Bdrive fragmente et chiffre les fichiers dans le cloud pour les sécuriser

La confidentialité maximale est au cœur des nouveaux services d'authentification et de stockage dans le cloud présentés cette semaine par la Bundesdruckerei au CeBIT de Hanovre (20 au 24 mars). Appelée Bdrive, l’offre d'authentification numérique sécurisée de l’imprimeur fédéral - l’entreprise, renationalisée en 2009, imprime depuis 250 ans billets de banque, passeports, visas, timbres, cartes d’identité, cartes grises et permis de conduire - qui permet aux entreprises de stocker de manière sécurisée et fiable des fichiers importants dans le cloud, semble très éloignée de ses anciens métiers.

Contrairement à des services comme Dropbox, Bdrive ne stocke pas les fichiers, mais uniquement les métadonnées. Le stockage de fichiers lui-même est pris en charge par d'autres services de stockage de cloud public. Pour autant, ces services n'ont pas accès aux fichiers eux-mêmes : en effet, le logiciel client pour Windows de Bdrive crypte les fichiers et les fragmente pour les répartir entre plusieurs services de stockage, de sorte que les données d’un même fichier ne sont jamais stockées dans le même entrepôt. « Bdrive utilise la méthode dite d’Erasure Coding qui permet de reconstruire un fichier même si certains fragments sont manquants », a expliqué Maxim Schnjakin de la Bundesdruckerei.

Plusieurs clouds pour stocker les données fragmentées

Bdrive sait dans quels services de cloud public sont stockés les fragments du fichier, à quel utilisateur ils appartiennent, qui a l’autorisation d’y accéder et sous quelles conditions. « Les clients ont la possibilité de choisir le niveau de redondance dans le système », a ajouté Maxim Schnjakin. Le client paie un abonnement à la Bundesdruckerei qui prend en charge les frais de stockage des différents services cloud utilisés. L’imprimeur fédéral n’a pas souhaité donner le nom de ses partenaires de stockage, mais le Bdrive peut, par exemple, fonctionner avec les services Simple Storage Service (S3) d'Amazon Web Services.

Le service de stockage de fichiers cloud Bdrive de Bundesdruckerei chiffre les fichiers et les fragmente dans plusieurs plates-formes de données en ligne, en utilisant l'erasure coding pour les récupérer même si certains hébergeurs tombent.

L'accès aux fichiers est contrôlé par un logiciel client intégré dans Windows 10. Bdrive apparaît au même titre que Bureau, Téléchargements et Documents dans l'Explorateur de fichiers Windows et les tâches comme l'envoi de liens de téléchargement ou le partage des droits d'accès sont accessibles par menu contextuel (clic droit). Les personnes invitées à télécharger un fichier reçoivent un courriel contenant le lien associé. Si un mot de passe est requis, il doit être envoyé via un autre canal sécurisé. En cliquant sur le lien de téléchargement, l’utilisateur lance un code JavaScript dans Bdrive qui déclenche le téléchargement des fragments de fichiers nécessaires à partir des différents entrepôts. Les fragments de fichiers sont ensuite réassemblés et décryptés. Pour augmenter encore plus la sécurité, le contrôle des fichiers Bdrive est lié à un périphérique autorisé et à l'identité du propriétaire du fichier.

Authentification par empreintes digitales

Pour offrir un niveau de sécurité plus élevé que ne le permettrait une solution par mots de passe, la Bundesdruckerei a également dévoilé un système d'authentification par empreintes digitales à base de cartes à puce. La carte appelée GoID respecte la confidentialité des données. L’un des problèmes posés par de nombreux systèmes d'authentification biométrique c’est qu'ils impliquent un stockage centralisé pour effectuer la comparaison des données biométriques de l’utilisateur. Or ce type de solution est toujours exposé au vol ou à la divulgation des données. Ce n’est plus le cas avec GoID, puisque le système permet de lire, de stocker et de comparer les empreintes digitales directement sur la carte à puce. Le message signé numériquement indiquant que l'authentification a réussi est la seule information émise par la carte de l’imprimeur.

La carte GoID est un peu plus épaisse qu'une carte de crédit, mais elle tient toujours dans un portefeuille. Elle est dotée d’un lecteur d'empreintes digitales intégré, comme celui qui équipe les smartphones haut de gamme, différent des systèmes de balayage de certains PC. La carte est alimentée et communique via une interface RFID. Dans la plupart des cas, l’opération revient à brancher un lecteur externe au port USB d'un PC. Pour s’authentifier, l’utilisateur doit déposer sa carte sur le lecteur puis placer son doigt sur la carte. Celle-ci dispose également d'un clavier numérique intégré qui lui permet de s’authentifier au cas où l’empreinte digitale n'a pas été enregistrée. « L’affiliation est réalisée avec la même carte et avec le même lecteur : le logiciel installé sur le PC contrôle le processus, mais les données d'empreintes digitales ne sortent jamais de la carte », a déclaré Éric Stange de la Bundesdruckerei.

Des cartes biométriques aux fonctions étendues

« Nous utilisons déjà ces cartes en interne et nous les proposons aux clients qui souhaitent bénéficier de fonctions plus étendues de gestion des identités et d’authentification », a ajouté Éric Stange. Ce dernier n’a pas indiqué le prix de vente de ces cartes, précisant simplement que tout dépendait des services associés. En plus de l'authentification et de l'ouverture de session Windows pour les utilisateurs Bdrive, les cartes peuvent également servir pour le contrôle d'accès d’un bâtiment. « Parce que les informations biométriques des utilisateurs ne sont jamais transmises par les cartes, il est beaucoup plus facile d'obtenir l’accord des syndicats pour leur utilisation, en particulier dans les pays soucieux de la vie privée, comme l'Allemagne », a encore déclaré Éric Stange.