Panne du cloud d'Amazon : explications et transparence ?

Le 21 avril 2011, le Cloud connaissait probablement SON incident technique et historique le plus sérieux jusqu'à lors. La plateforme EC2 d'Amazon (Elastic Compute Cloud - l'offre de service "en nuage" d'Amazone) subissait une interruption de service de plusieurs heures.  Puis de sérieux aléas techniques jusqu'au 25 avril. Ce qui représente un préjudice financier non-négligeable puisque ses clients à l'est des USA ont été touchés,  clients d'envergure nationale et parfois internationale, qui offrent certains services web via EC2 (Quorra, Redit, Foursquare).

Pour autant, on peut s'interroger sur l'explication apportée : l'infrastructure de stockage des données repose sur ce qui s'appelle l'EBS (Elastic Block Store). Ce système permet de se créer une instance de travail sur un ou plusieurs volumes (disques). La solution est donnée comme novatrice et très sûre (snapshot personnalisable) : la preuve ! (je sais elle était facile :)

L'explication donnée est qu'une opération de maintenance a mal tourné : l'un des opérateurs (?) a détourné le trafic de l'une des sections géographiques (le Nord de la Virginie en l'occurrence) du réseau primaire de l'EBS vers un réseau de secours doté de moindres de capacités de traitement des flux de données (un routeur moins performant en fait). Et l'ensemble du réseau Est des USA de l'EC2  a subi de grandes perturbations avant que l'origine de la panne ne soit identifiée et résolue.

L'étonnement est grand de s'apercevoir que ce type de routage, d'une importance opérationnelle non-négligeable, ne dispose pas de garde-fous via l'IHM comme des messages d'avertissement voire des autorisations spécifiques de validation. C'est ce point qui m'intrigue et me fait planer en tête le fameux "1% de doute". Ou alors les concepteurs système sont gravement incompétents !

Quoiqu'il en soit, Amazon dédommagera ses clients lésés et aura eu le mérite de communiquer hier dans le détail (en anglais), avec une transparence quasi-didactique. Encore heureux cependant que l'on ait cette fois-ci eu affaire à une erreur humaine,  pas à une malveillance ! Et de cela, je suis sûr à 100% !

MKxx61GSYG : effacer, détruire, ... surveiller ?

Un peu d'innovation et, en apparence, une bonne nouvelle sur un front de la cyber-menace, surchargé en ce moment. Toshiba annonce la sortie d'un nouveau disque dur (SATA, 7200 tours/min) embarquant une fonction de chiffrement en AES-256 donc certifié FIPS-197, de quoi être agréé par de nombreux organismes institutionnels américains afin de garantir la protection des données sensibles.

Mais l'originalité réside davantage dans une sécurité physique intéressante : si le disque dur est volé et/ou détaché du boîtier (d'ordinateur, de l'imprimante) l'hébergeant, le disque peut, selon le paramétrage : 

- Empêcher les accès sur tout ou partie du disque;

- Détruire une partie ou l'ensemble des données;

- Exécuter un effacement "de type cryptographique" (bas-niveau).

Enfin, le disque peut autoriser une gestion* à distance en utilisant un outil comme AMT (Active Management Technology) d'Intel. De quoi pouvoir gérer la machine et donc les fonctions de sécurité à distance évoquées précédemment. C'est donc une solution complète qui offre un haut niveau de protection des données. Et, potentiellement, de surveillance complète et élaborée de la machine ! Donc de l'utilisateur ? :-/


* à ce niveau de fonctionnalités (création d'un tunnel direct chiffré, activable même machine à l'arrêt, par le cuivre ou en Wi-Fi, etc.) ce n'est plus de la gestion mais bien de l'intrusion légale.

DHS 2012 = Einstein 3

Le DHS (Department of Homeland Security - Ministère américain de la Sûreté intérieure) recherche 233,6 millions $ pour son budget 2012 afin de déployer son système fédéral Einstein 3.

Ce système est la 3ème génération de systèmes de détection et de prévention des intrusions réseaux de niveau fédéral (techniquement et financièrement, on n'est plus du tout au niveau de la petite sonde sur un réseau d'entreprise).  Il doit permettre de réagir automatiquement en proposant la réponse adéquate face à une tentative d'accès non autorisé dans les réseaux du gouvernement américain (ministères et agences fédérales). Il s'interface également avec l'US-CERT en automatisant le processus d'alerte aux vulnérabilités.

On notera que c'est la NSA qui a conduit les développements de cette version alors qu'Einstein 1 et Einstein 2 étaient le résultat du travail en commun de l'US-CERT et du NCSD (National Cyber Security Division - La division cybersécurité du DHS). La controverse n'a pas manqué et porte en particulier sur les craintes d'atteinte aux libertés individuelles et à la collecte d'informations personnelles pour des usages détournés.

Il faut également souligner que le DHS réclame également :

- 40,9 millions $ pour conduire 66 audits de sécurité sur les réseaux fédéraux;

- 24,5 millions $ pour les besoins de formation;

- 18 millions $ pour la partie R&D.

Pour mémoire le budget de l'ANSSI en 2012 (prévu mais pas encore validé) sera de 90 millions d'euros (un peu plus de 125 millions $) tandis que celui de son homologue au DHS sera de 328,3 millions $ (389 millions $ en 2011). Si l'on regarde les chiffres bruts, le différentiel n'a pas de quoi faire rougir les autorités françaises (1 pour 3). 

Mais cet effet en trompe l'œil occulte la réalité des choix politiques et des efforts consentis aux États-Unis : tout pour le DoD (Ministère de la Défense). Les budgets alloués à la cybersécurité se chiffrent, eux, en milliards : rien que pour 2011, le Pentagone a prévu de dépenser 1/2 milliard de $ uniquement en R&D sur les nouvelles technologies au profit de la cybersécurité. Sur un budget total supérieur à 2 Milliards $ !

Edit : je signale le billet complémentaire sur CIDRIS/Cyberwarfare.