Module 1 · 1.1
Français
Qu'est-ce que le cloud, et qui peut accéder à vos données ?
Module 1: Pourquoi un cloud européen ? · Temps de lecture : 10 minutes
Objectif pédagogique : après cette leçon, vous pourrez expliquer ce qu'est « le cloud », quelles parties peuvent accéder à vos données et pourquoi l'emplacement du datacenter ne raconte pas toute l'histoire.
Notions clés : cloud, SaaS, PaaS, IaaS, prestataire, datacenter, juridiction, accès administrateur, chiffrement en transit, chiffrement au repos, chiffrement de bout en bout, gestion des clés
Le cloud, c'est l'ordinateur de quelqu'un d'autre
« Le cloud » sonne comme quelque chose de flou qui flotte au-dessus de nous. En réalité, c'est très concret : vos fichiers, votre messagerie et votre agenda se trouvent sur des ordinateurs (serveurs) appartenant à une autre entreprise, dans un bâtiment rempli de serveurs : un datacenter. Vous louez une portion de ces ordinateurs et vous l'utilisez via internet.
Prenons Bakkerij De Korrel, une boulangerie de douze employés dont le nom de domaine est example.com. La propriétaire, Sanne, utilise depuis des années une suite connue d'une grande entreprise technologique américaine : messagerie sur info@example.com, agenda partagé pour les tournées de livraison, recettes et devis dans des dossiers en ligne, et un outil de discussion avec le personnel. Cela fonctionne très bien. Mais Sanne ne sait pas vraiment où se trouvent ces données, ni qui peut y accéder.
Trois types de cloud
Vous rencontrerez trois sigles. La différence tient à la part que le prestataire gère pour vous :
| Type | Ce que vous louez | Exemple | Ce que vous gérez vous-même |
|---|---|---|---|
| SaaS (software as a service) | Un service clé en main | Messagerie en ligne, stockage en ligne, suite bureautique en ligne | Uniquement l'utilisation et le paramétrage |
| PaaS (platform as a service) | Une plateforme pour faire tourner votre propre logiciel | Une base de données gérée ou un hébergement web | La maintenance de votre propre application |
| IaaS (infrastructure as a service) | Des serveurs, du stockage et un réseau nus | Un serveur virtuel (VPS) | Tout à partir du système d'exploitation |
Cette formation porte surtout sur le SaaS : les services qu'une petite organisation utilise au quotidien. Avec le SaaS, le prestataire gère presque tout. C'est pratique, mais cela signifie aussi que le prestataire détient presque tout entre ses mains.
Qui peut accéder à vos données ?
Lorsque vos données se trouvent chez un prestataire cloud, davantage de parties peuvent, en principe, y accéder que vous seul :
- Vous et vos collègues, avec vos comptes. Et toute personne avec qui vous partagez quelque chose.
- Le prestataire : des administrateurs qui entretiennent les systèmes, des agents du support qui vous aident, et des systèmes automatiques (par exemple des filtres antispam ou des antivirus) qui lisent vos données pour accomplir leur tâche.
- Les parties auxquelles le prestataire fait appel : le datacenter, une entreprise qui assure le support dans un autre pays, un fournisseur de sauvegardes. On les appelle des sous-traitants ultérieurs (leçon 1.2 et 9.2).
- Les autorités publiques : police, justice et services de renseignement du pays dont relève le prestataire, si la loi l'autorise. Vous découvrirez de quelles lois il s'agit dans la leçon 1.3.
- Des attaquants, si la sécurité est insuffisante ou si quelqu'un dérobe votre mot de passe.
Les points 1 et 5 dépendent en grande partie de vous, avec de bons mots de passe et l'authentification à deux facteurs (2FA) (leçon 7.3). Les points 2, 3 et 4 dépendent du prestataire que vous choisissez. C'est précisément le sujet de cette formation.
Pourquoi le datacenter ne raconte pas toute l'histoire
De nombreux prestataires affirment aujourd'hui : « Vos données se trouvent en Europe. » C'est une bonne chose, mais ce n'est qu'une partie de la réponse. Il existe trois niveaux :
- Où se trouve le serveur ? Le pays du datacenter. Cela détermine par exemple quelle police peut accéder physiquement à la machine.
- Qui est le prestataire, et qui en est le propriétaire ? Une entreprise relève du droit du pays où elle est établie. Si le prestataire européen est une filiale d'une entreprise américaine, un tribunal américain peut obliger la société mère américaine à fournir des données qu'elle a « en sa possession ou sous son contrôle », même si elles se trouvent en Europe.
- Qui détient la clé ? Si les données sont chiffrées, la question est de savoir qui peut les déchiffrer.
Le terme désignant « sous le droit de quel pays une chose relève » est la juridiction. Un serveur situé à Francfort, appartenant à une entreprise dont la société mère est établie aux États-Unis, relève donc de deux juridictions à la fois. Dans la leçon 2.1, vous apprendrez cinq questions permettant de clarifier ce point pour chaque prestataire.
Chiffrement : trois types, une seule question essentielle
Chiffrer signifie rendre des données illisibles pour quiconque ne possède pas la bonne clé. Vous entendrez parler de trois types :
| Type | Que protège-t-il ? | Qui peut y accéder ? |
|---|---|---|
| Chiffrement en transit (https, TLS) | Les données entre votre appareil et le serveur | Le prestataire voit tout dès que les données arrivent |
| Chiffrement au repos (disques chiffrés) | Les données sur les disques du datacenter, par exemple en cas de vol d'un disque | Le prestataire détient la clé et peut donc lire les données |
| Chiffrement de bout en bout (e2e) | Les données ne sont lisibles que sur vos appareils | Vous seul (et toute personne à qui vous donnez la clé) |
La question essentielle est toujours : qui gère la clé ? Pour le chiffrement en transit et au repos, c'est le prestataire. C'est nécessaire, car sinon le prestataire ne pourrait pas afficher vos fichiers dans le navigateur, les parcourir ni vous permettre de les modifier dans une suite bureautique en ligne. Cela signifie aussi que si le prestataire est contraint de fournir des données, il en a techniquement la capacité.
Le chiffrement de bout en bout résout ce problème, mais au prix d'un certain confort. Travailler ensemble sur un document dans le navigateur, effectuer des recherches dans le contenu et récupérer un mot de passe oublié deviennent alors souvent impossibles. Et si vous perdez la clé, plus personne n'est en mesure d'ouvrir vos fichiers. Pour la plupart des données d'une boulangerie, l'e2e n'est pas nécessaire ; pour un dossier contenant par exemple des dossiers du personnel, cela peut être une option à envisager.
Ce que cela signifie pour Bakkerij De Korrel
Sanne fait le point. Sa messagerie, son agenda et ses fichiers se trouvent chez une entreprise américaine. Selon le site de cette entreprise, les données sont stockées « en Europe ». Mais l'entreprise elle-même relève du droit américain, et c'est elle qui détient les clés. Ce n'est pas une raison de paniquer : rien ne s'est mal passé. Mais Sanne n'a aucune visibilité sur qui pourra y accéder à l'avenir, et elle n'a aucune influence sur les règles. C'est précisément la question que traite cette formation : voulez-vous que les choses restent ainsi, et si ce n'est pas le cas, comment changer de prestataire sans rien perdre ?
Il est important de le préciser d'emblée : un prestataire européen n'est pas automatiquement plus sûr. Un service européen mal sécurisé est pire qu'un service américain bien sécurisé. Il s'agit de deux choses à la fois : une bonne sécurité et une juridiction dont vous connaissez les règles et que vous pouvez faire contrôler par un tribunal européen.
Ceci est une explication, pas un conseil juridique.
En pratique : à quoi cela ressemble chez un prestataire
Un prestataire devrait pouvoir répondre simplement à ces questions. Chez WebOké, par exemple, cela figure dans le guide de Nextcloud : les données se trouvent dans deux datacenters néerlandais, le trafic passe par https, les disques sont chiffrés, et quiconque le souhaite peut activer le chiffrement de bout en bout pour un dossier, avec les limites que cela implique. D'autres prestataires européens proposent des pages similaires, souvent sous des noms comme « Sécurité », « Trust center » ou « Confidentialité ». Si l'information n'est nulle part, demandez-la. Un prestataire incapable de dire où se trouvent vos données et qui peut y accéder n'est pas un bon choix.
Résumé
- Le cloud, c'est l'ordinateur de quelqu'un d'autre : des serveurs dans le datacenter d'une entreprise.
- Avec le SaaS, le prestataire gère presque tout, et détient donc aussi presque tout entre ses mains.
- Outre vous-même, le prestataire, ses sous-traitants ultérieurs, les autorités publiques et des attaquants peuvent en principe accéder à vos données.
- L'emplacement du datacenter n'est qu'un niveau ; l'établissement et le propriétaire du prestataire déterminent aussi sous quel droit relèvent vos données.
- Pour le chiffrement en transit et au repos, c'est le prestataire qui détient la clé ; seul le chiffrement de bout en bout vous la laisse, au prix d'un peu de confort en moins.
Quiz
Exercice
Exercice A1.1 : Où se trouvent vos données actuellement ? Indiquez votre propre nom de domaine (ou celui de votre organisation). Le programme recherche où arrive votre messagerie (MX) et où se trouve votre site web (A/AAAA), ainsi que le propriétaire du réseau auquel appartiennent ces adresses IP. Vous indiquez au préalable quelle entreprise et quel pays vous attendez. Vous comparez ensuite.
Exercice E1.1 : Qui peut y accéder ? Choisissez un service que vous utilisez quotidiennement (messagerie, stockage ou discussion). Recherchez sur le site du prestataire où se trouvent les données, quelle entreprise est le prestataire et où elle est établie, ainsi que le type de chiffrement utilisé. Renseignez les cinq parties évoquées dans cette leçon pour ce service.
Exercice E1.1: Qui peut y accéder ?
Choisissez un service (messagerie, stockage ou chat) et recherchez les informations sur le site du prestataire.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.
- Guide Nextcloud 1.1: Qu'est-ce que Nextcloud et qu'est-ce qu'un WebOké Nextcloud ?
- Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
- Guide Nextcloud 3.9: Chiffrement de bout en bout : quand l'utiliser, quand ne pas l'utiliser
- Guide WebOké 14.3: WHOIS, recherche IP et vérificateur SSL
- NIST SP 800-145, The NIST Definition of Cloud Computing (définition du SaaS, du PaaS et de l'IaaS)