La Sécurité des infrastructures du Cloud est un sujet de préoccupation majeur dans tous les domaines liés aux technologies de l'information et de la communication à la suite de la montée en puissance du cloud computing. Depuis l'introduction de cette technologie, de nombreux problèmes de sécurité liés à l'utilisation des données hébergées dans les clouds ont entraîné des scandales médiatiques. Les attaques informatiques et les failles de sécurité présentes dans les systèmes traditionnels s'amplifient avec l'utilisation des différents types de cloud ; cela a entrainé l'émergence de nouveaux types de menace. Afin de répondre au mieux à ces problématiques, le monde de l'informatique a dû faire évoluer les concepts relatifs aux trois principes fondamentaux de la sécurité de l'information qui sont : la confidentialité, l'intégrité et la disponibilité. Aussi, les différentes techniques de sécurité au sein même des infrastructures telles que les réseaux, le stockage, les hyperviseurs ont dû être renforcées et adaptées aux nouvelles problématiques.
Problèmes de sécurité dans les Infrastructures Cloud
Contexte Les fonctionnalités offertes par les infrastructures cloud (IaaS, SaaS, PaaS), qu'elles soient privées, communautaires, publiques ou hybrides sont très populaires et massivement utilisées par les entreprises pour leurs données, services internes ou celles de leurs clients.
Le fait de mutualiser des ressources système ou de mettre en place des paiements via l'utilisation de ces ressources accentue davantage les problèmes de sécurité que dans les systèmes traditionnels, particulièrement en ce qui concerne les attaques de type ddos. Les utilisateurs et les fournisseurs de services cloud sont de plus en plus préoccupés par les nouvelles menaces et les nouveaux risques auxquels ils doivent faire face lorsqu'ils intègrent le cloud. Notamment dans le cas d'attaques distribuées où plusieurs routes peuvent exister afin de joindre un serveur ou une application. Les attaquants peuvent utiliser cet aspect pour ne pas être détectés et augmenter l'efficacité de leur attaque. Une étude de cas, effectuée par la , montre la diversité des problèmes de sécurité existants et les impacts techniques et financiers conséquents présents sur un cloud. De cette étude, nous pouvons énumérer :
LinkedIn qui en 2012 a révélé que 6 millions de mots de passe ont été volés, mais ce chiffre est passé à 167 millions en 2016
Yahoo, a constaté qu'à la suite du piratage qu'il a subi en 2013, 500 millions de noms d'utilisateurs/mots de passe ont été volés; cependant, ce chiffre a été revu à 3 milliards de comptes à la suite d'une déclaration publiée par Verizon, ce qui représente la plus grande fuite de données mondiale.
En outre, nous pouvons également citer les problèmes de sécurité qui ont affecté les sociétés telles que : Facebook, qui a subi plusieurs problèmes de sécurité et de scandales liés à la protection de la vie privée de ses utilisateurs. En 2018, a été révélé le Scandale Facebook-Cambridge Analytica qui a permis l'exploitation de données de 87 millions d'utilisateurs Facebook à leur insu, à des fins d'influence politique. Mark Zuckerberg a admis, en , l'échec de son entreprise en matière de protection de la vie privée des utilisateurs et a promis de transformer Facebook en une plateforme axée sur la vie privée. Malgré cette annonce, deux autres problèmes de sécurité majeurs ont affecté Facebook. Le premier, en stipulant que des centaines de millions de mots de passe d'utilisateurs étaient stockés en accès libre au sein du réseau de l'entreprise, même si rien n'indique qu'ils aient été exploités. Et le deuxième, en , des chercheurs ont découvert des bases de données exposées publiquement contenant 146 Go de données Facebook sur 540 millions d'utilisateurs. Equifax, société spécialisée dans l’analyse de crédit aux États-Unis, a annoncé, le , qu’une faille de sécurité sur le logiciel Apache Struts avait conduit au vol de données personnelles de 143 millions d’utilisateurs. À la suite de cette affaire, trois de ses dirigeants seraient suspectés d'avoir commis un délit d'initié.
Menaces les plus communes sur les Infrastructures Cloud Les activités de piratage informatiques sont passées d'un hobby pratiqué par des amateurs à une véritable industrie qui rapporte des millions de dollars.
Comme n'importe quel système informatique, les infrastructures cloud sont exposées de la même manière aux menaces. Une menace est tout simplement un événement qui, s'il se réalise, peut causer des dommages à un système et créer une perte de confidentialité, de disponibilité ou d'intégrité. Ces dernières peuvent être malveillantes ou accidentelles. Une vulnérabilité est une faiblesse d'un système qui peut être exploitée par une menace. La réduction des vulnérabilités d'un système peut réduire le risque et l'impact des menaces, les plus communes aux Infrastructures cloud et traditionnelle sont les suivantes :
Écoute clandestine L'analyse du trafic, l'ingénierie sociale (sécurité de l'information), le reniflage sont tous des types d'écoute clandestine visant à obtenir des informations ou à créer une base pour une attaque ultérieure. L'écoute clandestine est une des causes principales de l'échec de la confidentialité. Fraude Les transactions falsifiées, la manipulation de données et toutes autres altérations de l'intégrité des données à des fins lucratives. Vol Le vol d'informations ou de secrets commerciaux dans un but lucratif ou en vue d'une divulgation non autorisée, ainsi que le vol physique de matériel ou de logiciels en sont des exemples. Sabotage Cela comprend les attaques par déni de service (DoS), les retards de production et le sabotage de l'intégrité des données. Attaque externe Par exemple le balayage de ports afin d'obtenir des renseignements sur l'infrastructure, l'insertion d'un code malveillant via cross-site scripting. Attaque interne Ces attaques sont orchestrées ou exécutées par des personnes qui bénéficient d'accès aux systèmes et aux installations d'une entreprise, et qui ont une connaissance approfondie de l'infrastructure qu'un attaquant externe mettrait un temps considérable à développer.
En 2019, la Cloud Security Alliance, en interrogeant 241 experts de l'industrie, a établi un rapport des 11 menaces, risques et vulnérabilités importants dans les infrastructures cloud. En analysant ce rapport, il est intéressant de noter que les préoccupations de sécurité traditionnelles dans les clouds, telles que le déni de service, les vulnérabilités des technologies partagées et la perte de données, n'apparaissent plus contrairement aux années précédentes. Cela laisse penser, que les questions de sécurité traditionnelles relevant de la responsabilité des fournisseurs de service cloud semblent moins préoccupantes. Les nouvelles inquiétudes en matière de sécurité qui naissent désormais, sont spécifiques aux clouds telles que les faiblesses potentielles dans la conception du service cloud (avec comme conséquence une corruption des données), les API (application programming interface) non sécurisées et l'incapacité à visualiser et analyser si l'utilisation des services de cloud au sein de l'entreprise est sûre ou malveillante, ce qui peut engendrer une utilisation malveillante d'une infrastructure cloud.
Préoccupations en matière de sécurité Lorsque des données sont envoyées dans le cloud, un tout nouvel ensemble de problèmes surgit, cela est dû en grande partie au fait que les données sont stockées sur un équipement qui n'appartient pas à l'entreprise possédant les données. Il est recommandé que les contrôles de sécurité de l'information soient choisis et mis en œuvre en fonction des risques, mais aussi proportionnellement à ces derniers, en évaluant les menaces, les vulnérabilités et les impacts. Les préoccupations en matière de sécurité dans les clouds peuvent être regroupées de diverses façons. Gartner en a nommé sept, nous en énumérons certaines ci-dessous.
Sécurité de l'information Les trois principes fondamentaux de la sécurité de l'information sont la confidentialité, l'intégrité et la disponibilité (CIA triad). Ces principes définissent la posture de sécurité d'une organisation. Tous les contrôles et les mesures de sécurité de l'information, ainsi que toutes les menaces, les vulnérabilités et les processus de sécurité sont soumis à l'étalon de ces trois principes.
Vie privée et confidentialité vignette|Europe-gdpr L'aspect de confidentialité des données des clients est l'un des piliers principaux de la sécurité des infrastructures cloud. L’opérateur, ici, les fournisseurs de service de cloud, doit assurer intégralement la confidentialité des données des clients. Les données ne devront en aucun cas être accessibles par les autres clients du même cloud. Les failles de sécurité liées aux pertes de confidentialité ont pour conséquence une baisse de confiance, un sentiment de trahison accru envers les opérateurs du cloud car la confidentialité des données plus ou moins secrètes dans ce type d'infrastructure est remise en cause.
Pour éviter ces craintes et renforcer la sécurité des données, les fournisseurs de services cloud doivent impérativement adhérer à des politiques de sécurité et de confidentialité afin de mettre tout en œuvre pour protéger les données de leurs utilisateurs.
Il convient également noter que les risques liés à la vie privée et à la confidentialité d'un utilisateur varient considérablement selon les conditions de service et la politique de confidentialité établies par le fournisseur de service cloud. En effet, les données privées des utilisateurs peuvent se retrouver dans des emplacements physiques différents engendrant donc des conséquences juridiques différentes liées aux pays où seraient entreposées les données.
En Europe, la directive 95/46/CE sur la protection des données personnelles contenait une disposition extraterritoriale importante, selon laquelle le flux de données personnelles provenant de tout pays membre de l'Union Européenne pouvait être interrompu si le pays vers lequel il est transféré ne disposait pas d'un niveau de protection des données personnelles jugé suffisamment développé et sécurisant. La directive répertoriait également une liste des pays de l'EU dans lesquels les données privées et personnelles pouvaient ou non traverser ou résider. Il faut aussi noter que les autorités européennes chargées de la protection des données avaient exigé que les responsables du traitement des données obtiennent un consentement préalable des utilisateurs avant le transfert des données à l'étranger.
En 2018, entre en vigueur le règlement général sur la protection des données (RGPD) qui remplace la directive européenne 95/46/CE. Ce règlement a pour objectif de clarifier les concepts et procédures de protection des données dans le monde connecté, au sein de l'union européenne, en apportant un cadre légal à la protection des données à caractère personnel.
Ce nouveau règlement a un impact important sur les infrastructures cloud en apportant les modifications suivantes : Le consentement La personne concernée par la collecte ou le traitement des données doit expressément notifier son accord. A contrario, il doit avoir la possibilité de rompre cet accord à tout moment.
La portabilité Sur demande du client, un fournisseur de service cloud doit être en mesure de fournir ses données personnelles. De plus, sans le consentement de ce dernier, la revente des données est strictement interdite.
Traitement des données Il est interdit de traiter les données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques permettant d'identifier de manière unique une personne physique, les données relatives à la santé, ou les données révélant l'orientation sexuelle d'une personne physique.