Les récentes révélations sur le piratage par la Chine de fournisseurs de télécommunications occidentaux dans plusieurs pays sont un signal d'alarme pour les dirigeants d'entreprises et de gouvernements qui se soucient de leurs données sensibles. L'exfiltration de quantités massives de données Internet à partir de réseaux occidentaux de téléphonie mobile et fixe nous montre que le chiffrement de bout en bout des données internes est un enjeu de taille et que la protection des données nécessite une approche de confiance zéro, de connaissance zéro et de compatibilité post-quantique.
Comme nous le savons tous, la Chine mène une vaste opération de piratage informatique à plusieurs volets dans le cadre de sa stratégie étrangère et commerciale, dont Salt Typhoon n'est qu'un exemple parmi d'autres. En octobre, des représentants du gouvernement américain ont annoncé que ce groupe avait réussi à pirater des dizaines de fournisseurs de télécommunications ainsi que des hôtels et des compagnies aériennes aux États-Unis et dans le monde entier pour accéder aux données de dirigeants politiques américains et à des informations relatives à la sécurité nationale. L'opération Salt Typhoon a fait appel à des techniques, des tactiques et des procédures sophistiquées. Dans ce cas, ils ont pu exploiter les vulnérabilités des équipements de sécurité et de réseau, ainsi que les portes dérobées utilisées par le gouvernement américain et les agences de renseignement pour effectuer des surveillances autorisées par les tribunaux. D'après le type de cibles, l'objectif de ce piratage semble être principalement la cybersurveillance.
Que peuvent donc apprendre les dirigeants d'entreprises et de gouvernements de ce piratage ? Dans ce blog, nous aborderons quelques leçons clés qui soulignent pourquoi Wire va bien au-delà des enjeux de table et offre la plateforme de communication d'entreprise la plus sécurisée au monde.
La première leçon à retenir est qu'il ne faut pas compter sur la sécurité de votre infrastructure. La plupart des infrastructures informatiques et de réseau qui ont été piratées étaient exploitées par de grandes entreprises qui ont mis en place des opérations structurées pour corriger les vulnérabilités des logiciels, déployer des mises à jour de configuration et mettre à niveau le matériel. Si votre entreprise exploite un volume important d'infrastructures informatiques et de réseaux, vous savez qu'il est impossible de toujours disposer des systèmes les plus récents ou de corriger instantanément les vulnérabilités et expositions communes (Common Vulnerabilities and Exposures, CVE). En outre, les attaquants auront toujours une longueur d'avance sur les défenseurs. Le gouvernement et les grands réseaux criminels disposent de ressources techniques et de temps que les entreprises et la grande majorité des agences gouvernementales n'ont pas. En bref, vous devez vous attendre à ce que vos données sensibles soient déjà fortement exposées aux attaquants.
Même si l'on ne peut pas compter sur la sécurité des infrastructures face à des acteurs de menaces persistantes avancées (APT) comme Salt Typhoon, il faut savoir que les entreprises technologiques américaines, en particulier, intègrent souvent d'importantes vulnérabilités dans leurs logiciels, et ce pour deux raisons. La première a été mise en lumière lors de ce piratage : le gouvernement américain exige un accès de surveillance par porte dérobée aux logiciels. Ironiquement, cette même capacité de porte dérobée a rendu l'infrastructure des télécommunications plus vulnérable au piratage par des acteurs malveillants. En outre, de nombreuses entreprises technologiques américaines monétisent la collecte des métadonnées des clients, et intègrent donc de nombreuses portes et fenêtres ouvertes et non sécurisées dans leurs logiciels. Ce type de vulnérabilité n'est pas un bug, c'est le fruit d'une conception. On peut dire que l'exfiltration fait partie du modèle économique de ces entreprises. Cela signifie qu'elles sont intrinsèquement beaucoup plus vulnérables qu'elles ne devraient l'être à l'exploitation par des tiers.
C'est pourquoi Wire est basé en Allemagne et en Suisse, avec les lois les plus strictes du monde en matière de confidentialité des données. Wire n'offre pas de portes dérobées aux agences de renseignement américaines. Wire ne monétise pas les données ou métadonnées de ses clients. Et vous pouvez prouver tout cela par vous-même en examinant notre code source ouvert.
Étant donné que votre infrastructure informatique est intrinsèquement vulnérable aux attaques, il va sans dire que vous devriez utiliser des communications chiffrées de bout en bout dans votre entreprise. Cela semble si simple, jusqu'à ce que vous considériez que les outils courants tels que Teams, Zoom, Slack, etc. sont loin d'offrir un chiffrement complet. Dans de trop nombreux cas, le chiffrement est facultatif, ne fonctionne pas pour de nombreux cas d'utilisation ou à n'importe quel niveau d'échelle. En d'autres termes, les outils que la plupart des organisations utilisent pour la collaboration au sein de l'entreprise n'offrent qu'une sécurité de théâtre en matière de chiffrement de bout en bout. Soit vos communications sensibles et le partage de fichiers sont entièrement chiffrés, de bout en bout, soit ils ne le sont pas. Si vous laissez de grandes lacunes dans la couverture, vous devez supposer que quelqu'un que vous ne voulez pas voit vos communications et vos fichiers de données sensibles.
C'est pourquoi, chez Wire, nous avons consacré des années de travail à nous assurer que chaque élément de communication, de la messagerie à l'audio et à la vidéo, des emojis aux intégrations, des petites communications aux communications à l'échelle de l'entreprise, est toujours chiffré de bout en bout par défaut. Il n'y a pas d'option pour le désactiver. En fait, il est tellement invisible que les utilisateurs ne savent même pas qu'ils utilisent la suite de communication et de collaboration la plus sécurisée au monde. Wire utilise le protocole Messaging Layer Security (MLS) qui s'adapte aux cas d'utilisation de l'entreprise, contrairement aux plateformes de messagerie grand public telles que WhatsApp, Element et Signal qui mettent en œuvre un chiffrement qui fonctionne par paire d'utilisateurs et ne peut pas s'adapter efficacement. Wire offre une sécurité chiffrée de bout en bout, complète et évolutive, et non un théâtre.
Le fait que Salt Typhoon ait pu accéder à suffisamment de systèmes internes pour surveiller les données et les métadonnées en profondeur nous montre que faire confiance à la sécurité des données et à la sécurité des systèmes centralisés est une erreur fatale. Vous devez partir du principe que tout serveur impliqué dans le traitement ou la transmission de communications est susceptible d'être compromis. Si ce serveur détient les clés (littéralement ou non) permettant d'accéder aux détails des communications ou de suivre les métadonnées des communications et des données qui y transitent, le "chiffrement de bout en bout" n'aura aucune importance. Une architecture à connaissance nulle, dans laquelle le piratage des serveurs qui relaient les données ne peut compromettre la sécurité de bout en bout des données, est une capacité de sécurité essentielle.
En outre, toute prétendue sécurité qui permet à un administrateur informatique d'accéder comme un dieu aux communications de données est vouée à un échec spectaculaire. L'exfiltration des données de Slack chez Disney en est le parfait exemple. La confiance zéro doit s'étendre à tous les acteurs, et pas seulement aux utilisateurs finaux.
Le marketing étant ce qu'il est, il est important de ne pas se contenter de croire sur parole un vendeur qui affirme que le logiciel est conçu dans un souci de sécurité maximale, mais d'être en mesure de l'examiner par soi-même. Il n'y a pas de sécurité dans l'obscurité.
C'est pourquoi Wire met en œuvre une architecture complète de zéro confiance et de zéro connaissance avec une base de code transparente et à source ouverte. Les communications chiffrées de bout en bout ne sont partagées que de manière explicite, sans qu'aucune partie ne dispose d'un "accès racine" par défaut. Un logiciel à connaissance nulle signifie qu'un adversaire peut accéder à un serveur Wire sans pour autant obtenir de données ou de métadonnées sur les communications chiffrées.
Si la menace actuelle d'exfiltration de vos données les plus sensibles n'est pas suffisante, il est temps de considérer que l'exfiltration signifie également que vos communications futures peuvent être compromises par la découverte de données ou d'indices de métadonnées importants par des acteurs malveillants qui peuvent utiliser les progrès de la puissance de calcul pour déchiffrer les données collectées précédemment. Pendant la Seconde Guerre mondiale, les cryptographes de Bletchely Park ont utilisé des fragments de phrases connus pour déchiffrer le code "inviolable" d'Enigma. L'exfiltration de grands volumes de données offre la même possibilité à l'heure actuelle. En outre, l'avènement de l'informatique quantique signifie que les données sécurisées par la cryptographie pré-quantique deviendront complètement vulnérables aux attaques de décryptage par force brute. C'est pourquoi Wire a contribué à l'élaboration de la norme Messaging Layer Security (MLS) et l'a entièrement adoptée. Cette norme offre une certaine souplesse en matière de suites de chiffrement, ce qui vous permet de mettre en œuvre des normes de cryptographie post-quantique lorsque vous êtes prêt.
Tenter de déplacer l'ensemble de votre organisation hors des plateformes non sécurisées telles que Microsoft Teams, Slack et Zoom peut s'avérer un projet de systèmes informatiques décourageant. C'est pourquoi tant de nos clients choisissent de commencer par adopter Wire comme plateforme de secours et de communication de crise. De cette façon, dans le cas où vos systèmes sont piratés par un APT, gelés par un ransomware ou compromis d'une autre manière par des acteurs malveillants, vous disposerez d'une méthode assurée pour communiquer en toute sécurité et en privé entre les parties prenantes de votre gestion de crise. Découvrez nos capacités et commencez dès aujourd'hui.