Close

Communications sensibles : comment répondre aux exigences de sécurité et de souveraineté ?

La donnée, « or noir » de l’âge numérique, est une source de richesse considérable. Sa protection et sa sécurité sont devenues un enjeu majeur pour les entreprises et les administrations qui stockent et échangent, à la fois en interne et avec leurs partenaires, des données parfois sensibles. Insuffisamment sécurisés, les communications et les échanges d’informations sont en effet autant de vecteurs privilégiés de fuites de données potentiellement stratégiques.

Dans ce cadre, la sécurité des canaux de communication, pourtant primordiale, est de fait devenue le point faible de bien des sociétés et des Etats. Les organisations qui s’appuyaient traditionnellement sur des échanges par e-mail pour leur communications, internes et externes, se tournent également de plus en plus vers les messageries instantanées, qu’il s’agisse de solutions grand-public peu sécurisées telles que WhatsApp ou Telegram, ou de solutions spécialisées non chiffrées comme Slack, à la fois pour leurs échanges internes avec leurs collaborateurs et pour leurs communications à l’extérieur avec leurs sous-traitants, clients ou partenaires.

Or ces services grands publics ne correspondent cependant pas toujours aux besoins réels des entreprises et à leurs exigences de sécurité, de confidentialité et de souveraineté. Certaines solutions se sont donc positionnées sur ce créneau, tout l’enjeu étant de trouver le bon équilibre entre sécurité et facilité d’usage et de leur permettre de se faire une place dans un marché où les effets de réseaux jouent à plein (principe du « winner takes all »).

Solutions grand public : quels sont les risques ?

L’usage de messageries électroniques grand public, pour la plupart initialement non chiffrées, dans le cadre de communications professionnelles, comporte des risques considérables et potentiellement dévastateurs pour une entreprise, surtout quand il s’agit de sujets sensibles ou confidentiels (stratégie d’une organisation, réponse à un appel d’offres, stratégie d’acquisition…). Parce qu’ils transitent en clair sur le réseau, les messages sont lisibles par le prestataire et peuvent facilement être interceptés, altérés ou simplement analysés, non seulement par le prestataire lui-même mais également par des tiers, potentiellement malveillants. Google permet ainsi toujours à ses partenaires commerciaux de scanner les messageries Gmail et de partager les données collectées[1].

Le problème se pose dans les mêmes termes pour les messageries instantanées dont l’usage s’est d’abord développé de façon exponentielle dans le domaine privé, suscitant parmi les utilisateurs des craintes quant à la protection de leurs données personnelles.  C’est dans ce contexte que sont nées, puis se sont développées des solutions comme Whatsapp ou Telegram, intégrant des fonctionnalités de chiffrement « de bout en bout » pour protéger le secret des correspondances.

Ces solutions, mieux sécurisées et désormais régulièrement utilisées dans le cadre professionnel, comportent pourtant un certain nombre de risques. Facebook, qui exploite WhatsApp, accède ainsi aux métadonnées de l’application et utilise les informations de comptes des utilisateurs, y compris les numéros de téléphone. Quant à Telegram, l’application a été sommée à plusieurs reprises de fournir ses clés de chiffrement au gouvernement russe dans le cadre de la lutte contre le terrorisme, sous peine d’amende ou de blocage, et si elle s’y est jusque-là refusée, elle n’est pas à l’abri d’autres tentatives de manipulation.[2]

 

Quelles alternatives sécurisées ?

De manière générale, le succès et la pérennité d’un service de messagerie dépendent :

  • De son architecture technique, qui conditionne son niveau de sécurité et de souveraineté: ses choix techniques (modalités et algorithmes de chiffrement notamment…), la localisation des serveurs et du stockage des clés de chiffrement, la maîtrise et l’audit du code source, etc.
  • Du business model de l’application, fruit d’un arbitrage entre la réponse à des besoins génériques et l’adaptation à des besoins particuliers, qui lui permettra de développer son marché.

C’est en partant de ce double constat du niveau insuffisant de sécurité des messageries existantes, et de la nécessité de fédérer une communauté d’utilisateurs autour d’une solution de messagerie, que la startup londonienne New Vector a développé un nouveau serveur de communication pour messageries instantanée baptisé Matrix[3]. Ce protocole de communication qui tire les enseignements des avancées techniques de la messagerie Signal en matière de chiffrement de bout en bout[4], notamment en s’appuyant sur son « Double Ratchet Algorithm », a pour ambition de devenir le nouveau standard dans le domaine. Plusieurs applications récentes s’appuient ainsi sur Matrix comme Citadel Team[5] de Thalès, ou le projet d’application de messagerie sécurisée du gouvernement français, ou bien encore Riot[6], l’application dédiée développée par New Vector.

1. Quelle sécurité ?

Ces applications se différencient par leurs choix en matière de sécurité mais aussi d’ergonomie, et se distinguent par l’équilibre qu’elles peuvent trouver entre le niveau de sécurité adapté aux besoins de l’organisation utilisatrice et la facilité d’usage pour leurs membres.

Au plan technique, la sécurité repose principalement sur deux éléments : le chiffrement des données, et la sécurité du code. Matrix s’appuie ainsi sur :

  • Un audit de sécurité de son algorithme de chiffrement de bout en bout,[7] réalisé par NCC Group en 2016 pour détecter et corriger d’éventuelles failles de sécurité dans le code ;
  • La licence libre de son code source[8] : New Vector a choisi de distribuer Matrix sous la licence Apache 2, qui permet à chacun d’utiliser, modifier, distribuer et vendre les logiciels concernés à condition de ne pas s’attribuer la paternité du code. Matrix est donc utilisable indépendamment de la solution New Vector. En cas de rachat ou de faillite de la startup, le code restera ainsi disponible pour la communauté et pourra continuer à vivre.

Le niveau de sécurité est également fonction :

  • Des modalités de backup des clés de chiffrement et de l’historique des conversations. Dans l’idéal, pour une sécurité optimale, les clés de chiffrement ne devraient être stockées que sur le terminal utilisé. Ceci peut avoir pour conséquence la perte des messages en cas de perte du terminal, risque parfois considéré comme non supportable pour une organisation dans le cadre de communications professionnelles.
  • De possibilité de déployer la solution sur les serveurs internes de l’organisation concernée, afin de garantir son indépendance vis à vis d’hébergeurs tiers qui peuvent être situés à l’étranger.

2. Quelles fonctionnalités ?

Le choix d’un service de messagerie s’appuie également sur les fonctionnalités annexes de ces solutions, fonctionnalités développées pour cibler des communautés particulières et répondre aux besoins spécifiques de l’organisation utilisatrice. On peut citer notamment :

  • La gestion des flottes et du parc de machines. Une gestion centralisée, comme celle choisie par Thales pour toucher les grands groupes, lui permet par exemple de désactiver un terminal perdu ou volé, de détecter les retards de mises à jour, etc. et d’ainsi optimiser l’utilisation de la messagerie. Riot, au contraire, a choisi de fonctionner de façon décentralisée sans structure dédiée à la gestion des flottes.
  • Les services d’assistance ou d’astreinte. La continuité des communications peut être critique dans certains secteurs, en particulier dans la défense. Dans ce cas, l’assistance du prestataire de la solution, ou même l’astreinte, peuvent être nécessaires voire indispensables.
  • La gestion des applications tierces et l’interopérabilité. Ces applications de messageries peuvent être couplées avec des clouds, des boîtes emails, etc., l’objectif étant de maintenir un haut niveau de sécurité tout en garantissant l’interopérabilité entre ces différentes applications.

3. Comment développer une communauté d’utilisateurs ?

Il s’agit enfin d’offrir aux organisations déployant ce type de solutions de proposer l’expérience utilisateur la plus ergonomique, car l’enjeu est de susciter l’adhésion du plus grand nombre et de construire une communauté d’usage. Ceci passe par exemple par :

  • La mise à disposition d’un annuaire interne qui permet la constitution d’une « communauté d’usage », qui s’avère être l’un des facteurs déterminants d’adoption d’une application à grand échelle ;
  • La possibilité d’utiliser ce service dans des cadres privé et professionnels, ce qui facilite l’adoption d’une solution.

 

[1] CNN Business, Google still lets third-party apps scan your Gmail data, 20 septembre 2018. money.cnn.com

[2] Le monde informatique, La Russie exige les clés de chiffrement de Telegram, 22 mars 2018. lemondeinformatique.fr

[3] [matrix], matrix.org

[4] Signal, The double ratchet algorithme. signal.org

[5] Citadel Team, citadel.team

[6] Riot, riot.im

[7] Matrix, Matrix’s ‘Olm’ end-to-end security assessment released, 21 novembre 2016. matrix.org

[8] Matrix, Matrix specification. matrix.org