L’avènement de l’ADN numérique : la sécurité de demain ?
Par Michel Frenkiel, Directeur Associé de Mobilegov

mercredi 27 février 2008

20080227_12 Préoccupation grandissante pour les Directions des Systèmes d'Information des entreprises comme pour celles des administrations, la sécurité des SI et des parcs informatiques associés (stations de travail, PC portables...) peut se transformer en véritable cauchemar. En effet, comment se prémunir de menaces toujours plus pressantes pouvant à la fois impacter la productivité voire,

dans le pire des cas, permettre la diffusion de données sensibles vers des utilisateurs non autorisés (que ce soit par négligence ou suite à une intrusion) ?

Et les exemples ne manquent pas : espionnages industriels, vols de données au travers d'une connexion de périphériques non autorisés, perte de matériel comme dernièrement pour l'un des collaborateurs du cabinet d'analyste Forester...

Autant de situations différentes avec comme point commun un accès non souhaité à des données confidentielles. De plus, en raison de la normalisation et de la croissance exponentielle des échanges électroniques, les données (véritable patrimoine numérique des entreprises) atteignent

aujourd'hui une valorisation importante pouvant aisément représenter plusieurs millions d'euros. Les notions de nomadisme (home office) et l'essor des technologies mobiles (PC portables communicants...) viennent également compliquer la mise en œuvre d'une politique de sécurité efficace.

Alors comment faire pour se protéger ? Comment imaginer les nouveaux moyens

d'authentification de demain ?

A ce jour, les professionnels de la sécurité informatique (éditeurs,constructeurs, sociétés de service...) proposent un panel d'outils complémentaires qui constituent un empilage de solutions approximatives en réponse à des attaques réussies. Ces solutions arrivent trop tard et elles perturbent l'utilisateur honnête. Ainsi, la multiplication des mots de passe est une incitation à l'usage du post-it, l'interdiction de l'usage d'un périphérique commode mais potentiellement dangereux un encouragement à outrepasser les règles.

Alors oui, l'heure est désormais à l'innovation qui doit intégrer l'évolution rapide des usages, des comportements et des technologies. L'une des approches les plus abouties consiste à prendre en compte la notion d'ADN numérique. Basée sur un principe de signature unique, elle permet de

garantir l'authentification en prenant en compte des données non copiables ni duplicables.

De quoi s'agit-il ? Tout composant numérique peut être identifié de façon unique. Cette propriété, utilisée par les constructeurs et en partie par les systèmes d'exploitation est désormais mise à profit pour proposer une nouvelle approche à la sécurité et prévenir à la fois le vol des données et le vol des équipements. Grace à cette technologie, un appareil complexe peut être identifié par une combinaison de certains de ses composants, et on peut, apparier deux équipements, ou un appareil et son logiciel, de façon difficilement falsifiable. L'identification peut même se réaliser à

distance, via Internet.

Imaginons une clé USB ou un disque dur qui ne pourraient être lus et autorisés que sur un poste de travail déterminé. Leur perte ou leur vol ne serait alors plus préjudiciable et le matériel intégralement inutilisable. Au niveau des technologies sans contact, et plus particulièrement du paiement par badges, qui représente un enjeu majeur pour de nombreuses DSI, imaginons des badges qui détecteraient des lecteurs autorisés et ne pourraient être utilisés sur des lecteurs pirates. L'accès à un compte bancaire en ligne pourrait être limité à l'ordinateur et au téléphone portable de son propriétaire...Au delà de ces quelques exemples, de nombreux domaines d'application sont alors possibles !

Cette approche de l'ADN numérique permet donc de simplifier les processus de gestion de la sécurité. Elle libère l'utilisateur au lieu de lui compliquer la vie, elle devance les pirates en proposant une mesure générique et difficilement falsifiable.

Imprimer l'article

Transférer par mail

Réagir à cet article

Les commentaires

La chose est connue depuis longtemps, c'est le socle de la pensée humaniste. Ce qui est conçu par l'homme, pour l'homme, suit les limites de l'homme. En termes de sécurité, de complexité, de performance, la limite est celle de notre humanité fragile et faillible.
Il est dangereux de donner à un individu des moyens qui dépassent son entendement ou ses capacités, c'est pourtant ce que le monde moderne permet et encourage à chaque instant. Comment s'étonner alors si nous avons tant de difficultés à faire face aux conséquences néfastes aux erreurs et aux abus permanents engendrés par l'excès technologique.
La première victime de la sécurité c'est l'utilisateur, le point faible principal est aussi l'utilisateur. La conclusion est la même qu'en sécurité routière: limitation de l'usage par tous les moyens.
De même que l'automobile qui est plus qu'un symbole, il nous faudra bien un jour apprendre que seule une stricte limitations de l'usage peut nous protéger des désastres que les technologies engendrent avec une telle facilité. Le juste équilibre s'il existe implique donc également de veiller soigneusement à faire un usage raisonné de l'outil en mesurant les risques (principe de parcimonie... principe de précaution...) Doit on par exemple permettre à telle ou telle grande entreprise ou institution de créer d'immenses dépôts de données personnelles, accessibles, dont on connaît déjà la perméabilité ?
Il n'est plus temps de se réfugier dans une confiance aveugle dans la technique et ses progrès, mais de prendre acte de ses limites qui sont et resteront les nôtres. Les autoroutes de l'information attendent toujours leur prévention routière !

Par jack le 03/03/2008 à 11:34

Si le modèle ADN numérique est interressante, elle reste une copie du modèle naturel avec ses avantages "d'identification forte" et ses inconvénients "d'autorisation discressionaire". Sur le plan de la resistance aux attaques, il convient de voir le modèle informatique come la sexualité.... et le sida devient une bonne approche sur la complexité sur la possibilité de communication, la dangerosité des échanges et la liberté des comportements humains.
Rien, ni personne ne pourra empêcher un individu autorisé de faire entrer dans un système un code malicieux. Il n'y a pas 6 mois, j'ai reçu un mail authentifié numériquement par un correspondant habituel. Un détail m'a troublé et j'ai demandé s'il était à l'origine de ce mail. Devant sa négation, je me suis aperçu qu'il avait validé la signature électronique par automatisme devant les très nombreux mails qu'il envoyait. La seule chose possible est de vérifier que ce code n'est pas connu pour sa dangerosité.
Ayant travaillé de nombreuses années dans un milieu hautement risqué pour l'homme, je peux dire que si les techniques de protection "automatique" sont nécessaires et obligatoires, il n'y a pas mieux que la formation régilière et répétitive des utilisateurs aux conséquences de leurs "négligences". Au risque de choquer, faire subir tous les ans un "accident de voiture" à 10km/heure changera le rapport des personnes à la vitesse et marquera davantage que de vanter les qualités des airbags ... même s'il faut des airbags.
Aujourd'hui, l'informatique doit trouver le juste équilibre entre assistance technologique et responsabilisation de l'utilisateur. Cette dernière adossée à la valorisation du bon sens reste le seul réel rempart contre la nouveauté des attaques.

Par Luc Berthaud le 29/02/2008 à 08:15

L'approche ADN numérique est séduisante, mais ne se trouve-t-on pas confronté à une piste qui avait été explorée par les anti-virus: la signature des fichiers. Si celle-ci existe toujours, elle a montré ses limites.
L'approche ADN numérique fait appel à la notion d'unicité. La notion d'acceptation ou de compatibilité génétique nécessite la notion de refus par défaut. Nous nous trouvons en face du principe de fonctionnement des firewall "grand public". J'ai eu de longs débats à ce sujet dans les années 98, montrant là aussi les limites de ces techniques.
Plus proche de nous est le comportement de Vista. Si son approche de demander systématiquement une confirmation lors des accès potentiellement dangereux ou necessitant des droits plus élevés est louable, il convient de la rapprocher du nouveau comportement des utilisateurs que je constate tous les jours: ils répondent "oui" sans prendre la peine de lire le message, ni savoir "qui" est à l'origine de la demande.

Par Luc Berthaud le 29/02/2008 à 08:14