Qu'est-ce qu'un ordinateur sécurisé ?

Je sais, c'est un ordinateur à jour, avec un mot de passe fort et tout et tout

Oui, non, enfin pas seulement. Un ordinateur à jour, avec un mot de passe fort et quelques éléments de plus (que je vous invite à retrouver sur l'article 'qu'est-ce qu'un ordinateur bien tenu ?'), c'est un ordinateur bien tenu, ici, il sera question d'un ordinateur sécurisé. Ça veut dire qu'on va aller plus loin dans les mesures de protection lorsque c'est nécessaire.

Un ordinateur bien tenu, ça va déjà jusqu'au chiffrement des données, que peut-on faire de plus ?

Vous venez d'aller jeter un œil sur ce qui fait un ordinateur bien tenu, parfait ! La bonne question par laquelle commencer n'est pas ce qu'on peut faire de plus, mais : "pourquoi faudrait-il mettre en place des mesures de protection complémentaires ?" et la réponse se trouve dans le risque qui est encouru.

Mais, de quel risque on parle au juste ?

Je pense par exemple à tous les problèmes qui pourraient survenir si c'est l'ordinateurs d'une personne qui a un haut niveau de privilège et d'accès qui est compromis. L'idée est toujours de mettre en place une mesure de protection qui soit à la hauteur de ce qui doit être protégé et de l'impact qu'aurait une attaque réussie.

Qu'est-ce que c'est "un haut niveau de privilège" ?

Bonne question car en effet, cette expression est ambiguë. En fait, elle porte à la fois sur les niveaux de privilèges techniques sur les systèmes informatiques, ce qu'on appelle souvent les administrateurs, et aussi les niveaux élevés de responsabilité et donc de pouvoir en général.

C'est le boss quoi ?

Dans une entreprise, il s'agirait de ce qu'on appelle souvent "the 'C' suite". Il s'agit de toutes les personnes qui ont des accès à haut niveau de privilège que ce soit sur des systèmes informatiques ou sur des systèmes financiers, RH, ou encore lié à la propriété intellectuelle, bref, tout ce qui a de la valeur. Il ne faut bien entendu pas oublier les services informatiques et les informaticiens en général qui ont un accès à haut niveau de privilèges sur les systèmes et services qu'ils gèrent.

D'accord, si mon ordinateur est confronté à un risque plus important, je dois mettre en place une protection renforcée

C'est tout à fait ça et par protection renforcée, j'envisage deux axes : l'exécution de programmes malveillants et la protection de l'identité ou plutôt de l'authentification.

L'exécution de programme malveillant, c'est l'antivirus, non ?

Oui, mais dans le cas d'une protection renforcée, l'antivirus ne suffit pas. En effet, étant basé sur l'identification de comportements et de codes qu'il connait comme étant malveillants, il ne peut pas arrêter ce qu'il ne connait pas. Pour être certain de bloquer tout code malveillant, il faut renverser la stratégie pour ne permettre l'exécution que de ce que l'on sait être parfaitement correct et licite. C'est ce qu'on appelle une technologie de "white listing" applicatif.

Jamais entendu parler

Ce n'est étonnamment pas classique et ça s'explique par le fait que c'est embêtant au quotidien. Si vous voulez installer une nouvelle application, ça ne fonctionne pas, il faut d'abord revoir les règles pour qu'elles autorisent son installation et son exécution. Il faut donc bien comprendre pourquoi on utilise cette technologie afin de ne pas la désactiver eu premier "dérangement".

J'aime bien l'idée d'être certain qu'aucun programme malveillant ne puisse s'exécuter

Personnellement, moi aussi, et mon ordinateur est configuré comme ça. Je vais même me permettre d'exprimer un avis qui ne doit pas être sorti de son contexte : si je dois choisir entre la solution de "white listing" et l'antivirus, je conserve la solution de "white listing".

C'est vrai, ça l'antivirus, il ne sert plus à rien alors !

En fait, il reste utile, mais pas comme outil de sécurité, plutôt comme outil d'hygiène. Si un fichier infecté par un code malveillant atteint votre ordinateur équipé d'une technologie opérationnelle de "white listing", celle-ci empêchera son exécution. Votre poste de travail contient néanmoins le fichier infecté et vous pourriez dès lors le transmettre à quelqu'un d'autre. Si l'antivirus détecte ce fichier, il l'éliminera ou tout au moins en bloquera l'accès. Il permet ainsi de réduire le risque que votre ordinateur soit "porteur sain" d'un programme malveillant et qu'il ne le transmette dans le cadre de n'importe quel échange de données qui le contiendraient.

Et la protection de l'authentification, c'est le mot de passe ?

ici, on pense plutôt à ce que l'ordinateur fait de votre mot de passe lorsque vous lui donnez.

Il garde mon mot de passe ? ce n'est pas très sûr ça

En fait, non, il ne le garde pas. Pour vérifier que c'est bien votre mot de passe, il va faire un calcul et n'en conserver que le résultat. Il pourra alors réutiliser ce résultat qui permet de vous authentifier en cas de besoin. C'est ce qui vous permet d'accéder à des ressources sur le réseau sans que votre mot de passe ne soit redemandé à tout bouts de champs. C'est le cas d'un accès à une imprimante, à un dossier partagé, à un autre ordinateur, etc. Votre ordinateur ne garde donc formellement pas votre mot de passe, mais il conserve en mémoire un "jeton" qui peut le remplacer.

D'accord, mais pourquoi c'est un problème

Parce que ce jeton est dans la mémoire de l'ordinateur et donc, un code s'exécutant au niveau "administrateur" pourrait potentiellement voler le jeton et le réutiliser. C'est d'ailleurs une attaque connue sous le nom de "pass the hash" ou "pass the ticket".

Et comment se protéger de ça ?

En mettant en œuvre un nouveau volet dans les mesures de protection : la sécurité basée sur la virtualisation ou VBS (Virtualisation Based Security). Disons que l'idée est de stocker le jeton dans un ordinateur virtuel. L'accès à la mémoire de votre ordinateur n'expose dès lors plus vos jetons d'authentification car ils ne sont tout bonnement plus là.

Houlà, c'est compliqué ça

En effet, ça devient compliqué, contraignant et même couteux en termes de performances puisqu'il faut mettre en œuvre des technologies de virtualisation au niveau de son propre poste de travail alors que d'ordinaire, ça concerne plutôt les serveurs.

C'est compliqué, mais je comprends l'intérêt

J'espère que c'est la conclusion à laquelle vous arrivez. C'est techniquement complexe et parfois gênant au quotidien et cela doit donc se justifier. Je suis plutôt rassuré de savoir que ces technologies sont actives sur mon ordinateur lorsque je l'utilise pour me connecter à un serveur central par exemple. La complexité peut par ailleurs se réduire de plusieurs manières. En effet, une solution de "white listing" peut faire partie de la stratégie de l'entreprise pour la gestion de ses postes de travail et l'utilisateur que nous sommes n'a plus à s'en préoccuper.

En résumé, un ordinateur sécurisé :

• Est un ordinateur bien tenu au sens de l'article 'qu'est-ce qu'un ordinateur bien tenu ?' et disposant donc de : Mises à jour et versions récentes du système et des programme ; le moins d'applications possibles ; antivirus & pare-feu ; une protection physique appropriée ; un chiffrement des données locales ; un code d'accès (mot de passe ou autre) fort & un verrouillage automatique ; une utilisation quotidienne avec un faible niveau de privilèges.
• A un démarrage protégé par Secure Boot (il n'en a pas été question ici parce que les ordinateurs récents disposent nativement de cette technologie qui évite que le système ne soit altéré pendant son démarrage, à un moment où les autres technologies de protection ne sont pas encore opérationnelles).
• Dispose d'une technologie de "white listing" applicatif.
• Dispose d'une protection des paramètres d'authentification.

Et après tout cela, bien entendu, il est utilisé en restant vigilant, car nous ne devons jamais oublier qu'avec toutes ces technologies, il est à la fois plus facile et plus rentable pour un malfaiteur de s'attaquer directement à l'utilisateur : vous et moi.