Novell veut sécuriser le cloud

Karine Fossard

01net.

le 07/08/2009 à 16h54

laisser un avis

envoyer
par mail

imprimer
l'article

A la fin du mois de juillet 2009, la presse américaine révélait que les employés de Twitter s'étaient fait dérober plusieurs documents internes confidentiels, via leur réseau. Le cœur de l'affaire n'était pas tant une histoire de piratage, mais le fait que les données en question étaient hébergées dans le cloud. La question de la sécurité dans le nuage a ainsi ressurgi plus fort que jamais.

Novell tente justement une percée sur ce nouveau créneau. Il y a quelques jours à peine, lors de la Burton Group Catalyst Conference à San Diego, l'éditeur a proposé un prototype de service, baptisé Cloud Security Service. L'éditeur reconnaît lui-même ne pas avoir réinventé le nuage avec cette solution, puisqu'elle est composée de produits et de technologies déjà existants, réadaptés pour l'occasion (mais avec tout de même 60 brevets déposés). La version finale est prévue pour le début de 2010, cependant, l'éditeur aurait une feuille de route établie jusqu'en 2012 pour arriver à ses fins.

Reprendre le contrôle des données

Développé en partenariat avec hébergeurs et fournisseurs SaaS partenaires, le Cloud Security Service a pour objectif de contrôler l'accès aux données. Il s'appuie sur un proxy et permet des services de Single Sign On, de gestion des identités et des accès utilisateurs. L'offre intégrerait aussi un outil de tracking capable de retracer l'historique de navigation. Un « pont sécurisé » permettra (ou non) la circulation des données dans le cloud. Pour Novell, il s'agit là de technologies qui permettent « d'annexer » le cloud externe à son propre cloud privé et d'y appliquer les mêmes règles de sécurité. « Le cloud externe sera l'extension naturelle des datacenters privés », résume le communiqué.

L'éditeur veut ainsi donner l'assurance aux entreprises que les politiques de sécurité mises en place restent garanties dans le cloud, sans aucune perte de contrôle de ses données ou des accès. Novell insiste sur le fait que son service évitera aux administrateurs d'avoir à gérer séparément la sécurité de leurs données et applications externalisées et celle des éléments contenus dans leurs propres infrastructures.

Gartner donne du crédit à ce type d'initiatives. Une étude datant de juillet 2009 prévoit que le futur du cloud passera en effet par des logiciels ou des appliances « intermédiaires », (ce que Gartner appelle des Cloud Service Brokers) capable de mieux sécuriser le service de base proposé par les hébergeurs. Reste à savoir si le fait d'appliquer des technologies de sécurité classique au cloud computing fait véritablement l'affaire. Lors de la conférence RSA qui s'est tenue à San Francisco en avril dernier, John Chambers, PDG de Cisco, estimait que « la sécurité du cloud ne pouvait être traitée par les méthodes traditionnelles ». Le constructeur propose une solution maison de filtrage de trafic qui assurerait, selon lui, la sécurité dans le cloud computing.

Chaque fournisseur va tenter sa chance

IBM a depuis tenté sa chance, en proposant des outils de surveillance et de mise en quarantaine des codes malveillants ainsi qu'un pare-feu spécifique. Difficile de voir pour l'instant en quoi ces outils diffèrent des solutions traditionnelles. En fait, à peu près toute l'industrie de la sécurité est probablement en train de plancher sur sa propre offre de sécurité dédiée à cette nouvelle manne qu'est le cloud computing. Une des voies les plus avancées reste les solutions de sécurité dédiées aux machines virtuelles, qui peuvent s'interfacer avec l'hyperviseur de VMware par exemple, via l'API VMsafe développé par le leader pour l'occasion.

Enfin, le Cloud Security Alliance, consortium créé il y a quelques mois, devra clarifier toutes ces initiatives et sensibiliser les entreprises. Mais pour l'instant, il faut bien le reconnaître, les meilleures pratiques proposées par les experts ne sont que très traditionnelles et franchement pas très excitantes : chiffrer ses données hébergées, utiliser des mots de passe résistants, mener une gestion fine des identités pour mieux contrôler les accès...