Livre blanc : Chiffrement des terminaux : comment ça marche? Chiffrement des terminaux : comment ça marche? Public cible Administrateurs informatiques et de la sécurité
Sommaire Présentation du chiffrement des terminaux... 1 Définition du chiffrement des terminaux... 1 Comment ça marche?... 1 Chiffrement des terminaux : fonctionnement en arrière-plan... 2 Utilisation du chiffrement : une transition sans heurts... 2 Chiffrement des terminaux : restauration... 3
Présentation du chiffrement des terminaux Si vous utilisez un ordinateur ou une clé USB amovible, il se peut qu il contienne des données sensibles. Qu il s agisse d un ordinateur contenant vos données financières personnelles, d un ordinateur de travail contenant des informations professionnelles sensibles ou d une clé USB contenant des secrets gouvernementaux, vous devez vous assurer que ces données sont protégées contre tout accès non autorisé en cas de perte ou de vol du périphérique. Le chiffrement des terminaux, également appelé chiffrement de disque, protège ces données et empêche les utilisateurs non autorisés de les lire. Le présent document offre une description des différences entre le chiffrement des terminaux et le chiffrement des fichiers, explique le fonctionnement du chiffrement des terminaux et présente les mécanismes de restauration. Définition du chiffrement des terminaux Chiffrement des terminaux et chiffrement des fichiers Lorsqu il s agit de chiffrer des données, différentes stratégies de chiffrement sont possibles. Le chiffrement des terminaux protège un disque en cas de vol ou de perte accidentelle grâce au chiffrement de l intégralité du disque, y compris des fichiers d échange, des fichiers système et des fichiers d hibernation. En cas de perte, de vol ou d insertion d un disque chiffré dans un autre ordinateur, le chiffrement du disque reste intact, garantissant ainsi que seul un utilisateur autorisé peut accéder à son contenu. Toutefois, le chiffrement des terminaux ne permet pas de protéger vos données si vous vous êtes connecté au système et que vous laissez l ordinateur sans surveillance. Dans ce cas, votre système a été déverrouillé et des utilisateurs non autorisés peuvent y accéder aussi facilement qu un utilisateur habilité. C est là que le chiffrement de fichiers entre en jeu. Tout comme un système d alarme protège toute une maison et un coffre-fort offre une sécurité supplémentaire, le chiffrement des terminaux protège l ensemble du système et le chiffrement de fichiers offre une couche de sécurité supplémentaire. Le chiffrement de fichiers chiffre des fichiers spécifiques de telle sorte que lorsqu un utilisateur accède à un système d exploitation, le contenu du fichier reste chiffré. Une application telle que Symantec File Share Encryption permet de protéger des fichiers et dossiers individuels en invitant l utilisateur à saisir une phrase secrète pour autoriser l accès. Le chiffrement de fichiers nécessite l intervention de l utilisateur tandis que le chiffrement de disque chiffre automatiquement tout ce que vous ou le système d exploitation créez. En outre, le chiffrement de fichiers peut également être associé à un serveur de politiques de chiffrement qui permet aux administrateurs informatiques de créer et fournir des règles de chiffrement au sein d une organisation, tout en chiffrant automatiquement les fichiers issus de différentes applications et/ou dossiers. Comment ça marche? Pendant le processus de démarrage du système d exploitation, une séquence de démarrage est exécutée. Le système de démarrage représente l ensemble initial d opérations que l ordinateur exécute lors de sa mise sous tension. Un module de chargement (ou module bootstrap) est un petit programme informatique qui charge le système d exploitation principal de l ordinateur. Le module de chargement consulte d abord une zone de démarrage ou une table de partition, qui représente la zone logique «zéro» (ou point de départ) du disque. Le chiffrement des terminaux modifie la zone de point zéro du disque. Un ordinateur protégé grâce à Symantec Endpoint Encryption présente à l utilisateur un environnement de «pré-démarrage» modifié (Figure 1). Cet écran de pré-démarrage modifié invite l utilisateur à s authentifier en saisissant des informations d authentification (généralement un mot de passe plus long qui ressemble souvent à une phrase). À ce stade, l ordinateur peut demander d autres identifiants tels qu une carte à puce, un jeton ou une autre authentification à deux facteurs. 1
Après que l utilisateur a saisi des informations d authentification valides, le système d exploitation poursuit son chargement de façon normale et l utilisateur peut accéder à l ordinateur. Le logiciel de chiffrement des terminaux permet également de chiffrer des supports de stockage amovibles tels que des clés USB. Lorsque vous insérez une clé USB chiffrée dans un ordinateur, vous êtes invité à saisir une phrase secrète et, une fois l authentification effectuée, vous pouvez utiliser la clé USB. Phrase secrète et/ou jeton / carte à puce Chiffrement des terminaux : fonctionnement en arrière-plan Notions de base relatives à un système de fichiers Pendant le processus de démarrage, le système initialise les systèmes de fichiers de l ordinateur. Lorsqu un utilisateur demande l accès à un fichier (c.-à-d. s il crée, ouvre ou supprime un fichier), la demande est envoyée au gestionnaire des entrées/sorties (E/S) du système d exploitation, qui la transmet au gestionnaire des systèmes de fichiers. Le gestionnaire des systèmes de fichiers traite les données par blocs. Utilisation du chiffrement : une transition sans heurts La plupart des logiciels de chiffrement des terminaux fonctionnent avec l architecture de systèmes de fichiers. Ils filtrent les opérations d E/S d un ou de plusieurs systèmes de fichiers ou volumes de systèmes de fichiers. Lorsqu un disque est chiffré pour la première fois, il convertit successivement les blocs de disque non chiffrés en blocs chiffrés. Endpoint Encryption permet aux utilisateurs de continuer à travailler normalement pendant ce processus de chiffrement initial en variant la quantité d UC affectée à ce processus. Chiffrement de blocs de disque dur Le chiffrement du disque est réalisé bloc après bloc 2
Lorsqu un utilisateur accède à un fichier, Endpoint Encryption déchiffre les données en mémoire avant de les afficher. Si l utilisateur modifie le fichier, les données sont chiffrées dans la mémoire et réécrites sur le bloc de disque dur approprié comme s il n y avait aucun chiffrement. Les données déchiffrées ne seront jamais disponibles sur le disque. Le processus de chiffrement/déchiffrement s effectue de façon parfaitement transparente pour l utilisateur. Chiffrement des terminaux : restauration Chiffrement des terminaux : restauration La restauration de données est généralement due à la perte ou à l oubli d une phrase secrète. Par conséquent, le logiciel de chiffrement des terminaux doit comporter une fonction de restauration. Symantec Endpoint Encryption propose plusieurs moyens d accéder à un système chiffré en cas d oubli d une phrase secrète, entre autre Local Self-Recovery, un jeton de restauration et une clé d administrateur. Local Self-Recovery permet aux utilisateurs de répondre à des questions prédéfinies et personnalisables pendant le démarrage afin d accéder à un système chiffré et réinitialiser la phrase secrète de démarrage sans avoir à contacter le service informatique. Le WDRT (Whole Drive Recovery Token) est un jeu de caractères alphanumériques temporaire et à usage unique, fourni par périphérique et par utilisateur permettant de réinitialiser une phrase secrète. La clé d administrateur, détenue par l administration, est stockée sur une carte à puce ou un jeton inviolable. La restauration de données peut résulter, plus rarement, d une corruption des données liée à une défaillance matérielle ou à d autres facteurs tels que des virus. La corruption d une zone de démarrage maître sur une partition ou un disque de démarrage protégé par un chiffrement de disque peut empêcher le démarrage d un système. Pour éviter ce type d erreurs, il est recommandé de créer un CD de restauration puis de sauvegarder un disque avant de le chiffrer avec un logiciel de chiffrement des terminaux. 3
À propos de Symantec Symantec protège les informations échangées à travers le monde et se positionne comme leader mondial des solutions de sécurité, de sauvegarde et de disponibilité. Nos produits et services innovants protègent les individus et les informations dans n importe quel environnement, du plus petit appareil mobile aux data centers et systèmes dans le cloud. Notre expertise mondialement reconnue en matière de protection des données, des identités et des échanges permet à nos clients de travailler en toute confiance dans le monde connecté d aujourd hui. Pour plus d informations, rendez-vous sur www.symantec.com ou rejoignez Symantec sur go.symantec.com/socialmedia. Pour obtenir les adresses et numéros de téléphone de nos agences locales, visitez notre site Web. Siège mondial de Symantec 350 Ellis St. Mountain View, CA 94043 États-Unis +1 (650) 527 8000 1 (800) 721 3934 www.symantec.com Copyright 2012 Symantec Corporation. Tous droits réservés. Symantec, le logo Symantec, et le logo Checkmark sont des marques déposées ou enregistrées de Symantec Corporation ou de ses filiales aux États- Unis et dans d autres pays. D autres noms peuvent être des marques déposées de leurs propriétaires respectifs. 8/2014 21275920-2FR