Salles privées : comment fonctionne le chiffrement bout en bout d’OnlyOffice
Ascencio System, l’éditeur lettonien de la suite bureautique libre OnlyOffice a introduit une fonctionnalité de chiffrement de bout en bout pour les documents collaboratifs dans ses salles privées. Explications.
Les alternatives à Office 365 et G Suite (enfin Google Workspace) ne manquent pas. Parmi celles-ci, la suite bureautique Onlyoffice sous licence open source (AGPLv3) fait bonne figure, d’autant plus que l’éditeur Ascienco System s’est rapproché d’OVHCloud pour proposer une version SaaS souveraine, adressée à ses clients ne souhaitant pas passer par l’offre disponible sur AWS.
Onlyoffice est également accessible on premise. Peu importe l’architecture, la société lettonne entend proposer un niveau de sécurité élevé par le support de fonctionnalités comme l’authentification à deux facteurs, de différents SSO du marché, mais aussi du chiffrement au repos.
La société a récemment introduit les « salles privées », après deux ans de développement. Ces environnements doivent permettre de protéger l’édition et la coédition de documents par une technique de chiffrement bout en bout.
Dans une vidéo, Mickhail Korotaev, responsable de la communication chez Onlyoffice, justifie ce choix en expliquant que les solutions des concurrents qui proposent un chiffrement réalisent les opérations nécessaires uniquement au niveau du serveur. Selon lui, certaines suites fournissent un chiffrement au niveau du client, mais il faut partager le mot de passe associé par un canal de communication, qui lui ne profite pas forcément d’une protection optimale. Par ailleurs, la société entend sécuriser en temps réel les interventions des collaborateurs sur les documents.
Le partage est limité aux usagers qui possèdent les identifiants du chiffrement au sein d’une salle privée.
Dans les salles privées, les utilisateurs peuvent créer, charger, coéditer et supprimer les documents. Le partage est limité aux usagers qui possèdent les identifiants du chiffrement au sein d’une salle privée.
Un modèle de chiffrement décentralisé inspiré de la blockchain
En 2018, Ascencio System entendait déployer un réseau privé basé sur la blockchain Ethereum pour protéger les transferts des clés. Désormais, il préfère évoquer un modèle de chiffrement à deux couches.
Le chiffrement en question a lieu côté client, depuis l’application OnlyOffice Desktop Editors, mais le transfert des clés implique une communication avec le serveur (Community ou Enterprise Edition) sur lequel est hébergée la salle privée, et une instance cloud. Pour le moment, les salles privées ne sont que disponibles pour les éditions Self-Managed d’OnlyOffice Workspace.
Pour profiter de cette fonctionnalité, les utilisateurs doivent se connecter à une instance cloud d’OnlyOffice. Quand l’usager se branche pour la première fois au portail avec son identifiant et son mot de passe, son userID agit comme un déclencheur de la procédure de génération d’une paire de clés RSA, l’une publique, l’autre privée, depuis le client. « La clé privée est utilisée pour le déchiffrement et la clé publique sert au chiffrement », assure Mickhail Korotaev. Ces clés sont elles-mêmes chiffrées puis stockées dans une enclave sécurisée de l’ordinateur et dans une base de données hébergée dans cette instance cloud. À notre connaissance, Ascencio emploie les services Amazon EC2, S3 et RDS d’AWS.
Un utilisateur enregistre un document qui est protégé par un mot de passe généré automatiquement par OnlyOffice Desktop Editor (l’application client) via un algorithme AES 256 bits. La clé publique de l’utilisateur enrobe ce mot de passe.
« Les paires de mots de passe de documents cryptés et de clés publiques de tous les utilisateurs ayant un accès sont enregistrées dans la partie non cryptée du fichier avec le contenu du document crypté », indique un porte-parole d’OnlyOffice.
« C’est ce qui permet le partage et la collaboration avec les documents chiffrés » note Mickhail Korotaev.
À l’ouverture d’un fichier, la clé privée de l’utilisateur est appelée pour déchiffrer le mot de passe du document. Tous les changements sont encryptés via un algorithme AES-256-CBC. Le document protégé réside dans les dossiers temporaires de l’ordinateur au moment de son édition. « Quand la dernière personne à manipuler le fichier a terminé, la version du fichier est mise à jour, cryptée à nouveau via la génération de mot de passe et renvoyée vers le serveur », indique le porte-parole. Par ailleurs, la saisie de chaque édition est « chiffrée individuellement et partagée en utilisant le chiffrement asymétrique de transfert ».
Dans une salle privée, « l’utilisateur n’a l’accès qu’au document dont le mot de passe est chiffré avec sa clé publique », précise l’éditeur. Un utilisateur peut toujours télécharger le fichier en question. S’il essaye de l’ouvrir avec un client différent d’Onlyoffice, il lui sera demandé un mot de passe, inaccessible, puisque géré automatiquement. Par ailleurs, les algorithmes employés réduisent les chances de succès d’attaque par force brute, assure Ascencio System. « L’épuisement de ce chiffrement nécessiterait d’utiliser 50 superordinateurs pendant environ 3×1051 ans », vante-t-il.
Des restrictions dues au format OOXML
Il existe pour l’instant des limitations. La première d’entre elles concerne le type de document. OnlyOffice offre une protection pour les fichiers au format OOXML, c’est-à-dire DOCX, XLSX et PPTX. Pourtant, c’est bien ce standard qui facilite le chiffrement. « Cette structure de fichiers permet de crypter les documents et de stocker les données non cryptées d’informations à côté, dans un seul fichier. Lorsque celles-ci sont cryptées au moyen de l’AES – les données XML cryptées sont placées dans un fichier au format binaire de fichier composé (MS-CFB) qui contient également les informations nécessaires au déchiffrement du document », lit-on dans un livre blanc fourni par l’éditeur.
« Nous planifions d’aller plus loin en ajoutant cette fonctionnalité [de chiffrement bout en bout] dans notre solution SaaS, les applications mobiles et dans les intégrations avec les services tiers. »
Porte parole OnlyOffice
De manière plus pratique, il n’est pas possible de décrypter, redistribuer, de restaurer ou de copier les documents. De même, les salles privées empêchent le chargement de fichiers extérieurs. L’éditeur recommande d’ailleurs l’installation du serveur sur un réseau privé. Les données au repos sur le serveur Enterprise ou Community sont chiffrées par le biais de l’algorithme AES-256 CBC.
« Nous planifions d’aller plus loin en ajoutant cette fonctionnalité [de chiffrement bout en bout] dans notre solution SaaS, les applications mobiles et dans les intégrations avec les services tiers […] Nous envisageons aussi la possibilité d’ajouter le chiffrement de bout en bout dans notre service de courrier électronique et la messagerie instantanée », indique un porte-parole d’OnlyOffice.
Par ailleurs, certains utilisateurs ont déjà réclamé le support d’autres formats de fichiers, la signature numérique des documents protégés et l’ajout d’un système de clé maître.
Pour approfondir sur Gestion des accès (MFA, FIDO, SSO, SAML, IDaaS, CIAM)
