La DGA durcit la sécurité de son hyperviseur de virtualisation
Conçu dans le cadre du projet Sinapse par Bertin Technologies, l'hyperviseur Polyxène permettra aux armées de disposer d'ordinateurs très sécurisés. Les usages dans le secteur privé sont envisagés. « Dans un bureau, n'avoir qu'un seul PC est un confort mais, dans un char, cela devient une exigence forte » rappelle l'amiral Michel Beneditti, directeur général adjoint de l'ANSSI (Agence nationale pour la sécurité des systèmes d'information). Le 29 septembre 2009, il a remis la certification CC-EAL5 à Bertin Technologies et à la DGA (Délégation Générale pour l'Armement) pour le logiciel Polyxène. Polyxène est un hyperviseur permettant de faire fonctionner sur une même machine plusieurs instances de systèmes d'exploitation (Linux, Windows ou autre) ayant des habilitations de sécurité différentes. Un même ordinateur peut ainsi être connecté à internet via une instance, à un intranet via une autre, à un réseau classifié de coalition (OTAN par exemple) sur une troisième et à un réseau classifié national sur une dernière. Polyxène garantit que chaque instance ne « voit » que ce qu'elle a le droit de voir en termes de ressources matérielles. Les usages militaires principaux de Polyxène semblent surtout concerner les systèmes embarqués et les postes nomades sur terrain d'opération. Un tel niveau de sécurité sur des machines virtuelles peut intéresser le secteur privé puisque les attaques directes sur l'hyperviseur font partie des points faibles actuels de la virtualisation. « Il y a de nombreuses applications possibles ... ... et la certification CC-EAL5 n'est qu'un point d'étape » a noté Marc Leclere, directeur de l'unité de management espace et systèmes d'information opérationnels de la DGA. Si la DGA a évidemment des droits particuliers sur le produit (pour en faire bénéficier notamment les armées) et si les premiers utilisateurs privés seront probablement en lien direct avec la Défense Nationale (Dassault, EADS), une commercialisation « ordinaire » de Polyxène est tout à fait envisagée. « Il n'est pas rare, dans tous les domaines, que des recherches faites par la DGA puisse ensuite être réutilisées dans le civil » a rappelé un porte-parole de Bertin Technologies. On peut ainsi se mettre à rêver à des clouds ultra-sécurisés. Polyxène est issu du Plan d'Etude Amont Sinapse (solution informatique à noyau avancé pour une sureté élevée). L'étude de faisabilité a été lancée en 2002 dans le but de pouvoir sécuriser les PC militaires. En 2004, le marché de réalisation a été attribué à Bertin Technologies. Le financement du projet a été assuré par la DGA à hauteur de 7 millions d'euros. Creuser les détails du fonctionnement de Polyxène se heurte vite au secret défense. Quoique la sécurité logicielle par le secret ne soit pas forcément la meilleure solution. Des experts insistent sur le fait que la publication d'un algorithme permet de le faire tester par toute la communauté des développeurs. Une faille est alors rapidement connue de tous, ce qui permet de la corriger d'autant plus efficacement. En attendant qu'une politique de communication soit arrêtée entre l'ANSSI, la DGA et Bertin Technologies. Le communiqué précise cependant que Polyxène sépare les fonctions sécurité et système, utilise une authentification forte par carte à puce, crypte les disques durs à la volée et sécurise les clés USB.
