Les 10 lois de la sécurité informatique

Lorsqu’en 2000, Scott Culp publie « 10 immutable laws of security », c’est à dire les 10 lois immuables de la sécurité, cela fait couler beaucoup d’encres sur la toile et dans le milieu de la sécurité. D’autres sortent leurs propres listes « corrigées » avec d’autres points clés. Au bout de 10 ans, Microsoft a même publié une liste « v2 » qui n’a pratiquement pas changé. Cela reste donc un document fondateur de la sécurité informatique de par sa globalité et simplicité. Mais il n’existe, hélas, pas de traduction française du document à ma connaissance ! Le voici donc ci-dessous traduit, et avec divers commentaires et points associés.

Ces 10 Lois s’appliquent à tous les cas où ce n’est ni une erreur humaine ni une erreur de conception d’un logiciel qui entraîne une faille de sécurité. Ce sont de vrais problèmes de sécurité qui ne proviennent pas de défauts des produits mais tout simplement de la façon dont fonctionnent les ordinateurs. Vous ne pouvez donc pas vous attendre à une correction ou mise à jour, par qui que ce soit, car c’est lié à la façon dont sont faits les ordinateurs. Mais n’abandonnez pas tout espoir. La connaissance de ces lois est la clé pour se protéger contre leurs dangers et si vous les gardez en tête, vous pouvez considérablement augmenter la sécurité de vos ordinateurs, qu’ils soient de bureau, dans votre poche ou dans le cloud. (À travers ce document, l' »ordinateur » représentera toutes les formes d’ordinateur, que ce soir un portable, smartphone, tablette, ordinateur de bureau, …)

1. Si un pirate informatique vous persuade d’exécuter son programme sur votre ordinateur, vous n’avez plus le contrôle de votre ordinateur.

Lorsqu’on lance un programme, il fera ce que le programmeur qui l’a créé lui a dit de faire. S’il l’a créé dans un but néfaste, le programme le sera. Lorsque vous choisissez de lancer une application, vous décidez de donner le contrôle de votre ordinateur à l’application. Une fois que le programme est lancé, il peut faire ce qu’il veut dans la limite de ce que vous pouvez faire sur cet ordinateur. Il peut enregistrer vos appuis sur le clavier, enregistrer ce qui se passe à l’écran, les mouvements de la souris, le son s’il y a un microphone, filmer avec une webcam si elle est branchée, se renseigner sur les programme installés et ceux qui sont en cours d’exécution sur la machine, ouvrir les documents et les modifier et même les supprimer si ça lui chante, bref, il peut tout faire. Et si le programme est prévu pour envoyer ça vers le pirate, il le fera dès qu’il en aura l’occasion par email ou par internet directement. C’est le mode de propagation de certains virus: ils infectent des fichiers puis s’envoient par email à toute votre liste de contact pour les infecter à leur tour – et vu que vos contacts reçoivent des mails de votre part, ils sont moins méfiants. Une autre variante “à la mode” est la mise en place d’une porte dérobée sur votre ordinateur permettant une prise de contrôle à distance facile.

C’est pourquoi il est important de vérifier la provenance de chaque programme et de ne pas télécharger ou lancer des programmes qui ne proviennent pas d’une source “sûre”. En parlant de source “sure”, cela concerne celui qui a créé le programme, pas celui qui vous le fournit. Il existe une analogie sympathique entre lancer un programme et manger un sandwich. Si vous vous faisiez accoster dans la rue par un inconnu qui vous proposerai un sandwich, le mangeriez-vous ? Probablement pas. Et si c’est votre meilleur ami qui vous donne un sandwich ? Peut-être que vous le mangeriez, peut être que non – cela dépendrai si le sandwich a été fabriqué par votre ami ou s’il l’a trouvé dans la rue. Ayez la même logique pour un programme et vous serez tranquille, en général.

2. Si un pirate informatique peut modifier votre système d’exploitation, vous n’avez plus le contrôle de votre ordinateur

Un système d’exploitation est comme un gigantesque programme: une longue suite de zéros et de uns qui, une fois interprétés par votre processeur, font que votre ordinateur réagit à ce qui l’entoure d’une certaine façon. Changez les instructions de zéros et de uns et il fera quelque chose de différent. Ces informations sont stockées, comme le reste, sur le disque dur. Ce sont des fichiers comme les autre. Donc si une personne peut modifier vos fichiers, elle peut également modifier tout votre système et s’en est fini de l’intégrité de votre système.

Le problème avec la modification de votre système d’exploitation, c’est que c’est généralement le système qui est lancé avec le maximum de possibilités et d’autorisations : il peut faire absolument tout: gérer les utilisateurs, les mots de passe, qui peut faire quoi sur l’ordinateur, … Si un pirate informatique gagne un accès à ces possibilités, il peut faire ce qu’il veut de votre ordinateur, le contrôler à distance, lui faire afficher des informations fausses, voler des mots de passe, devenir administrateur de l’ordinateur, … Pour éviter ce genre d’attaques, protégez vos fichiers système (ceux qui appartiennent au système d’exploitation [ndt: Linux, Windows, MacOS X]).

3. Si un pirate informatique a un accès physique à votre ordinateur, vous n’avez plus le contrôle de votre ordinateur

À partir du moment où un pirate informatique ou une personne mal intentionnée a accès à votre ordinateur, il peut en faire ce qu’il veut. Voici quelques exemples:

• Écraser votre ordinateur à coup de masse
• Voler votre ordinateur et vous demander une rançon pour sa récupération (ou les fichiers sensibles qu’il contient)
• Formater l’ordinateur (même s’il est protégé par un mot de passe au démarrage ou au BIOS, s’il peut ouvrir le boitier, cela ne l’arrêtera pas !)
• Consulter tous vos documents qui sont sur votre disque dur
• Faire une copie de votre disque à votre insu et trouver le mot de passe tranquillement chez lui en testant toutes les combinaisons possibles (des programmes qui font cela de manière automatique existent). Une fois les informations recueillies, il peut utiliser la loi 1 et 2 ci-dessus.
• Remplacer ou installer dans votre clavier un émetteur radio qui lui envoie tout ce que vous écrivez

Bref, soyez assuré que votre ordinateur est protégé physiquement proportionnellement à sa valeur et à la valeur des données qu’il contient. Plus l’ordinateur est important, plus il doit être difficile à atteindre (salle fermée à clé, portes solides, accès contrôlés, …)

Si vous avez un portable, il est encore plus facile à dérober. Pensez donc aux alarmes, cadenas, disques amovibles et autres possibilités de sécurisation de votre ordinateur pour toujours avoir les composants essentiels avec vous. Une bonne idée est également de chiffrer tout le disque dur en utilisant les solutions de votre système d’exploitation ou en utilisant TrueCrypt. De cette façon, si quelqu’un vole votre ordinateur, les informations seront difficilement déchiffrables. Mais la seule façon pour être sûr à 99% que vos données sont en sécurité et que personne n’a touché à votre matériel est de garder votre portable toujours avec vous.

4. Si vous autorisez un pirate informatique à envoyer du contenu sur votre site internet, vous n’avez plus le contrôle de votre site internet

C’est la loi n°1 à l’envers. Si vous possédez un site internet et que vous permettez aux gens d’y envoyer du contenu, assurez vous de limiter au maximum leur utilisation. Si cela n’est pas fait, une personne peut envoyer un programme malveillant, le lancer à distance et prendre le contrôle de certaines pages, de votre site voire de tout l’ordinateur sur lequel tourne le site internet. Le monde de l’Internet est un lieu souvent impitoyable alors ne soyez pas trop aimables – surtout quand cela concerne la sécurité de votre ordinateur/serveur.

Un dernier détail, si vous possédez un site internet sur un serveur mutualisé, si un autre site du serveur est compromis, il est possible que tout le serveur soit compromis et de là votre site également même si vous avez tout sécurisé de votre côté.

Avant d’ouvrir votre site au public, vérifiez de multiples fois que vous avez tout vérifié et mis en place pour empêcher des failles de sécurité.

5. Une forte sécurité du système ne sert à rien si le mot de passe est faible

L’intérêt d’avoir un mot de passe complexe est de vérifier que vous êtes bien quoi vous prétendez être quand vous vous connectez. Une fois que l’authentification est faite, toutes les autorisations que vous avez sont liées à cette authentification. Si le mot de passe est faible, n’importe qui peut usurper votre identité virtuelle sur l’ordinateur et accéder à tout ce que vous pouvez faire: lire/modifier/supprimer vos documents, accéder à vos réseaux, à vos comptes internet, … Une autre possibilité est qu’une personne mal intentionnée pourrait utiliser votre compte pour attaquer d’autres comptes et vous faire porter le chapeau !

Bref, il est utile de protéger vos informations de connexion et de toujours utiliser un mot de passe. N’utilisez pas de mot de passe vide, utilisez des informations hors du commun ou que vous êtes le seul à connaître, donc pas de dates de naissance, de prénom de votre copain/copine ou de votre chien ou belle-mère ou encore le nom de l’équipe de football du coin. Surtout, n’utilisez pas de mots de passe évidents comme “secret” ou “motdepasse” ou ce genre de choses. Prenez plusieurs mots aléatoires, mélangez leurs lettres, mettez des majuscules et minuscules, rajoutez des chiffres et des symboles spéciaux comme $# ou ~. Plus le mot de passe sera long, plus il sera difficile à trouver en testant toutes les possibilités.

De même, si vous pouvez, changez votre mot de passe assez souvent pour être sûr de bloquer une personne qui aurait pu obtenir votre mot de passe. Ensuite, protégez le mot de passe ! Ne l’écrivez pas et si jamais vous devez absolument l’écrire, stockez le dans un endroit vraiment inaccessible (pas un post-it sur le coin de votre écran ou dans le premier tiroir de votre meuble) comme l’étiquette de votre caleçon 😉 Enfin, ne partagez pas votre mot de passe ! Souvenez-vous: deux personnes peuvent garder un secret, mais seulement si l’une des deux est morte.

Si vous pouvez trouver mieux qu’un mot de passe pour vous identifier sur un système, c’est encore mieux: cartes d’identifications numériques, empreintes digitales, scanners de rétine… les possibilités sont nombreuses. Mais là aussi, n’oubliez pas que rien n’est parfait: une carte peut être volée ou copiée, certains systèmes biométriques sont peu fiables etc.

6. Un ordinateur est aussi sécurisé et sûr que l’administrateur est digne de confiance

Chaque ordinateur a besoin d’un administrateur: une personne qui peut installer des logiciels, configurer le système, gérer les comptes utilisateurs et faire en sorte que l’ordinateur fonctionne correctement. Ces tâches demandent un contrôle complet sur l’ordinateur. Il est donc logique que si l’administrateur est malveillant, l’utilisation d’un système où il possède tous les droits est une mauvaise idée. Il peut faire ce qu’il veut, voler des données. Et pire que tout, il peut effacer ses traces vu qu’il contrôle l’ordinateur et effacer ce qu’il a fait ! Si l’administrateur n’est pas digne de confiance, il n’y a absolument aucune sécurité.

Si jamais vous devez embaucher un administrateur système, choisissez avec précaution. Vérifiez ses références, ses précédents employeurs et s’il y a eu des incidents de sécurité auparavant. N’hésitez pas à faire une vérification comme le font les banques en demandant un compte rendu complet de l’individu comme le font les agences de sécurité et de continuer à vérifier de façon périodique pendant son contrat. Prenez le temps de faire un essai et augmentez les droits progressivement. Une erreur dans ce domaine, surtout dans un contexte d’entreprise pourrait être désastreux.

D’autres idées pour garder les gens honnêtes. Utilisez un système de comptabilité des entrées et sorties dans les salles sécurisées. Utilisez la règle des “deux personnes” lorsqu’il y a besoin d’une modification du système comme l’installation, la mise à jour ou la modification. Diversifiez les tâches autant que possible pour diviser le pouvoir d’un seul administrateur. De même, évitez d’utiliser le compte administrateur ou “root” autant que faire se peut et utilisez des comptes ayant uniquement les privilèges nécessaires pour effectuer ce qu’il faut. Pour finir, vous pouvez tenter de rendre la tâche de couvrir ses traces difficiles: stockez des données dans une salle automatisée inaccessible en écriture seulement et accessible par des administrateurs différents, voire à des lieux différents.

7. Les données cryptées sont aussi sûres que l’est la clé de déchiffrement

Imaginez que vous venez d’installer le cadenas le plus gros, le plus solide, le plus sécurisé sur votre porte mais que vous mettiez votre clé sous le paillasson. La sécurité du cadenas n’aurait pas beaucoup d’importance n’est-ce pas ? L’importance ici est donc de protéger la clé du mieux que vous pouvez pour que le cadenas serve à quelque chose. Si un voleur peut atteindre ou copier la clé facilement, il pourrait ouvrir le cadenas facilement. De même sur un ordinateur, si vous avez chiffré des données, la clé doit être tenue en sécurité autant que possible et la méthode de chiffrement doit être la plus solide possible. Si la méthode ou la clé est faible ou facile à obtenir, les données seront faciles à déchiffrer.

La plupart des systèmes de chiffrement proposent d’enregistrer la clé sur l’ordinateur contenant les données chiffrées. Cela est pratique – il n’y a pas besoin de gérer la clé – mais cela est dangereux d’un point de vue de la sécurité car elle devient plus facilement accessible. Ces clés peuvent être cachées et certaines méthodes sont bonnes mais au final, si la clé est sur l’ordinateur, la clé pourra être trouvée. En effet, si le logiciel de déchiffrement peut la trouver, alors un pirate informatique pourra la trouver s’il est suffisamment motivé.

Il est donc conseillé d’utiliser des stockages externes pour la clé de déchiffrement (clé USB par [ndt: depuis peu, il existe une attaque utilisant le matériel USB nommée BadUSB – prudence donc]). Et si la clé est un mot de passe, un mot, une phrase: mémorisez-le et ne l’écrivez nulle part. Si vous devez faire des copies, gardez-les dans un endroit aussi sécurisé que l’est l’ordinateur protégé/chiffré.

8. Un antivirus non à jour est à peine plus utile que pas d’antivirus du tout

Les programmes antivirus fonctionnent en comparant les données de votre ordinateur face à des collections de “signatures” de virus. Chaque signature est unique à un virus et quand un antivirus le trouve dans un fichier, un email ou n’importe où ailleurs, il considère qu’il a trouvé un virus. Mais l’antivirus ne peut trouver que les signatures et donc que les virus qu’il connaît. La plupart des logiciels étant mis à jour automatiquement, les virus les plus dangereux sont les plus récents car les programmes n’ont pas encore pu être mis à jour. Il est donc important de garder un antivirus à jour pour pouvoir bloquer ces virus en attente d’une correction de la faille par l’éditeur du logiciel.

Les virus sont créés tous les jours, il faut donc mettre à jour l’antivirus le plus souvent possible. Comme dit précédemment, le virus fera le plus de dommages surtout au début car peu de personnes l’auront détecté. Une fois que le virus est bien connu, il est peu probable qu’il reste dangereux car il sera rapidement éradiqué de tous les systèmes. Il faut donc avoir des signatures de virus avant que le virus n’arrive.

De même, gardez le logiciel antivirus à jour – et pas uniquement les fichiers de signatures. En effet, les méthodes de détection et de riposte face aux virus évoluent rapidement et les logiciels également. La plupart des éditeurs proposent des mises à jour automatiques mais n’oubliez pas de vérifier de temps en temps que tout se passe correctement.

Ndt: cela s’applique maintenant au champ plus vaste des logiciel anti-logiciels-malveillants qui incluent les virus mais pas seulement

9. L’anonymat absolu est difficile à obtenir et à conserver. Elle reste peu pratique

Toute interaction humaine implique des échanges de données. À partir du moment où une personne arrive à récolter suffisamment de données, il est possible de vous identifier. Il suffit de voir combien d’information sont échangées pendant une courte discussion: taille, poids, âge approximatif, votre accent (et donc votre pays d’origine voire une région). Si vous parlez d’autre chose que de la météo, votre interlocuteur aura probablement des informations sur votre famille, vos intérêts, votre lieu de vie, votre profession. Ces informations peuvent se récolter en quelques minutes et peuvent servir à vous retrouver facilement. Si vous êtes un paranoïaque de l’anonymat, le mieux est de vive dans une grotte, en ermite et de ne jamais parler à quiconque.

Sur internet, les choses sont similaires. À chaque fois que vous visitez un site, vous y laissez des informations: adresse IP, navigateur, système d’exploitation, données GPS pour certains sites récents. Si le gestionnaire du site est motivé, il peut retrouver qui vous êtes car il faut bien que les données que vous voyez vous parviennent. Même en utilisant des proxy ou des réseaux cryptés qui font rebondir vos données autour du globe, avec suffisamment de données, de recoupement et de patience, il est généralement possible de retrouver l’origine et la personne au bout du fil. Même si vous n’utilisez que des cybercafés publics (les caméras de sécurité, ça existe). Bien sûr, si vous commandez quoi que ce soit par la poste matérielle, votre anonymat en sera fortement diminuée car vous devrez donner vos coordonnées.

L’anonymat serait-it donc une cause perdue ? Pas du tout. Cela signifie uniquement que la meilleure façon de protéger votre vie privée sur Internet est la même chose que dans le monde réel: suivant votre comportement. Si vous diffusez vos informations à tout va (réseaux sociaux en tout genres, sites personnels, …), ne vous étonnez pas de les retrouver facilement en faisant une recherche sur vous-même. Vérifiez les chartes de vies privées des sites – de nombreux sites revendent les informations à but marketing et financier.

Des solutions avancées comme les VPN sans conservations de données ou des réseaux comme Tor sont censés offrir un anonymat parfaite mais il arrive toujours une technologie plus maligne qui permet de trouver une faille et de remonter à la source. Soyez conscients de cela.

10. La Technologie peut beaucoup de choses, mais ce n’est pas une solution à tout

La technologie permet des choses incroyables. Chaque année apporte son lot de technologie de plus en plus dingue, plus puissante, plus rapide etc. Tout avance et il est agréable de croire que la technologie va résoudre tous nos problèmes mais la réalité est que chaque technologie, en échange d’un avantage a également des inconvénients dont des risques.

Dans le cadre de la sécurité, il y a un jeu permanent du chat et de la souris entre ceux qui créent des solutions de chiffrement et de sécurité et d’autres qui trouvent des moyens de les contourner. De plus, les humains n’étant pas parfaits, chaque technologie a son lot d’imperfections et d’erreurs. Certaines peuvent être exploitées, d’autres non. C’est un fait. Mais même si la technologie et les appareils étaient parfaits, cela ne résout pas le problème des humains. En effet, de nombreuses failles de sécurité viennent de la manipulation sociale ou d’astuces qui permettent d’usurper facilement une identité pour s’introduire dans un système.

Une bonne sécurité passe donc par une technologie à jour, protégée physiquement et virtuellement sur le réseau et par des protocoles de sécurité qui diminuent au maximum une erreur humaine. Pour finir, la sécurité étant en évolution constante, ce n’est pas un “problème” qu’il faut résoudre une bonne fois pour toutes mais une série constante d’actions entre les “gentils” et les “méchants”. La clé est d’avoir une bonne idée globale du fonctionnement des principes de sécurité pour pouvoir s’adapter rapidement à la situation présentée.

Pour en savoir plus (en anglais), vous pouvez également consulter :

• les 10 lois de la sécurité à destination des administrateurs système
• 10 lois alternatives de la sécurité (de très bonnes idées là aussi)