Notions de sécurité du SI

Cet article introduit les notions de base de la sécurité informatique : menace, risque, vulnérabilité. Il y sera fait un premier tracé de l'ensemble du domaine, de ses aspects humains, techniques et organisationnels, sans en donner de description technique.

Menaces, risques et vulnérabilités

La sécurité des systèmes d'information (SSI) est une discipline de première importance car le système d'information (SI) est pour toute entreprise un élément absolument vital.

Puisque le SI est vital, tout ce qui le menace est potentiellement mortel : cela semble couler de source, et pourtant de trop nombreux employés peuvent témoigner des difficultés qu'ils ont pu éprouver en essayant de convaincre leur employeurs de consacrer quelques efforts à la sécurité de leur SI. Conjurer les menaces contre le SI est devenu impératif, et les lignes qui suivent sont une brève description de ce qu'il faut faire pour cela.

Les menaces contre le système d'information entrent dans l'une des catégories suivantes :

• atteinte à la disponibilité des systèmes et des données

• destruction, corruption ou falsification de données

• vol ou espionnage de données

• usage illicite d'un système ou d'un réseau

• usage d'un système compris pour attaquer d'autres cibles

Les menaces engendrent des risques et coûts humains et financiers : perte de confidentialité de données sensibles, indisponibilité de l'infrastructure, dommage pour le patrimoine intellectuel et la notoriété. Les risques peuvent se réaliser si les systèmes menacés présentent des vulnérabilités.

Il est possible d'estimer la notion de risque en la décrivant comme le produit d'un préjudice par une probabilité d'occurrence :

risque = préjudice x probabilité d'occurrence

Cette formule exprime qu'un évènement dont la probabilité à survenir est assez élevée, par exemple la défaillance d'un disque dur, mais dont il est possible de prévenir le préjudice qu'il peut causer par des sauvegardes régulières, représentera un risque acceptable.

La question de la sécurité des systèmes d'information à été radicalement bouleversée par l'évolution rapide de l'Internet et elle ne saurait s'y réduire. Il s'agit d'un vaste problème dont les aspects techniques ne sont qu'une partie. Les aspects juridiques, sociaux, ergonomiques, psychologiques et organisationnels sont aussi importants, sans oublier les aspects immobiliers, mais nous commencerons pas les aspects techniques liés à l'informatique.

Aspects techniques de la sécurité informatique

Les problèmes techniques actuels de sécurité informatique peuvent, au moins provisoirement, être classés en deux grandes catégories :

• ceux qui concernent la sécurité de l'ordinateur proprement dit, serveur ou poste de travail, de son système d'exploitations et des données qu'il abrite.

• ceux qui découlent directement ou indirectement de l'essor des réseaux, qui multiplie la quantité et la gravité des menaces.

Si les problèmes de la première catégorie citée ici existent depuis la naissance de l'informatique, il est clair que l'essor des réseaux, puis de l'Internet, en a démultiplié l'impact potentiel en permettant leur combinaison avec ceux de la seconde catégories.

La résorption des vulnérabilités repose sur un certain nombre de principes et de méthodes que nous allons aborder.

Définir risques et objets à protéger

Fixer un périmètre et élaborer une politique de sécurité

Inutile de se préoccuper de la sécurité sans avoir défini ce qui était à protéger : en d'autres termes, toute organisation désireuse de protéger ses systèmes et ses réseaux doit déterminer son périmètre de sécurité. Le périmètre de sécurité au sein de l'univers physique, délimite l'intérieur et l'extérieur, mais sa définition doit englober (ou pas) les entités immatérielles qui peuplent les ordinateurs et les réseaux : essentiellement les logiciels et en particulier les systèmes d'exploitation.

Une fois ce périmètre fixé, il faut aussi élaborer une politique de sécurité, c'est à dire décider de ce qui est autorisé et de ce qui est interdit. Viennent en principe s'ajouter les lois et les règlements en vigueur, qui s'imposent à tous. La législation française interdit la mise en ligne de certaines informations, mais d'autres payes ont des législations plus laxiste ; or qui peut empêcher un étranger d'installer un site de téléchargement illégal dans un tel pays, et d'y attirer les internautes français ?

Une fois votre politique de sécurité mise sur pied il vous sera possible de mettre en place les solutions techniques appropriées à la défense du périmètre selon la politique choisie. Sans nul doute les dispositifs techniques ne pourront pas résoudre tous les problèmes de sécurité. La notion même de périmètre de sécurité est aujourd'hui battue en brèche par des phénomènes comme la multiplication des ordinateurs portables et autres objets mobiles informatiques en réseau qui, par définition, se déplacent de l'intérieur à l'extérieur et inversement. Vient s'ajouter encore l'extraterritorialité des activités sur l'Internet.

Périmètres et frontières

La notion de périmètre de sécurité, ainsi que le signalait déjà l'alinéa précédent, devient de plus en plus fragile au fur et à mesure que les frontières entre l'extérieur et l'intérieur de l'entreprise ainsi qu'entre les pays deviennent plus floues et plus poreuses. Intervient ici des considérations topographiques : les ordinateurs portables entrent et sortent des locaux et des réseaux internes pour aller se faire contaminer à l'extérieur,; mais aussi des considérations logiques : quelles sont les lois et les règles qui peuvent s'appliquer à un serveur hébergé aux États-Unis, qui apparient à une entreprise française et qui sert des clients argentins et mexicains ?

La justice et les fournisseurs français d'accès à l'Internet (FAI) en ont fait l'expérience.

Ressources publiques, ressources privées

Les systèmes et les réseaux comportent des données et des programmes que nous considérons comme des ressources. Certaines ressources sont d'accès public, comme certains serveurs Web, d'autres sont privées pour une personne, comme une boîte de messagerie électronique, d'autres enfin sont privés pour un groupe de personnes, comme l'annuaire téléphonique interne d'une entreprise. Ce caractère plus ou moins public d'une ressource doit être traduit dans le système sous forme de droits d'accès.

Identifier et authentifier

Les personnes qui accèdent à une ressource non publique doivent être identifiées ; leur identité doit être authentifiée ; leurs droits d'accès doivent être vérifiés au regard des habilitations qui leur ont été attribuées. A ces trois actions correspondent un premier domaine des techniques de sécurité : les méthodes d'authentification, de signature, de vérification de l'intégrité des donnes et d'attribution des droits.

Habilitation

Une habilitation donnée à un utilisateur et consignée dans une base de données adéquate est une liste de droits d'accès et de pouvoir formulés de telle sorte qu'un système informatique puisse les vérifier automatiquement.

La sécurité des accès par le réseau à une ressource protégée n'est pas suffisamment garantie par la seule identification de leurs auteurs. Sur un réseau local de type Ethernet ou Wi-Fi où la circulation des données fonctionne selon le modèle de l'émission radiophonique que tout le monde est censé pouvoir capter, il est possible à un tiers de détourner cette circulation. Si la transmission a lieu à travers l'Internet, les données circulent de façon similaire à une carte postale, c'est à dire qu'au moins le facteur et la concierge y ont accès. Dès lors que les données doivent être protégées, il faut faire appel aux techniques d'un autre domaine de la sécurité informatique : le chiffrement.

Authentification et chiffrement sont indissociables : chiffrer sans authentifier ne protège pas des usurpations d'identité (comme par exemple l'attaque par interposition, dite en anglais d'attaque man in the middle (MITM)), authentifier sans chiffrer laisse la porte ouverte au vol de données.

Empêcher les intrusions

Ces deux méthodes de sécurité ne suffisent pas, il faut en outre se prémunir contre les intrusions destinées à détruire ou corrompre les données, ou à en rendre l'accès impossible. Les techniques classique contre ce risque sont l'usage de pare-feu (firewalls en anglais) et le filtrage des communications réseau, qui permettent de protéger la partie privée d'un réseau dont les stations pourront communiquer avec l'Internet sans en être "visibles"; le terme visible exprime ici que nul système connecté à l'Internet ne peux accéder aux machines du réseau local de sa propre initiative (seules ces dernières peuvent établir un dialogue) et que le filtre interdit certains types de dialogues ou de services ou certains correspondants (reconnus dangereux).

La plupart des entreprises mettent en place des ordinateurs qu'elles souhaitent rendre accessible aux visiteurs extérieurs, tels que leur serveur Web et leur relais de messagerie. Entre le réseau privé et l'Internet, ces machines publiques seront placées sur un segment du réseau ouvert aux accès en provenance de l'extérieur, mais relativement isolé du réseau intérieur, afin qu'un visiteur étranger à l'entreprise ne puisse pas accéder aux machines à usage strictement privé. Un tel segment de réseau est appelé zone démilitarisée (DMZ), en souvenir de la zone du même nom qui a été établie entre les belligérants à la fin de la guerre de Corée. Les machines en DMZ, exposées au feu de l'Internet seront appelées bastions.

Certains considèrent que ces techniques de sécurité par remparts, pont-levis et échauguettes sont dignes du Moyen-Âge de l'informatique ; ils leur préfèrent les systèmes de détection d'intrusion (IDS), plus subtils. Cette innovation a suscité une surenchère, qui proclame que si l'on a détecté une intrusion, autant la stopper, et les IDS sont ainsi devenus des IPS (systèmes de prévention d'intrusion). Et l'on verra plus loin que les IPS sont critiqués par les tenant des mandataires applicatifs, plus subtils encore. Cela dit, dans un paysage informatique où les micro-ordinateurs et autres objets communicants prolifèrent il est difficilement réaliste de vérifier la configuration de chacun, le filtrage et le pare-feu sont donc toujours irremplaçables.

Article à suivre...