La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

Stéphane SAUNIER TSP Sécurité Microsoft France

Présentations similaires


Présentation au sujet: "Stéphane SAUNIER TSP Sécurité Microsoft France"— Transcription de la présentation:

1 Stéphane SAUNIER TSP Sécurité Microsoft France

2 Les menaces Aperçu de Bitlocker Drive Encryption Aperçu dEFS Aperçu de RMS et des nouveauté du produit sous Vista Positionnement des trois technologies

3 Compromission volontaire de données Vol dun bien pour les données quil contient Perte due à une négligence Internes ou externes IntentionnellesAccidentellesCiblées

4 Le département de la justice aux Etats-Unis a estimé que le vol de propriété intellectuelle avait coûté 250 milliards de $ aux entreprises en 2004 Perte de revenu, de capitalisation boursière, davantage compétitif La fuite de mails confidentiels peut être embarrassante La transfert non intentionnel dinformations sensibles peut affecter de manière significative limage et la crédibilité dune entreprise Augmentation de la réglementation : SOX, LSF, Bâle 2 Amener une société à la conformité réglementaire peut être complexe et coûteux La non conformité peut conduire à des amendes significatives Financier Image et Crédibilité Conformité légale et réglementaire

5 After virus infections, businesses report unintended forwarding of s and loss of mobile devices more frequently than they do any other security breach Jupiter Research Report, 2004

6 Les besoins métier Les documents doivent être protégés quel que soit lendroit où ils voyagent Les données sur les partages doivent être chiffrées pour les protéger contre des accès non autorisés Les biens des entreprises tels que les PC portables ou les serveurs en agence doivent être protégés contre une compromission physique Solution = RMS, EFS, BitLocker Définition dune politique de sécurité et obligation de respecter cette politique faite au niveau de la plateforme (inclusion du client RMS) Chiffrement des fichiers par utilisateur (EFS) Chiffrement de disque reposant sur des mécanismes matériels (Bitlocker Drive Encryption)

7

8 Une grande multinationale qui souhaite garder lanonymat perd en moyenne un ordinateur portable par jour ouvré dans les taxis dune seule grande ville américaine

9 « BitLocker Drive Encryption vous fournit une meilleure protection de vos systèmes Windows Vista, même quand ces systèmes sont dans des mains non autorisées ou exécutent un système dexploitation différent. BDE atteint ce résultat en interdisant à un voleur qui démarre un autre système dexploitation ou utilise un outil de hacking spécifique de casser les protections du système et des fichiers ou même de visualiser les fichiers constitutifs du système lui-même »

10 Besoin dune solution qui Se trouve en dessous de Windows A des clés disponibles au démarrage Impossibilité de demander à lutilisateur de se connecter pour fonctionner Sécurise les données système Sécurise les données utilisateur Sécurise la base de registre Fonctionne de manière transparente avec la plateforme (intégrité du code) Sécurise les secrets « racine » Protège contre les attaques en mode déconnecté Soit très facile à utiliser Solution Chiffrer le disque entier (presque) Protéger la clé de chiffrement en la « scellant » au moyen dun Trusted Platform Module (TPM) au bénéfice unique dun loader autorisé Plus dautres options (voir plus loin) Seuls les loaders autorisés peuvent récupérer la clé de chiffrement du volume

11 Niveaux de protection Un rappel préalable : la sécurité nest jamais absolue… BDE est utilisable par tous Depuis lutilisateur standard … Portable attaqué non ciblé …au « super paranoïaque »…. Portable attaqué ciblé BDE protège contre les attaques logicielles en mode déconnecté Lorsque le système à démarré le déchiffrement des bloques de données de la partition est transparente. Options de configuration Equilibre entre la facilité dutilisation et la sécurité TPM seul – amélioration de la protection, très peu dimpact sur lutilisateur Ajout dun PIN – permet dadresser des attaques matérielles sérieuses ; lutilisateur doit se souvenir de quelque chose Clé USB seule (sans TPM) – bonne protection mais le maillon faible devient la Clé Clé USB et TPM

12 ******* BDE offre un large spectre de protection permettant de trouver un équilibre entre la facilité dutilisation et le profil des menaces contre lesquelles on cherche à se protéger

13 Les plateformes dignes de confiance utilisent des racines de confiance Un TPM est la mise en œuvre dune racine de confiance Une racine de confiance implémentée en hardware a des avantages spécifiques Le logiciel peut être trompé par le logiciel Il est difficile denraciner la confiance dans un logiciel qui doit se valider lui-même Le matériel peut être rendu résistant aux attaques Certification possible Le logiciel et le matériel ensemble peuvent mieux protéger les secrets « racine » que le logiciel seul

14 Résulte de la même étape simple répétée plusieurs fois Le module n « mesure » (hash) le module n+1 Le module n enregistre (fonction « extend ») le hash du module n+1 dans le TPM Le module n transfère le contrôle au module n+1 On « nettoie » et on recommence A nimporte quel moment, le TPM contient une « mesure » de tous les logiciels qui ont été chargés jusqualors On ne peut desceller le contenu que si ces informations sont « correctes »

15

16

17 Boot La partition Windows contient Le système dexploitation chiffré Le fichier de pagination chiffré Les fichiers temporaires chiffrés Les donnée chiffrés Le fichier dhibernation chiffré La partition de Boot contient : MBR, Loader, utilitaires de boot (Non chiffrée, petite) Où sont les clés de chiffrement ? 1.SRK (Storage Root Key) contenu dans le TPM 2.La SRK chiffre la VEK (Volume Encryption Key) protégé par TPM/PIN/Dongle 3.La VEK est stockée (chiffrée par la SRK) sur le disque dur dans la partition de boot VEK 2 3 Windows 1

18 BDE améliore la sécurité de la base de registre, des fichiers de configuration, de pagination et dhibernation qui sont stockés sur le volume qui est complètement chiffré Le chiffrement du fichier dhibernation Protège contre les problèmes de sécurité posés par lhibernation dun PC portable ayant des documents confidentiels ouverts La destruction de la clé racine permet le redéploiement du hardware existant en toute sécurité en rendant les anciennes données inaccessibles Ce nest PAS une fonctionnalité accessible pour lutilisateur final Une récupération (en cas de perte de clé ou dautre scénarios) est possible pour toute personne disposant dun téléphone lui permettant daccéder à son administrateur

19

20

21 Chiffre individuellement chaque fichier Transparent pour lutilisateur Protège contre les fichiers de données désignés contre les attaques offline Nouveau dans Windows Vista Support de la carte à puce

22 I/O manager EFS.sys NTFS Usermode Kernel mode Win32 layer Applications FSRTL callouts Encrypted on-disk data storage Crypto API LPC communication for all key management support EFSservice

23 Deux algorithmes de chiffrement sont utilisés: Le cryptage des données sur disque utilise un algorithme de clé symétrique (DESX) pour générer la FEK (File Encryption Key) Clé sur 56 bits Le chiffrement de la FEK utilise un algorithme de clé asymétrique (RSA) pour générer la DDF (Data Decryption Field), et les DRF (Data Recovery Field) Clé sur 1024 bits L'algorithme de clé asymétrique utilise : La clé publique de l'utilisateur et de chaque agent de recouvrement pour crypter la FEK La clé privée de l'utilisateur et de chaque agent de recouvrement pour décrypter la FEK

24 Data Recovery Field generation (RSA) DRF Clé publique Agent de recouvrement (certificate) Informationsecrete Data Decryption Field generation (RSA) DDF Clé Publique utilisateur (certificate) RNG File Encryption Key (FEK) File encryption (DES)*#$fjda^ju539!3t t389E 5e%32\^kd File encryption (AES 256) Vista

25 25 Les cartes a puces sont trop lentes pour permettre une utilisation a chaque accès de fichier Utilisation dun mode acceleré: On derive une clé symetrique depuis la clé privée residant dans la carte a puce. On utilise cette clé pour chiffrer la FEK. Cette clé ne peut etre obtenu quen presence de la clé privé sur la carte a puce. Smartcard Private Key Derive a symmetric key AES-256 key Use as Software Private Key (Accelerated) Cache in LSA Use to encrypt FEK RSA mode Mode acceleré

26 Opération Fichier source Répertoire destination RésultatCopie/Dépla-cementCrypté Non NTFS Non Crypté Copie/Dépla- cement Crypté NTFS non crypté Crypté Copie/dépla- cement Crypté NTFS crypté Crypté Copie/dépla- cement Non Crypté NTFS crypté Crypté Matrice de copie / déplacements de fichiers

27

28 DRM pour lentreprise et DRM pour les médias Gestion de droits numériques en entreprise (IRM) DRM pour les médias (Windows Media DRM) Contenu Entreprise Documents, , pages web, etc. Commercial content Musique, films, TV, etc. Authentificat ion Fondée sur lidentitéFondée sur la machine Politique/Rè gles Politique de lentreprise Confidentialité Cycle de vie des documents Conformité Règles business Achat Location Souscription

29 Rights Management Services (RMS) est une plateforme pour la mise en place de solution de DRM en entreprise telle que décrite précédemment. Supporte le développement de solutions tierces riches au dessus de RMS à laide du Software Development Kit (SDK) RMS IRM est un développement que MS Office a effectué sur le socle RMS.

30 Définir qui peut ouvrir, modifier, imprimer, transférer et / ou entreprendre dautres actions avec les données (possibilité dutiliser des listes de distribution contenues dans Active Directory) Fixer une date dexpiration sur des messages électroniques ou des documents… … à une date donnée … tous les n jours, en exigeant lacquisition dune nouvelle licence Les droits peuvent s appliquer a l aide de Templates

31 RMS Client RMS Lockbox Client API RMS Server Certification Licensing Templates Active Directory Authentication Service Discovery Group Membership SQL Server Configuration data Logging Applications Clientes & Serveurs compatibles RMS

32 AuteurDestinataire Serveur RMS SQL Server Active Directory Lauteur définit un ensemble de droits dutilisation et de règles pour son fichier. lapplication crée une licence de publication (PL) et chiffre le fichier. 3.Lauteur distribue le fichier. 4.Le destinataire ouvre le fichier, lapplication appelle le serveur RMS qui vérifie que lutilisateur est valide (RAC) et fournit une licence dutilisation (UL). 5.Lapplication effectue le rendu du fichier et fait respecter les droits. 1.Lauteur reçoit des certificats (SPC/RAC/CLC) la première fois quil protège des informations. 1

33 a Droits et ayants droits (adresses ) Clé de session Chiffré avec clé publique serveur Licence publication Contenu du fichier (Texte, Images, méta data, etc…) Licences utilisation Clé de session Droits pour l'ayant droit Chiffré avec la clé publique de l'ayant droit Création lors de la protection du fichier Ajouté au fichier lors de l'ouverture par les ayants droits Chiffré avec clé de session, typiquement AES128 Chiffré avec clé publique serveur Chiffré avec la clé publique de l'ayant droit Les EUL (Outlook 2003) sont stockées sur le disque, et non avec les messages

34 FonctionnalitéIRM S/MIME signatur e S/MIME chiffrement ACLsEFS Identification de lémetteur Permissions par utililsateur Contrôle de la lecture non autorisée Chiffrement des contenus Expiration temporelle de laccès au contenu Expiration liée à lusage du contenu Contrôle de la possibilité de lire, transmettre, sauvegarder modifier ou imprimer un contenu 1 1 Elargir la protection au delà du périmètre initial de publication Les ACLs peuvent être positionnées sur: modification, écriture ou lecture seule. 2. Pour un fichier copié ou déplacé, le chiffrement EFS est maintenu uniquement si le support de destination est au format NTFS et si le répertoire de destination est identifié comme devant être chiffré.

35

36 La partie cliente dans Vista ( plus de téléchargement/distribution necessaire ) RMS V2 Client sera compatible avec RMS Server V1. La partie serveur dans LongHorn Server. Nouveau Rôle Serveur Compatible avec des client V1 Processus d activation simplifie … Mais les évolutions attendues sont ailleurs …

37 Consiste a mixer le meilleur des deux monde. Contrôle périmètrique lorsque le fichier est sur le serveur de fichier (Office Server 2007) Permet l indexation et les scan anti viraux … Application a la volée de droits RMS lors de la récupération d un fichier hors du serveur.

38 Prévus … Sur Crossbow ( Non de code interne de Windows Mobile 6 ) … Premières disponibilités en 2007 Supportera le mail, mais aussi les documents office supportes par l OS.

39 Vista /.Net 3 adresse le problème de couverture des formats non office Cest une approche containeur base sur le format XPS. Une imprimante virtuelle permet a toute application d imprimer dans ce format … Et d y appliquer une protection DRM. Un client XPS permettra de consommer ces protection … De même quOffice 2007

40

41 Positionnement des différentes solutionsScénarioRMSEFS BitLocker TM Respect à distance de la politique pour documents Protection du contenu en transit Protection du contenu durant la collaboration Protection locale des fichiers et dossiers sur une machine partagée par plusieurs utilisateurs Protection des fichiers et dossiers distants Protection de portable Serveur dans une filiale Protection de fichiers et dossiers dans un contexte mono utilisateur

42

43 © 2006 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.


Télécharger ppt "Stéphane SAUNIER TSP Sécurité Microsoft France"

Présentations similaires


Annonces Google