Module 4, Unité 4 du cours SecNum Académie proposé par l'ANSSI.

Comme vu précédemment, pour protéger les appareils, il est nécessaire de faire les mises à jour système, des applications mais aussi de les paramétrer correctement. Outre nos postes et leurs applications, il est nécessaire de s'attarder sur la sécurité des périphériques et plus particulièrement sur les périphériques amovibles.

Les supports amovibles sont des moyens techniques destinés à mémoriser et transporter des données. Ils sont conçus pour pouvoir être insérés et retirés d'un ordinateur sans devoir éteindre se dernier. Vous avez peut être connu les disquettes, vous utilisez probablement des CD/DVD, aujourd'hui la majorité des supports amovibles utilisent le standard USB. USB est aujourd'hui la référence utilisée non seulement comme support de stockage de données mais également comme moyen de communication avec toute sorte de périphériques tels que les lecteurs MP3 ou les appareils photos. On entend par périphérique USB un support physique capable de communiquer avec un ordinateur via la norme USB.

Un périphérique de stockage USB est donc composé d'un espace de stockage (mémoire) et d'une connectique permettant de communiquer par cette norme. Vous avez certainement pu recevoir une clé USB promotionnelle, d'en emprunter une à un ami. Vous avez pu en trouver une.

Avez vous déjà hésité à connecter une telle clé à votre ordinateur? Pensez-vous que cet acte soit dangereux? En cas de danger votre anti-virus pourra t il vous protéger?

De la même manière, il vous est arrivé de connecter à votre ordinateur un périphérique à l'apparence inoffensive telle qu'une cigarette électronique, un téléphone, un ventilateur USB, un tapis de souris chauffant pour votre café, une lampe ou d'autres gadgets. Avez vous un seul instant imaginé que se périphérique pouvait être piégé et qu'il pouvait compromettre votre ordinateur?

Toutes ces questions sont légitimes et la menace est bien réelle. Découvrons en détails les principes à suivre pour utiliser au mieux et en toute sécurité ces fameux périphériques amovibles.

Pour commencer ce module, rappelons qu’un périphérique amovible USB contient un microcontrôleur USB programmé par le micrologiciel (le « firmware ») qu'il intègre.

Ce micrologiciel (pas ou peu protégé) peut parfois être modifié de manière à ce que le comportement du périphérique USB soit détourné de son rôle d’origine.

Des chercheurs en sécurité ont ainsi démontré qu'il était possible de modifier le périphérique de stockage USB afin qu’il se comporte comme un clavier et qu’il exécute ainsi des commandes sur l'ordinateur sur lequel il est connecté.

Ce périphérique reprogrammé peut alors effectuer plusieurs attaques :

• Téléchargement et exécution de contenu malveillant;
• Reprogrammation d'autres périphériques USB connectés à l'ordinateur;
• Compromission de la chaîne de démarrage de l'ordinateur pour piéger le système au plus bas niveau, etc.

Pour résumer, un quelconque périphérique USB en apparence inoffensif, peut potentiellement se comporter comme un virus d'un niveau de dangerosité élevé.

En effet, du point de vue du système, ces commandes sont vues comme étant tapées par l'utilisateur sur un clavier physique et passent donc inaperçues pour l’antivirus.

Aujourd’hui ces attaques se démocratisent. De plus en plus de ressources sont disponibles sur Internet pour reprogrammer facilement un microcontrôleur USB.

Certes les incidents de ce genre sont encore à la marge, mais des entreprises ont déjà déclaré avoir subi des infections en provenance de chargeurs de cigarettes électroniques par exemple.

La compromission des périphériques USB malveillants passe souvent inaperçue sur les postes de travail. De plus, notez que la mise en œuvre d’une telle attaque est à la portée d'attaquants disposant de peu de moyens et d'un iveau de compétence modéré.

Aujourd'hui, il n’est pas simple de se protéger contre ce type d’attaques sur son ordinateur personnel.

En synthèse, à défaut de pouvoir protéger votre ordinateur contre ce type d'attaque, méfiez-vous d’un périphérique amovible trouvé.

Pour protéger son matériel et/ou les données qu’il contient, des solutions techniques existent.

Par exemple, des matériels permettent de recharger son téléphone par USB sans pour autant autoriser la transmission des données.

Il est ainsi préférable de recharger son téléphone par USB avec un simple adaptateur, plutôt qu'en le branchant sur son ordinateur. Cela évite toute possibilité de transmettre des données.

Pour conclure cette partie rappelez-vous de ne pas connecter un périphérique amovible provenant de source douteuse (telle qu’une clé USB trouvée dans la rue, ou offerte dans un salon professionnel) sur votre ordinateur sans protection.

En effet ce périphérique pourrait piéger votre ordinateur tout en passant inaperçu pour votre antivirus.

Les périphériques de stockage amovibles permettent de transporter des giga-octets de données moyennant un faible encombrement.

Ils ont aujourd'hui leur place dans votre portefeuille, votre sacoche, votre sac à main, en tant que porte-clés, etc.

Il est alors important de se poser la question des informations contenues par exemple dans une clé USB.

Cette clé contient-elle ?

• Des documents qui pourraient vous nuire?
• Des données sensibles de l'entreprise?
• Un peu des deux?

Pour se protéger de la divulgation de données sensibles suite à une perte de périphérique amovible, la meilleure solution est le chiffrement.

Ce concept de chiffrement a déjà été abordé dans l’unité 5 du module 2 consacrée à la cryptographie dans lequel nous avons vu que différents éléments pouvaient être chiffrés comme le disque dur d’un ordinateur ou encore celui d’un smartphone. Il s’applique également aux périphériques amovibles.

Tout comme c’est le cas pour votre ordinateur, votre smartphone, vos disques durs externes, mais également vos CD/DVD gravés et toute forme de stockage similaire « portable », il est recommandé de chiffrer les données sensibles sur les périphériques amovibles.

Lorsque les données sont chiffrées sur le périphérique, et sous réserve d'avoir utilisé un bon outil et un mot de passe fort pour le chiffrement, vous serez plus serein en cas de perte éventuelle du périphérique : il sera plus difficile de récupérer vos informations.

Pour conclure cette partie, notez qu’il est recommandé de chiffrer les données de tous les périphériques amovibles dont la perte ou le vol pourrait vous être préjudiciable. Pour cela, l'ANSSI recommande, via son site internet, quelques logiciels de protection du poste de travail.

Les périphériques de stockage amovibles se divisent en plusieurs catégories :

• Ceux composés d'un disque mécanique à plateaux (disque dur);
• Ceux composés de mémoire Flash (clés USB, disques SSD, cartes SD/MMC, etc.);
• Enfin ceux disposant de disques optiques (CD, DVD, Blu-ray).

Dans tous les cas, il est important de garder à l'esprit que ces formes de stockage ont une durée de vie limitée. En effet, les composants sont prévus pour supporter, de manière simplifiée, un certain nombre de cycles d'écriture et d'heures de fonctionnement.

Les plus bas de gamme supportent par exemple un millier de cycles d'écriture, tandis que les plus robustes quant à eux, en supportent des centaines de milliers. Pensez-y dans leur utilisation : faites des sauvegardes et remplacez-les aux premiers signes de dysfonctionnement.

Il en est de même pour les CD/DVD, qui peuvent devenir illisibles, même rangés dans leur boite et inutilisés.

Notons que les clés USB font généralement partie des mémoires Flash les moins robustes, et si vous écrivez quotidiennement dessus, il est possible qu'elles ne durent que quelques années.

Quant aux CD/DVD, les plus bas de gamme peuvent devenir illisibles encore plus rapidement, même rangés dans leur boîte et pourtant inutilisés…

Ces chiffres sont des statistiques et ne représentent pas forcément la durée de vie réelle qu'aura un périphérique particulier.

Afin de ne pas perdre ses données, il est donc nécessaire de faire au minimum deux copies de sauvegarde (sur des supports de stockage différents) des données importantes, et de choisir des supports de stockage adaptés à la durée de conservation souhaitée.

Il est également conseillé de n’utiliser les périphériques USB que pour des opérations de transfert et de ne jamais travailler directement sur des documents enregistrés sur un périphérique amovible.

En effet, en cas de panne du périphérique, tout son contenu peut être perdu.

Arrêtons-nous quelques instants sur les usages personnels et professionnels ainsi que les mesures de sécurité associées pour nos périphériques amovibles.

En effet, nous avons déjà vu dans les précédents modules que la séparation des usages est un concept de base de la sécurité informatique.

Nous sommes conscients que la cohabitation des usages pose des problèmes en matière de sécurité des données (perte ou vol des appareils, intrusions, manque de contrôle sur l'utilisation des appareils par les collaborateurs, fuite de données lors du départ du collaborateur, etc.).

Ne pas héberger des données professionnelles sur les équipements personnels. Ce principe s’applique également à l’utilisation des périphériques amovibles. Pour limiter les risques, il est recommandé de séparer vos usages personnels de vos usages professionnels en n'hébergeant pas de données professionnelles sur vos équipements personnels (périphériques de stockage USB, téléphone, etc.) ou sur des moyens personnels de stockage en ligne.

Évitez également de connecter des supports amovibles personnels (périphériques USB en tout genre, disques durs externes, batteries USB, etc.) aux ordinateurs de l'entreprise.

Rappelez-vous que si vous n'appliquez pas les bonnes pratiques de séparation des usages, vous prenez le risque que des personnes malveillantes volent à votre insu des informations sensibles de votre entreprise après avoir réussi à prendre le contrôle de votre machine personnelle, ou à l’inverse, qu’un attaquant interne à votre entreprise prenne connaissance de votre correspondance personnelle.

Ce principe de séparation des usages sera plus largement détaillé dans l’unité suivante « Séparation des Usages ».

Avant de conclure cette unité, il est important de s’arrêter quelques instants sur la suppression des fichiers contenus dans les périphériques amovibles.

Tout comme sur votre disque dur, un fichier supprimé sur un périphérique amovible ne l’est jamais totalement.

En effet, lors de la suppression, le système se contente en fait d'indiquer que l'emplacement de stockage des fichiers dans la mémoire est réutilisable.

D'autres morceaux de données seront donc réécrits par-dessus au fil du temps… peut-être le lendemain ou peut-être dans un an.

Notons que ces données, qui ne sont donc pas « réellement effacées », peuvent être récupérées encore longtemps après et plus ou moins facilement en fonction des moyens à disposition et du taux d'utilisation du moyen de stockage en question.

Là où un simple logiciel grand public permet de récupérer des données effacées si rien n'a été réécrit par-dessus, du matériel de pointe peut en revanche permettre de récupérer des données effacées même après plusieurs cycles de réécriture, grâce par exemple au phénomène physique de rémanence.

Pour être plus précis, le type de mémoire de stockage utilisé ainsi que le type de contrôleur d'accès au stockage jouent fortement sur le niveau de persistance des données et les possibilités d'effacement sécurisé.

Notez qu’avec la rémanence des données, il est important de redoubler de vigilance sur la mise au rebut ou le prêt du matériel.

En effet, lorsque vous changez votre matériel informatique par exemple, que pourrait-il advenir de vos données « supprimées » de vos disques durs si une personne décidait de recycler votre matériel abandonné dans la rue, ou dans une poubelle ?

De la même manière, lorsque vous supprimez des fichiers sensibles d'une clé USB avant de la prêter à une de vos connaissances, comment être sûr que vos données supprimées soient « protégées » d’une éventuelle divulgation ?

Afin de répondre à ces questions et pour ne pas aller trop loin dans des explications scientifiques complexes, notez que si un fichier est supprimé dans l'objectif de le détruire parce qu’il contient des données sensibles que l'on ne souhaite pas conserver, il est recommandé de prendre ses précautions lors de l’effacement des documents.

Une autre méthode consiste à chiffrer les données stockées sur les supports amovibles.

Il existe des méthodes pour effacer les données présentes sur un périphérique de stockage au plus bas niveau.

Ces méthodes utilisent des algorithmes particuliers et de multiples réécritures aléatoires, de manière à rendre illisible la donnée effacée.

Notons cependant que ce type d’effacement peut durer plus ou moins longtemps en fonction de la qualité de destruction souhaitée.

Plusieurs logiciels existent pour réaliser cette opération, certains sont recommandés par l’ANSSI. Vous devez toutefois rester vigilant avec ce type d’effacement puisqu’il n'est pas suffisant si l'attaquant dispose de moyens importants.

En fonction du type de périphérique, les méthodes d'effacement sécurisé peuvent ne pas suffire et dans ce cas seule la destruction physique du périphérique est autorisée.

Pour conclure cette partie rappelez-vous que rester vigilant sur la suppression de vos fichiers sensibles ne suffit pas, il est recommandé de procéder à un effacement par réécriture du fichier via un outil dédié pour s'assurer de la réelle destruction des données.

Dans le cas contraire, les fichiers supprimés pourraient être récupérés par un individu malveillant ou simplement curieux.

Notez toutefois que sur une clé USB à bas coût, la réécriture pourrait ne pas être suffisante. Si les fichiers étaient réellement sensibles et non chiffrés, une destruction physique est bien plus efficace!

Pour conclure ce module, rappelez-vous de ne pas connecter à votre ordinateur un périphérique amovible provenant de source douteuse.

Chiffrez les données des périphériques amovibles dont la perte ou le vol pourrait vous être préjudiciable.

Rappelez-vous que tous les supports de stockage ont une durée de vie plus ou moins limitée, il est donc nécessaire de faire au minimum deux copies de sauvegarde (sur des supports de stockage différents) des données que vous ne voudriez pas perdre, et de choisir des supports de stockage adaptés à la durée de conservation souhaitée.

Rappelez-vous également d’appliquer des bonnes pratiques de séparation des usages, afin que des personnes malveillantes n’accèdent pas à vos informations personnelles ou professionnelles à votre insu.

Enfin, retenez que supprimer les fichiers sensibles ne suffit pas, il est également recommandé de procéder à un effacement par réécriture du fichier via un outil dédié pour s'assurer de la réelle destruction des données.

• https://www.ssi.gouv.fr/particulier/logiciels-preconises-par-lanssi-2/