Qu'est-ce que le chiffrement des terminaux ?
Le chiffrement est le processus consistant à coder ou à brouiller des données pour les rendre illisibles et inutilisables, sauf si l'utilisateur dispose de la clé de déchiffrement correcte. L'objectif premier du chiffrement des terminaux est de protéger le système d'exploitation contre des attaques de type « Evil Maid », qui peuvent installer un enregistreur de frappe ou corrompre les fichiers de démarrage. Il permet par ailleurs de verrouiller les fichiers stockés sur les ordinateurs portables, serveurs, tablettes et autres terminaux pour empêcher les utilisateurs non autorisés d'accéder aux données.
Les entreprises utilisent un logiciel de chiffrement des terminaux pour protéger les informations sensibles au repos (dans leur emplacement de stockage) et en transit (lors de la transmission vers un autre terminal). Par exemple, les dossiers médicaux, les informations bancaires, les numéros de sécurité sociale et les adresses personnelles sont des données qui sont souvent chiffrées.
Deux normes de chiffrement sont couramment utilisées : RSA (Rivest, Shamir, Adleman) et AES-256 (Advanced Encryption Standard-256).
- RSA est souvent employé pour la transmission de données d'un terminal à un autre. Il repose sur une méthode de chiffrement asymétrique, c'est-à-dire qu'il utilise une clé pour chiffrer les données, et une autre clé sur le terminal du destinataire pour les déchiffrer.
- AES-256 est une norme de chiffrement symétrique souvent utilisée pour chiffrer des données conservées dans un emplacement de stockage précis, par exemple sur des disques durs ou des clés USB. Il s'agit de l'option privilégiée par les organismes publics et les entreprises des secteurs réglementés nécessitant un chiffrement fort. AES-256 remplace l'ancienne norme DES (Data Encryption Standard), plus vulnérable aux attaques par force brute.
Les critères de certification des logiciels de chiffrement incluent les suivants :
- Norme FIPS 140-2 (Federal Information Processing Standard) du NIST (National Institute of Standards and Technology), une norme de sécurité informatique du gouvernement des États-Unis
- Critères Communs (CC) pour l'évaluation de la sécurité des technologies de l'information, un standard et un programme de certification pris en charge au niveau international
Les entreprises et leurs employés stockent et partagent un volume considérable de données sur des clés USB, dans des services de stockage cloud, des lecteurs réseau, des navigateurs, des e-mails et d'autres supports, qui sont autant de vecteurs vulnérables aux compromissions de sécurité. Ces données peuvent inclure des informations sensibles, notamment des données financières, les noms et adresses des clients ainsi que des plans d'entreprise confidentiels. Le chiffrement des données offre une protection efficace contre le vol.
Pourquoi les entreprises ont besoin d'une solution de chiffrement des terminaux
Une organisation peut décider de chiffrer ses données pour de nombreuses raisons. Par exemple, les entreprises appartenant au secteur des hautes technologies, comme l'industrie pharmaceutique ou l'édition de logiciels, doivent protéger leurs recherches contre l'espionnage industriel. Les entreprises des secteurs réglementés, notamment les soins de santé et les services financiers, doivent chiffrer les données des patients et des consommateurs pour se conformer aux réglementations officielles. La norme PCI-DSS (Payment Card Industry Data Security Standard) oblige les entreprises du secteur de la vente au détail à chiffrer les données des cartes de crédit des consommateurs afin d'empêcher toute utilisation non autorisée.
Même les entreprises appartenant à des secteurs non réglementés se préoccupent de la sécurité de leurs données. En effet, une compromission de données peut entraîner une publicité négative, un manque à gagner ou encore des poursuites judiciaires à l'encontre de l'entreprise.
Les cyberattaques et les compromissions de données deviennent monnaie courante, et elles coûtent cher. D'après le rapport Cost of a Data Breach Study du Ponemon Institute, le coût moyen de chaque enregistrement de données sensibles perdu ou volé a également augmenté de 4,8 % sur un an pour atteindre 148 dollars. Si l'on s'en réfère à cette mesure, la compromission de 100 000 enregistrements pourrait coûter à une organisation 15 millions de dollars et plus.
Le chiffrement est un composant essentiel d'une stratégie de sécurité des données multiniveau. Les entreprises intègrent généralement plusieurs couches de protection, notamment des pare-feux, des systèmes de prévention des intrusions, des logiciels antimalware et des systèmes de prévention des fuites de données. Le chiffrement est la dernière couche de protection des données, au cas où elles tomberaient entre de mauvaises mains.
Types de chiffrement du terminal
Il existe deux types élémentaires de chiffrement du terminal :
- Le chiffrement complet du disque rend un ordinateur portable, un serveur ou un autre équipement inutilisable, sauf pour les détenteurs du code PIN approprié.
- Le chiffrement des fichiers, dossiers et médias amovibles (FFRM) verrouille uniquement des fichiers ou dossiers spécifiques.
Le chiffrement complet du disque protège le système d'exploitation et les données des ordinateurs portables et de bureau en chiffrant l'intégralité du disque, à l'exception de l'enregistrement de démarrage principal. Ce dernier n'est pas chiffré pour permettre à l'ordinateur de démarrer et de localiser le pilote de chiffrement permettant de déverrouiller le système. En cas de perte d'un ordinateur contenant un disque chiffré, il est peu probable qu'un tiers puisse accéder aux données qu'il contient. Comme ce type de chiffrement est automatique, tout le contenu stocké sur le disque est automatiquement chiffré.
Il existe deux méthodes pour autoriser un utilisateur à accéder à un disque chiffré :
- Avec la première méthode, le disque démarre dans le système d'exploitation et l'utilisateur doit se connecter avant d'accéder aux applications ou aux données.
- L'autre méthode est l'authentification pre-boot, qui demande à l'utilisateur de saisir un code PIN ou un mot de passe avant le démarrage du système d'exploitation. L'authentification pre-boot est plus sécurisée, car les données restent chiffrées jusqu'à ce que l'authentification soit terminée. Elle tient en échec les exploits tels que les craqueurs de mots de passe Windows, qui nécessitent un redémarrage.
Le chiffrement de fichiers, dossiers et médias amovibles (FFRM) chiffre le contenu sélectionné sur les disques locaux, les partages réseau ou les médias amovibles. Le logiciel de chiffrement déploie des agents qui chiffrent les fichiers en fonction des stratégies d'une organisation. Le chiffrement de fichiers prend en charge les données structurées et non structurées, et peut être appliqué à une base de données ainsi qu'à des documents et à des images.
Cette méthode conserve les données chiffrées jusqu'à ce qu'un utilisateur autorisé les ouvre. Elle est différente du chiffrement complet du disque, qui déchiffre toutes les données dès l'authentification de l'utilisateur et du démarrage du système. Par conséquent, le chiffrement des terminaux basé sur les fichiers continue de protéger les données même après qu'elles ont quitté l'organisation. Par exemple, lorsqu'un fichier chiffré est envoyé en tant que pièce jointe à un e-mail, le destinataire doit s'être authentifié pour pouvoir déchiffrer le fichier. Les destinataires qui ne disposent pas du logiciel de chiffrement/déchiffrement approprié peuvent recevoir à la place un lien vers un portail qui peut les authentifier et déchiffrer le fichier, ou recevoir un fichier joint d'un conteneur (comme un fichier zip protégé par mot de passe), dans lequel le destinataire doit saisir un mot de passe communiqué par l'expéditeur.
Le chiffrement de fichiers se base sur la stratégie de chiffrement d'une entreprise pour définir les types de contenu à chiffrer et les circonstances nécessitant un chiffrement. Une fois configurées, les solutions de chiffrement peuvent automatiquement mettre en œuvre les stratégies et chiffrer le contenu.
Gestion du chiffrement des terminaux
Une solution complète de chiffrement des terminaux peut permettre à l'équipe informatique de gérer de manière centralisée tous les terminaux chiffrés, y compris lorsqu'il s'agit d'un chiffrement fourni par différents fournisseurs. Une telle approche est plus efficace et évite de basculer constamment d'une console à l'autre. Les solutions de sécurité des terminaux qui prennent en charge les produits de chiffrement de plusieurs fournisseurs permettent de réduire la charge de travail et les coûts d'administration.
En outre, une console centrale offre une visibilité accrue sur l'état de tous les terminaux et vérifie l'utilisation du chiffrement sur chaque terminal. Une entreprise peut se servir de ces audits pour démontrer la conformité d'un ordinateur portable ou d'une clé USB en cas de vol ou de perte de ceux-ci.
Un logiciel de chiffrement des terminaux peut inclure un large éventail de fonctionnalités de gestion :
- Tableau de bord central avec rapports d'état
- Prise en charge des environnements de chiffrement mixtes
- Fonctionnalités de gestion des clés (création, distribution, destruction et stockage des clés)
- Création et gestion centralisées des stratégies de chiffrement
- Déploiement automatique d'agents logiciels sur les terminaux pour mettre en œuvre des stratégies de chiffrement
- Identification de tous les équipements dépourvus de logiciel de chiffrement
- Possibilité de verrouiller les terminaux dont la connexion automatique échoue
Importance du chiffrement des terminaux
Le chiffrement est une couche importante de l'infrastructure de sécurité d'une organisation. Les produits de sécurité tels que les pare-feux, les applications de prévention des intrusions et de contrôle d'accès basé sur les rôles contribuent tous à protéger les données au sein de l'entreprise. Toutefois, comme les compromissions sont de plus en plus courantes, le chiffrement permet de protéger les données même une fois qu'elles ont quitté l'entreprise. Le chiffrement est une défense essentielle contre le vol et la divulgation de données.