LES REGLES ELEMENTAIRES DE SECURITE OBJETS NOMADES COMMUNICANTS. CNRS RSSIC version 1.0 du 20 décembre ASR

Transcription

1 LES REGLES ELEMENTAIRES DE SECURITE OBJETS NOMADES COMMUNICANTS CNRS RSSIC version 1.0 du 20 décembre ASR Nous utilisons de plus en plus d objets nomades communicants - téléphones intelligents, tablettes, etc. pour accéder à des services via Internet. Ces objets nomades doivent être considérés comme des ordinateurs à part entière. Par conséquent leur usage en milieu professionnel ne doit pas remettre en cause, et affaiblir, les politiques de sécurité en vigueur dans les établissements. Les personnels souhaitant faire l'acquisition de tels matériels doivent préalablement prendre conseil auprès de leur service informatique. Les données manipulées sur ce type d objets sont, la plupart du temps, des données personnelles mais également des données professionnelles sensibles (par exemple courrier électronique). Le directeur d unité est responsable de la sécurité des systèmes d information de son unité, il a la responsabilité de faire connaitre et de faire appliquer les règlements de sécurité (politiques de sécurité, chartes, règles) promulgués par les tutelles dont il dépend. Il est essentiel que les règles élémentaires de sécurité pour les objets nomades communicants soient connues et mises en œuvre par l équipe informatique et les utilisateurs, elles reposent sur : La connaissance des précautions à prendre pour limiter les possibilités de vol ou de perte La protection des données contre le vol ou la perte La protection contre les codes malveillants La protection contre la fuite de données sur le réseau L engagement de l utilisateur à respecter ces règles élémentaires de sécurité est une des conditions requises pour lui donner accès aux systèmes d information messagerie, agenda, etc. - hébergés sur le réseau local de l unité. Cet engagement concerne tout objet nomade communicant autorisé à accéder au réseau local de l unité, même si il appartient à l utilisateur. Ces règles élémentaires de sécurité pour les objets nomades communicants à l attention des utilisateurs sont détaillées dans ce document. Ce document détaille également dans la partie «Annexe technique» les différentes possibilités de mise en œuvre en fonction des outils employés. *contacter votre informaticien ou celui de la DR / de l université 1

2 REGLES 1. La connaissance des précautions à prendre pour limiter les possibilités de vol ou de perte Les objets nomades communicants peuvent être facilement perdus ou volés, les vols surviennent souvent dans les transports mais également au bureau. Au bureau o Ne laissez pas votre SmartPhone ou Tablette en vue o Fermez à clé la porte de votre bureau Dans les transports o N oubliez pas votre matériel nombre de disparitions résultent d un simple oubli o Ne laissez pas votre matériel en vue (dans une voiture, dans un train, etc.) o Ne laissez pas votre matériel sans surveillance (en particulier dans les trains) o Mettez un signe distinctif sur l appareil et sa housse pour le surveiller plus facilement et évitez les échanges volontaires ou involontaires (à l aéroport par exemple) o Utilisez éventuellement une dragonne Lors de déplacements à l étranger o Prenez en compte les conseils suivants : informatique.gouv.fr/img/pdf/passeport-de-conseils-aux-voyageurs_janvier pdf o Faites attention lors des contrôles de sécurité dans les aéroports, contrairement à ce que l on pourrait penser ce n est pas un lieu sûr en ce qui concerne le vol d objets Dans tous les lieux publics o Evitez d utiliser votre matériel sans s assurer de ne pas être observé. Il peut tenter des voleurs opportunistes. En particulier masquez la frappe du code ou mot de passe qui permet de déverrouiller l appareil. 2. La protection des données contre le vol ou la perte* Avant tout, il faut s interdire de manipuler des informations sensibles via un service en ligne dont le fournisseur n'est pas le CNRS ou un de ses partenaires institutionnels (on n a aucune maîtrise ni garantie de confidentialité sur les informations stockées dans un cloud public de type icloud, SkyDrive, Google Drive, Gmail, Office 365, Google Apps, Amazon Elastic Compute Cloud, etc.). Le paramétrage du terminal mobile permet de limiter les possibilités de vol de données lorsque celuici est entre les mains d une personne malveillante : Verrouillage et chiffrement terminal mobile: o Configurez votre terminal pour qu il se verrouille après 5 minutes d'inactivité avec activation par un mot de passe (cela évite qu en cas de perte ou de vol, l appareil puisse être utilisé immédiatement) o Activez l effacement automatique après un certain nombre de tentatives infructueuses pour entrer le mot de passe (l attaquant devra utiliser des techniques élaborées avec accès direct au matériel pour passer outre) o Utilisez un mot de passe dont la robustesse est fonction de la sensibilité des données que vous manipulez. Les mots de passe dont la taille est inférieure à 5 chiffres sous iphone et 6 caractères alphanumériques sous Androïd peuvent être *contacter votre informaticien ou celui de la DR / de l université 2

3 cassés par les pirates en moins d une heure Pour la sécurisation de données sensibles il est recommandé d utiliser un mot de passe sur 8 chiffres sur un iphone, 8 caractères au minimum sous Androïd. o Protégez votre mot de passe, évitez d utiliser votre matériel dans un lieu public sans vous assurer que vous n êtes pas observé. En particulier masquez la frappe du code ou du mot de passe qui permet de déverrouiller l appareil. Il ne faut jamais consulter, stocker, traiter sur un objet nomade des informations de sensibilité élevée dans un lieu public sans s assurer que l on n est pas observé. o Activez le chiffrement des données : configurez votre matériel pour chiffrer la mémoire permanente incluse dans l appareil ainsi que les éventuelles mémoires additionnelles. Blocage et effacement à distance en cas de vol o Lorsque cela est possible, activez la possibilité d effacement à distance des données de votre terminal mobile. Mais attention, n utilisez que les procédures et outils maîtrisés et fournis par votre support informatique. Les outils fournis par les opérateurs et/ou les éditeurs ou d autres tierces parties Icloud, GoogleApps, etc. ne sont pas sûrs, ils vous géo-localisent, stockent d autres informations personnelles qui vous concernent et certains de ces outils peuvent même récupérer toutes les informations que vous traitez sur votre terminal). Cette protection sera de peu de secours face à un attaquant un tant soit peu déterminé qui souhaite récupérer vos données, il ne se connectera pas à un réseau Wifi, il ôtera la carte SIM. La «messagerie unifiée» fournie par la DSI du CNRS permet de commander l effacement à distance de façon native (*). Cette commande est traitée lorsque le client se connecte au serveur. Ainsi, tant que l objet n a pas été mis en réseau et qu une connexion à la messagerie n a pas été effectuée, tous les messages stockés dans le cache de l appareil restent disponibles et accessibles au voleur. Ainsi, si vos données sont très sensibles il convient d inactiver ce cache ou de le limiter au minimum. o Notez les identifiants qui permettront le blocage des communications 3G de votre terminal mobile et conservez-les séparément. Pour les Smartphones et Tablettes 3G, noter le numéro de téléphone, N de la carte SIM et N de code IMEI (International Mobile Equipment Identity), c est un numéro unique attribué à chaque mobile qui est composé de 15 à 17 chiffres. L opérateur peut identifier un appareil qui tente de se connecter à son réseau et l autoriser ou non. Le code IMEI sert en cas de vol à bloquer l usage du mobile et aucune autre SIM ne pourra être insérée. Il sert aussi lors de la procédure du déblocage de votre mobile. Effacement des données avant un échange de matériel. Avant un échange de matériel changement de poste, utilisation d un nouveau modèle, etc. il convient de réaliser une remise à zéro complète du matériel pour le faire revenir à son état de sortie d usine, éventuellement reformater le disque, etc. Sauvegarde des données. C est le seul moyen de récupérer toutes les informations en cas de panne, perte ou vol, mais aussi avant un échange de matériel. Si l utilisation est limitée à la messagerie et agenda en théorie les données sont stockées sur le serveur (*). Effectuez des sauvegardes en environnement sûr (poste de travail maîtrisé) et chiffrez ces sauvegardes. *contacter votre informaticien ou celui de la DR / de l université 3

4 3. Protection contre les codes malveillants * Au quotidien des dizaines de failles sont découvertes dans les systèmes (Windows, ios, Androïd) et logiciels (applications présentes et téléchargées depuis les plates-formes «stores» des éditeurs) qui équipent l objet nomade communicant, ces failles sont très rapidement exploitées par des virus ou par des kits que mettent en ligne les pirates les plus expérimentés : Ne cassez pas la protection du constructeur (jailbreaking). Cette pratique introduit de nouvelles vulnérabilités (plus aucun contrôle sur l origine des applications téléchargées, portes dérobées installées avec l outil de jailbreak, possibilité de récupération des informations stockées sans avoir à connaître le mot de passe). Effectuez les mises à jour. Effectuez les mises à jour avec les correctifs de sécurité fournis par le constructeur / éditeur. Il s agit de se protéger des failles connues. Il faut noter que selon les plateformes, les vendeurs de matériels, les opérateurs téléphoniques ces mises à jour sont plus ou moins faciles voire impossibles à effectuer. Limitez le chargement d applications et limitez leur permissions : il est possible de charger des applications fournies sur la plate-forme - «store» - de l éditeur, mais il faut être vigilant vis-à-vis des applications que l on installe. Il convient de vérifier leur réputation et ne les télécharger qu à partir de boutiques officielles. Lors de l installation n accorder que les permissions nécessaires. Les applications malfaisantes constituent aujourd hui la principale menace. Si des données très sensibles sont manipulées, il convient de s interdire toute installation de logiciels non validés par le service informatique. *contacter votre informaticien ou celui de la DR / de l université 4

5 ANNEXE TECHNIQUE* OUTILS FOURNIS NATIVEMENT Les systèmes d exploitation des smartphones et tablettes fournissent nativement un certain nombre de fonctions de sécurité : Chiffrement partiel ou total des données Verrouillage par un mot de passe Isolation des applications dans un bac à sable Autorisation par l utilisateur des ressources auxquelles une application a le droit d accéder ios Windows Mobile/Phone Androïd Chiffrement natif OK OK OK Résistance aux attaques OK (si mot de passe > 8/9 caractères) résiste bien aux attaques force brute Pas d étude disponible Faible résistance aux attaques force brute Attaque offline possible Chiffrement complet Messagerie + certaines applications Pas d étude disponible A partir Androïd 4.1 Cependant tout cela repose entièrement sur le comportement de l utilisateur qui doit activer les fonctions de sécurité, ne pas accepter n importe quelle application, choisir un mot de passe robuste. La disponibilité réelle de ces fonctions de sécurité exige très souvent d avoir la dernière version du système d exploitation qui n est pas nécessairement celle qui est livrée avec les appareils (cf. suite du document). Attention, les produits trouvés sur Internet, qui proposent des fonctions de sécurité, en particulier le chiffrement, pour les versions d OS qui ne l implémentent pas en natif ne sont pas forcément recommandables (cf. suite du document). Windows Phone 8 introduit la gestion d un TPM (Trusted Plateform module) et un chiffrement qui utilise la technologie BitLocker. *contacter votre informaticien ou celui de la DR / de l université 5

6 DIFFUSION DE POLITIQUES DE SECURITE A L AIDE D OUTILS STANDARDS Il est possible de diffuser à partir d un serveur des politiques de sécurité sur les terminaux. ActiveSync est un protocole développé par Microsoft qui outre les fonctions de synchronisation de messagerie et d agendas permet d imposer quelques règles de sécurité (complexité du mot de passe, chiffrement, etc.). Il est disponible sur les différentes plateformes (ios, Android, Windows Phone) avec des limitations sur les fonctions supportées. Avec un serveur Mac sous «OS X Mountain Lion», il est possible d imposer des règles de sécurité sur les iphone et ipad. ios Windows Mobile/Phone Androïd Gestion des politiques de sécurité minimales mots de passe et effacement à distance Mac OS Serveur ou Serveur Exchange Serveur Exchange Serveur Exchange Ces solutions ont leurs limites Ces solutions ne prennent pas en compte toutes les possibilités de paramétrage (par exemple gestion des applications) En fonction des solutions, l utilisateur conserve un certain contrôle de l appareil et peut parfois passer outre aux politiques de sécurité. A noter cependant qu avec la «messagerie unifiée du CNRS» si l on refuse la politique de sécurité qui impose la possibilité d effacement à distance, le serveur n accepte pas le client. Le passage à l échelle avec de multiples sites et équipes d administration est loin d être évident. *contacter votre informaticien ou celui de la DR / de l université 6

7 SOLUTIONS MOBILE DEVICE MANAGEMENT (MDM) Elles permettent : de gérer avec une seule solution indépendante du système de messagerie, les différents OS mobiles de réaliser l inventaire du parc bloquer ou effacer à distance un appareil de gérer la distribution d applications de gérer des hiérarchies de gestionnaires de parc (par exemple par DR, labos etc.) ajouter des fonctions de sécurité de type détection de Jailbreak, Anti-Virus ou Pare feu ajouter un container chiffré et sécurisé réservé aux utilisations professionnelles de l appareil gérer les accès VPN au réseau d entreprise Voici une liste de quelques fournisseurs de MDM : AirWatch Afaria (Sybase/SAP) Entreprise Mobility Management (McAffee) Good Technology Symantech Mobile Mangement MobileIron Zenprise Mobile Manager Un ordre de grandeur des tarifs publics est de 50 par appareil. Les fonctionnalités effectives pour une plateforme donnée dépendent des possibilités de celle-ci. APPLE IPHONE, IPAD *contacter votre informaticien ou celui de la DR / de l université 7

8 CHIFFREMENT SOUS IOS APPLE L appareil a un processeur matériel de chiffrement AES. La clé de chiffrement est stockée dans ce processeur cryptographique. La mémoire permanente (pas la RAM) est chiffrée à l aide de ce processeur. Il n est pas possible de la démonter pour la lire ailleurs. Il faut donc accéder physiquement à l appareil mais après un «jailbreak», il est possible de le démarrer à partir de son propre système et en utilisant le processeur cryptographique avec sa clé intégrée de déchiffrer le contenu. Une commande permet de générer une nouvelle clé interne du processeur de chiffrement. C est une façon extrêmement efficace et rapide d effacer le contenu entier de la mémoire permanente. Le «key chain» (trousseau de clés) permet de gérer de façon sécurisée des secrets. Ils y sont stockés chiffrés à l aide d une clé dérivée du code PIN. Ce «key chain» est notamment utilisé pour stocker des clés de chiffrement de fichiers. Qui a en possession l appareil peut faire une attaque en force brute sur le code PIN, en utilisant un logiciel ad hoc (disponible sur Internet) et après avoir fait un «jail break». Suivant les modèles, un code PIN de 4 chiffres est cassé en environ une heure. Il existe 2 modes de protection pour les fichiers, chiffrés (à l aide d une clé stockée dans le «key chain» ou non. Par défaut seuls les mails sont chiffrés. Si on veut manipuler des fichiers chiffrés, il faut des applications conçues pour cela. Les versions antérieures à ios 5 possèdent des failles dans l implémentation de la cryptographie et ne peuvent être considérées comme sécurisées. Si l appareil n est pas verrouillé à l aide d un code PIN robuste tout sécurité est illusoire. A la différence d un ordinateur portable un smartphone est allumée en permanence. Il donc nécessaire d imposer un blocage après un temps d inactivité relativement court et un code PIN suffisamment complexe. Le «keychain» d Apple est actuellement considéré comme beaucoup plus robuste que les différentes applications gratuites ou payantes de gestion de secrets (mots de passe) que l on peut trouver par ailleurs. CHIFFREMENT SOUS WINDOWS Windows Phone 7 gère en effet en standard les politiques administrables depuis Microsoft Exchange Server, notamment le chiffrement fort, la gestion des PIN, le blocage à distance du téléphone et l effacement ( wipe ) du téléphone et de sa carte. 1 CHIFFREMENT SOUS ANDROÏD Seules les versions 3.0 et postérieures implémentent le chiffrement intégral du disque. Android utilise dm-crypt le module de chiffrement du noyau Linux *contacter votre informaticien ou celui de la DR / de l université 8

9 FONCTIONNALITES DE SECURITE DE PERIPHERIQUE DANS EXCHANGE ACTIVESYNC Outre la possibilité de configurer des options de sécurité pour les communications entre le serveur Exchange et vos téléphones mobiles, Exchange ActiveSync offre les fonctionnalités suivantes permettant d améliorer la sécurité des téléphones mobiles : Effacement à distance : Si votre téléphone mobile est perdu, volé ou compromis de quelque manière que ce soit, vous pouvez émettre une commande d effacement à distance depuis l ordinateur Exchange Server ou depuis tout navigateur Web à l aide d Outlook Web App. Cette commande efface certaines données de votre téléphone mobile. o Attention, la commande d effacement ne sera lancée que lorsque le client se connecte au serveur. Ainsi, tant que l objet n a pas été mis en réseau et qu une connexion à la messagerie n a pas été effectuée, tous les messages stockés dans le cache de l appareil (par défaut les derniers 3 jours dans le cas de la messagerie centralisée du CNRS) restent disponibles et accessible au voleur. Stratégies de mot de passe de périphérique :Exchange ActiveSync permet de configurer plusieurs options pour les mots de passe de périphérique. Ces options sont les suivantes : o Longueur minimale du mot de passe (caractères). Cette option spécifie la longueur du mot de passe du téléphone mobile. La longueur par défaut est de 4 caractères mais le mot de passe peut en contenir jusqu à 18. o Nombre minimum de jeux de caractères : Utilisez cette zone de texte pour spécifier la complexité du mot de passe alphanumérique et obliger les utilisateurs à utiliser un nombre de jeux de caractères différents parmi les suivants : lettres minuscules, lettres majuscules, symboles et nombres. o Exiger un mot de passe alphanumérique : Cette option détermine la force du mot de passe. Vous pouvez appliquer l utilisation d un caractère ou d un symbole dans le mot de passe en plus des chiffres. o Inactivité (secondes) : Cette option détermine le temps pendant lequel le téléphone mobile doit être inactif avant que l utilisateur ne soit invité à entrer un mot de passe pour le déverrouiller. o Activer l historique du mot de passe : Activez cette case à cocher pour obliger le téléphone mobile à empêcher l utilisateur de réutiliser ses mots de passe précédents. Le nombre que vous définissez détermine le nombre d anciens mots de passe que l utilisateur ne pourra pas réutiliser. o Activer la récupération du mot de passe : Activez cette case à cocher pour activer la récupération du mot de passe pour le téléphone mobile. Les utilisateurs peuvent utiliser Outlook Web App pour rechercher leur mot de passe de récupération et déverrouiller leur téléphone mobile. Les administrateurs peuvent utiliser la console de gestion Exchange (EMC) pour rechercher le mot de passe de récupération d un utilisateur. o Effacer l appareil après un échec (tentatives) : Cette option permet de spécifier si vous voulez que la mémoire du téléphone soit effacée après plusieurs tentatives d entrée de mot de passe infructueuses. Stratégies de chiffrement de périphérique : Il y a un nombre de stratégies de chiffrement de téléphone mobile ou de périphérique que vous pouvez appliquer pour un groupe d utilisateurs. Ces stratégies sont les suivantes : o o Exiger le chiffrement sur le périphérique : Activez cette case à cocher pour exiger le chiffrement du téléphone mobile. Cela augmente la sécurité en chiffrant toutes les informations sur le téléphone mobile. Exiger le chiffrement sur les cartes de stockage : Activez cette case à cocher pour exiger le chiffrement de la carte de stockage amovible du téléphone mobile. Cela augmente la sécurité en chiffrant toutes les informations des cartes de stockage du téléphone mobile. *contacter votre informaticien ou celui de la DR / de l université 9

10 COMPARISON OF EXCHANGE ACTIVESYNC CLIENTS RÉFÉRENCES Cracking PIN and Password Locks on Android : Sécurité du système Android (Nicolas Ruff) o o Article : Article-Securite_Android-ruff.pdf Transparents : ios Hardening Configuration Guide (gouvernement australien) : iphone data protection in depth (Sogeti) : hitbamsterdam-iphonedataprotection.pdf Windows Phone 7 from a Digital Forensics Perspective : ICDF2C.pdf Notes on the implementation of encryption in Android 3.0 : Windows Phone 8 Security Overview : filesystemfile.ashx/ key/communityserver-blogs-components-weblogfiles/ / _2C00_206.01_5F00_WP-8_5F00_SecurityOverview_5F00_102912_5F00_CR.pdf *contacter votre informaticien ou celui de la DR / de l université 10