Nous sommes tellement fascinés par nos propres prouesses en cryptographie que nous en oublions que la plupart des données au repos — stockées dans des bases de données — ne sont pas chiffrées.
À titre d’exemple, une analyse des contrôles de chiffrement réalisée par Skyhigh a révélé que 81,8 % des fournisseurs de services cloud chiffrent les données en transit à l’aide de SSL ou TLS, mais que seuls 9,4 % d’entre eux les chiffrent une fois qu’elles sont stockées dans le cloud. Le nombre croissant d’organisations qui laissent un accès sans restriction aux bases de données cloud et aux compartiments de stockage AWS S3 constitue donc une véritable catastrophe en puissance.
Les cyberdéfenses actuelles reposent en grande partie sur le fait que même les supercalculateurs classiques les plus puissants mettraient un temps presque inimaginable à décrypter les algorithmes cryptographiques qui protègent nos données, nos réseaux informatiques et nos autres systèmes numériques.
Extrait de <https://it.slashdot.org/story/18/12/05/2342226/quantum-computers-pose-a-security-threat-that-were-still-totally-unprepared-for>
Cette affirmation est incontestablement vraie. Le problème, c’est que la cryptographie ne protège pas complètement nos données, nos réseaux informatiques et nos autres systèmes numériques. Elle protège les données en transit et, avec un peu de chance, celles qui sont stockées. Elle renforce le contrôle d’accès aux systèmes critiques. Mais en réalité, pour que les « réseaux » et les « systèmes » puissent traiter les données et exécuter des opérations logiques, ils doivent pouvoir consulter les données en clair, sans aucune protection. Les applications non protégées et non corrigées représentent pour les organisations un risque plus important que les espions numériques.
C’est en définitive la raison pour laquelle les violations de données continuent de se multiplier. Non pas parce que les données ne sont pas chiffrées en transit ou au repos, mais parce que les applications et les API ne peuvent pas les traiter sous leur forme chiffrée. Elles doivent être déchiffrées, ce qui les expose alors à un risque de divulgation. Or, les vulnérabilités attirent les attaquants.
Les applications et les API qui interagissent avec ces données non chiffrées et les traitent représentent une menace bien plus importante pour la sécurité et la confidentialité des données que le déchiffrement d’une cryptographie quantique. C’est notamment pour cette raison qu’elles sont si souvent prises pour cible. Selon l’analyse de F5 Labs portant sur dix ans de violations de données « les applications ont été les cibles initiales dans 53 % des violations de données. » Non seulement elles constituent la voie d’accès aux données la plus facile, mais elles sont aussi l’un des seuls endroits restants, sur un parcours de données de plus en plus chiffré, où celles-ci ne sont pas chiffrées et peuvent être facilement exploitées par ceux qui cherchent à se les procurer.
Aujourd’hui, nous sommes presque devenus insensibles aux violations de données, tant elles se produisent à une fréquence alarmante. Il est désormais courant d’apprendre que des millions d’enregistrements ont été dérobés dans une base de données par l’intermédiaire d’une application. Et ce, malgré les efforts visant à nous imposer le chiffrement, notamment l’utilisation de HTTPS plutôt que de HTTP. Et ce, malgré les navigateurs qui imposent des normes cryptographiques concernant les algorithmes et les longueurs de clés utilisés pour protéger les données des regards « indiscrets ».
Si les « cyberdéfenses » actuelles reposent réellement en grande partie sur la robustesse de la cryptographie, alors nous sommes vraiment en difficulté. Car la robustesse de la cryptographie ne suffit pas à elle seule à empêcher les intrusions et les exfiltrations de données qui envahissent nos fils d’actualité et encombrent nos boîtes de réception. C’est la capacité — et, de plus en plus, l’intelligence — avec laquelle nous pouvons détecter et prévenir une attaque susceptible d’entraîner une perte de données qui compte.
Un code malveillant chiffré reste malveillant. Des identifiants volés et chiffrés, injectés dans les systèmes d’authentification des applications, restent des identifiants volés. La suppression des équipements intermédiaires n’élimine pas le risque qu’un serveur web ou applicatif vulnérable exécute un exploit permettant d’accéder à des données précieuses en clair.
Il ne suffit pas de contempler avec admiration notre capacité à renforcer le chiffrement si celui-ci achemine directement au cœur de notre économie numérique les attaques qui menacent d’exploiter les applications et les API. La protection de nos actifs numériques (les applications) et des canaux permettant d’y accéder (les API) exige une approche plus globale de la sécurité des applications, qui associe renseignement, gestion des identités et détection des attaques à une cryptographie robuste.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.