1
Services de Confiance numérique en Entreprise Conférence EPITA
27 octobre 2008
2
Sommaire
Introduction
Intervenant : Gérald Grévrend Présentation d’Altran CIS
Le sujet : les services de confiance numérique
Introduction aux PKI Les besoins
Les réponses Conclusion
Questions/réponses
Annexes
3
Intervenant : Gérald Grévrend
Epita SR99
1999-2000 : INTRINsec, consultant sécurité informatique
Tests d’intrusion, conception d’architecture, définition de politiques, audit
2000-2005 : Zebank / Egg, RSSI
2005-2006 : création d’une Entreprise dans le domaine du sport 2007 : Altran CIS, consultant sécurité informatique
Actuellement en mission dans un groupe français pour la définition et l’accompagnement d’un projet de services de confiance numérique
o Mise en place d’une PKI
o Création des services aux utilisateurs o Organisation du support
o Accompagnement des MOAs métier
Parcours
4
Altran CIS
Un groupe international
65 LUXEMBOURG 91 PAYS BAS 100 SUISSE 102 UK
113 ALLEMAGNE 129 BRESIL 144 BELGIQUE
214 PORTUGAL
383 ESPAGNE
1158 ITALIE
3160 FRANCE
1 495 millions d’euros de chiffre d’affaires en 2006 répartis comme suit :
115 M€
8%
220 M€
15%
485 M€
32%
675 M€
45%
Conseil en Innovation & Technologies Conseil en Organisation et SI (CIS) Conseil en Management
Autres activités (formation,…)
ALTRAN CIS appartient au leader européen du conseil en innovation : le groupe ALTRAN
ALTRAN CIS a développé une expertise dans le conseil opérationnels au niveau européen
5
Altran CIS
L’activité sécurité informatique
Notre expertise
« En structurant son offre de service autour des grands thèmes de la Sécurité des SI, ALTRAN CIS est en mesure d’apporter toute une gamme de solutions.
Système de Management de la Sécurité de l’Information
Audits & Conformité
Préconisations de solutions de sécurité
Sensibilisation & Formation Continuité
Implémentation de solutions de sécurité Analyse de risque
Bilan d’impact d’activité (BIA) Plan de continuité d’activité (PCA) Plan de reprise d’activité (PRA) Plan de secours informatique (PSI) Gestion de crise
Audit technique - Test d’intrusion - Audit de vulnérabilité Audit organisationnel Audit de conformité réglementaire et normative Audit de conformité aux directives
de la PSSI de l’entreprise
Orientation stratégique Analyse de risque Mise à jour de la PSSI
Déclinaison de la PSSI en règles et procédures Mise en place d’un SMSI selon l’ISO 27001 Conception de tableaux de bord de sécurité
Sensibilisation Formation Coaching
Toutes nos prestations sont spécifiques et déclinées en fonction des besoins et contextes particuliers de nos clients.
Cette approche complète fait d’ALTRAN CIS un acteur reconnu dans ce domaine, capable de garantir la qualité de ses missions. »
PSSI : Politique de Sécurité du SI
Notre offre
Domaine non couvert au sein de la practice SSI, mais couvert par ALTRAN CIS
6
Les services de confiance numérique
Ensemble de moyens pour permettre aux métiers de garantir la fiabilité de leurs processus
Confidentialité Intégrité
Preuve
La disponibilité « classique » n’est pas traitée dans ce sujet
o La disponibilité de l’information est abordée sous l’angle de l’intégrité
Définition
Les PKI : infrastructures de gestion de clés publiques
elles permettent de construire des mécanismes fiables et pérennes de
Chiffrement
Signature électronique Authentification forte Gestion des identité Dématérialisation
Une technologie
7
Sommaire
Introduction
Introduction aux PKI
Concepts de cryptographie symétrique/asymétrique Le certificat électronique
Hiérarchie de confiance Le rôle de la PKI
Composants d’une PKI (vue fonctionnelle) Composants d’une PKI (vue technique) Une technologie normalisée
Première synthèse
Les besoins Les réponses Conclusion
Questions/réponses
Annexes
8
Concepts de cryptographie
La cryptographie à clé symétrique : la même clé sert aux opérations de chiffrement et de déchiffrement
Clé
Chiffrement
Clé
Déchiffrement
"Texte clair" "A#D\{F6 6;@" "Texte clair"
A
B
D C E
n(n-1) / 2 clés soit 10 clés Concept simple et utilisé depuis longtemps (code de césar
par exemple).
Le secret est partagé entre les parties. Cela pose la problématique de la diffusion du secret tout garantissant sa confidentialité.
Pour N interlocuteurs, il faut prévoir n*(n-1)/2 clés secrètes. Cela devient vite ingérable.
Les algorithmes symétriques sont rapides.
Exemples : AES, RC4, 3DES.
9
Concepts de cryptographie
Clé Publique Chiffrement
Clé Privée Déchiffrement
"Texte clair" "A#D\{F6 6;@" "Texte clair"
La cryptographie à clé asymétrique ou à clé publique : fondée sur une « bi-clé » clé publique / clé privée
La clé privée doit rester confidentielle contrairement à la clé publique qui peut être diffusée largement
Dans le cas du chiffrement, la clé privée de chiffrement peut être séquestrée afin de garantir la capacité à déchiffrer les données protégées
Pour N interlocuteurs, il faut prévoir n bi-clés. L’enjeu consiste à associer la clé publique avec la bonne personne
Les algorithmes asymétriques sont lents Exemple d’algorithme : RSA
Taille des clés : de 1024 à 2048 bits
A
B
D C E
n bi-clés soit 5 bi-clés
10
Le certificat électronique
Un certificat établit le lien entre l'identité d'un porteur et sa clé publique pour un usage donné : il s'apparente à une pièce d'identité
Certificat Pièce
d’identité
Scellement permettant de vérifier l'intégrité et l'authenticité des
informations
Un certificat ne garantit pas les habilitations de son porteur, mais seulement son identité (certifiée par une Autorité de Certification), vérifiée lors de
l’enregistrement (assuré par une Autorité d’Enregistrement). Les habilitations sont gérées par les applications
Un certificat est associé à un usage :
Authentification : prouver une identité
Chiffrement : assurer la confidentialité de données
Signature de l’Autorité de Certification Autres informations
Période de validité Identité du titulaire
Clé publique
Signature de l’autorité (préfet)
Autres informations Période de validité Identité du titulaire
Photo et signature du titulaire
11
Hiérarchie de confiance
BOB JEAN
PKI ACME
Hérite de la confiance
Hérite de la confia
nce
Confiance réciproque
PKI FILIALE B PKI FILIALE A
Hérite d e la confia
nce Hérite de la
confiance
Exemple de hiérarchie de confiance
12
Le rôle de la PKI
Garantir la validité des certificats émis par la PKI Prouver l’identité des utilisateurs de la PKI
Assurer le cycle de vie de ces identités:
Création
Renouvellement Retrait
Recouvrement de la clé privée (pour le chiffrement)
Une organisation composée d’Autorités de Certifications formant une chaîne de confiance
Une organisation et une technologie
La confiance de l’Entreprise dans la PKI est réalisée durant une « Cérémonie des clés »
Le secret de la PKI est généré : la clé privée de la racine de la PKI
Ce secret est découpé en morceaux qui sont remis à des responsables (choisi en fonction de la portée organisationnelle de la PKI)
C’est durant cette procédure que symboliquement, l’Entreprise délègue son autorité à la PKI (un exemple est proposé en annexe)
La confiance de l’Entreprise
13
Vue fonctionnelle
AC1 AC2
AE
Profil 1
AE
Profil 2
EE ACR
AE
Profil n
Acteur de la « cérémonie des clés » Signature des autorités de certification Révocation des autorités de certification Publication de la liste de révocation
des autorités Opérateur AC Racine
Opérateur AE
Demandeur
Vérification de la conformité des informations
Saisie/validation des demandes de certificat
Saisie/validation des demandes de révocation
Validation du renouvellement des certificats
Saisie des demandes de certificat
Saisie des demandes de renouvellement Saisie des demandes de révocation
Téléchargement du certificat des Autorités de Certification
Téléchargement des CRLs
autosigné
Accorde sa confiance durant la cérémonie des clés
Porteur de secret
AC : autorité de certification AE : autorité d’enregistrement EE : entité d’enregistrement
14
Composants d’une PKI
Internet / intranet
Serveur(s) applicatif(s)
Vérification de validité des certificats Autorité(s)
de Certification
Client(s)
Flux applicatifs sécurisés
Service de Publication
(certificats*, CRL)
Autorité(s) d'Enregistrement
Demande de recouvrement Enregistrer les demandes
Retirer les certificats Renouveler
Révoquer
Certificat Porteur
Autorité de validation Autorité(s)
de séquestre
Authentification
forte Chiffrement Contrôle d’intégrité
Non-répudiation
(signature électronique)
Services de confiance
Certificat d’application
Infrastructure de confiance
(PKI)
Utilisateurs
Entité
d'Enregistrement
15
Une technologie normalisée
La DCSSI en France a rédigé la PRIS qui propose des modèles de politiques de certificat pour construire des PKI sur un référentiel commun
La groupe de travail de l’IETF PKIX définit les normes des PKI et en particulier la RFC 2459 qui définit l’architecture d’une PKI
Des algorithmes standardisés (AES, RC4, RSA, SHA1…) Formats des certificats X509 V3
Les « normes » PKCS
PKCS7 : format de fichier contenant un certificat numérique ou une signature électronique
PKCS11 : interface de dialogue avec les puces cryptographiques PKCS12 : format de fichier contenant un certificat et une clé privée
PKCS15 : format de stockage des données dans une puce cryptographiques
Le standard S/Mime pour la messagerie sécurisée
Le protocole SSL pour les flux sécurisés et authentifiés
Les critères communs permettent de certifier le niveau de sécurité des composants
L’article 1316-4 du Code Civil et le décret 2001-272 définissent les critères à respecter pour de la signature « qualifiées »
Exemples de normes
16
Première synthèse
L’enjeu des services de confiance numérique n’est pas technique
La technologie est normalisée et mûre
L’aspect technique ne doit cependant pas être négligé dans un projet de PKI
En tant que technologie : la PKI ne sert à rien en elle même La confiance est ailleurs
Une PKI pour répondre à quels besoins ?
Quelle organisation mettre en place pour diffuser et supporter les nouveaux services tout en maîtrisant les coûts ?
Comment faire accepter les changements par les utilisateurs ?
L’enjeu est organisationnel et fonctionnel
17
Sommaire
Introduction
Introduction aux PKI Les besoins
La gestion des accès La confidentialité La dématérialisation
Les réponses Conclusion
Questions/réponses
Annexes
18
Gestion des accès
Le besoin est de renforcer le niveau de sécurité des accès distants et de mutualiser les moyens avec les autres services de sécurité (chiffrement) en remplaçant les mécanismes d’authentification préexistants (mots de passe, calculettes)
Les accès sans fil (Wifi, GSM) sont traités comme des accès externes et nécessitent donc une authentification forte qui soit plus simple d’emploi qu’une calculette)
Accès distants et sans fil
Le besoin est d’augmenter le niveau de sécurité des accès au SI et d’améliorer le confort de l’utilisateur (en association avec les technologies de SSO)
Supprimer l’utilisation des mots de passe sur le SI
o La technologie est obsolète
o La multiplication des mots de passe nuit au respect de la PSSI
Adopter une approche « quick win » pour obtenir un bénéfice rapide des technologies mises en place
Solution : mettre en place un SSO poste client et utiliser la PKI pour authentifier fortement l’utilisateur sur le SSO et donc ses applications (dont Windows)
Remarque : les technologies de SSO fonctionnent également en l’absence de PKI avec une authentification primaire par mot de passe ou par OTP (one time password)
Évoluer dans le futur vers un SSO natif avec le Smart Card Logon et les technologies de type Kerberos
Authentification forte sur le poste de travail et les applications métier
Accès au SI
Dématérialisation Patrimoine informationnel
19
Accès au SI
Avant : un mot de passe par application
Après : authentification forte sur le SSO
Utilisateur
Authentification 1
Application n Base
d’habilitation
Gestion des habilitations Application 2
Base d’habilitation
Gestion des habilitations Application 1 Base
d’habilitation
Gestion des habilitations
Authentification 2 Authentification n
Serveur SSO
@SSO
Authentification forte
Application n
Base d’habilitation
Gestion des habilitations Application 2
Base d’habilitation
Gestion des habilitations Utilisateur
Authentification 1
Application 1
Base d’habilitation
Gestion des habilitations
Authentification 2 Authentification n
Accès au SI
Dématérialisation Patrimoine informationnel
20
Confidentialité
La protection du poste éteint a pour objectif de s’assurer que le vol ou la perte d’un ordinateur éteint ou d’un disque dur volé ou perdu ne peut pas compromettre les données de l’Entreprise (y compris les données liées au système d’information).
Cette protection doit couvrir les données suivantes
Fichiers métiers de l’Entreprise présents sur le support
Fichier d’échange (swap) : contient une image des fichiers ouverts en mémoire
Fichier d’hibernation : contient une copie complète de la mémoire du système
Base locale des comptes utilisateurs : contient les mots de passe des administrateurs locaux et une copie du mot de passe de l’utilisateur
Métadonnées du système de fichiers : peut contenir des informations sur les fichiers présents dans le système (titre, mots clés d’indexation…)
Espace libre : peut contenir des données fantômes des fichiers effacés
Accès au SI
Dématérialisation Patrimoine informationnel
1er besoin : protéger le poste éteint
21
Confidentialité
Les fichiers contenant des données sensibles de l’Entreprise doivent être protégés contre :
L’accès d’un utilisateur non autorisé
L’accès d’un administrateur y compris lors de ses tâches normales d’administration (intervention sur le poste d’un utilisateur)
Cela que les données soient stockées :
Sur le poste de l’utilisateur Sur un partage
Sur les sauvegardes
Pendant leur transfert sur le réseau
La protection des données doit être transparente pour les utilisateurs qui sont habilités aux données
Cette protection doit permettre de protéger les médias amovibles (clés USB, CD)
Accès au SI
Dématérialisation Patrimoine informationnel
2ème besoin : protéger les fichiers
22
Confidentialité
Protéger les échanges par emails internes contre l’accès non autorisés Protéger les échanges par emails externes contre l’accès non autorisés Protéger les boîtes aux lettres des utilisateurs contre les accès non
autorisés
Offrir la possibilité de créer des Groupes Fermés d’Utilisateurs si des utilisateurs ne peuvent échanger que entre eux
La solution devra s’intégrer aux outils existants et être transparente pour les utilisateurs
3ème besoin : protéger les mails
Protéger les données de l’Entreprise stockées sur un terminal mobile (PDA, SmartPhone, Blackberry)
Permettre à un terminal mobile d’accéder à des ressources sécurisées de l’utilisateur (par exemple recevoir un email sécurisé sur un terminal
mobile)
Cas des terminaux mobiles
Accès au SI
Dématérialisation Patrimoine informationnel
23
Confidentialité
Accès au SI
Dématérialisation Patrimoine informationnel
Les données stratégiques de l’Entreprise sont stockées dans des bases de données métier (informations sur la clientèle, données financières, RH)
Il faut protéger ces bases de données contre les accès non autorisés des administrateurs de bases ou des utilisateurs non habilités
Besoin de protection des bases de données
Le réseau véhicule les données sensibles de l’Entreprise aussi bien pour des échanges internes que des échanges avec des tiers externes Les échanges avec l’extérieur sont souvent protégés par des VPNs
chiffrés avec les partenaires mais les flux métiers internes ne sont généralement pas protégés
Il faut pouvoir protéger les échanges réseau quand ils font transiter des informations sensibles.
Besoin de protection des flux
24
Signature de logiciels
Garantir que le applications déployées sur le SI sont validées par la DSI Permettre l’utilisation d’applets développées en interne (Java, ActiveX,
.Net) sans générer d’alerte de sécurité sur le poste utilisateur
On peut configurer l’OS pour exiger que les applications installées soient signées numériquement
Les bénéfices attendus sont
Maîtrise du SI
Sécurité des applications Contrôle des licences
Conformité du parc aux directives centrales
Accès au SI
Dématérialisation Patrimoine informationnel
Signature des logiciels
25
Dématérialisation
Toutes les entreprises cherchent à dématérialiser leurs processus métiers
L’objectif est d’améliorer la réactivité et l’agilité de l’Entreprise tout en réduisant les coûts
Cette dématérialisation doit offrir un niveau de confiance équivalent au processus papier
Lorsqu’un processus est critique ou est soumis à des obligations
réglementaires, il peut nécessiter l’utilisation de signatures électroniques et/ou d’horodatages
La signature peut avoir une force probante
Dans certains cas, il faut une signature dite qualifiée (répondant aux obligations du décret 2001-272). La charge de la preuve est inversée.
Accès au SI
Dématérialisation Patrimoine informationnel
Dématérialisation des processus
26
Populations Cibles
Les cadres dirigeants et supérieurs manipulent des données stratégiques et sont nomades. Ils ont des besoins de confidentialité et de mobilité.
VIPs
Le poste nomade peut contenir des informations sensibles, il doit être protégé contre le vol et il faut authentifier les accès externes
Nomades
Certains utilisateurs manipulent des données sensibles sans être
nomades (R&D, RH, Audit). Leurs informations doivent être protégées contre des risques internes et externes.
Utilisateurs sensibles
Les utilisateurs ayant des missions d’administration ont des droits étendus sur le SI. Ils doivent être authentifiés fortement et audités.
Administrateurs
Les autres utilisateurs n’ont pas de besoin spécifique. Ils peuvent
cependant avoir à échanger des données avec un des acteurs sensibles.
Les autres utilisateurs
27
Synthèse
Une entreprise met généralement en place une PKI pour répondre à des impératifs de sécurité :
Gestion des accès
Protection du patrimoine informationnel
Le potentiel d’une PKI réside dans son utilisation pour dématérialiser des processus :
Gain de productivité
Amélioration de la fiabilité des processus
Synthèse des besoins
Pour assurer le succès d’un projet de PKI, il est impératif d’identifier les risques dont l’Entreprise cherche à se protéger et bien définir son besoin
Cela détermine les orientations du projet
Une PKI : pour quoi faire
Analyse des risques
28
Sommaire
Introduction
Introduction aux PKI Les besoins
Les réponses
L’infrastructure
Les puces cryptographiques
Les outils de chiffrement sur le poste Les outils de chiffrement des emails Le SSO
Conclusion
Questions/réponses
Annexes
Prend en charge le cycle de vie des certificats 29
Émission
Révocation/suspension Renouvellement
Publication
Séquestre/recouvrement
S’appuie sur les infrastructures existantes : annuaires, messagerie
L’annuaire d’Entreprise doit fournir des informations fiables pour construire les certificats
La PKI
Automatise la relation avec l’utilisateur et la gestion du dispositif de stockage des clés (comprend un logiciel sur le poste client)
Émission / attribution Retrait / suspension Blocage / déblocage
Gestion des applications sur la puce
Interagit avec la PKI pour automatiser la création des clés et l’injection des certificat dans les puces cryptographique
Un card manager
Une infrastructure
30
Les composants techniques d’infrastructure peuvent être hébergés :
En interne En externe En mode ASP
Interne ou externe
Le choix de l’hébergement dépend de la politique de l’Entreprise et du contexte du projet de PKI. Il n’y a pas de réponse unique.
Un arbitrage spécifique
Infrastructure/hébergement
☺
☺
☺
☺
Tiers de confiance/signature qualifiée
☺
☺
☺
☺
Sécurité d’exploitation
☺
☺☺
☺
☺
☺
☺
☺
Fonctionnalités
☺
☺
☺
☺
Évolutivité
☺
☺
☺
☺
Maîtrise des secrets
Opérée Hébergée à l’extérieur
Hébergée en interne
31
Stockage des clés privées
Clé USB
☺ Robuste, durée de vie supérieure à 6 ans
☺ Simple d’emploi, ne nécessite pas de lecteur spécifique
☺ Peut héberger un espace de stockage en option
☺ Peut héberger un composant sans contact
Faible personnalisation graphique (pas de photo) Bloque un port USB
L’utilisateur peut la laisser à demeure sur le poste Carte à puce
☺ Technologie mature et fiable
☺ Peut héberger contenir des composants sans contact pour proposer un badge Entreprise : facteur de succès
☺ Personnalisableavec une photo et une impression graphique
Nécessite un lecteur sur le poste
Relativement fragile: durée de vie inférieure à 6 ans par usure des contacts (il existe des cartes robustes mais coûteuses)
Carte à puce virtuelle
☺ Simple d’emploi
☺ Élimine le risque de perte ou d’oubli de carte
Niveau de sécurité équivalent à une carte à puce si on associé à une authentification forte par une autre moyen mais le coût est alors équivalentà une carte à puce
Nécessite un accès au serveur de carte à puce (absence de mobilité externe, single point of failure) Stockage logiciel dans l’OS
☺ Solution économiqueet simple d’emploi. Disponible en natif dans les OS
Le niveau de sécurité est équivalent à la protection d’un fichier en authentification par mot de passe : bénéfice de sécurité faible
La clé et le certificat ne peuvent pas migrerd’un poste à un autre (sans intervention manuelle « complexe ») Lié physiquement au poste => authentifie le poste et pas la personne (peut se justifier pour des projets de NAC ou de Wifi)
Cas des PDAs : il existe des lecteurs de carte à puce bluetooth et des puces sous format SD-Card
32
Chiffrement complet du disque dur
☺ Répond au risque de fuite d’information en cas de perte ou de vol d’un appareil nomade
☺ Invisible de l’utilisateur
Ne permet pas de protéger les fichiers sur les partages
Ne protège pas contre les accès des administrateurs et autres utilisateurs du poste Inopérant une fois le poste allumé
Technologie 1 : protection du poste éteint
Chiffrement transparent des répertoires de l’utilisateur et des fichiers sensibles du système (quand c’est possible)
☺ Répond au risque d’accès non autorisés des autres utilisateurs et des administrateur
☺ Couvre fonctionnellement la protection du poste éteint pour les données les plus sensibles.
☺ Fonctionne sur les espaces partagés
☺ Peut chiffrer automatiquement les médias amovibles Le nom des fichiers n’est pas masqué
Ne protège pas certaines données du système : fichier d’hibernation, base de comptes et méta données
Technologie 2 : protection au niveau des fichiers
Accès au SI
Dématérialisation Patrimoine informationnel
Chiffrement des fichiers
Volume qui est activé par l’utilisateur lors de sa connexion 33
☺ Répond au risque de fuite d’information en cas de perte ou de vol d’un appareil nomade
Ne permet pas de protéger les fichiers sur les partages Ne protège pas toutes les données du système
Peu ergonomique
Technologie 3 : disque virtuel
Chiffrement des fichiers
**
☺
☺☺
☺
Protection des fichiers sur un partage
☺
☺☺
☺
☺
☺
☺
Performances, simplicité d’utilisation, ☺
ergonomie, administration centralisée
☺
☺
☺
☺
☺
☺☺
☺
☺
☺
☺
Protection des fichiers de l’utilisateur ☺
Protection des médias amovibles
☺
☺
☺
☺
☺
☺☺
☺
Protection contre l’administrateur et les
autres utilisateurs du poste
☺
☺
☺
☺
Masque le nom des fichiers
☺
☺
☺
☺
Protection des données du système
• fichier d’hibernation
• Base locale des comptes
• Méta données du système de fichiers
☺
☺☺
☺
☺
☺
☺
☺
Protection du fichier swap
Disque virtuel Chiffrement de répertoires
Chiffrement disque Point de protection
Accès au SI
Dématérialisation Patrimoine informationnel
34
Les mails avec l’extérieur sont chiffrés/déchiffrés par une passerelle Les mails internes ne sont pas chiffrés
☺ Utilise plusieurs protocoles
☺ N’interfère pas avec l’infrastructure de sécurité (antivirus)
Technologie 1 : la passerelle de chiffrement
Accès au SI
Dématérialisation Patrimoine informationnel
Chiffrement des mails
Chiffrement de bout en bout par le client de messagerie ou un outil ad-hoc et de 35
façon transparente
☺ Protège les échanges internes et externes
Si le destinataire n’a pas de clé ou le même outil, il est possible d’utiliser une pièce jointe chiffrée par mot de passe
Mono protocole
Peut être utilisé pour contourner la politique de sécurité
Technologie 2 : chiffrement par le client de messagerie
Chiffrement des mails
Accès au SI
Dématérialisation Patrimoine informationnel
36
A priori, n’existe pas sur le marché
Alternative : l’utilisateur créé une archive de mail et déplace tout ses fichiers au fur et à mesure dans l’archive (règle automatique). L’archive est chiffrée par un outil de chiffrement sur le poste.
Tout les mails de l’utilisateur dans l’archive sont protégés
Technologie 3 : chiffrement de la boîte aux lettres
Chiffrement des mails
Accès au SI
Dématérialisation Patrimoine informationnel
37
☺☺
☺☺
Fonctionnement en GFU
☺
☺
☺
☺
☺
☺
☺
☺
Expérience utilisateur
***
☺☺
☺☺
☺
☺
☺
☺
☺
☺
☺
☺
☺
☺
☺
☺*
Chiffrement sur le poste
N/A
☺
☺☺
☺
☺☺☺
☺
☺☺☺
☺
**
☺
☺☺
☺
Chiffrement de la boite aux lettres
***
Archive mails sécurisé
☺
☺
☺
☺
Multi protocoles
☺☺
☺☺
Compatibilité avec les DLP et antivirus sur les passerelles réseau
☺☺
☺☺
Compatibilité avec les agents DLP et antivirus sur le poste
☺
☺
☺
☺
Confidentialité sur les réseaux externes
Confidentialité sur le réseau interne
Confidentialité de la boîte aux lettres
Passerelle de chiffrement Point de protection
* Seulement pour les mails qui ont été chiffrés
** L’accès aux mails stockés dans l’archive est sécurisé. L’envoi de mail non chiffré n’est pas protégé
*** Les mails archivés restent chiffrés. Il est possible de chiffrer les archives sur le poste avec l’outil de chiffrement de fichiers
Chiffrement des mails/synthèse
Accès au SI
Dématérialisation Patrimoine informationnel
38
Le chiffrement des données peut se faire au niveau de la base complète ou au niveau de champs de données. Le chiffrement peut être fait par le moteur de base ou l’application
La protection des bases de données doit être étudiée au cas par cas selon le besoin et l’environnement cible
Cela peut avoir un impact important sur les performances (impact I/O)
Protection des bases de données
La protection de flux de données peut se faire avec un simple tunnel IPSec ou SSL ou à l’aide de technologies propriétaires aux protocoles de données utilisées par l’application
La protection des flux doit être étudiée au cas par cas selon le besoin et l’environnement cible
Protection des flux
Confidentialité : autres
Accès au SI
Dématérialisation Patrimoine informationnel
Peut se faire aussi bien par les outils de chiffrement de surface, de répertoires ou de création d’archive
La politique définit les règles de traitement des fichiers préexistant, les droits en écriture des fichiers en clair…
Médias amovibles
39
La PKI fournit les certificats adaptés et les environnement IDE ou d’administration centralisée peuvent signer les codes validés.
Le certificat racine de la PKI doit évidemment être déployés sur le parc.
L’enjeu est d’organiser le processus de signature
Signature de code/logiciel
La majorité des clients de messagerie peuvent générer des signatures S/Mime Permet de prouver simplement l’origine des mails
Engage la responsabilité juridique de l’émetteur même s’il ne s’agit pas d’une signature qualifiée et sans horodatage
Signature des mails
Accès au SI
Dématérialisation Patrimoine informationnel
Signature numérique simple
Les outils de bureautique (MS Office, Openoffice, Acrobat…) peuvent signer numériquement les outils générés
Il s’agit d’une signature simple sans horodatage
Les documents peuvent ensuite être envoyés par mail
Signature de documents bureautiques
40
La dématérialisation répond à des besoins métier
doit être porté par une Direction métier Important potentiel de productivité
Le besoin doit être ciblé
Signature qualifiée ou simple Besoin d’un horodatage
Environnement métier et technique
La dématérialisation de processus métier doit être traitée au cas par cas Dématérialisation des processus métier
Dématérialisation
Accès au SI
Dématérialisation Patrimoine informationnel
Trois classes de services s’appuyant sur une infrastructure 41
Services d’infrastructure
(PKI, gestion des puces, annuaire, organisation)
Authentification forte
VPN
Accès au SSO Smart Card Logon Accès WiFi
NAC
Services sécurisés
SSL
VPN
Radius
Chiffrement de la donnée utilisateur
Poste de travail Fichiers partagés Messagerie
Données de l’Entreprise
Chiffrement des flux Bases de données
Signature numérique
Messagerie Logiciels
Fichiers et processus
Horodatage
Gestion de la preuve numérique
Contrôle d’intégrité Contrôle des accès Protection des données Dématérialisation
Vue globale des services
L’organisation est un des plus importants enjeux pour faire accepter les technologies de 42
confiance auprès des utilisateurs :
Offrir une réponse efficace en cas de perte/vol/perte de support cryptographique (prévoir des modes dégradés ou pouvoir fournir un nouveau support en peu de temps)
Offrir un service transparent et fiable
Les utilisateurs peuvent être très mobiles et répartis sur une grande étendue Certains utilisateurs (VIPs) ont un niveau d’exigence très élevé
L’organisation doit être adaptée au contexte propre de l’Entreprise
Défi majeur
Organisation et support
Bureau des badges
Lieux physiques où le support est remis à l’utilisateur et initialisé Faible et sûr (face à face)
Lourd et coûteux (multiplication des personnels et équipements)
Support centralisé
Envoi par courrier du support à l’utilisateur avec les codes pour initialiser le dispositif lui-même Souple et peu coûteux
Manque de réactivité lié aux délais postaux
Self service
L’utilisateur peut réaliser lui-même son support (par exemple : déblocage de code PIN)
Quelques modèles d’organisation
43
Sommaire
Introduction
Introduction aux PKI Les besoins
Les réponses Conclusion
Questions/réponses
Annexes
44
Conclusion
Une PKI est avant tout un projet organisationnel et de conduite du changement.
Les enjeux ne sont pas techniques : la technologie est plutôt bien maîtrisée :
Changement des habitudes de travail des utilisateurs (prêt de mot de passe, envoi de documents par mail, utilisation de clés USB). Un révélateur de dysfonctionnements Accompagnement des utilisateurs. Réactivité du support
Accompagnement des maîtrises d’ouvrage dans leurs projets
Une nouvelle technologie à appréhender par les équipes de support bureautique et les équipés de développement et d’intégration
Adapter les services aux besoins spécifiques des métiers
Une projet coûteux au ROI incertain. Il faut construire des services.
Un projet de conduite de changement
Juridiques avec la signature ou les échanges internationaux Conduite du changement
Inadéquation des services avec les besoins Incapacité à répondre à la charge
En cas d’échec peut mettre en péril d’autres projets (cloisonnement, Wifi, sensibilisation des utilisateurs)
Risques
45
Questions/réponses
46
Annexes
Glossaire
Initialisation de la confiance
Exemple de hiérarchie de confiance
Exemple de chiffrement/signature d’un mail (animation) Exemples de solutions d’infrastructure
Exemples d’outils de chiffrement
Exemples de matériels
47
Glossaire
PKI : Public Key Infrastructure (en français : Infrastructure à Clé Publique)
Est l’ensemble des moyens organisationnels, procédures, matériels et logiciels assurant la gestion des certificats numériqueset des bi-clésassociées Est composée d’une autorité de certification racineet de plusieurs autorités de certification filles
Chacune de ses entités est décrite dans une politique de certificationdéfinissant le niveau de confianceporté à chacune d’entre elles Autorité de Certification Racine (ACR)
Est l’entité de plus haut niveau dans la PKI Signe les autorités de « certification fille » Autorité de Certification (AC)
Créé les certificats numériques demandés par l’Autorité d’Enregistrement Génère les listes de révocation
Autorité d’Enregistrement (AE)
Enregistre et génère les demandes de certificats Enregistre et génère les demandes de révocations Advanced Encryption Standard (AES)
Algorithme de chiffrement symétrique standard du gouvernement américain Card Manager
gestionnaire de support cryptographique. Composant qui va gérer le cycle de vie des supports cryptographique(inventaire, blocage, attribution, retrait) et interfacer ce support avec la PKI (attribution d’un certificat, renouvellement de ce dernier)
Data Leak Prevention (DLP)
Ensemble de technologies ayant pour objectif de prévenir les fuites d’informations sur le SI par une analyse du comportement de l’utilisateur et des flux d’informations
Entité d’Enrôlement (EE)
Interface entre l’AE et le demandeur
Formulaire Web de demande de certificat, de demande de dérogation ou de renouvellement Hardware Security Module (HSM)
Composant matériel dont le but est de générer et de stocker des clés de chiffrement Liste de Certificats Révoqués (LCR)
Liste noire des certificats interdits (pertes, vols, départs) One Time Password (OTP)
mot de passe à usage unique Rivest Shamir (RSA)
Célèbre algorithme de chiffrement asymétrique. Initiales du nom des inventeurs de l’algorithme Secure Socket Layer (SSL)
protocole de flux qui authentifie les extrémités et assure la confidentialité du flux Single Sign On (SSO)
Ensemble de technologies ayant pour but de simplifier l’utilisation des SI pour les utilisateurs en réduisant les authentifications à un seul mécanisme quelle que soit l’application utilisée
Virtual Private Network (VPN)
réseau privé virtuel. On parle ici de réseau privée virtuel au sens d’authentifié et chiffré et pas au sens MPLS
48
Exemple de hiérarchie de confiance
Autorité de Certification Personnes
Autorité de Certification Racine
Autorité de Certification Machines et applications
Autorité d’Enregistrement Authentification
La Direction Générale de l’Entreprise apporte sa caution à l’infrastructure lors d’une
cérémonie des clés Applique la politique de certification de l’Entreprise Garantit le fonctionnement global
de la PKI Délègue son autorité à des
Autorités subordonnées
Signe les certificats Applique sa politique de
certification
Traite les demandes de certificats, Contrôle la validité des
informations fournies Utilise son certificat conformément à ses
spécifications Vérifie la validité des certificats
Autorité de Certification
Filiales
Filiales
Signature Chiffrement
Authentification
Signature Chiffrement
Projet PKI Entreprise
49
Initialisation de la confiance
Autorité(s) de Certification
ACR PKI
AC Fiche 1 AC Fiche 2
Autorité de Certification
Racine
Secret du HSM
La clé privée de l’ACR est générée par logiciel à partir d’un portable non connecté
Les morceaux de la clé privée sont stockés sur clés USB et remis aux porteurs de secret de la PKI
Les certificats des AC Fiches sont signés avec la clé privée de l’ACR
Le HSM est destiné à générer et à protéger les clés privées des AC filles.
Lors de son initialisation, il génère un secret qui sera nécessaire à toute restauration du HSM
Les morceaux du secret sont stockés sur carte à puce et remis aux porteurs de secret du HSM choisis parmi des acteurs opérationnels
Chaîne de confiance Entités de la PKI Initialisation de la confiance
Clé privée de l’ACR
HSM
50
Exemple de chiffrement de mail
Jean Messagerie
PKI et annuaire
•Certificats émis par la PKI avec les clés publiques
•Certificats révoqués
Recherche du certificat de bob
et de sa clé publique
Déchiffrement du mail et vérification du
certificat de Jean
Bob
51
Solutions d’infrastructure
Cryptolog
EJBCA
Entrust Keynectis Microsoft Nexus
OpenCA
Opentrust
RSA
Logiciels de PKI
ActivIdentity Interseed Microsoft Opentrust Scrypto
VPS
Logiciels de gestion de puces cryptographique : card management
52
Solutions de chiffrement
Arkoon/MSI
Checkpoint/PointSec McAffee/Safeboot Microsoft
PGP
Prim’X Utimaco
Arkoon/MSI Enigmail Microsoft
PGP
Prim’X Utimaco
Chiffrement de fichiers/disque
Chiffrement de mails
53
