My Blog

Étiquette : chiffrement

  • Tendances mondiales du chiffrement: Priorité n° 1 la protection des données clients

    Protection des données clients : la priorité n° 1 selon l’étude nCipher 2020 sur les tendances mondiales du chiffrement

    Avec l’essor du Cloud, de l’Internet des Objets et des réseaux 5G, la course à la protection des données sensibles est lancée.

    Face à l’accélération des initiatives de digitalisation des entreprises, services cloud et Internet des Objets (IoT) en tête, ainsi qu’à l’essor des volumes et des types de données, la protection des données personnels des client s’avère la priorité n° 1 des professionnels du secteur informatique. C’est ce que révèle l’étude 2020 sur les tendances mondiales du chiffrement [LINK] menée par le Ponemon Institute. Pour la quinzième édition de son enquête multinationale sur les modalités et les motifs d’adoption du chiffrement dans les entreprises, l’institut a collaboré avec nCipher Security, société du groupe Entrust Datacard figurant parmi les leaders mondiaux sur le marché des modules de sécurité matériels (HSM).

    Risques, moteurs d’adoption et priorités

    Pour la première fois, la protection des données clients s’avère le premier moteur d’adoption du chiffrement (54 % des sondés), au détriment de la conformité arrivée en quatrième position (47 %). Priorité historique du secteur, la conformité réglementaire marque le pas depuis 2017, signe que le chiffrement n’est plus une exigence, mais un choix proactif visant à protéger les informations critiques.

    L’erreur humaine reste considérée comme le principal risque d’atteinte aux données sensibles (54 %), nettement devant la crainte d’un piratage informatique (29 %) ou d’un comportement malveillant des employés (20 %). En comparaison, les menaces jugées les moins importantes sont notamment les interceptions gouvernementales (11 %) et les requêtes de données en application de la loi (12 %).

    Défi n° 1 : l’analyse des données

    Face à la prolifération des données issues de la digitalisation, des services cloud, des solutions de mobilité, des objets connectés et de l’avènement des réseaux 5G, l’analyse des données continue de représenter le défi majeur entravant la planification et l’exécution d’une stratégie de chiffrement, comme le déclarent 67 % des sondés. Et cette proportion va très probablement augmenter vu l’essor du télétravail engendré par la pandémie en cours. De fait, les employés sont amenés à utiliser des données à leur domicile, ainsi qu’à créer des copies supplémentaires sur leurs appareils privés et dans le Cloud.

    Blockchain, calcul quantique et adoption des nouvelles technologies de chiffrement

    Selon cette étude, 48 % des sondés ont adopté des stratégies de chiffrement à l’échelle de leur entreprise, contre 45 % en 2019. Le chiffrement se généralisant peu à peu, comment les entreprises envisagent-elles l’avenir ? À court terme, 60 % d’entre elles prévoient le recours à la blockchain, en priorité dans les scénarios d’utilisation suivants : cryptomonnaie/portefeuilles dédiés, mouvements d’immobilisation, identité, chaîne logistique et contrats intelligents.

    D’autres technologies font beaucoup parler d’elles, mais ne figurent pas encore dans les tablettes des entreprises informatiques. Ainsi, pour la plupart des professionnels du secteur, l’adoption généralisée du calcul sécurisé multi-parties et du chiffrement homomorphique n’aura pas lieu avant au moins cinq ans pour le premier et six pour le second. Il faudra attendre plus de huit ans pour que les algorithmes post-quantiques deviennent monnaie courante.

    Confiance, intégrité, contrôle

    Le recours aux modules de sécurité matériels (HSM) continue d’augmenter. De fait, 48 % des sondés déclarent en déployer pour créer un environnement consolidé et inviolable offrant un degré supérieur de confiance, d’intégrité et de contrôle, côté données et côté applications. Les entreprises implantées en Allemagne, aux États-Unis et au Moyen-Orient sont plus susceptibles de recourir aux HSM, tandis que les entreprises australiennes, allemandes et américaines sont les plus enclines à attribuer de l’importance à ces équipements dans le cadre de leurs activités de chiffrement ou de gestion stratégique.

    Le recours aux HSM ne se limite plus aux scénarios classiques comme l’infrastructure à clés publiques (ICP), les bases de données et les protocoles de sécurisation des applications et des réseaux (TLS/SSL). L’exigence d’un chiffrement fiable imposée par les nouvelles initiatives digitales s’est traduite par un essor significatif des HSM aux fins suivantes : chiffrement des mégadonnées (+17 %), signature de code (+12 %), racine de confiance IoT (+10 %) et signature de document (+7 %). En outre, 35 % des sondés déclarent utiliser les HSM pour sécuriser l’accès aux applications hébergées sur un cloud public.

    Objectif : le Cloud

    Quatre-vingt-trois pour cent des sondés déclarent procéder au transfert de données sensibles vers le Cloud ou planifier une telle migration dans les 12 à 24 prochains mois, les entreprises installées aux États-Unis, au Brésil, en Allemagne, en Inde et en Corée du Sud étant les plus adeptes de cette pratique.

    Au cours des 12 prochains mois, les sondés prévoient un essor considérable du marché des HSM pour la génération et la gestion des clés de chiffrement BYOK (Bring Your Own Key), ainsi que l’intégration croissante avec les solutions de sécurisation des accès cloud CASB (Cloud Access Security Broker) pour gérer les clés et les opérations cryptographiques. D’après les résultats de l’enquête, les fonctionnalités de chiffrement revêtant le plus d’importance dans le Cloud sont les suivantes :

    • Prise en charge du protocole d’interopérabilité de gestion des clés KMIP (Key Management Interoperability Protocol) (67 %)
    • Intégration SIEM (Security Information and Event Management) (62 %)
    • Contrôles d’accès granulaire (60 %)
    • Journaux d’audit d’utilisation des clés (55 %)
    • Contrôle d’accès des utilisateurs disposant de privilèges (50 %)

    « Aux yeux des consommateurs, les marques se doivent de protéger les données duclient contre toute atteinte et de veiller aux intérêts de ce dernier. Cette enquête prouve que les dirigeants informatiques prennent ces attentes au sérieux : en effet, ils classent pour la première fois la protection des données client en tête des moteurs de croissance du chiffrement », souligne Larry Ponemon, PDG du Ponemon Institute. « Le recours au chiffrement atteint un taux record cette année : 48 % des sondés ont déclaré que leur entreprise met en œuvre un projet unifié de chiffrement à grande échelle. En sus, 39 % des sondés attestent que leur structure applique un projet ou une stratégie ciblant certains types d’applications et de données. »

    « À l’ère numérique, l’impact de la pandémie actuelle souligne à quel point la sécurité et l’identité sont devenues essentielles pour les entreprises et les particuliers, au travail comme à la maison », précise John Grimm, vice-président en charge de la stratégie chez nCipher Security. « Les professionnels subissent une pression permanente liée à deux objectifs : garantir une sécurité maximale et optimiser la fluidité d’accès. Il leur incombe de protéger leurs données client, leurs informations métier essentielles et leurs applications, tout en assurant la continuité des activités. Les solutions de sécurité nCipher offrent aux clients un gage de confiance quant à l’intégrité et à la fiabilité de leurs données, de leurs applications et de leur propriété intellectuelle. »

    Autres tendances majeures :

    • L’Allemagne (66 %) enregistre le taux le plus élevé d’entreprises disposant d’une stratégie de chiffrement généralisée, devant les États-Unis (66 %), la Suède (62 %), Hong Kong (60 %), les Pays-Bas (56 %) et le Royaume-Uni (54 %).
    • Le chiffrement porte avant tout sur les données liées au paiement (54 % des sondés) et les enregistrements financiers (54 % des sondés).
    • Les données les moins souvent chiffrées sont les informations de nature médicale (25 % des sondés) : un résultat surprenant au vu de la sensibilité de ces données et des récentes failles de sécurité très médiatisées dans le secteur de la santé.
    • Le recours extensif au chiffrement connaît la plus forte hausse dans les secteurs de l’industrie manufacturière (49 %), du tourisme (44 %) et des biens de consommation (43 %).

     

  • Pourquoi la demande du FBI auprès d’Apple constitue une violation du système de confiance ?

    Quand le gouvernement décide de détourner le piratage sur Internet …

    par Kevin Bocek, VP Threat Intelligence and Security Strategy, Venafi

    En résumé, on demande à Apple de démonter le système de confiance utilisé depuis plus de 20 ans pour sécuriser Internet. Cette action du gouvernement américain -qui exige de pouvoir utiliser des certificats Apple- constitue un détournement et un piratage d’Internet. La question n’est pas de décrypter un téléphone utilisé par un terroriste.

    Les certificats constituent le socle de la cybersécurité. Si le gouvernement est autorisé à utiliser les certificats Apple, il contrôle le logiciel qui contrôle en grande partie l’accès aux logiciels, à Internet et aux applications. Il en prendra alors le contrôle et le détournera.

    L’enjeu de la demande du FBI et le défi d’Apple ne se limitent pas à un seul téléphone chiffré utilisé par un terroriste. C’est une violation du système de confiance à base de certificats [numériques] sur lequel reposent les logiciels et Internet ! Le FBI souhaite qu’Apple utilise un certificat Apple pour signer le logiciel qui s’exécutera ensuite (ce que le FBI appelle le fichier logiciel signé de l’iPhone [‘‘signed iPhone Software File’’]). Ces tactiques rappellent celles utilisées pour rendre Stuxnet si efficace – un malware signé à l’aide de certificats valides qui avait pu s’exécuter sans éveiller la méfiance. La requête du FBI risque de marquer un précédent, car elle porte, non sur le fait de casser le chiffrement, mais sur le fait de casser le logiciel. D’où la réponse de Tim Cook : ‘‘Le gouvernement demande à Apple de pirater ses propres utilisateurs et de saper les avancées réalisées depuis plusieurs décennies dans le domaine de la sécurité pour assurer la protection de nos clients.’’

    Or, la plus grosse ‘‘avancée’’ dans le cas présent est l’intérêt croissant que les cybercriminels portent au système de confiance créé par les certificats tel que nous le connaissons, et les attaques dont il fait l’objet. Les logiciels font tourner le monde et c’est le rôle des certificats TLS ou les signatures de code de distinguer ce qui est digne de confiance de ce qui ne l’est pas, de trier le bon grain de l’ivraie. Le logiciel signé par Apple ne deviendrait pas seulement une arme convoitée, ce serait également un prototype supplémentaire dans le manuel d’attaques des méchants, comme l’a été Stuxnet il y a 6 ans.

    Qu’est-ce que cela signifie pour les entreprises du Global 5000 ? À une époque où certificats et clés suscitent de plus en plus l’intérêt des gouvernements et les convoitises de personnes mal intentionnées, je dirais qu’il est d’autant plus important de connaître les certificats et clés auxquels l’on peut se fier, pour protéger ceux que l’on utilise.

    La réponse rapide et légitime d’Apple au FBI contraste fortement avec un autre grand problème de sécurité qui a concerné tous les utilisateurs de smartphones et d’ordinateurs dans le monde. L’autorité de certification chinoise CNNIC, une entité du gouvernement chinois qui contrôle le ‘‘Grand Pare-feu de Chine’’ et surveille le cybercomportement des citoyens de l’Empire du Milieu, était jugée digne de confiance par l’ensemble des navigateurs, ordinateurs, smartphones et tablettes Microsoft, Apple et Google. Or, la CNNIC a été impliquée dans une tentative d’usurpation de Google en Égypte – un incident auquel Google et Mozilla ont rapidement réagi en jetant le discrédit sur la CNNIC. Face aux dizaines de milliards de dollars de chiffres d’affaires en jeu chaque trimestre sur le marché chinois, Apple et Microsoft n’ont pas bougé pendant des mois. Apple a discrètement choisi de faire confiance à certains certificats CNNIC, tandis que Microsoft a laissé faire. L’incident n’a pas reçu la même couverture médiatique que la requête du FBI. Malheureusement, dans le cas de la CNNIC et contrairement à aujourd’hui, Apple n’a pas réagi. Son absence de réaction rapide ou publique a donné l’impression que la firme à la pomme faisait passer ses intérêts financiers chinois devant la sécurité et la confidentialité des données de tous les utilisateurs d’iPhone, d’iPad et de Mac à travers le monde. La réactivité d’Apple à la demande du FBI est un changement bienvenu et nous espérons qu’à l’avenir, l’entreprise ferait de même en cas d’incidents impliquant les autorités chinoises.