Okta, Inc. est une socit amricaine de gestion des identits et des accs, base San Francisco. Elle fournit des logiciels dans le nuage qui aident les entreprises grer et scuriser l’authentification des utilisateurs dans les applications et les dveloppeurs intgrer des contrles d’identit dans les applications, les services web des sites et les appareils. Lentreprise confirme le vol de toutes les donnes de ses clients par des pirates. Lannonce qui fait suite celle de la perte de mois de fichiers clients par Google ravive le dbat sur le risque de sappuyer sur des fournisseurs de service dans le nuage.
Okta rvle dans une rcente note dinformation que l’incident de scurit survenu le mois dernier dans son systme de gestion des dossiers d’assistance a touch tous les utilisateurs. Lannonce vient corriger une prcdente de lentreprise selon laquelle les donnes de seulement un pour cent des utilisateurs avaient t compromises.
Tous les clients d’Okta Workforce Identity Cloud (WIC) et Customer Identity Solution (CIS) sont concerns, l’exception des clients de nos environnements FedRamp High et DoD IL4 (ces environnements utilisent un systme de support spar auquel l’acteur de la menace n’a PAS eu accs). Le systme de gestion des cas de support Auth0/CIC n’a pas non plus t impact par cet incident , indique lentreprise.
Le tableau nest pas sans faire penser la rcente perte par Google Drive de mois de fichiers clients. Mes fichiers Google Drive ont disparu de faon soudaine. Les donnes de mai aujourd’hui ont disparu, et la structure des dossiers est revenue l’tat du mois de mai de lanne en cours. L’activit de Google Drive ne montre aucun changement. Seule l’activit du mois de mai est visible. Aucun fichier n’a t supprim de faon manuelle, donc aucun fichier dans la corbeille. Je n’ai jamais synchronis ou partag mes fichiers et mon disque avec qui que ce soit. Jen fais un usage local. J’ai suivi la procdure de rcupration indique par l’quipe d’assistance de Google (quipe de Core du Sud). Ils m’ont demand de sauvegarder et de restaurer le dossier DriveFS, mais rien n’a chang. J’ai remont la situation l’quipe d’assistance de Google, probablement aux tats-Unis, et ils m’ont demand de signaler le problme leur ingnieur. Mais l’ingnieur n’a pas rpondu et je ne peux pas savoir s’il est en train d’examiner mon problme. J’ai utilis le disque il y a quelques jours et ce problme horrible s’est produit le matin dernier. J’ai besoin d’aide pour le rsoudre , sest plaint un utilisateur du service en ligne quoffre le gant technologique.
Il peut mme arriver que Google dcide de mettre en place de faon inattendue une limite de fichiers, ce qui a pour consquence dempcher les utilisateurs de son service de stockage dans le nuage de crer de nouveaux fichiers. Cest ce qui sest vu au dbut du deuxime trimestre de lanne en cours. Google a discrtement plafonn le nombre de fichiers quil est possible de crer et stocker dans Google Drive.
Rsultat : perte de contrle des utilisateurs sur ce qui est en principe leur espace de stockage attribu par lentreprise. Ce changement aurait t mis en place depuis le mois de fvrier de lanne en cours, et ce, sans communication explicative de lentreprise. Cest la dure que les utilisateurs lont dcouvert. Ces situations ravivent le dbat sur les avantages et les inconvnients du stockage dans le cloud.
Les avantages du cloud computing sont une vidence. Les plus notables sont : la rduction des cots de maintenance dune infrastructure informatique, la rduction de la consommation nergtique, la disposition rapide d’une plateforme prte l’emploi pour le dploiement des applications, la disposition d’une solution de sauvegarde simple et accessible tous, mme aux non-informaticiens, etc. Cependant, devant toutes les possibilits offertes, il demeure des rticences dans son adoption. Ces rticences sont lies, pour la plupart, au facteur de scurit, qui reste encore un vritable dfi :
- la fragilit dans la gestion des accs et des identits, bien que certains fournisseurs renforcent les interfaces dauthentification avec dautres moyens tels que les certificats, les smartcards, la technologie OTP et bien dautres ;
- lutilisation dAPI non scurises pour lintgration des applications avec les services cloud ;
- lexploit de vulnrabilits des systmes dexploitation sur les serveurs du cloud et mme sur les applications hberges ;
- le piratage de compte, qui est un vieux type dattaque informatique, vient avec une forte recrudescence depuis lavnement dInternet et encore celui du cloud computing ;
- une action malveillante lance en interne dans les effectifs du fournisseur. Une personne malveillante dans lquipe de gestion du Datacenter peut facilement nuire la confidentialit et lintgrit des environnements hbergs ;
- les menaces persistantes avances qui consistent en une forme dattaque o le hacker russit installer dune faon ou dune autre un dispositif dans le rseau interne de lorganisation, partir duquel il peut extirper des donnes importantes ou confidentielles. Cest une forme dattaques difficile dtecter pour un fournisseur de services cloud ;
- la perte de donnes qui peut tre cause par une attaque informatique (logique) du Datacenter, une attaque physique (incendie ou bombardement), une catastrophe naturelle, ou mme simplement un facteur humain chez le fournisseur de services, par exemple en cas de faillite de la socit ;
- les insuffisances dans les stratgies internes dadoption ou de passage au cloud. Les entreprises ou les organisations ne prennent pas souvent en compte tous les facteurs de scurit lis leur fonctionnement avant de souscrire un service cloud. Certaines ngligences, tant au niveau du dveloppement dapplication quau niveau de lutilisation basique, leur sont parfois fatales ;
- utilisation frauduleuse des technologies cloud en vue de cacher l’identit et de perptrer des attaques grande chelle. Gnralement, il sagit de comptes crs pendant les priodes dvaluation (la plupart des FAI proposent 30 jours dessai gratuits) ou des accs achets frauduleusement ;
- le dni de service qui est une attaque qui consiste rendre indisponible un service par une consommation abusive des ressources telles que les processeurs, la mmoire ou le rseau. Lide, pour le pirate, cest de russir surcharger les ressources du Datacenter en vue dempcher dautres utilisateurs de profiter des services ;
- les failles lies lhtrognit des technologies imbriques dans larchitecture interne du cloud, et l’architecture externe d’interfaage avec les utilisateurs.
Source : Okta
Et vous ?
Que pensez-vous du stockage dans le cloud ? Votre entreprise sappuie-t-elle sur une offre de stockage dans le cloud ? Si oui, quels en sont les usages ? Quelles sont les prcautions quelle prconise pour bnficier des avantages du stockage dans le cloud tout en minimisant limpact des inconvnients de cette approche ?
Voir aussi :