SlideShare une entreprise Scribd logo
Le bon, la brute et le truand
                     dans les nuages
               (ou comment percevoir la sécurité dans le Cloud)

                  CONFOO – Montréal
                   Québec - Canada
                     9 Mars 2011

Sébastien Gioria (French Chapter Leader & OWASP Global
Education Committee Member)
sebastien.gioria@owasp.org
                    Copyright © 2009 - The OWASP Foundation
                    Permission is granted to copy, distribute and/or modify this document
                    under the terms of the GNU Free Documentation License.




                    The OWASP Foundation
                                  © 2011 - S.Gioria
                    http://www.owasp.org
Consultant Sécurité Sénior au                                                 Twitter :@SPoint
  sein du cabinet d’audit
  OWASP France Leader - Evangéliste -
    OWASP Global Education Comittee
    Member (sebastien.gioria@owasp.org)
  CISA && ISO 27005 Risk Manager
                      q     Expérience en Sécurité des Systèmes d’Information > 0x0D années

                      q     Différents postes de manager SSI dans la banque, l’assurance et les
                             télécoms

                      q     Expertise Technique
                            ü    Gestion du risque, Architectures fonctionnelles, Audits
                            ü    S-SDLC : Secure-Software Development LifeCycle.
                            ü    PenTesting, Digital Forensics
                            ü    Consulting et Formation en Réseaux et Sécurité
    q Domaines de prédilection :
      ü  Web, WebServices, Insécurité du Web.                              © 2011 - S.Gioria
Agenda

 Introduction
 Révolution ou mirage ?
 Différents modèles, différents risques
 Différents modèles, différentes solutions
 Un peu de littérature
 Et après ?




                                        © 2011 - S.Gioria
Les hackers sont astucieux




                             © 2011 - S.Gioria
Vainqueurs a la CVE 2010
     Produit               1er              2ème               3ème
     Système               Linux Kernel     Windows Server Apple IOS (35)
     d’exploitation        (129)            2008 (93)
     SGBD                  Oracle (36)      Mysql (3)          MS-SQL Server
                                                               (1)
     Navigateur            Chrome (164) Safari (130)           Firefox (115)
     Clouds ? /            VmWare           Xen (24)           Hyper-V(2) –
     Virtualisation        (125)                               Azure (1)

       •  Il n’y a pas un meilleur editeur/constructeur….
            •  Sinon on ne serait pas aux aguets tous les 2èmes mardi du mois.
            •  Sinon les bulletins du CERT seraient vides…
            •  Et surtout Oracle ne mentirait pas sur son surnom*…
            •  Le Cloud est compliqué…..

*:unbreakable => dernier Patch Update 10/10 à la CVSS (encore une fois)…
                                                                      © 2011 - S.Gioria
Soyons donc précis !




                       © 2011 - S.Gioria
Révolution ?




               © 2011 - S.Gioria
http://www.cloudsecurityalliance.org/guidance.html
  Mirage ?

Type
   Infrastructure as a Service (IaaS)
   Platform as a Service (PaaS).
   Software as a Service (SaaS).




   Beer as a Service (BaaS) * ?
     * Guinness for me please….

                                         © 2011 - S.Gioria
Modèles

 Cloud Privé :
   Dédié à une entreprise
 Cloud partagé
   Mutualisé pour une communauté
 Cloud Public
   Grand public,
 Cloud Hybride
   Composé d’un ou plusieurs cloud précédent.



                                          © 2011 - S.Gioria
Les acteurs ?
   Les mastodontes* :
       Google
          §  27/02/2011 : Google Mail perd des mails…..
       Amazon
          §  09/2009: L’isolation dans le Cloud EC2 d’Amazon a des
              fuites….
          §  01/2011: Using Amazon Cloud to crack WPA keys (**)
       Microsoft Azure :
          §  …
  *Et non pas les éléPHPants


** http://www.reuters.com/article/2011/01/07/us-amazon-hacking-
idUSTRE70641M20110107
                                                              © 2011 - S.Gioria
© 2011 - S.Gioria
L’entreprise a le contrôle
    Qui contrôle quoi ?                                      Partage du contrôle avec le fournisseur

                                                              Le fournisseur de cloud a le contrôle


     Interne          Hébergeur          IaaS public        PaaS public            SaaS public

   Données             Données             Données            Données                Données

 Applications        Applications        Applications       Applications           Applications

    Machine            Machine             Machine             Machine                Machine
    Virtuelle          Virtuelle           Virtuelle           Virtuelle              Virtuelle

    Serveur             Serveur            Serveur             Serveur                Serveur

   Stockage            Stockage           Stockage            Stockage               Stockage

    Réseau              Réseau             Réseau              Réseau                 Réseau
Burton Group : Cloud Computing Security in the Enterprise – Jul. 2009     © 2011 - S.Gioria
Perte de la maitrise….

 Sur le matériel….
   Constemment externalisé
 Sur le logiciel
   Quelle confiance ai-je sur le modèle déployé par le
   fournisseur ?
   Quelle confiance ai-je dans le développement ?
 Sur le réseau….
   Quelle est la réelle connectivité ?
 Sur l’organisation
   Les choix matériels et/ou logiciels peuvent impacter
   les mesures de sécurité.
                                             © 2011 - S.Gioria
Risque sur les données

 Perte du contrôle sur les données
   L’administrateur a les « clefs » d’accès

   Comment sont effacées les données en cas de fin du
   contrat ?

   Comment sont « sauvegardées »/ « archivées » les
   données ?




                                               © 2011 - S.Gioria
Risques techniques sur la virtualisation

 Problèmes d’isolation des Machines virtuelles :
   Les pilules et autres médicaements de Johanna :
     §  http://invisiblethings.org/papers/Security%20Challanges
         %20in%20Virtualized%20Enviroments%20-%20RSA2008.pdf


 Partage des ressources :
   Disques
   RAM
   Processeur
   Réseau


                                                 © 2011 - S.Gioria
Gestion des données sensibles

 Les interfaces d’administration contiennent des
 données sensibles….
   Les mots de passes sont souvent les même en interns
   et en externe….
 Les interfaces d’administration permettant
 d’effectuer de l’approvisionnement a la demande
 sont sensibles
 Les APIs du Cloud ne sont peut être pas
 « sécurisées »
   Absence de clefs de chiffrement
   Absence de token de transaction…..
                                          © 2011 - S.Gioria
Et la réversibilité ?

 Problèmes de disponibilité

 Forte dépendance

 Pas de normes d’interopérabilité sur les Clouds
 ….




                                       © 2011 - S.Gioria
© 2011 - S.Gioria
Les 13 domaines de travaux du Cloud

La Cloud Security Alliance définit 13 domaines :

I.  Architecture
   1.  Cadre d’architecture du cloud Computing
II.  Gouvernance
   2.    Gouvernance et gestion des risques
   3.    Aspects juridiques liées aux données
   4.    Conformité et audit
   5.    Cycle de vie de l’information
   6.    Portabilité et interopérabilité
 http://www.cloudsecurityalliance.org/guidance.html
                                                      © 2011 - S.Gioria
Les 13 domaines de travaux du Cloud


III. Opérations
   7.     Sécurité, continuité, reprise d’activité
   8.     Opérations du datacenter
   9.     Gestion des incidents, notifications, remédiation
   10.    Sécurité applicative
   11.    Chiffrement et gestion des clés
   12.    Gestion des identités et accès
   13.    Virtualisation


     http://www.cloudsecurityalliance.org/guidance.html
                                                      © 2011 - S.Gioria
PRÉCAUTIONS POUR LE
DÉVELOPPEMENT


Ou comment sécuriser le SaaS….




                                 © 2011 - S.Gioria
Le problème

 Confidentialité
   Protéger les données, les systèmes, les processus
   d’un accès non autorisé


 Intégrité
   Assurer que les données, systèmes et processus sont
   valides et n’ont pas été modifiés de manière non
   intentionnelle.


 Disponibilité
   Assurer que les données, systèmes et processus sont
   accessible au moment voulu
                                            © 2011 - S.Gioria
Le problème

 Traçabilité
   Assurer le cheminement de toute donnée, processus
   et la reconstruction des transactions
 « Privacy »
   Assurer que les données personnelles sont sous le
   contrôle de leur propriétaire
 Conformité
   Adhérer aux lois et réglementations
 Image de marque
   Ne pas se retrouver à la une du journal « Le Monde »
   suite à un incident
                                            © 2011 - S.Gioria
La menace

 Les gouvernements ?
 Le concurrent
 La mafia
                              Capacité
 Le chômeur…                     de
 L’étudiant                  protection

 Le « script kiddies »
 Mon fils de 3 ans


Mais…… Personne ne nous piratera »
      «
                          © 2011 - S.Gioria
Défense en profondeur




                        © 2011 - S.Gioria
Pourquoi est-ce un problème global ?




                                 © 2011 - S.Gioria
Le Mercenaire des menaces(*)


 10/03/2011 – 9h45




                                          © 2011 - S.Gioria
        * Un burger et vous l’achetez….
Chuck Norris OWASP ASVS à la rescousse

   Quelles sont les fonctionnalités à mettre en oeuvre dans les
    contrôles de sécurité nécessaires à mon application

         Spécifications/Politique de sécurité des
         développements
   Quelle est la couverture et le niveau de rigueur à mettre en
    oeuvre lors de la vérification de sécurité d'une application.
   Comment comparer les différentes vérifications de sécurité
    effectuées
         Aide à la revue de code

   Quel niveau de confiance puis-je avoir dans une application
          Chapitre sécurité des contrats de
          développement ou des appels d’offres !
                                                          © 2011 - S.Gioria
Principes de développement

     KISS : Keep it Short and Simple
 8 étapes clés :
   Validation des entrées
   Validation des sorties
   Gestion des erreurs
   Authentification ET Autorisation
   Gestion des Sessions
   Sécurisation des communications
   Sécurisation du stockage
   Accès Sécurisé aux ressources
                                       © 2011 - S.Gioria
KISS : Keep it Short and Simple


 Suivre constamment les règles précédentes
 Ne pas « tenter » de mettre en place des
 parades aux attaques
 Développer sécurisé ne veut pas dire prévenir la
 nouvelle vulnérabilité du jour
 Construire sa sécurité dans le code au fur et a
 mesure et ne pas s’en remettre aux éléments
 d’infrastructures ni au dernier moment.


                                        © 2011 - S.Gioria
Parfois il faut faire sa pub ;)


      10/03/2011 – 13h30




                                  © 2011 - S.Gioria
Cet homme peut vous aider(*)



    10/02/2011 : 14h45




* : je suis d’accord on dirait pas J sur cette photo
                                                        © 2011 - S.Gioria
Mettre en place les Tests Qualité

 Ne pas parler de tests sécurité !

 Définir des fiches tests simples, basées
  sur le Top10/TopX :
    Tests   d’attaques clients/image de marque (XSS)
    Tests   d’intégrité (SQL Injection, …)
    Tests   de conformité (SQL/LDAP/XML Injection)
    Tests   de configuration (SSL, interfaces d’administration)


 Ajouter des revues de code basées sur des checklists
    SANS/Top25
    OWASP ASVS
    ….                                                   © 2011 - S.Gioria
De la littérature




                    © 2011 - S.Gioria
De la littérature

 ENISA :
   Benefits, risks and recommendations for information
   security (11/2009)
 NIST :
   SP800-144 : Guidelines on Security and Privacy in
   Public Cloud Computing (01/2011)
 Cloud Security Alliance :
   Top Threats to Cloud Computing V1.0 (03/2010)
   Security Guidance for Critical Areas of Focus In Cloud
   Computing V2.1 (12/2009)

                                             © 2011 - S.Gioria
Conclusion ?




  © Flickr – Mathieu aubry
                             © 2011 - S.Gioria
Remerciements

 Pascal Saulière (@psauliere)

 AF (@starbuck3000)

 Les deux Arthur(s)




                                 © 2011 - S.Gioria

Contenu connexe

Tendances

Web Application Firewall : une nouvelle génération indispensable ?
Web Application Firewall : une nouvelle génération indispensable ?Web Application Firewall : une nouvelle génération indispensable ?
Web Application Firewall : une nouvelle génération indispensable ?
Kyos
 

Tendances (20)

La sécurité informatique, c\'est l\'affaire de tous: état des lieux et perspe...
La sécurité informatique, c\'est l\'affaire de tous: état des lieux et perspe...La sécurité informatique, c\'est l\'affaire de tous: état des lieux et perspe...
La sécurité informatique, c\'est l\'affaire de tous: état des lieux et perspe...
 
Securite Informatique Orthez
Securite Informatique OrthezSecurite Informatique Orthez
Securite Informatique Orthez
 
ASFWS 2011 - MiniMySqlat0r Reloaded
ASFWS 2011 - MiniMySqlat0r ReloadedASFWS 2011 - MiniMySqlat0r Reloaded
ASFWS 2011 - MiniMySqlat0r Reloaded
 
Cours CyberSécurité - Infrastructures Critiques
Cours CyberSécurité - Infrastructures CritiquesCours CyberSécurité - Infrastructures Critiques
Cours CyberSécurité - Infrastructures Critiques
 
Wavestone benchmark securite site web 2016 2017
Wavestone benchmark securite site web 2016 2017Wavestone benchmark securite site web 2016 2017
Wavestone benchmark securite site web 2016 2017
 
DSBrowser Concilier securité et simplicite
DSBrowser Concilier securité et simpliciteDSBrowser Concilier securité et simplicite
DSBrowser Concilier securité et simplicite
 
Gestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTGestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoT
 
Sécurité informatique - Etat des menaces
Sécurité informatique - Etat des menacesSécurité informatique - Etat des menaces
Sécurité informatique - Etat des menaces
 
Matinée d'échange et de réflexion - Sécurité Informatique en RDC
Matinée d'échange et de réflexion - Sécurité Informatique en RDCMatinée d'échange et de réflexion - Sécurité Informatique en RDC
Matinée d'échange et de réflexion - Sécurité Informatique en RDC
 
The Dark Side Of The Cloud
The Dark Side Of The CloudThe Dark Side Of The Cloud
The Dark Side Of The Cloud
 
La securité informatique - Etat des Lieux - Nov. 2016
La securité informatique - Etat des Lieux - Nov. 2016La securité informatique - Etat des Lieux - Nov. 2016
La securité informatique - Etat des Lieux - Nov. 2016
 
Les Outils de la CSA (Cloud Security Alliance)
Les Outils de la CSA (Cloud Security Alliance)Les Outils de la CSA (Cloud Security Alliance)
Les Outils de la CSA (Cloud Security Alliance)
 
Competitic sécurite informatique - numerique en entreprise
Competitic   sécurite informatique - numerique en entrepriseCompetitic   sécurite informatique - numerique en entreprise
Competitic sécurite informatique - numerique en entreprise
 
Conference Security by Design - Lacroix Electronics - Comment conçoit on un o...
Conference Security by Design - Lacroix Electronics - Comment conçoit on un o...Conference Security by Design - Lacroix Electronics - Comment conçoit on un o...
Conference Security by Design - Lacroix Electronics - Comment conçoit on un o...
 
Web Application Firewall : une nouvelle génération indispensable ?
Web Application Firewall : une nouvelle génération indispensable ?Web Application Firewall : une nouvelle génération indispensable ?
Web Application Firewall : une nouvelle génération indispensable ?
 
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
 
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
 
Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2
 
Cci octobre 2014
Cci octobre 2014Cci octobre 2014
Cci octobre 2014
 
Introduction a la securité informatique Volume1
Introduction a la securité informatique Volume1Introduction a la securité informatique Volume1
Introduction a la securité informatique Volume1
 

Similaire à Le bon, la brute et le truand dans les nuages

Présentation Top10 CEGID Lyon
Présentation Top10 CEGID LyonPrésentation Top10 CEGID Lyon
Présentation Top10 CEGID Lyon
Sébastien GIORIA
 
Securité et gouvernance da
Securité et gouvernance daSecurité et gouvernance da
Securité et gouvernance da
CloudAcademy
 
Meeting Nuvollo - La passerelle-I.D.E (french)
Meeting Nuvollo - La passerelle-I.D.E (french)Meeting Nuvollo - La passerelle-I.D.E (french)
Meeting Nuvollo - La passerelle-I.D.E (french)
Nuvollo
 
Nuvollo and La passerelle-I.D.E (french)
Nuvollo and La passerelle-I.D.E (french)Nuvollo and La passerelle-I.D.E (french)
Nuvollo and La passerelle-I.D.E (french)
Nuvollo
 
Clusif cloud-2010-securite
Clusif cloud-2010-securiteClusif cloud-2010-securite
Clusif cloud-2010-securite
Oxalide
 

Similaire à Le bon, la brute et le truand dans les nuages (20)

Présentation Top10 CEGID Lyon
Présentation Top10 CEGID LyonPrésentation Top10 CEGID Lyon
Présentation Top10 CEGID Lyon
 
OWASP Mobile Top10 - Les 10 risques sur les mobiles
OWASP Mobile Top10 -  Les 10 risques sur les mobilesOWASP Mobile Top10 -  Les 10 risques sur les mobiles
OWASP Mobile Top10 - Les 10 risques sur les mobiles
 
Securité et gouvernance da
Securité et gouvernance daSecurité et gouvernance da
Securité et gouvernance da
 
2011 02-08-ms tech-days-sdl-sgi-v02
2011 02-08-ms tech-days-sdl-sgi-v022011 02-08-ms tech-days-sdl-sgi-v02
2011 02-08-ms tech-days-sdl-sgi-v02
 
2010 03-11-sdlc-v02
2010 03-11-sdlc-v022010 03-11-sdlc-v02
2010 03-11-sdlc-v02
 
Osmosys Light Sept09
Osmosys Light Sept09Osmosys Light Sept09
Osmosys Light Sept09
 
La seule solution de surveillance continue et adaptative : Elastic Detector
La seule solution de surveillance continue et adaptative : Elastic DetectorLa seule solution de surveillance continue et adaptative : Elastic Detector
La seule solution de surveillance continue et adaptative : Elastic Detector
 
Présentation au CRI-Ouest
Présentation au CRI-OuestPrésentation au CRI-Ouest
Présentation au CRI-Ouest
 
ASFWS 2011 - Evaluation de la sécurité des applications mobiles
ASFWS 2011 - Evaluation de la sécurité des applications mobilesASFWS 2011 - Evaluation de la sécurité des applications mobiles
ASFWS 2011 - Evaluation de la sécurité des applications mobiles
 
Excelerate Systems - France - Nov 2012
Excelerate Systems - France - Nov 2012Excelerate Systems - France - Nov 2012
Excelerate Systems - France - Nov 2012
 
Meeting Nuvollo - La passerelle-I.D.E (french)
Meeting Nuvollo - La passerelle-I.D.E (french)Meeting Nuvollo - La passerelle-I.D.E (french)
Meeting Nuvollo - La passerelle-I.D.E (french)
 
Nuvollo and La passerelle-I.D.E (french)
Nuvollo and La passerelle-I.D.E (french)Nuvollo and La passerelle-I.D.E (french)
Nuvollo and La passerelle-I.D.E (french)
 
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
 
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
 
Séminaire Evolution de la Mobilité - Subir ou gérer ?
Séminaire Evolution de la Mobilité - Subir ou gérer ?Séminaire Evolution de la Mobilité - Subir ou gérer ?
Séminaire Evolution de la Mobilité - Subir ou gérer ?
 
Petit déjeuner du 20/11 MDM en mode Cloud Saphelec & Monaco Telecom
Petit déjeuner du 20/11 MDM en mode Cloud   Saphelec & Monaco TelecomPetit déjeuner du 20/11 MDM en mode Cloud   Saphelec & Monaco Telecom
Petit déjeuner du 20/11 MDM en mode Cloud Saphelec & Monaco Telecom
 
Offre de service
Offre de serviceOffre de service
Offre de service
 
Clusif cloud-2010-securite
Clusif cloud-2010-securiteClusif cloud-2010-securite
Clusif cloud-2010-securite
 
Le Cloud Computing ?
Le Cloud Computing ? Le Cloud Computing ?
Le Cloud Computing ?
 
VISEO Shake the Microsoft business - comment rapidement batir une solution IoT
VISEO Shake the Microsoft business - comment rapidement batir une solution IoTVISEO Shake the Microsoft business - comment rapidement batir une solution IoT
VISEO Shake the Microsoft business - comment rapidement batir une solution IoT
 

Plus de ConFoo

Debugging applications with network security tools
Debugging applications with network security toolsDebugging applications with network security tools
Debugging applications with network security tools
ConFoo
 
The business behind open source
The business behind open sourceThe business behind open source
The business behind open source
ConFoo
 
Security 202 - Are you sure your site is secure?
Security 202 - Are you sure your site is secure?Security 202 - Are you sure your site is secure?
Security 202 - Are you sure your site is secure?
ConFoo
 
OWASP Enterprise Security API
OWASP Enterprise Security APIOWASP Enterprise Security API
OWASP Enterprise Security API
ConFoo
 
Opensource Authentication and Authorization
Opensource Authentication and AuthorizationOpensource Authentication and Authorization
Opensource Authentication and Authorization
ConFoo
 
Introduction à la sécurité des WebServices
Introduction à la sécurité des WebServicesIntroduction à la sécurité des WebServices
Introduction à la sécurité des WebServices
ConFoo
 
The Solar Framework for PHP
The Solar Framework for PHPThe Solar Framework for PHP
The Solar Framework for PHP
ConFoo
 
Décrire un projet PHP dans des rapports
Décrire un projet PHP dans des rapportsDécrire un projet PHP dans des rapports
Décrire un projet PHP dans des rapports
ConFoo
 
Server Administration in Python with Fabric, Cuisine and Watchdog
Server Administration in Python with Fabric, Cuisine and WatchdogServer Administration in Python with Fabric, Cuisine and Watchdog
Server Administration in Python with Fabric, Cuisine and Watchdog
ConFoo
 
Marrow: A Meta-Framework for Python 2.6+ and 3.1+
Marrow: A Meta-Framework for Python 2.6+ and 3.1+Marrow: A Meta-Framework for Python 2.6+ and 3.1+
Marrow: A Meta-Framework for Python 2.6+ and 3.1+
ConFoo
 
Think Mobile First, Then Enhance
Think Mobile First, Then EnhanceThink Mobile First, Then Enhance
Think Mobile First, Then Enhance
ConFoo
 
Metaprogramming in Ruby
Metaprogramming in RubyMetaprogramming in Ruby
Metaprogramming in Ruby
ConFoo
 
Scalable Architecture 101
Scalable Architecture 101Scalable Architecture 101
Scalable Architecture 101
ConFoo
 
As-t-on encore besoin d'un framework web ?
As-t-on encore besoin d'un framework web ?As-t-on encore besoin d'un framework web ?
As-t-on encore besoin d'un framework web ?
ConFoo
 
Pragmatic Guide to Git
Pragmatic Guide to GitPragmatic Guide to Git
Pragmatic Guide to Git
ConFoo
 
Building servers with Node.js
Building servers with Node.jsBuilding servers with Node.js
Building servers with Node.js
ConFoo
 
An Overview of Flash Storage for Databases
An Overview of Flash Storage for DatabasesAn Overview of Flash Storage for Databases
An Overview of Flash Storage for Databases
ConFoo
 
Android Jump Start
Android Jump StartAndroid Jump Start
Android Jump Start
ConFoo
 
Develop mobile applications with Flex
Develop mobile applications with FlexDevelop mobile applications with Flex
Develop mobile applications with Flex
ConFoo
 
WordPress pour le développement d'aplications web
WordPress pour le développement d'aplications webWordPress pour le développement d'aplications web
WordPress pour le développement d'aplications web
ConFoo
 

Plus de ConFoo (20)

Debugging applications with network security tools
Debugging applications with network security toolsDebugging applications with network security tools
Debugging applications with network security tools
 
The business behind open source
The business behind open sourceThe business behind open source
The business behind open source
 
Security 202 - Are you sure your site is secure?
Security 202 - Are you sure your site is secure?Security 202 - Are you sure your site is secure?
Security 202 - Are you sure your site is secure?
 
OWASP Enterprise Security API
OWASP Enterprise Security APIOWASP Enterprise Security API
OWASP Enterprise Security API
 
Opensource Authentication and Authorization
Opensource Authentication and AuthorizationOpensource Authentication and Authorization
Opensource Authentication and Authorization
 
Introduction à la sécurité des WebServices
Introduction à la sécurité des WebServicesIntroduction à la sécurité des WebServices
Introduction à la sécurité des WebServices
 
The Solar Framework for PHP
The Solar Framework for PHPThe Solar Framework for PHP
The Solar Framework for PHP
 
Décrire un projet PHP dans des rapports
Décrire un projet PHP dans des rapportsDécrire un projet PHP dans des rapports
Décrire un projet PHP dans des rapports
 
Server Administration in Python with Fabric, Cuisine and Watchdog
Server Administration in Python with Fabric, Cuisine and WatchdogServer Administration in Python with Fabric, Cuisine and Watchdog
Server Administration in Python with Fabric, Cuisine and Watchdog
 
Marrow: A Meta-Framework for Python 2.6+ and 3.1+
Marrow: A Meta-Framework for Python 2.6+ and 3.1+Marrow: A Meta-Framework for Python 2.6+ and 3.1+
Marrow: A Meta-Framework for Python 2.6+ and 3.1+
 
Think Mobile First, Then Enhance
Think Mobile First, Then EnhanceThink Mobile First, Then Enhance
Think Mobile First, Then Enhance
 
Metaprogramming in Ruby
Metaprogramming in RubyMetaprogramming in Ruby
Metaprogramming in Ruby
 
Scalable Architecture 101
Scalable Architecture 101Scalable Architecture 101
Scalable Architecture 101
 
As-t-on encore besoin d'un framework web ?
As-t-on encore besoin d'un framework web ?As-t-on encore besoin d'un framework web ?
As-t-on encore besoin d'un framework web ?
 
Pragmatic Guide to Git
Pragmatic Guide to GitPragmatic Guide to Git
Pragmatic Guide to Git
 
Building servers with Node.js
Building servers with Node.jsBuilding servers with Node.js
Building servers with Node.js
 
An Overview of Flash Storage for Databases
An Overview of Flash Storage for DatabasesAn Overview of Flash Storage for Databases
An Overview of Flash Storage for Databases
 
Android Jump Start
Android Jump StartAndroid Jump Start
Android Jump Start
 
Develop mobile applications with Flex
Develop mobile applications with FlexDevelop mobile applications with Flex
Develop mobile applications with Flex
 
WordPress pour le développement d'aplications web
WordPress pour le développement d'aplications webWordPress pour le développement d'aplications web
WordPress pour le développement d'aplications web
 

Le bon, la brute et le truand dans les nuages

  • 1. Le bon, la brute et le truand dans les nuages (ou comment percevoir la sécurité dans le Cloud) CONFOO – Montréal Québec - Canada 9 Mars 2011 Sébastien Gioria (French Chapter Leader & OWASP Global Education Committee Member) sebastien.gioria@owasp.org Copyright © 2009 - The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License. The OWASP Foundation © 2011 - S.Gioria http://www.owasp.org
  • 2. Consultant Sécurité Sénior au Twitter :@SPoint sein du cabinet d’audit OWASP France Leader - Evangéliste - OWASP Global Education Comittee Member (sebastien.gioria@owasp.org) CISA && ISO 27005 Risk Manager q  Expérience en Sécurité des Systèmes d’Information > 0x0D années q  Différents postes de manager SSI dans la banque, l’assurance et les télécoms q  Expertise Technique ü  Gestion du risque, Architectures fonctionnelles, Audits ü  S-SDLC : Secure-Software Development LifeCycle. ü  PenTesting, Digital Forensics ü  Consulting et Formation en Réseaux et Sécurité q Domaines de prédilection : ü  Web, WebServices, Insécurité du Web. © 2011 - S.Gioria
  • 3. Agenda  Introduction  Révolution ou mirage ?  Différents modèles, différents risques  Différents modèles, différentes solutions  Un peu de littérature  Et après ? © 2011 - S.Gioria
  • 4. Les hackers sont astucieux © 2011 - S.Gioria
  • 5. Vainqueurs a la CVE 2010 Produit 1er 2ème 3ème Système Linux Kernel Windows Server Apple IOS (35) d’exploitation (129) 2008 (93) SGBD Oracle (36) Mysql (3) MS-SQL Server (1) Navigateur Chrome (164) Safari (130) Firefox (115) Clouds ? / VmWare Xen (24) Hyper-V(2) – Virtualisation (125) Azure (1) •  Il n’y a pas un meilleur editeur/constructeur…. •  Sinon on ne serait pas aux aguets tous les 2èmes mardi du mois. •  Sinon les bulletins du CERT seraient vides… •  Et surtout Oracle ne mentirait pas sur son surnom*… •  Le Cloud est compliqué….. *:unbreakable => dernier Patch Update 10/10 à la CVSS (encore une fois)… © 2011 - S.Gioria
  • 6. Soyons donc précis ! © 2011 - S.Gioria
  • 7. Révolution ? © 2011 - S.Gioria
  • 8. http://www.cloudsecurityalliance.org/guidance.html Mirage ? Type  Infrastructure as a Service (IaaS)  Platform as a Service (PaaS).  Software as a Service (SaaS).  Beer as a Service (BaaS) * ? * Guinness for me please…. © 2011 - S.Gioria
  • 9. Modèles  Cloud Privé :  Dédié à une entreprise  Cloud partagé  Mutualisé pour une communauté  Cloud Public  Grand public,  Cloud Hybride  Composé d’un ou plusieurs cloud précédent. © 2011 - S.Gioria
  • 10. Les acteurs ?  Les mastodontes* :  Google §  27/02/2011 : Google Mail perd des mails…..  Amazon §  09/2009: L’isolation dans le Cloud EC2 d’Amazon a des fuites…. §  01/2011: Using Amazon Cloud to crack WPA keys (**)  Microsoft Azure : §  … *Et non pas les éléPHPants ** http://www.reuters.com/article/2011/01/07/us-amazon-hacking- idUSTRE70641M20110107 © 2011 - S.Gioria
  • 11. © 2011 - S.Gioria
  • 12. L’entreprise a le contrôle Qui contrôle quoi ? Partage du contrôle avec le fournisseur Le fournisseur de cloud a le contrôle Interne Hébergeur IaaS public PaaS public SaaS public Données Données Données Données Données Applications Applications Applications Applications Applications Machine Machine Machine Machine Machine Virtuelle Virtuelle Virtuelle Virtuelle Virtuelle Serveur Serveur Serveur Serveur Serveur Stockage Stockage Stockage Stockage Stockage Réseau Réseau Réseau Réseau Réseau Burton Group : Cloud Computing Security in the Enterprise – Jul. 2009 © 2011 - S.Gioria
  • 13. Perte de la maitrise….  Sur le matériel….  Constemment externalisé  Sur le logiciel  Quelle confiance ai-je sur le modèle déployé par le fournisseur ?  Quelle confiance ai-je dans le développement ?  Sur le réseau….  Quelle est la réelle connectivité ?  Sur l’organisation  Les choix matériels et/ou logiciels peuvent impacter les mesures de sécurité. © 2011 - S.Gioria
  • 14. Risque sur les données  Perte du contrôle sur les données  L’administrateur a les « clefs » d’accès  Comment sont effacées les données en cas de fin du contrat ?  Comment sont « sauvegardées »/ « archivées » les données ? © 2011 - S.Gioria
  • 15. Risques techniques sur la virtualisation  Problèmes d’isolation des Machines virtuelles :  Les pilules et autres médicaements de Johanna : §  http://invisiblethings.org/papers/Security%20Challanges %20in%20Virtualized%20Enviroments%20-%20RSA2008.pdf  Partage des ressources :  Disques  RAM  Processeur  Réseau © 2011 - S.Gioria
  • 16. Gestion des données sensibles  Les interfaces d’administration contiennent des données sensibles….  Les mots de passes sont souvent les même en interns et en externe….  Les interfaces d’administration permettant d’effectuer de l’approvisionnement a la demande sont sensibles  Les APIs du Cloud ne sont peut être pas « sécurisées »  Absence de clefs de chiffrement  Absence de token de transaction….. © 2011 - S.Gioria
  • 17. Et la réversibilité ?  Problèmes de disponibilité  Forte dépendance  Pas de normes d’interopérabilité sur les Clouds …. © 2011 - S.Gioria
  • 18. © 2011 - S.Gioria
  • 19. Les 13 domaines de travaux du Cloud La Cloud Security Alliance définit 13 domaines : I.  Architecture 1.  Cadre d’architecture du cloud Computing II.  Gouvernance 2.  Gouvernance et gestion des risques 3.  Aspects juridiques liées aux données 4.  Conformité et audit 5.  Cycle de vie de l’information 6.  Portabilité et interopérabilité http://www.cloudsecurityalliance.org/guidance.html © 2011 - S.Gioria
  • 20. Les 13 domaines de travaux du Cloud III. Opérations 7.  Sécurité, continuité, reprise d’activité 8.  Opérations du datacenter 9.  Gestion des incidents, notifications, remédiation 10.  Sécurité applicative 11.  Chiffrement et gestion des clés 12.  Gestion des identités et accès 13.  Virtualisation http://www.cloudsecurityalliance.org/guidance.html © 2011 - S.Gioria
  • 21. PRÉCAUTIONS POUR LE DÉVELOPPEMENT Ou comment sécuriser le SaaS…. © 2011 - S.Gioria
  • 22. Le problème  Confidentialité  Protéger les données, les systèmes, les processus d’un accès non autorisé  Intégrité  Assurer que les données, systèmes et processus sont valides et n’ont pas été modifiés de manière non intentionnelle.  Disponibilité  Assurer que les données, systèmes et processus sont accessible au moment voulu © 2011 - S.Gioria
  • 23. Le problème  Traçabilité  Assurer le cheminement de toute donnée, processus et la reconstruction des transactions  « Privacy »  Assurer que les données personnelles sont sous le contrôle de leur propriétaire  Conformité  Adhérer aux lois et réglementations  Image de marque  Ne pas se retrouver à la une du journal « Le Monde » suite à un incident © 2011 - S.Gioria
  • 24. La menace  Les gouvernements ?  Le concurrent  La mafia Capacité  Le chômeur… de  L’étudiant protection  Le « script kiddies »  Mon fils de 3 ans Mais…… Personne ne nous piratera » « © 2011 - S.Gioria
  • 25. Défense en profondeur © 2011 - S.Gioria
  • 26. Pourquoi est-ce un problème global ? © 2011 - S.Gioria
  • 27. Le Mercenaire des menaces(*) 10/03/2011 – 9h45 © 2011 - S.Gioria * Un burger et vous l’achetez….
  • 28. Chuck Norris OWASP ASVS à la rescousse   Quelles sont les fonctionnalités à mettre en oeuvre dans les contrôles de sécurité nécessaires à mon application Spécifications/Politique de sécurité des développements   Quelle est la couverture et le niveau de rigueur à mettre en oeuvre lors de la vérification de sécurité d'une application.   Comment comparer les différentes vérifications de sécurité effectuées Aide à la revue de code   Quel niveau de confiance puis-je avoir dans une application Chapitre sécurité des contrats de développement ou des appels d’offres ! © 2011 - S.Gioria
  • 29. Principes de développement KISS : Keep it Short and Simple  8 étapes clés :  Validation des entrées  Validation des sorties  Gestion des erreurs  Authentification ET Autorisation  Gestion des Sessions  Sécurisation des communications  Sécurisation du stockage  Accès Sécurisé aux ressources © 2011 - S.Gioria
  • 30. KISS : Keep it Short and Simple  Suivre constamment les règles précédentes  Ne pas « tenter » de mettre en place des parades aux attaques  Développer sécurisé ne veut pas dire prévenir la nouvelle vulnérabilité du jour  Construire sa sécurité dans le code au fur et a mesure et ne pas s’en remettre aux éléments d’infrastructures ni au dernier moment. © 2011 - S.Gioria
  • 31. Parfois il faut faire sa pub ;) 10/03/2011 – 13h30 © 2011 - S.Gioria
  • 32. Cet homme peut vous aider(*) 10/02/2011 : 14h45 * : je suis d’accord on dirait pas J sur cette photo © 2011 - S.Gioria
  • 33. Mettre en place les Tests Qualité  Ne pas parler de tests sécurité !  Définir des fiches tests simples, basées sur le Top10/TopX :  Tests d’attaques clients/image de marque (XSS)  Tests d’intégrité (SQL Injection, …)  Tests de conformité (SQL/LDAP/XML Injection)  Tests de configuration (SSL, interfaces d’administration)  Ajouter des revues de code basées sur des checklists  SANS/Top25  OWASP ASVS  …. © 2011 - S.Gioria
  • 34. De la littérature © 2011 - S.Gioria
  • 35. De la littérature  ENISA :  Benefits, risks and recommendations for information security (11/2009)  NIST :  SP800-144 : Guidelines on Security and Privacy in Public Cloud Computing (01/2011)  Cloud Security Alliance :  Top Threats to Cloud Computing V1.0 (03/2010)  Security Guidance for Critical Areas of Focus In Cloud Computing V2.1 (12/2009) © 2011 - S.Gioria
  • 36. Conclusion ? © Flickr – Mathieu aubry © 2011 - S.Gioria
  • 37. Remerciements  Pascal Saulière (@psauliere)  AF (@starbuck3000)  Les deux Arthur(s) © 2011 - S.Gioria