Comment stocker l'information sensible de manière sécurisée et où garder ses clés.

1. Encryption des données
Stocker l’information sensible de manière sécurisée
Julie Guého
http://about.me/juliegueho
@JulyPyrra
Encryption des données - http://about.me/juliegueho

2. Pourquoi/Quoi/Comment
Encryption des données - http://about.me/juliegueho
- Pour protéger les données sensibles
- Pour “dé-identifier” les données
HIPAAPIPEDA
Secteur de la santé

3. Pourquoi/Quoi/Comment
Encryption des données - http://about.me/juliegueho
Cersei
Lannister
vJCnAGa+KLr6oE5aJ+sDMA==
sLqVFpNIKa68s3+xFg9Zag==
Donnée non cryptée (“plain text”) Donnée cryptée (“cyphertext”)
Algorithme d’encryption basé sur une clé

4. Pourquoi/Quoi/Comment
Encryption des données - http://about.me/juliegueho

5. Où stocker la clé ?
Encryption des données - http://about.me/juliegueho

6. Où stocker la clé ?
Encryption des données - http://about.me/juliegueho

7. Où stocker la clé ?
User1
Encrypté avec clé1
User2
Encrypté avec clé2
User3
Encrypté avec clé3
Clé1
Clé2 Clé3
Magasin des clés (key store)
Certificat
X.501
Encryption des données - http://about.me/juliegueho

8. Avantages certificats x.501
• Sécurité
• Clé privée protégée par un format non exportable
• Clé publique référencée dans l’application
Encryption des données - http://about.me/juliegueho

9. Architecture
Encryption des données - http://about.me/juliegueho
Certificat X.501
Application
Base de données
Utilisateur
encrypté + version
de la clé
Magasin de clés
Serveur
Empreinte
certificat
Version
de la clé
Clé symmétrique
encryptée
Table (Table storage ou base de données)

10. Processus Certificat X.501
Application
Base de données
Utilisateur
encrypté + version
de la clé
Magasin de clés
1
2
3
4
5. Décryption de la clé symmétrique
6. Décryption des données
Encryption des données - http://about.me/juliegueho
Serveur
Empreinte
certificat
Version
de la clé
Clé symmétrique
encryptée
Table (Table storage ou base de données)

11. Une petite demo ?
Encryption des données - http://about.me/juliegueho

12. Et pour la super clé ?
Encryption des données - http://about.me/juliegueho

13. Et pour la super clé ?
• La clé privée doit être sécurisée physiquement
• N’oubliez pas d’en faire une sauvegarde de sécurité !
Encryption des données - http://about.me/juliegueho

14. D’autres mesures de sécurité ?
• Vérifier l’intégrité des données
• Impérativement utiliser SSL
• Encrypter les chaînes de connections (connection string) dans les web.config et
app.config (avec un certificat par exemple)
• Sauvegarde de sécurité sur un deuxième serveur géographiquement éloigné du 1er
• Roles et privileges pour accéder aux données, déconnection automatique
• Mais surtout : formation des équipes concernées !
Encryption des données - http://about.me/juliegueho

15. Bibliographie
• http://azuretableencrypt.codeplex.com/
• http://www.us.sogeti.com/what-we-do/PDF/HIPAA-in-the-Cloud-
Whitepaper-Sogeti-v1.2.pdf (.NET, Azure)
• http://azure.microsoft.com/blog/2011/09/07/field-note-using-
certificate-based-encryption-in-windows-azure-applications/
Encryption des données - http://about.me/juliegueho

16. Merci !
• Envoyez-moi vos questions :
julie.gueho@gmail.com
@JulyPyrra
• Sources :
https://github.com/JulieGueho/Encryption
http://www.slideshare.net/JulieGueho/encryption-des-donnes
Encryption des données - http://about.me/juliegueho