Bertrand Le Bail (Secure Computing) : "Une bonne protection doit se situer entre le contenu et le navigateur, au niveau des passerelles"

Le Web 2.0 présente-t-il vraiment des dangers pour l'entreprise ?

Oui, de récentes études, notamment de Forrester, démontrent que le Web 2.0 véhicule un certain nombre de menaces. Ces menaces sont inhérentes aux techonologies du Web 2.0

De par sa nature même, le Web 2.0 - en permettant la collaboration - met à disposition d'utilisateurs non préparés des outils qui peuvent véhiculer différentes menaces. Par exemple, de nombreux utilisateurs se connectent à des serveurs portant des animations flash qui peuvent embarquer ces menaces. Peu d'outils aujourd'hui sont à même de détecter sur un site à caractère respectable, par exemple wikipedia.org, ce type de menace.

Quelles menaces sont aujourd'hui les plus importantes pour les entreprises ?

Au niveau du Web 2.0, des menaces de type Cross Script Scripting, des menaces de type embarqués dans des animations Flash ou PDF font partie des plus importantes pour les entreprises. Bien évidemment, le spam reste aussi une menace importante. De manière générale, toute menace s'appuyant sur l'appication est ce qu'il y a de plus risqué pour les entreprises.

Quel rôle pour le navigateur dans la lutte contre les menaces ?

Pour définir le rôle du navigateur dans l'impact sur les menaces, j'utiliserais l'analogie suivante. Un navigateur est comme un petit enfant utilisant tout ce qu'il trouve sous sa main pour en faire une nouvelle découverte. Le Web 2.0 est tous les objets que cet enfant trouverait et découvrirait, incluant les menaces. Un moyen de permettre au navigateur de lutter efficacement contre les menaces est de restreindre l'accès aux objets dangereux, comme pour un enfant.

	Photo © Journal du Net / Agathe Azzis
"Un navigateur est comme un petit enfant utilisant tout ce qu'il trouve sous sa main"

Malheureusement, la vocation du Web 2.0 est de fournir du contenu intéressant et il est évident que nous n'avons pas pour vocation d'empêcher, par exemple, l'exécution d'animations Flash au niveau du navigateur. Une bonne protection doit à mon sens prendre place entre le contenu et le navigateur au niveau des passerelles.

Quelle est l'arme absolue contre le phishing ? En existe-t-il une d'ailleurs ?

Existe-t-il une arme absolue en matière de sécurité ? A mon sens, non, un ensemble de technologies est à prendre en considération. Dans le cas du phishing, des outils de réputation, d'analyse comportementale de code, et d'authentification forte sont de bons exemples de défenses combinées.

Pour conclure sur cette question, il n'existe pas d'arme absolue mais un ensemble de défenses combinées répondant à la problématique des menaces combinées.

Les appliances de sécurité sont-elles aujourd'hui vraiment efficaces ?

Une appliance de sécurité n'est aujourd'hui efficace que si ses composants répondent aux différentes menaces. Prenons le cas de la menace publiée sur Wikipedia et ayant pour vocation de se répandre en se faisant passer pour un correctif Microsoft. Une appliance de sécurité ne comprenant qu'un outil de filtrage d'URL aurait été inefficace (wikipedia.org étant un site généralement autorisé).

En revanche, une appliance combinant au filtrage d'URL des techniques de réputation et d'analyse proactive de code pourrait bloquer ce type de menaces. La réputation de l'article étant mauvaise et / ou l'analyse proactive détectant la nocivité du code.

Est-ce vraiment la nature des technologies du Web 2.0 qui est en cause ou bien le manque d'ingénieurs réellement compétents sur ces nouvelles technologies ?

En fait, la majorité des technologies utilisées dans le Web 2.0 renvoit à des technologies qui sont connues depuis longtemps. Ce qui a changé est la manière de fournir l'information. En Web 1.0, l'information était statique et il était difficile à un attaquant d'insérer à l'intérieur des pages Web une attaque.

Le Web 2.0 et son environnement collaboratif permettent à n'importe qui d'insérer facilement du code dans des pages Web et permettent donc facilement de mettre à contribution tout un réseau d'utilisateurs non conscients pour distribuer les menaces.

De manière générale, les règles de programmation valides en Web 1.0 restent valides en Web 2.0. Donc, les ingénieurs programmant ce type de sites doivent être aussi vigilants qu'au préalable. Mais de par la nature même du Web 2.0, il est nécessaire aussi d'augmenter le niveau de sécurité entre les sites et les utilisateurs.

Quand on déploie des Web Services dans son SI, n'est-ce pas dangereux, les requêtes http traversent les pare-feu ?

De plus en plus de système d'informations déploient des Web Services pour diffuser de l'information interne ou pour diffuser du contenu. L'analyse du contenu par des pare-feu traditionnels, dits statefull, ne permet pas d'analyser correctement ces éléments. Pour pallier ce type de problème, de plus en plus d'entreprises installent des pare-feux de type applicatif permettant d'analyser le contenu des requêtes Web.

Proposer un paiement en ligne à ses clients est-il toujours aussi sûr ?

	Photo © Journal du Net / Agathe Azzis
" Il est nécessaire d'utiliser des tiers de confiance pour s'assurer que l'établissement recevant le paiement est bien celui auquel on s'attend"

Différentes notions rentrent dans les problématiques des paiements en ligne. Tout d'abord, la qualité de la connexion entre le client et le site marchand. Il peut être intéressant de valider la connexion de l'utilisateur pour s'assurer de son identité via un mécanisme tiers.

D'autre part, il est nécessaire d'utiliser des tiers de confiance pour s'assurer que l'établissement recevant le paiement est bien celui auquel on s'attend.

La possibilité donnée aux internautes de publier sur un site nécessite de sécuriser les formulaires... Quels sont les pièges à éviter ?

En fonction du contenu, il n'est pas forcément nécessaire de sécuriser son formulaire même si, bien sûr, c'est fortement recommandé. Dans le cas de la sécurisation, les développeurs peuvent prendre en compte la structure même du formulaire et restreindre, par exemple, le volume de données émis via une requête POST. Enfin, un autre moyen, et en fonction du contenu, est d'avoir des modérateurs pour s'assurer de la qualité du contenu posté.

Ajax est-il plus dangereux que d'autres techniques de programmation ? Si oui, pourquoi ?

Non, Ajax est une méthode pour permettre des échanges asynchrones. Correctement mise en pace, elle ne présente pas plus de risques que d'autres technologies.

La solution à toutes ces menaces n'est-elle pas de "mirorer" tous les systèmes critiques, pour pallier tout problème ?

En extrapolant le Web 2.0 au maximum, les systèmes sont des ressources qui sont déjà répliquées de manière importante (par exemple, tous les services qu'offre Google sont bien évidemment dans ce cas). Les menaces propres au Web 2.0 sont liées au contenu échangé entre des utilisateurs et les plates-formes. Ces menaces sont ensuite émises vers d'autres plates-formes cibles (par exemple dans le cas de vers). Répliquer tous les systèmes ne créerait qu'une cible plus importante pour les menaces.

Cependant, la réplication reste un moyen efficace pour se protéger d'autres types de probèmes tels que les problèmes matériels.

Un ver de diffusion mondiale comme ceux que l'on a connus il y a 2 ou 3 ans est-il encore possible ?

L'objectif des attaques modernes est beaucoup plus ciblé. La communauté des attaquants cherche aujourd'hui à tirer un bénéfice substantiel des attaques et l'apparition de menaces à diffusion mondiale sera de moins en moins présente, même si toujours possible.

Avez-vous des chiffres concernant les ordinateurs infectés ? On en dit beaucoup. Ne serait-ce pas des incitations commerciales ?

De nombreux rapports indépendants existent sur le sujet et de nombreuses listes de diffusion relatent l'existance de sites entiers attaqués et infectés. Afin d'avoir des chiffres précis sur les tendances d'infection, je vous invite à vous retourner vers des instituts tels Forester ou Gartner ou plus simplement vers le site du JDN.

Les virus peuvent-ils mourir un jour ? Je demande cela car on voit encore de vieux virus faire de gros ravages.

	Photo © Journal du Net / Agathe Azzis
"Les passerelles permettent de prévenir les attaques au plus prêt de leur source"

Théoriquement non, il n'y a aucune raison qu'un virus tel que Tchnernobyl perde sa charge virale. Cependant, la cible de tels virus diminue avec le temps et la mise à jour des systèmes d'exploitation. Ainsi, on pourrait considérer comme proche de la "mort" des virus ciblant seulement MS-DOS 16bits.

Proposez-vous des technologies pour répondre aux enjeux de sécurité Web 2.0 ?

Secure Computing offre parmi son choix de passerelles plus particulièrement une passerelle de sécurité Web appelée Webwasher. Webwasher se présente sous forme d'appliance et est composée du filtrage d'URL par SmartFiter, d'un filtre de réputation TrustedSource, de bases antivirales et de mécanismes de détections proactives des nouvelles menaces.

Afin de combler aussi les menaces qui peuvent être véhiculées à travers les flux chiffrés, Webwasher propose aussi un moyen de décrypter de tels flux. Webwasher se présente sous la forme d'une appliance capable d'être proxy cache pour tous les flux du Web 2.0.

Les passerelles, un point critique dans le dispositif de sécurité de l'entreprise ?

Oui, les passerelles permettent de prévenir les attaques au plus prêt de leur source, évitant aux administrateurs d'avoir à prendre des mesures de réparation sur un parc beaucoup plus vaste. Les passerelles permettent aussi aux entreprises de prévoir plus en avant leur phase de patchs.

Ainsi un outil comme le scanner proactif de Webwasher est capable de détecter et bloquer des menaces, permettant aux administrateurs de prévoir tranquillement leur phase de patchs sur le parc de machines initialement ciblé par ces attaques.

Un autre fléau pour les entreprises et les particuliers : les spywares. Quels dangers précis représentent-ils ?

Le problème principal du spyware est ce que l'on appelle la fuite de données. La fuite de données peut être au niveau des particuliers - un numéro de carte bleue - mais aussi au niveau des entreprises : on pourrait par exemple citer des plans critiques pour un nouveau produit avec l'impact financier que l'on peut supposer.

Un moyen efficace de lutter contre les spywares est de combiner différentes méthodes. La première est le filtrage Web et la réputation Web : bloquer les accès au site de spyware via le filtrage Web ou parce que le système de réputation a connaissance de ce site, est un bon moyen. La seconde est de détecter à l'intérieur de l'objet la capacité à automatiquement émettre du code, ceci pouvant être par exemple réalisé grâce au scanner proactif de Webwasher.

Enfin, la dernière méthode est réactive, il s'agit d'empêcher la remontée d'informations au site maître. Une nouvelle fois, Webwasher a cette capacité.

Y a-t-il des risques inhérents aux flux RSS ? Il paraît qu'ils pourraient véhiculer des codes malveillants ? Qu'en pensez-vous ?

Les flux RSS sont une partie compète du Web 2.0 et des exemples de menaces portées par ce flux peuvent par exemple être consultés sur http://www.securecomputing.com/swat.

Merci à tous pour votre participation.