Cybersécurité - Innovations digitales et numériques

Editeurs d’antivirus et autres fabricants de smartphones sécurisés sont venus en nombre au CeBIT de Hanovre qui se tient jusqu’au 14 mars. Objectif : tirer profit des révélations sur les écoutes de la NSA en incitant les entreprises à dépenser plus pour se protéger.

Mais les Etats ont-ils nécessairement l’obligation de travailler de concert avec les antivirus pour assurer le succès de leurs opérations ? Pas forcément. Des exemples concrets comme Stuxnet et Flame, mais aussi des travaux de chercheurs en sécurité comme ceux l'ESEIA en France, démontrent qu’il est tout à fait possible d’échapper, souvent facilement, à toute détection par les antivirus et sans coup de pouce de leur part.

Le directeur de la puissante Agence américaine de sécurité nationale (NSA) a nié mercredi espionner les Américains sur les réseaux sociaux. « Il est totalement faux de dire que nous quadrillons les réseaux sociaux à la recherche d'Américains », a expliqué le général Keith Alexander, lors d'une audition devant le sénat. « Ce que nous recherchons, ce sont les personnes qui font l'objet d'une enquête pour terrorisme ou autre chose de cette nature ». Le général Alexander a reconnu que son agence - au coeur d'une vaste polémique sur la légalité des programmes d'espionnage révélés par Edward Snowden-- se servait des médias sociaux pour « enrichir » ses connaissances sur un suspect. Le New York Times révélait d’ailleurs récemment que la NSA utilisait les réseaux sociaux mais aussi des dizaines de sources d’informations personnelles pour dresser le portrait « social » des personnes surveillées.

RSA, un des principaux éditeurs de sécurité, a averti par e-mail ses clients qu’un algorithme de cryptage utilisé dans un de ses produits pouvait être poreux aux écoutes de la NSA. Les doutes concernent le générateur de clefs utilisé par défaut au sein du kit de développement BSafe (nommé Dual Elliptic Curve Deterministic Random Bit Generation). Une backdoor de la NSA pourrait résider dans ce logiciel. RSA conseille à ses clients d’utiliser un autre générateur, une option proposée par BSafe.

Au-delà, la question interpelle également sur la manière dont le sujet sécurité est traité au travers du cloud. La nature même du modèle fait qu’il peut s’avérer difficile de le rendre conforme aux exigences, ou à la stratégie sécurité du client, sur la base d’un modèle « tout inclus ». Ce problème renvoie à la flexibilité des solutions de cloud :

- A supporter des contrôles de sécurité en production :

• Suis-je capable de positionner mon dispositif de sécurité système d’entreprise et le gérer ?
• Est-il possible de provisionner mon cloud avec mes propres solutions et services de sécurité réseaux ?

- A être intégrées de manière transparente dans les modèles de gestion du risque en continu, de conformité et de gouvernance :

• Comment collecter et intégrer les logs de mon cloud dans mon système de cyber-surveillance ? Et quels types de logs suis-je capable de collecter ?
• Comment puis-je m’assurer que les contrôles de sécurité sont conformes à ma politique de sécurité (règles de firewall, couverture anti-virus, gestion des vulnérabilités et des correctifs…) ?

C’est à ce niveau, à mon sens, que se situe le débat le plus intéressant, renvoyant à des principes de séparation des responsabilités et de spécialisation sur le sujet sécurité dans l’intégralité de ses dimensions.

L’événement se déroulera en petit comité et accueillera les sympathisants de l’association ainsi que des participants ayant été cooptés suite à l’envoi d’un courrier électronique aux membres de L’Issa. L’association présentera également en avant-première son spot de sensibilisation à la sécurité.

Objectif : proposer une gamme complète de produits et de services de sécurisation 100 % d’origine française à côté des poids lourds du secteur que sont Thalès, EADS ou Gemalto. Il s’agit aussi de surfer sur l’après Prism, et sur le besoin des entreprises comme des administrations de disposer de tout l’arsenal nécessaire à leur cybersécurité sans passer par des fournisseurs étrangers, pour l’essentiel américains et israéliens.