Informatique confidentielle : une quarantaine pour l’ère numérique

Sans aucun doute, le cloud computing est un pilier de l’entreprise.

Pourtant, l’adoption croissante des clouds hybrides et publics, combinée à des failles de sécurité continues de la part de forces internes et externes, laisse de nombreuses personnes avec des inquiétudes persistantes concernant la sécurité du cloud. Et à juste titre.

Cela rend d’autant plus critique la mise en place de protections de confidentialité avancées du 21e siècle, même si cela s’est souvent avéré problématique dans l’espace de sécurité.

À un niveau élevé, la cybersécurité a largement pris une forme progressive, tirant parti des outils traditionnels existants en réponse aux nouvelles attaques, a déclaré Eyal Moshe, PDG de HUB Security.

Mais il s’agit d’une entreprise coûteuse et impossible à gagner, a-t-il souligné, compte tenu de la détermination et des ressources d’acteurs malveillants qui peuvent récolter des profits énormes. Par conséquent, un changement de paradigme de sécurité est nécessaire qui intègre les défenses traditionnelles mais suppose simultanément qu’elles ne fonctionneront pas et que chaque système est toujours vulnérable.

La solution, selon lui et d’autres : l’informatique confidentielle, une technologie émergente d’informatique en nuage qui peut isoler et protéger les données pendant leur traitement.

Combler la faille de sécurité

Avant qu’une application puisse traiter des données, elle passe par un décryptage en mémoire. Cela laisse les données brièvement non cryptées et donc exposées juste avant, pendant et juste après leur traitement. Les pirates peuvent y accéder, sans cryptage, et il est également vulnérable à la compromission de l’utilisateur root (lorsque les privilèges administratifs sont accordés à la mauvaise personne).

Bien qu’il existe des technologies pour protéger les données en transit ou les données stockées, le maintien de la sécurité pendant l’utilisation des données a été un défi particulier, a expliqué Justin Lam, analyste de recherche sur la sécurité des données chez S&P Global Market Intelligence.

L’informatique confidentielle cherche à combler cette lacune en assurant la cybersécurité des informations hautement sensibles nécessitant une protection pendant le transit. Le processus permet de garantir que les données restent confidentielles à tout moment dans des environnements de confiance qui isolent les données des menaces internes et externes, a expliqué Lam.

Comment fonctionne l’informatique confidentielle

En isolant les données dans une unité centrale de traitement (CPU) protégée pendant le traitement, les ressources du processeur ne sont accessibles qu’au code de programmation spécialement autorisé, rendant sinon ses ressources invisibles à tout et à quiconque. Par conséquent, il est introuvable pour les utilisateurs humains ainsi que pour les fournisseurs de cloud, les autres ressources informatiques, les hyperviseurs, les machines virtuelles et le système d’exploitation lui-même.

Ce processus est activé grâce à l’utilisation d’une architecture basée sur le matériel connue sous le nom d’environnement d’exécution de confiance (TEE). Les entités non autorisées ne peuvent pas afficher, ajouter, supprimer ou modifier les données lorsqu’elles se trouvent dans le TEE, qui refuse les tentatives d’accès et annule un calcul si le système est attaqué.

Comme l’a expliqué Moshe, même si l’infrastructure informatique est compromise, les données doivent toujours être en sécurité.

Cela implique un certain nombre de techniques de cryptage, de décryptage et de contrôle d’accès afin que les informations ne soient disponibles qu’au moment nécessaire, uniquement pour l’utilisateur spécifique qui dispose des autorisations nécessaires dans cette enclave sécurisée, a déclaré Moshe.

Pourtant, ces enclaves ne sont pas la seule arme de l’arsenal. Des pare-feux ultra-sécurisés qui surveillent les messages entrants et sortants sont associés à une gestion à distance sécurisée, des modules de sécurité matériels et une authentification multifacteur. Les plates-formes intègrent des politiques d’accès et d’approbation dans leurs propres enclaves, y compris les processeurs et/ou les GPU pour les applications, a déclaré Moshe.

Tout compte fait, cela crée un système d’accessibilité et de gouvernance qui peut être personnalisé de manière transparente sans entraver les performances, a-t-il déclaré. Et l’informatique confidentielle a une large portée, en particulier lorsqu’il s’agit d’attaques logicielles, d’attaques de protocole, d’attaques cryptographiques, d’attaques physiques de base et d’attaques par vidage de mémoire.

Les entreprises doivent démontrer une fiabilité maximale même lorsque les données sont utilisées, a déclaré Lam, soulignant que cela est particulièrement important lorsque les entreprises traitent des données sensibles pour une autre entité. Toutes les parties en bénéficient car les données sont traitées en toute sécurité et restent confidentielles.

Concept évolutif, adoption

Le concept gagne rapidement du terrain. Comme l’avait prédit Everest Group, le meilleur scénario est que l’informatique confidentielle atteindra une valeur marchande d’environ 54 milliards de dollars d’ici 2026, ce qui représente un taux de croissance annuel composé (TCAC) de 90 % à 95 %. Le cabinet d’études mondial souligne qu’il s’agit bien sûr d’un marché naissant, il faut donc s’attendre à de gros chiffres de croissance.

Selon un rapport d’Everest Group, tous les segments, y compris le matériel, les logiciels et les services, devraient croître. Cette expansion exponentielle est alimentée par les initiatives de cloud et de sécurité des entreprises et la réglementation croissante, en particulier dans les secteurs sensibles à la confidentialité, notamment la banque, la finance et la santé.

L’informatique confidentielle est un concept qui est rapidement passé de projets de recherche à des offres entièrement déployées dans l’industrie, ont déclaré Rohit Badlaney, vice-président d’IBM Z Hybrid Cloud, et Hillery Hunter, vice-président et CTO d’IBM Cloud, dans un article de blog.

Il s’agit notamment des déploiements des fournisseurs de cloud AMD, Intel, Google Cloud, Microsoft Azure, Amazon Web Services, Red Hat et IBM. Les sociétés de cybersécurité telles que Fortinet, Anjuna Security, Gradient Flow et HUB Security se spécialisent également dans les solutions informatiques confidentielles.

Everest Group signale plusieurs cas d’utilisation de l’informatique confidentielle, notamment l’analyse collaborative pour la lutte contre le blanchiment d’argent et la détection des fraudes, la recherche et l’analyse sur les données des patients et la découverte de médicaments, ainsi que la modélisation du traitement et la sécurité des appareils IoT.

La protection des données n’est aussi solide que le maillon le plus faible de la défense de bout en bout, ce qui signifie que la protection des données doit être holistique, ont déclaré Badlany et Hunter d’IBM, qui a publié en 2018 ses outils IBM Hyper Protect Services et IBM Cloud Data Shield. Les entreprises de toutes tailles ont besoin d’une approche dynamique et évolutive de la sécurité axée sur la protection à long terme des données.

De plus, pour aider à faciliter une utilisation généralisée, la Fondation Linux a annoncé le Consortium informatique confidentiel en décembre 2019. La communauté du projet se consacre à définir et à accélérer l’adoption de l’informatique confidentielle et à établir des technologies et des normes ouvertes pour TEE. Le projet rassemble des fournisseurs de matériel, des développeurs et des hébergeurs cloud et comprend des engagements et des contributions d’organisations membres et de projets open source, selon son site Web.

L’une des choses les plus excitantes à propos de l’informatique confidentielle est que, bien qu’à ses débuts, certains des plus grands noms de la technologie travaillent déjà dans l’espace, loue un rapport de Futurum Research. Mieux encore, ils s’associent et travaillent pour utiliser leurs pouvoirs pour le bien.

Confidentialité

Les entreprises veulent toujours assurer la sécurité de leurs données, en particulier avant de les migrer vers un environnement cloud. Ou, comme le décrit un article de blog de la société de cybersécurité Fortinet, faisant essentiellement confiance à une technologie invisible.

L’informatique confidentielle vise à offrir un niveau de sécurité qui reconnaît le fait que les organisations ne sont plus en mesure de se déplacer librement dans leur propre espace, a déclaré Moshe.

Les centres de données de l’entreprise peuvent être piratés par des parties externes et sont également sensibles aux menaces internes (que ce soit par malveillance ou par négligence). Dans le cas des clouds publics, les normes communes ne peuvent pas toujours être garanties ou vérifiées contre les attaques sophistiquées.

Les périmètres qui offrent une protection sont de plus en plus faciles à franchir, a souligné Moshe, en particulier lorsque les services Web desservent autant de clients à la fois. Ensuite, il y a l’utilisation accrue de l’informatique de pointe, qui entraîne des exigences massives de traitement de données en temps réel, en particulier dans des secteurs verticaux très dispersés tels que la vente au détail et la fabrication.

Lam a convenu que l’informatique confidentielle sera de plus en plus importante à l’avenir pour démontrer la conformité réglementaire et les meilleures pratiques de sécurité. Il crée et atteste des environnements de confiance pour que les programmes s’exécutent en toute sécurité et pour que les données restent isolées.

Ces environnements de confiance ont une importance plus tangible, car le cloud computing global est de plus en plus abstrait dans des plates-formes virtualisées ou sans serveur, a déclaré Lam.

Pourtant, les entreprises ne doivent pas considérer l’informatique confidentielle comme une fin en soi.

Compte tenu de la dynamique et de la prévalence croissantes du cloud, de l’IoT, de la périphérie et de la 5G, les environnements informatiques confidentiels devront être résistants aux changements rapides de la confiance et de la demande, a-t-il déclaré.

L’informatique confidentielle peut nécessiter une disponibilité future du matériel et des améliorations à grande échelle, a-t-il déclaré. Et, comme c’est le cas avec tous les autres outils de sécurité, il faut veiller à sécuriser les autres composants, politiques, identités et processus.

En fin de compte, Lam a souligné, comme tout autre outil de sécurité, que ce n’est pas une solution complète ou infaillible.