Veille Technologique Sécurité - cert devoteam

OCTOBRE 2009
commencer par le début, la nature des menaces et le bon usage des outils.
L’article ‘Human Factors in the Dependability of IP Networks’ détaille les objectifs d’un projet de
recherche menée par le gouvernement Finlandais dans l’optique d’étudier l’influence du facteur humain
sur la fiabilité des réseaux IP. Une première étude engagée en 2006 a permis de définir les méthodes
d’évaluation de la fiabilité. Cette étude s’est poursuivie par une seconde étude, IPLU-II, destinée à
affiner l’analyse de certains points dont la possibilité de définir une méthode d’évaluation utilisant de
critères de mesure hétérogènes. Une enquête a par ailleurs été menée auprès de 20 personnes
intervenant dans l’exploitation des réseaux de télécommunication Finlandais pour mieux appréhender
l’importance du facteur humain dans le maintien en condition opérationnelle d’un réseau complexe. Les
résultats de cette étude devraient être publiés sur la page d’accueil de projet dans le courant du mois
d’octobre.
TECHNOLOGIES
Deux articles nous sont proposés au titre de ce thème somme toute assez vaste.
Le premier article, ‘A Secure Approach for Embedded Systems in Japan’, est rédigé par trois
membres de l’IT Security Center – ISEC – de l’agence japonaise pour la promotion des technologies de
l’information ou IPA. Il aborde un sujet d’importance, celui des méthodologies applicables à la
sécurisation des systèmes enfouis – traduction du terme anglo-saxon ‘embedded’ – qu’il s’agisse des
calculateurs embarqués dans nos véhicules ou des équipements ménagers. Les auteurs ont établi une
base méthodologique constituée de principes simples applicables aux quinze étapes clefs dans le cycle
de vie de ces systèmes:
A. Management
1. Security Rule
2. Security Education
3. Security Information Gathering
B. Planning
4. Budget
C. Development
5. Design
6. Adoption of the Development Platform
7. Software Implementation
8. Approach for Outsourcing Development
9. Security Evaluation Test and Debug
10. User’s Guide
11. Factory Production Control
D. Operation
12. Handling of Security Problems
13. Method of Advising Users and Countermeasures
14. Practical Use of Vulnerability Information
E. Disposal
15. Announce the Method of Equipment Disposal
On pourra s’étonner du principe associé à l’étape 7 (choix et de la mise en place de l’environnement de
développement) qui suggère d’utiliser des logiciels protégés contre les intrusions pour limiter la
divulgation des vulnérabilités sauf à considérer que l’ensemble des autres principes aura conduit à
limiter ces vulnérabilités au maximum. Et force est de constater que bien des vulnérabilités résiduelles
sont mises au jour, et rendues exploitables, par l’absence de mécanismes de protection contre la rétroanalyse
du code, et la présence de moyens d’accès non câblés mais actifs tels liaisons séries et
interfaces de débogage JTAG. Ce n’est pas faire l’apologie de la sécurité par l’obscurité que de
suggérer utiliser des logiciels protégés et de mettre en place des mécanismes de protection
périphériques.
Le second article, intitulé ‘tNAC - trusted Network Access Control’, nous présente le projet tNAC,
engagé en 2008, qui vise à mettre à disposition une solution de contrôle d’accès réseau fiable
s’appuyant sur les spécifications dites TNC (Federated Trusted Network Connect) établies par le
célèbre Trusting Computing Group. Ce projet, conduit par un consortium d’universités et de sociétés
allemandes s’appuiera sur les développements déjà engagés par l’université d’Hanovre (projet
TNC@FHH) et sur la plateforme sécurisée Turaya réalisée dans le cadre d’un projet européen passé,
le projet EMSCB (European Multilaterally Secure Computing Base). Un projet dont il conviendra de
suivre l’avancement au regard des besoins croissants en matière de contrôle d’accès réseau, et du taux
de présence du module TPM dans les parcs informatiques actuels.
POUR PLUS D’INFORMATION
http://www.enisa.europa.eu/publications/eqr/issues/eqr-q3-2009-vol.-5-no.-3/at_download/issue
Veille Technologique Sécurité N°135 Page 10/35
© DEVOTEAM - Tous droits réservés Diffusion restreinte aux clients abonnés au service de veille technologique