L'intégration de fonction de cryptage en interne des disques durs et autres support amovibles est un sujet en pleine ébullition. Est-ce une solution à tous les problèmes ?
- Surement pour les disques dur non effacés vendus aux enchères sur des sites comme eBay ou les clefs USB perdues dans d'obscurs parkings.
- Moins pour des scénarios plus "atypiques" impliquant des officines spécialisées dans l'espionnage économique ou les activités relevant de gouvernements.
Même dans les deux cas, le maillon faible est celui qui possède les clefs du sésame : Le fameux mot de passe permettant d'accéder aux données. Quand on connait la tendance des personnes à choisir des mots de passe simple.... on peut se dire que tout cela n'est peut-être que de la poudre aux yeux... Ce qui n'est pas pour déplaire à certains acteurs car le marché est bien présent.
Souhaitant rester transparent avec nos lecteurs, voici le petit "comic" (du site xkcd.com) qui est à la source d'inspiration de ce bulletin ; il illustre d'ailleurs bien la situation, avec un petit brin de sarcasme comme on l'aime parfois !
Le chiffrement des disques durs évite de compromettre des informations lors d'un vol ou de la perte d'un ordinateur portable. Si l'attaquant est motivé il peut très bien piéger le système et le remettre en place. Puis voler le portable avec le mot de passe qui va bien grâce à un keylogger minipci (http://www.mobilewhack.com/worlds-first-mini-pci-laptop-hardware-keylogger/).
Ou alors il est possible de voler l'ordinateur allumé et d'en prendre le contrôle par firewire...
La morale ne serait-elle pas : Plus on sécurise un ordinateur, plus fort il faut taper sur le propriétaire ?
Finalement je vais peut-être retirer le chiffrement de mon ordinateur :)
Effectivement, proposer un chiffrement de disque dur afin d'assurer la confidentialité des données de l'entreprise est très en vogue. Cependant à l'instar du mot de passe BIOS puis le mot de passe ATA les éditeurs de ce type de solution mettent toujours une parade pour outrepasser leur propre sécurité.
Un petit exemple:
http://sansforensics.wordpress.com/2009/02/10/when-encountering-safeguard-easy%E2%80%99s-boot-time-authentication-lockout%E2%80%A6/
Petite remarque sur le commentaire précédent qui n'est pas pertinent :
Le lien n'indique pas comment contourner le chiffrement, mais comment ne pas avoir à attendre un délai entre chaque tentative.
Pour avoir expérimenté Utimaco il est vrai que le délai double à chaque tentative et lors d'une erreur de manipulation il est vite fait de se tromper plusieurs fois de login/password et de devoir attendre quelques minutes pour tester un nouveau mot de passe.
Il existe une technique similaire sur Truecrypt qui consiste à faire une image du disque, de modifier le mbr truecrypt et de lancer un bruteforce dans qemu...
Safeboot aussi a un rescue disk. Il faut lui ajouter un fichier stocké sur le serveur central contenant la clé de l'utilisateur (protégée) et encore une fois taper le mot de passe de l'utilisateur pour pouvoir débloquer la clé de chiffrement et ainsi récupérer les données.
La vraie méthode de "contournement" est le système de challenge/response mis en place pour dépanner les utilisateurs qui ont oublié leur mot de passe ou perdu leur smartcard. Cela sert aussi à un administrateur pour dépanner le poste de travail sans la présence de l'utilisateur. Cette méthode se base sur le sécurité du serveur central et l'authentification de l'utilisateur demandant à se faire dépanner. Pour cela les éditeurs préconisent de remplir un formulaire qui contiendra 10 questions personnelles et 5 d'entre-elles seront posées pour authentifier l'utilisateur.
Dans la série "on est des boulets mais on le cherche" ...
Round 1 : En gros un gars c'est fait prendre une fois la main dans le sac avec des images pédophiles. Il dit que ce sont les policiers qui ont mis les images sur l'ordinateur.
--> libéré...
Round 2 : Il a dû être surveillé à la suite. Il chiffre maintenant son disque dur. La police débarque et regarde le contenu du disque. "C'est bon il est cuit. Mais pour pas ce faire avoir encore on éteint l'ordinateur." Pouf le disque est chiffré et il faut la passphrase...
--> boulette...
Round 3 : Le juge lui demande la clé, mais sans résultat. Cela reviendrait à s'auto-incriminer... Un vrai paradoxe.
--> Méga-boulette !
Round 4 : Solution différente. La personne a été surveillée, elle a des fichiers pédophiles dans son disque chiffré dont lui seul connaît la passphrase et l'ordinateur lui appartient. Résultat : lui seul a pu télécharger les fichiers pour les mettre sur le disque chiffré.
--> Allez en prison, ne passez pas par la case déchiffrement.
Et un de plus : Cette fois c'est un Français (EIFFAGE BTP) à qui des PC portables ont été dérobés... et qui contenaient les plans d'une nouvelle prison en construction...
A quand une réglementation ?
LeMondeInformatique.fr, Vol de données sensibles : Eiffage préfère rester coi, 11 Mars 2009
http://www.lemondeinformatique.fr/actualites/lire-vol-de-donnees-sensibles-eiffage-prefere-rester-coi-28230.html