Aujourd’hui, le 28 janviere, est la Journée de la protection des données aux États-Unis, au Canada, en Israël et dans les 47 pays européens où elle est célébrée. Dans l’Union européenne, elle est également appelée Journée européenne de la protection des données.
La protection de la vie privée, et notamment des données personnelles, est essentielle. De nombreuses constitutions nationales — plus de 150, en réalité — mentionnent le « droit au respect de la vie privée ». Celui-ci figure également dans la Déclaration universelle des droits de l’homme des Nations Unies et est protégé par la Convention européenne des droits de l’homme. De nombreux pays, régions et États ont adopté des réglementations en matière de protection de la vie privée, notamment le règlement général sur la protection des données (RGPD) de l’UE et le California Consumer Privacy Act (CCPA).
La Journée de la protection des données vise principalement à sensibiliser les entreprises et les consommateurs à l’importance de protéger la vie privée des utilisateurs et leurs informations personnelles. Elle a pour objectif d’informer et d’encourager le développement d’outils permettant aux entreprises et aux consommateurs de mieux gérer et contrôler les informations personnelles des utilisateurs. Elle vise également à favoriser un respect accru ou renforcé des lois et réglementations existantes en matière de protection de la vie privée, telles que le RGPD et le CCPA. De nombreux organismes, ministères et conseils nationaux et internationaux, ainsi que des établissements d’enseignement et des consortiums industriels, considèrent la Journée de la protection des données comme une occasion d’entamer ou de poursuivre les discussions sur les moyens de mieux protéger la confidentialité des données des consommateurs et des utilisateurs.
Mise en pratique
L’un des moyens les plus répandus et les plus efficaces de renforcer la confidentialité des données des consommateurs et des utilisateurs, qu’elles soient stockées ou en transit, consiste à les chiffrer. Le chiffrement de ces données et de leurs modes de transmission est essentiel pour préserver la confidentialité des informations permettant d’identifier une personne.
Aujourd’hui, le chiffrement est omniprésent. L’attention portée à la confidentialité des utilisateurs et des données a contribué à l’explosion du trafic chiffré. En outre, de nombreux fournisseurs proposent désormais des certificats gratuits ou peu coûteux afin d’améliorer la sécurité en ligne, au bénéfice des utilisateurs, des consommateurs et des entreprises. En somme, ils cherchent à chiffrer l’ensemble du Web ! Selon F5 Labs, 86 % des chargements de pages Web sont désormais chiffrés à l’aide de SSL ou de TLS. Par ailleurs, le chiffrement Advanced Encryption Standard (AES) représente plus de 96 % du trafic Web chiffré actuel. Les réglementations et exigences susmentionnées en matière de confidentialité, telles que le RGPD, le CCPA et d’autres, favorisent l’adoption du chiffrement, même si la plupart d’entre elles n’imposent pas le chiffrement des données personnelles et des données des utilisateurs. Toutefois, de nombreuses organisations chiffrent les données et les communications des utilisateurs afin de ne pas enfreindre ces mêmes réglementations et exigences.
Les inconvénients inévitables
Si le chiffrement est un excellent moyen de protéger la confidentialité des utilisateurs et de leurs données, il présente également un problème qui place aussi bien les utilisateurs que les entreprises face à un sérieux dilemme : les cybercriminels et les pirates informatiques aiment eux aussi recourir au chiffrement pour dissimuler des logiciels malveillants, des rançongiciels et d’autres vecteurs d’attaque. Malheureusement, le chiffrement crée un angle mort en matière de sécurité.
Par exemple, les sites web frauduleux utilisés dans le cadre de campagnes de phishing et de spear phishing ont de plus en plus recours au protocole HTTPS pour paraître authentiques et inciter les utilisateurs peu méfiants à cliquer sur des liens infectés par des logiciels malveillants ou à saisir leur nom d’utilisateur et leur mot de passe sur des pages de connexion factices mais convaincantes. Ils trompent même les utilisateurs qui considèrent que le petit cadenas affiché dans la barre d’adresse indique qu’un site web est sûr et sécurisé. Selon F5 Labs, 72 % des sites de phishing utilisent désormais le chiffrement. Mais, pour ne rien arranger, les attaquants, les pirates informatiques et autres acteurs malveillants ne se contentent pas d’utiliser le chiffrement pour dissimuler les menaces : ils profitent également de la confidentialité offerte par la cryptographie pour échapper à la détection lors des analyses forensiques post-mortem, simplement en n’utilisant qu’une seule fois par victime une campagne de menaces spécifique comprenant des logiciels malveillants et des sites de phishing.
Le phishing est une attaque contre laquelle il est très difficile de se défendre, car il exploite la psychologie humaine en recourant à l’ingénierie sociale ainsi qu’aux informations erronées et à la désinformation. Le phishing tire parti de la nature humaine et des émotions, telles que la peur. Cela est particulièrement vrai pendant la pandémie de coronavirus. Les attaquants le savent et l’utilisent à leur avantage. F5 Labs a constaté que le nombre de nouveaux certificats HTTPS contenant les mots « covid » ou « corona » augmentait en même temps que les pics de cas de COVID-19. Même des organismes de santé réputés, tels que l’Organisation mondiale de la Santé (OMS) et les Centres pour le contrôle et la prévention des maladies (CDC) des États-Unis, ont été et continuent d’être usurpés par des attaquants dans le cadre de campagnes de phishing ciblées visant à attirer les victimes vers des domaines malveillants pour leur faire télécharger des logiciels malveillants ou subir d’autres attaques malveillantes, ou à les inciter à saisir leurs identifiants sur de fausses pages de connexion.
Ce que vous pouvez faire
Alors, comment une organisation peut-elle aujourd’hui préserver la confidentialité des données des utilisateurs et des consommateurs ainsi que des informations personnelles, tout en se protégeant contre diverses attaques et violations de données ?
Les organisations devraient adopter une solution capable de déchiffrer à grande échelle le volume considérable de trafic chiffré entrant et sortant qu’elles doivent traiter quotidiennement. Compte tenu du volume actuel de trafic chiffré, de la nécessité de garantir la confidentialité des données des utilisateurs et des consommateurs, ainsi que de la puissance de calcul requise pour le déchiffrement et le rechiffrement, il est déconseillé de confier à une solution de sécurité existante la double tâche d’assurer la sécurité tout en déchiffrant et en rechiffrant le trafic. Un dispositif de sécurité surchargé et surexploité pourrait tout simplement commencer à laisser passer le trafic chiffré sans l’analyser ou ne plus remplir les fonctions de sécurité pour lesquelles il a été déployé.
Afin de garantir la confidentialité et la sécurité des données des utilisateurs et des consommateurs, tout en respectant les réglementations et exigences en matière de protection de la vie privée, les organisations doivent recourir à une solution capable d’autoriser intelligemment le trafic contenant des données privées, telles que des données financières ou de santé, à contourner le déchiffrement. Ce trafic ne doit toutefois pas bénéficier d’un laissez-passer : il doit être inspecté par un ensemble restreint de solutions de la pile de sécurité. Cela n’est cependant possible que si les solutions de la pile de sécurité ne sont pas reliées selon une chaîne statique, mais peuvent participer à des chaînes dynamiques de services de sécurité, en s’appuyant sur des politiques contextuelles pour acheminer le trafic chiffré entrant, une fois déchiffré, vers la chaîne de services de sécurité appropriée.
C’est ce que l’on appelle l’orchestration SSL, et la description ci-dessus illustre, espérons-le, pourquoi elle est aujourd’hui si indispensable, non seulement pour garantir la sécurité de l’organisation, mais aussi pour s’assurer que les informations des utilisateurs et des consommateurs sont protégées et restent confidentielles.
Pour plus d’informations sur F5 SSL Orchestrator, cliquez ici.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.