De retour du salon Infosecurity'06, voici les themes que je retiens.

"Votre site web est-il bien protege ?"
On a du me poser la question une 50aine de fois... Ce sont souvent des solutions de Firewall, hardware. Malheureusement, rien de vraiment dement et innovant sur le marche.

"Le parcours du combattant pour les mails"
Un nombre important - trop vraiment - de solutions anti-spam, anti-phising, filtre de contenu, et tout une serie de chose qui vont arriver a vos mails avant qu'il ne puissent enfin atteindre votre boite mail.

L'avenir est sombre pour ces pauvres petites betes. Ils vont devoir devenir de veritable athletes, etre tamponnes, estampilles, verifies, filtres et finalement, si ils reussisent a faire le quintuples saltos arriere et retombent sur leur deux pattes, tout en evitant les plombs du canon scie qui vient de leur tirer dessus, alors, peut-etre, apres decision du "tribunal du mail", attendront-ils votre boite mail. La guillotine, c'etait une plaisenterie a cote. Eradication, banissement, notification des administrateurs, signalement, referencement et j'en passe... Ca semble tres strict sur le papier... quid de la realite. Et surtout, combien de mails "valides" perd-on avec ces systemes?

Plusieurs solutions se proposent de de s'occuper de votre traffic mail pour vous. Vous leur envoyez le mail et il s'occupe de tout. Je vis personnellement ca comme une perte de controle, mais bon...

"Je crypte, tu cryptes, il crypte, nous cryptons... quoi ?!? Vous ne cryptez pas encore ?!?"
Tout se crypte. Les mails, les fichiers, les partitions, les clefs USB, les CDs et les disques dur complets.

J'ai pu constater qu'il n'existe qu'une seule solution de cryptage de disque dur complet disponible sous Linux, celle de Pointsec. Pour les autres, soit c'est clairement "non", soit c'est a l'etude ("Eh vous, vous avez combien de machine sous Linux a crypter ?"), soit c'est dans une Roadmap, mais pas de produit avant 2007 (c'est Q4 2006 + le traditionnel retard). Une question interessante de l'un d'eux: "Pourquoi des gens utilisant un systeme gratuit iraient payer une solution de cryptage de disque dur ?". Pas con, mais il ne tient pas compte qu'il y a plein de raisons pour utiliser Linux, autre que simplement le prix...

Pour les mails, des solutions interessantes, qui se veulent les plus transparentes possible pour l'utilisateur final... sous Outlook :-(

Pour les fichiers et partitions, quelques solutions generiques, Windows, Unix/Linux, Mac OSX, ... ca fait plaisir. Et un discours farouche contre le "full disk encryption" de la part de ceux qui n'ont pas de solution de ce type. C'est facilement contrable quand on connait les produits, mais le discours principal est "Et s' il faut faire une operation de maintenance, comment fait-on ?" (Partie de reponse: une partie de confiance possede des media de recovery lorsque l'OS crypte est mort.).

"J'en ai marre des mots de passe, de devoir les reseter pour vous, et d'en avoir tant."
Et les fournisseurs de produits vous connaissent bien: "Vous avez le meme mot de passe partout", "Vous demandez a chaque fois que l'on vous renvoie votre mot de passe par mail, car vous l'avez oublie".

Ils ont pense a vous, avec la "valise a mot de passe", USB a l'image d'Aladdin, ou bien l'authentification par carte a puce comme chez GemPlus. Les deux arrivent timidement sous Linux, l'un avec une librairie qui devrait permettre de recompiler tout pour que ca marche, l'autre avec une reelle solution, sur les differentes version de Linux... pour 2007.

La plupart des solutions de cryptages de disque dur complet sont prevues pour fonctionner avec une authentification par "token" (i.e. cle USB), voir meme, avec option empreinte digital sur la clef USB.

"Vos peripheriques USB - et autre - ne sont pas les bienvenus".
Cela s'appelle le controle de port et plein de solutions sont disponible spour que l'on ne puisse plus connecter n'importe quel peripherique USB sur son ordinateur de bureau. Ipod, telephones portables, clef USB perso ou disques dur amovibles sont pointes du doigt. Bien sur, c'est Windows, Windows, Windows, Windows...

"Nous ne faisons pas que de l'antivirus"
C'est le message commun de Symantec et Mcafee.

"On fait aussi de la securite..."
C'est celui de Microsoft

Les autres
Une petite note speciale pour 3M qui fait un filtre pour ecran LCD/TFT (le dernier en bas). L'utilisation est principalement prevue pour les ordinateurs portable, pour que vos voisins cessent de regarder votre ecran. Ils avaient une petite video d'un gars dans un avion coince entre deux autres qui mattent son ecran. Excellent et tellement vrai.

Les societes faisant des tests de penetration sur votre reseau d'entreprise ou de la verification de code contre de potentielles vulnerabilite etaient bien representees. Les systemes de detection d'intrusion etaient classés, pour la plupart, dans la categorie "Votre site web est il bien protege?". Et pas ou tres peu de trace des logiciels de scanner de reseau. Je n'ai vu que ISS, mais pour leurs autres produits, et en plus dans un coin du salon, assez mal places.

Les absents
Enfin, pour finir, une absence crillante de l'Open-source et de Linux. Une seule reference visible a Snort et une discrete mention "Linux inside" dans un equipement. La place est occupee par les solutions pour l'OS et les produits de Microsoft. La meme remarque s'applique pour l'OS d'Apple. Linux et Mac OSX sont des questions "colle" dans la plupart des cas.
Cependant, note positive, a la question "Et pour les OS autre que Windows ?", l'a reponse n'est plus "Que voulez vous dire ?", mais "Linux, oui..." et un deuxieme interlocuteur se joint a la conversation.