e-Xpert Solutions Lausanne
Auteur : Yoann Le Corvic
Date de publication : 10 septembre 2018 - Dernière mise à jour : 10 septembre 2018
Des challenges multiples !!! En effet, pour atteindre un niveau de protection des données en ligne avec leur niveau de criticité, et pour répondre aux exigences imposées par les régulateurs, plusieurs éléments doivent être réunis :
Adopter une stratégie « cloud » ne signifie pas obligatoirement que toutes les clés sont données au fournisseur. L’objectif de cet article est de décrire comment assurer l’authentification des utilisateurs, le contrôle d’accès, l’intégrité et confidentialité des données d’entreprise ainsi que leur protection contre des menaces avancées.
Lorsqu’un service en ligne est mis à disposition la première défense pour le protéger est l’authentification. Et même si le service est hébergé hors des murs de l’entreprise, le contrôle de l’authentification peut en revanche être conservé, en s’appuyant en particulier sur les concepts de fédération d’identité (SAML).
A titre d’illustration, nous allons détailler un use case dans lequel le client souhaite profiter des services Cloud de Office 365, tout en conservant une authentification reposant sur leur Active Directory Local, mettant en œuvre un mécanisme de SSO.
Besoins :
Utilisateurs internes :
La décision retenue consiste à garder le contrôle total de l’authentification au sein du SI de l’entreprise en reposant sur le concept de fédération des identités, et le protocole SAML.
Le rôle clé de cette fédération, l’Identity Provider (IDP) peut être assuré par le module F5 Access Policy Manager. D’autre part, l’Active Directory interne peut être maintenu comme référentiel d’authentification, cela ayant le double avantage de :
Sans rentrer dans le détail du protocole SAML, voici la cinématique des échanges lorsque l’utilisateur interne lance son client « Outlook » :
Utilisateurs externes :
Un collaborateur en déplacement peut également utiliser le service dans le cloud, et son authentification est toujours validée en interne. Mais le contexte dans lequel un PC sur internet se trouve étant plus incertain, un niveau d'authentification supplémentaire est généralement exigé.
C’est d’ailleurs une recommandation forte. Par exemple, l’utilisation d’un certificat, d’un OTP, d’une notification Push … en plus des crédentiaux AD.
Dans l’illustration suivante, vous retrouvez en gras l’étape qui change dans le cas d’un utilisateur externe.
- Un certificat d’authentification,
- Le login et mot de passe Active Directory de l’utilisateur,
- … et la liste peut être complétée si nécessaire par d’autres mécanismes.
Dans ces exemples, nous parlons de Office 365, mais bien évidemment, cela reste vrai pour bien d’autres systèmes Saas.
Nous voyons notamment les premières implémentations de solutions de mobilité comme VMWare Workspace One UEM dans le Cloud, qui peuvent également être authentifiés de cette manière.
La partie « Authentification » étant réglée, reste maintenant à gérer les contrôles d’accès. Comme toute solution hébergée, Microsoft donne accès à des consoles d’administration grâce auxquelles les droits d’accès peuvent être modifiés.
La mise en œuvre d’un Cloud Access Security Broker (CASB) peut être évaluée pour automatiser et gérer plus finement les contrôles d’accès.
Idem pour les questions de mobilité, afin de contrôler finement les accès venant des terminaux mobiles, l’utilisation d’outil comme VMWare Workspace One UEM permet de conditionner les accès aux ressources Office 365 au niveau de conformité des équipements.
Ce type d’implémentation devient relativement simple à mettre en œuvre, et est plutôt efficace.
Garantir la confidentialité des échanges entre le poste client et les services « Cloud » est relativement aisé, en activant simplement le TLS sur les serveurs en question. Mais la problématique dans les implémentations SaaS n’est pas uniquement à ce niveau.
Dans les situations exigeant une garantie irréfutable de confidentialité des données (i.e. rendant impossible la lecture des données d’entreprise par des tiers), la seule solution réellement efficace est la mise en place d’un mécanisme de chiffrement utilisant des clés sous le contrôle exclusif de l’entreprise. De cette façon, même les administrateurs des plateformes Cloud hébergeant les données d’entreprise ne peuvent voire qu’une version inexploitable des données.
La mise en œuvre de tel système est plus complexe, et surtout bien plus critique : la perte des clés de chiffrement aurait à peu près les mêmes conséquences que la perte totale des données…
Comme pour le contrôle d’accès, l’utilisation de technologies CASB est nécessaire pour la mise en œuvre, et une étude poussée est plus que recommandée.
Le constat est sans appel, peu d'entreprises mettent en oeuvre ce niveau de sécurisation pour leur solution Cloud.
Pourtant, avec le renforcement des réglementations et la perpétuelle augmentation des vols des données, les entreprises devront se positionner pour sécuriser la protection de leurs données.
L’adoption des services cloud par les grandes entreprises a également donné de nouvelles idées aux hackers. Que ce soit par l’extension d’attaques connues, de type phishing ou logiciels malveillants à destination des services cloud principaux mais également par le développement spécifique d’attaques ciblées sur ces services, comme c’est le cas du détournement de compte d’utilisateurs ou l’exploitation de failles inconnues (zero-day) inhérentes à la technologie sous-jacente de chacune des applications.
Jusqu’il y a peu, les solutions disponibles pour protéger les services cloud, de type Saas, se limitaient à celles présentées plus haut et ne permettaient pas de répondre de manière complète à l’ensemble des risques exposés. Avec l’arrivée de ces menaces, de nouvelles solutions de protection, spécifiques au cloud, font leur apparition, que ce soit par de nouvelles fonctionnalités offertes par les services CASB existants, ou à l’aide de solutions dédiées à ces vecteurs d’attaques, comme par exemple Check Point CloudGuard.
En ce qui concerne la composante technique, nous devrons faire face à 2 principaux challenges :
À ce jour, moins de 5% des entreprises ont franchi le pas dans cette direction mais nul doute que la tendance des prochains mois et années sera très certainement croissante… Dans un monde idéal, pourquoi même ne pas imaginer que les fournisseurs de services Cloud offrent ce genre de services nativement dans leurs applications ?
- S’appuyer sur un fournisseur « Cloud » pour héberger des applications (même sensibles) tout en conservant le contrôle de la protection des données,
- Garder le contrôle de l’authentification grâce à la fédération des identités,
- Et se protéger contre les attaques avancées à l’aide de solutions dédiées reste relativement simple.
Le challenge principal reste la confidentialité des données, qui nécessite que la gestion des clés de chiffrement (qui n’est pas un processus à prendre à la légère !) reste entre les mains de l’entreprise , et requiert l’implémentation de composants tiers (CASB) pour gérer les opérations de chiffrement / déchiffrement.
Events
Archives