La sécurité à l usage des PME et des TPE

Transcription

1 La sécurité à l usage des PME et des TPE 5 juillet 2005 Centre français de réflexion sur la sécurité des systèmes d information Collection Ténor etna France Ouvrage collectif sous la direction de Gérard Péliks Ont contribué jusqu à aujourd hui à la rédaction de ce livre : Marie-Agnès Couwez, Alain Germain, Michèle Germain, Pierre Gojat, Michel Habert, Mauro Israel, Gérard Peliks 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 1/61

2 LA SECURITE POURQUOI SECURISER SON SYSTEME D INFORMATION? POURQUOI ET POUR QUI CE LIVRE EST ECRIT? LES ENJEUX ET CHIFFRES CLES DE LA SECURITE DEPENDANCE TECHNOLOGIQUE ET COMPETIVITE DES PME FRANÇAISES LES FONDAMENTAUX DE L'INTELLIGENCE ECONOMIQUE POURQUOI INVESTIR DANS UN ENVIRONNEMENT DE CONFIANCE? Un enjeu pour les dirigeants d'entreprise Les risques financiers Enjeux économiques et pérennité de l'entreprise Le cadre juridique Le facteur humain Cas pratique LA CYBERCRIMINALITE : LES PME SONT -ELLES A L'ABRI? SPYWARE, PHISHING, VIRUS... MEME COMBAT LES MENACES SUR VOTRE MESSAGERIE LES MENACES SUR VOTRE WEB LES MENACES SUR LA DISPONIBILITES DE VOS INFORMATIONS Les attaques par déni de service distribué LES ELEMENTS MATERIELS ET LOGICIELS DE LA SECURITE L AUTHENTIFICATION L'authentification forte pour la sécurisation des accès La gestion des identités DISSIMULER L INFORMATION Les principes du chiffrement Les principes des réseaux privés virtuels La stéganographie LE MEILLEUR COMPROMIS COUT/FONCTIONNALITE GRACE AUX COUPES-FEUX TOUT EN UN LES APPLIANCE MULTI FONCTION POUR LES PME SECURISER LES ACCES WEB AUX APPLICATIONS D'ENTREPRISE LE CONTROLE ET LE FILTRAGE DU CONTENU SE SECURISER PAR DES LOGICIELS LIBRES? Les caractéristiques des logiciels libres Les principaux logiciels libres Les apports des logiciels libres à la sécurité Les embûches liées à l utilisation des logiciels libres (et comment les éviter) Bilan LES SERVICES CONCILIER SECURITE ET SIMPLICITE D'ADMINISTRATION LES ASPECTS DE NOMS DE DOMAINES SUR INTERNET ANALYSE DE RISQUES POLITIQUE DE GESTION DE VULNERABILITES ET DES CORRECTIFS PLANS DE CONTINUITE D'ACTIVITE LE DEPLOIEMENT DES PATCHS LA DETECTION D INTRUSIONS EXTERNALISER SA SECURITE? Externaliser la veille stratégique Externaliser la détection d intrusions Externaliser la gestion des outils de sécurité Externaliser la sauvegarde des données Externaliser le site Web institutionnel juillet 2005 etna France Voir en dernière page pour les droits de reproduction 2/61

3 3.8.6 Pourquoi et comment confier le contrôle de votre sécurité à un partenaire de confiance? LES NOUVELLES INFRASTRUCTURES DE SECURITE ORIENTEES SERVICE La sécurité du système d information de l entreprise Les infrastructures de sécurité Le niveau de service de la sécurité Services et domaines La gestion des services Les évolutions des infrastructure La consolidation La consolidation appliquée à la sécurité Exemple d une démarche de sécurité orientée service pour une TPE/PME Etude de cas Conclusion QUELQUES APPLICATIONS DEVANT ETRE SECURISEES L ENTREPRISE SANS FIL L informatique sans fil «Wi-Fi» La téléphonie sans fil DECT La téléphonie sans fil Wi-Fi (VoWiFi) Autres Et pour conclure TOIP ET SECURITE LA SIGNATURE ELECTRONIQUE Les deux piliers de cette technologie La signature électronique en théorie La signature électronique en pratique Mais est-ce bien légal et reconnu? L avenir de la signature électronique LA SECURITE DES OUTILS NOMADES L ordinateur portable Le PDA Les téléphones mobiles LE VOTE ELECTRONIQUE L ASPECT HUMAIN DE LA SECURITE COMMENT INFLUER SUR LES COMPORTEMENTS A RISQUES? LA SECURITE, UN ETAT D'ESPRIT QUELLE POLITIQUE DE SECURITE POUR UNE PME? Objectifs principaux Diagnostic rapide : Une politique de sécurité digne de celle des plus grands Avoir recours aux savoir-faire externes, Nouveaux outils communicants de productivité personnelle Une politique de sécurité des PME proportionnée aux enjeux, pragmatique et agile L ASPECT ECONOMIQUE DE LA SECURITE LA GESTION DE CRISE POUR UNE PME PMI ASSOCIEZ VOTRE BUDGET SECURITE A VOS ENJEUX L ASPECT JURIDIQUE DE LA SECURITE LES NOUVELLES REGLES JURIDIQUES DE LA CYBERCRIMINALITE: VICTIME DONC RESPONSABLE A QUI S ADRESSER APRES UNE ATTAQUE? DIX MESURES CONCRETES POUR SECURISER VOTRE PME CONNECTEE CE QUE VOUS N'AVEZ PEUT -ETRE PAS ENCORE: CE QU'IL FAUT RENFORCER: RENFORCEMENT DES METHODES: PROTECTION DES DONNEES: CONCLUSION : juillet 2005 etna France Voir en dernière page pour les droits de reproduction 3/61

4 9 BIBLIOGRAPHIE ET REF ERENCES GENERAL JURIDIQUE LES POINTEURS DE MAURO ISRAEL GLOSSAIRE ACRONYMES DÉFINITIONS CONTRIBUTIONS A L ECRITURE DE CE LIVRE juillet 2005 etna France Voir en dernière page pour les droits de reproduction 4/61

5 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 5/61

6 1 POURQUOI SECURISER SON SYSTEME D INFORM ATION? 1.1 POURQUOI ET POUR QUI CE LIVRE EST ECRIT? Auteur : Marie-Agnès Couwez, ma.couwez@noos.fr Un seul objectif, ambitieux certes, à ce livre : Chers lecteurs, devenez ACTEURS! Connaissez et maîtrisez les risques, les nuisances, liés à l usage de vos ordinateurs en réseau, de votre messagerie, de l internet. Ce livre est destiné aux très petites, petites et moyennes entreprises (TPE et PME) qui ne disposent pas en interne de personnel spécialiste de ces questions. Et pourtant, elles doivent mettent en œuvre, gérer et sécuriser au quotidien leur réseau informatique, de nouveaux outils technologiques, et l ensemble des réseaux de communication qui constituent aujourd hui la base de l activité de production, de gestion et de développement d une entité. Compte tenu de la similitude en matière d organisation qui peut exister avec des collectivités locales de petites tailles, ce livre leur est aussi destiné, hormis ce qui pourrait relever de spécificités dues à leur caractère public. Dans la société de l information actuelle, le poste informatique de voilà quelques années est devenu «système d information» de part ses interconnexions. L entreprise échange des informations avec ses salariés, ses clients, ses fournisseurs, au moyen de la messagerie, donc de l Internet, d un Intranet ou d un Extranet. Elle communique aussi avec des outils multi fonctions comme le téléphone portable ou l assistant personnel (PDA) et se lance maintenant dans la téléphonie sur Internet (VoIP). Elle utilise quotidiennement des applications qui lui permettent de se développer et d assurer sa gestion. Avec ce livre, nous souhaitons : Attirer votre attention sur les ressources critiques pour votre activité Indiquer les principaux risques et nuisances liés à l usage des technologies Vous fournir des éléments de réponse dans chaque cas. Et maintenant un mini quiz : Avez-vous au moins un ordinateur, portable ou fixe, connecté à un réseau? Utilisez-vous une messagerie? Votre entreprise est-elle en réseau? Utilisez-vous des connections sans fil (WiFi)? Avez-vous un site internet? Si vous répondez oui à au moins une de ces questions, ce livre est fait pour vous! 1.2 LES ENJEUX ET CHIFFRES CLES DE LA SECURITE Auteur : Jean-Philippe Bichard (NetCost&Security) jpbichard@netcost-security.fr 1.3 DEPENDANCE TECHNOLOGIQUE ET COMPETIVITE DES PME FRANÇAISES 1.4 LES FONDAMENTAUX DE L'INTELLIGENCE ECONOMIQUE Auteur : Jean-Philippe Bichard (NetCost&Security) jpbichard@netcost-security.fr 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 6/61

7 1.5 POURQUOI INVESTIR DANS UN ENVIRONNEMENT DE CONFIANCE? Auteur : Eléonore Estadieu (MSI) eleonore.estadieu@msi-sa.fr Un enjeu pour les dirigeants d'entreprise Les risques financiers Enjeux économiques et pérennité de l'entreprise Le cadre juridique Le facteur humain Cas pratique 1.6 LA CYBERCRIMINALITE : LES PME SONT-ELLES A L'ABRI? Auteur : Franck Franchin (France Télécom) franck.franchin@francetelecom.com 1.7 SPYWARE, PHISHING, VIRUS... MEME COMBAT Auteur : Yann Berson (Webwasher) yberson@webwasher.com 1.8 LES MENACES SUR VOTRE MESSAGERIE 1.9 LES MENACES SUR VOTRE WEB 1.10 LES MENACES SUR LA DISPONIBILITES DE VOS INFORMATIONS Les attaques par déni de service distribué 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 7/61

8 2 LES ELEMENTS MATERIELS ET LOGICIELS DE LA SECURITE 2.1 L AUTHENTIFICATION L'authentification forte pour la sécurisation des accès Auteur : Loïc Caradec (ActivCard) Loic.Caradec@activcard.fr La gestion des identités Auteur : Marie-Agnès Couwez, ma.couwez@noos.fr Dans ce chapitre, ce terme désigne la gestion des utilisateurs d un système d information. Nous ne traiterons pas ici de la maîtrise des éléments d identités que chaque internaute est susceptible de laisser sur internet. Que recouvre cette appellation et quelle est l importance de ce processus pour la sécurité de l entreprise? L identité recouvre trois sortes de données : les informations nominatives, telles que définies par la CNIL le profil de l utilisateur : sa fonction, le service auquel il est rattaché, ses domaines d intervention les habilitations de l utilisateur. Le cycle de vie d une identité comporte trois états : la création, la maintenance, la révocation. La gestion de l identité renvoie à plusieurs problématiques : garantir l accès sécurisé aux applications, organiser, techniquement et opérationnellement, le processus de gestion des identités et les procédures de mise à jour, calculer le coût financier que représente la gestion de ce processus, qu il s agisse de solutions manuelles (temps consacré à cette tâche) ou de solutions techniques (coût d achat, d implémentation, de gestion). De la même manière qu une société contrôle les accès physiques à ses locaux, qu il s agisse de ses employés, de ses clients ou de ses fournisseurs, elle doit s assurer que toute personne qui se connecte à son système d information et à ses applications est dûment autorisée à le faire. Le développement du nomadisme, du télétravail, des interconnexions avec les réseaux des clients ou fournisseurs multiplie les points de vulnérabilité du réseau. L entreprise est donc amenée à mieux contrôler et à renforcer l authentification des utilisateurs (le plus souvent par simple identifiant et mot de passe) et à définir précisément les droits d accès aux applications. Ce qui est relativement simple pour le contrôle des accès physiques aux différents espaces, bureaux, ateliers, s avère beaucoup plus compliqué dans le cas présent. Une des raisons principales est l organisation de l informatique et l historique de cette organisation. En effet, les applications de l entreprise se sont développées séparément, sur plusieurs années, afin de répondre à des besoins métiers et de gestion : les ressources humaines, la comptabilité, les bases de données clients Si certaines ont pu être regroupées dans un progiciel de gestion intégrée (PGI), les messageries, les applications web, se sont rajoutées au fil du temps. Ces applications n ont pas été conçues pour communiquer entre elles et rendent difficile l interopérabilité, quand ce n est pas impossible. Elles possèdent leur propre base de données utilisateurs (appelée référentiel ou annuaire) avec les outils de gestion intégrés. Chaque référentiel associe à un utilisateur des informations d identité nominative, un identifiant et un mot de passe, des privilèges en fonction de ses besoins métier. Ces derniers définissent le niveau d usage, de l accès 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 8/61

9 en simple consultation au droit d écriture et de modification, ou au contraire à l absence totale de droit. Ainsi, les informations relatives à l identité et aux droits attribués à chacun sont disséminées dans plusieurs référentiels, ce qui rend difficile le contrôle global de la qualité et de la cohérence des informations. Comment repérer les erreurs, les doublons, comment mettre à jour rapidement les informations en cas de changement (recrutement, nouvelle fonction et droits associés, départ d un salarié). Avec, en corollaire, le défaut de sécurité qui peut en résulter dans le contrôle d accès aux ressources de l entreprise. Si celles-ci ont pris l habitude depuis longtemps de bien cloisonner certaines applications comme la comptabilité ou la paye (seuls les salariés habilités y ont accès), les règles sont souvent beaucoup moins bien définies pour l accès aux bases commerciales ou marketing. Afin d automatiser ce processus, la technologie des annuaires de type LDAP (Lightweight Directory Access Protocol) s est développée à partir de Ce protocole permet d accéder à une base de données centralisée (ou annuaire) qui prend en charge les authentifications et les habilitations de chaque application. D autre part, la sécurité de l accès aux applications peut s appuyer sur une authentification unique de type Single Sign On (SSO), surtout pour des services internet, qui évite les authentifications multiples aux utilisateurs. Ce système a plusieurs avantages : la simplification d usage pour l utilisateur (en réduisant les couples identifiant/mot de passe), de traitement pour l administrateur (gestion centralisée des droits), une meilleure sécurité (dans le cas où l application comporterait une faille) Deux solutions s offrent aux moyennes entreprises, sachant que les plus petites auront forcément recours à la deuxième solution en raison de leur volume à traiter et du rapport coût /volume : soit la mise en œuvre d un processus automatisé de gestion des identités sous forme d annuaire LDAP qui permet de mettre à jour une seule base de données soit la gestion manuelle des contrôles d accès et de tous les changements qui peuvent affecter un compte utilisateur. Les deux solutions ont toutefois un coût financier. Dans le premier cas, c est celui de l implémentation de la solution technique et organisationnelle. Dans le second, c est le temps passé par un administrateur réseau (ou la personne en charge) à gérer les comptes utilisateurs sur les différentes applications et sur l ensemble du système d information. Toutefois, il ne faut pas limiter le raisonnement à ces seuls paramètres car la vraie question aujourd hui pour toute structure est de savoir comment elle maîtrise ses connections, comptabilise ses utilisateurs, décide et surveille qui accède à quelle information, quand et où. La sécurité a un prix, tout comme la qualité, même si une bonne organisation peut réduire ce prix. Cinq questions à vous poser : combien de temps faut-il pour qu un nouveau salarié reçoive l accès aux ressources dont il a besoin? cet accès délivré, êtes-vous certain que ce salarié ne puisse accéder à des applications qui ne sont pas de son domaine d action (par exemple : le stagiaire en marketing que vous venez d accueillir, accède-t-il aux documents stratégiques de votre prochaine campagne qui débute dans six mois?) cette même question peut se décliner pour des acteurs externes qui ont accès à votre système d information : contractants (consultant, équipe de développement ou de maintenance ), clients, partenaires, fournisseurs sous quel délai sont désactivés tous les accès et les droits d un salarié qui quitte votre entreprise combien d identifiants et de mots de passe différents sont nécessaires à vos salariés pour accéder aux applications? 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 9/61

10 2.2 DISSIMULER L INFORMATION Les principes du chiffrement La sécurité à l usage des PME et des TPE Les principes des réseaux privés virtuels La stéganographie Auteur : Gérard Péliks (EADS) gerard.peliks@eads.com Article écrit pour Netcost&Security Pour assurer la confidentialité des informations sensibles qui transitent entre deux réseaux sûrs, en empruntant un réseau public tel l Internet, chiffrer ces informations est une bonne solution. Cela consiste à rendre au moyen d un algorithme de brouillage et en utilisant une clé de chiffrement, cette information incompréhensible jusqu à ce qu elle soit déchiffrée à l autre bout du réseau, connaissant l algorithme de chiffrement et la clé de déchiffrement. Suivant la taille des clés et les algorithmes utilisés, cette méthode pourrait être considérée comme parfaite si elle ne pêchait sur un point : si l information est chiffrée, c est justement qu elle présente un intérêt donc il peut être utile à ceux à qui on cache cette information de mettre en action les moyens de calcul pour la déchiffrer. Si l information chiffrée incite ceux à qui elle est dissimulée d essayer de découvrir quel secret elle renferme, autant ne rien cacher pour éviter d attirer l attention sur cette information! Mais il n est pas question non plus de laisser passer cette information en clair sur un réseau non sûr ou de l archiver sur un média qui pourrait être lu. La stéganographie, à ne pas confondre avec la sténographie, répond à cette faiblesse. La stéganographie est l art de dissimuler une information en clair dans un message en clair qui paraîtra anodin et cachera l information sensible qu il contient. Un texte paraîtra banal et sans intérêt sauf si par exemple on lit un mot sur trois, ou le cinquième mot de chaque phrase. Un exemple littéraire célèbre de stéganographie nous est donné par un échange épistolaire entre George Sand et Alfred de Musset. George Sand envoie à Alfred de Musset un poème merveilleux de romantisme et de pureté mais lu une phrase sur deux, le poème apparaît comme n'étant pas si romantique, et plutôt pour le moins direct. Alfred de Musset répondit à son amie George Sand par un autre poème, également pure merveille de romantisme, mais en lisant seulement le premier mot de chaque vers, le poème devenait une proposition plutôt indécente. Et George Sand répondit à cette invitation par deux vers utilisant la même clé, lire le premier mot de chaque vers, qui donnait le renseignement demandé : Cette grande faveur que votre ardeur réclame Nuit peut-être à l'honneur mais répond à ma flamme. On trouve un autre exemple de stéganographie dans le film d Alfred Hitchcock, le rideau déchiré, où des secrets d état transitent vers les pays de l Est dissimulés dans une partition musicale. En fait dans la partition, une seule note noire qui aurait du être blanche contenait miniaturisée toute l information d un aéronef, nous étions à l époque en pleine guerre froide. Seule une personne connaissant bien toutes les notes de cet opéra aurait pu s apercevoir de la supercherie, et encore fallait-il qu il ne pensât point que la noire au lieu de la blanche était une simple erreur et disposât d un microscope électronique pour visualiser l information (textes, équations, schémas) cachée dans la note. Ne peut-on penser qu une banale bande vidéo enregistrée de Ben Laden où il est question de combats contre le Satan, mais rien de très concret, ne cache en arrangeant les mots, en décodant les images ou même en analysant les fréquences de la parole, des annonces très concrètes comme des objectifs à détruire? La CIA y pense bien sûr et ces bandes sont analysées dans leurs moindres détails. En poussant plus loin la stéganographie-mania, des analystes essayent de trouver dans la bible des messages cachés et affirment que la bible révèlera tout l avenir de l humanité à ceux qui en possèdent les clés. Laissons à ces auteurs la responsabilité de leurs affirmations mais il faut reconnaître que certaines sont troublantes à moins que le hasard des mots ne soit expliqué par la 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 10/61

11 science des statistiques. On ne pourrait rêver d un meilleur média pour véhiculer des informations cachées qui traversent les siècles. Donnons un exemple un peu plus technique, très employé : dissimuler l information sensible dans une image banale comme vos photos de vacances ou vos portraits de famille. Une image est constituée de pixels qui sont des points élémentaires colorés par un niveau de bleu, de vert et de rouge. Chaque pixel est formé d un octet (8 bits) pour le bleu, un octet pour le vert et un octet pour le rouge. La combinaison de ces trois couleurs fondamentales donne le point coloré. Supposons qu on réserve le dernier bit de chacun des 3 octets de chaque pixel pour constituer un message caché. La dégradation de l image sera imperceptible. On peut ainsi utiliser le huitième de la taille de l image pour cacher un message. Bien malin est celui qui se doute qu une image d un paysage de vacances, envoyé, par messagerie en pièce jointe à un partenaire, contient caché la liste de prix d une gamme de produits avec les remises consenties à ce partenaire. On pourrait penser que l opération est séduisante sur le plan technique mais difficile à réaliser dans la pratique? Il n en est rien, il suffit d utiliser l interface conviviale d un outil de stéganographie, on en trouve des gratuits sur l Internet. Pour ma part, j utilise Steganozorus et j ai fait passer bien des messages secrets dans les images que j attache à certains de mes courriels et je n ai vu personne chercher des messages cachés dans mes photos de vacances. 2.3 LE MEILLEUR COMPROMIS COUT/FONCTIONNALITE GRACE AUX COUPES- FEUX TOUT EN UN Auteur : Dominique Meurisse (Netasq) dominique.meurisse@netasq.com 2.4 LES APPLIANCE MULTI FONCTION POUR LES PME 2.5 SECURISER LES ACCES WEB AUX APPLICATIONS D'ENTREPRISE 2.6 LE CONTROLE ET LE FILTRAGE DU CONTENU Auteur : Gabriel Gross (Dolphi an) gabriel.gross@dolphian.com 2.7 SE SECURISER PAR DES LOGICIELS LIBRES? Auteur : Alain Germain (Idsoft) agdev@free.fr Les caractéristiques des logiciels libres Introduction : Sur Internet, si vous lancez une recherche avec GOOGLE avec l expression «logiciel libre», vous obtenez réponses. Alors, marginal le phénomène logiciel libre? Pas vraiment. En tous cas, à défaut d utilisation généralisée, on en parle beaucoup. Plutôt que de rédiger cette partie de l ouvrage dans un style doctoral (qui a dit ennuyeux?), j ai préféré un mode plus vivant sous forme de questions-réponses ce qui, à mon avis, présente 2 avantages : indiquer modestement que cet exposé est forcément incomplet, rendre la lecture plus vivante et plus concrète. Toutes les questions évoquées ci après, je me les suis posées à un moment ou à un autre. L avantage que vous avez sur moi, c est de trouver immédiatement les réponses dans les pages qui suivent tandis qu il m a fallu plusieurs jours ou plusieurs semaines pour arriver au même résultat. Qu est ce qu un logiciel libre? : Selon l AFUL (Association Francophone des utilisateurs de Linux et des logiciels libres) : «sont considérés comme libres des logiciels disponibles sous forme de code source, librement redistribuables et modifiables selon les termes d une licence de type GPL ou avoisinante». 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 11/61

12 On trouve souvent dans la littérature anglo-saxonne le terme «Open Source». En fait «Logiciel libre» en est la traduction francophone. Qu est que la licence GPL? : «Licence GPL» est la traduction francophone de «General Public License». C est un ensemble de règles qui définit les droits et les devoirs des concepteurs, distributeurs et utilisateurs des logiciels libres. (Il existe d autres formes de licences dérivées mais la GPL est très souvent utilisée). Cette licence est l équivalent (sur le plan juridique), des «conditions générales d utilisation» que l on trouve en tous petits caractères avec les logiciels propriétaires du commerce mais, à la différence de celles ci, qui cherchent à restreindre par tous les moyens vos droits d utiliser, diffuser, recopier le logiciel, la licence GPL cherche, au contraire, à étendre les conditions d utilisation dans le respect des droits fondamentaux des concepteurs et des utilisateurs. Quelles sont les principales caractéristiques communes des logiciels libres? Les conditions détaillées sont disponibles (en anglais) sur le site : Pour faire simple : liberté de diffuser et d utiliser le logiciel sous réserve de diffuser également les termes de la licence qui le gère. liberté de connaître le fonctionnement détaillé du logiciel par le code source qui doit être diffusé (ou mis à disposition, par exemple sur Internet) par le concepteur. On verra plus loin les conséquences de cette règle en terme de sécurité. liberté de modifier ou d intégrer tout ou partie d un logiciel libre existant dans son propre logiciel à condition d étendre les règles de la licence du logiciel d origine au logiciel «enveloppe». Un logiciel libre est -il gratuit? : Pas forcément Mais comme un logiciel libre qui emploie des composants libres et gratuits (provenant de Linux par exemple) ne peut être lui-même que gratuit, on conçoit que le nombre de logiciels libres payants soit singulièrement limité. Par contre les services associés à ces logiciels (supports de distribution, manuels, assistance technique, développements spécifiques, formation, etc ) sont en général rémunérés. Comment est -il possible que des logiciels diffusés gratuitement offrent des performances identiques ou meilleures que celles de logiciels du commerce? : Difficile à croire mais pourtant c est vrai! Les équipes de développement des projets importants sont loin d être pléthoriques (une dizaine à une centaine de personnes au maximum) mais sont extrêmement compétentes dans leur domaine. Les recettes proviennent de dons de particuliers ou d entreprises, de ventes de produits dérivés et surtout de prestations spécifiques permettant d assurer un revenu correct aux participants. Il est clair qu au royaume des logiciels libres, l appât du gain n est pas le moteur principal de motivation. De plus et par le biais d Internet, beaucoup de bénévoles répartis dans le monde entier (plusieurs milliers dans le cadre de projets importants) apportent leur cont ribution en réalisant des travaux annexes mais absolument indispensables tels que les tests logiciels, l administration des versions successives, la réalisation de la documentation, les traductions, le packaging, etc La seule motivation de ces personnes est d apporter leur pierre à l édification de l entreprise commune (toute ressemblance avec les contributeurs du présent ouvrage ne serait pas fortuite). 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 12/61

13 2.7.2 Les principaux logiciels libres applications système, réseaux La sécurité à l usage des PME et des TPE Je suppose que vous voulez parler de Linux? : En effet, mais pas uniquement. Il existe d autres systèmes d exploitation (FreeBSD par exemple) mais leur diffusion reste marginale. Le développement de Linux a été entrepris en 1991 par un étudiant à l université d Helsinki, Linus Torvalds qui souhaitait construire un nouveau système d exploitation en s inspirant du système Unix qui existait déjà depuis plus de trente ans. Son travail a attiré l attention de très nombreux universitaires dans le monde entier qui, grâce à l Internet, ont apporté leur pierre à l édifice et permis d obtenir ce qu est Linux aujourd hui. Même si la diffusion de Linux reste encore modeste, il est des secteurs où sa part de marché est importante. Environ 25% des serveurs Internet fonctionnent sous Linux. Dans les autres secteurs, la progression de Linux est variable mais elle est générale. De plus en plus de personnes apprécient la qualité des logiciels libres, la sécurité et la gratuité. Il faut absolument citer deux logiciels libres utilisés pour les applications réseaux : «Samba»» est un logiciel utilisé dans un réseau local pour relier des postes de travail dans des environnements hétérogènes (Linux, Windows, Apple, etc ). Il est vraiment incontournable dès qu il s agit de faire dialoguer et échanger plusieurs machines en local. «Apache» est un logiciel serveur Web. Aujourd hui, 60% des serveurs Web utilisent ce logiciel pour gérer les échanges. En fait, sans Internet, Linux n existerait peut être pas et sans Linux et les logiciels libres, la révolution Internet n aurait sans doute pas eu lieu applications généralistes (Web, bureautique, multimédia) Existe-il- des logiciels libres fonctionnant sous Windows? : De plus en plus de développeurs proposent des versions de leurs logiciels libres fonctionnant également sous Windows. La plus grosse partie du travail de développement se trouve dans la définition des caractéristiques et la programmation des fonctionnalités; ceci se fait indépendamment du système d exploitation sur lequel le logiciel sera réalisé. L adaptation du logiciel à un système vient en tout dernier et consiste à apporter quelques retouches spécifiques, à compiler le programme avec les bibliothèques de chaque système et à élaborer les procédures d installation. Cette conception multi-systèmes permet une diffusion beaucoup plus large des logiciels pour la plus grande satisfaction des utilisateurs et des développeurs. Puis-je retrouver, dans les logiciels libres, l équivalent des logiciels commerciaux que j utilise? : Plusieurs centaines d applications libres sont disponibles. Plutôt que de tenter de dresser une liste exhaustive, je préfère indiquer quelques logiciels que j utilise au quotidien et dont je garantis la qualité de réalisation et la richesse des fonctions. «Firefox» est un navigateur Web extraordinaire. Occupant peu de volume en mémoire, très rapide, il est extrêmement sécurisé : il n accepte pas les «contrôles Active X» susceptibles de contenir des codes nuisibles. Il est possible de lui adjoindre un grand nombre de «plugs -ins» pour améliorer ses possibilités (en particulier «Adblock» qui permet de bloquer l affichage de pages ou de messages de publicités ). «Thunderbird» est un logiciel de messagerie très convivial et très bien sécurisé. Il dispose en standard d un module de filtrage des «spams» par auto-apprentissage. Après quelques jours, il est capable de rejeter entre 95 et 99% des messages polluants. «Open Office» est une suite complète d outils bureautiques comprenant un traitement de texte, un tableur, un logiciel de présentation et en prime, un outil de dessin. Bien qu il 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 13/61

14 utilise un mode de stockage des données différent de celui de la suite «Office» de Microsoft, il est capable de récupérer tous les documents générés sous «Word», «Excel» et «Powerpoint». Par contre si les documents comportent des «macros», celles ci ne seront pas récupérées ce qui est plutôt une bonne chose car elles sont parfois un vecteur important de transmission de codes nuisibles. «MySql» est un gestionnaire de bases de données, concurrent crédible de «Access». «Gimp» est logiciel de retouches et de traitement d images. «Mplayer» est un lecteur multimédia qui lit à peu près tous les formats audio et vidéo. «K3B» permet de graver tous les formats de CD (données, musique, etc..) applications spécifiques Si j envisage une migration sous Linux, puis-je continuer à utiliser les logiciels spécifiques que j avais fait développer pour mes propres applications? : Tout dépend de quelle façon et avec quel langage, ces logiciels ont été développés. Si ceux ci ont été développés en «langage C» ou en «Java» vous n aurez sans doute pas de gros problèmes pour les adapter sous Linux (Linux lui-même est développé en «langage C»). Dans les autres cas, la charge de travail nécessaire est à établir au cas par cas. Si le travail est important ou que vous ne pouvez pas disposer du code source, il reste peut-être une solution : Il est existe un logiciel libre spécialisé «Wine» qui permet de faire fonctionner sous Linux des logiciels développés pour Windows. Le résultat n est pas garanti. Vous pouvez avoir une compatibilité totale, pas de fonctionnement du tout ou perdre certaines fonctionnalités. Dans tous les cas, cela vaut la peine d essayer Les apports des logiciels libres à la sécurité sécurité système Pouvez vous m expliquer pourquoi un système Linux serait plus sûr qu un système Windows? : Au départ, Windows a été conçu comme un système à interface graphique, intuitif, facile à utiliser de manière à séduire le plus grand nombre possible de personnes. A cette époque cet objectif n était pas si facile à réaliser compte tenu des possibilités limitées des matériels et il a été nécessaire de faire des sacrifices et des compromis sur certaines caractéristiques (dont les aspects de sécurité). En bref, Windows a été bâti comme un système convivial mais peu protégé et tous les ajouts ultérieurs concernant la sécurité ont consisté à corriger les failles, au fur et à mesure de leur découverte, par des rustines logicielles. Pour être objectif, des progrès importants ont été réalisés (avec XP SP2 en particulier) mais il faudra attendre la sortie du prochain système d exploitation de Microsoft (Longhorn) pour bénéficier (je l espère!) d un système véritablement sécurisé. Au contraire, Linux prend en compte les impératifs de sécurité dès la rédaction du cahier des charges. «Linux doit être un système multi-tâches et multi-utilisateurs où toutes les données et toutes les applications de chaque personne sont gérées sans risques et sans interférences». Le développement de Linux s est fait à partir de ces principes qui n ont jamais été transgressés au cours de l évolution du système. Tout au plus a-t-on ajouté des utilitaires graphiques conviviaux pour faciliter la gestion de la sécurité. Comment la sécurité des données et des applications est-elle gérée au quotidien sous Linux? : C est un des aspects importants de la sécurité et tout à fait représentatif de la manière dont Linux traite ce genre de questions, c est à dire de façon simple et compréhensible. 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 14/61

15 Linux connaît quatre catégories possibles d intervenants possibles (n oublions pas que Linux est un système multi-utilisateurs) : «l administrateur». Il a droit de vie et de mort sur toutes les données, tous les programmes et les paramètres du système. L accès au statut d administrateur est protégé par un mot de passe qu il est vivement conseillé de conserver en lieu sûr car en cas d oubli, il est extrêmement difficile d accéder au système (et ne comptez pas sur moi pour vous expliquer comment faire ) «les utilisateurs». Chacun possède son propre espace où il gère ses données et ses programmes comme il l entend. «les groupes d utilisateurs». Plusieurs utilisateurs ayant des objectifs communs (travaillant sur un même projet) peuvent avoir intérêt à partager des applications et des données. «les autres». Les autres personnes connectées au système avec qui des échanges ponctuels peuvent être souhaitables. Par ailleurs Linux connaît quatre types d accès aux données et aux applications : pas d accès du tout (!) accès en consultation accès en écriture accès en exécution (pour les programmes). La gestion des droits se résume pour un utilisateur à définir pour chaque fichier lui appartenant (donnée ou programme) les autorisations qu il accorde ou non à chaque catégorie d intervenant. Rassurez-vous! Il existe des options par défaut et des outils conviviaux de gestion de ces droits, mais le principe est simple et cela fonctionne très bien sécurité Internet Dans la liste des logiciels libres fonctionnant sous Linux, je n ai pas vu de programmes antivirus. Est-ce un oubli? : Mauvaise nouvelle : Il n y a pas de logiciels antivirus sous Linux. Bonne nouvelle : Il n y a pas besoin de logiciels antivirus car il n y a pas de virus sous Linux. On justifie souvent cette absence de virus par la raison suivante : L objectif des individus malfaisants qui élaborent les virus est de nuire au plus grand nombre ; or, la diffusion de Linux, à ce jour, (hormis quelques secteurs évoqués précédemment) reste minime par rapport au grand frère Windows d où le désintérêt des «hackers». Je pense que la véritable raison est autre : En dehors des «amateurs» qui trouvent très amusant d afficher une tête de mort sur l écran d un PC distant en même temps qu on reformate le disque dur, aujourd hui, la motivation principale des pirates est de prendre le contrôle des micros à des fins illicites tels que envois de «spams», déclenchement de dénis de service, etc Pour cela il faut accéder au système ce qui est tout à fait impossible sous Linux (à moins d être connecté à Internet avec le statut «administrateur» ce qui est une erreur gravissime). Il reste bien sûr possible de nuire à un utilisateur en modifiant certains de ses fichiers et répertoires mais les conséquences, pour désagréables qu elles soient, restent limitées. Par conséquent, et pour pas mal de temps encore, la navigation sur Internet sous Linux avec des logiciels libres offre un niveau de sécurité exceptionnel sécurité d utilisation Pourquoi aurais-je plus confiance dans des logiciels libres que dans des logiciels commerciaux de fournisseurs connus? : Essentiellement pour des raisons de confidentialité 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 15/61

16 Vous avez l assurance qu un logiciel libre ne comporte pas de parties de code cachées qui vont collecter, à votre insu, des informations sur votre configuration, vos fichiers, vos habitudes de surf sur Internet pour les rediffuser à des tiers dans des buts inavoués. L obligation faite, dans le cadre des logiciels libres, de diffuser ou rendre disponible l intégralité du code source, dissuade toute entreprise ou développeur mal intentionné d attenter à votre vie privée à votre insu. De plus, comme la modification des logiciels libres est autorisée, il serait tout à fait possible et légal de supprimer ou contourner cette partie de code. Il n est pas question d examiner personnellement les codes sources des programmes ; mais en cas de doute, soyez assurés que d autres personnes le feront et s il s avère que des codes malveillants sont inclus dans un logiciel applicatif, l information sera diffusée très rapidement et le logiciel ne survivra pas très longtemps à cette découverte. Les logiciels libres sont-ils exempts de bugs? : Non. La présence de bugs dans les développements informatiques est inévitable quelles que soient les précautions prises et la qualité des tests pratiqués mais le comportement des logiciels fonctionnant sous Linux se démarque fortement de celui observé sous Windows. Avec Windows, vous avez sûrement été déjà confronté à l écran bleu vous informant qu une erreur s est produite et même l appui simultané des touches Ctrl + Alt + Sup ne suffit pas à débloquer le système. Il ne reste plus qu à basculer rageusement l interrupteur secteur du micro avec les risques de pertes d informations qui en résultent. Avec Linux, ce cas de figure est tout bonnement impossible car chaque logiciel fonctionne dans sa propre zone mémoire sans empiéter sur les programmes voisins et surtout pas sur la zone système. Si un logiciel se trouve bloqué (à la suite d un bug ou d une erreur de manipulation), les autres programmes continueront de fonctionner normalement. Il existe d ailleurs, une commande de Linux (le «killer» symbolisé dans l interface graphique par une tête de mort) qui permet de détruire n importe quel processus en cours (bloqué ou pas). Au pire, si c est l interface graphique qui est concerné par le blocage, il suffit de passer Linux en mode caractère par appui d une touche du clavier et arrêter ensuite correctement le système d exploitation sans perte de données sécurité de maintenance et d évolution Puis-je bénéficier des évolutions et des améliorations des logiciels libres? : Bien sûr. La plupart des logiciels libres proposent de se connecter périodiquement sur leur site pour vérifier si une nouvelle version ou une mise à jour du logiciel est disponible. Si vous consultez le site de téléchargement d un logiciel libre, vous allez être surpris par le nombre de versions différentes proposées. On distingue en général les versions «bêtas» (dont le développement n est pas figé et quoi font encore l objet de tests) et les versions «stables» (que l on considère comme suffisamment débuguées pour être utilisées sans risque majeur de disfonctionnement). Dans tous les cas, chaque version est accompagnée de la liste complète des erreurs corrigées, des nouvelles fonctionnalités ainsi que des contraintes éventuelles d environnement. La transparence est totale. A vous de choisir les nouvelles fonctionnalités qui vous intéressent et le niveau de «risque» que vous pouvez consentir. En contrepartie, si vous découvrez un bug dans une application, transmettez le problème au développeur sur son site Internet. Vous aurez ainsi la satisfaction de participer également à la vie de la communauté des logiciels libres. Existe- il une assistance à l installation, à l utilisation, au dépannage des logiciels libres? : C est une caractéristique spécifique de la communauté des logiciels libres. Quel que soit votre problème, vous n êtes jamais seul. 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 16/61

17 Il existe un grand nombre de sites Internet (y compris, bien sûr, celui des développeurs du logiciel que vous voulez utiliser) qui proposent des tutoriaux et des forums d aide et d assistance. Commencez par chercher si d autres utilisateurs n ont pas rencontré les mêmes difficultés que vous et comment celles-ci ont été résolues. Si vous ne trouvez pas de réponse, n hésitez pas à exposer votre problème (anonymement, si vous le souhaitez). Vous serez surpris du nombre de personnes qui vont se mobiliser pour essayer de vous aider bénévolement Les embûches liées à l utilisation des logiciels libres (et comment les éviter) aspects techniques J ai entendu dire que Linux était très difficile à installer? : Le temps où Linux fonctionnait uniquement en ligne de commande (c est à dire avec des commandes incompréhensibles par un non-initié tapées au clavier sans souris et sans écran graphique) fait définitivement partie du passé. De plus, l installation est considérablement simplifiée si vous utilisez une «distribution» Linux. Qu est ce qu une «distribution» Linux? : Une «distribution» Linux est un ensemble de logiciels comprenant : un système Linux, une interface graphique (ou plusieurs), un automatisme d installation et de paramétrage du système, des utilitaires de gestion du système, un certain nombre de logiciels applicatifs. Plusieurs sociétés proposent ce genre de «distributions» ; les plus importantes sont «Mandriva» (anciennement «Mandrake»), «Red Hat» et «Suse» mais il en existe beaucoup d autres. Les logiciels peuvent être téléchargés sur Internet ou sont disponibles sous forme d ensemble de CD accompagnés d une notice d utilisation vendus pour une somme modique dans des boutiques informatiques. Je conseille vivement d utiliser une de ces distributions. L installation de Linux devient un jeu d enfant (ou presque ) ; les opérations un peu délicates telles que le partitionnement du disque dur se font en toute sécurité. Le paramétrage du système (langage, utilisateurs, reconnaissance des périphériques) se réalise de façon très conviviale. Comment fait-on l installation des logiciels applicatifs? : Auparavant, l installation d application comprenait un certain nombre d étapes : compilation du code source, recherches des «dépendances» (sous-programmes), liaison des dépendances, configuration, installation des modules. Un vrai cauchemar! De quoi décourager la personne la plus motivée! Ces étapes existent toujours mais les créateurs de «distributions» ont incorporé dans celles-ci des utilitaires d installation et de désinstallation qui automatisent complètement les différentes opérations. La très grande majorité des concepteurs de logiciels libres diffusent maintenant leurs programmes sous une forme compatible avec ces utilitaires d installation/désinstallation (les «paquetages»). La coexistence de Linux et Windows sur un même micro est-elle possible? : 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 17/61

18 Tout à fait! Si vous possédez un micro-ordinateur équipé de Windows et que vous disposez d une dizaine de gigaoctets disponibles sur le disque dur vous pouvez créer une «partition» supplémentaire pour accueillir Linux et ses applications. Bien entendu, les deux systèmes ne fonctionnent pas simultanément ; c est au démarrage du microordinateur que l utilisateur choisit le système d exploitation qu il veut utiliser. A noter que Linux est parfaitement capable de lire et d écrire des informations sur la partition réservée normalement à Windows. L inverse n est pas vrai. Windows ignore complètement l existence de Linux sur le même disque dur. Les périphériques (imprimantes, scanners, modems, etc...) que j utilise avec Windows fonctionneront-ils également avec Linux? : Les constructeurs de périphériques fournissent avec leur matériel des petits programmes appelés pilotes (ou drivers) et qui servent au dialogue entre le périphérique et le système d exploitation. La plupart des constructeurs élaborent à la fois des pilotes pour Windows et pour Linux. Il arrive néanmoins que pour des matériels anciens (ou trop nouveaux!) ou à diffusion très limitée, les pilotes Linux ne soient pas disponibles et dans ce cas le périphérique ne pourra pas fonctionner normalement. Il est indispensable, dans le cas d une migration vers Linux, de vérifier que ces pilotes existent et de les télécharger depuis les sites Internet des constructeurs aspects migratoires Quelle stratégie utiliser pour migrer vers les logiciels libres? : Il n y a pas de réponse générale à cette question. La stratégie est à étudier au cas par cas en fonction de vos impératifs d exploitation et des caractéristiques du parc installé. La migration d un parc de quelques machines peut généralement être réalisée en fin de semaine (pendant l arrêt de l activité). Le changement est quasiment transparent pour le fonctionnement de l entreprise. A l opposé, dans une entreprise fonctionnant 7 jours sur 7 et 24 heures sur 24, on préférera probablement migrer poste par poste même si l opération totale couvre plusieurs semaines. Il faut avoir à l esprit que Linux gère parfaitement des réseaux hétérogènes comportant des machines équipées de systèmes d exploitation différents. Néanmoins à terme, l homogénéité du parc est souhaitable pour faciliter la maintenance et les évolutions. Dans tous les cas, définissez précisément et clairement la stratégie que vous allez utiliser et vérifiez, avant le début de la migration, que vous disposez bien de tous les composants logiciels nécessaires aspects psychologiques De quels problèmes parlez-vous? Vous m aviez dit que les programmes tournant sous Linux ressemblent énormément à leurs homologues fonctionnant sous Windows? : C est vrai! Non seulement les fonctionnalités sont les mêmes mais l ergonomie est très voisine. L utilisation de la souris et des raccourcis claviers sont identiques. Le fonctionnement de Linux en mode caractère est révolu (sauf, éventuellement pour l administrateur du système). Néanmoins, ne sous estimez pas l impact psychologique et la résistance au changement. Personne ne vous dira en face qu il est frustré parce qu il n a plus la photo de son dernier-né comme fond d écran ou qu il ne peut plus faire sa partie quotidienne de «Démineur» ou de «Solitaire» après le déjeuner. En lieu et place vous risquez de vous heurter à une critique vague mais systématique («Ca ne fonctionne pas», «Je ne peux plus travailler aussi rapidement», etc ). 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 18/61

19 2.7.5 Bilan La sécurité à l usage des PME et des TPE Pour éviter ce genre de désagréments, prenez les devants. Expliquez aux futurs utilisateurs du nouveau système les avantages pour votre entreprise et pour eux-mêmes. Si possible, trouvez un ou deux «volontaires» curieux de nature et ouverts aux nouveautés et aux évolutions à qui vous prodiguerez une formation détaillée. Ces personnes apprécieront de jouer le rôle de «pionniers» et seront ultérieurement en mesure d aider et conseiller leurs collègues pour les problèmes courants et répétitifs. Dans quels cas, le passage aux logiciels libres est-il souhaitable? : Une configuration avec deux postes de travail autonomes utilisant des logiciels bureautiques standards ne requiert sans doute pas une décision de basculement rapide. C est néanmoins une opportunité de tester les logiciels libres pratiquement sans risques de perturbations. N oublions pas qu il est parfaitement possible de faire coexister deux systèmes d exploitation (Linux et Windows) sur le même micro-ordinateur ; A chaque démarrage, l utilisateur sélectionne le système qu il souhaite activer. La population directement concernée par une migration semble plutôt celle des entreprises disposant de cinq à plusieurs dizaines de postes de travail reliés entre eux par un réseau local. Dans ce cas, les gains en terme de sécurité et d économies de fonctionnement sont les plus rapides et les plus substantiels. La migration vers les logiciels libres me semble intéressante mais j aimerais en faire l expérience sans toucher au système existant. Est ce possible? : Oui, bien sur! Une première solution consiste à utiliser certains logiciels libres disponibles sous Windows (bureautique, navigateurs, ) pour juger de leurs avantages et ensuite les désinstaller si nécessaire (A la différence de certains logiciels commerciaux, tous les logiciels libres que je connais proposent une option de désinstallation et ne laissent aucune trace sur le micro-ordinateur). Bien évidemment dans ce cas, vous ne bénéficierez pas des avantages de sécurité que vous apporte Linux mais vous pourrez au moins juger de la richesse et de la qualité des fonctionnalités offertes. Une autre solution consiste à utiliser une «distribution amovible» (Knoppix par exemple). Il s agit d un CD-ROM sur lequel se trouve un système Linux, une interface graphique et une quinzaine de logiciels d applications générales. Il suffit de placer le CD-ROM dans le lecteur et de démarrer le micro-ordinateur et celui ci va charger automatiquement le système Linux en mémoire sans rien installer sur le disque dur. Les seuls inconvénients sont que les temps de chargement des logiciels sont assez longs (puisque chargés depuis le CD-ROM et non du disque dur) et que les paramètres ne sont pas conservés (à moins de disposer d une clé USB) à l arrêt du système. A l extinction du micro, il ne reste aucune trace de Linux ou des programmes sur le disque dur. Comment dois-je procéder, en cas de décision de migration, pour avoir le maximum de chances de réussite? : Cette question est essentielle, c est pourquoi je l ai gardée pour la fin Il y a un certain nombre d étapes clés qui doivent être systématiquement réalisées même si certaines peuvent être faites très rapidement : Description précise et quantitative de l existant (parc micro, réseaux, logiciels utilisés ) et prévisions d évolution à court terme (un an). Recherche des logiciels nécessaires. 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 19/61

20 Elaboration d une stratégie de déploiement. Chiffrement des dépenses et des économies prévues et validation des choix. Mise en œuvre. Validation des résultats. Cette démarche peut être entreprise : Soit par vous-même si vous disposez d un peu de temps et si vous avez quelques connaissances en informatique. Soit en déléguant ce travail à la personne de votre entreprise qui s occupe habituellement du système informatique (sous réserve qu elle soit curieuse et réceptive aux idées d évolutions et qu elle dispose de quelques disponibilités). Soit en faisant appel à un conseil extérieur qui vous apportera sa compétence et son expérience en toute objectivité et sécurité (cette solution s impose pratiquement dès que la taille et les conséquences stratégiques sont importantes). 5 juillet 2005 etna France Voir en dernière page pour les droits de reproduction 20/61