Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique





















Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Edouard Jeanson, Sogeti : Le cryptage des laptops avec Biltocker Drive Encryption

janvier 2009 par Marc Jacob

De nombreuses entreprises dotent leurs employés de laptops. Cette tendance souligne les problèmes que peut représenter le vol de données sensibles. Biltocker Drive Encryption (BDE) fait parti des développements mis en avant par Microsoft Vista pour renforcer la sécurité du poste de travail. Cette solution est étroitement intégrée dans le système d’exploitation et utilise un « Trusted Platform Module » (TPM) pour offrir une protection des données et pour s’assurer de l’intégrité des composants utilisés lors du démarrage de l’ordinateur.

BDE permet d’assurer la sécurité des données grâce à des composants physiques considérés comme sûrs (si l’on fait confiance à la TPM). Son implémentation nécessite l’utilisation d’ordinateurs respectant les exigences techniques ci-dessous :

- L’ordinateur doit être équipé d’un TPM Version 1.2. Ce module permet de faire des tests d’intégrité et des mesures sur les processus de démarrage.
- L’ordinateur doit avoir un BIOS compatible TCG (Trusted Computer Group) V 1.2.
- Le système doit inclure SRTM (Static Root Trust Module).
- Le BIOS doit supporter la gestion des périphériques de stockage USB, et particulièrement la lecture écriture les petits fichiers dans un environnement de pre-system d’exploitation.

Microsoft propose plusieurs possibilités d’implémentation. Elles ont toutes un point commun : la totalité du volume, où Windows Vista est installé, est chiffré par la FVEK (Full Volume Encryption Key). Cette clé est stockée en claire dans 3 blobs de ce volume (ils sont situés à trois endroits différents pour éviter la perte de cette clé en cas de dégradation du disque dur). Ces blobs sont chiffrés par la VMK (Volume Master Key), la VMK est décelée uniquement si les tests opérés par le TPM sont validés.

La première configuration possible est l’utilisation de BDE avec le TPM seul. Cette solution est transparente pour l’utilisateur puisque lorsqu’il allume son ordinateur, il arrive à sa fenêtre de login. Le TPM effectue des vérifications sur des composants indispensables au démarrage (ces tests sont configurables depuis l’active directory), si tous les tests sont valides le TPM déchiffre la VMK, cette clé permet de déchiffrer la FVEK et finalement le volume system. L’ordinateur peut démarrer.

Pour accroitre la sécurité des données, il est possible d’utiliser BDE avec TPM et un code PIN. Comme précédemment le TPM effectue des vérifications puis, si le code PIN entré est bon, il déchiffre la VMK. Le reste des opérations est identique.

L’utilisation de BDE avec TPM couplée à une token cryptographique est la plus sûr. En effet, la clé de chiffrement n’est pas entièrement contenue dans l’ordinateur, une partie est située sur le token.

Les différentes implémentations de BDE permettent de se protéger contre les attaques suivantes :
- Découverte de clé de chiffrement par des attaques off-line
- Texte en clair trouvé dans le fichier d’hibernation
- Texte en clair trouvé dans le fichier pagefile.sys
- Texte en clair trouvé sur l’ordinateur.

Les implémentations utilisant un 2ème facteur d’authentification apporte une sécurité supplémentaire :
- Protection contre la compromission de mot de passe local ou domaine
- Protection des ordinateurs laissés en hibernation

Notes :
- BDE impacte les performances de l’ordinateur d’au moins 10 %.
- Le TPM n’est pas obligatoire pour utiliser BDE. Sans celui-ci, BDE doit s’utiliser avec un token cryptographique.


Articles connexes:


Voir les articles précédents

    

Voir les articles suivants