Logique de Sécurité des Systèmes d'Information

Chaque société dispose aujourd'hui d'un volume non négligeable d'informations aux formats informatiques, ces données sont souvent d'une importance cruciale dans la survie de l'entreprise. Il est donc important de protéger ces informations, aussi bien de la divulgation, que de l'altération.

La SSI, est la Sécurité des Systèmes d'Information, elle doit être au centre de toute société voulant préserver ses travaux, ses secrets, ses avantages concurrentiels…

Pour obtenir le résultat escompté, les moyens sont :

• la classification de l'information ;
• le choix des mots de passe ;
• la protection du poste de travail ;
• la cryptographie ;
• la sauvegarde.

Cet article ne traitera bien sûr que de la SSI appliquée à l'informatique, la SSI couvrant un domaine bien plus important, concernant le recrutement, la sécurité des locaux, la sécurité des informations aux formats papier…

Pour être efficace dans la mise en place d'une SSI, il faut savoir quels documents méritent ou non une protection. En effet il vaut mieux chercher à sécuriser une zone restreinte, mais de manière optimale plutôt que de chercher à tout sécuriser, ce qui impliquerait à coup sûr des failles de sécurité importantes.

Il faut donc classer l'information, la classification selon trois étages dans lesquels on peut placer les documents :

• « à diffusion contrôlée » : ces documents n'ont pas une importance primordiale, leur diffusion n'entraînera qu'une perturbation ponctuelle pour l'entreprise. On peut parler de préjudice faible ;
• « confidentiel » : ces documents ont une importance non discutable, leur diffusion entraînera des séquelles compromettant l'action à court et moyen termes. On peut parler de préjudice grave ;
• « secret » : ces documents ont une importance centrale et irréprochable, leur diffusion entraînera des séquelles graves et durables. On peut parler de préjudice inacceptable.

Cette classification permet à la personne qui a le document en sa possession de se rendre compte de son importance et de l'attention à lui porter. Cette classification permet également de savoir quel protocole de sécurité appliquer au document.

Dans une logique de SSI, beaucoup de mots de passe sont amenés à intervenir, leur choix et leur « entretien » sont donc importants, en effet quel est l'intérêt de baser une logique de sécurité sur un mot de passe qui n'est pas optimal.

Il est conseillé de choisir des mots de passe d'au moins huit caractères alphanumériques. Et si possible en utilisant plusieurs casses (minuscules et majuscules). En effet le mot de passe « A23df4tg » sera beaucoup plus difficile à casser que « voitures ». Cependant un mot de passe doit aussi être facilement mémorisable, on peut donc intervertir nom et date, par exemple : M. Jean-Claude Durand né en 1965 pourrait choisir « 1J9C6Du5 », on obtient un mot de passe alphanumérique facilement mémorisable.

Un mot de passe ne doit pas être statique, en fonction de son importance dans la logique de SSI, il doit être changé de manière régulière. Cependant il est plus important d'avoir en place des mots de passe difficilement cassables, plutôt que des mots de passe très dynamiques : en effet il vaut mieux garder quelques mois un mot de passe alphanumérique de huit caractères, plutôt que de mettre le prénom des membres de sa famille en les changeant toutes les semaines !

ATTENTION : ne jamais mettre en place de protocole de création de mots de passe, car si ce protocole est découvert, tous les mots de passe générés deviennent vulnérables, et donc les informations qu'ils protègent aussi.

Pour vous assister dans l'administration des mots de passe, Windows (dans ses versions 2000 et XP Pro) propose une option qui s'appelle « Les mots de passe doivent respecter des exigences de complexité ». Cette option implique que les mots de passe doivent alors avoir au moins huit caractères, une majuscule, un chiffre, un caractère spécial.

Cette option se trouve dans : Panneau de configuration -> outils d'administration -> stratégie de sécurité locale -> Stratégie de comptes -> Stratégie de mot de passe.

Le mot de passe BOOT peut paraître simpliste, mais il a une importance non négligeable, en effet il empêche le BOOT (comme son nom l'indique, il est aussi appelé « Mot de passe BIOS » par abus de langage).

Il est en effet très intéressant de bloquer le BOOT, car une personne malveillante qui ne disposerait pas des mots de passe placés au log sous Windows pourrait très bien booter sur un live CD ( type Knoppix / Windows PE / Bizantine) et accéder à la plupart des données du poste.

Le mot de passe BOOT est paramétrable depuis le BIOS de la carte mère, chaque BIOS étant très différent suivant les fabricants de carte mère, il n'existe pas de protocole universel, cependant la lecture de la documentation de la carte mère vous donnera toutes les informations nécessaires.

Lors de l'installation de Windows, un mot de passe dit « administrateur » est fixé, ce dernier permet de se logger en tant que « super utilisateur » sur le poste, pour administrer un grand nombre de paramètres, incluant la modification des comptes utilisateurs et de leurs mots de passe.

Il faut être vigilant lors de l'achat de PC livré avec l'installation de Windows comprise. Dans ce cas si la personne qui a installé Windows n'a pas fixé un mot de passe administrateur, le compte « super administrateur » a pour login : « administrateur » mot de passe :  « {vide} ». Une personne malveillante peut donc facilement se logger en « super administrateur » et accéder à toutes les informations du poste de travail.

Il faut donc à la réception de ces machines (PC livré avec Windows préinstallé), se logger en « super administrateur », puis modifier le mot de passe de cette session.

Une administration convenable du poste est nécessaire, il faut en effet mettre à jour régulièrement Windows et ses programmes afin de refermer les failles régulièrement repérées…

Je vous renvoie sur le très bon article de cchatelain traitant du sujet :

Article de cchatelain sur la protection individuelle

Il est également très important de se prévenir des spywares, trojans, virus… Une solution gratuite : l'utilisation des quatre logiciels : SpybotSD, Ad-AwarePersonal, AVast et SygatePersonalFirewall.

II-C-1. Coupler les logiciels Spybot SD et Ad-Aware SE▲

II-C-2. Logiciel Antivir▲

II-C-3. Logiciel Sygate Personal Firewall▲

Si l'utilisation de mots de passe vous paraît faible face à l'importance des données en jeu, l'authentification forte peut être envisagée. Elle consiste en la nécessité d'un élément physique pour le log ( token, clé USB, carte à puce, biométrie ) en plus d'un mot de passe ou d'un code PIN.

Les tokens sont de petites clés USB de quelques Ko.

La cryptographie est l'étude des principes, méthodes et techniques mathématiques reliées aux aspects de sécurité de l'information telles la confidentialité, l'intégrité des données, l'authentification d'entités, et l'authentification de l'originalité des données. C'est un ensemble de techniques qui fournit la sécurité de l'information.

La cryptographie est la réponse au besoin d'impossibilité de divulgation des données.

Il existe deux grandes techniques de cryptographie : les systèmes de cryptographie à clés asymétriques et ceux à clés symétriques.

La cryptographie à clés symétriques est la plus connue, le document est chiffré avec une certaine clé, et il faut cette même clé pour déchiffrer le document.

La cryptographie à clés asymétriques se base sur le principe d'une clé dite publique, que l'on peut divulguer, qui permet de chiffrer le document par l'émetteur, et d'une clé dite privée, secrète, qui permet au destinataire de déchiffrer le document.

La cryptographie a deux applications : l'authentification de l'auteur des documents, le stockage sécurisé de données. La seconde utilisation est bien entendu la plus utilisée, mais il ne faut pas négliger la première qui, avec l'utilisation grandissante du mail, va très vite devenir indispensable pour certifier l'authenticité des courriels.

Il sera présenté ici trois solutions.

• Cryptographie avec WinRAR

En effet, le logiciel WinRAR est connu pour la création d'archives. Il permet également de placer des mots de passe sur ces archives, ce qui limite l'utilisation des documents archivés. Cependant le chiffrage par WinRAR est aussi faible qu'il est simple, il convient donc pour des documents à diffusion limitée. (WinRAR est distribué sous licence shareware.)

• Cryptographie avec SecurityBox Freeware

La société MSI (Site de MSI SA) propose une solution de cryptographie appelée SecurityBox, cette solution inclut une version Freeware (gratuite), de cryptographie. Ce logiciel permet de chiffrer un document avec l'algorithme 3DES (lisez « triple déesse ») et une clé de 128 bits. Cette cryptographie à clés symétriques peut être qualifiée de bonne qualité, elle convient pour la protection de documents confidentiels.

• Cryptographie avec PGP Freeware

Ce programme gratuit permet de mettre en place une logique de cryptographie complète. Il dispose des plug-in suivant :

• Eudora ;
• Microsoft Exchange/Outlook ;
• Microsoft Outlook Express ;
• PGPDisk.

Le plug-in PGPDisk présente le grand intérêt de faire du cryptage de partition à la volée.

La solution FGP freeware est téléchargeable ici.

Il existe de nombreuses solutions de cryptographie, lors de votre choix vous devez privilégier la robustesse de l'algorithme, ainsi un 3DES avec des clés d'au moins 512 bits (en fonction de la puissance de votre poste de travail) semble être un bon compromis.

Sachez qu'il existe également des solutions de cryptage de disque complet dit « à la volée » : ce type de solution permet d'avoir ses données chiffrées en permanence sur son disque, chaque donnée est déchiffrée à la volée lors d'une demande d'accès par un programme.

Ces sauvegardes couvrent chacune le travail réalisé depuis la précédente, elles doivent être réalisées à intervalles réguliers et rapprochés. On pourrait les appeler « sauvegarde temps réel ».

Ce type de sauvegarde doit être réalisé au minimum une fois par jour, ensuite chaque situation implique sa politique de sauvegarde, suivant le volume d'informations générées, la stabilité des lieux de stockage…

Ces sauvegardes ont pour but de pouvoir régénérer l'intégralité du parc informatique en cas d'altération grave des éléments de stockage (vol de serveurs, crash de disque dur…).

Ces sauvegardes doivent être faites plus rarement, un minimum d'une toutes les deux semaines me paraît raisonnable, il faut bien sûr adapter ce délai à la situation de l'entreprise suivant les mêmes critères que les sauvegardes incrémentales. Cependant, ces sauvegardes doivent être faites de manière très consciencieuse : la solution parfaite, mais très lourde, étant de conserver un ghost de chaque disque dur du parc informatique. Il faut donc trouver un compromis, entre étendue de la sauvegarde, et réalisme de la mise en œuvre.

Une sauvegarde doit être testée : en effet, copier des fichiers sur un support amovible (disque externe, DVD, CD, etc.) ne suffit pas, il faut être sûr que la sauvegarde permet de remettre dans son état antérieur le parc informatique. Pour cela il faut prendre une sauvegarde complète, la redéployer, puis lui appliquer la sauvegarde incrémentale suivante, afin de retrouver le parc informatique en l'état de la date de réalisation de la sauvegarde juxtaposée appliquée.

Le système de gestion de disque RAID permet plusieurs combinaisons. Celle qui nous intéresse est le RAID 0. En effet dans cette configuration, deux disques logiques (respectivement deux disques physiques dans notre cas) sont gérés comme un seul disque et sont en permanence l'image de l'autre, ce qui présente comme intérêt qu'en cas de plantage irrécupérable de l'un des deux disques, le second contient toujours l'intégralité des informations, et permet de continuer à travailler et à générer un nouveau disque pour la remise en place du RAID.

Cette solution permet donc de se protéger des pertes de données dues à des défaillances matérielles.

Pour plus d'info sur le RAID, consulter ce lien :

http://www.axis.fr/produits/tutorial/raid.htm

Attention, le RAID ne dispense pas de faire des sauvegardes sur bande.