Sécurité : Mobiles et réseaux, maillons faibles

La RSA Conference 2001 http://www.rsaconference.com/rsa2001/index2.html (1), qui réunissait les acteurs de la sécurisation des systèmes d'informations, a stigmatisé les carences de la téléphonie mobile et des réseaux Internet ou professionnels.

Objectifs : sécuriser les réseaux GPRS ou 3G afin de permettre les paiements en ligne http://www.weblmi.com/daily/2001/0411/mobiles.htm et prévenir les entreprises d'agressions extérieures en protégeant leurs réseaux. Pour ces derniers, l'une des solutions en vogue à San Francisco repose sur des outils directement liés aux plates-formes matérielles. Enfin, Microsoft s'est fendu d'une sortie sur les fonctionnalités de sécurisation du prochain Windows XP sans pour autant donner de détails.

Sécuriser la 3G pour développer le paiement électronique

Si les futurs réseaux mobiles promettent de plus haut débit et plus de services pour plus de commerce, les experts présents à San Francisco conviennent tous du manque actuel de sécurité dans les télécoms. "Les algorithmes et protocoles propriétaires ne protègent que les échanges entre terminaux et relais et non pas le réseau tout entier", a convenu Yiquin Lisa Yin, responsable du laboratoire de recherche Multimedia Communications de l'opérateur mobile japonais DoCoMo.

Les discussions ont porté sur l'unification des différents protocoles, algorithmes et réseaux propre aux téléphones cellulaires. D'un côté, DoCoMo, promoteur d'i-mode, développe 3GPP, protocole qui assure la sécurité de l'ensemble du réseau mobile et ajoute des fonctionnalités d'authentification et de cryptographie renforcée. De l'autre, SSL (Secure socket layer), protocole de transactions en ligne qui doit être intégré à la version 2.0 de WAP, concurrent d'i-mode.

La conférence RSA a été l'occasion pour les équipementiers télécoms de constituer des partenariats dans le domaine de la sécurité.

Motorola s'associe ainsi à VeriSign, spécialiste de la sécurisation, pour développer WSSC (Wireless short-lived server certificate) un outil de certification numérique à durée limitée (24 heures) adapté aux plates-formes mobiles. Le lancement est prévu en mai. Pour sa part, le Japonais Matsushita (propriétaire de Panasonic) utilisera Bsafe SSL, logiciel d'encriptage de RSA, pour ses mobiles i-mode commercialisés au Japon. Du côté des Européens, Nokia développera des applications pour améliorer la technologie de pare feu de Check Point Software, destiné aux équipements de réseaux du finlandais. Enfin, Ericsson et RSA développent un système de certification numérique directement intégré aux téléphones cellulaires compatibles WAP.

La sécurisation matérielle des réseaux

3Com et Secure Computing lanceront cet été 3Com Embedded Firewall, pare-feu intégré à la carte réseau 3CR990 sur connecteur PCI et destiné aux grandes ou moyennes entreprises. Les salariés pratiquant le télétravail sont aussi visés, selon John Harrison, chef de produit chez 3Com. Le prix du pare-feu pour un serveur et 10 postes clients est de 2 114 $.

De son côté, Saafnet propose Alphashield http://www.saafnet.com/Products.htm - module intercalé entre le port USB et un boîtier d'accès Internet à haut débit - qui déconnecte automatiquement un poste relié au web mais non actif. Une requête se traduit par une reconnexion. Alphashield sera disponible et distribué par les FAI à partir de juin pour 149$. Lors de la Conference, Saafnet a lancé un défi aux pirates susceptibles de craquer son système. Enjeu : un million de dollars.

Avec XP, Microsoft promet la sécurité

Dave Thomson, vice-président du groupe Windows Server de Microsoft, affirme que XP http://www.weblmi.com/daily/2001/0206/bapteme.htm , prochaine version de l'OS de l'éditeur, intégrera un pare-feu. De plus, il supportera les services PKI (Public key infrastructure) et XKMS http://www.weblmi.com/daily/2001/0412/btob.htm , protocole de sécurisation des échanges XML. Enfin, les administrateurs de systèmes pourront limiter les fonctionnalités ouvertes aux utilisateurs pour limiter l'exécution de programmes hostiles.

Par ailleurs, la version 6 d'Internet Explorer intégrera P3P http://www.weblmi.com/daily/2000/0622/protection.htm (Platform for privacy preferences) qui permet aux internautes de maîtriser les informations personnelles qu'ils communiquent sur Internet.

Dave Thomson confirme qu'Outlook 2002 http://www.weblmi.com/daily/2001/0412/virus.htm rejettera bien automatiquement les fichiers attachés en .exe.

(1) du 8 au 12 avril à San Francisco