Lybero https://www.lybero.net Vos données en sécurité Tue, 19 May 2020 08:15:05 +0000 fr-FR hourly 1 https://wordpress.org/?v=5.4.1 https://www.lybero.net/wp-content/uploads/2019/08/cropped-favicon-32x32.png Lybero https://www.lybero.net 32 32 Failles de sécurité et négligences ou les symptômes du SI malade https://www.lybero.net/failles-de-securite-et-negligences/ https://www.lybero.net/failles-de-securite-et-negligences/#respond Tue, 19 May 2020 08:15:05 +0000 https://www.lybero.net/?p=3246 S’il est bien deux éléments que chaque RSSI tente d’étouffer à grand coups de mises à jour et notes de services, ce sont bien les failles de sécurité et les négligences humaines qui ont mis à mal bien des Systèmes d’Information depuis que l’informatique existe. Vaudou ? Magie noire ? Incompatibilité homme / machine ? […]

L’article Failles de sécurité et négligences ou les symptômes du SI malade est apparu en premier sur Lybero.

]]>

S’il est bien deux éléments que chaque RSSI tente d’étouffer à grand coups de mises à jour et notes de services, ce sont bien les failles de sécurité et les négligences humaines qui ont mis à mal bien des Systèmes d’Information depuis que l’informatique existe. Vaudou ? Magie noire ? Incompatibilité homme / machine ? Problème de couche 8 ou d’ICC ? Tentons de comprendre.

Prenons notre premier danger : Martine ou la faille de San Andreas.

Martine sous ses airs de cinquantenaire toute de bonhomie vêtue, 25 ans de carrière, états de services impeccables, CSP+ de rêve, plus d’un publicitaire et d’un DRH rêverait de capter son attention.

Mais vous, RSSI ou technicien, vous connaissez sa vraie nature. Vous savez que derrière ces apparences se cache votre pire cauchemar. Une sirène qui, loin de faire chavirer le coeur des marins et leur navire, sait comme personne, sans rien faire paraître, sans même donner l’impression d’y porter une quelconque attention, mettre à genou toute ou partie de votre système.

Vous la connaissez, cette petite voix qui vous hérisse le poil, que vous entendez trop souvent et qui commence systématiquement par le même enchaînement de mots à peine audibles : « Dis, je pense que j’ai encore fait une bêtise ». Cette étrange sensation quand vous raccrochez votre téléphone que votre temps va être comme aspiré. Vous commencez d’ailleurs à croire qu’après l’étude des travaux des meilleurs scientifiques, Martine a réussi là où beaucoup ont échoué. Martine est capable de courber l’espace et le temps.

A peine avez-vous résolu son problème que vous vous apercevez que le temps a défilé, débobiné comme un chat tire sur le fil d’une pelote de laine. Votre famille est-elle encore vivante ? Le monde a-t-’il sombré ? Etes-vous le dernier être sur terre ? Le temps n’est plus qu’une donnée irrationnelle. Qu’elle est incroyable cette Martine, capable de faire les meilleurs gâteaux du monde pour les anniversaires et faire s’écrouler votre monde en deux clics de souris inconscients.

D’où Martine tire-t’elle son incommensurable pouvoir ? Souvent de son absence d’intérêt pour l’outil. Peut-on seulement lui en vouloir ?

Bien souvent, on utilise des outils assez complexes pour tenter de contrecarrer les plans ou errances des Martines, car oui, il existe bien des Martines dans de nombreuses sociétés.Je pense d’ailleurs personnellement que la présence de deux Martines dans un espace trop restreint déclencherait l’apparition d’un gigantesque trou noir qui aspirerait la Terre. J’espère ne j’amais avoir à vous confirmer ce point mais mon premier conseil : isolez les Martines.

Revenons-en à nos moutons en vous posant quelques questions :

  • Votre outil n’est-il pas un peu trop complexe pour une Martine ou pour d’autres ?
  • Doit-on vraiment avoir fait un doctorat en informatique pour utiliser une application interne ?
  • Ne peut-on pas se préserver de la destruction de la terre en utilisant un outil simple mais néanmoins sécurisé ?

Oui, parce que les Martines, outre leur pouvoir immense de destruction, ça échange aussi de la donnée. Et la donnée, c’est une grande partie de votre activité, vous la manipulez, vous l’exploitez, vous la vendez et vous la conservez.

Mais Martine, elle aime bien la partager sa donnée avec ses collègues, avec vos clients. Et avec son envie irrépressible de mettre le monde à feu et à sang, Martine elle utilise le mail. Lourd, fastidieux, dangereux et ingérable, un cocktail parfait. Martine elle aime bien le mail, c’est simple. En deux clics, elle peut envoyer des choses partout dans le monde. Elle entend une petite voix dans sa tête qui lui assure que son mail va arriver à son destinataire puisqu’elle a saisi l’adresse et personne ne viendra lire le contenu hormis le destinataire- puisqu’elle a saisi cette adresse. Mais Martine, ce n’est pas une experte en informatique, elle a juste envie de transmettre des éléments simplement.

Et vous de votre côté, vous avez envie que cette donnée soit en sécurité.

Une petite erreur d’inattention et hop, comme par magie, le contrat arrive chez un concurrent de votre client ou un de vos concurrents directs. Ou mieux, le mail de Martine arrive bien là où il devrait, mais entre temps, il a été lu, parce que les rois de l’interception, ce ne sont pas les joueurs du superball, ce sont les «  hackers » de tout poil. Après, comme Martine ne manque pas d’imagination, quand les pièces jointes sont trop lourdes pour être envoyées par mail, elle utilise sa botte secrète : le service d’hébergement de fichiers. On ne peut plus sécurisé : Il y a un mot de passe ! Ha ! Vous ne vous y attendiez pas à celle-ci hein ? Martine vous a damé le pion ! Vous lui interdisez des pièces trop lourdes ? Que nenni ! Son neveu lui a donné la solution il y a peu. Martine peut repartir pour la grande aventure de l’anéantissement. Une série de documents confidentiels sur le prochain projet important de l’entreprise ? Hop, un Google drive ! Le récapitulatif des comptes de l’année ? Vlan, un petit coup de Dropbox ! Et comme Martine est fière, elle en parle à ses collègues qui au fur et à mesure utilisent aussi ces outils. Pas de cohérence, pas de centralisation, pas de sécurité, Martine est sur la route toute tracée de son plan machiavélique pour le grand effondrement !

Vous n’êtes pas idiot, vous y avez pensé, même tardivement, alors vous avez déployé un système ultra sécurisé pour contrecarrer Martine. Vous avez mis en place une partie du système et pour vous épauler, vous avez fait appel à …

Kevin ou la négligence ingénue.

Kevin, il est né avec l’informatique, c’est ce qu’on appelle un millenial, une espèce d’un nouveau genre, peu compréhensible de ceux qu’il appelle amicalement, ou pas, les boomers. Il est en charge de la maintenance de vos applications. C’est lui qui a la lourde tâche de s’assurer que tous les systèmes sont à jour.

Les Kevins, ils aiment leur temps libre et les tâches peu rébarbatives; alors ils mettent souvent une ardeur incroyable à automatiser tout ce qu’il peuvent (vous aurez beau lui dire que les trois jours qu’il a passé ne seront compensés que par 20 ans d’utilisation de ce qu’il vient de réaliser, lui au contraire, ne réalise pas). Donc Kevin, il automatise, il n’a pas le temps de tester, il aime aller vite, alors il met à jour automatiquement et systématiquement. Et parfois, quand l’automatisation n’est pas aussi bien pensé que ce qu’il croyait, certaines mises à jour passent à la trappe. Et quand il essaye de vous expliquer pourquoi le système a pu être pénétré par un ransomware, il est aussi clair dans ses explications qu’une chanson d’Aya Nakamura. Il essaye pourtant de bien faire Kevin, mais il n’a pas encore votre expérience.

Pourquoi alors ne pas faciliter votre vie et celle de Kevin en vous épargnant cette fastidieuse étape de mises à jour ? En plus Kévin, c’est lui qui est aussi en charge des installations. L’ennui ? Kevin vient d’expérimenter sa signification en installant trois logiciels sur chaque machine de votre organisation. Il s’est récemment remis au papier pour, tel un prisonnier volontaire, il coche le nombre d’installations vérifiées avant de retrouver sa liberté tant chérie. Aller Kevin, plus que 200 vérifications et tu pourras enfin revoir ton écran 65 pouces pour te délecter des bretons à Mexico.

Avant cette extrémité, il lui reste pas mal de loupés à accomplir. Les utilisateurs appelleront (peut-être des Martines) par ce qu’ils ne voient pas l’icône en forme de tatou carré orange sur un fond jaune et qu’ils ne peuvent pas travailler. Et la pression Kevin, il ne gère pas encore bien. Alors il tente de calmer les foules, les faire patienter.

En attendant, Martine a repris ses habitudes, mais en mieux. Cette fois ci elle utilise We Transfer ! On ne l’empêche pas de travailler comme ça notre Martine !


Evidemment, chez Lybero, on a des Martines et des Kevins, des Martines homme, des Kevin femmes. Je suis moi-même un ancien Kevin repenti, même si mes collègues auraient sûrement le bon goût de vous préciser que je n’ai pas encore tout à fait terminé ma transition 😉

Et c’est bien pour ça que nous les connaissons si bien et que nous avons une affections toute particulière pour eux. Et nous savons que les Martine et les Kevins, ça aime la simplicité et l’efficacité. Et vous, vous aimez les applications qui améliorent votre sécurité.

SI vous souhaitez échanger simplement et efficacement des données chiffrées, sans installation sur les postes client, sans matériel supplémentaire, avec un simple navigateur web alors je vous conseille vivement de vous rendre sur le lien suivant, attention, ce que vous allez y découvrir va vous étonner !

 

 

Auteur: Alexandre, Front-End Développeur

L’article Failles de sécurité et négligences ou les symptômes du SI malade est apparu en premier sur Lybero.

]]>
https://www.lybero.net/failles-de-securite-et-negligences/feed/ 0
Sécurité des données et séquestre numérique de recouvrement à quorum https://www.lybero.net/securite-des-donnees-et-sequestre-numerique-de-recouvrement-a-quorum/ https://www.lybero.net/securite-des-donnees-et-sequestre-numerique-de-recouvrement-a-quorum/#respond Tue, 05 May 2020 13:05:45 +0000 https://www.lybero.net/?p=3140 Le séquestre de recouvrement à quorum ou comment gérer simplement la cryptographie pour sécuriser vos données ? Si vous connaissez Lybero.net vous avez sûrement entendu parler de notre séquestre numérique à quorum intégré à notre drive chiffré CryptnDrive pour assurer les recouvrements. Cette technologie de quorum utilisée dans nos solutions est une technologie brevetée par […]

L’article Sécurité des données et séquestre numérique de recouvrement à quorum est apparu en premier sur Lybero.

]]>
Le séquestre de recouvrement à quorum ou comment gérer simplement la cryptographie pour sécuriser vos données ?

Si vous connaissez Lybero.net vous avez sûrement entendu parler de notre séquestre numérique à quorum intégré à notre drive chiffré CryptnDrive pour assurer les recouvrements. Cette technologie de quorum utilisée dans nos solutions est une technologie brevetée par l’INRIA et le CNRS et permet d’administrer CryptnDrive de manière simple et sûre grâce à une gestion originale des clés cryptographiques de contenus en garantissant ainsi la sécurité des données et leur confidentialité

Qu’est-ce qu’un séquestre numérique à quorum ?

Un séquestre numérique à quorum est un service dans lequel tout un chacun peut séquestrer une information. L’information n’est alors plus accessible. Pour qu’elle redevienne accessible, un membre de l’équipe d’administration du séquestre numérique, que nous appelons les administrateurs de secrets, doit partager avec le tiers qui veut accéder à l’information (recouvrer).

Ensuite, il faut que cet accès soit confirmé par un nombre donné (le quorum) de membres du groupe des administrateurs de secrets.

Chez Lybero.net, nous exploitons le séquestre numérique à quorum pour offrir un service de recouvrement des informations dans un service web de partage chiffré d’informations.

Qu’est-ce que le recouvrement ?

Pas de panique, ici nous ne parlerons pas de recouvrement de créances.Mais nous parlerons de recouvrement dans le sens de retrouver quelque chose que l’on a perdu.  Cela s’illustre par le fait de retrouver l’accès à des coffres et donc des fichiers auxquels on n’a plus accès.

Le groupe d’administrateurs de secrets a en quelque sorte une fonction de vérification et contrôle d’accès. Dans CryptnDrive, ce groupe permet à une personne de recouvrer l’accès à des fichiers chiffrés dans le drive. Le groupe peut de lui-même être à l’origine de l’autorisation d’accès ou cela peut être une personne qui en fait la demande.

Mais comment le groupe à quorum donne l’accès à un tiers ?

Tout simplement en faisant appel à cette notion de quorum. Au niveau juridique un quorum est un nombre minimal de personnes qui doit être présent lors d’une assemblée afin de pouvoir valider une prise de décision. Ce nombre minimum de personne est définit en amont.  Dans notre cas, il s’agit d’un nombre minimum de personne qui doivent donner leur accord pour pouvoir libérer l’accès à un coffre. Nous appelons donc plutôt le groupe d’administrateurs de secrets, groupe à quorum.

Prenons un exemple : La société Corpa a mis en place un groupe à quorum afin de pouvoir gérer les problématiques d’accès aux coffres.

Dans ce groupe, nous trouvons Alice, Bob Charly. A la création de ce groupe à quorum, il a été défini que le quorum serait de 2 personnes. Il faut donc que deux membres du groupe, au minimum, donnent leur accord pour accepter les demandes d’accès qui leurs sont faites.

Paul a perdu son mot de passe et ne peut plus accéder à ses fichiers chiffrés.  Elle demande à Bob s’il peut lui redonner ses accès à ses coffres.  Bob connait Paul et sait qu’il est bien le propriétaire des coffres. Il valide sa demande.

Puis Paul demande à Alice d’accepter sa demande. Alice connait aussi Paul et peut confirmer son identité. Elle valide aussi sa demande.

2 personnes sur 3 ont accepté la demande de Paul.  Le quorum est atteint. Paul peut accéder à ses données.

Retrouvez une courte vidéo explicative sur notre séquestre numérique à quorum ici

 

Mais concrètement comment fonctionne la technologie de recouvrement par quorum chez Lybero.net?

Notre technologie de quorum de recouvrement est unique dans le sens où il permet aux organisations, petites et grandes, de mettre en place et gérer la cryptographie pour chiffrer les données facilement ! Tout simplement parce que l’organisation n’a pas à gérer les clés, tout est géré par notre solution CryptnDrive : d’un point de vue chiffrement et d’un point de vue cryptographique.

Quand vous créez un coffre dans le drive:

les chiffrements successifs avec le séquestre numérique

  • Une clé AES256 est générée: tout contenu du coffre sera automatiquement chiffré dans votre navigateur avec cette la clé.
    • Puis cette clé AES256 est chiffrée en utilisant votre clé publique
    • Cette clé AES256 est chiffrée à nouveau avec la clé publique du groupe d’administrateurs de secrets.

NB : L’ordre de chiffrement ou de déchiffrement n’a pas d’importance

Voici ce qui se passe à l’intérieur du groupe à quorum :

Le groupe à quorum a une seule clé publique qui lui est propre.   Cette clé identifie le groupe en tant qu’entité. À la création du groupe à quorum, chaque membre du groupe à quorum a reçu une clé privée spécifique.

Pour procéder au déchiffrement, il faut faire appel au quorum. Il faut donc que les membres du quorum déchiffrent chacun, avec leur clé privée spécifique, partiellement la clé publique qui chiffre l’information. Une fois que le quorum est atteint le déchiffrement par le groupe à quorum est effectif, l’information est libérée ! Tout cela est possible grâce à la cryptographie.

Mettons maintenant que vous perdiez vos accès, il vous faut donc pouvoir accéder à vos contenus.

  1. Vous allez donc demander au groupe à quorum de recouvrement de retrouver vos accès. Au moment où vous faites votre demande, votre nouvelle clé publique vient surchiffrer la clé AES256 chiffrée avec la clé publique du groupe à quorum. On a donc 2 chiffrements fait successivement.
  2. Les membres du groupe à quorum déchiffrent successivement la clé publique du groupe.
  3. Le quorum de déchiffrement est atteint
  4. Résultat : la clé AES 256 chiffrée par votre clé publique

Vous n’avez plus qu’à déchiffrer votre clé publique avec votre clé privée pour obtenir la clé AES256 protégeant le coffre.

Bien sûr vous n’avez pas à retenir des mots de passe pour effectuer ces procédures de déchiffrement. Quand vous réinitialisé le mot de passe, tout comme à l’inscription, les clés publique et privée sont automatiquement générées. De ce fait, lorsque vous vous connectez comme sur n’importe quelle application, la procédure cryptographique se met en place toute seule.

Les caractéristiques clés sont les suivantes :

  • Le groupe à quorum autorise l’accès au contenu sans jamais avoir accès au contenu,
  • Une personne du groupe à quorum ne pourra jamais accéder seule à l’information,
  • Un seul refus dans le groupe à quorum annule toutes les autres autorisations d’accès,
  • Sans les « autorisations » (en fait des déchiffrements) des membres du groupe à quorum, il est impossible pour l’utilisateur d’accéder à l’information lors des recouvrements,
  • Toutes ses opérations sont « opaques » pour les administrateurs informatiques du système. Ils peuvent savoir qu’il se passe quelque chose, ou que l’opération est en cours. Mais en aucun cas, ils ne peuvent accéder à l’information à quelque endroit ou quelque moment que ce soit.

 

Prenons notre exemple précédent : avec notre groupe de recouvrement à quorum : Alice, Bob Charly. Paul a perdu son mot de passe.

  • Il a besoin d’accéder à des fichiers sur le drive. Il s’agit de données RH sur les salariés donc des données confidentielles qui ne doivent pas être accessibles.
  • Il réalise la procédure de réinitialisation de mot de passe et fait une demande de recouvrement d’accès au groupe de recouvrement à quorum.
  • Lorsqu’il fait sa demande, sa nouvelle clé publique est utilisée pour surchiffrer la clé de contenu AES256 chiffrée par la clé publique du groupe à quorum.
  • Les membres du quorum reçoivent une notification leur indiquant que Paul souhaite recouvrer ses accès à ses coffres.
  • Chaque membre du groupe à quorum reçoit cette notification. Ici le quorum est de 2, il faut donc que deux membres du groupe à quorum valide la notification reçue. De cette manière, chacun des membres déchiffre partiellement.
  • Une fois les deux validations actées, la clé de contenu AES256 chiffrée avec la clé publique de Paul est obtenue.
  • Paul peut avec sa nouvelle clé privée déchiffrer la clé de contenu chiffrée avec sa nouvelle clé publique et accéder au coffre avec ses dossiers.

processus complet du séquestre à quorum

 

Voilà donc pour ce qui se passe derrière la caméra. Face caméra, cela est beaucoup plus simple.

Paul a juste eu à faire une demande au groupe à quorum et rentrer son mot de passe. Les membres du groupe à quorum ont juste eu à valider l’identité de Paul pour valider son accès. D’un point de vue cryptographique, les opérations sont complexes, mais pour les utilisateurs elles se présentent très simplement. Se logger, cliquer sur un bouton d’acceptation, …

Il y a une séparation cryptographique stricte entre

  • La demande d’accès que Paul fait au groupe
  • L’autorisation, quand l’autorisation est donnée par le groupe
  • L’accès quand Paul a effectivement accès aux données

Le contenu étant surchiffré avec la clé publique de Paul, les membres du quorum n’ont jamais eu accès aux fichiers confidentiels. L’intégrité, la confidentialité et la sécurité des données sont donc garanties.

Et dans quel cas l’utiliser ?

Il existe aujourd’hui plusieurs cas (non exhaustif) nécessitant la mise en place d’un quorum de recouvrement.

  • Le plus commun des cas d’utilisation est bien sûr la gestion des pertes de mot de passe et des recouvrements d’accès aux dossiers chiffrés. Il permet d’augmenter la sécurité des accès aux données et garantir leur confidentialité grâce à l’isolation cryptographique.
  • Lorsqu’ une personne quitte l’entreprise un peu précipitamment ou que celle-ci est absente et non joignable. Par le biais du recouvrement par quorum, il est possible de récupérer l’accès aux fichiers sans compromettre l’intégrité des données. Cela peut être le cas par exemple lorsqu’une personne quitte l’entreprise en mauvais termes, lors d’un décès d’un salarié ou d’une hospitalisation …

Le quorum peut jouer un rôle de contrôle d’accès afin de protéger les secrets de votre organisation et empêcher la fuite vers la concurrence.  En effet il n’est pas rare que des employés quittent une entreprise pour la concurrence. Un quorum de recouvrement pourra aider l’entreprise à protéger ses données dans ces cas de figures.

  • La technologie de quorum permet aussi de répondre à des contraintes spécifiques en termes d’accès aux données. Comme cela peut être le cas dans le secteur de la propriété intellectuelle où le conseil national de la propriété industrielle impose qu’un confrère puisse accéder aux données d’un indépendant justement dans le cas où ce dernier ne serait plus dans la capacité d’accéder à ses données.
  • L’utilisation de la technologie de quorum de recouvrement permet à toute organisation de respecter la réglementation en matière de protection des données. En effet, elle garantit leur confidentialité et leur intégrité.

Quels en sont les avantages pour un organisation ?

  • Tout comme l’utilisation de notre solution CryptnDrive starter, elle facilite la mise en place du chiffrement par la cryptographie web et de la protection de vos données au sein de votre organisation.
  • Elle simplifie aussi la gestion des clés de chiffrement qui est souvent difficile à mettre en place dans les entreprises. Les clés de chiffrement sont générées et gérées par l’application.
  • La séparation cryptographique entre la demande d’accès, l’autorisation et l’accès au coffre permet de garantir la confidentialité et la sécurité des données.
  • La possibilité de pouvoir contrôler l’accès aux données, sans avoir accès à celles-ci, est une fonctionnalité fortement différenciante vis-à-vis de la concurrence et elle garantit la confidentialité des données.
  • Le risque SPOF, qu’il soit humain ou matériel, est fortement diminué. Les clés d’accès aux données ne sont pas entre les mains d’une seule personne, cible privilégiée d’une attaque potentielle. Mais entre les mains de plusieurs personnes. La sécurité est basée sur le nombre de personnes du quorum et non plus sur une seule personne ou le matériel ; rendant ainsi les attaques plus compliquées.

Vous l’aurez compris, la technologie de recouvrement par quorum vous permettra de gérer facilement la sécurité de vos données et d’en contrôler l’accès de manière hautement sécurisée mais aussi facilement.

 

L’article Sécurité des données et séquestre numérique de recouvrement à quorum est apparu en premier sur Lybero.

]]>
https://www.lybero.net/securite-des-donnees-et-sequestre-numerique-de-recouvrement-a-quorum/feed/ 0
Lybero.net and Hego IT announce their partnership ! https://www.lybero.net/lybero-net-and-hego-it-announce-their-partnership/ https://www.lybero.net/lybero-net-and-hego-it-announce-their-partnership/#respond Thu, 02 Apr 2020 09:14:00 +0000 https://www.lybero.net/?p=3030 #New partnership Hego IT, expert in IT infrastructure security and data maintenance, and Lybero.net, expert in web encryption and data protection, join their forces to offer you the best suited solutions to your data security needs in Germany. HEGO Informationstechnologie GmbH was founded 1997. Since then the company has gathered customers from all markets all […]

L’article Lybero.net and Hego IT announce their partnership ! est apparu en premier sur Lybero.

]]>
#New partnership

Hego IT, expert in IT infrastructure security and data maintenance, and Lybero.net, expert in web encryption and data protection, join their forces to offer you the best suited solutions to your data security needs in Germany.

HEGO Informationstechnologie GmbH was founded 1997. Since then the company has gathered customers from all markets all around the world.
Their customers are located worldwide in Germany, Europe, USA, VAE and even China. Core competency of HEGO is the design and realisation of long-living strategies in the area of IT security, IT governance, compliance and design. HEGO is protecting its customers from downtimes in IT infrastructure, data-breaches, intrusions and all other kinds of IT security risks, both in terms of technical and also strategical consulting.
Their team is highly motivated to work for customers success and trained on the best possible level ( ISO 27001 / ISO 27005 / ITQ / CEH- Certified Ethical hacker and much more)

Hego IT as an expert on strategies in cybersecurity will provide you one of the most secure solution in cybersecurity.

Thanks to this unique partnership, which will offer you high security solutions to protect your data wherever you are.

More information about Hego It

 

 

L’article Lybero.net and Hego IT announce their partnership ! est apparu en premier sur Lybero.

]]>
https://www.lybero.net/lybero-net-and-hego-it-announce-their-partnership/feed/ 0
Datalake et sécurité des données https://www.lybero.net/datalake-et-securite-des-donnees/ https://www.lybero.net/datalake-et-securite-des-donnees/#respond Tue, 24 Mar 2020 16:08:03 +0000 https://www.lybero.net/?p=2991   Un datalake centralise l’ensemble des données de l’organisation ; il lui permet de stocker, traiter et analyser ses données dans une optique d’amélioration de son business. Au vu de la quantité de données que nous générons, nous vous laissons imaginer d’une part la taille de ces datalakes ou lac de données et d’autre part […]

L’article Datalake et sécurité des données est apparu en premier sur Lybero.

]]>
 

Un datalake centralise l’ensemble des données de l’organisation ; il lui permet de stocker, traiter et analyser ses données dans une optique d’amélioration de son business. Au vu de la quantité de données que nous générons, nous vous laissons imaginer d’une part la taille de ces datalakes ou lac de données et d’autre part la difficulté pour sécuriser ces données. En cas de faille, c’est potentiellement toutes les informations de l’organisation qui fuitent ! Le dilemme de ces organisation est donc  comment  assurer la sécurité des données de ces datalakes tout en pouvant procéder aux traitements nécessaires à l’amélioration de leur activité .

De la difficulté de sécuriser les données d’un datalake

La première solution qui viendrait à l’esprit pour sécuriser les données d’un datalake serait l’anonymisation des données.  Il serait possible d’anonymiser les données avant qu’elles ne soient déposer dans le datalake.

Cela pose deux problèmes.  Le premier  concerne le fait qu’une donnée anonymisée ne peut plus être récupérée et cela d’une manière irréversible ; cela peut donc poser certains problèmes car elle ne pourra plus faire l’objet ultérieurement de certains types de traitement.

Le deuxième problème concerne la certitude de l’anonymisation des données, elle peut donc s’avérer très complexe. Prenons un exemple qui parlera aux techniciens et au moins techniciens d’entre nous.

Bob se poste à l’entrée d’une agence bancaire pendant quelques jours, il relève les gens qui vont à l’agence, il les identifie individuellement, ensuite, sans autre information que les relevés bancaires (dépôt de chèques à telle date, ou dépôt d’argent ou retrait guichet), il y a des chances qu’il arrive à identifier les comptes des personnes ou des organisations simplement avec les relevés et sans aucune information d’authentification individuelle. Ainsi avoir accès à des données qui sont anonymes peut permettre de les ré-identifier.

Une solution, en utilisant une stratégie d’anonymisation des données, serait d’anonymiser en bruitant les données soit en les modifiant.  Cependant l’anonymisation va dépendre du traitement ultérieur que l’on va vouloir faire. Si nous reprenons notre exemple de la banque:  je souhaite pouvoir établir les heures d’affluence de l’agence. Je vais donc anonymiser les données d’identité, de dépôts de montant … Mais je vais laisser en clair les données de dates et d’heures afin d’effectuer le traitement souhaité.

Mais si je souhaite effectuer un autre traitement par exemple sur le montant moyen déposé, je vais devoir anonymiser les données d’heures, de dates, d’identités … Mais laisser cette fois en clair les données relatives aux montants des dépôts.

Il y aura donc autant de stratégie d’anonymisation que de traitements. Vous pouvez aisément imaginer la complexité de cette stratégie et le véritable casse-tête qu’elle représente !

Mais alors comment sécuriser les données d’un datalake ?

Reprenons notre datalake débordant de données diverses et variées. Différentes personnes au sein de l’organisation souhaitent pouvoir faire des analyses à grandes échelles sur ces données tout en respectant le RGPD. Ces personnes souhaitent chacune faire des traitements différents.  Il est donc nécessaire de trouver une solution qui permettent à la fois :

  • A différentes personnes d’effectuer des analyses
  • D’effectuer différents types de traitement
  • De respecter la protection des données conformément à la réglementation

En utilisant les algorithmes de chiffrement que nous utilisons chez Lybero.net,  nous vous proposons une stratégie afin de répondre à ces différentes contraintes.

Nous allons utiliser un chiffrement ElGamal à la Pedersen avec un groupe d’administrateurs de secrets, nous appelons ce groupe un groupe à quorum.

Nous avons donc d’un côté le datalake rempli de données, d’un autre côté un groupe à quorum d’administrateurs de secrets et enfin une personne souhaitant effectuer un traitement sur des données.

Le groupe a quorum est constitué de plusieurs personnes, il aura la charge de contrôler l’accès aux données qui se trouvent dans le datalake lorsqu’une personne en fera la demande. Ce groupe à quorum a sa propre clé publique.Chaque membre du groupe à quorum a une clé privée spécifique associée au groupe à quorum. Lorsque l’on chiffre avec la clé publique du groupe une information, il faut que différents administrateurs de secrets (dont le nombre est le quorum) déchiffrent chacun avec leur clé privée de groupe successivement afin d’obtenir le déchiffrement final.

Dans le datalake, chaque type de données est chiffré avec une clé de contenu AES différente. Cette même clé est chiffrée par la clé publique du groupe à quorum.

Une personne souhaite faire un traitement sur un type de données que nous appellerons A. Il va donc demander au groupe à quorum s’il peut avoir accès aux données. Cette demande est matérialisée par le surchiffrement avec sa clé publique par le demandeur de la clé de contenu associée à A chiffrée par la clé publique du groupe à quorum. La clé de contenu est donc chiffrée et surchiffrée.

Deux cas se présentent alors en fonction du traitement.

Dans le cas d’un traitement direct des données, le groupe à quorum va accepter la demande de cette personne. L’acceptation est faite via le déchiffrement par le groupe à quorum (donc les déchiffrements successifs) de la clé de contenu chiffrée par la clé publique du groupe à quorum. Ils libèrent la clé de contenu pour le type de données demandées.  La personne peut déchiffrer les données et a accès à ces données et peut effectuer le traitement souhaité.

Le quorum peut bien sûr aussi refuser la demande cette personne et la procédure s’arrête immédiatement.

Dans le deuxième cas, la personne va faire une demande pour un traitement indirect de ces données. Ceci peut être le cas s’il faut anonymiser ces données au vu de leur caractère personnel et sensible.

La personne va donc demander l’accès aux données au groupe à quorum. Comme dans le premier cas celui-ci peut accorder l’accès ou pas. S’il accorde l’accès il libère donc la clé mais non pas vers le demandeur, mais vers un process qui va faire le traitement spécifique d’anonymisation des données, avant de les rechiffrer à destination du demandeur.

Le terme libéré est dans ce cas trompeur, les administrateurs de secrets n’ont jamais accès à la clé de contenu des données ni aux données.

La personne peut donc maintenant accéder aux données anonymisées et effectuer le traitement souhaité.

Ainsi en intégrant des technologies de chiffrement et un séquestre numérique à quorum il est possible de sécuriser les données stockées sur les datalake et d’en assurer l’intégrité et la confidentialité.

A cela il est bien sûr conseillé de rajouter une architecture réseau isolée accompagnée d’accès contrôlés ou de bastions pour les VMs traitant les données afin de renforcer leur sécurité.

Avec cette stratégie, il est donc possible de sécuriser les données présentes dans les datalake de manière très sûre en :

  • Garantissant une isolation maximale des rôles et des responsabilités des personnes intervenants dans le traitement des données

  • Restreignant l’accès des données : les personnes qui ont besoin d’accéder à des données, auront accès uniquement aux données nécessaires.

L’article Datalake et sécurité des données est apparu en premier sur Lybero.

]]>
https://www.lybero.net/datalake-et-securite-des-donnees/feed/ 0
Baromètre de la cybersécurité des entreprises en France https://www.lybero.net/barometre-de-la-cybersecurite-des-entreprises-en-france/ https://www.lybero.net/barometre-de-la-cybersecurite-des-entreprises-en-france/#respond Mon, 17 Feb 2020 13:51:53 +0000 https://www.lybero.net/?p=2588 Focus sur le baromètre de la Cybersécurité des entreprises : Le CESIN a dévoilé en janvier son étude réalisée avec Opinion Way sur la cybersécurité des entreprises. Chez Lybero.net, nous nous sommes bien sûr penchés dessus et y avons relevé quelques informations clés sur : Les rapports des entreprises aux cyber attaques Le cloud et les […]

L’article Baromètre de la cybersécurité des entreprises en France est apparu en premier sur Lybero.

]]>
Focus sur le baromètre de la Cybersécurité des entreprises :

Le CESIN a dévoilé en janvier son étude réalisée avec Opinion Way sur la cybersécurité des entreprises.

Chez Lybero.net, nous nous sommes bien sûr penchés dessus et y avons relevé quelques informations clés sur :

  • Les rapports des entreprises aux cyber attaques
  • Le cloud et les inquiétudes liées à sa sécurité
  • Les enjeux humains

Découvrez notre focus infographie ci-dessous :

baromètre de la cybersécurité des entreprises en france par lybero.net

L’article Baromètre de la cybersécurité des entreprises en France est apparu en premier sur Lybero.

]]>
https://www.lybero.net/barometre-de-la-cybersecurite-des-entreprises-en-france/feed/ 0
Baromètre des fuites de données par Lybero.net https://www.lybero.net/barometre-des-fuites-de-donnees-par-lybero-net/ https://www.lybero.net/barometre-des-fuites-de-donnees-par-lybero-net/#respond Thu, 06 Feb 2020 09:53:03 +0000 https://www.lybero.net/?p=2575 Les fuites de données ne vous sont sûrement pas inconnues. Peut-être vous ou votre organisation en avez déjà été victime ? De nos jours, les vols et fuites de données sont devenus monnaie courante. Vous en entendez parler quotidiennement à la télévision, sur les réseaux sociaux, dans les journaux… Un problème croissant qui nous concerne […]

L’article Baromètre des fuites de données par Lybero.net est apparu en premier sur Lybero.

]]>
Les fuites de données ne vous sont sûrement pas inconnues. Peut-être vous ou votre organisation en avez déjà été victime ?

De nos jours, les vols et fuites de données sont devenus monnaie courante. Vous en entendez parler quotidiennement à la télévision, sur les réseaux sociaux, dans les journaux…

Un problème croissant qui nous concerne tous que l’on soit un particulier, une TPE ou encore une grande multinationale.

Microsoft en a d’ailleurs fait les frais en décembre dernier avec la mise à disposition sur le web de plus de 250 millions de dossiers de leur service client.

Cela dit, il convient de relativiser cette fuite de données. En effet si les données ont bel et bien été exposées sur le web, celles-ci avaient été anonymisées par Microsoft ; les clients concernés par cette fuite n’ont donc pas de cheveux blancs à se faire !

Le seul point critique dans cette affaire serait la fuite d’une partie des adresses emails comme le souligne le magazine en ligne bigdata.fr

« Cependant, certaines des données censées être supprimées n’ont pas été détectées et sont restées visibles. En guise d’exemple, l’entreprise américaine cite les adresses email auxquelles un espace a été ajouté par erreur. De telles adresses n’ont pas été reconnues comme données sensibles par les outils automatiques, et n’ont donc pas été supprimées. »

source : https://www.lebigdata.fr/microsoft-fuite-250-millions-donnees

Ces adresses pourraient être réutilisées par des hackers se faisant passer pour Microsoft en vous demandant des informations confidentielles, de paiement ou essayer de prendre le contrôle de votre ordinateur.  Vous pourriez vous laisser berner par une demande contenant des informations précises et exactes sur des échanges que vous auriez eu avec le service client de Microsoft.

Notre première recommandation à l’égard des personnes concernées sera de faire attention aux emails qu’elles recevraient de la part de Microsoft :

  • Assurez-vous bien qu’il s’agisse de Microsoft.
  • Faites attention à ce que le lien de l’URL de redirection ne soit pas frauduleux en vous redirigeant vers une page ressemblant trait pour trait à celle de Microsoft mais qui n’en est pas une !
  • Si vous souhaitez vous rassurer et vérifier si votre email a été compromis, n’hésitez à faire un tour sur haveibeenpwned.com

Microsoft n’a pour l’instant décelé aucune tentative d’utilisation de ces données à des fins frauduleuses, il convient donc de relativiser cette fuite et de se poser la question sur la relative gravité des fuites de données.

Nous vous proposons à cet effet un baromètre made in Lybero.net sur la fuite de données :

Barometre-des-fuites-de-donnees de lybero.net

Vous l’aurez compris la gravité d’une fuite de données va dépendre du type d’information concernées et de l’état de ces informations.

Si nous prenons en compte les données de niveau baromètre rouge de paiement, financières ou de santé, celles-ci sont considérées comme particulièrement sensibles. L’usage frauduleux de ces données peut vous causer à vous ou à votre organisation des préjudices particulièrement important et vous coûter très cher.  Il apparaît donc nécessaire d’être vigilant et de mettre en place en plan d’action rapidement dans ce genre de situation.

En ce qui concernent les données de contact (email, adresse …), ce type de fuite est à relativiser. En effet contrairement aux données sensibles, le fait d’avoir accès à ces données ne vous compromet pas immédiatement. Ces informations sont certes personnelles mais en générale publiques. Il vous faudra être vigilant sur l’utilisation qui sera faite de ces données et apprendre à analyser les emails reçus ou les tentatives de contact frauduleux.  Cela démontre aussi à quel point il est primordial de former ses salariés aux cyber risques et ainsi leur apprendre à reconnaître toutes tentatives d’intrusion dans les systèmes d’information ou de phishing.  La gravité de la fuite de données n’est pas tant dans la fuite elle-même mais surtout dans l’utilisation et l’action humaine qui en découle.

Enfin le premier niveau de notre baromètre concernerait des fuites de données anonymisées et chiffrées. Anonymiser et chiffrer des données est le moyen de plus sûr de protéger des données sensibles et stratégiques. Si les données ne sont pas lisibles, elles n’auront donc plus aucune valeur et n’auront plus d’intérêt aux yeux des hackers.  Vos secrets seront donc bien gardés !

Dans le cas de Microsoft, les données qui ont été mises à disposition en clair sur le web avaient majoritairement fait l’objet d’un traitement d’anonymisation au préalable ce qui limite par conséquent leur utilisation malhonnête.

Les solutions Lybero.net utilisent l’art de la cryptographie en associant le chiffrement symétrique AES 256 au chiffrement asymétrique ElGamal 2048 à différents niveaux. Nous assurons de cette manière un chiffrement des données garantissant le plus haut niveau de sécurité.

Vous comprenez donc maintenant l’importance de protéger vos données en amont afin de les rendre illisibles. Chiffrer vos données en utilisant la cryptographie est donc une des meilleures décisions que vous puissiez prendre ; encore faut-il les chiffrer correctement !

 Et si vous doutez encore des pouvoirs de la cryptographie nous vous invitons à lire notre article ici

 En conclusion

  • Oui les fuites et vols de données sont devenus réguliers
  • Oui même les plus grosses organisations et les entreprises du secteur informatique peuvent être touchées
  • Mais non toutes ne sont pas l’affaire du siècle !

Nous vous recommandons tout de même d’être vigilant sur la fuite de données de contact comme les adresses emails qui peuvent engendrer des attaques de phishing de grande ampleur. Ce type d’attaque peut rapidement bloquer votre activité et mettre en péril votre organisation. La simple ouverture d’une pièce jointe peut donner l’accès à votre réseau et infecter l’ensemble de votre système d’information.

 

Nos sources: 

Cyberguerre par numérama: 250 milllions de données de Microsoft ont fuité : quelles conséquences ?

Lebigdata: Microsoft a oublié de sécuriser une base de 250 millions de données

Communiqué de Microsoft

L’article Baromètre des fuites de données par Lybero.net est apparu en premier sur Lybero.

]]>
https://www.lybero.net/barometre-des-fuites-de-donnees-par-lybero-net/feed/ 0
Chiffrer vos données à l’échelle de l’univers ! https://www.lybero.net/chiffrer-vos-donnees-a-lechelle-de-lunivers/ https://www.lybero.net/chiffrer-vos-donnees-a-lechelle-de-lunivers/#respond Wed, 15 Jan 2020 17:02:48 +0000 https://www.lybero.net/?p=2333 L’univers dans une toute petite clé de chiffrement !  A vouloir la plus grande, la plus longue, la cryptographie verse aussi dans cette règle stupide qui semble gouverner les hommes. Mais on en oublie qu’on parle ici d’exposants ! Quitte à nous renvoyer en cours de math au collège, une clé de chiffrement AES-256 n’est […]

L’article Chiffrer vos données à l’échelle de l’univers ! est apparu en premier sur Lybero.

]]>
L’univers dans une toute petite clé de chiffrement ! 

A vouloir la plus grande, la plus longue, la cryptographie verse aussi dans cette règle stupide qui semble gouverner les hommes. Mais on en oublie qu’on parle ici d’exposants ! Quitte à nous renvoyer en cours de math au collège, une clé de chiffrement AES-256 n’est pas 2 fois plus longue qu’une clé de chiffrement AES-128. Car 2^256 (2 exposant 256), c’est juste 2x2x2x2… 256 fois ! Et c’est tellement grand qu’il est difficile de l’appréhender.

Et pourtant 2^256 ce n’est que 32 octets… Une toute petite clé qui chiffre mes données. OK. Imaginez que vous vouliez tester toutes les clés de ces 32 octets pour la trouver MA clé …

Vous utiliseriez un core I42 (qui n’existe pas encore) qui déchiffre 7000 Mo/s en AES 256. Si on a juste besoin des 10 premiers octets d’un fichier pour trouver si c’est le bon, vous pouvez considérer que votre PC teste 734003200 clés par seconde.

Mais vous ne feriez pas les choses à moitié : Vous utiliseriez les 1 milliards de PC de l’humanité. Coup de chance, ils viennent tous d’être upgradés en I42… Ce qui fait 734003200 * 1 000 000 000 de clés testées par seconde.

Allez, puisque nous sommes fous, nous savons bien que les GAFA ont sur la lune des datacenters contenant 10 fois l’humanité en puissance de calcul. Et ils vous les prêtent ! Ça nous fait (734003200 x 1 000 000 000) x 11 clés de testées par seconde.

Pour ma toute petite clé de chiffrement AES-256 bits, il vous faut donc 1,434129111×10^58 secondes pour les tester toutes. Ça fait quand même 4,53516846×10^58 années. L’âge de l’univers étant de 14 000 000 000 d’années, il faudra 3,239406043×10^48 fois l’âge de l’univers…

Vous comprendrez assez aisément que mes données n’auront plus aucun intérêt d’ici là.

Alors oui : La cryptographie est sûre. C’est même ce qu’il y a de plus sûr pour sécuriser vos données en ce monde. Aucun mur en béton ne résistera aussi longtemps.

Vous aurez donc compris comment mettre vos données en sécurité ? Par la cryptographie !

PS: Les puristes trouverons sans doute des erreurs de calculs. Mais l’ordre de grandeur ne changera pas. Et ceux qui croient à leur chance en imaginant tomber sur ma clé de chiffrement avant de les tester toutes, je leur propose de jouer aux loteries… Ils auront infiniment plus de chance de gagner le gros lot chaque jour que de déchiffrer mes données.

Et le quantique dans tout ça ? Dans les algorithmes symétriques, ils n’iront que 2 fois plus vite (*). Cela me laisse largement le temps de reprendre un café : j’ai l’univers dans mes 32 octets.

(*source:https://fr.wikipedia.org/wiki/Cryptographie_post-quantique#Algorithmes_quantiques_et_cryptographie )

L’article Chiffrer vos données à l’échelle de l’univers ! est apparu en premier sur Lybero.

]]>
https://www.lybero.net/chiffrer-vos-donnees-a-lechelle-de-lunivers/feed/ 0
Chiffrement et windows – quelques expériences avec GPG https://www.lybero.net/chiffrement-et-windows-quelques-experiences-avec-gpg/ https://www.lybero.net/chiffrement-et-windows-quelques-experiences-avec-gpg/#respond Tue, 27 Aug 2019 13:03:17 +0000 https://lybero.washaweb.com/?p=153 PROTÉGEONS NOS FICHIERS AVEC GPG SOUS WINDOWS Simple à utiliser, simple à déployer, simple à gérer, possible à contrôler sont nos devises chez Lybero.net pour nos produits. Nous nous concentrons sur la protection de l’échange des données, et non pas sur la protection des données sur les postes. Cela n’empêche pas qu’il faille protéger les […]

L’article Chiffrement et windows – quelques expériences avec GPG est apparu en premier sur Lybero.

]]>
PROTÉGEONS NOS FICHIERS AVEC GPG SOUS WINDOWS

Simple à utiliser, simple à déployer, simple à gérer, possible à contrôler sont nos devises chez Lybero.net pour nos produits. Nous nous concentrons sur la protection de l’échange des données, et non pas sur la protection des données sur les postes.

Cela n’empêche pas qu’il faille protéger les postes par chiffrement. On peut citer 2 niveaux distincts, visant à protéger des informations dans des contextes différents. Le niveau de base est le chiffrement des partitions. Les systèmes d’exploitation proposent cette option depuis longtemps, et il est recommandé de l’utiliser. Cependant, quand votre poste fonctionne, si un attaquant arrive à avoir un accès, il peut récupérer les données qui sont déchiffrées pendant ce temps. Le fait de chiffrer individuellement les fichiers permet d’éviter cela.

Si l’on réfléchit dans les termes du Règlement Général de Protection des Données, l’article 25 (Protection des données dès la conception et protection des données par défaut) indique que “…, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée.”

En terme technique, cela ne peut avoir d’autre signification que : toute donnée à caractère personnel, tout fichier contenant des informations à caractère personnel doivent être chiffrés avec un ou des responsables associés ayant la capacité d’y donner accès de manière volontaire. En particulier, les administrateurs systèmes ne doivent pas avoir accès aux informations personnelles, y compris via les sauvegardes.

La seule manière de faire cela est le chiffrement des fichiers. Il y a plusieurs manières de faire, mais commençons par utiliser un outil universel de chiffrement gpg.

Chiffrement individuel de fichiers sous linux

Je travaille depuis plus de 20 ans sur un poste sous linux. En 2008, j’ai commencé à me préoccuper réellement des problèmes de sécurité. Pour des raisons de diversité du système d’exploitation, les postes linux sont moins susceptibles d’être victime de virus, cependant, un attaquant décidé peut toujours cibler un poste. Ce qui me préoccupait surtout était la multiplicité des mots de passe que j’avais à gérer. Je cherchais un moyen simple de pouvoir les stocker, de manière chiffrée. J’ai donc créé 2 alias (des commandes disponibles via la ligne de commande) pe et pv : pe c’est password edition et pv c’est password view.

Je savais qu’il y avait des programmes tout fait, mais j’aime contrôler avec des solutions simples. Ces alias sont les suivants :


alias pv='pushd ~/Documents/password;make view;reset;popd'
alias pe='pushd ~/Documents/password;make edit;reset;popd'

pushd permet de changer de répertoire en mémorisant le chemin où l’on était à l’origine. popd permet de revenir à ce répertoire initial. Entre les 2, je lance les programmes via make.

Et le Makefile correspondant :


# example Makefile for viewing/editing an encrypted file
GPGID = <mon.adresse@mondomaine.com>
FILEPLAIN = index.txt.clear
FILECRYPT = index.txt

GPG = gpg
RM = /bin/rm -i
VI = vim

edit:
@umask 0077;\
$(GPG) –output $(FILEPLAIN) –decrypt $(FILECRYPT)
# No backup in vim !!!
@$(VI) -c « set nobk » $(FILEPLAIN)
@umask 0077;\
mv $(FILECRYPT) `date +%F-%R`-$(FILECRYPT)
$(GPG) –output $(FILECRYPT) –encrypt –recipient « $(GPGID) » $(FILEPLAIN)
@$(RM) $(FILEPLAIN)

view:
@umask 0077; $(GPG) –decrypt $(FILECRYPT) | less

Quand je tape pv, une fenêtre me demande la passe-phrase de protection de ma clé gpg pour mon.adresse@mondomaine.com, puis je vois mon fichier complet dans lequel je peux faire une recherche via les commandes vim habituelles. C’est clairement une solution de geek. Mais c’est très pratique. Un nouveau mot de passe : pe, aller au bout du fichier, ajouter le mot de passe, sauvegarder, sortir. Et le fichier précédent est sauvegardé avec la date. L’utilisation de pv c’est : pv, recherche, copié collé, et hop. J’utilise vim, mais chacun peut utiliser l’éditeur de son choix.

J’ai part la suite découvert keepassX et maintenant j’utilise les 2 solutions.

À partir de là, il m’est apparu nécessaire d’avoir des commandes de chiffrement / déchiffrement pour mes fichiers avec ma clé pgp. Donc maintenant, j’ai une commande crypt et une commande decrypt (d’accord, c’est en anglais). “crypt nom_de_fichier”, chiffre le fichier en nom_de_fichier.crypto et “decrypt nom_de_fichier.crypto” déchiffre le fichier pour moi-même.

Autant ces solutions me paraissent pratiques pour quelqu’un qui n’a pas peur de la ligne de commande sous linux, autant elles sont totalement impraticable pour un utilisateur sous windows.

Chiffrement des données sous windows

Donc j’ai cherché un équivalent sous windows. Ce que je voulais, c’était avoir juste 2 commandes, une pour chiffrer et une autre pour déchiffrer dans le menu associé à chaque fichier dans l’explorateur de fichiers de windows. Si vous installez gpg4win [https://www.gpg4win.org/], vous avez une commande “Signer et chiffrer” qui ouvre une interface graphique vous permettant de signer et / ou chiffrer pour l’utilisateur par défaut ou quelqu’un d’autre. C’est bien, mais à mon avis, il y a une fenêtre avec des choix en trop. Le déchiffrement est lui très bien, vous faites un clique droit sur un fichier .pgp et le fichier est déchiffré. Inconvénient, le fichier .pgp reste en plus du fichier déchiffré.

C’est presque parfait, mais je voulais quelque chose d’encore plus simple. Juste clique-droit Chiffrer et pour les fichiers .pgp clique-droit déchiffrer, entrer la passe-phrase et c’est tout. Et bien, après quelques (ok, beaucoup) essais, cela marche.

Pour avoir une action sur un clique-droit dans l’explorateur de fichiers, il suffit d’ajouter via l’éditeur de registre regedit des entrées. Vous trouverez de nombreux tutoriaux sur comment éditer les entrées de registre. Donc j’ai ajouté 2 éléments dans le registre windows :

  • HKEY_CLASSES_ROOT -> * -> shell -> Crypt for me
  • HKEY_CLASSES_ROOT -> * -> shell -> Decrypt for me

Dans “Crypt for me”, j’ai créé une sous-entrée command, avec comme clé (par défaut) : cmd /c gpg –output “%1.gpg” –encrypt –recipient “mon.adresse@mondomaine.com” “%1” && del “%1”

Cette commande demande un peu d’explication. cmd démarre un “terminal” command.com, /c indique qu’après l’exécution de la commande suivante, le “terminal” se referme. On trouve ensuite la commande gpg. Le %1 est remplacé par le nom du fichier sur lequel on a fait un clique-droit. On indique que l’on veut chiffrer pour soit même. C’est à la création de la clé que vous indiquez le mail et la personne associée. Il y a un outil graphique de gestion des clés sous windows appelé Kleopatra, vous pouvez générer une nouvelle bi-clé en choisissant l’algorithme de chiffrement / signature. Ensuite, vous avez la liste des différentes clés disponibles. Donc j’indique que je souhaite chiffrer le fichier en ajoutant l’extension .gpg après. && indique qu’il y a une commande qui sera exécutée ensuite et qui est de supprimer le fichier original. Cette commande est exécutée uniquement si la commande précédente s’est exécutée sans erreur.

Il est possible d’utiliser le fichier crypt_for_me.reg ci-dessous pour créer directement la commande dans regedit.


Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\*\shell\Crypt for me]
[HKEY_CLASSES_ROOT\*\shell\Crypt for me\command]
@="cmd /c gpg --output \"%1.gpg\" --encrypt --recipient \"<mon.adresse@mondomaine.com>\" \"%1\" && del \"%1\""

Et pour Decrypt for me, de même, une sous-entrée command, avec comme clé (par défaut) : cmd /c gpg –use-embedded-filename “%1” && del “%1”


Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\*\shell\Decrypt for me]
[HKEY_CLASSES_ROOT\*\shell\Decrypt for me\command]
@="cmd /c gpg --use-embedded-filename \"%1\" && del \"%1\""

Voilà, vous avez maintenant une solution de chiffrement pour vos fichiers sous windows et vous permettant simplement de respecter le RGPD. Mon objet n’est pas ensuite d’expliquer comment ensuite passer à l’échelle d’une entreprise, mais nous y reviendrons en expliquant comment gérer les clés à l’échelle de l’organisation.

L’article Chiffrement et windows – quelques expériences avec GPG est apparu en premier sur Lybero.

]]>
https://www.lybero.net/chiffrement-et-windows-quelques-experiences-avec-gpg/feed/ 0
LePlateauLUX – un laboratoire de codéveloppement de Société Générale avec les startups https://www.lybero.net/leplateaulux-laboratoire-de-codeveloppement-societe-generale-startups/ https://www.lybero.net/leplateaulux-laboratoire-de-codeveloppement-societe-generale-startups/#respond Mon, 20 May 2019 12:51:30 +0000 https://lybero.washaweb.com/?p=151 LA COCONCEPTION ET UNE BANQUE Lybero.net fait partie de la première promotion du #LePlateauLUX. Mais qu’est-ce ? J’ai demandé à Laurent Marochini, le responsable du #LePlateauLUX de Société Générale de m’en dire plus. AL – Lybero.net : Comment faut-il dire #LePlateauLUX ? LM – SGBT : On dit le plateau lux, mais on écrit #LePlateauLUX […]

L’article LePlateauLUX – un laboratoire de codéveloppement de Société Générale avec les startups est apparu en premier sur Lybero.

]]>
LA COCONCEPTION ET UNE BANQUE

Lybero.net fait partie de la première promotion du #LePlateauLUX. Mais qu’est-ce ? J’ai demandé à Laurent Marochini, le responsable du #LePlateauLUX de Société Générale de m’en dire plus.

AL – Lybero.net : Comment faut-il dire #LePlateauLUX ?

LM – SGBT : On dit le plateau lux, mais on écrit #LePlateauLUX avec LUX en exposant.

AL – Lybero.net : Qu’est-ce que c’est que #LePlateauLUX ?

LM – SGBT : C’est un lab d’innovation de la Société Générale Bank and Trust (SGBT), la filiale Luxembourgeoise du groupe Société Générale, dont la finalité est d’héberger des startups en lien avec nos challenges business.

AL – Lybero.net : Quels sont ces challenges business ?

LM – SGBT : Cela dépend des métiers de la banque. On peut parler de solution permettant d’automatiser, des solutions de sécurisation, mais aussi des solutions permettant d’obtenir un avantage compétitif : par exemple l’intelligence artificielle pour mieux exploiter nos data.

AL – Lybero.net : L’idée du #LePlateauLUX est venu d’où ?

LM – SGBT : Il y a 3 ans, un programme Culture&Conduct a été créé, on demande aux gens des solutions pour améliorer le quotidien.

Dans ce contexte, l’idée d’un centre d’innovation a émergé.

Avec l’appui de notre direction, nous nous sommes mis au travail.

Nous avons constitué une équipe en intégrant les différents métiers (Business, communication, achat, services généraux pour créer le lieu).

AL – Lybero.net : Et la coordination avec #LePlateau à Paris ?

LM – SGBT : Au cours de ces 6 – 9 premiers mois, il fallait trouver un nom. Très logiquement, nous nous sommes arretés sur #LePlateauLUX compte tenu de notre ancrage au Groupe, et notamment centre d’innovation à Paris qui s’appelle #LePlateau. Nous avions l’ambition de renforcer le réseau mondial de centre d’innovation du Groupe et le nom nous permet de démontrer le lien à ce réseau et d’asseoir une visibilité interne.

AL – Lybero.net : Qui sont les gens du PlateauLUX ?

LM – SGBT : Il y a 3 personnes très présentes, mais c’est pour tout le personnel de la Société Générale. Tout le monde peut venir.

Amandine Guerrier est l’animatrice du lieu. Elle veille au bon fonctionnement du centre (communiquer, rencontrer les startups, animer, coordonner l’usage du lieu).

Philippe Pasquali le Chief Digital Officer de SGBT est le sponsor délégué de la direction. Il est là pour challenger d’un point de vue digital et métier les différentes solutions.

Et Laurent Marochini, moi-même, responsable du centre d’innovation. Mon rôle vise à accélérer la transformation digitale, développer le niveau de compétence technologique des collaborateurs, améliorer l’image de marque du Groupe et être présent dans l’écosystème.

Mais c’est le lab de tout le monde, et un grand nombre de personnes nous aide : la communication, l’équipe transformation, les achats, le service juridique et les opérations. Beaucoup de personnes viennent nous voir.

AL – Lybero.net : Il y a des sujets prioritaires ?

LM – SGBT : Tout ce qui contribue à nos objectifs. Mais on fait le focus sur tout ce qui peut apporter un maximum de valeur : IA, cybersécurité, … Mais s’il y a un gros enjeu business, on mettra la solution en valeur dans le centre d’innovation.

AL – Lybero.net : Est-ce que tu peux nous parler de la première promotion ?

LM – SGBT : 3 startups ont été hébergées :

Tale of data : ils éditent une application de préparation et d’exploration des données permettant de préparer l’usage manuel, de faire des rapprochements, et surtout l’usage automatisé des données dans des applications de big data ou d’apprentissage. Leur outil a un grand nombre d’usage. Par exemple, dans une base avec des millions d’enregistrement, il permet de normaliser toutes les données (par exemple les adresses ou les numéros de téléphone), de trouver rapidement les doublons quasi identiques …

Myrtea Metrics : Myrtea Metrics propose des outils pour automatiser des tâches complexes dans des processus complexes mais répétitifs. Par exemple, lors d’une réunion de suivi de projet, le chef de projet sait que régulièrement il doit envoyer des mails de relance pour obtenir les indicateurs nécessaires. L’outil va automatiquement proposer le mail au chef de projet, ou un ensemble de mails, que le chef de projet peut choisir. En plus, l’outil apprend, il affine les propositions d’action au fure et à mesure de l’utilisation.

Lybero.net : continuer de parcourir ce site pour savoir qui nous sommes ;=).

Ce sont 3 startups de qualité. Il faut réussir à encore mieux embarquer les métiers. On a été efficace dans la sélection, on doit être encore plus efficace sur la transformation. On y travaille avec toutes les parties prenantes (IT, achat, business, …). Il faut aussi prévoir les budgets en amont et anticiper les problèmes d’intégration. On apprend tous les jours. On apprend en terme humain, de process, de technologie.

AL – Lybero.net : Et le travail avec Lybero.net ?

LM – SGBT : L’équipe est persuadée de l’intérêt de la solution. Les équipes Risc, Banque Privée, Private Equity ont été impliquées et ont compris l’intérêt de l’outil. Maintenant, il faut faire le saut. Nous avons été capables d’expliquer finement les besoins des différents métiers pour que toutes les contraintes (fonctionnelles et de sécurité) soient intégrées dans l’outil. Nous nous sommes très bien entendus.

Gilles Dumont (Myrtea Metrics), Amandine Guerrier (SG), Stéphane Hugot (Myrtea Metrics), Thierry Elkaim (Tale of Data), Philippe Pasquali (SG), Jean-Christophe Bouramoue (Tale of Data), devant Arnaud Laprévote (Lybero.net)

#LePlateauLUX

Laurent Marochini et Amandine Guerrier de la Société Générale

L’article LePlateauLUX – un laboratoire de codéveloppement de Société Générale avec les startups est apparu en premier sur Lybero.

]]>
https://www.lybero.net/leplateaulux-laboratoire-de-codeveloppement-societe-generale-startups/feed/ 0
Pourquoi faut-il chiffrer les informations ? https://www.lybero.net/pourquoi-faut-il-chiffrer-les-informations/ https://www.lybero.net/pourquoi-faut-il-chiffrer-les-informations/#respond Fri, 15 Mar 2019 13:47:34 +0000 https://lybero.washaweb.com/?p=149 RAISONS TECHNIQUES, STRATÉGIQUES, SOCIALES, LÉGALES Lybero.net est un spécialiste du chiffrement de l’information sur le web. Mais après tout, pourquoi est-il nécessaire de chiffrer ? Le système d’exploitation d’un ordinateur et les applications offrent des méthodes d’isolation permettant d’empêcher l’accès aux informations des personnes qui n’y ont pas droits. Qu’est-ce que le chiffrement apporte de […]

L’article Pourquoi faut-il chiffrer les informations ? est apparu en premier sur Lybero.

]]>
RAISONS TECHNIQUES, STRATÉGIQUES, SOCIALES, LÉGALES

Lybero.net est un spécialiste du chiffrement de l’information sur le web. Mais après tout, pourquoi est-il nécessaire de chiffrer ? Le système d’exploitation d’un ordinateur et les applications offrent des méthodes d’isolation permettant d’empêcher l’accès aux informations des personnes qui n’y ont pas droits. Qu’est-ce que le chiffrement apporte de plus ?

La première raison est technique. L’isolation fournie par le système d’exploitation, les applications ou les bases de données est fondamentalement illusoire. Si vous suivez l’actualité technique, vous entendez parler régulièrement de faille informatique, dans les programmes, dans les systèmes d’exploitation, dans les protocoles ou dans le matériel.

Ces failles sont ténues, il suffit de très peu de choses pour avoir une faille. Pour illustrer cela, considérons le bogue qui a conduit à la destruction de la première fusée Arianne 5. L’article wikipedia détaille ce bogue. Pour résumé, une variable représentant une accélération était codée sur 8 bits alors qu’elle aurait du être codée sur 9 bits. 1 seul bit a conduit à la destruction de la fusée au bout de 37 secondes.

Ce type d’instabilité du code est à la fois très habituelle (c’est la définition d’une bogue) et en même temps très surprenant, intellectuellement. Nous sommes trompés par notre intuition physique, de telles instabilités sont rares (même si elles existent) dans notre monde sensoriel.

Non seulement le logiciel est sensible à d’infinitésimale erreur, mais le matériel numérique aussi. L’attaque Spectre et maintenant toute la famille d’attaques associées sont liées à l’architecture des processeurs.

Il faut donc réussir à protéger les données informatiques malgré le logiciel et malgré le matériel. C’est à dire, utiliser autre chose. Cet autre chose ce sont les mathématiques, et les mathématiques pour la protection des données c’est la cryptographie.

L’article Pourquoi faut-il chiffrer les informations ? est apparu en premier sur Lybero.

]]>
https://www.lybero.net/pourquoi-faut-il-chiffrer-les-informations/feed/ 0