II - La sécurité
3) Les solutions de sécurité du cloud et de la virtualisation
a) Les solutions de sécurité : outils non techniques
Sans entrer dans un premier temps dans les aspects techniques, nous allons lister les problèmes importants et leur résolution en termes de sécurité des données, afin de limiter les risques. Voici ce que le client et le provider devraient prendre en compte et ce sur quoi ils devraient s’engager :
Les entreprises clientes doivent considérer les points suivants :
Quels types d’informations sont accessibles dans le cloud ? Qui peut y accéder et comment sont-elles isolées des éléments non sécurisés ? Qui dispose de droits pour envoyer et recevoir des données sensibles en dehors du périmètre de l’entreprise ? Quelles sont les données qui ne doivent pas sortir de l’entreprise ? Comment les données sensibles doivent-elles être envoyées ? En clair ou en cryptant certaines d’entre elles ?
Le fournisseur devrait formaliser avec le client les procédures de réponse aux incidents :
Réaliser des enquêtes dès qu’une violation a eu lieu, atténuer une violation et y remédier, aviser rapidement le client (dans des temps convenus), fournir des rapports écrits et faire régulièrement le point sur l’incident, conserver certaines informations qui pourraient être pertinentes (logs, documents de planning, journal d’audits, enregistrements et rapports, etc.) et documenter les mesures correctives.
En ce qui concerne l’obligation de préserver les données :
Le client devrait également essayer d’obtenir le droit d’effectuer ses propres enquêtes judiciaires et procédures de préservation sur les systèmes du fournisseur.
En ce qui concerne les droits d’expertise judiciaire :
Il peut y avoir des limites relatives aux fournisseurs de cloud tiers, ainsi, il faudrait limiter le recours à un fournisseur tiers pour le stockage de ses données et obliger le fournisseur à au moins avertir son client en cas de transfert vers un fournisseur tiers. Ou alors, obliger le fournisseur principal à appliquer les mêmes mesures vis-à-vis de ses fournisseurs tiers que ses clients.
En ce qui concerne les risques de pertes suite à une violation de données :
Il faudrait préciser dans le contrat qui devra assumer la perte. Les clients devraient négocier des modalités contractuelles qui transfèrent ce risque de perte au fournisseur de cloud victime de la violation. Il faut préciser des clauses d’indemnisation (frais divers, avocat, etc…), des clauses de limitation de responsabilité côté fournisseur (peut être utilisé pour faire valoir une rupture de contrat). Les fournisseurs proposent des assurances.
En ce qui concerne la question des employés :
Les frontières de l’entreprise n’existent plus (mobiles, tablettes, Facebook, etc…), la sécurité passe de plus en plus par les employés (75% des incidents de sécurité ont une origine interne et humaine). Le travail se poursuit au domicile, où les conditions ne sont pas les mêmes. Il faut considérer une approche globale de la sécurité (Sécurité 2.0). Ainsi, l’employé n’est plus la source des problèmes mais une composante indispensable d’une politique de sécurité efficace (sécurité collective).
Pour résumer, il faut penser à la viabilité du contrat, à l’auditabilité des procédures de sécurité et à la transparence des informations.
Cela en plus des aspects techniques à prendre en compte pour le stockage, la sauvegarde, l’intégrité et la restauration des données car du point de vue technique, la protection des données, c’est :
- La classification et la gestion des droits à la création
- Le transfert : réseaux privés/chiffrement/authentification forte
- Le stockage : contrôle d’accès/gestion des droits/chiffrement
- L’utilisation : contrôle logique/suivi des activités
- L’archivage : chiffrement/ gestion des biens
- La destruction : effacement sécurisé
b) Les solutions de sécurité : outils techniques
Politique d’authentification
Aspect essentiel dans la protection des données, des solutions d’authentification sécurisée sont proposées sur le marché.
Intel Cloud SSO (Single Sign-On) est une solution pour automatiser l’accès aux services dans le cloud en mode SaaS. Ce service permet à la fois de s’authentifier pour accéder à un service cloud, mais permet aussi de gérer les autorisations. L’éditeur de logiciel ILEX propose Sign&go 5.0 et implémente le standard OAuth 2.0 dans une solution IAM (Identity and Access Management) qui permet d’unifier les modes d’authentification. Google a renforcé la sécurité de ses services hébergés avec l'authentification basée sur les certificats. Ainsi, la requête d’une application Web au service Google Cloud Storage pourra par exemple être authentifiée par un certificat au lieu d’une clé partagée.
Politique de pare-feu et de détection des intrusions
De nombreuses organisations désirent un cloud intelligent qui détecte les menaces de manière autonome. L’armée américaine par exemple cherche à définir des modèles de fonctionnement normal de son cloud. Ainsi, si un évènement arrive et qu’il ne correspond pas à un des modèles connus, alors il s’agit probablement d’une attaque. Il existe plusieurs solutions pour bloquer les intrusions avec des politiques de pare-feu et de détection.
Ainsi, Barracuda Networks NG Firewall propose un pare-feu et une interface pour gérer les politiques de sécurité de l’infrastructure réseau (Internet, WAN). Cisco présente un pare-feu contextuel avec sa plate-forme ASA SecureX ayant des fonctionnalités de contrôle d’accès, de filtrage réseau et de prise en charge des environnements virtuels. Dell a également renforcé sa position sur le segment de la sécurité IT adressée aux PME (pare-feu, gestion unifiée des menaces…) en rachetant SonicWall ce qui renforce ses offres SecureWorks, solutions cloud et chiffrement des données, ainsi que la gamme Kace (gestion des vulnérabilités et gestion des correctifs). Le SaaS MetaFlows Security System propose une plateforme pour unifier la sécurité réseau avec un système de détection des intrusions, la surveillance du trafic sur le réseau, des historiques. La startup propose également un forfait pour la mise en place d'un client « honeypot » qui agit comme un leurre pour les menaces (détection et analyse).
Protection des infrastructures virtuelles
La sécurité des environnements virtuels est primordiale : les attaques sont nombreuses sur les instances de Machines Virtuelles (application, système d’exploitation). La signature future de VM identifiable par un catalogue de VM de l’entreprise (pour ne pas se les faire voler) pourrait constituer une bonne solution. En attendant, plusieurs solutions sont proposées sur le marché :
Symantec Corp. s’est associé à VMware pour proposer des solutions de protection des infrastructures virtuelles basées sur VMware (VMware Cloud Infrastructure). L’objectif est de recentrer la sécurisation de l’information quel que soit l’environnement de travail, qu’il soit physique ou virtuel. La plate-forme Symantec O3 fournit plusieurs couches de sécurité pour le cloud (contrôle d’accès, protection des identités). Trend Micro propose Deep Security 8.0, une plate-forme de sécurité pour le datacenter avec des modules de protection pour les environnements physiques, virtuels et cloud (surveillance de l'intégrité des fichiers), adressé au PME. Dell a amélioré la sécurité de son cloud public avec Trend Micro SecureCloud Solutions (services de cryptage de données pour le cloud Dell avec VMware vCloud Datacenter Service). CloudPassage améliore la sécurité des serveurs élastiques dans le cloud avec une nouvelle version de ses outils de sécurité SaaS Halo appelée NetSec. L'idée est de sécuriser l'image de base et que celle-ci s'adapte automatiquement, donc de manière élastique lorsque le nombre d'instance augmente ou diminue.
Protection de la messagerie
Dans les entreprises, la messagerie est souvent l’un des premiers éléments externalisés dans le cloud. Néanmoins, les informations circulant dans les mails sont loin d’être anodines, c’est pourquoi des solutions de sécurité de messagerie sont proposées :
Vade Retro propose une solution de sécurité de messagerie dans le cloud qui permet de définir une politique de sécurité pour les fournisseurs de services de messagerie (filtrage des mails, outils de gestion, de reporting…). OpenText Managed File Transfer est une solution pour gérer les échanges de fichiers volumineux de l'entreprise de manière sécurisée. Elle s'intègre à Microsoft Outlook et simplifie les questions liées à la taille des pièces jointes. Elle fournit une plate-forme pour l'échange sécurisé et la vérification de tous contenus numériques, y compris les informations sensibles liées à la propriété intellectuelle, entre les collaborateurs, les partenaires et les clients.
Les autres offres de sécurité dans le cloud
- In-Webo et InterCloud propose une offre conjointe de sécurisation des accès au cloud computing.
- BitDefender propose deux solutions : Cloud Security for Endpoints et Security for Virtualized Environments (SVE) et se positionne également avec un service de sécurité en mode SaaS.
- La firme eNovance présente une solution de sécurisation multi-cloud.
- Après Google Bouncer et sa solution de scan de logiciels malveillants sur Android Market, Micro Trend propose aussi une solution cloud appelée Mobile App Reputation permettant d’analyser les applications mobiles fonctionnant sous Android et Symbian.
- PerspecSys Inc propose PerspecSys PRS Adapter pour Oracle CRM On Demand. Cet adaptateur permet d'assurer une solution de protection des données dans le cloud.
c) Les solutions de sécurité au niveau « hyperviseur »
Les attaques sur les hyperviseurs se sont développées, ceux-ci présentent donc des solutions de sécurité. Nous rappelons ci-dessous les caractéristiques sur l’aspect sécurité du dernier hyperviseur de Microsoft : Hyper-V3.
Sur l’aspect sécurité, Hyper-V3 intègre un switch virtuel Microsoft avec un firewall intégré en analogie avec la solution v-Shield de VMware. Une fonction de sécurité au niveau DHCP existe également, pour se prévenir des utilisateurs malveillants.
Fonctionnalités disponibles :
- Protection contre l’usurpation d’adresse MAC via filtrage des annonces Address Resolution Protocol (ARP).
- Protection contre la mise en œuvre du service DHCP via filtrage des annonces Dynamic Host Configuration Protocol (DHCP).
- Protection contre la modification des tables de routage via filtrage des annonces de routeurs (RIP, RIPv2).
- Surveillance (monitoring) du trafic au niveau du port utilisé par une machine virtuelle.
- Administration simplifiée avec PowerShell et WMI.
- La sécurité « snapshot » permet de réaliser chaque jour une image pour la sauvegarde : en cas de plantage, il est facile de revenir sur une version antérieure et stable.
d) Les solutions de sauvegarde, back-up, restauration
De nombreuses entreprises et de nombreux particuliers utilisent des solutions de stockage cloud tels que MegaUpload, OVH, Amazon, Apple... Cependant, en cas d’arrêt voir de fermeture brutale comme MegaUpload, la question est de savoir comment récupérer ses données. Pour faire face à ces problèmes, il est essentiel de classer les données externalisables des données indispensables, confidentielles, nominatives et sensibles. En effet, il faut être extrêmement vigilant avec la deuxième catégorie de données pour la reprise de l’activité en cas d’arrêt ou de fermeture brutale d’un fournisseur de stockage cloud. Pour cela, des moyens existent comme la copie et la sauvegarde régulière de ces données importantes.
La sauvegarde des données dans un but de back-up et de restauration constitue un point essentiel car si le back-up ne constitue pas une protection en amont, il permet une copie de sauvegarde des données pour en assurer la pérennité. Ainsi le back-up constitue le dernier recours en cas de perte de données dans le cloud. Le choix de la solution est important de par plusieurs critères (fiabilité, accessibilité, rapidité, sécurité, problématique de stockage…).
En effet, de nombreuses solutions sont proposées sur le marché, néanmoins les offres diffèrent en s’adressant généralement à des cibles différentes : si Dropbox permet à un particulier de sauvegarder ses fichiers dans le cloud, les PME se tourneront vers des solutions de sauvegarde qui leur sont adressées : Western Digital a par exemple annoncé que tous ses clients utilisateurs du WD Sentinel DX4000 (destiné aux PME) pourraient accéder gratuitement à un service de stockage dédié hors site. De même, la solution de sauvegarde et restauration de Quest Software, NetVault Backup Capacity Edition s’adresse aux PME en se voulant hétérogène et multiplateforme, tant sur les environnements physiques que virtuels. De même, Symantec Corp. présente les solutions de sauvegarde Symantec NetBackup 7.5 et Backup Exec 2012 qui intègrent un support pour le stockage dans le cloud proposé par AT&T, Amazon Web Services et Rackspace et qui fournissent la possibilité d'effectuer des sauvegardes de machines virtuelles Microsoft et VMware et de restaurer des VM corrompues à partir de ces sauvegardes (bare-metal). Il faut également regarder du côté d’IBM et de son logiciel Tivoli (application de gestion de stockage, sauvegarde et restauration destinée aux entreprises) qui présente des avantages au niveau de la réduction du temps d’allocation des ressources.
e) Les solution futures de cryptage et de chiffrement
Des recherches actuelles permettront sans doute d’utiliser des données cryptées avec des applications dans le cloud. En effet, aujourd’hui, les données doivent être en clair pour pouvoir être utilisée par des applications sur le cloud. Si les données sont chiffrées, le résultat sera lui aussi chiffré (exemple d’une requête SQL qui retournera un résultat chiffré). L’utilisation d’une clé n’est pas possible ici, car sinon, elle sera publiée sur Internet (Figure 15).
Figure 15 : Principe de chiffrement sans clé
![Figure 15](fig15.png)
On peut stocker ou archiver des données cryptées, mais une application cloud ne peut pas travailler sur des données cryptées. Les recherches pour remédier à ce problème ont mené à essayer de mettre en place une solution pour utiliser des données cryptées malgré tout (Cf. les recherches de Craig Gentry). La méthode consiste à mettre en place un algorithme totalement homomorphique. Ce dernier fonctionne pour des opérations d’additions : il va à présent falloir faire en sorte de pouvoir appliquer l’algorithme à des opérations de multiplication. Les plus avancées dans ces recherches sont les chercheurs de l’ENS Lyon, et une partie de leur travail va aussi consister à améliorer la complexité de l’algorithme qui est un réel problème lorsque la clé devient très grande. Ces recherches pourraient constituer l’avenir de la sécurité du cloud computing.
Figure 16 : Fonctionnement cloud sur des données chiffrées sans clé de sécurité
![Figure 16](fig16.png)
On peut donc voir que l’algorithme d’analyse (Figure 16) va pouvoir donner la possibilité aux applications de travailler sur les données chiffrées.
f) Les autres approches
On voit apparaitre aujourd’hui des cloud spécifiques à des besoins fonctionnels comme le cloud d’archivage ou le cloud poste de travail avec donc pour chacun, une sécurité adaptée à leurs fonctions. Il faut donc penser à une approche de sécurité adaptée en fonction du service cloud également comme par exemple l’IaaS avec une gestion de sécurité de l’infrastructure et des identités forte ou encore le PaaS centrée sur l’application et ses données.
Les considérations à prendre en compte pour adopter une solution de sécurité sont donc nombreuses et complexes. Ce qui est sûr, c’est que cloud a permis de faire évoluer la sécurité dans de multiples domaines comme l’évolution de la gestion des logs, la « fédération d’identité » et le « multiple login ».