Parce que… c’est l’épisode 0x01E!

Shameless plug

• COVID-19
• 21 mai 2021 - Online - Demi-journée gouvernance des ti et transformation numérique
• 5 au 8 août 2021 - Las Vegas, USA - DEFCON 29
• 7 au 9 septembre 2021 - Lilles, France - Forum INCYBER - Europe 2021
• 25 septembre 2021 - Montréal, Canada - Bsides Montréal 2021
• 28 septembre au 1er octobre 2021 - - Objective by the sea v4
• 4 octobre 2021 - Online - Trust Valley Day
• 5 au 7 octobre 2021 - - ElasticON
• 5 au 7 octobre 2021 - Online - MapleSec
• 12 au 17 octobre 2021 - Online - MTL Connecte
• 20 octobre 2021 - - Colloque international GALILEI sur le spatial et le cyberspatial de Défense

Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Présentation de l’invité

Franck Desert participe à cet épisode du Polysécure pour approfondir la conférence qu’il a donnée dans le cadre du Secure. Il œuvre en sécurité cloud, tant en offensive qu’en défensive, et agit comme tech lead de l’équipe CTF du Hack Fest depuis une dizaine d’années. Employé chez CGI depuis neuf ans, il collabore avec l’animateur Nicolas depuis quatre ans. Il se dit ravi des retours positifs et des belles questions reçues à la suite de sa présentation.

Le Splinternet comme fil conducteur

Sa présentation portait sur le Splinternet, un terme choisi pour surprendre l’auditoire. La question qu’on lui pose quotidiennement, à savoir si le cloud est sécuritaire, l’exaspère au point d’y consacrer toute une réflexion. Selon lui, la vraie question serait plutôt de savoir si Internet est sécuritaire, puisque le cloud repose entièrement sur ce dernier. Il convient aussi de se demander à qui appartient Internet. Il raconte l’histoire du réseau depuis ses origines américaines, des années 70 jusqu’à 2015 et 2016, période où le contrôle a commencé à se redistribuer, notamment avec l’autonomie de l’ICANN en novembre 2016. La donne n’a donc changé que tout récemment.

La métaphore de la voiture

Franck compare la question de la sécurité du cloud à celle d’une Porsche. Une voiture n’est pas sécuritaire en soi, c’est le conducteur qui l’est ou non. L’animateur abonde dans ce sens en rappelant que la notion même de sécuritaire reste floue, car ce que chacun considère comme tel diffère d’une personne à l’autre. La sécurité signifie-t-elle que les Américains ne peuvent pas voir mon contenu, ou plutôt que personne de malveillant ne peut y accéder ? Cette ambiguïté plane sur l’ensemble des débats entourant l’infonuagique.

Un Internet sous contrôle étatique et commercial

Le Splinternet désigne le découpage progressif du réseau en espaces numériques souverains. L’Internet libertarien et libre imaginé au départ n’est plus possible, principalement parce que les enjeux économiques sont devenus colossaux. Franck rappelle que les GAFAM génèrent plus que le PIB américain cumulé deux fois par année, et que les géants chinois rivalisent presque avec cette économie. Face à des entreprises privées aussi puissantes que des États, qui pilote réellement ? Il évoque ensuite le contrôle du DNS, qui permet de tenir Internet par son point d’entrée. Les serveurs racines, d’abord au nombre de treize, étaient principalement américains. Les dérives observées en Chine, au Myanmar ou en Syrie illustrent comment le réseau devient un instrument de dictature, où l’information est véhiculée, chiffrée ou coupée selon la volonté du pouvoir.

L’illusion du data center local

Les grands fournisseurs de cloud public sont positionnés dans des pays membres des Five Eyes, des Nine Eyes et des Fifteen Eyes, des alliances qui se partagent les renseignements, même en présence d’un VPN. Croire que ses données sont protégées parce qu’elles résident dans un data center canadien relève donc de l’illusion, puisque le Canada fait partie du Five Eyes et qu’un contrat signé peut obliger le fournisseur à transmettre l’information aux autorités. De plus, environ 80 % du trafic mondial transite par les États-Unis, communications des data centers incluses. Seuls la Chine, où un partenaire local exploite les infrastructures de Microsoft, et la Russie, avec sa loi Runet de 2019, ont réellement isolé une partie de leur réseau.

La menace vient de l’intérieur

Concernant l’affaire de la banque verte québécoise, qui a marqué un avant et un après, le problème ne venait ni du cloud ni d’Internet, mais d’un accès interne légitime. Les organismes comme le NIST estiment que 68 à 73 % des sabotages proviennent de l’interne. La vraie protection consiste donc à déployer des garde-fous personnels et organisationnels, comme les alertes auprès des agences de crédit ou la réduction des limites de carte, pour détecter rapidement toute fraude plutôt que d’empêcher absolument la fuite de données. Nicolas précise que la question centrale est de déterminer qui doit avoir accès à quoi, cet individu n’aurait peut-être pas dû consulter autant d’informations. Il souligne aussi qu’Azure AD réside aux États-Unis pour presque toute la planète, à l’exception des Allemands, des Chinois et du gouvernement américain.

À qui profite le crime

Franck pose ensuite la question de savoir à qui profiterait une trahison des fournisseurs. Le cloud public gagne déjà largement sa vie et détient, entre AWS et Microsoft, l’intégralité des certifications SOC, davantage que la plupart des États. Les attaquants externes n’ont rien à y chercher, les vraies vulnérabilités résidant dans les mauvaises configurations, les mouvements latéraux et les problèmes applicatifs.

Les enjeux économiques et fiscaux

Le découpage d’Internet répond aussi à des motivations fiscales. Franck donne l’exemple de Disney, qu’il consomme au Québec mais qui ne paie aucune taxe au Canada. Les frontières numériques permettraient de récupérer ces revenus, les GAFAM affichant quelque 900 milliards de chiffre d’affaires annuel et les champions chinois près de 400 milliards. L’Europe tente un splinternet doux avec Gaia-X, après avoir laissé dépérir ses champions industriels. Il rappelle enfin que l’ICANN relevait du ministère du Commerce américain et que les États-Unis ont déjà retiré le DNS irakien pendant la guerre.

L’hypocrisie du quotidien et les pistes concrètes

Franck déplore l’incohérence de ceux qui exigent un cloud souverain au bureau, puis offrent leur vie entière à Facebook ou Twitter en quittant le travail, un phénomène illustré par le documentaire sur le dilemme des réseaux sociaux. Il rappelle que les protocoles fondateurs datent des années 75 à 85, que le fichier hosts créé pour l’ARPANET en 1978 persiste encore dans Windows, et que changer ces fondations s’avère quasi impossible, comme en témoignent les difficultés d’adoption d’IPv6 ou le projet chinois de New IP à l’ONU. Ses recommandations restent pragmatiques. Chiffrer les données, doubler le chiffrement, contrôler les accès internes et ne pas se battre contre l’imbattable. La présentation, qualifiée de coup de pied dans la fourmilière, a suscité de nombreux retours enthousiastes et d’autres épisodes prolongeront ce sujet loin d’être épuisé.

Notes

• Franck Desert

Contributeurs

Nicolas-Loïc Fortin	Franck Desert

Crédits

• Montage audio par Intrasecure inc
• Locaux virtuels par Zencastr

Tags: aws, azure, azure, dns, internet