Module 4, Unité 2 du cours SecNum Académie proposé par l'ANSSI.

Les systèmes et leurs applications doivent être régulièrement mise à jour. En complément de ces recommandation il est important de souligner que votre appareil, qu'il s'agisse d'un poste fixe ou d'un portable, d'un téléphone ou encore d'une tablette dispose d'options de paramétrage qui vont influencer son fonctionnement. Si certains paramètres sont des options proposées par l'appareil à son démarrage, d'autres en revanche ne sont modifiables qu'à l'initiative de l'utilisateur.

En effet lorsque vous achetez du matériel informatique ou que vous installez un logiciel, ceux-ci vous sont fournis avec une configuration type appelée par défaut ou une configuration type dite usine: certains paramétrages ont été préalablement effectués dès la conception du produit par le fabricant ou l'éditeur. Ces paramètres divers et variés, peuvent concerner par exemple:

• Les préférences d'ouverture de fichier avec un programme donné;
• Formats d'enregistrements;
• Niveau de sécurité;
• exploitation des données utilisateurs comme la géolocalisation;

Les fournisseurs ou éditeurs appliquent des politiques de paramétrages qui correspondent à leurs politiques commerciales c'est pourquoi il est recommandé entre autre de vérifier les éventuelles options cochées dans les paramètres lors de la mise en service des systèmes. En effet, ces systèmes livrés clés en main peuvent contenir des outils fournis par des partenaires ou d'autres éditeur privés installés dans une logique commerciale.

Lors de la mise en service du système, des écrans de notifications vous invitent ainsi à accepter les conditions d'utilisation de ces différents services. Soyez vigilants sur ces notifications en ayant toujours à l'esprit que l'éditeur du système peut récupérer une très large palette d'information vous concernant dans le cadre d'une utilisation standard d'un outil.

Avant de pouvoir être utilisés de manière sécurisée, ces systèmes nécessitent une personnalisation.

Pour illustrer cela, prenons l'exemple d'un nouveau smartphone:

• Lorsque vous connectez votre nouvelle carte SIM, celle-ci demande un code PIN pour se déverrouiller: le code par défaut d'une nouvelle carte est généralement 0000 ou 1234.
• Lors de la mise en service de votre téléphone, il vous est généralement demandé de créer un compte sur un espace en ligne afin d'effectuer vos sauvegardes de photos, contacts, etc. Ce compte est créé à l'aide de votre adresse email.
• L'éditeur ou le fournisseur pourra également vous demander votre numéro de carte bancaire afin de facilité vos futur achats. Notez qu'il est déconseillé de le faire.
• L'application de courrier du téléphone permettra de récupérer les courriels: vous choisissez d'enregistrer votre identifiant et votre mot de passe pour faciliter vos échanges personnels ou professionnels.

Imaginez à présent que par manque de temps, par méconnaissance ou encore par manque d'intérêt vous n'ayez pas changer le code par défaut de votre carte SIM et que vous n'ayez pas enregistré de mot de passe ou de schéma de verrouillage pour votre téléphone. Que pourrait il se passer si celui-ci vous était dérobé?

Vous l'aurez compris, votre téléphone comme tout système d'information est vulnérable s'il est utilisé sans aucun paramétrage personnalisé. Il es donc important d'appliquer certains paramètres dans la configuration de vos appareils.

Le cours qui suit va vous permettre de découvrir les différents choix qui s'offrent à vous pour une configuration de base et leurs impacts en matière de sécurité.

Notez qu’en environnement professionnel, vos équipements informatiques font certainement l'objet d'une gestion centralisée par les équipes de la direction des systèmes d'information.

Si tel est le cas, les paramétrages que nous allons aborder dans cette unité sont de leur ressort et vous ne devez en aucun cas chercher à modifier le paramétrage adopté et maintenu par ces équipes.

Cette unité va ainsi vous permettre de comprendre pourquoi ces paramétrages ont été institués et pourquoi il est nécessaire de ne pas les modifier.

Lors du premier démarrage d’un nouvel appareil, plusieurs options de configuration vous sont proposées mais votre appareil vous incite généralement à adopter des paramètres par défaut, correspondant aux standards du concepteur du produit, via des options de menu de type « suivant… » ou « accepter… ».

Il est important de noter que contrairement à ce que l’éditeur vous encourage à faire, il est fortement conseillé de lire et de personnaliser certains de ces paramètres, en cliquant sur une option de menu de type « avancé… » ou « personnalisation… ».

Lors de ce premier démarrage, le premier choix généralement proposé à l’utilisateur est la création d'un compte. Ce compte représente l'identité de l'utilisateur sur l’appareil, et de plus en plus souvent, une identité sur Internet est proposée pour l'utilisation de services en ligne.

Il pourra par exemple être lié à une carte de paiement pour télécharger des applicatifs ou des contenus multimédias (vidéos, musiques, etc.), ou encore pour stocker ou consulter des données hébergées sur le cloud.

Notez cependant qu’il est préférable de créer un compte local à l’appareil pour éviter d'être dépendant de l’éditeur si les services en ligne complémentaires ne sont pas nécessaires.

C’est un choix particulièrement pertinent pour les ordinateurs fixes et portables.

Les mises à jour de l’équipement sont également paramétrables lors du premier démarrage.

Comme nous avons pu le voir dans l'unité précédente (Unité 1 : Applications et mises à jour), il est fortement conseillé de laisser l’appareil se mettre à jour de manière automatique puisque de nombreuses failles de sécurité sont régulièrement corrigées par les éditeurs, pendant la durée de vie du système.

Les modalités d’authentification sont la manière dont l’utilisateur déverrouillera son appareil en prouvant son identité comme nous l’avons vu dans l’unité 1 « Les principes de l’authentification » du module 2.

Aujourd’hui, il est possible, en complément des méthodes d’authentification traditionnelles (codes PIN ou mot de passe) d’utiliser des mécanismes de déverrouillage (reconnaissance faciale, reconnaissance d’empreinte digitale ou d’iris).

Lorsqu'elles sont disponibles, il est intéressant de mettre en œuvre ces méthodes, puisqu'elles permettent de définir un mot de passe fort, peu souvent utilisé (au démarrage, après plusieurs tentatives d'identification biométrique échouées, ou après une période d'inutilisation de l'équipement), et d'utiliser ces méthodes biométriques plus adaptées à l'usage courant.

Ces méthodes biométriques doivent être vues comme un moyen de déverrouillage venant en complément de l’authentification et pouvant être adaptées à certains usages. Notons qu’elles ne présentent pas de garantie de sécurité absolue. En effet, comme tout mécanisme, ces systèmes ne sont pas infaillibles et peuvent être leurrés par un attaquant suffisamment motivé comme nous l’avons vu dans l’unité 1 du module 2.

Dans le cas où l'équipement se déverrouille par mot de passe, utilisez un mot de passe fort tel que détaillé dans l’unité 3 « Sécuriser ses mots de passe » du module 2.

Lorsqu'un simple code PIN à base de chiffres est utilisé (cas le plus courant d’un smartphone par exemple), il faut éviter les séquences trop simples tel qu'un code PIN comportant une répétition du même chiffre de type « 0000 » ou encore une combinaison de type « 1234 », etc.

Notons qu’aujourd’hui les systèmes permettent d'utiliser des codes PIN de plus de 4 caractères (souvent jusqu’à 8 caractères), et que ces codes peuvent comporter également des lettres et des caractères spéciaux.

Il peut aussi être possible de limiter le nombre maximal d'essais avant blocage ou effacement. Cette fonctionnalité peut être automatique ou nécessiter une configuration spécifique.

N’oubliez pas que ce mécanisme de déverrouillage protège l’accès à vos documents, à votre messagerie, ou encore aux services en ligne et aux moyens de paiement associés à votre compte.

Il convient donc d’évaluer les risques liés à la compromission de ces informations, et de mettre en place le mécanisme de protection adapté.

Pour conclure cette partie, rappelez-vous que les méthodes biométriques permettent de compléter les méthodes d’authentification classiques, afin que le système propose la méthode la plus adaptée en fonction du contexte.

Notez également qu’afin de protéger au mieux l’accès à vos équipements en cas de vol de l’appareil, il est recommandé de définir un nombre d'essais limités au-delà duquel il sera totalement verrouillé. Cela permet de limiter l'accès à vos données en cas de vol de l'appareil.

Bien que ces logiciels puissent améliorer le niveau de sécurité, il est important de se souvenir qu’ils s’exécutent avec des privilèges importants et qu’ils peuvent présenter des défauts exploitables par un attaquant.

Enfin, gardez à l’esprit que tout outil a ses limites.

Proposés sur certains systèmes d'exploitation bureautiques, les logiciels de sécurité, tels que pare-feu et antimalware (antivirus, antispyware, etc.), peuvent également s'activer lors du premier démarrage de l’appareil.

Comme pour tout logiciel que vous souhaitez installer, les conseils prodigués dans le module 3 unité 2 (Les fichiers en provenance d’Internet) s’appliquent : n’utilisez que des logiciels de sécurité provenant d’éditeurs de confiance (et téléchargés depuis des sites de confiance).

Le filtrage d’URL (adresses web) malveillantes est un service parfois proposé par le système au moment de l'installation, par le navigateur ou par les solutions de sécurité installées. Ce filtrage est basé sur une liste noire non exhaustive gérée par l’éditeur du système. Il fonctionne par apprentissage, c’est-à-dire que les sites web sont remontés par les utilisateurs de la solution en fonction de la navigation.

L'utilisation de ces listes noires permet de se protéger des accès à des sites malveillants connus et recensés, mais elle peut avoir un impact sur la vie privée, lorsque votre appareil remonte des informations sur vos usages au service gérant la liste noire.

En complément de ces mécanismes de filtrage, il est également possible d'installer sur vos équipements personnels des logiciels de contrôle parental afin d'opérer un filtrage de contenu beaucoup plus strict à destination des mineurs comme :

• Un filtrage basé sur des catégories de sites;
• Une limitation des horaires;
• La possibilité d’utiliser une liste blanche de sites plutôt qu’une liste noire, etc.

L'antimalware a pour objectif principal de contrôler les fichiers présents sur votre ordinateur (et supports de stockage amovibles connectés à l'ordinateur, tels que clés USB ou disques durs externes) pour ainsi détecter ceux qui présentent une menace.

Notez cependant que ces mécanismes de détection sont d'une efficacité relative, ils ne protègent pas de l'ensemble des menaces et ne suffisent pas à protéger un ordinateur. Par ailleurs, ils s’exécutent avec des privilèges importants et ne sont pas exempts de bugs ni de vulnérabilités.

Pour se protéger, il est indispensable de limiter les comportements « à risques », rappelez-vous qu’aucun outil ne remplace votre vigilance.

En effet, même si l'utilisation d'un antimalware peut détecter et bloquer certaines menaces en contrepartie, il s'accompagne d'un compromis en matière de vie privée (analyse en ligne des données) ou de sécurité du poste (droits importants du logiciel). Notez que le maintien à jour de cet outil est important pour pouvoir détecter les codes malveillants les plus récents.

Le pare-feu quant à lui, a un rôle tout autre puisqu'il surveille les connexions réseau (avec Internet ou le réseau local, qu'il soit filaire ou sans fil).

D'une manière synthétique, il s'assure que les connexions depuis ou vers votre ordinateur sont autorisées, protégeant ainsi de certaines attaques menées sur le réseau.

En revanche, lorsqu'une connexion est établie, il n'est pas en mesure de contrôler les opérations qui sont réalisées via cette connexion.

Notez que le pare-feu est important mais qu’il ne suffit pas non plus à protéger un ordinateur.

Dans certains systèmes d’exploitation, ces solutions de sécurité sont incluses dans le système sans surcoût. Elles ne demandent pas de configuration particulière dans la majeure partie des types d’utilisation, afin d'être accessibles au plus grand nombre.

Notons que ces solutions permettent de bloquer un certain nombre de menaces et ne peuvent pas se substituer à votre vigilance.

Il existe parfois des incompatibilités entre certains logiciels de sécurité de même type (par exemple : deux antimalwares).

Cela peut parfois entraîner des dysfonctionnements majeurs de l’équipement, et nécessiter de n’activer qu’un seul des deux logiciels.

Le modèle de sécurité est différent sur les systèmes d’exploitation mobiles et les solutions fonctionnant sur les ordinateurs classiques ne sont pas transposables directement.

En effet l'architecture des réseaux mobiles rend complexe l'utilisation d'un pare-feu et un antimalware demande des ressources de batterie et de mémoire importantes pour un mobile.

Ainsi, sur les systèmes d'exploitation mobiles (smartphones, tablettes…), les solutions de sécurité ne sont généralement pas intégrées.

Précisons toutefois que les systèmes d'exploitation récents intègrent des protections pour limiter ces menaces (cloisonnement des applications, droits réduits…).

Attention cependant : ces protections sont perdues en cas de « jailbreak » ou de « rootage » de votre équipement.

Il est donc préférable d’avoir un système mobile récent afin de profiter des améliorations en termes de sécurité de ces systèmes.

Pour conclure cette partie, rappelez-vous d'activer le pare-feu, de mettre à jour vos logiciels et d'adopter un comportement responsable.

Un antimalware peut être installé en complément, mais il faut avoir conscience des risques inhérents à ces solutions et les accepter (impact sur la vie privée, ajout d’un vecteur d'attaque sur le système).

Le paramétrage par défaut est une première mesure de sécurisation.

Le choix d'un paramétrage avancé doit rester réservé à des personnes plus aguerries aux règles de filtrage réseau.

Gardez à l'esprit que ces solutions de sécurité, bien que garantissant une sécurisation minimale de l'équipement, ne se substituent pas à votre vigilance !

• Privilégier les paramètres de sécurité par défaut;
• Rester vigilant;
• Ne pas cumuler des solutions de sécurité identiques.

Notons que les terminaux mobiles peuvent parfois être « rootés » ou « jailbreakés » par des utilisateurs dans l'objectif d'avoir davantage de latitude dans la personnalisation du système ou d'en contourner des protections natives.

« Rooter » (qui signifie « devenir root », ou en français « devenir administrateur ») un terminal mobile consiste ni plus ni moins à obtenir les plus hauts privilèges sur le système, là ou normalement l'utilisateur d'un terminal mobile ne dispose que de droits restreints.

Soyez vigilant car le fait de « rooter » un terminal mobile l'expose fortement à des menaces qui vont permettre sa compromission en profondeur.

Il est donc grandement recommandé de ne jamais procéder au « rootage » d'un terminal mobile.

Ces recommandations sont évidemment encore plus vraies pour un terminal professionnel a priori géré par la Direction des Systèmes d'Information (DSI) au même titre que la flotte des ordinateurs portables mis à votre disposition.

Lors de l'initialisation de votre équipement, en tant qu’utilisateur vous êtes informé des paramètres influant sur la protection de vos données personnelles, ainsi que celles ayant trait au respect de votre vie privée.

Notez que l’éditeur du système souhaite le plus souvent récupérer une très large palette d’informations à des fins de traitement automatique et de monétisation.

Il est donc de votre ressort de décider d’une limite à ne pas franchir dans cette collecte.

Parmi les informations notables devant faire l’objet d’une décision de la part de l’utilisateur, nous pouvons citer:

• Les habitudes de navigation web;
• Les logiciels utilisés;

Mais aussi des éléments plus sensibles comme:

• les commandes vocales;
• Les frappes du clavier ou encore les résultats de traduction automatique.

Même si ces éléments sont présentés comme servant à améliorer la qualité du système, ils peuvent également être utilisés à des fins de profilage et de marketing par les éditeurs.

Il est possible de désactiver certains de ces mécanismes, cachés sous différents noms comme « programme d'amélioration de l'expérience utilisateur », « envoi de statistiques avancées », etc.

Pour adapter sa configuration à ses besoins, il est recommandé de lire le guide de l’ANSSI concernant la collecte de données dans Windows 10.

Le service de géolocalisation de votre smartphone, quant à lui, a un impact fort sur la protection de votre vie privée, puisqu’il permet de suivre vos déplacements.

Ce service s’active souvent au premier démarrage, même s’il est ensuite constamment modifié par les installations successives d’applications.

Il est pertinent de contrôler régulièrement le statut du service et les droits accordés à chacune des applications installées sur votre appareil afin d’éviter que vos déplacements ne soient récupérés par une multitude d'éditeurs.

Notez qu’il est possible de désactiver la géolocalisation au niveau du système et de ne l'activer que lorsque nécessaire.

Restez toujours vigilant car la géolocalisation ne se résume pas à l’utilisation du GPS. D’autres éléments participent à la géolocalisation, comme les réseaux Wi-Fi.

De nombreux appareils proposent aujourd’hui d’activer le chiffrement du stockage (disque dur, mémoire flash, carte SD, etc.) lors de leur initialisation.

Cette étape protège les données contre un accès illégitime en cas de perte ou de vol de l’appareil. En effet, comme nous l’avons vu dans l’unité 5 du module 2 consacré à la cryptographie, le chiffrement permet de rendre des données illisibles à quiconque ne posséderait pas la clé de déchiffrement.

Concrètement elle rend illisible vos documents, photos, SMS pour qui n'aurait pas le code de déverrouillage.

Le chiffrement est une fonction de sécurité essentielle pour les appareils utilisés en situation de mobilité tels que les téléphones, les tablettes et les ordinateurs portables.

Il existe de nombreux mécanismes, dont des mécanismes qualifiés par l'ANSSI, c'est-à-dire des outils qui ont été évalués par des laboratoires indépendants et qui sont recommandés.

Les ordinateurs fixes, quant à eux, sont plus rarement perdus ou volés, mais appliquer le chiffrement de disque reste une bonne pratique, sans oublier le chiffrement des périphériques amovibles.

Ce chiffrement est proposé de différentes manières mais le plus souvent, il est déverrouillé par les secrets utilisés lors de l’authentification. Il est donc relativement transparent pour l'utilisateur.

Parfois il peut reposer sur un élément supplémentaire, qui renforcera la sécurité mais demandera une étape supplémentaire à l’allumage de l’appareil.

Cet élément consiste généralement à saisir un mot de passe qu'il convient de ne surtout pas perdre (sa sauvegarde en lieu sûr dans un coffre-fort de mots de passe est alors conseillée - cf. Module 2, unité 4 : Gérer ses mots de passe).

Pour conclure cette unité, rappelez-vous qu’il est essentiel de respecter un certain nombre de paramètres de base pour assurer la sécurité de vos appareils.

• Veillez à adopter une utilisation « responsable »;
• Maintenez à jour votre système et ses logiciels;
• Activez votre pare-feu;
• Installez éventuellement des logiciels supplémentaires qui peuvent participer à l'amélioration du niveau de sécurité, en ayant conscience de leurs conditions d’utilisation (respect de la confidentialité et de la vie privée), ainsi que des risques associés.
• Soyez vigilant sur l’installation de logiciels tiers;
• Enfin, rappelez-vous que le chiffrement est essentiel pour protéger les données de vos appareils mobiles tels que téléphones, tablettes et ordinateurs portables.

• Guide de l'ANSSI pour restreindre la collecte des données sous Windows 10.
• Guide de la CNIL pour sécuriser l'accès au smartphone.