Embed Size (px)
DESCRIPTION
Comment stocker l'information sensible de manière sécurisée et où garder ses clés.
Citation preview
Encryption des données
Stocker l’information sensible de manière sécurisée
Julie Guéhohttp://about.me/juliegueho @JulyPyrra
Encryption des données - http://about.me/juliegueho
Encryption des données - http://about.me/juliegueho
Pourquoi/Quoi/Comment
- Pour protéger les données sensibles- Pour “dé-identifier” les données
HIPAAPIPEDA
Secteur de la santé
Encryption des données - http://about.me/juliegueho
Pourquoi/Quoi/Comment
Cersei Lannister
vJCnAGa+KLr6oE5aJ+sDMA==sLqVFpNIKa68s3+xFg9Zag==
Donnée non cryptée (“plain text”) Donnée cryptée (“cyphertext”)
Algorithme d’encryption basé sur une clé
Encryption des données - http://about.me/juliegueho
Pourquoi/Quoi/Comment
Encryption des données - http://about.me/juliegueho
Où stocker la clé ?
Encryption des données - http://about.me/juliegueho
Où stocker la clé ?
Encryption des données - http://about.me/juliegueho
Où stocker la clé ?
User1
Encrypté avec clé1
User2
Encrypté avec clé2
User3
Encrypté avec clé3
Clé1
Clé2 Clé3
Magasin des clés (key store)
CertificatX.501
Encryption des données - http://about.me/juliegueho
Avantages certificats x.501
• Sécurité
• Clé privée protégée par un format non exportable
• Clé publique référencée dans l’application
Encryption des données - http://about.me/juliegueho
ArchitectureCertificat X.501
Application
Base de données
Utilisateur encrypté + version
de la cléMagasin de clés
Serveur
Empreinte certificat
Version de la clé
Clé symmétrique encryptée
Table (Table storage ou base de données)
Encryption des données - http://about.me/juliegueho
ProcessusCertificat X.501
Application
Base de données
Utilisateur encrypté + version
de la cléMagasin de clés
1
2 3
4
5. Décryption de la clé symmétrique6. Décryption des données
Serveur
Empreinte certificat
Version de la clé
Clé symmétrique encryptée
Table (Table storage ou base de données)
Encryption des données - http://about.me/juliegueho
Une petite demo ?
Encryption des données - http://about.me/juliegueho
Et pour la super clé ?
Encryption des données - http://about.me/juliegueho
Et pour la super clé ?
• La clé privée doit être sécurisée physiquement
• N’oubliez pas d’en faire une sauvegarde de sécurité !
Encryption des données - http://about.me/juliegueho
D’autres mesures de sécurité ?
• Vérifier l’intégrité des données
• Impérativement utiliser SSL
• Encrypter les chaînes de connections (connection string) dans les web.config et app.config (avec un certificat par exemple)
• Sauvegarde de sécurité sur un deuxième serveur géographiquement éloigné du 1er
• Roles et privileges pour accéder aux données, déconnection automatique
• Mais surtout : formation des équipes concernées !
Encryption des données - http://about.me/juliegueho
Bibliographie
• http://azuretableencrypt.codeplex.com/• http://
www.us.sogeti.com/what-we-do/PDF/HIPAA-in-the-Cloud-Whitepaper-Sogeti-v1.2.pdf (.NET, Azure)• http://azure.microsoft.com/blog/2011/09/07/field-note-using-
certificate-based-encryption-in-windows-azure-applications/
Encryption des données - http://about.me/juliegueho
Merci !
• Envoyez-moi vos questions : [email protected] @JulyPyrra
• Sources : https://github.com/JulieGueho/Encryption http://www.slideshare.net/JulieGueho/encryption-des-donnes
