DGFiP : illustration d'une architecture en château-fort ?

Deux personnes suspectées d'être impliquées dans le vol de données massif survenu à la direction générale des finances publiques (DGFiP) ont été interpelés fin août. L'un d'entre eux a été mis en examen et placé en détention provisoire.

Mais comment s'est déroulé ce vol de données concernant près de 680 000 particuliers et professionnels ? Nos confrères du Monde apportent un éclairage.

Selon une note envoyée vendredi dernier aux membres de la commission des finances du Sénat, que nos confrères ont pu consulter :

1. les identifiants d'un agent de l'éducation nationale, et ceux d'agents de la DGFiP ont été compromis par des cleptogiciels (ou infostealers en anglais) ;
2. les assaillants ont utilisé ceux du premier pour accéder au Réseau Interministériel de l'État (RIE) ;
3. de là, ils ont pu pivoter vers des applications de la DGFiP et s'y connecter en utilisant lesdits identifiants des agents de la direction ;
4. les attaquants ont alors pu procéder à l'exfiltration des données.

Que suggère cette séquence d'évènements ? Tout d'abord que les accès externes des agents de la DGFiP sont sécurisé avec une authentification à facteurs multiples (MFA) : sans cela, leurs identifiants auraient pu être directement exploités, sans avoir à passer par la case RIE.

Ensuite, que le RIE est considéré - au moins par certains et pour certaines applications - comme une zone de confiance dans laquelle une authentification simple suffit. Nos confrères confortent cette assertion : selon eux, le service utilisé pour voler les données « ne bénéficiait pas de la protection, pourtant basique, d’un "dispositif de double authentification, alors même que les données accessibles étaient couvertes par le secret fiscal" ».

Opéré par Renater pour la Dinum, le RIE « assure, pour ces services, le transport des flux internes aux entités, les échanges sécurisés entre entités, ainsi que les échanges sécurisés avec les réseaux tiers, notamment Internet et le réseau Inter-États membres de la Communauté européenne ».

Mais voilà qui renvoie à près de vingt ans de réflexions sur les modèles de sécurité des systèmes d'information. En 2008, Gérôme Billois, alors senior manager au sein de la practice Risk Management et Sécurité de l'information de Solucom, formalisait une vision de l'évolution de ces modèles, passant du château-fort à l'aéroport. En 2016, dans nos colonnes, il allait plus loin, s'inspirant des compagnies aériennes.

Entre temps, en 2009, Forrester avançait le modèle du « zero-trust », ou sans confiance : une approche de la cybersécurité qui refuse par défaut l’accès aux ressources numériques d’une entreprise et accorde aux utilisateurs et aux appareils authentifiés un accès personnalisé et cloisonné uniquement aux applications, données, services et systèmes dont ils ont besoin pour faire leur travail.

En 2015, Google détaillait son approche suivant cette logique, tout en allant encore plus loin, en renonçant totalement à l'idée de périmètre, avec l'initiative BeyondCorp.

En 2021, Gartner estimait que 60 % des organisations dans le monde entier feraient du sans confiance leur modèle de référence en 2025. En 2024, le cabinet assurait que 63 % des organisations avaient déjà engagé une stratégie zero-trust. Mais pas sans nuances... Ainsi, expliquait alors Gartner, « la portée d'une stratégie zero-trust n'inclut généralement pas l'ensemble de l'environnement d'une organisation » : 60 % des répondants ne prévoyaient même pas de couvrir 50 % de leur SI avec cette stratégie !

Passons sur ceux qui pourraient être tentés d'afficher une adoption du sans confiance avec le simple déploiement du ZTNA en remplacement d'un VPN-SSL vieillissant... Gartner estime désormais que 30 % des organisations vont complètement abandonner le zero-trust d'ici à 2028. Pourquoi ? Complexité, gouvernance, résistance culturelle...

Mais alors, un réseau tel que le RIE peut-il être considéré comme une zone confiance ? Peut-être, si tous les accès y étaient contrôlés de la même manière. Mais l'incident suggère que ce n'est pas le cas : certains ministères sont vraisemblablement plus stricts que d'autres.

Surtout, considérons un long terminal aéroport : pour passer la sécurité, il faut montrer que l'on va effectivement prendre un avion. Donc, toutes les personnes ayant passé ce premier niveau de filtrage vont prendre un avion. Mais pas toutes le même. C'est là qu'intervient le contrôle à la porte d'embarquement. Une application accessible via le RIE n'a probablement pas à être considérée d'une autre manière que cette porte d'embarquement.

Reste que la légitimité du passager est attesté par sa carte d'embarquement, dont l'authenticité est vérifiée aux différents points de contrôle le long de son parcours. Les concepteurs du RIE n'ont pas oublié cette brique : s'il n'y a pas de référentiel d'identités unique sur le RIE, il y a un mécanisme de fédération d'identités, FranceConnect Agent. Mais sa question de son adoption s'est déjà posée par le passé.

En 2019, Gilles Bellamit, alors chargé de mission au secrétariat général des ministères économiques et financiers, indiquait vouloir pousser les éditeurs présents dans son catalogue de services à implémenter le protocole d’accès FranceConnect Agents à leurs solutions. De quoi suggérer qu'il n'y avait là rien de trivial et qu'il fallait encore composer avec des systèmes de contrôle d'accès hétérogènes. 

Cette question de l'authentification et du contrôle des accès renvoie à un autre incident : l'intrusion sur Tschap, la plateforme de messagerie instantanée utilisée par les administrations publiques françaises, dévoilé en juin. L’accès initial avait été obtenu par une usurpation de compte légitime. Quelques centaines de comptes d'utilisateurs de Tschap, au moins, ont été compromis par cleptogiciel. Ce qui n'a rien d'anodin, car sans déconnexion intentionnelle en fin d’utilisation de la messagerie dans un navigateur Web, des jetons de session peuvent rester actifs suffisamment longtemps pour être détournés par un tiers malveillant.