Bonnes pratiques de la gestion des secrets

Bonnes pratiques de la gestion des secrets

Par Pascal Brand, ingénieur R&D IFOTEC  I 14 octobre 2021 I Cybermois 

Vous souhaitez limiter les risques d’attaques sur votre réseau et le vol de vos données sensibles ?  Pour une meilleure gestion des secrets, ne négligez ni le choix de vos mots de passe, ni leur moyen de stockage.

Comment choisir un bon mot de passe ?

Pour être fiable, un mot de passe doit être imprédictible. Pour cela il y a quelques règles à respecter pour la gestion des secrets :

• Il doit avoir une taille suffisante et des caractères variés. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) préconise une longueur de 12 caractères minimum, comprenant des minuscules, majuscules et caractères spéciaux. Il ne faut que quelques secondes à une machine pour tester toutes les combinaisons possibles d’un mot de passe de 8 caractères avec uniquement des lettres minuscules, alors qu’il lui faudrait plusieurs milliers d’années pour un mot de 12 caractères contenant des minuscules, majuscules et caractères spéciaux !
• Eviter les mots courants. L’attaque la plus classique pour retrouver un mot de passe est l’attaque par dictionnaire qui consiste à tester tous les mots les plus couramment utilisés.
• Il doit être conservé de manière sûre et pas à la vue de tous. Il est très risqué de conserver son mot de passe sur un document non chiffré ou sur du papier. L’utilisation d’un gestionnaire de mot de passe peut être une bonne solution. Il s’agit d’un logiciel qui permet de stocker dans une base de données chiffrée tous vos identifiants et mots de passe.
• Il ne faut pas utiliser le même mot de passe à plusieurs endroits, et le changer régulièrement, afin de limiter les risques qu’il ne soit compromis. Il arrive régulièrement que des bases de données fuitent et révèlent des identifiants et mots de passe d’utilisateurs.

Comment stocker des données sensibles dans une mémoire ?

Il ne faut jamais stocker d’informations sensibles « en clair » dans une mémoire qui peut être relue depuis l’extérieur. Pour les mots de passe, il est préférable de n’en stocker qu’un format hashé. Un hash est une opération irréversible qui consiste à transformer une donnée en une autre. Ainsi, si des données fuitent du système, seul un hash sera accessible.

Afin de limiter la fuite de données depuis la mémoire interne des microcontrôleurs, il est généralement possible d’activer sa « read protection » qui empêche de relire son contenu une fois le composant programmé.

Comment IFOTEC protège les données sensibles dans ses produits ?

Sur les produits sécurisés de la gamme IFOTEC, la protection en lecture est active et seul un hash des mots de passe est enregistré, auquel est ajouté un grain de sel. Le grain de sel est une chaîne de caractère unique pour chaque produit, qui est ajouté au mot de passe avant l’opération de hashage afin de le complexifier et de rendre le hash différent sur chaque produit ayant le même mot de passe. Ainsi, si le contenu de la mémoire venait à être révélé, on ne pourrait ni en déduire le mot de passe, ni se servir des informations sur d’autres produits.

Comment améliorer sa politique de sécurité numérique ?

Comment améliorer sa politique de sécurité numérique ?

Par Cédric Marmonier, ingénieur R&D IFOTEC  I 07 octobre 2021 I Cybermois 

Et si on faisait plus attention à notre sécurité numérique ? Quelles sont les bonnes pratiques à mettre en place pour un réseau sécurisé ? En ce #Cybermois, quelques principes fondamentaux en Cybersécurité.

Cybersécurité, késako ?

C’est l’ensemble des moyens à mettre en place afin de garantir une disponibilité à l’accès aux données et services numériques ainsi que de s’assurer de l’intégrité et la confidentialité des informations sensibles.

Les termes à connaitre :

• Disponible : le bien est accessible et opérationnel.
• Confidentiel : information non accessible aux personnes non accréditées.
• Intègre : l’information ne peut pas être modifiée par une personne non accréditée.
• Authentique : la source de l’information a été identifiée comme étant fiable.
• Secret : donnée sensible qui en cas de divulgation pourrait compromettre la sécurité du réseau (ex : mot de passe, clef de chiffrement).
• Traçabilité : capacité à pouvoir répertorier les événements passés.

Vous êtes le maillon faible. Au revoir !

Tous les maillons de la chaine sont importants. En négliger un peut avoir des conséquences dramatiques, donc pensez à la vérifier intégralement :

• Les utilisateurs : sont-ils formés et sensibilisés aux bonnes pratiques ?… Il n’est pas rare de voir une personne cliquer sur un lien sans prendre le temps d’identifier la source : « Think Before U Click ».
• Les équipements : sont-ils adaptés au cas d’utilisation ? Sont-ils réellement fiables ?… Ce n’est pas parce qu’un équipement utilise un protocole dit « sécurisé » pour échanger des informations que ce protocole est réellement robuste. Par exemple, le protocole HTTPS peut gérer plusieurs algorithmes de chiffrement : certains de ces algorithmes sont déconseillés à l’utilisation, il est donc important de vérifier ce genre d’informations et que les équipements soient correctement configurés.
• Les infrastructures : est-ce qu’une personne malintentionnée peut avoir accès physiquement à votre réseau ?… il pourrait le modifier pour introduire ses propres équipements espions ou encore dégrader le matériel afin de perturber le bon fonctionnement des services.
• Les prestataires : est-ce que leur politique de cybersécurité est bonne ?… un prestataire peut avoir enregistré le mot de passe pour accéder à votre réseau dans un simple fichier en l’ayant enregistré dans un espace de stockage partagé non sécurisé.

Répertorier, définir, mettre en œuvre, évaluer.

Il est important d’identifier les différentes données qui sont disponibles sur votre réseau informatique et d’évaluer les impacts qui peuvent survenir en cas de divulgation ou d’altération de celles-ci : ceci permet de pouvoir définir une bonne politique de confidentialité en fonction du niveau d’accréditation des utilisateurs. En complément, une analyse de risque recensant les différents types d’attaques avec une estimation de leur impact et de leur fréquence permet de définir les moyens à mettre en place dans sa politique de sécurité. Une fois la mise en œuvre terminée, il est indispensable de tester et d’évaluer les solutions choisies afin de valider leur robustesse.

Je suis le plus fort !… Oui mais non.

Se croire invulnérable est bien la dernière chose à faire en Cybersécurité : tous les jours des hackers trouvent de nouvelles failles de sécurité dans des systèmes. Il est donc important de se renouveler :

• Réévaluer en permanence vos processus en Cybersécurité.
• Auditer régulièrement votre système.
• Se former continuellement.
• Se renseigner constamment sur l’actualité : est-ce qu’une nouvelle faille de sécurité a été découverte ? Est-ce que l’un de mes prestataires s’est fait attaquer et que des données me concernant ont été divulguées ? Est-ce que les technologies que j’utilise sont toujours fiables ? Est-ce que les algorithmes de chiffrement que j’utilise sont encore préconisés ?…

Toujours plus loin, toujours plus haut, toujours plus fort.

Comme dit précédemment, aucun système informatique n’est invulnérable. Mais plus on met de couches de sécurité, plus il sera long et compliqué pour l’assaillant d’arriver à ses fins. L’objectif d’ajouter toujours plus de couches, c’est d’arriver à démotiver l’assaillant afin qu’il finisse par abandonner. Plus le gain convoité est grand, plus grande est sa motivation et donc, plus il faut sécuriser son système : pour les informations peu convoitées, il n’est pas forcément nécessaire de mettre beaucoup de moyens de protection car le « toujours plus », implique généralement des coûts plus élevés et plus de temps à consacrer… tout est histoire de compromis.

Et IFOTEC dans tout ça ?

Avec ses nouvelles gammes d’équipements Ethernet, IFOTEC vous apporte des solutions robustes et fiables afin que vous puissiez mettre en œuvre des réseaux sécurisés. IFOTEC propose des équipements de taille réduite fonctionnant dans des environnements sévères (température, humidité, milieux perturbés électromagnétiquement) avec des protocoles de chiffrement fiables et performants conformément aux directives préconisées par l’ANSSI. Les équipements munis d’un grand nombre de fonctionnalités tel que :

• Accès chiffré à l’interface de configuration du produit par HTTPS et SSH afin de garantir un échange d’information confidentiel et intègre (utilisation de protocole de chiffrement de type courbe elliptique).
• Réseau virtuel VLAN permettant d’isoler les différents services et ainsi de préserver leur confidentialité.
• Gestion du protocole de redondance de liens RSTP pour garantir la disponibilité des services en cas de dégradation d’un lien.
• Gestion de la QoS pour garantir la disponibilité des services critiques.
• Contrôle des accès par règles ACL MAC.
• Traçabilité via la gestion du journal d’évènements avec configuration des différents types d’alarmes.
• Préservation des secrets enregistrés dans la configuration du produit.
• Vérification de l’intégrité de l’authenticité des firmwares chargés.