Une information est une collection organisée de données qui a un sens et qui a donc une valeur (pas nécessairement pour tout le monde). Mon objectif est à la fois de m'assurer que je protège mon information, tout en tentant de compromettre celle de mes adversaires. Ceci est d'autant plus important en ce début de XXIème siècle alors que l'Internet représente un médium de plus en plus utilisé à l'échelle planétaire, et que parallèlement les forces armées s'appuient de façon croissante sur la quatrième dimension, la mise en réseau et l'échange d'informations.
Les trois (voire quatre) piliers de la sécurité de l'information
La sécurité de l'information repose sur trois piliers qui constituent le fameux acronyme anglophone CIA :
Confidentiality : l'accès à l'information n'est possible qu'aux personnes autorisées. Différents niveaux de confidentialité peuvent être définis, donnant des accès différentiés en fonction de la sensibilité de l'information. Il s'agit donc de protéger la lecture et la diffusion de l'information (coordonnées bancaires, informations personnelles, plan de bataille, liste d'agents infiltrés...).
Integrity : l'information ne doit pas être altérée par quelqu'un qui n'en a pas l'autorisation, volontairement ou accidentellement. Il s'agit donc de protéger l'écriture de l'information. L'intégrité doit être assurée d'un bout à l'autre de la chaîne, et ne concerne pas uniquement des attaques mais aussi les erreurs pouvant être commises par des opérateurs humains ou des dysfonctionnements d'origine matérielle/logicielle.
Availability (Disponibilité) : l'information doit être disponible et pouvoir être accessible pour les entités qui en ont besoin, au moment où elles en ont besoin. La disponibilité concerne à la fois les bases de stockage de l'information, les processeurs qui traitent l'information mais également l'ensemble du réseau qui la transmet. Il s'agit de lutter contre les interruptions de service, qu'elles soient causées par des évènements d'ordre
-
physique : catastrophes naturelles, bombardements, coupures d'électricité, pannes diverses...
-
numérique ou électromagnétique : attaques de type Déni de Service (DoS, usuellement par envoi de très nombreuses requêtes depuis des ordinateurs piratés qui saturent une machine et la rendent HS) ou brouillage
Il est clair, comme l'affaire Stuxnet l'a montré, que des actions offensives dans le cyberespace visant à corrompre l'intégrité du fonctionnement d'un logiciel peuvent mettre en péril la disponibilité d'un équipement industriel (ou autre) bien physique.
On peut également ajouter un quatrième élément, Accountability (Responsabilité), qui permet de tracer toutes les modifications de l'information et donc notamment d'assurer la non-répudiation (ne pas pouvoir nier avoir accompli une action). Un exemple trivial en est la signature : si un document porte ma signature, en principe j'aurai du mal à contester l'avoir émis. Le concept de signature électronique, s'appuyant sur la cryptographie, étend cette idée dans le cyberespace.
En synthèse, la sécurité doit pouvoir prévenir et faire face autant que possible non seulement à des attaques volontaires, mais également des accidents, des pannes et plus prosaïquement à des erreurs humaines.
Différents moyens permettent de contribuer à la sécurité de l'information
Le C peut être atteint à l'aide de
-
dispositifs physiques : portes, cadenas, barrières, systèmes de surveillance, détecteurs de mouvement, gardiennage, coffres...
-
cryptographie : consiste à protéger une information secrète au moyen de clés de chiffrement/déchiffrement, et répond à la cryptanalyse, dont l'objectif est de percer ses défenses
-
pare-feus (permettant de laisser passer ou de bloquer les flux d'information et de découper un réseau en zones contingentées) et anti-virus, logiciels de supervision...
-
maîtrise du spectre électromagnétique : cages de Faraday, compression des émissions, évasion de fréquence, protection TEMPEST
-
évidemment, le respect de procédures et de bonnes pratiques par tous les maillons de la chaîne. On touche là à l'humain, probablement le maillon le plus incontrôlable de cette chaîne de confidentialité.
Court développement sur la cryptographie
La cryptographie permet à un émetteur de transformer un message lisible en un ensemble de données illisibles pour ceux qui n'ont pas l'autorisation (chiffrement), mais également, à l'autre bout de la chaîne, de retransformer un message pour que son récepteur puisse le lire (déchiffrement).
Pour simplifier à l'extrême, elle repose sur deux éléments : l'algorithme, qui est la méthode de transformation de l'information, et la clé, qui est un paramètre (mot, nombre...) donné en entrée du chiffrement et du déchiffrement. Le niveau de sécurité dépend de la complexité de l'algorithme et de la longueur de la clé. Sans rentrer dans les détails, il existe des méthodes dites
-
symétriques : la clé est tenue secrète (partagée par l'émetteur et le récepteur) et est la même pour le chiffrement et le déchiffrement
-
asymétriques : il existe deux clés, une pour le chiffrement et une autre pour le déchiffrement, la première étant publique, la deuxième secrète et uniquement connue pour le récepteur. Ces méthodes sont très largement utilisées dans le civil pour tout ce qui touche à l'authentification, notamment pour le commerce électronique et la distribution de certificats numériques.
La cryptographie est une discipline très ancienne, l'exemple le plus simple et le premier enseigné aux étudiants étant le code Jules César, utilisé par son créateur sur les champs de bataille dans l'Antiquité. L'algorithme est simple : il s'agit d'un simple décalage des lettres de l'alphabet, la clé étant l'amplitude du décalage. Par exemple, avec une clé de 2, A devient C et Z devient B.
Cette méthode permet d'exposer un concept très important de la sécurité de l'information : la péremption. Bien sûr, le code Jules César, qui sert à transmettre les ordres de mouvements, est extrêmement "trivial", et les ennemis de l'Empire Romain peuvent, avec un peu de jugeote et de travail, le casser. Mais l'important n'est pas là pour ses utilisateurs : il s'agit uniquement de s'assurer que l'adversaire ne puisse déchiffrer les messages à temps.
Aujourd'hui, la cryptographie est au coeur de la sécurisation de la plupart des télécommunications militaires et civiles (notamment grâce à l'essor d'Internet).
Concernant le I, la sécurité physique et la cryptographie peuvent également jouer un rôle : cette dernière permet notamment d'affirmer si un message a été altéré à réception, souvent grâce à des algorithmes asymétriques. Elle ne permet cependant pas de remédier à cette altération, ni de savoir d'où elle provient.
Dans le domaine des télécommunications, il existe également des méthodes de contrôle de l'intégrité des données échangées et de correction des erreurs.
Enfin, le A est assuré (plus ou moins bien) par des dispositifs de type redondance, mise en place de systèmes tolérants aux pannes (i.e. capables de continuer à fonctionner, éventuellement en mode dégradé, quand un ou plusieurs de leurs composants tombent en panne), une surveillance régulière des bases d'informations, l'utilisation de logiciels anti-virus, ou la mise en place de honey pots servant à leurrer les cyberattaquants, qui s'acharnent sur eux pendant que les systèmes utiles continuent tranquillement à fonctionner...
De l'authentification
L'accès à l'information protégée se fait par des processus d'authentification, c'est-à-dire de vérification de l'identité (contribuant à la confidentialité, l'intégrité, la disponibilité et la non-répudiation). Celle-ci peut reposer sur trois grands types d'éléments :
-
ce que je possède : une clé, un badge...
-
ce que je suis : l'empreinte de mon pouce ou de ma rétine, ma voix ou les veines de ma main (biométrie)
-
ce que je sais : un mot de passe, un code PIN
Souvent plusieurs de ces éléments sont utilisés en conjonction : un code PIN n'est utile que si on l'applique à la puce adéquate. Pour des exemples plus exotiques, se référer à n'importe quel film d'espionnage hollywoodien.
Quelques remarques en vrac pour finir
-
Attention à ce que le dispositif de sécurisation ne soit pas plus coûteux que les conséquences les plus dramatiques de la non-confidentialité, non-intégrité ou indisponibilité
-
Une chaîne est aussi forte que le plus faible de ses maillons : ce n'est pas la peine de construire une porte blindée avec des verrous de sécurité si les murs autour sont épais comme du papier, pour parler de façon imagée
-
Le maillon humain est souvent le plus faible : inutile d'imaginer des dispositifs ultra sophistiqués si les hommes et femmes ne respectent pas les règles les plus élémentaires de discrétion et de prudence (sans parler de la corruption et des agents doubles). On se rappelle notamment de la mise à genou de l'Intranet de la Marine à cause d'une clé USB infectée (Virus informatique et négligence humaine au menu de la Marine) ou du haut responsable de Scotland Yard photographié avec des documents confidentiels sous le bras (The Weakest Link puissance 100)
-
D'une manière générale, il est illusoire de penser que le simple fait de cacher l'existence d'un secret (la dissimulation) suffit à le protéger. Autrement dit, la stéganographie pure (i.e. sans complication de "type cryptographique") est à éviter en général.
-
Parfois, il n'est pas nécessaire d'avoir accès au contenu exact d'un message (et donc de le décrypter) pour en tirer des informations. Par exemple, le simple fait de détecter un signal et de localiser sa provenance peut être signifiant : ainsi, pendant la Première Guerre Mondiale, l'écoute de l'activité électromagnétique des stations Zeppelin en Allemagne ont permis de prévoir les bombardements à venir sur Paris. Autre exemple, les "parasites" d'un signal émis depuis un appareil volant permettent de savoir s'il s'agit d'un avion ou d'un hélicoptère.
-
En guise de conclusion : il n'existe pas de système inviolable, infalsifiable et éternellement fiable
Courte bibliographie :
-
La sécurité des systèmes d'information, un enjeu majeur pour la France (Rapport parlementaire)
-
Computer Security de Dieter Gollmann : notamment pour sa première partie, qui reprend tous les fondamentaux exposés ci-dessus en profondeur (et développe en particulier la notion de niveaux de sécurité), sans trop rentrer dans les détails techniques
-
La cryptographie décryptée de Doris Baker et H.X. Mel : pour s'initier aux principaux concepts liés à la cryptographie, en retraçant en particulier de façon synthétique l'historique de la discipline
Partager cet article :
Aucun commentaire:
Enregistrer un commentaire