Vous êtes ici
La visioconférence, 14e défi de la cybersécurité ?
La crise sanitaire que nous traversons a fait découvrir le télétravail à des millions de Français. Ce mode d'organisation dont les cadres étaient jusqu’ici les principaux bénéficiaires est passé en une seule journée d'une situation marginale à une pratique partagée par 41 % des salariés du secteur privé1. Le télétravail a bouleversé les habitudes et fait émerger de nouveaux outils qui ont cadencé notre activité quotidienne. Parmi eux, la visioconférence. Il est alors légitime de s'interroger sur l'incidence de la crise sanitaire sur la confidentialité de nos échanges, en mettant l'accent sur le manque d'anticipation dans la mise au point de ces outils et en esquissant les leçons à retenir.
En mettant quelque temps de côté la rigueur mathématique, on peut dire qu'il existe une infinité de solutions logicielles qui permettent de faire de la visioconférence. Beaucoup d'entre nous ont eu le loisir d'installer et d'utiliser plusieurs logiciels de ce type durant la période de confinement. Il n'est ainsi pas rare d'en avoir installé une dizaine sur son ordinateur afin d'être en mesure de travailler avec tous ses collaborateurs. Les solutions les plus courantes pour faire de la visioconférence sur un PC sont notamment Zoom, Skype, Google Meet, Microsoft Teams, Cisco WebEx Meetings, Big Blue Button, Facebook Messenger, Gotomeeting, Jitsi, Tixeo et Via. Mais nous sommes tous arrivés à la même conclusion après quelques semaines de confinement : il est difficile de choisir dans cette jungle et aucune solution de visioconférence ne domine nettement les autres si l'on considère à la fois les fonctionnalités, l'efficacité, l'ergonomie et bien sûr la sécurité.
La confidentialité menacée
Force est de constater que la France ─ comme le reste du monde ─ n'était pas prête pour mettre en place un télétravail massif. Nous avons avant tout pensé que le point faible serait le réseau, qui n'allait pas supporter la charge engendrée par le confinement. Après quelques sueurs froides, adaptations et défaillances ponctuelles2, tout a tenu bon. Mais le véritable point faible est le manque crucial de solutions de visioconférence qui soient fonctionnelles, efficaces, ergonomiques et sécurisées. Car le problème est bien là : nous avons dû utiliser dans l'urgence des solutions dont on ne maîtrisait pas la sécurité. Failles de conception, faille d'implémentation, mais aussi manque de souveraineté dans le domaine. La majorité des solutions de visioconférence sont conçues, développées et opérées à l'étranger. Quelle confiance peut-on avoir en une solution logicielle qui fait circuler nos communications par un centre névralgique, parfois situé dans une zone géographique propice à l'intelligence économique ?
Prenons l'exemple de Zoom, solution logicielle de visioconférence qui compte actuellement 200 millions d'utilisateurs par jour3 à travers le monde. Zoom, logiciel conçu et opéré en Californie, a connu une envolée spectaculaire durant le confinement et a été plébiscité par de nombreux établissements d'enseignement français, que ce soit dans le primaire, le secondaire ou le supérieur, parfois en faisant l'acquisition de licences pour bénéficier de toutes les fonctionnalités de l'outil. Zoom a pourtant défrayé la chronique en raison de ses failles de sécurité et de sa politique peu respectueuse de la vie privée4 (collecte de données, transfert d'informations à Facebook, etc.). Parmi les problèmes variés, la sécurité des communications n'est pas assurée de bout en bout, ce qui se traduit par le fait que toutes les communications et informations échangées pendant une réunion passent sur les serveurs de la société californienne et peuvent ainsi être potentiellement récupérées à diverses fins. Aux États-Unis, la Nasa et Space X, pour ne mentionner que ces sociétés, ont interdit à leurs employés l'usage de Zoom. Au Royaume-Uni, l'utilisation de Zoom a valu à Boris Johnson de faire la une de la presse après avoir twitté une photo de lui utilisant l'outil pour une réunion avec son cabinet, alors que le ministère de la Défense en avait interdit l'usage quelques jours auparavant.
Des risques variés
Bien évidemment, il serait facile de dire qu'un outil de visioconférence qui n'apporte pas toutes les garanties de sécurité peut tout de même être utilisé lorsqu'il s'agit d'une réunion dont le contenu est peu ou pas confidentiel. Il faut être vigilant car le risque n'est pas nul, même dans un tel cas de figure. La confidentialité de la communication est une chose, mais certains outils peuvent avoir des failles qui exposent les utilisateurs au vol de leurs données, par exemple leurs mots de passe, ou ils peuvent requérir des utilisateurs qu'ils fournissent des données personnelles pour pouvoir se connecter. A-t-on ainsi le droit de faire courir ce risque aux participants, par exemple à nos étudiants, en leur imposant l'utilisation d'un tel outil ?
Nombreux sont ceux parmi nous à avoir connu pendant le confinement des réunions au contenu confidentiel qui, suite à des problèmes techniques, ont basculé sur des solutions de visioconférence notoirement faibles en terme de sécurité. Dans de tels cas de figure, la justification était inexorablement la même : « tant pis si ce n’est pas sécurisé, le principal c’est que la réunion puisse avoir lieu ». Interloquant ! Prendriez-vous votre voiture, quelle qu'en soit la raison, sachant que les freins sont hautement défectueux ?
La visioconférence peut constituer une faiblesse dans la sécurité d’une entreprise ou d’un organisme, mais cela ne doit pas occulter le fait que d’autres outils de communication sont tout aussi problématiques. Cela concerne les messageries instantanées qui se sont sournoisement imposées dans nos vies durant cette crise sanitaire, et qui, souvent intégrées dans le même logiciel que la visioconférence, souffrent de maux similaires. Il ne faut pas non plus oublier que trop d’employés utilisent aussi dans le cadre professionnel des messageries de courriels hébergées à l’étranger, sans aucune garantie de confidentialité.
Un chantier important pour la recherche
Toutefois, cet article ne cherche pas à étudier la sécurité des solutions de visioconférence existantes ni à identifier les raisons de cette situation, mais préfère tracer des lignes directrices vers le futur. Clairement, il est urgent que la France investisse dans la conception et le développement de solutions souveraines pour la visioconférence. Il est indispensable pour cela de s'interroger sur les propriétés de sécurité désirées, ce qui constitue un travail à part entière. Par exemple, la communication doit être sécurisée de bout en bout, ce qui n'est pas trivial lorsqu'il y a de nombreux participants à la réunion. Il faut aussi garantir qu'il n'y ait pas de point central qui, pour chaque réunion, soit en mesure d'en identifier les participants, ce qui conduirait à révéler des liens sociaux ou commerciaux. Il y a également des réflexions à mener sur la protection des données multimédias : alors que l'on peut facilement interdire et contrôler dans une certaine mesure l'usage d'appareils de captation audio ou vidéo dans une réunion physique, il n'en est pas de même dans une visioconférence. Cette fonctionnalité est même nativement offerte par certains outils. Pouvoir identifier a posteriori qui a enregistré la réunion ─ et éventuellement diffusé l'enregistrement sur Internet ─ pourrait par exemple se faire avec un tatouage unique à chaque participant. Avoir un système de vote prouvé et intégré dans la solution logicielle serait également souhaitable. Autant d'éléments qui devront être étudiés et proposés dans les évolutions futures de la visioconférence.
Pour cela, il y a un travail de recherche à mener, accompagné d'un travail de développement suivi d'une certification sur le niveau de sécurité. Récemment, CNRS Editions publiait l'ouvrage 13 défis de la cybersécurité qui présente les grands défis scientifiques de la recherche française en cybersécurité. Pour illustrer l’importance scientifique de ces défis et leur impact sur nos vies de tous les jours, mentionnons ceux sur la sécurité du vote électronique, sur les virus informatiques, les preuves de protocoles ou encore la cryptographie post-quantique. La conception d'une solution de visioconférence sécurisée serait-elle alors le 14e défi à relever par les chercheurs ?
En attendant, des solutions comme Jitsi ou Big Blue Button sont raisonnablement satisfaisantes. Bien qu'elles ne garantissent pas, comme la majorité des solutions existantes, la protection des communications de bout en bout, leur code est gratuit et ouvert, ce qui permet à chaque entreprise ou organisme d'installer et de gérer en interne sa propre instance du serveur de visioconférence. À noter que Jitsi et Big Blue Button sont deux solutions présentes dans le Socle interministériel de logiciels libres5. Enfin, Tixeo est une solution qui permet le chiffrement de bout en bout et qui est certifiée par l'ANSSI67. C'est notamment la solution retenue par le CNRS pour ses visioconférences8. Dernier conseil, utilisez un poste dédié à la visioconférence pour limiter le risque de fuite d'information. Si ce n'est pas possible, privilégiez une visioconférence dans le navigateur plutôt qu'installer une application, et n'utilisez pas ce navigateur ou votre profil pour autre chose que la visioconférence.♦
Les points de vue, les opinions et les analyses publiés dans cette rubrique n’engagent que leur auteur. Ils ne sauraient constituer une quelconque position du CNRS.
- 1. Étude de perception CSA pour Malakoff Humanis, réalisée du 4 au 7 mai 2020 auprès d’un échantillon représentatif de 1010 salariés d’entreprises du secteur privé d’au moins 10 salariés.
- 2. https://atos.net/fr/blog/les-entreprises-face-au-confinement-les-defis-t...
- 3. https://blog.zoom.us/a-message-to-our-users/
- 4. https://www.schneier.com/blog/archives/2020/06/zooms_commitmen.html
- 5. https://sill.etalab.gouv.fr
- 6. https://www.ssi.gouv.fr/uploads/2017/03/anssi-cspn-2017_08fr.pdf
- 7. https://www.ssi.gouv.fr/uploads/2020_912_np.pdf
- 8. http://www.cnrs.fr/fr/cnrsinfo/forte-montee-en-puissance-de-tixeo-le-nou...
Partager cet article
Commentaires
Connectez-vous, rejoignez la communauté
du journal CNRS
Bonjour ! Merci beaucoup de
Abel le 24 Mai 2024 à 14h13