Gestion cryptographique et gestion des clés

Yrolland

Description

Le souci principal est l’espionnage économique et la protection des données personnelles

Informations

• Publié par: Force_IT
• Nombre de lectures: 21
• Licence : En savoir +
  Paternité, pas d'utilisation commerciale, partage des conditions initiales à l'identique
• Langue: Français
• Poids de l'ouvrage: 2 Mo

Extrait

Clusir RhôneAlpes Club SSI, le 20 novembre 2013

Gestion cryptographique et gestion des clés, impact pour la France du scandale Snowden et mesuresàprendrepourlaFrance et ses entreprises

CLUSIF / CLUSIR Rha

Yvan Rolland-chatila / Sogeti Gilles Defer / Abios Consulting Benjamin Sueur Serge Richard / IBM France

1

Clusir RhôneAlpes Club SSI le 20 novembre 2013 Sommaire

1. PrésentationGénérale du contexte 2. Cequi est avéré et qui est concerné 3. Lesrecommandations et les messages officiels

CLUSIF / CLUSIR Rha

Titre de l'atelier

2

Clusir RhôneAlpes Club SSI le 20 novembre 2013 IIIRecommandations

1. Préambule 2. Fonctionnelles 3. Institutionnelles 4. Techniques– exemple de la cryptographie [e-mail]

CLUSIF / CLUSIR Rha

3

Clusir RhôneAlpes Club SSI le 20 novembre 2013

I Préambule : Est-ce un problème ?

•Ce n’est pas une surprise… (ou cela ne devrait pas l’être)Soupçons de compromission de Windows depuis 1999(_NSAKEY) •Le souci principal estl’espionnage économique etla protection des données personnelles Ex : au nom de la lutte contre le terrorisme, la NSA récupère les données personnelles que vous protégez La NSA ne va pas sous-traiter à la criminalité russe ou nigérienne •Cela va dépendre dupérimètre d’activité(régalien, défense, international…), et de lasurface d’exposition •Il est aujourd’hui impossible de plaider l’ignorance

CLUSIF / CLUSIR Rha

Clusir RhôneAlpes Club SSI le 20 novembre 2013 IIRecommandationsfonctionnelles

•Comment savoir si l’on estconcerné: Entreprise purement locale ou régionale => est-ce un problème si les Five Eyes lisent la correspondance ?L’adversaire est la criminalité / la concurrence locale : grande entreprise, brevets, filiales àEnvergure internationale l’étranger, PME de niches => c’est un problème, car Five Eyes constituent un adversaire potentiel Réaliser, sice n’est déjà fait, une analyse de risque sur son périmètre fonctionnel Les atouts de l’entreprise justifient-ils l’espionnage ?

CLUSIF / CLUSIR Rha

Titre de l'atelier

5

Clusir RhôneAlpes Club SSI le 20 novembre 2013 Recommandationsfonctionnelles

•Surface d’exposition : urbanisation et schémas réseaux

CLUSIF / CLUSIR Rha

6

Clusir RhôneAlpes Club SSI le 20 novembre 2013

Recommandationsfonctionnelles

•Urbanisation ou architecture et schéma réseau – facteurs de risque particuliers: Yahoo,groupes anglo saxons (Google,Exposition aux grands Apple, Microsoft, Amazon…) Données ou traitements transitantou étant hébergés par les Five Eyes (cloud, Office 365) Outils commerciaux desécurité ou cryptographiques sur étagère et non validés par l’ANSSI.

CLUSIF / CLUSIR Rha

Titre de l'atelier

7

Clusir RhôneAlpes Club SSI, le 20/04/2011

III Recommandations institutionnelles

CLUSIF / CLUSIR Rha

Titre de l'atelier

8

Clusir RhôneAlpes Club SSI le 20 novembre 2013 Recommandations institutionnelles l’ANSSI •Recommandations techniques et fonctionnelles Guide de l’hygiène informatique Produits et prestataires certifiés Vulnérabilités et 0-days  RGS…

CLUSIF / CLUSIR Rha

Titre de l'atelier

9

Clusir RhôneAlpes Club SSI le 20 novembre 2013 IVRecommandationstechniques

•Privilégier l’open source car : Codeauditable=> une backdoor est plus facilement détectable Codepersonnalisable=> personnalisation des implémentations, qui auront moins de chance d’être connues ou détectables, ce qui complique la tâche de l’attaquant N’estpas une cible traditionnelle d’approche des services américains => peu voire aucune révélation sur des outils open source Exemple : Gendarmerie avec 70 000 postes sous Ubuntu •Aux conditions suivantes : Outilsgrand public et audités(ex LibreOffice, Thunderbird) : une backdoor a plus de chances d’être détectée par la communauté, et interopérable(différence entre TLS et BitLocker) Développements personnalisés doivent être faits dans les règles de l’art.

CLUSIF / CLUSIR Rha

Titre de l'atelier

10

Clusir RhôneAlpes Club SSI le 20 novembre 2013 Recommandations techniques /Bruce Schneier Edward Snowden

•"The NSA deals with any encrypted data it encounters more by subverting the underlying cryptography than by leveraging any secret mathematical breakthroughs […]” •"Encryption works. Properly implemented strong crypto systems are one of the few things that you can rely on.“ •"Unfortunately, endpoint security is so terrifically weak that NSA can frequently find ways around it."

CLUSIF / CLUSIR Rha

Titre de l'atelier

11