Annexes
1) Failles de sécurité
a) Les failles connues
Lorsque l’on parle de sécurité du cloud, il est évident que des problématiques de sécurité au niveau de la virtualisation doivent être abordées.
La sécurité dans le monde de la virtualisation doit être assurée autant que dans les infrastructures matérielles. La « sensation de virtuel » peut nous faire oublier certaines problématiques qu’on aurait en temps normal.
Prenons un cas concret : la solution VMware.
Voici un extrait de la présentation « La virtualisation : des failles biens réelles ou virtuelles » de David Girard, Expert conseil sécurité BPR-TIC :
- 1. Attaques sur l’infrastructure de gestion (XSS, DoS, etc).
- 2. Attaques sur les machines virtuelles (une VM ou de ou VM à VM «VM hopping ».
- 3. Side channel attack. L’hyperviseur envoi des informations à une VM qui expose des secrets à une autre VM. Survient si le réseau virtuel est mal configuré : promiscues mode enabled.
- 4. Attaques sur le réseau virtuel.
- 5. Sabotage de la part de l’administrateur de l’infrastructure virtuelle.
- 6. Attaque sur les fichiers de logs. Log Abuse. DoS.
- 7. Fausses mises à jour.
- 8. Exploiter des VM ou des vSwitch mal isolées.
- 9. Attaquer la console.
La virtualisation : des failles biens réelles ou virtuelles de David Girard (Source)
Un des principaux défis du cloud est de garantir la sécurité et l’intégrité des données. En effet, des données mal sécurisées peuvent être interceptées durant leurs transmissions vers le nuage. Mais des données piratées au sein même du cloud seraient également un grand danger pour certaines entreprises qui utiliseraient des données confidentielles. Nul n’est à l’abri d’attaques virales.
Nous pouvons prendre exemple sur Amazon Web Services (AWS) qui a eu deux problèmes de ce type. Le premier a été Zeus. Un hacker avait réussi à introduire un cheval de Troie du nom de Zeus sur le cloud. Ce cheval de Troie est spécialisé dans le vol de données sensibles (données bancaires, mots de passe, etc..). Ayant piraté un site web hébergé par Amazon pour pénétrer son infrastructure, il a réussi à héberger et faire tourner le module de commande centrale du « cheval de Troie » Zeus.
b) Les failles les plus récentes
Mais le cloud a plus récemment connu d’autres problèmes de sécurité. Nombreuses ont été les failles ces derniers mois et nous verrons que les causes de problèmes de sécurité au niveau du cloud peuvent provenir de diverses raisons.
Ainsi, au mois de février dernier, la solution « SaaS for Total Protection » de McAfee, censée lutter contre les malwares, a présenté une faille qui transformait les PC en relais de spam. Cette faille a été repérée par des utilisateurs dont les adresses mails ont été bloquées par leur F.A.I après détection d’envoi massif de mail.
C’est aussi au mois de février dernier que l’on a pu entendre parler d’une faille sur la plateforme de téléchargement d’Apple : iTunes. Un forum de consommateurs recenserait 71 pages de plaintes pour cette faille, qui serait présente et toujours pas corrigée depuis près d’un an. Des comptes iTunes ont ainsi été piratés et des comptes PayPal ont été débités à tort, pour des montants souvent faibles, mais pouvant tout de même atteindre 500$.
Mais la faille ayant incontestablement fait le plus parler d’elle ces derniers temps est la panne du cloud de Microsoft. En effet, le 29 février 2012, Azure a subit une panne mondiale pendant de nombreuses heures. Cette panne a touché pas moins de 4% des utilisateurs de ce cloud, principalement en Amérique du nord et en Europe. Il a d’abord été annoncé que la panne provenait d’une mauvaise gestion de la date pour les années bissextiles. Nous avons appris par la suite que la panne provenait d’un problème d’expiration des certificats de sécurité dans les machines virtuelles. En effet, à chaque redémarrage d’une machine virtuelle, un certificat d’un an est émis à partir de la date actuelle. Or, l’ajout d’une année au 29 février 2012 a fait désordre car il n’y a pas de 29 février 2013. Un correctif a été évidemment déployé très rapidement afin de corriger le problème. Cela aura été néfaste pour le cloud de Microsoft qui peine à s’implanter.
2) Le cloud computing : générateur d’emploi dans le monde
Figure 18 : Création d'emploi dans le cloud (Source)
![Figure 18](img/cloudjob.jpg)