Les « ancres cryptographiques » de Square : un seul HSM à débit limité sépare les voleurs de chaque enregistrement

Après les violations catastrophiques chez Equifax — 143 millions de dossiers d'Américains, chiffre ensuite révisé à plus de 145 millions — et chez Yahoo, l'ingénieur en sécurité Diogo Mónica a donné un nom à une architecture qu'il avait conçue des années plus tôt : les « ancres cryptographiques ». Mónica et son collègue Nathan McCauley ont mis ce système en place chez la société de paiement Square avant de rejoindre l'éditeur de logiciels d'entreprise Docker en 2015.

Habituellement, le serveur web doit détenir la clé de la base de données pour fonctionner, si bien que quiconque détourne le serveur en hérite — c'est à peu près ainsi que les attaquants d'Equifax auraient opéré, pense-t-on. Avec une ancre cryptographique, la clé ne réside que sur un module de sécurité matériel (HSM) renforcé qui déchiffre chaque enregistrement sur demande et limite son propre débit. Même à un million de requêtes par jour, épuiser les numéros de sécurité sociale d'Equifax prendrait plus de six mois de présence continue. Le hachage ne sauve pas non plus une conception classique : avec moins d'un milliard de numéros de sécurité sociale possibles, les hachages volés peuvent être appariés hors ligne à loisir.

« Le concept central est de garantir que vos données sont non seulement chiffrées, mais que le seul moyen de les déchiffrer, d'y accéder ou d'opérer dessus se trouve physiquement dans votre centre de données », a déclaré Mónica. « Si quelqu'un compromet ma base de données, si elle fuite, elle n'est pas utile à moins qu'il ne soit dans mon réseau. » Haroon Meer, fondateur de la société de sécurité Thinkst, a résumé l'attrait : « Vous les obligez à jouer sur votre terrain, donc vous les voyez venir. »

Le dispositif était loin d'être répandu en 2017, mais il fonctionnait là où cela comptait. Outre l'implémentation de Square, Mónica a indiqué que des ingénieurs de Facebook et d'Uber lui avaient confié en privé qu'ils exploitaient quelque chose de similaire, et le cryptographe de Johns Hopkins Matthew Green a déclaré avoir été consultant pour plusieurs grandes entreprises technologiques sur des versions de ce système — « de la vieille histoire » pour les concepteurs de sécurité, « nouveau en ce sens que très peu de gens les mettent réellement en œuvre ».

On ne peut pas empêcher les intrus d'entrer, alors maîtrisez la seule chose dont ils ont besoin pour repartir : faites passer physiquement chaque déchiffrement par un dispositif distinct dont vous fixez le débit.

Les applications en temps réel doivent déchiffrer à la demande, si bien que le chiffrement classique place la clé sur le serveur web même que les attaquants compromettent en premier.

Le hachage seul échoue face à de petits espaces de clés : les numéros de sécurité sociale peuvent être hachés exhaustivement hors ligne et appariés aux hachages volés.

Acheminer chaque déchiffrement par un seul HSM renforcé rend la clé physiquement non téléchargeable et plafonne le débit de sortie des données par le matériel.

Le prix — des centièmes de seconde par requête — achète un compte à rebours d'exfiltration qui se compte en mois, le tout visible pour les défenseurs.

Concevez pour l'exfiltration, pas seulement pour l'entrée : le débit est la ressource qu'un défenseur contrôle. Un goulot d'étranglement que vous possédez transforme une intrusion silencieuse en un siège lent et bruyant.

Fin 2017, Mónica affirmait que « chaque équipe d'ingénierie de sécurité vraiment bonne utilise une forme de ce système », citant des confirmations privées d'ingénieurs de Facebook et d'Uber. Les fournisseurs de HSM Gemalto et Thales rendaient de tels dispositifs possibles depuis des années, et les versions cloud — CloudHSM d'Amazon, Azure Key Vault de Microsoft — mettaient les pièces à la portée d'entreprises ordinaires. Mónica ne pouvait pas promettre que les ancres cryptographiques auraient arrêté Equifax, dont le chemin d'attaque restait flou, mais soutenait qu'elles auraient ralenti l'attaquant et réduit le butin.