimenter régulièrement : "le B.A-BA", qui se veut une introduction (et non une analyse encyclopédique) à certains concepts de base, notamment technologiques, liés de près ou de loin à la défense. On commence par un incontournable, la sécurité de l'information.

***

On voit fleurir sur la blogosphère et dans les médias de nombreux articles sur la guerre de l'information, les cyberattaques, l'espionnage à l'ère numérique... So let's get back to basics.

Une information est une collection organisée de données qui a un sens et qui a donc une valeur (pas nécessairement pour tout le monde). Mon objectif est à la fois de m'assurer que je protège mon information, tout en tentant de compromettre celle de mes adversaires. Ceci est d'autant plus important de nos jours, alors que l'Internet représente un médium de plus en plus utilisé à l'échelle planétaire, et que parallèlement les forces armées s'appuient de façon croissante sur la quatrième dimension, la mise en réseau et l'échange d'informations.

***

La sécurité de l'information repose sur trois piliers qui constituent le fameux acronyme CIA :

Confidentiality : l'accès à l'information n'est possible qu'aux personnes autorisées. Différents niveaux de confidentialité peuvent être définis, donnant des accès différentiés en fonction de profils. Il s'agit donc de protéger la lecture et la diffusion de l'information.

Integrity : l'information ne doit pas être altérée par quelqu'un qui n'en a pas l'autorisation, volontairement ou accidentellement. Il s'agit donc de protéger l'écriture de l'information. L'intégrité doit être assurée d'un bout à l'autre de la chaîne, et ne concerne pas uniquement des attaques mais aussi les erreurs pouvant être commises par des opérateurs humains ou des dysfonctionnements d'origine matérielle/logicielle.

Availability (Disponibilité) : l'information doit être disponible et pouvoir être accessible pour les entités qui en ont besoin, au moment où elles en ont besoin. La disponibilité concerne à la fois les bases de stockage de l'information, les processeurs qui traitent l'information mais également l'ensemble du réseau qui la transmet. Il s'agit de lutter contre les interruptions de service, qu'elles soient causées par des évènements d'ordre

physique : catastrophes naturelles, bombardements, coupures d'électricité, pannes diverses...
numérique ou électromagnétique : attaques de type Déni de Service (DoS) ou brouillage

On peut également ajouter un quatrième élément, Accountability, qui permet de tracer toutes les modifications de l'information et donc notamment d'assurer la non-répudiation (ne pas pouvoir nier avoir accompli une action). Un exemple trivial en est la signature : si un chèque porte ma signature, en principe j'aurai du mal à contester l'avoir émis.

En synthèse, la sécurité doit pouvoir prévenir et faire face autant que possible non seulement à des attaques volontaires, mais également des accidents, des pannes et plus prosaïquement à des erreurs humaines.

***

Différents moyens permettent de contribuer à assurer la sécurité de l'information.

Le C peut être atteint à l'aide de

dispositifs physiques : portes, cadenas, barrières, systèmes de surveillance, détecteurs de mouvement, gardiennage, coffres...
cryptographie (qu'elle soit symétrique ou asymétrique, distinction matière à un autre article) : consiste à protéger une information secrète au moyen de clés, et répond à la cryptanalyse, dont l'objectif est de percer ses défenses
parefeus et anti-virus, logiciels de supervision
maîtrise du spectre électromagnétique : cages de Faraday, compression des émissions, évasion de fréquence, protection TEMPEST
évidemment, le respect de procédures et de bonnes pratiques déjà discutées ici. On touche là à l'humain, probablement le maillon le plus incontrôlable de la chaîne de confidentialité.

Court développement sur la cryptographie :

La cryptographie permet à un émetteur de transformer un message lisible en un ensemble de données illisibles pour ceux qui n'ont pas l'autorisation (chiffrement), mais également, à l'autre bout de la chaîne, de retransformer un message pour que son récepteur puisse le lire (déchiffrement).

Pour simplifier à l'extrême, elle repose sur deux éléments : l'algorithme, qui est la méthode de transformation de l'information, et la clé, qui est un paramètre (mot, nombre...) donné en entrée du chiffrement et du déchiffrement. Le niveau de sécurité dépend de la complexité de l'algorithme et de la longueur de la clé. Sans rentrer dans les détails, il existe des méthodes dites

symétriques : la clé est tenue secrète (partagée par l'émetteur et le récepteur) et est la même pour le chiffrement et le déchiffrement
asymétriques : il existe deux clés, une pour le chiffrement et une autre pour le déchiffrement, la première étant publique, la deuxième secrète et uniquement connue pour le récepteur. Ces méthodes sont très largement utilisées dans le civil, notamment pour le commerce électronique et la distribution de certificats numériques.

La cryptographie est une discipline très ancienne, l'exemple le plus simple et le premier enseigné aux étudiants étant le code Jules César, utilisé par son créateur sur les champs de bataille dans l'Antiquité. L'algorithme est simple : il s'agit d'un simple décalage des lettres de l'alphabet, la clé étant l'amplitude du décalage. Par exemple, avec une clé de 2, A devient C et Z devient B.

Cette méthode permet d'exposer un concept très important de la sécurité de l'information : la péremption. Bien sûr, le code Jules César, qui sert à transmettre les ordres de mouvements, est extrêmement "trivial", et les ennemis de l'Empire Romain peuvent, avec un peu de jugeote et de travail, le casser. Mais l'important n'est pas là pour ses utilisateurs : il s'agit uniquement de s'assurer que l'adversaire ne puisse déchiffrer les messages à temps.

Aujourd'hui, la cryptographie est au coeur de la sécurisation de la plupart des télécommunications militaires et civiles (notamment grâce à l'essor d'Internet).

Concernant le I, la sécurité physique et la cryptographie peuvent également jouer un rôle : cette dernière permet notamment d'affirmer si un message a été altéré à réception, souvent grâce à des algorithmes asymétriques. Elle ne permet cependant pas de remédier à cette altération, ni de savoir d'où elle provient.

Dans le domaine des télécommunications, il existe également des méthodes de contrôle de l'intégrité des données échangées et de correction des erreurs.

Enfin, le A est assuré par des dispositifs de type redondance, mise en place de systèmes tolérants aux pannes (i.e. capables de continuer à fonctionner, éventuellement en mode dégradé, quand un ou plusieurs de leurs composants tombent en panne), une surveillance régulière des bases d'informations, l'utilisation de logiciels anti-virus...

L'accès à l'information protégée se fait par des processus d'authentification (contribuant à la confidentialité, l'intégrité, la disponibilité et la non-répudiation). Celle-ci peut reposer sur trois grands types d'éléments :

ce que je possède : une clé, un badge
ce que je suis : biométrie
ce que je sais : un mot de passe, un code PIN

Souvent plusieurs de ces éléments sont utilisés en conjonction : un code PIN n'est utile que si on l'applique à la puce adéquate. Pour des exemples plus exotiques, se référer à n'importe quel film d'espionnage hollywoodien.

***

Quelques remarques en vrac pour finir :

Attention à ce que le dispositif de sécurisation ne soit pas plus coûteux que les conséquences les plus dramatiques de la non-confidentialité, non-intégrité ou indisponibilité

Une chaîne est aussi forte que le plus faible de ses maillons : ce n'est pas la peine de construire une porte blindée avec des verrous de sécurité si les murs autour sont épais comme du papier, pour parler de façon imagée

D'une manière générale, il est illusoire de penser que le simple fait de cacher l'existence d'un secret (la dissimulation) suffit à le protéger. Autrement dit, la stéganographie pure (i.e. sans complication de "type cryptographique") est à éviter en général.

Parfois, il n'est pas nécessaire d'avoir accès au contenu exact d'un message (et donc de le décrypter) pour en tirer des informations. Par exemple, le simple fait de détecter un signal et de localiser sa provenance peut être signifiant : ainsi, pendant la Première Guerre Mondiale, l'écoute de l'activité électrmagnétique des stations Zeppelin en Allemagne ont permis de prévoir les bombardements à venir sur Paris. Autre exemple, les "parasites" d'un signal émis depuis un appareil volant permettent de savoir s'il s'agit d'un avion ou d'un hélicoptère.

En guise de conclusion : il n'existe pas de système inviolable, infalsifiable et éternellement fiable

***

Courte bibliographie :

La sécurité des systèmes d'information, un enjeu majeur pour la France (Rapport parlementaire)
Computer Security de Dieter Gollmann : notamment pour sa première partie, qui reprend tous les fondamentaux exposés ci-dessus en profondeur (et développe en particulier la notion de niveaux de sécurité), sans trop rentrer dans les détails techniques
La cryptographie décryptée de Doris Baker et H.X. Mel : pour s'initier aux principaux concepts liés à la cryptographie, en retraçant en particulier de façon synthétique l'historique

***

Autres propositions pour la rubrique B.A.-BA :