Prévenir la perte annoncée de votre clef USB...

Patrick Legand — Sun, 17 Dec 2006 18:26:00 +0100

Avec l'accroissement de leur capacité de stockage, les clefs USB s'invitent désormais au club des éléments de la sécurité informatique. Plutôt comme trublions; ou comme les pires bêtes noires de la sécurité des données, c'est comme on voudra.

Bien anodin au départ, ce petit support amovible reçoit au fil du temps des wagons d'informations. Les plus importantes bien sûr, les plus sensibles aussi, puisqu'on y stocke justement les données dont on se sert, celles dont on a le plus besoin. Bien entendu on ne fait jamais le ménage, on n'a pas le temps. À quoi bon d'ailleurs ? Tant qu'il reste des dizaines de méga-octets d'espace libre sur cette clef, rien ne presse...

Seulement un jour, patatras ! On perd sa clef USB. Si, si. On la perd. Non, ne soupirez pas en pensant que l'auteur de ce billet est un sinistre rabat-joie : vous la perdrez, comme tout le monde, comme je l'ai perdue la semaine dernière...

Et bizarrement, c'est à ce moment précis que l'on commence à cogiter... Tous ces fichiers présents sur cette maudite clef... Avaient-ils été correctement sauvegardés ? N'ai-je pas définitivement perdu des données importantes ? Et surtout, les documents professionnels sensibles... quel préjudice s'ils tombent entre des mains malintentionnées ?

Tiens, juste pour voir, avez vous une idée de ce qui part dans la nature suite à la perte de médias amovibles ? Quelques exemples véridiques :

Des rapports d'audits financiers sur des grandes entreprises (égarés par exemple par le consultant d'un des nombreux cabinets d'expertise travaillant pour ces entreprises)
Des fichiers des données personnelles (numéros de sécurité sociale, numéros de comptes bancaires et de cartes de crédit profesionnelles...) de plusieurs milliers de salariés d'une entreprise
Des résultats de recherche ou des secrets de fabrication dans des domaines ultra sensibles (laboratoires pharmaceutiques, équipementiers automobile, etc.)
Des documents classifiés intéressant la Défense Nationale
etc. etc. etc.

La foire à la chaussette, la grande braderie du secret industriel, Mesdames et Messieurs. Deeeeemandez le programme !!... Le pire, c'est que c'est vrai : on retrouve parfois ces informations publiées peu après sur un site web, ou sur CD-Rom en vente à l'étalage ! Je vous laisse deviner les conséquences !

Le problème, c'est que les clefs USB sont des composants particulièrement vulnérables : la plupart des clefs disponibles dans la grande distribution n'offrent aucun mécanisme pour protéger l'accès aux données (même les utilisateurs qui auront fait l'effort de faire appel aux mécanismes de chiffrement EFS de Microsoft en seront aussi pour leur frais ; rappelons que les clefs USB utilisent un format FAT, qui ne sait pas gérer EFS : cela veut dire que tout document chiffré avec EFS sur un disque dur NTFS est automatiquement déchiffré par Windows lorsqu'il est stocké sur la clef USB !).

Pourtant, sachez que trois mesures simples, efficaces et faciles à mettre en oeuvre permettent d'éviter définitivement des grosses catastrophes :

1- En règle générale, évitez systématiquement de stocker des documents sensibles sur une clef USB dénuée de système de protection. Si dans la pratique vous êtes tout de même obligé de le faire (ce qui est souvent le cas), optez pour l'une des solutions proposées aux points 2 et 3.

2- Utilisez des clefs USB sécurisées :

Par exemple une clef biométrique : les données stockées sur cette clef ne peuvent être lues que sur présentation de votre empreinte digitale. Des sociétés comme Zalix (www.zalix.fr) ou Sagem (www.sagem.com) proposent ce genre de produit à des prix tout à fait raisonnables.

* D'autres sociétés comme Bull (www.wcm.bull.com) offrent des systèmes de chiffrement à la volée intégrés à l'intérieur des clefs USB (TrustWay RCI). Certifiés par la DCSSI, ces mécanismes issus de la Défense délivrent un niveau de protection élevé.

3- Si votre service achats ne voit pas l'utilité d'investir dans ce genre d'équipements (c'est bien dommage et il est temps que votre grand patron aille suivre d'urgence une formation sur la montée de la cybercriminalité !), chiffrez vous-même vos fichiers sensibles avec le meilleur logiciel du marché, gratuit de surcroît : GnuPG (voir une présentation rapide de GnuPG ici sur ce blog). Certes, cela vous imposera quelques opérations supplémentaires, mais la confidentialité de vos données sera assurée.

N'oubliez jamais quelques règles de bon sens :

Réfléchissez toujours à deux fois avant de stocker un fichier sensible sur une clef USB
Une clef USB est un support de stockage, pas de sauvegarde ! Assurez vous que toutes les informations stockées sur votre clef USB sont sauvegardées correctement.

Patrick Legand - Sécurité Clefs USB

Prévenir la perte annoncée de votre clef USB...