7/23/2019 Office 365 Secure

http://slidepdf.com/reader/full/office-365-secure 1/3

Chiffrement des données lors de leur transport 

Dans OneDrive Entreprise et SharePoint Online, il existe deux scénarios dans lesquels les

données entrent et sortent des centres de données.

Communication du client avec le serveur La communication vers OneDrive Entreprise

sur Internet utilise des connexions SSL/TLS. Toutes les connexions SSL sont établies à

l’aide de clés 2048 bits.

Déplacement de données entre des centres de données   La raison principale du

déplacement de données entre des centres de données est de permettre la récupération

d’urgence via la géo-réplication. Par exemple, les deltas de stockage d’objets blob et les

 journaux de transaction SQL Server transitent par ce canal. Alors que ces données sont déjà

transmises par le biais d’un réseau privé, elles sont encore mieux protégées à l’aide du

meilleur chiffrement de sa catégorie.

Chiffrement des données lors de leur stockage 

Le chiffrement lors du stockage comprend deux composants : le chiffrement au niveau du

disque BitLocker et le chiffrement par fichier du contenu client.

BitLocker est actuellement en cours de déploiement pour OneDrive Entreprise et SharePoint

Online sur l’ensemble du service. Le chiffrement par fichier est également en cours de

déploiement dans OneDrive Entreprise et SharePoint Online dans les environnements partagés

au sein d’une architecture mutualisée et les nouveaux environnements dédiés d’Office 365

 basés sur une technologie partagée au sein d’une architecture mutualisée. 

Alors que BitLocker chiffre toutes les données sur un disque, le chiffrement par fichier va plus

loin en ajoutant une clé de chiffrement unique pour chaque fichier. En outre, chaque mise à jour

de chaque fichier est chiffrée à l’aide de sa propre clé de chiffrement. Avant d’être stockées, les

clés permettant d’accéder au contenu chiffré sont elles-mêmes chiffrées et stockées dans un

emplacement physiquement distinct du contenu. Chaque étape de ce chiffrement utilise la

méthode AES (Advanced Encryption Standard) avec des clés 256 bits et est conforme à la

norme FIPS (Federal Information Processing Standard) 140-2. Le contenu chiffré est réparti

sur un certain nombre de conteneurs dans l’ensemble du centre de données, et chaque conteneur

 possède des informations d’identification uniques. Ces informations sont stockées dans un

emplacement physique distinct du contenu ou des clés de contenu.

Pour plus d’informations sur la conformité avec la norme FIPS

(Federal Information Processing Standard) 140-2, voir  Conformité avec la norme FIPS 140-2, 

et sur le chiffrement AES avec 256 bits, voir l’article relatif à la sécurisation des données grâce

à la nouvelle méthode de chiffrement Advanced Encryption Standard. 

Le chiffrement au niveau du fichier lors du stockage tire profit du stockage d’objets  blob pour

fournir une croissance de stockage virtuellement illimitée et pour permettre une protection sans

 précédent. L’ensemble du contenu client dans OneDrive Entreprise et SharePoint Online sera

migré vers le stockage d’objets blob. Voici la façon dont les données sont sécurisées :

7/23/2019 Office 365 Secure

http://slidepdf.com/reader/full/office-365-secure 2/3

Tout le contenu est chiffré, potentiellement avec plusieurs clés, et réparti dans l’ensemble du

centre de données. Chaque fichier à stocker est divisé en un ou plusieurs blocs, en fonction de

sa taille. Ensuite, chaque bloc est chiffré à l’aide de sa propre clé unique. Les mises à jour sont

traitées de la même façon : le jeu de modifications, ou deltas, soumis par un utilisateur est

divisé en blocs, et chacun est chiffré avec sa propre clé.

Tous ces blocs (fichiers, parties de fichiers et deltas de mise à jour) sont stockés sous la forme

d’objets  blob dans le magasin d’objets blob. Ils sont également répartis au hasard entre

 plusieurs conteneurs d’objets blob.

Le jeu des clés de chiffrement de ces blocs de contenu est lui-même chiffré à l’aide d’une clé

 principale générée de façon indépendante.

Les clés chiffrées sont stockées dans la base de données de contenu SharePoint.

La clé principale pour déchiffrer les clés permettant d’accéder aux blocs est elle-même stockée

dans une banque d’informations sécurisée appelée « magasin de clés ».

La « carte » utilisée pour reconstituer le fichier à partir de ses composants est stockée dans la

 base de données de contenu avec les clés chiffrées, mais séparément de la clé principale

nécessaire à leur déchiffrement.

Chaque conteneur d’objets  blob dispose de ses propres informations d’identification uniques

 par type d’accès (lecture, écriture, énumération et suppression). Chaque jeu d’informations

d’identification est conservé dans le magasin de clés sécurisé et est régulièrement actualisé. 

En d’autres termes, trois types de magasins sont impliqués dans le chiffrement par fichier lors

du stockage, chacun doté d’une fonction distincte :

Le contenu est stocké sous la forme d’objets  blob chiffrés dans le magasin correspondant. La

clé permettant d’accéder à chaque bloc de contenu est chiffrée et stockée séparément dans la

 base de données de contenu. Le contenu lui-même ne fournit aucun indice quant à sa méthode

de déchiffrement.

La base de données de contenu est une base de données SQL Server. Elle contient la carte

nécessaire à la localisation et à la reconstitution de l’ensemble des objets  blob de contenu

figurant dans le magasin d’objets blobs, ainsi que les clés nécessaires au déchiffrement de ces

objets. Toutefois, le jeu de clés est lui-même chiffré. La clé principale est conservée dans unmagasin de clés distinct.

Le magasin de clés est physiquement distinct de la base de données de contenu et du magasin

d’objets  blob. Il contient les informations d’identification de chaque conteneur de stockage

d’objets  blob, ainsi que la clé principale permettant d’accéder au jeu de clés chiffrées figurant

dans la base de données de contenu. Il est surveillé de façon rigoureuse et protégé par le

chiffrement BitLocker.

Chacun de ces trois composants de stockage (magasin d’objets  blob, base de données de

contenu et magasin de clés) est séparé physiquement. Les informations contenues dans

n’importe lequel des composants sont inutilisables en l’état, ce qui permet de garantir un niveaude sécurité sans précédent. Sans accès aux trois composants, il est impossible d’extraire les clés

7/23/2019 Office 365 Secure

http://slidepdf.com/reader/full/office-365-secure 3/3

 permettant d’accéder aux blocs, de les déchiffrer pour les rendre utilisables, de les associer avec

leurs blocs correspondants, de déchiffrer un bloc ou de reconstituer un document à partir de ses

 blocs constitutifs.