Sécurité: par la lumière ou l'obscurité ?
sécurité, obscurité, lumière, secret de fabrication, identification, coopération.
Juin 1982 : une puissante explosion a lieu en Sibérie, qui frappe un gazoduc.
« C'est l'incendie non-nucléaire le plus gigantesque que l'on ait jamais pu voir depuis l'espace » racontera dans ses mémoires Thomas Reed, ancien patron de l'armée de l'air américaine. À l’origine de l'explosion, une défaillance du système de contrôle informatique que des espions avaient réussi à subtiliser à une entreprise canadienne. La CIA était intervenue sur le logiciel afin qu'il se détraque au bout d'un temps donné. Ceci est un exemple de bombe logique. Depuis cette histoire vraie, rien n'a changé : sa dépendance aux réseaux informatiques interconnectés constitue plus que jamais une menace pour notre société mondialisée. Le secteur militaire est particulièrement concerné, bien entendu, mais terroristes et pirates peuvent également provoquer de graves crises suivies de paniques en intervenant dans les champs financier, médical ou logistique d’un pays. La sécurité sur Internet est un enjeu stratégique. Elle s'exerce tant au niveau individuel (les postes informatiques clients) qu'au niveau collectif (les postes informatiques serveurs). Et, dans ce domaine comme dans d’autres, mieux vaut prévenir que guérir.
Sommaire
Posséder l’information c’est détenir le pouvoir
Cacher la clé de son appartement dans sa boîte aux lettres et présumer que personne ne la trouvera n’est pas nécessairement la stratégie la plus efficace si l’on espère mettre ses biens en sécurité. C’est pourtant cette option que choisissent la plupart des grandes entreprises numériques.
Concrètement, la clé est la faille de sécurité connue par son fabricant : celui-ci préfère la dissimuler aux yeux du public en espérant que personne ne la découvrira et ne la rendra publique, plutôt que d’avertir ses utilisateurs qu’ils courent le risque d’être cambriolés et qu’ils doivent se préparer à cette éventualité. On parle dans ce cas de « sécurité par l'obscurité », appuyée par le principe du secret de fabrication : si vous ne savez pas comment fonctionne mon système de l'intérieur, alors vous ne pourrez pas le prendre en faute. Pour ce faire, les auteurs des programmes informatiques gardent au secret le code source qui permet à leurs logiciels de fonctionner.
Et si fournir la clé était la solution ?
La sécurité par la transparence s'appuie sur l'idée que si le code source est en libre consultation pour tout le monde, ceci va augmenter sa probabilité d'être sûr et inattaquable, donc sans défaillances. Des développeurs de logiciels de tous horizons pourront le télécharger et regarder son mode de fonctionnement, identifier les failles, dénicher des bugs, s'entendre et, au final, aboutir à un degré de sécurité supérieur basé sur l'intelligence collective. Ce modèle est adopté et promu par la communauté Open BSD qui, dans le monde du logiciel libre, a la sécurité pour principale préoccupation. La sécurité par la transparence est néanmoins déjà adoptée pour certains systèmes comme GNU/Linux, qui est à la base de tout système informatique, et aussi pour la distribution Debian.
Quelques infos
Chiffrement : une enveloppe pour les courriels
Envoyer un courriel, c'est un peu comme envoyer une carte postale : toute personne se trouvant sur le chemin du message et possédant un minimum de compétence informatique sera capable de le lire. Personne, pourtant, en principe, ne livrerait à une carte postale des données très personnelles, ni même des informations professionnelles sensibles. Chiffrer un message revient à utiliser une enveloppe.
Clé GPG
Le système le plus efficace pour chiffrer des messages consiste à utiliser une clé GPG. Cela nécessite un petit programme qui s'installe sur tous les ordinateurs et qu'on apprend à manipuler en moins de cinq minutes. Il permet d'assurer un très haut niveau de confidentialité des données. Seule contrainte : pour qu'un échange soit sécurisé, il faut que l'expéditeur et le destinataire utilisent le même système.
Notes et références
