Les blockchains comme catalyseurs de meilleures pratiques sécuritaires

Dans une présentation ludique réconciliant les Blockchains et l’humour, Nicolas Bacca nous a présenté une vision progressiste du traitement des blocks. En effet, il a offert à l’auditoire un tour d’horizon des enjeux, principalement sécuritaires, connexes au thème du minage. Arborant un tee-shirt au nom de son entreprise Ledger, à peine dissimulé sous sa veste cintrée, Nicolas BACCA nous ferait presque l’effet d’un marketer rigolo ayant trouvé l’opportunité de faire parler de son produit. Ce fût totalement l’inverse ! Bien que son discours s’appuie effectivement sur l’offre commerciale de Ledger, notre orateur nous en a offert une démonstration effective, imposant son exemple comme un levier pertinent parmi toutes les potentialités qui se révèlent aujourd’hui. Telle une introduction à la sécurité de demain, la conférence résumée ici nous a esquissé une passerelle entre monde physique et monde digital (rien que ça !).

Nicolas Bacca

Diplômé de l’École Nationale Supérieure d’Ingénieurs de Caen avec une spécialisation en monétique, Nicolas Bacca est un sérial entrepreneur depuis le milieu des années 2000. Il a fondé en 2005 la startup Simulity dont il fut le CTO jusqu’en 2012. Cette startup spécialisée dans la conception et le déploiement de solutions mobile innovantes incluant des composants matériels de sécurités et des application clientes (GMS operator, application providers, smartcard, etc.). En 2012 il fonde Ubinity startup spécialisée dans l’implémentation de clés de sécurités et depuis Novembre 2014, il a rejoint Ledger solution de sécurisation d’identité digitale dans les technologies de registres distribués

Vidéo de la conférence de Nicolas Bacca

voir les slides de la conférence

Blockchains : sorry for your lost

Le marché des solutions de sécurité au sein des technologies Blockchain est hétérogène, ouvert et porteur. Beaucoup y mettent un pied, peu s’élancent dans la course. La concurrence n’y est donc pas exacerbée ce qui laisse une place intéressante aux start-uppers.

what can we do to help you ?

L’idée a été de décrire dans la présentation les moyens pour la Blockchain d’apporter des nouvelles solutions de sécurité et de voir comment il est possible de les intégrer dans les solutions classiques IT. Comme une menace, pas du tout fantôme pour le coup, la perte de sécurité à l’extérieur des transactions demeure un vrai problème.

C’est peut être là d’ailleurs qu’apparaissent les principales lacunes au sein de la Blockchain (dans son périmètre plus que dans son noyau, cf. sciences de la vie et de la terre). Les devices de sécurité hardware deviennent évidents dans la sécurisation des « derniers mètres ». Ces objets sont très récents et offrent une alternative à l’absence de contrat tangible et donc une alternative au manque de garanties pour les utilisateurs.

Alors vraiment oublié le « sorry for your lost »? Peut-on le remplacer par un « what can we do to help you ? » ou bien oublier à jamais ces formules toutes faites au profit d’un système 100% fiable ?

Mot de passe es-tu mort ?

Le mot de passe est passé de mode. Plus que la mort d’une tendance, on se rend bien compte qu’il n’est pas un moyen efficace d’identifier avec sécurité un utilisateur. Nicolas Bacca nous l’a rappelé : aujourd’hui, les mots de passes n’existent plus comme un agent « safe » au vu du nombre de hacks recensés chaque minutes et ce dans tous les secteurs.

D’un point de vue plus objectif, le mot de passe, qui n’est d’ailleurs presque jamais un mot mais plus une suite de lettres, de caractères et de chiffres, est comme un standard historique qui s’essouffle. En réalité, plus qu’essoufflé, il s’effondre totalement, le vieux système croulant est balayé par d’autres plus innovants.

Le vieillissement accéléré du mot de passe est principalement dû au fait qu’il est par nature et par fonction réutilisable. De ce fait, le facteur « risque de récupération » conjugués à l’utilisation d’un même mot-de-passe sur plusieurs applications met en péril la sécurité de nos process d’identification digitale.

La cryptographie pallie à ce désagrément. Maintenant, de nouveaux éléments se mettent place. L’exemple de la FIDO alliance (Fast IDentity Online) fait sens en offrant du hardware simple, accessible et orienté web : on met une clé dans un pc, il y a une phase d’enregistrement, le serveur stocke une clé, puis demande de challenge cryptographique à chaque connexion.

Les 2 spécifications FIDO

En 2012, plusieurs grands acteurs des internationaux des IT (Google, Microsoft, Samsung, PayPal, VISA, etc.) ont formés une alliance pour créer un moyen à la fois simple d’utilisation et sécurisé pour ne plus avoir de mots de passe à mémoriser. Après 2 ans d’efforts, des spécifications furent publiées en proposant 2 systèmes d’authentification. Le premier ‒ Universal Authentification Framework ‒ est basé sur l’utilisation de l’authentification par biométrie (empreintes digitales, reconnaissance faciale, reconnaissance de la signature vocale, etc.) afin de se passer de mot de passe. Le second ‒ Universal Second Factor ‒ renforce la sécurisation par mot de passe en sollicitant l’intervention d’un périphérique externe (clé USB, Bluetooth, NFC, etc.) lors de l’authentification.

Second Factor UX (U2F)

Cette solution permet aux services en ligne d’augmenter la sécurité de leur infrastructure en ajoutant un deuxième facteur en plus du mot de passe lors de l’authentification de l’utilisateur. L’utilisateur se connecte avec un nom d’utilisateur et un mot de passe usuellement et le service demande à l’utilisateur de présenter un deuxième dispositif d’authentification externe (USB, NFC, etc.). Ce deuxième facteur fort permet au service de simplifier ses mots de passe ‒ un simple un code PIN à 4 chiffres peut suffire ‒ sans compromettre la sécurité.

Prouvez-le !

La preuve est devenue ces cinq dernières années le nouveau mot d’ordre écouté et suivi par les acteurs de la vente et plus spécialement du e-commerce. Plus qu’un argument marketing, la preuve pourrait également ajouter une valeur sécuritaire lorsqu’elle est utilisée au sein des Blockchains. Tangible, unique, identifiable et immuable, elle n’est pourtant pas aussi évidente à apporter en cryptographie. En fait, on ne peut pas prouver que la génération de hasard en amont est correcte. Enfin «on ne peut pas», disons plutôt qu’à ce jour, aucune personne sensiblement avertie ne s’est proposée spontanément…

side channel : attaque par canal auxiliaire

Les algorithmes modernes sont sensibles aux conditions d’utilisation : injecter un mauvais hasard aide les attaquants et augmente les risques. Pour ne pas s’appuyer uniquement sur cette source, on utilisera le hasard pour les signatures et pour la certification, on se basera sur des algorithmes déterministes.

Ensuite, si on regarde une autre conséquence de ce « non déterminisme » suscité par la preuve, on pense aux attaques par « side channel » (attaque par canal auxiliaire) – les œuvres de silent killer qui, malgré leur silence, restent très souvent repérées précisons-le. Il est vrai qu’on peut toujours remonter un algorithme, le code entre alors en jeu pour minimiser ces potentialités (code à temps constant).

Dans le domaine de la sécurité informatique, une attaque par canal auxiliaire (en anglais : Side channel attack) désigne une attaque informatique qui, sans remettre en cause la robustesse théorique des méthodes et procédures de sécurité, recherche et exploite des failles dans leur implémentation, logicielle ou matérielle. En effet, une sécurité « mathématique » ne garantit pas forcément une sécurité lors de l’utilisation en « pratique ». source wikipédia

Une idée cadeau 3.0 pour les blockchains ?

En phase avec l’ère 3.0 ‒ le web des objets ‒ Ledger se positionne comme une smart alternative.

Du novice à l’expert en Bitcoin, les adeptes de la Blockchain peuvent être découragés par les défauts liés aux principaux supports du marché. Aujourd’hui, un compte sur la Blockchain est égal à une clé USB. Photographie personnelle à l’appuie, Nicolas BACCA nous exprimait la limite de cette solution : les clés USB s’entassent sur les porte-clés jusqu’à pouvoir rivaliser avec celui de Passe-partout/d’un geôlier de Guentanamo (pas sûre de la blague là)…

Pire encore ! La perte d’un de ces petits objets entraîne inexorablement celle des bitcoins qui lui étaient associés. On se rappelle l’histoire de l’allemand qui avait réussi à miner presque quatre-cent Bitcoin alors qu’il ne valait encore rien sur le marché de la crypto monnaie. Ne se rendant pas compte que la clé USB portant ses identifiants sur la blockchain représentait son sésame pour un trésor encore endormi, ce monsieur a décidé de la jeter. S’il avait patienté quelques années, cet homme serait millionnaire à l’heure actuelle.

La blockchain de Bitcoin quant à elle, propose de solutionner le problème en dérivant les clés classiques vers des clés maîtresses. Cela revient à générer des arbres de dérivation pour clés privées et publiques. Mais comment back-uper une clé maîtresse? Le standard Bit39 est une suite de mots appris par cœur ou enregistrés qui sert les propriétaires de clés.

Conclusion, le device n’est pas encore has been (après tout on ne peut pas virtualiser tout le monde !). Toutefois, il y a un vrai besoin de contrecarrer les désavantages des cartes à puces. Sur le web, peu d’utilisateurs se servent d’une carte à puce en raison des risques d’attaques de pins, malwares etc. Non seulement sécuritaire, la carte à puce pose un problème matériel, car son utilisation nécessite un lecteur et des softwares adéquats. Enfin, pour les développeurs, reste le problème de l’impossibilité d’auditer une clé.

Challenge pour améliorer les cartes à puce

Il faut donc créer un autre objet ! Jusque là pas vraiment d’innovation, on vous l’accorde. L’enjeu est donc de se focaliser sur trois critères primordiaux :

Le système doit être résistant aux attaques externes et tentatives de sabotage. Il doit être accessible pour pouvoir auditer simplement le dispositif. Il doit être assimilable sans trop d’efforts par les développeurs.

Ledger Nano S

Dans le monde, plusieurs périphériques en phase avec ces points importants ont déjà été inventés. Ledger s’inscrit parmi eux. Avec MyEtherWallet, l’entreprise s’appuie sur la technologie FIDO et les API pour générer du code multi applicatif natif. Cette start-up très prometteuse de la FrenchTech propose diverses solutions mettant en oeuvre le standard U2F (Universal Second Factor) de FIDO alliance dont le Ledger Nano S.

Ledger : Blockchains security

Cette pépite française, spécialisée dans la sécurisation des technologies Blochains, a levé 1,3 million d’Euros en 2015 auprès d’XAnge (Criteo) et d’Hi-Pay ainsi que de Fred Potter de Netamo, de Thibaut Faurès Fustel de Coulanges de Rentabiliweb et d’Alain Tingaud Innovation. Dès 2015, la start-up à ouvert une filiale aux États-Unis pour développer un réseau de distribution international tout en préservant une fabrication made in France dans une unité de production basé à Vierzon dans le Cher. Éric Larchevêque président cofondateur de Ledger est également à l’origine de la Maison du Bitcoin dans laquelle les développeurs de Ledger sont installés.

Conclusion

Mais le marché évolue très vite, « à la vitesse d’une start-up » affirme Nicolas Bacca. Dans cette perpétuelle mouvance la sécurité s’améliore progressivement ‒ et n’est donc pas encore au top niveau. Les nanotechnologies demandent, pour croître, plus de tests et une standardisation notoire.

Pour se protéger, il faudrait comme trouver un moyen d’afficher sur les devices une version exacte de ce qui est demandé à l’utilisateur. En attendant, à l’image des appareils commercialisés par Ledger, la valeur sûre reste le contrôle de cohérence et les systèmes d’alertes déclenchés quand plusieurs transactions sont effectuées.