Le Zero Trust dans le cas du piratage de France Travail (Pole Emploi)

Les amis, bien le bonjour. L'histoire de France Travail, Pôle Emploi qui se sont fait pirater en France, a encore des suites. Pour rappel, l'année dernière, en 2023, les données de 10 millions de Français ont été piratées chez France Travail. Cette année, en mars, en février plutôt, on leur a pris les données de 43 millions de Français, y inclut les numéros de sécurité sociale, et nous sommes relativement au début de l'année. L'année ne s'est pas terminée. Il y a encore avril, mai, juin, Noël, tout ça. Vous voyez, ce n'est pas fini, c'est l'histoire. Comme c'est une administration qui a énormément de données par la nature même de son travail, vous imaginez que tous les pirates de la Terre sont en train de la cibler. D'autant plus, je vous raconte un truc, il y a un phénomène un petit peu pervers, c'est que quand on arrive à te gauler une fois, voire même deux fois de suite, avec le succès, parce que quand même, il faut dire, 43 millions de données, ce n'est pas quand t'as volé un fichier Excel. Là, c'est méga, c'est un gros truc, vraiment. et qu'en plus on a réussi à aller à leur voler les données une fois avec un CVE de 9,8 qui n'avait pas fermé et une autre fois on a réussi à les voler avec du phishing c'est clair que tous les pirates aujourd'hui de la terre sont en train de se dire je veux moi aussi tester avec France Travail donc si je travaille dans cette administration je dormirai pas la nuit alors je vous dis un truc Il y a des nouvelles par rapport à France Travail, c'est qu'il semblerait qu'ils ont été victimes de phishing. Phishing, c'est par exemple... un email qui est envoyé à une entreprise ou à une administration de manière massive, en disant bonjour, c'est les ressources humaines, on vous a donné une formation à faire, par exemple une formation GDPR, comme on dit en anglais, ou une formation sur n'importe quoi, et on voit que vous ne l'avez pas faite. Alors vous avez jusqu'à la fin de la journée pour faire cette formation, sinon on va vous bloquer vos accès. Les ultimatums, très souvent le phishing vient avec une ultimatum, on veut créer le stress, on veut créer un sens d'urgence. Les gens cliquent, ils arrivent sur une page, il y a le logo de la compagnie, un domaine parfois qui ressemble, cliquent, on leur vole leur mot de passe, on leur vole leurs identifiants d'accès parce qu'ils les ont fournis sur le portail. Donc à ce moment-là, on peut utiliser ces données-là pour venir rentrer au sein de l'entreprise. C'est une des techniques. Il y en a des innombrables, mais c'est l'une des techniques. Là, on apprend que parce qu'on a réussi à prendre les coordonnées ou les données d'accès de quelques employés d'un ou de plusieurs employés de France Travail, on a réussi à rentrer dans leur réseau et on a réussi avec ça à pomper les données de 43 millions de Français. Alors, j'aimerais vous dire un truc. Ça, c'est une information extrêmement, extrêmement choquante. Je travaille dans la cybersécurité pendant de longues années. J'ai été détaché chez des grosses entreprises, des administrations, même plus grandes et plus sensibles que France Travail par moment, même chez des administrations dont je ne pourrais même pas, ou des entités dont je ne pourrais même pas citer le nom. Même seul, tout seul, comme ça devant un miroir, je ne citerais pas le nom, pour vous dire. La cybersécurité, ça a été longtemps mon dada. Par contre, j'ai quitté tout ça parce que c'est pas le problème de la cybersécurité. C'était un problème de toxicité d'entreprise. Ça signifie j'en avais ras le bol d'avoir des managers alcooliques. J'en avais ras le bol des petits arrangements entre amis sur Facebook, sur WhatsApp. J'en avais ras le bol du népotisme, du favoritisme. J'avais ras le bol de ça. Donc c'est pour ça que j'ai quitté ce monde. Mais voilà, l'aspect humain, c'est vrai qu'il est assez perturbant. Mais la cybersécurité elle-même est très intéressante. Maintenant, j'aimerais vous dire un truc. Ce n'est pas une excuse. Se faire voler aujourd'hui en 2024, 43 000 données de 43 millions de personnes, de clients, de peu importe comment tu les appelles, data subject comme on dit dans le GDPR. Parce qu'on t'a volé les coordonnées ou les données d'accès d'un employé, ce n'est pas une excuse. Ce n'est pas du tout une excuse. Ça veut dire quoi quand ça arrive ? Ça veut dire que tu n'as pas de ségrégation de rôle. Ça signifie qu'il n'y a pas de ségrégation de rôle sérieuse. Ça signifie que n'importe qui peut faire n'importe quoi. Parce que je vous raconte une histoire. Il y a aujourd'hui de plus en plus de compagnies qui sont en train de schister vers un nouveau paradigme sur le plan de la sécurité, qui est en réalité pas un paradigme uniquement de sécurité, mais qui est un paradigme d'architecture de leur réseau, même de leur infrastructure de manière générale, qui est Le Zero Trust, vous pouvez le voir comme une compartimentalisation à outrance. C'est comme si vous aviez le Titanic, par exemple, avec des compartiments. Il a coulé malgré ses compartiments, il n'en avait pas assez. Mais c'est comme si, je peux vous dire, le Titanic, au lieu d'avoir des compartiments étanches comme il l'a, il a des compartiments chacun de la taille d'une boîte à chaussures. Il a beaucoup de compartiments, de sorte qu'on limite la faille à une zone ou un périmètre extrêmement restreint. Je vous donne un exemple par rapport à une maison pour qu'on se comprenne par rapport au Zero Trust et le non-Zero Trust. Dans un système non Zero Trust, le système classique, habituel, qu'il y a probablement chez France Travail, chez probablement beaucoup d'administrations étatiques françaises. By the way, je vous dis comment réfléchissent les pirates. Si France Travail se sont fait gauler aussi facilement de cette manière là, France Travail c'est qui ? C'est l'État français. Ça veut dire tu sais quoi ? Ça veut dire que probablement d'autres administrations françaises, d'autres ministères, d'autres machins, sont probablement au même niveau de sécurité que France Travail. Ça signifie qu'elles vont être la target, elles vont être la cible de plein d'épirades. Donc je veux dire, si je travaillais pour d'autres administrations françaises, je ne dormirais pas cette nuit-là. Donc, je vous raconte. Dans un système, dans un système non Zero Trust, envisageons une maison, mettons que le réseau de la compagnie soit une maison. Imaginons qu'un cambrioleur va rentrer dans la maison, il fait le tour comme ça, il va trouver par exemple une fenêtre, celle des toilettes. Par exemple, les toilettes, ce n'est pas un endroit important, il n'y a rien de précieux dedans, ce n'est pas comme s'il y en allait voler du PQ. Donc la fenêtre n'est pas armée, il n'y a pas une alarme dessus, il n'y a pas des barres de métal. Donc notre cambrioleur va casser cette fenêtre et rentrer dans les toilettes. il est rentré dans un endroit peu important. C'est comme si tu arrives dans une entreprise à pirater l'ordinateur ou le laptop de quelqu'un, d'un stagiaire ou d'une secrétaire ou d'une réceptionniste. Tu comprends, tu arrives à rentrer dans un système de peu d'importance. Alors, les systèmes de peu d'importance sont généralement peu protégés. Justement, ils n'ont pas d'importance. On va faire le minimum syndical dessus. Donc, dans un système classique, notre cambrioleur, une fois qu'il est dans les toilettes, il ouvre la porte, il regarde, il est dans le couloir. Et à partir de là, il peut tout faire. À partir de là, il va dans la cuisine, il explore le salon, il va dans les bureaux, il va dans les chambres, il va partout. Et maintenant, il commence à accéder à des endroits plus importants que les toilettes. Et puis après, il part avec un butin. Voilà, t'arrives, tu trouves le dessus du lit est parti, les rideaux, tout ça, on t'a tout pris. Ça, c'est le système classique. C'est quoi le système Zero Trust en parlant exactement de cette maison ? Dans cette maison, le système Zero Trust marche comme ceci. Notre cambrioleur casse la fenêtre des toilettes et rentre dans les toilettes. Quand il veut ouvrir la porte des toilettes, elle est fermée. Bon, donc là, il doit casser la porte des toilettes encore. Il va prendre le temps, tout ça, des outils. Il va encore casser ou fracturer la porte des toilettes. Et là, il arrive dans un couloir. Dans le couloir, toutes les portes sont fermées. Donc, il va casser une porte. C'est celle de la cuisine. Il rentre dans la cuisine, il veut ouvrir le frigo, c'est fermé. Casse le frigo, il ouvre le frigo. Il n'y a que des boîtes, elles sont toutes cadenassées. Tu vois ce que je veux dire ? Dans un système Zero Trust, il y a des authentications à tous les niveaux. Et il n'y a personne qui a accès à une authentication qui permet d'accéder à tout. Ça, c'est le premier point. Comment vivent les gens qui auraient une maison correspondant au système Zero Trust ? Au lieu d'avoir la clé de la maison pour ouvrir la porte principale et rentrer, ils entrent au saut de 10 kilos de clé. Parce que chaque chose a sa clé. Alors dans la vie de l'entreprise, bien entendu, on ne peut pas se permettre ça. On ne peut pas, on veut déployer des Zero Trust parce qu'on sait que ça limite les dégâts. Parce que si quelqu'un arrive effectivement à voler une clé ou arrive à falsifier une clé ou fracturer une serrure, il ne pourra pas aller partout, il sera coincé de toute manière. Comment on va le vivre au niveau de l'entreprise ? Au niveau de l'entreprise, le système Zero Trust est basé sur un système automatique de gestion de clés et d'authentication et de reconnaissance. C'est-à-dire que, dans la maison, Au lieu d'avoir un trousseau, par exemple, de 10 kilos de clés, et par exemple, quand on a un invité, on dit, ok, toi tu es l'invité, tu vas dormir dans cette chambre, tu accèdes à ces toilettes, tu dois pouvoir utiliser la machine à café, tout ça, bon, je vais préparer une cinquantaine de clés pour toi, qui correspondent aux choses que tu as le droit d'utiliser. Et après, quand tu partiras, je vais révoquer cette cinquantaine de clés, et donc je vais devoir changer 50 serrures. Vous voyez, ce n'est pas viable. Donc, qu'est-ce qu'on fait en général avec le système Zero Trust ? On a On aurait dans la maison des cartes digitales par exemple, et on aurait derrière un système qui automatiquement gère ses clés. On aurait un système de rôle, un système qui permet de vivre ce qu'on appelle le life cycle, le cycle de vie de la clé. De la créer, de la valider, après de veiller à ce qu'elle soit utilisée. de manière non abusive, il faut gérer les logs, il faut voir s'il n'y a pas des choses qui sont en train de se passer et par la suite arriver au point où la clé sera révoquée parce qu'elle n'est plus utilisée, parce que par exemple elle a expiré ou parce que l'utilisateur ne travaille plus pour l'entreprise. C'est un système qui utilise beaucoup de clés, mais tellement de clés qu'il faut créer quelque chose d'automatique et légère. Parce qu'on ne peut effectivement pas imaginer un système où manuellement on pourrait faire du 0.3. On pourrait, mais il faudrait une armée d'administrateurs et créer des choses sans arrêt. L'avantage avec un système pareil, avec ce paradigme, c'est qu'effectivement ça limite, ça crée des... des zones étanches extrêmement petites qui limitent les dégâts si on en arrive à avoir un employé qui se fait pirater son ordinateur, qui se fait voler son ordinateur, qui vend son ordinateur à des pirates sur le dark web par exemple, il y a des pirates qui achètent les accès. Je te donne 2000 euros, donne-moi une heure. Donne-moi juste une heure et après tu vas déclarer quand tu as volé ton ordinateur ou que tu as cliqué sur un lien de phishing. Ta compagnie ne te fera rien, ils ne vont pas te virer. Juste donne-moi une heure seulement. C'est ce qu'ils font. Il y a des accords comme ça avec les pirates. C'est pour ça que le système Zero Trust ne considère pas un espace de confiance dehors, de non-confiance dehors et de confiance à l'intérieur du réseau, mais considère l'univers entier comme un espace de non-confiance. On fait confiance à personne. Que la personne soit authentifiée ou pas, on ne fait pas confiance. Il n'y a plus cette logique avant où dehors, c'est le Far West et à l'intérieur de la compagnie, là, on est en sécurité. Là, du moment que le gars se log à travers le VPN, il rentre, c'est bon, il peut tout faire. Il y a encore à l'intérieur de la compagnie une compartimentalisation, une ségrégation des rôles, des accès, tout ça, qui font que ce n'est pas parce que quelqu'un a des accès qu'il peut faire à peu près ce qu'il a envie. Voilà, c'est une explication simple, simplifiée du Zero Trust. Il y a beaucoup de couches au-dessus de ça, bien entendu. Mais voilà, c'est une catastrophe et elles vont morfler ces anciennes administrations. dans beaucoup tournent encore avec du legacy, c'est des administrations étatiques qui sont très lourdes, qui sont très... Vous savez, je parlais une fois à quelqu'un qui travaillait dans les ventes, il avait un contrat avec une administration étatique d'un pays européen. C'était pas France Travail, mais juste pour vous dire. Eh bien, ça faisait tellement d'années qu'il était en train de négocier avec eux que le produit avec lequel ils avaient commencé la négociation était déjà du legacy, ça signifie qu'il était déjà fini avec d'autres produits qui étaient sortis derrière. Il était ancien, dépassé, has-been. Et moi je lui dis pourquoi tu ne mets pas à jour le projet, le dossier de vente pour leur vendre la dernière version. Il me dit non parce qu'on recommence à zéro. Il me dit j'ai perdu des années déjà avec eux pour essayer d'en arriver là. Si je leur dis que ce produit c'est non, c'est has-been, on va recommencer à zéro et potentiellement je vais perdre le projet. Vous voyez ce que je veux dire ? L'État, généralement, se retrouve avec des... du software qui est surpricé parce que c'est dur de travailler avec l'état il faut inclure donc ça dans le prix du software ancien ils sont coincés sur du Windows XP sur du Windows 2000 sur du Windows 2008 ils sont coincés sur des trucs pourris tout ça bon forcément après ça devient l'eldorado du pirate forcément c'est l'eldorado du pirate mais voilà c'est comme ça merci mes amis d'avoir écouté cette vidéo et on se voit dans une prochaine à très bientôt.