Former et sensibiliser les agents à la sécurité informatique pour réduire les risques

Sans entrer dans les détails techniques, en matière de sécurité des données, l’usage des systèmes d’exploitation « libres » que sont les Linux, ou bien les bases de données « libres » que sont MySQL, MariaDB ou PostGreSQL sont de véritables passoires faciles à attaquer.

En effet, sous Linux, il est impossible de verrouiller les fichiers de données de la base contrairement à l’OS Windows. Le fait de verrouiller les fichiers empêche toute lecture, copie, ou modification de ces fichiers. Par exemple, les fichiers des bases Microsoft SQL Server sous Windows sont verrouillés par le système de bases de données et ne peuvent pas être attaqués. Ce type de verouillage est impossible sous Linux… Il est alors très facile, une fois le système Linux pénétré, de voler ou modifier les fichiers des bases de données…

De plus, MySQL, MariaDB ou PostGreSQL (systèmes de bases de données « libre ») ayant été développé avec un modèle de gestion du stockage des données qui confie à l’OS les accès aux fichiers, reproduit l’approche Linux sous Windows. Il en résulte le même problème sous Windows pour ces systèmes de bases de données.

Or que trouve t-on chez la plupart des victimes d’attaques, comme par exemple la récente attaque de l’éditeur Dedalus de solution de labo d’analyse médicale ?
– L’utilisation de Linux Debian comme OS
– Une base de données Oracle
– Des bases de données MySQL/MariaDB (pour la partie Web)
Bref toutes les passoires possibles !
En sus, le chiffrement des données dans les systèmes de bases de données que sont MySQL, MariaDB ou PostGreSQL n’est pas intégré à la base comme le font Oracle Database ou Microsoft SQL Server. Pour que le chiffrement des données fonctionne, il faut, dans MySQL, MariaDB ou PostGreSQL, à un moment donné, dans des fichiers côté serveur ou dans le
code des applications, exposer la clé de chiffrement en clair. Ce n’est pas le cas dans Oracle ou SQL Server dont les clés de chiffrement sont stockées dans la base, masqués, chiffrées, et dépendante d’une hiérarchie de chiffrement qui remonte au moteur du SGBD, ce qui interdit le déchiffrement des données chiffrées si l’on ne peut reproduire l’ensemble de l’architecture de chiffrement depuis le plus haut niveau (il faudrait voler les binaires du server et les réinstaller, chose pratiquement impossible…

Dans les bases de données que sont MySQL, MariaDB ou PostGreSQL (pg_crypto) la sécurité du chiffrement est équivalente à celle d’une voiture fermée à clé, mais dont la clé serait laissée sur une des serrures de portière ! Bref, dans ces SGBDR, le chiffrement n’est que cosmétique et non réfléchis.

Dans toutes les récentes attaques, dans les hôpitaux, comme pour cet éditeur de solutions de laboratoires Dedalus on retrouve ces mêmes logiciels passoire ! Et il en est souvent de même chez les collectivités locales, friandes de PostGreSQL notamment pour des raisons de stockage de données spatiales (PostGIS)…

Ajoutons à cela que le code source du logiciel libre étant disponible, il en plus facile d’en trouver les failles que celui dans celui des grands éditeurs qui ne le rende pas public.

Enfin, de récentes études ont montré que dans le libre, le nombre de bugs et de vulnérabilité était souvent beaucoup plus important que dans les systèmes de bases de données commerciaux, et la correction bien moins rapide…

Ceux qui ont prôné le logiciel libre sans en mesurer les conséquences ont une grave responsabilité dans ces affaires !