Sectéra Edge - Acte 2

Devant l'étonnante résurgence des commentaires sur mon post de la fin mars 2008 (Sectéra Edge, le Blackberry à la sauce NSA), probablement liée au buzz qui monte depuis plusieurs jours sur le compromis élaboré pour que le nouveau président américain Barack Obama puisse continuer de communiquer via un PDA, il semble de plus en plus que la solution de General Dynamics C4 Systems ait été retenue.

Quelques infos intéressantes et une photo de la"bête" se trouvent ici et ici.

A noter que depuis 1978, le Presidential Records Act oblige tout échange papier ou électronique du président à être archivé et théoriquement consultable 12 ans après la fin de son mandat.

Dernières volontés numériques

Un article extrêmement intéressant sur Rue89, qui ouvre un nouveau champ de réflexions, même s'il a pu déjà être abordé mais de manière plus confidentielle.

Sans revenir sur la révolution sociale que représente le Web, le 2.0 en particulier, des millions d'internautes disposent de plusieurs comptes et profils sociaux : Google, FaceBook, Twitter, FlickR, etc. la liste est longue et non-exhaustive.

La grande question est : que deviennent l'ensemble de ces comptes et les informations que l'on y trouve quand l'un des internautes disparaît dans...la vraie vie !

La question, loin d'être incongrue pousse raisonnablement à inventer le réceptacle perpétuel (éternel ?) de nos identités numériques, de notre vie inter-connectée !

Juridiquement, nos éminents spécialistes devraient s'emparer de la question pour garantir au (futur) défunt que ses comptes, écrits et pensées ne seront pas dévoyées ou utilisées à des fins délictueuses.

Bientôt, on mettra ses dernières volontés numériques en ligne (ou dans un coffre...virtuel à sa banque), avec comme exécuteur testamentaire l'un de ses "amis" du Net, en Corée ou en Islande !

Techniquement, le développement des SaaS garantit une certaine pérennité, survivance numérique de notre passage terrestre.

Enfin, ne reste plus qu'à proposer les services supplémentaires. Encore du business, mais pas que. Je vous l'avais dit : la question initiale était loin d'être incongrue ! ;-)

Meilleurs voeux - Quid en 2009 ?

Traditionnellement, la période se prête à se souhaiter le meilleur pour l'année en devenir mais aussi à secrètement tenter de tenir quelques bonnes résolutions. Quelques jours durant ! ;)

Permettez-moi, cher lectrice ou lecteur, de vous présenter mes vœux les plus sincères et d'espérer en priorité la santé et le bonheur, le reste n'étant que du bonus. Fort appréciable mais bonus quand même.

La grande question que tout le monde se pose actuellement est quelles conséquences mesurables et avérées la crise produit ou produira ? Bien difficile pour le moment de le dire, surtout dans le métier de la sécurité. J'avoue que pour en avoir parlé avec différents collègues, les avis sont partagés.

Je ne peux donc qu'illustrer mon propos par la demande faite chez l'un de mes clients . Il nous a demandé de réduire notre proposition 2009 d'environ 20%, ce qui en soi est important. et correspond peu ou prou à 2 ETP (Equivalent Temps Plein). Fort heureusement, une démission (toujours regrettable) et la signature d'un nouveau contrat nous permettent d'absorber sans mal cette décision.

Pourtant, je reste extrêmement prudent pour la suite et pronostique des coupes franches et claires dans le courant de l'année avec des effets prolongés en 2010. Il ne faut pas croire que la sécurité, pour stratégique qu'elle soit aux yeux de la plupart des décideurs, ne fera pas les frais des efforts demandés à l'ensemble des fonctions de l'entreprise.

Pour finir, je reste convaincu que cette crise sera salutaire, nous poussant à faire preuve de créativité et d'innovation, autant d'un point de vue technique et, probablement/surtout, humain. Car, après tout, nous vendons du service impliquant sans cesse un regard critique sur la qualité de la relation qui nous unit, clients et fournisseurs.

L'informatique en nuages s'envole

Un article relativement intéressant du Monde, avec quelques mois de...retard ! ;-) Au-delà des aspects techniques, écologiques et de sécurité, déjà traités dans mes posts précédents, ce sont forcément les enjeux financiers qui aiguisent la convoitise des prétendants : "Selon les prévisions de Merrill Lynch, le marché du cloud computing s'élèvera à plus de 100 milliards de dollars dans les trois prochaines années. D'ici à 2011, 12 % du marché des logiciels devrait ainsi migrer vers le "nuage"."

L'article peut être lu ici.

Antivirus dans les nuages

L’intérêt stratégique du web 3.0 prend de plus en plus corps. Dernière société à y « succomber », l’éditeur d’antivirus Trend Micro qui vient d’annoncer la sortie, pour la fin 2008, d’un outil baptisé Smart Protection Network. Cet antivirus repose sur une architecture « nuage-client » (« cloud-client ») et pour ce faire, l’éditeur Californien a déployé un réseau de serveurs sur l’ensemble de la planète.

Trend Micro annonce une diminution de 70% de la taille de l’application installée sur le poste client, la base des signatures étant décentralisée et mise à jour 1 à 2 fois par heure, le réseau devant être couplé à l’ensemble des centres de veille scrutant la Toile afin de détecter toute survenance de (nouveau) code malveillant.

Au-delà de la tendance forte et de l’engouement que commence à susciter le web 3.0, les premières critiques sont entrain d’apparaître. Pourtant nul doute que cette direction va continuer à se renforcer, Panda Security (ex Panda Software) ayant également annoncé travailler sur un projet d’antivirus « nuage-client ».

Référentiel Général de Sécurité : appel à commentaires

Une fois n'est pas coutume, je relaie l'appel à commentaires fait par l'administration française à travers son portail "Synergies". Cette revue et les éventuels commentaires portent sur le document de travail RGS (Référentiel Général de Sécurité), élaboré conjointement par la DCSSI et la DGME.
J'apprécie ce mode de fonctionnement qui permet de démontrer que l'administration confirme ses "prétentions" numériques et comble, au passage, le retard avéré (Top 5 européen en 2006) au début de la décennie sur certains de nos voisins européens.

Après avoir retenu du Linux comme système d'exploitation pour la Gendarmerie, déployé la télédéclaration des Impôts, lancé de nombreux chantiers TIC en réalité, l'administration sollicite la communauté des internautes. A quand les portails et interfaces web 2.0 / web 3.0 de l'e-administration, développés sur le même principe ?

Web 2.0 : jeûne ou surcharge pondérale ?

Il y a une dizaine d'années maintenant, Google révolutionnait l'explosion d'Internet et faisait entrer l'humanité dans l'ère du Web...1.0 ! Alors que nous tendons vers la version 3.0* (voire 4.0**) , la 1ère mue connue sous le nom de Web 2.0 a comme première caractéristique d'avoir augmenté la complexité des interactions informationnelles tout en en démultipliant la masse.

Alors que Google s'est montré à la pointe de l'innovation depuis sa création, il faut déjà se placer dans la perspective de l'après puisqu'il me semble à la traîne sur les aspects filtrage / individualisation / automatisation de l'information (= qui a une valeur réelle à un instant donné pour un individu unique).

L'accès simplifié aux réseaux, l'intuitivité des outils de production, l'émergence de nouveaux média (blog, podcast, IM), l'agrégation des contenus ont multiplié follement la création de données. Il devient de plus en plus difficile pour un internaute moyen d'accéder aux seules informations qui l'intéressent, l'obésité informationnelle le guettant à chaque minute !

Bien-sûr, nombreux sont les chercheurs, les entreprises ou plus simplement les amateurs éclairés (communautés de type Open Source) à essayer de résoudre les innombrables paramètres, parfois antagonistes, de l'équation. On peut d'ores et déjà penser que les années qui viennent seront celles d'une nouvelle convergence qui verra s'associer de nombreuses disciplines : médicales (neurosciences, cybernétique***) , sociales (sociologie, anthropologie, psychanalyse) et réseaux-centrés.

Au final, la prochaine décennie pourrait voir l'émergence des premiers individus "infocentrés", bardé de capteurs organiques & nanotechnologiques où l'information qui leur sera destinée tiendra compte du l'activité récente (heures, jours, semaines) ou à venir (minutes, heures), des capacités instantanées d'attention (mode travail, déplacements, week-end, vacances) et de leur état physique et mental (gai, triste, déprimé, etc.).

De fait, la pollution informationnelle et ses excès seront pratiquement réduits à néant. Mais l'IMC de l'information est encore loin !

* Web 3.0 sur Wikipedia (En)
** Web 3.0 and beyond: the next 20 years of the internet
*** dans le sens SF (Science-Fiction, qui ne l'est parfois plus quelques années ou décennies plus tard !)

Le FBI, Cisco et le "péril jaune"

De l'art de présenter l'information pour l'orienter d'un côté...comme de l'autre ! Telle pourrait être la morale de cette vraie-fausse histoire de risque "majeur" sur les infrastructures critiques avec atteinte à la sécurité nationale des États-Unis !

C'est en quelque sorte ce que retient le lecteur peu ou pas averti en parcourant l'une des nombreuses dépêches de la semaine. L'affaire, puisqu'elle est présentée ainsi, est la communication officielle du FBI sur une enquête commencée il y a 2 ans.

Nom de code : "Operation Cisco Raider".
Objet : la contrefaçon de routeurs Cisco.
Lieux : l'U.S. Naval Academy, l'U.S. Naval Air Warfare Center, l'U.S. Naval Undersea Warfare Center, la General Services Administration et la base aérienne US de Spangdahlem en Allemagne.

Waouh, ça sent le scoop avec des vrais morceaux d'OSS 117 dedans ! Voire le bon vieux scénario hollywoodien du futur blockbuster de l'été. Dit comme cela, on dirait une plaisanterie mais l'information est très sérieuse.

L'attention (la tension ?) monte subitement de plusieurs crans puisque la provenance de ces matériels reste floue, on parle de "fabricants tiers". Et puis, la fumée se dissipe complètement et on se retrouve téléporté en Asie, du côté de l'empire du Milieu !

Contrefaçons, équipements réseaux, guerre de l'information, Chine, USA, ça y est, le scénario est planté, la machine à mythes et à fantasmes peut fonctionner à plein. Sauf que...

Sauf qu'après enquête du FBI et de ses homologues canadiens, aucun troyen ni code malicieux n'a été trouvé dans ces équipements mais qu'ils "étaient susceptibles de s'y trouver portant potentiellement atteinte à l'infrastructure nationale". Et là, merci à l'article de NewsFeed qui évite le comportement moutonnier de certains de ses camarades !

Dans l'état de tensions géopolitiques et économiques actuelles, d'évènement controversé proche à venir (JO Pékin), de désinformation qui pullule, il est important d'éclairer correctement ce type d'information "sensationnelle". Même s'il faut admettre que la contrefaçon est une plaie, que les équipements électroniques contrefaits peuvent être truffés de troyens, backdoors et autres joyeusetés, il y a comme un parfum de malhonnêteté à orienter suffisamment des possibles pour en faire de l'avéré !

Net Focus 2008 (Lyon, France)

Quelques jours après la fin de Net Focus France (Lyon, 9 & 10 avril 2008), l'heure est au bilan. Sans rentrer dans les détails puisque cette conférence a l'originalité, entre autre, d'être off, un énorme bravo tout d'abord à l'organisation !
Baptie & Co, qui organisait l'événement, a tout mis en œuvre pour que ces rencontres se fassent dans les meilleurs conditions : logés à l'hôtel Radisson, tout en haut du "Crayon", petits déjeuners et déjeuners en rapport, sans compter un dîner le mercredi soir dans l'un des restaurants Bocuse. Bref, rien à dire sur la partie logistique, totalement impeccable.

Ensuite, le contenu : une majorité de RSSI des principales entreprises françaises, des intervenants traitant (bien) de sujets variés, des forums dont certains thèmes étaient originaux et enrichissants, de nombreuses discussions informelles et croisées, une parole plutôt libre et de nombreux constats communs.

Respectant l'originalité d'un tel évènement qui est de réunir les principaux acteurs opérationnels de la SSI en France pour partager leurs points de vue et un retour pratique de leurs expériences, je pense que Net Focus France est devenu l'une des meilleures rencontres du genre.

PS : un billet sur le même sujet sur le blog de Bruno Kerouanton

Sectéra Edge, le Blackberry à la sauce NSA

Joli coup de pub pour General Dynamics C4 Systems, "petite PME" américaine de 11 000 personnes, qui sort un PDA un peu spécial puisqu'à l'usage exclusif de la NSA ! L'intérêt de l'information ne me semble pas résider dans l'association forcément détonante entre de la technologie d'essence militaire (MIL-STD-810F) et le client final, tellement controversé !

Non, l'important est de prouver que l'on peut vraiment disposer d'un système léger de communication mobile et performant mais surtout réellement sécurisé. On peut faire confiance aux chercheurs de la NSA pour avoir blindé le système à base de Windows CE un peu spécial !

Trois petites remarques innocentes au passage :

1) quels risques prendra un employé à utiliser le Sectéra Edge pour des usages autres que professionnels ?
2) pourquoi la France et l'Europe (universités, labos publics, R&D entreprises, etc.) semblent une fois encore à la traîne, n'y dispose-t-on pas de budgets conséquents et de chercheurs mondialement reconnus ?
3) n'existe-t-il pas des solutions dans l'OpenSource aussi brillantes et facilement transposables dans des entreprises désireuses de s'affranchir des failles techniques involontaires ou volontairement implantées ?

Sans se laisser entraîner dans le buzz, le produit quasi idéal répondant à un vrai besoin semble exister (États, multinationales, PME innovantes). Seul problème : si l'habit et les caractéristiques font briller les yeux du technoïde qui jongle quotidiennement avec le patrimoine informationnel qui lui est confié, l'aspect "boîte noire" des labos-de-l'armée-américaine-et-de-la-NSA (Diverse Customer Base) doit orienter un choix vers une troisième voix possible (OpenSource / Mashups*) .

* pas à propos, je le sais, juste le plaisir de participer à un autre buzz, celui-là beaucoup plus fort en ce moment ! ;)

Monkeys in an endless digital forest of mediocrity

Je participe bientôt à Net Focus 2008 à Lyon en tant qu'intervenant sur le thème particulier des entreprises face au web 2.0, en particulier sur les problématiques décideurs en terme de sécurité et, forcément, aux défis que représentent le prochain saut vers, par exemple, le cloud computing et le web 3.0.
Je reviendrai sur tous ces sujets en temps utile mais, depuis quelques heures, les réflexions d'Andrew Keen m'interpellent suffisamment pour en faire l'objet de ce billet.

Ce pamphlet réapparaît bien à propos puisqu'il n'était déjà pas passé inaperçu lors de sa parution en juin 2007. Sous le titre mystérieux du "Culte de l'amateur", l'auteur y explique pourquoi Internet est entrain de tuer notre culture et de partir à l'assaut de l'économie ("The Cult of the Amateur: How Today's Internet is Killing our Culture").

Ancien de la Silicon Valley et de la première génération d'entrepreneurs sur le web, l'auteur constate un appauvrissement du niveau général des connaissances, le pouvoir pris par les blogs et les sites à succès (de MySpace en passant par Wikipedia).

Sans en rajouter au débat et aux nombreux échanges qu'il y a eu sur le sujet, j'ai ma petite idée sur l'intérêt de ce qu'a posé Andrew Keen. Seul l'angle d'attaque est discutable mais il me semble que l'internet s'est totalement éloigné, peut-être définitivement, du fondamental : trop de bruit, plus d'éthique, un appauvrissement des usages (Miroir, mon beau miroir !), une belle idée devenue une machine à cracher les billets.

Là où je reste optimiste c'est que l'on peut presque comparer la toile à un organisme vivant et que comme tel, il s'autorégulera à terme. Ou mourra !

Le risque humain illustré

En faisant ma veille quotidienne, je suis tombé sur un court entrefilet de Zataz. On y apprend mi-amusé, mi-incrédule qu'un ingénieux pirate s'est fait passer pour le patron de la Barclays, l'une des cinq principales banques britanniques. Son subterfuge a si bien réussi qu'il s'est fait envoyer une carte de crédit avec laquelle il a réussi à soutirer plus de 13500 euros.

Cette semaine, j'ai déjeuné avec l'une de mes connaissances professionnelles proches, RSSI de son état. Discutant de choses et d'autres, il me raconte que son entreprise a probablement perdu plus d'1 million d'euros (véridique !) fin 2007, une paille si l'on compare cette perte au CA de ce groupe. Un des concurrents a récupéré des infos confidentielles et, connaissant le secteur d'activités et la façon qu'ont les responsables concernés de ne pas avoir confiance dans l'informatique pour y stocker les informations concernées, mon collègue RSSI a une forte présomption d'un vol physique des documents concernés, en semaine et en journée de surcroît.

En apparence, il n'y a pas de lien direct entre ses deux anecdotes, hors préjudice financier ?! En réalité, le lecteur averti que vous êtes, a tout de suite compris que les deux délinquants se sont appuyé sur une faille identifiée préalablement. Cette faille dans les deux cas était d'origine humaine. Individuelle dans un cas, collective dans l'autre.
Les moyens de réduire drastiquement les risques qui sont liés à la problématique humaine sont connus, ont fait et continueront de faire la preuve de leur efficacité : une bonne analyse de risques, l'organisation adéquate ou la réorganisation au besoin, de la formation et de la sensibilisation pour l'ensemble du personnel. Avec bien-sûr en point d'orgue les moyens et la systématisation des contrôles, réguliers et aléatoires (revues, audits) des dispositifs mis en oeuvre. A choisir, il vaut mieux hausser le niveau de paranoïa des employés que de conforter leur laxisme (et celui de la direction) !

Pour terminer ce premier billet de l'année 2008, permettez-moi, cher lecteur ou lectrice échoué ou non par hasard sur ce blog, de vous présenter tous mes voeux de santé, de bonheur et de prospérité.

Ultra-compact, low RF power, 10 Gb/s silicon

« Un processeur doté des performances d'un mini super ordinateur utilisant aussi peu d'énergie qu'une ampoule électrique »

Les travaux publiés le 6 décembre 2007 et, même portés à la connaissance du grand public, semblent aussitôt retombés dans le cimetière infini des informations. Pour le moment, car nul doute que la communauté scientifique, à plus forte raison la recherche appliquée, ne peut qu'être enthousiaste et excitée. Sans vulgariser à outrance, une équipe du département photonique d'IBM a réussi à convertir des signaux électriques en impulsions lumineuses, en utilisant des modulateurs électro-optiques cent à mille fois plus petits que des modulateurs photoniques en silicone. L'intérêt de ces modulateurs est qu'ils sont suffisamment petits pour être reliés par centaines ou milliers sur un seul processeur !

Le point suivant qui devrait ravir les plus écologistes d'entre nous est que l'utilisation de la lumière permet une transmission cent fois plus rapide des informations tout en consommant dix fois moins d'énergie (plus besoin de câbles). Enfin, l'équipe de William M. J. Green a utilisé des procédés et outils industriels standards pour réaliser leur brillante démonstration. Ce qui veut dire que l'industrialisation est possible rapidement.

Là où se situe le pivot de ma réflexion à ce sujet est que monsieur Green parle d'une commercialisation n'intervenant pas avant une dizaine d'années. Cette remarque, mise en perspective avec le commentaire sobre d'IBM concernant cette avancée (« étape importante »), est à rapprocher du principal « fonds » qui a majoritairement financé ces travaux. De là à considérer les possibles évolutions à moyen et long terme en terme de sécurité de l'information, il n'y a qu'un pas que je ne franchirai pas aujourd'hui. Je vais lire attentivement l'abstract des travaux puis me nourrir d'autres travaux portant sur la cryptographie quantique et le stockage holographique sur cristal (IBM aussi). Je suis preneur de vos remarques et de vos apports potentiels sur le sujet.

Anniversaire !

De retour sur mon blog après une longue fugue estivale ET automnale. Quoi de neuf après ce long silence ? La Terre a continué de tourner, c'est cela l'essentiel ! ;-)

Je souffle une bougie de plus pour atteindre l'âge que d'aucuns disent "ingrat" puisque trop "jeune" pour être un "vieux" mais trop "vieux" pour être un "jeune" ! Qu'en dire, pas grand chose, à part peut-être que cela signifie une année de plus à travailler dans le monde de la Sécurité de l'Information. L'occasion serait belle de faire le bilan mais je me réserve la trêve des confiseurs, celle des agapes et de la bonne chère ! Rendez-vous donc en 2008 pour ce point et, en attendant, nous aurons l'occasion de nous retrouver autour d'un billet...

Agir pour ne pas (devoir) réagir

Le patrimoine informationnel d'une entreprise repose en grande partie sur son personnel. Encore faut-il que celui-ci en ait conscience. A force de se focaliser sur les dispositifs techniques, l'entreprise "mobile" et ses cadres nomades demeurent toujours et encore le "maillon faible". N'y aurait-il l'analogie (chère à Sid pour le coup) inconsciente à un célèbre jeu débilifiant d'une grande chaîne de télévision, que les sourires se crispent subitement : comment faire comprendre définitivement (aux décideurs qui détiennent les cordons de la bourse) que :
- la sécurité est un investissement, pas uniquement un centre de coût (ROsI et plus),
- le risque majeur est, à de rares exceptions près, le salarié,
- la formation du personnel aux risques et aux menaces est indispensable.

Alors bien sûr, il apparaît difficile d'illustrer le sujet par des exemples publics ou quantifiables. La plupart du temps, les entreprises passent sous silence les fuites malencontreuses ayant conduit à une perte quelconque (financière, concurrentielle, image de marque, réorientation du lobbying, etc.). Dans le pire des cas, elles ne sauront jamais que la perte d'un gros contrat ou l'envol d'un client chez le concurrent s'est joué sur une info récupérée dans le TGV ou l'avion.

Alors au lieu d'attendre benoitement de faire les gros titres de la presse de demain ou de devoir diligenter en urgence des cabinets spécialisés, il faut que les décideurs agissent immédiatement !