Executive summary : Bernard Ourghanlian nous fait un topo complet des problèmes et challenges de sécurité dans le mode Cloud. On couvre toute la problématique depuis l’application jusqu’à la sécurité physique des données. Beaucoup de points très intéressants. On se rend compte de la masse de défis à relever pour assurer la sécurité sur ce genre d’infrastructure, ainsi que les problématiques légales qui sont levées à cause de la localisation géographique potentiellement multiples des données.
La session est présentée par Bernard Ourghanlian en personne, qui est le responsable de la sécurité pour Microsoft. Il précise que cette séance sera une introduction, avec une définition du modèle de sécurité, la présentation du Cloud Security Alliance, etc.
Définitions
“Above The Cloud” est un article de Berkeley qui a pris de la hauteur pour mieux définir la notion de Cloud.
Software As A Service est une très vieille idée, vu que c’est là-dessus que se basent les mainframes. La nouveauté est plutôt sur les approches HaaS, IaaS, Paas (Hardware, Infrastructure, Platform As A Service), avec les avantages suivants :
- Illusion de ressources infinies
- Suppression de l’investissement initial
- Possibilité de disponibilité pour des temps très court
La justification du Cloud Computing n’est pas technique mais purement économique, grâce aux économies d’échelle. C’est d’ailleurs en grande partie la raison pour laquelle les acteurs du Cloud sont issus du grand public. On est 5 à 7 fois moins cher, à énergie informatique égale, sur un système avec 10 000 à 100 000 machines qu’avec 1 000.
Caractéristiques essentielles du continuum Cloud:
- A la demande.
- Accès réseau ubiquitaire.
- Mise en commun des ressources : indépendance de l’emplacement (impactant sur la sécurité) et homogénéité.
- Elasticité rapide (consommation à la demande).
- Service mesuré en permanence, en lien avec le contrat sur le niveau de service.
Une petite image pour mieux expliquer le concept de continuum :
SaaS : on consomme un produit fini.
PaaS : déploiement d’applications et de services dans le Cloud. C’est Azure chez Microsoft. Du coup, le client final n’est pas client d’Azure.
IaaS : encore moins de compétence, car il s’agit juste d’abstraire la partie gestion de machines, et c’est le client qui s’occupe de l’installation des machines, virtuelles en général.
Quatre modèles de déploiement du Cloud :
- Public Cloud : infrastructure partagée avec d’autres clients.
- Private Cloud : Cloud dans l’intranet ou externe, mais propriété complète de l’appelant.
- Community Cloud : propriété d’une communauté, par exemple un gouvernement.
- Hybrid Cloud : composition de plusieurs formes de Cloud permettant la portabilité des données ou des services.
Tous les dix ans, un changement d’infrastructure : Mainframe, Client Serveur, Web, SOA, Cloud de 1970 à 2010.
Problématique de sécurité
Dans le papier de Berkeley sont notées 10 obstacles au Cloud. La confidentialité des données et l’auditabilité en fait partie. Le chiffrement des données de bout en bout est un problème en mode Cloud, car si les clés sont sur le Cloud, la sécurité n’est pas garantie en termes de confidentialité par rapport aux propriétaires du Cloud, et si les clés sont chez le client du Cloud, il ne peut pas garantir la sécurité de bout en bout. La mise en place d’un canal sécurisé ne suffit pas car cela sécurise juste le transfert.
Questions sur les données :
- Qui a accès aux données ?
- A n’importe quel moment ?
- Que se passe-t-il si j’arrête mon contrat ? (Clause de réversibilité dans les contrats)
Contexte légal et réglementaire :
- Où sont stockées les données ? (Délai de rétention de données en fonction du pays où sont entreposées les données)
- Combien de temps de stockage ?
- Quel régime juridique s’applique à des données stockées dans un pays, créées dans un autre et utilisées par une personne dans un troisième ?
- Comment sont gérées les réquisitions éventuelles ?
Avantages en termes de sécurité du Cloud :
- Réduction de l’exposition à des données sensibles, par limitation des points d’entrée.
- Homogénéité du Cloud, qui simplifie l’audit et les tests de sécurité.
- Beaucoup d’automatisation dans les Clouds (archivage, mises à jour, etc.), et donc une sécurité meilleure que celle qu’on pourrait avoir chez soi.
- Redondance / Récupération en cas de désastre : un mode intéressant peut être d’utiliser le Cloud comme système secondaire de backup en cas de désastre.
Les défis :
- Confiance envers le fournisseur.
- Perte de contrôle physique.
- Responsabilité indirecte de l’administrateur.
- etc.
Le diagnostic d’une application dans le Cloud reste bien sûr de la responsabilité du client du Cloud. Mais du coup, typiquement, le Cloud doit lui donner accès aux logs.
Sur du SaaS, la seule responsabilité qui reste est celle de la donnée. Tout ce qui est OS, logiciel utilise, énergie, etc. est du ressort du fournisseur.
En PaaS, on a en plus la responsabilité sur l’application.
En IaaS, on a la responsabilité sur tout ce qui est au-dessus de l’hyperviseur.
Challenges
Le Jericho forum propose une vue de la sécurité des Cloud : le modèle de cube.
L’utilisateur du Cloud a la responsabilité de l’application (qualité de codage en termes de sécurité). Le fournisseur du Cloud assure la sécurité physique, réseau, électrique, etc. Tout ce qui est entre les deux est de la responsabilité partagée.
Provisionning : La méthode de provisionning doit elle-même être sécurisée.
Stockage de données : On peut provisionner la localisation des données, pour des raisons légales mais aussi de latence réseau. Le chiffrement peut être réalisé au niveau de la donnée ou au niveau du transport. Il faut aussi bien gérer l’isolation des données par rapport à un autre client du Cloud. L’unité de déploiement matériel chez Microsoft est un conteneur avec 450 serveurs.
Infrastructure du Cloud : Publication de masters de machines sécurisées et trustées. Attention à la dépendance à l’hyperviseur, qui doit absolument être TRES sécurisé (d’où les efforts de Microsoft pour essayer de prouver le code d’HyperV de manière formelle).
Services de support : On peut avoir besoin d’un pare-feu ou de logs de journalisation, mais du coup, il faut aussi gérer un opérateur de maintenance en plus de l’opérateur du Cloud. Il y a le problème de renvoi de responsabilité, de mise à jour des logiciels, etc.
Réseau du Cloud : Bonne capacité de résistance à des DOS, avec sécurité périmétrique, mais avec le problème du zonage des applications.
Conclusion
Avantages sécurité du Cloud :
- Données dispersées.
- La sécurité est une marque importante du fournisseur de Cloud, sur laquelle il va mettre de gros moyens.
- Possibilités avancées de pot de miel.
- Le tiers de confiance ne sait pas quelles sont vos données les plus sensibles, contrairement par exemple à votre administrateur in-house.
Défis :
- Dispersion des données.
- Challenge sur l’harmonisation.
- Problèmes légaux de rétention de données.
- Défis de la journalisation.
- Isolement de la donnée.
- Cible attractive pour des pirates.
- Besoins de chiffrement dédié au Cloud.
