En juillet dernier, la Confédération a lancé un appel d’offre en vu de se doter de sa propre plateforme Cloud. Aujourd’hui, l’OFIT rend publique le résultat et son choix c’est porté sur les entreprises américaines Teradata et Hewlett-Packard. Le but de la Confédération de baisser les coûts, d’augmenter l’efficacité et la sécurité est certes louable mais le fait de s’équiper avec du matériel américain vas totalement à l’encontre des mesures de sécurité et de confidentialité que se doit d’avoir ce genre d’infrastructure.
En effet, la firme HP est connue pour implémenter des modules permettant à la NSA et ces différents services de récolter toutes les données transitant par les infrastructures concernées. En 2007, on découvrait un backdoor (porte-dérobée) affectant 23 modèles de laptop de la marque. En 2008, le service ANT (Access Network Technology) qui fournit aux différents services les outils d’espionnages proposait IronChef, un système touchant directement les serveurs Proliant d’HP.
En 2010, un nouveau backdoor est apparu dans un système de stockage HP.
Enfin, en 2013, HP doit à nouveau avouer la présence d’un backdoor dans ses systèmes de stockages, une porte ouverte sur un accès administrateur présent depuis 2009.
Que faire ?
Malheureusement, HP n’est pas la seule marque qui connaît ce genre de rapprochement avec la NSA, Cisco ou Dell sont aussi impliquées dans cet espionnage à grande échelle. Les chinois avec Huawei ainsi les russes prennent part à ce jeu, même si l’on en entend moins parler. Le plus effrayant, c’est que l’on sait maintenant que la NSA implémente ces espions dans le matériel directement, dans les firmwares (des disques dures Western Digital par exemple) ou dans le BIOS des produits américains.
Dès lors, il y a deux pistes à exploiter.
La première consiste à donner le mandat à nos École Polytechniques de développer, en partenariat avec des entreprises suisses, le matériel ainsi que les logiciels indispensable à l’infrastructure d’un Cloud en se basant sur des logiciels open sources déjà existant. Cette solution a les avantages de donner un superbe essor au développement de la technologie suisse ainsi que que de positionner notre pays sur le marché du Big Data en adaptant la Constitution pour garantir l’identité numérique et en mettant en place un véritable réduit national numérique.
La deuxième solution ou solution du moindre mal consiste à exiger l’inspection des codes sources et du matériel étrangers comme l’a fait la Chine. Mais cette solution ne peut être parfaite car la technologie avançant, il sera de plus en plus difficile de déceler des backdoor infiltrés directement dans les processeurs ou puces électroniques.
La sécurité informatique repose sur 3 axes:
– le facteur logiciel (des entreprises suisses comme Exocloud ou Cloudfoundry sont compétentes dans ce domaine)
– le facteur matériel (un mandat pour l’EPFL serait une bonne solution)
– le facteur humain qui est le plus critique (une formation et un contrôle stricte doit se faire à l’interne)
La Confédération se doit de prendre en compte ces trois axes dans l’élaboration de sa stratégie informatique. Dans le cas contraire, c’est la porte ouverte à de potentielles attaques sur des infrastructures critiques tel que la défense, la stratégie énergétique et économique. Il faut impérativement se préparer maintenant à faire face à ces nouvelles menaces, lorsque l’on sera mis sous pression par les USA (on à déjà eu un avant goût avec lors de la guerre qu’ils ont remporté sur le secret bancaire) ou quand l’Union Européenne voudra vraiment affaiblir la Suisse, il sera trop tard…
Sources :
http://www.ictjournal.ch/News/2015/04/23/HP-deploiera-le-cloud-de-la-Confederation.aspx
http://www.silicon.fr/nsa-backdoors-disques-durs-serveurs-91761.html
http://www.itbusinessedge.com/cm/blogs/weinschenk/security-staffs-must-beware-as-hackers-knock-on-the-backdoor/?cs=13603
https://nsa.gov1.info/dni/nsa-ant-catalog/servers/index.html#IRONCHEF
http://www.securityweek.com/backdoor-vulnerability-discovered-hp-msa2000-storage-systems
http://news.dice.com/2013/07/11/hp-keeps-installing-secret-backdoors-in-enterprise-storage/http://www.zdnet.fr/actualites/la-chine-veut-voir-le-code-source-des-logiciels-etrangers-39813834.htm
