HSC
Cabinet de consultants en sécurité informatique depuis 1989 - Spécialisé sur Unix, Windows, TCP/IP et Internet
Mode texte : accès au contenu de la page
Hervé Schauer Consultants
Vous êtes ici : Accueil > Ressources > Veille technologique >
Accéder au : Site HSC des formations
Télécharger le catalogue des formations
Recherche :  
English version
   Services   
o Domaines de compétences
o Conseil & Expertise
o Prestations ISO 27001
o Audit & Évaluation
o Tests d'intrusion
o Tests de vulnérabilités (TSAR)
o Analyse Forensique
o Certification ARJEL
o Formations
o E-learning
   Conférences   
o Agenda
o Interventions passées
o Tutoriels
   Ressources   
o Index thématique
o Brèves
o Présentations
o Cours
o Articles
o Outils (téléchargement)
o Veille en vulnérabilité
   Société   
o Hervé Schauer
o Equipe
o Offres d'emploi
o Références
o Historique
o Partenariats
o Associations
   Presse et
 communication
 
 
o Newsletter HSC
o Bulletin juridique HSC
o Revue de presse
o Communiqués de presse
o Publications
   Contacts   
o Coordonnées
o Requêtes particulières
o Accès à nos locaux
o Hôtels proches de nos locaux
|>|  
> Accès au contenu HTML Début du rapport  
> Description Compte-rendu de la conférence Intel Developers Forum Europe, qui s'est déroulée au centre de congrès d'Amsterdam les 17 et 18 mai 2001. Voir http://www.intel.co.uk/english/events/idfemea/ pour le programme complet.  
> Contexte & Dates Rapport réalisé pour notre service de veille en actualité .
La différence entre la date de rédaction et la date d'envoi est généralement due aux corrections et relectures par les différentes personnes ayant participé à la conférence.
26 mai 2001 - Rédaction du compte-rendu et Envoi aux abonnés de la veille en actualité
20 décembre 2001 - Publication sur le site web d'HSC  
> Auteur Hervé Schauer (Herve.Schauer@hsc.fr) 
> Langue et Nature  
> Résumé &
Table des matières
 
> Documents liés
> Droits d'auteur © 2001, Hervé Schauer Consultants, tous droits réservés.

 

Les deux jours sont organisés en "keynote speakers" en conférences plénières très "show marketing", principalement venus d'Intel, puis 10 sessions en parallèle de 4 à 5 présentations par jour, d'une heure chacune. Les présentations sont soit des présentations marketing, soit des introductions techniques ou des tables-rondes avec les industriels clients d'Intel. Le format est similaire à la conférence Check Point à laquelle HSC avait participé en 2000.

Les sujets phares abordés et liés à la sécurité ont été la sécurité des réseaux sans fil avec des démonstrations de toutes les technologies, la haute-disponibilité, les solutions de chiffrement, et la sécurité des serveurs web et d'XML.

Bluetooth demeure une technologie à venir. Les quelques produits présentés étaient des prototypes non-disponibles dans le commerce à l'exception d'un téléphone Ericsson. Les liaisons Bluetooth sont vues et utilisées comme des liaisons infrarouges : soit comme une ligne série en point à point avec PPP, soit comme une interface Ethernet. Le protocole propriétaire Bluetooth intègre une sécurité au niveau du lien. Cependant, la société finlandaise First Access (anciennement Access One) présentait un firewall Bluetooth, dont les détails ne sont pas encore connus.

L'Intel Architecture Labs a présenté un système de sécurisation des échanges entre PDA Windows CE en réseau sans fil. Le chiffrement est fait au niveau applicatif dans les logiciels collaboratifs, avec une PKI. Le chiffrement, auquel il faut ajouter l'usage de la carte Ethernet sans fil (802.11b ou Wi-Fi) forte consommatrice d'énergie, les PDAs Compaq pocket avaient besoin du courant et ne pouvait fonctionner sur batterie. La capacité de la batterie atteint très vite la limite lorsque l'on combine sans fil et chiffrement.

Les autres présentations sur la sécurité du sans fil ont été plutôt théoriques. C'est le cas notamment sur la sécurité dans le développement d'applications clientes sur les réseaux sans fil par le Telepathy Product Manager de Baltimore, ou la sécurité des réseaux locaux sans fil par Intel. Aucune information pratique n'est à retirer de ces présentations, démontrant les limites actuelles de connaissance du sujet. Les orateurs se bornent à dire que WTLS n'est pas bon mais qu'un jour ça ira, ou que le WEP dans 802.11b a des failles mais que 802.11i résoudra les problèmes dès qu'il sera finalisé et qu'en attendant il faut utiliser IPsec sur son réseau sans fil...

La haute-disponibilité, à la fois sur Linux et Windows, constitue une forte demande, notamment de la part des opérateurs de services. Les tables rondes sur le sujet n'ont pas apporté de nouveautés.

Les services de sécurité réseau infogérés sont également une activité en forte croissance chez les fournisseurs de services. Dans ce domaine, Intel abandonne toute sa gamme de matériels réseau, de type routeurs, concentrateurs, boîtiers VPNs, etc, afin de ne pas faire concurrence à ses clients, qui achètent ses composants. Intel se concentre dans les processeurs réseau qui seront vendus aux fabricants de boîtiers. Cet abandon de gamme intègre notamment les boîtiers Shiva, pourtant assez répandus, qu'Intel avait rachetés.

Sur les aspects de sécurité web, la société espagnole S21sec propose un firewall pour serveur web. Le principe est implémenté au travers d'un relais HTTP ou un add-on à IIS, Netscape Server ou Apache. Ce principe est de prendre chaque page HTML envoyée à l'utilisateur en sortie du serveur web, et signer au vol tous les composants critiques de cette page. Par exemple les paramètres d'entrée d'une commande POST comme "champ numérique", ou bien les paramètres dans une URL. En retour, si les paramètres ont changé, alors une falsification de la part de l'utilisateur est détectée. Voir http://www.s21sec.com/. Il est également possible de faire des filtres, mais moins puissants que les modules Open-Source d'Apache comme mod_eaccess.

Commerce One a présenté ebXML, qui est la manière universelle de faire du commerce électronique, où chaque communauté définit ses standards XML. Exemple avec les Nations-Unies qui ont défini une vision commune avec UN/CEFACT + OASIS (http://www.oasis-open.org/), qui réunit l'expérience accumulée avec l'EDI et le SGML. Bien sûre, pour la sécurité, les documents doivent être signés, et être échangés par des protocoles adaptés aux besoins de sécurité. Selon Commerce One, la séparation entre de la signature des données XML et la sécurisation du flux SSL est indispensable, car d'une part il n'y a pas nécessairement de lien entre le processus business validant et signant les documents XML, et d'autre part, des mécanismes de passerelle sont indispensables dans de nombreux cas, comme avec les réseaux sans fil. J'ajoute que de telles passerelles sont aussi indispensables pour du contrôle d'accès : le document XML est potentiellement dangereux car il provoque des actions.

Intel a présenté un produit original : le SSL/XML director. Il s'agit d'un boîtier avec un PC sous BSDI, avec une carte d'accélération SSL. Intel ayant abandonné la commercialisation de boîtiers, le SSL/XML director sera commercialisé en OEM par HP et Compaq. Ce produit est avant tout un répartiteur de charge pour aiguiller les messages XML sur un serveur ou un autre, mais aussi de les refuser, ce qui permet de faire un firewall XML. L'architecture est la suivante :

         Load Balancer SSL/XML director
                      |
 serveurs ------- commutateur -------- routeur --------- Internet

Le relais HTTP dans le boîtier vérifie syntaxiquement le XML, et peut refuser et avertir en cas d'XML syntaxiquement incorrect. Ensuite, le système de configuration (via une interface web), permet de filtrer sur n'importe quelle combinaison de valeurs de champs XML, comme avec des expressions régulières. Il est ainsi possible de faire du filtrage XML et en fonction du type de message de l'aiguiller, et le filtrer. Le relais permet également un enregistrement du message XML dans sa totalité ou sa duplication, et une journalisation.

Avec le développement rapide des échanges EDI en XML, ce type de technologie deviendra de plus en plus utile.

Il demeure intéressant de voir dans une conférence où la sécurité n'est pas le sujet, la manière avec laquelle celle-ci a pris une part non-négligeable des sujets de préoccupation. Il est également significatif d'y découvrir des innovations que l'on ne voient pas dans les conférences spécifiques sur la sécurité.

WEP : Wireless Encryption Protocol, le chiffrement au niveau du lien dans Ethernet sans fil 802.11b
WTLS : Protocole propriétaire de chiffrement du protocole WAP. La quasi-totalité des téléphones et PDAs du marché ne l'implémentent pas.

Dernière modification le 7 novembre 2007 à 15:30:49 CET - webmaster@hsc.fr
Mentions légales - Informations sur ce serveur - © 1989-2013 Hervé Schauer Consultants