Sécurisation des données par CHIFFREMENT des PC. Utilisation de TrueCrypt

Transcription

1 Sécurisation des données par CHIFFREMENT des PC Utilisation de TrueCrypt C. Yohia & M. Libes UMS 3470 CNRS OSU Pytheas Journée métier ASR RESINFO 24/6/2011 Réseau CESAR

2 Plan Pourquoi chiffrer les PC? Les résultats du groupe de travail CNRS différents logiciels de chiffrement et recommandations Cas du chiffrement sous Linux et MacOS Exemple d'utilisation de TrueCrypt Séquestre des clés (exemple dans Pytheas) Démonstration sur container et partition

3 Pourquoi chiffrer les données? Nécessité de protéger le patrimoine scientifique Une étude statistique montre que un grand nombre d'ordinateurs portables des personnels CNRS sont régulièrement volés ou perdus (tous les vols ou pertes ne sont pas déclarés) Des données de nature sensible (publications, brevets, mots de passe, documents classés confidentiels, données personnelles et privées, notes exam, sujet exam, Photos perso, CV, marchés publics) circulent hors de l'établissement Conséquences graves dans le cas d'informations à forte valeur économique (document pour dépot de brevet) Conséquences facheuses pour des données à caractère privé et confidentielles

4 Pourquoi chiffrer? Le chiffrement est une mesure efficace pour rendre le disque illisible (lorsque le PC est éteint) et... limiter les conséquences d'un vol ou d'une perte de poste nomade ou media amovible (clés USB). C'est l'orientation choisie par le CNRS est préconisée par sa PSSI La note du 16 janvier 2011 définit la politique de chiffrement à mettre en œuvre pour assurer la protection des ordinateurs portables Elle traduit la volonté de garantir au mieux la sécurité des données dans un souci de facilité de déploiement et surtout d utilisation, gage d appropriation pérenne par les utilisateurs.

5 Les différents méthodes de chiffrement Plusieurs logiciels ont été testés par un groupe de travail du CNRS Zone Central (Windows, MacOS, Linux) Dm-crypt (Linux) FileVault (MacOS) TrueCrypt (Windows, MacOS, Linux) Une solution matérielle : Les disques chiffrants (font partie de l'offre DELL)

6 Les différents logiciels de chiffrement Solution logicielle : plusieurs critères ont été déterminants... pertes de performances insignifiantes Usage simple, peu contraignant pour l'utilisateur Déploiement souple et aisé pour l'administrateur Le produit de chiffrement doit être sûr, qualifié et certifié Interopérable sur différents OS Si possible gratuit et opensource? Solution matérielle : logiciel de gestion de chiffrement wave propriétaire... tourne sous Windows.

7 Les différents logiciels de chiffrement Les logiciels offrent plusieurs manières de chiffrer : chiffrement de portions de disques containers chiffrement de partitions entières chiffrement du disque entier Seul le chiffrement du disque tout entier permet de se prémunir contre la fuite d informations en cas de perte ou de vol. Les outils informatiques qui chiffrent les répertoires ou les fichiers sont insuffisants : ils ne ciblent pas les fichiers temporaires (/tmp, swap) Utiles pour échanger un document (clés USB, transferts FTP...)

8 Les différents logiciels de chiffrement Solutions logicielles retenues : TrueCrypt (Windows, MacOS, Linux) FileVault (MacOS) Dm-crypt (Linux) Disques chiffrants... le must mais logiciel de gestion fonctionne sous Windows uniquement Le disque chiffrant doit avoir préalablement initialisé sous Windows par un administrateur gymnastique pour le faire fonctionner sous Linux (enlever le disque, le mettre sur un pc windows activer le chiffrement, l'enlever le remettre sous linux)

9 Séquestre de clés et recouvrement Chiffrer c'est bien... mais il faut assurer une possibilité de retrouver les données en cas de perte du mot de passe de chiffrement ou de corruption du header contenant la clé de chiffrement Il faut donc mettre en place un séquestre des clés et de mot de passe permettant de déchiffrer le disque Le recouvrement est la procédure qui permet d accéder à une information qui a été chiffrée en cas d oubli du mot de passe ou de l indisponibilité de son détenteur.

10 Le chiffrement des PC Windows avec TrueCrypt TrueCrypt fonctionne sous Windows, Linux, MacOS et permet : Le chiffrement de conteneur (zone chiffrée qui va contenir des fichiers à protéger) Le chiffrement de partitions entières D: /dev/sda1 Le chiffrement intégral du disque avec authentification au démarrage uniquement pour windows. Logiciel opensource (gratuit) et... certifié par l'anssi. Pour l'échange de conteneurs entre machines, c'est le seul qui soit multiplateforme (Windows, Linux, Mac)

11 Chiffrer un disque entier avec TrueCrypt Lancement de TrueCrypt : Sélectionnez «Outils / Assistant de création de volume» ou le bouton Create Volume.

12 Chiffrer un disque entier avec TrueCrypt Choix du type de volume à crypter (conteneur, partition ou disque)

13 Chiffrer un disque entier avec TrueCrypt Chiffrement du disque entier ou uniquement la partition système

14 Chiffrer un disque entier avec TrueCrypt Inclusion des zones disques cachées ou pas?

15 Chiffrement avec TrueCrypt Multiboot ou single boot? (au COM on ne fait plus de multi boot)

16 Chiffrer un disque entier avec TrueCrypt Choix de l'algorithme de cryptage (valeurs par défaut très bonnes)

17 Chiffrer un disque entier avec TrueCrypt Important: choix du mot de passe permettant de protéger la clé de chiffrement

18 Chiffrer un disque entier avec TrueCrypt Génération aléatoire de la Master Key de chiffrement, en bougeant la souris

19 Chiffrer un disque entier avec TrueCrypt Disque de secours Creation d'un CD de recouvrement (rescue cd) Produit une image Iso bootable à graver sur un CD

20 Chiffrer un disque entier avec TrueCrypt Disque de secours Gravage de l'image iso sur CD (rescue cd) Ce CD de recouvrement permet de booter et de déchiffrer le PC depuis le CD : le header et mot de passe sont conservés sur le CD

21 Séquestre des clés (exemple dans Pytheas) Le séquestre de clé dans le cas d'un disque entier consiste à: Sauvegarder le header contenant la clé de chiffrement (image ISO sauvegardée et gravée) Sauvegarder le mot de passe débloquant la clé dans un fichier ou une BD MySQL afin de pouvoir redémarrer la machine en cas d'oubli de celui-ci ou de corruption du header Sauvegarde de toutes les images iso générées par TrueCrypt dans un qtree du Netapp

22 Chiffrer un disque entier avec TrueCrypt Dernière étape: Série de tests effectués par TrueCrypt pour vérifier que tout est ok : [preboot truecrypt, clé de chiffrement, et mot de passe d'accès au header]

23 Chiffrement avec TrueCrypt Etape finale : Le PC reboote

24 Chiffrement avec TrueCrypt Le chiffrement de la totalité du disque commence Compter 1h pour 100 Go environ (dépend de la puissance du proc)

25 Recouvrement? 1. Le Rescue-CD a été produit avec le mot de passe du service informatique 2. on a changé le mot de passe dans le header disk de true crypt le PC a été livré à l'utilisateur avec son propre mot de passe Si un utilisateur perd ou oublie son mot de passe de dé-chiffrement? Ces mots de passe ont été sauvegardés dans une BD MySQL (PK numéro de série) Si le passwd de l'utilisateur ne fonctionne plus (oubli), le CD de recouvrement permet d'écraser le header du disque et de déchiffrer avec le mot de passe du Service info

26 Sequestre des clés (exemple dans Pytheas) Structure de la table Exemple d'enregistrement

27 Démonstration Démonstration de chiffrement Création d'un conteneur ou d'une partition sur clé USB Sauvegarde du header dans un fichier Modification du mot de passe du header du container Restitution du header à partir du fichier sauvegardé Échange avec un autre poste sous MacOS

28 ... Merci de votre attention... Questions?