septembre 2nd, 2014

L’IEEE Computer Society, branche informatisante du célèbre comité de normalisation Etats-Unien, vient d’accoucher d’un document d’une trentaine de pages censé dresser la liste des mauvaises pratiques « constatées dans la vraie vie et recensées par un collège d’experts » et en tirer les bonnes pratiques nécessaires . Cette journée « failles, portes ouvertes » (de la catégorie de celles que l’on enfonce) n’apprendra strictement rien aux spécialistes du genre. Mais le document, ainsi que le prestige de l’organisme éditeur, pourra peut-être servir à répandre la bonne parole auprès des jeunes générations d’architectes-systèmes, des DSI un peu trop « dégagées du cambouis » et autres grands manipulateurs conceptuels proches des directions générales.

Selon l’IEEE, donc, les usages salvateurs sont les suivants :

Acceptez ou attribuez une relation de confiance mais ne surtout ne la présumez pas

Utilisez un mécanisme d’authentification qui ne peut être contourné ou modifié

Séparez strictement les données et les instructions de commande/traitement, et n’exécutez jamais une commande de processus provenant d’une source qui n’est pas digne de confiance

Définissez une approche capable d’assurer que toutes les données sont explicitement validées

Utilisez correctement les ressources cryptographiques (sic)

Identifiez les données sensibles ainsi que la manière dont elles doivent être traitées et utilisées

Prenez toujours en compte les usagers (tant d’un point de vue ergonomie des procédures de sécurité que des pratiques constatées sur le terrain)

Déterminez à quel point l’intégration de composants de provenance extérieure peut modifier votre surface d’attaque

Prévoyez de vous adapter en prenant en compte de futurs changements d’objectifs ou d’acteurs

« Keep it simple stupid ». Le mode Kiss cher aux informaticiens a su séduire les agents de la NSA, nous apprend un document tiré des fichiers Snowden et récemment publié par The Intercept.

Que les espions Britanniques et leurs collègues du Commonwealth travaillent main dans la main avec ceux des USA n’est pas vraiment une surprise. Le « grand large » alimente les services de renseignements de Sa Gracieuse Majesté de façon quasi systématique au moins depuis la dernière guerre. Ce qui change, explique la rédaction de The Intercept, c’est que les outils d’échange deviennent de plus en plus efficaces, de plus en plus simples, de plus en plus instantanés. Et c’est particulièrement le cas avec Icreach, une infrastructure de collecte de métadonnées téléphoniques acceptant des requêtes via une interface « à la sauce Google » et dont les premiers prototypes ont été pensés et conçus il y a 20 ans de cela. En un clin d’œil, sans formulaire en triple exemplaires, sans délai administratif, sans commission rogatoire, sans frais d’opérateur, les hommes de l’ombre et néanmoins de Londres peuvent apprendre qui a téléphoné à qui, depuis quel endroit, quel numéro de téléphone, à quelle date et heure, durant combien de temps, avec quel IMEI et IMSI, selon quel protocole etc. En prime, Icreach offre l’adresse email, les pseudonymes et les canaux de conversation favoris de l’intéressé. Dit moi à qui tu parles, je te donnerais l’âge du capitaine grâce à l’analyse de tes métadonnées.

Cet outil de profilage massif des communications dispose d’une base estimée de 850 milliards « d’évènements ». Un chiffre qui dépasse l’entendement, un chiffre surtout qui date de 2007 et qui progresse de 1 à 2 milliards d’enregistrements par jour.