IDC : Le Blackberry EST sécurisé
"Jusqu'ici tout va bien..." La note du cabinet IDC, que nous avons sous les yeux, fait figure de tampon de validation : la technologie Blackberry est « sûre par nature ». Dans une note d'opinion de 3 pages, Eric Domage, Responsable de recherche sur les produits de sécurité chez IDC Europe, se pose et répond à la question suivante : « Comment le Blackberry fait-il face aux nouvelles menaces en matière de sécurité ? ». Pas d'écosystème de partenaires L'analyste part d'un constat clair qui peut-être inquiétant : à ce jour, aucun éditeur de logiciels de sécurité (McAfee, F-Secure, Symantec, CA, Kaspersky) ne fournit de solution propre à l'OS Blackberry (ni pour Linux). Par contre, ces éditeurs couvrent largement les OS Windows Mobile, Symbian et sont en cours d'élaboration d'une solution pour Palm OS. Même si certains labos d'éditeurs, comme celui de F-Secure à Helsinki, testent le Blackberry, aucune solution de protection personnelle (antivirus, antispyware, firewall...) n'est disponible. Il n'y a donc que RIM, éditeur de la solution, qui sécurise le Blackberry. Une force : la singularité Eric Domage se pose alors la question du niveau de confiance que l'on peut accorder à RIM. IDC liste les atouts de la solution et affiche son verdict : le Blackberry (appareil, infrastructure et Blackberry Entreprise Serveur) est sécurisé par nature, architecture et processus. Cette confiance, Blackberry la doit à la singularité de son écosystème. L'OS et le terminal sont fermés : tout développement suppose une collaboration technique avec les équipes de RIM. Les systèmes de cryptage de bout en bout, triple DES et AES 256, sont solides. Les pièces jointes sont enregistrées sur le serveur et ne sont pas stockées sur le terminal. Serveur et terminal possèdent d'autre part leurs propres clés de cryptage. Les administrateurs réseaux peuvent contrôler extrêmement finement les accès aux terminaux (19 procédures de contrôle des applications, 275 règles de sécurité). Ils peuvent bloquer toutes connexions entrantes/sortantes. L'accès Bluetooth est très limité et peut être fermé. Quant au Wifi, il est inexistant en Europe. La solution Blackberry est ainsi approuvée par des autorités majeures comme l'OTAN en Europe ou le CESG en Grande Bretagne. Une faiblesse... la singularité Cependant, cette singularité et unicité du système Blackberry est à la fois une force et une faiblesse. Un système est garanti inviolable uniquement jusqu'à ce qu'un petit malin y détecte une brèche. Cet adage vaut pour tous les OS. Mais en cas d'attaque, RIM sera quasi seul devant l'ennemi. Il ne pourra compter sur l'aide de partenaires, comme pourrait le faire un Windows Mobile en s'appuyant sur son écosystème. RIM, par sa nature, est une cible parfaite pour les Hackers qui se fixent comme challenge de pénétrer un outil utilisé au plus haut niveau des directions d'entreprises et des instances gouvernementales. L'éditeur, confiant, teste en permanence sa robustesse avec des pure-players de la sécurité, tels @stake ou l'institut Fraunhofer... et assure que sa solution est inviolable. IDC approuve cette certitude, tout en la relativisant « Qu'est ce qui n'a pas encore échoué jusque là et qui risque de rater de nos jours ? ».
Un sujet classé secret défense :
Question à Eric Domage, Responsable de recherche sur les produits de sécurité chez IDC Europe.
R&T : La rumeur comme quoi RIM Blackberry serait un peu trop proche de la CIA ou du MI5 est-elle pure affabulation ?
Eric Domage : Le système ECHELON d'écoute mondiale est détenu par la NSA. Il permet de rentrer partout, et pas seulement chez RIM. Il s'avère que la CIA est cliente de la NSA, mais d'autres services se livrent aussi à ce type d'exercice. L'intrusion illégale dans les systèmes de communication est la loi du genre et personne n'est épargné. On peut s'interroger sur l'efficacité d'une écoute systématique des communications, y compris cryptées. Le terrorisme moderne est trop pauvre pour se payer des moyens de communications élaborés. Les Israéliens, plutôt solides dans le genre, ont réussi à tuer l'artificier du Fatah il y a trois ans simplement en piégent son GSM..... La guerre contre le terrorisme justifie tout.
Réponse immédiate de RIM :
"La NSA n'a pas l'autorité d'intercepter ou de faire suivre une communication de données envoyée par le biais des serveurs informatiques BlackBerry au Canada ou au Royaume-Uni. Toutes les communications de données effectuées au travers des serveurs informatiques BlackBerry sont cryptées et l'origine des emails ne peut ni être tracée ni faire l'objet d'une analyse de contenu."
Pour mémoire, il fut un temps où la polémique battait son plein...
Le feu aux poudres
La réponse de Blackberry
