L'utilisation seule de la cryptographie (chiffrement) pour protéger des accès ou des systèmes a déjà montré ses limites, avec le piratage spectaculaire de certaines forteresses informatiques. La sécurité par l'obésité permettra-t-elle de limiter les dégâts ?

"Le temps est venu pour les professionnels de la sécurité de trouver d’autres méthodes que la cryptographie pour protéger leurs données sensibles". Cette déclaration de Adi Shamir, célèbre cryptologue à l'origine de l'algorithme de chiffrement le plus utilisé au monde (RSA), a créé la surprise lors de la dernière RSA Conference de San Francisco. Elle révèle en effet un tournant important dans le domaine de la sécurité informatique : sécuriser les accès n'est plus suffisant, il faut désormais développer des dispositifs qui gèrent l'intrusion.

On apprend tous les jours qu'un système sécurisé a été compromis, notamment du fait des techniques de contournement des sécurités cryptographiques, de plus en plus performantes, grâce à des logiciels de cracking plus évolués, et des capacités de calcul croissantes. Il faut donc se faire à l'idée qu'on puisse être attaqué en permanence, et réussir à gérer l'intrusion, au lieu de vouloir l'éviter à tout prix.

Engraisser les données pour les sécuriser ?

Adi Shamir évoque alors la possibilité de rendre les données confidentielles beaucoup plus volumineuses : un fichier de 200 Ko pourrait par exemple faire 200 Go. Cela permettrait non seulement de ralentir les fuites de données, mais également de repérer celles-ci beaucoup plus rapidement. C'est ce que le chercheur en sécurité François Pesce (Qualys) appelle la "sécurité par l'obésité".

Dépasser la seule cryptographie est une idée qui commence à germer ces temps-ci : en 2009, des chercheurs de l'Université de Georges Masson avaient ainsi inventé un système capable de se ré-installer automatiquement toutes les minutes, supprimant au passage les éventuels codes malveillants qui se seraient infiltrés.

On notera également les derniers efforts en matière de stéganographie, où l'intérêt ne réside pas dans une sophistication de la sécurité (que l'on retrouve en cryptographie), mais dans la dissimulation : un document important peut par exemple être "rangé" dans un flot de documents superficiels, voire même dans le code d'une image JPEG anodine !

En résumé, gérer l'intrusion devient aussi important que de l'empêcher. La cryptographie sera donc probablement amenée à être complétée par de nouveaux dispositifs de sécurité, mais restera a priori incontournable, notamment lors des processus d'identification.

 

Source : magazine.qualys.fr

Image : Flickr / HeyGabe / CC BY-NC-SA 2.0