Pourquoi la sauvegarde cloud nécessite une charte de confidentialité

Chaque service de sauvegarde cloud sur le marché se vantera de sa sécurité, qu'il le veuille ou non. Mais existe-t-il une norme minimale de confidentialité à laquelle nous devrions tous nous attendre lorsque nous sauvegardons nos données personnelles en ligne ? En matière de sauvegarde cloud, qu'est-ce qui constitue une bonne sécurité ? Nous avons décidé de répondre à ces questions et d'élaborer une charte que toute personne soucieuse de la vie privée devrait exiger de son fournisseur de sauvegarde.

La réponse se résume finalement au cryptage. Des problèmes de confidentialité moins quantifiables jouent également un rôle, par ex. tout enregistrement de violations commises par des pirates informatiques, cédant à la coercition des autorités, aux abus du fournisseur de sauvegarde lui-même et à la situation géographique des centres de données. Mais ces menaces ne peuvent pas être divulguées publiquement et peuvent en tout cas être annulées grâce à des pratiques de cryptage appropriées. Sans oublier que ce n’est pas parce que les serveurs d’une entreprise n’ont pas été compromis aujourd’hui qu’ils ne le seront pas demain.

Nous prônons une politique de connaissance zéro. Cela signifie que le fournisseur de sauvegarde ne voit que les paquets cryptés de fichiers téléchargés et ne peut vérifier aucune information sur ce qu'ils contiennent.

Charte de sécurité des sauvegardes Cloud Comparitech

Pour être considéré comme un service sûr et privé au sens de la Charte de Sécurité Comparitech, les fournisseurs de sauvegarde cloud doivent garantir ce qui suit :

• Protocole de cryptage AES 256 bits, AES 128 bits ou Blowfish 448 bits :Il s’agit des normes de cryptage les plus strictes disponibles pour les services de sauvegarde cloud grand public. Lorsqu’un fournisseur de sauvegarde annonce un cryptage de « qualité militaire », il en utilise un. Le cryptage 128 bits est techniquement plus faible mais devrait être plus que suffisant pour toutes les attaques modernes. S’il faut 50 ans pour forcer brutalement 128 bits et 1 000 ans pour 256 bits, la différence n’a pas vraiment d’importance. Le 256 bits est plus évolutif, et les différences entre celui-ci et le 128 bits pourraient devenir plus apparentes avec l’avènement de l’informatique quantique, mais c’est encore loin. La majorité des fournisseurs de sauvegarde cloud proposent l'un de ces types de cryptage, mais pas tous.

• Cryptage SSL :Les normes de cryptage ci-dessus sont utilisées pour les données stockées sur le serveur cloud, mais lorsque les données sont toujours transférées vers le serveur depuis l'ordinateur d'origine, il existe SSL. Il s’agit du même cryptage utilisé sur les URL précédées de « https ». La plupart des sites de commerce électronique comme Amazon utilisent SSL pour protéger les détails de la carte de crédit des acheteurs lors du processus de paiement. De nos jours, presque tous les fournisseurs de sauvegarde cloud utilisent SSL.

• Le chiffrement a lieu sur la machine locale :Lorsque les données sont sauvegardées sur le cloud, il est préférable qu’elles soient cryptées sur la machine locale avant d’être envoyées au serveur, même si elles sont protégées par SSL. De cette façon, les données des utilisateurs ne restent jamais non cryptées sur le serveur cloud, même pendant une seconde. L'inverse est également vrai lors d'une restauration : les données doivent être déchiffrées sur l'ordinateur local, et non sur le serveur. Il peut être difficile de savoir si un fournisseur fait cela ou non, car ce n’est pas quelque chose dont il fait généralement la publicité. Certains transfèrent les données sur leurs serveurs et les chiffrent après coup. Les utilisateurs devront peut-être se renseigner auprès du service client pour le savoir.

• Définir une clé privée :Même si les données sont cryptées selon les normes les plus élevées, cela ne fait aucune différence si quelqu'un d'autre a accès à la clé de cryptage, qui est essentiellement un mot de passe permettant de déchiffrer toutes les données utilisateur. Les services de sauvegarde devraient offrir la possibilité de définir une clé de cryptage privée plutôt que d’utiliser la clé de l’entreprise. Cette option signifie que personne, à l'exception de l'utilisateur, ne peut décrypter ses données, pas même le fournisseur qui les héberge. Si des pirates piratent les serveurs, les données des utilisateurs sont en sécurité. Si les autorités contraignent l'entreprise à renoncer à l'accès à leurs serveurs, les données des utilisateurs sont en sécurité. La définition d’une clé de cryptage privée place la sécurité de votre sauvegarde uniquement entre vos mains. Gardez simplement à l’esprit que si la clé est perdue, les données ne pourront jamais être déchiffrées. De plus, les utilisateurs doivent faire très attention à ne pas divulguer la clé à quelqu'un d'autre, alors assurez-vous de ne pas la stocker en clair sur votre appareil et que votre antivirus est à jour.

• En plus de toutes ces normes de chiffrement, il est également important que le fournisseur de sauvegardepossède des centres de données physiques privéspar opposition à la location d'espace rack ou d'espace serveur virtuel. Cela empêche des tiers d’entrer potentiellement dans l’équation.

• Les métadonnées ne sont pas accessibles.Outre le fait que les données elles-mêmes soient cryptées, personne d'autre que l'utilisateur ne devrait avoir accès aux informations sur ces données. Les noms de fichiers, la taille, la structure des répertoires et les dates de création des fichiers sont des exemples de métadonnées qui doivent être laissées hors de portée du fournisseur de sauvegarde.
• Enfin, les fournisseurs de cloud doiventgarantir que personne, à l’exception de l’utilisateur, ne puisse accéder aux données de cet utilisateur. Les employés de l'entreprise ne peuvent pas y accéder. Une sécurité suffisante est en place pour que les pirates ne puissent pas y pénétrer. Et les représentants du gouvernement ne peuvent y accéder qu’avec un mandat. Cette dernière solution est peut-être la plus difficile à réaliser, car les gouvernements du monde entier poussent les entreprises technologiques à autoriser les portes dérobées à consulter les données des utilisateurs. L’échec et l’avenir incertain du Safe Harbor rendent cette promesse encore plus difficile à tenir. En fin de compte, cela rend le fournisseur de cloud lui-même responsable de la protection des données des utilisateurs.

Fournisseurs de sauvegarde qui répondent à la norme de confidentialité

Pour faciliter un peu votre recherche, nous avons compilé une liste de fournisseurs de sauvegarde et de stockage cloud qui sont à la hauteur et répondent à toutes les normes de cryptage répertoriées ci-dessus. Les voici, sans ordre particulier.

• Carbonite – lisez notre critique
• IBackup – lisez notre critique
• IDrive – lisez notre critique
• Crashplan – lisez notre critique
• Chêne araignée
• Ouah
• Trésorit

Cette liste n’est en aucun cas exhaustive et si vous avez d’autres suggestions, faites-le nous savoir dans les commentaires. Si vous souhaitez continuer à utiliser un service de sauvegarde cloud qui ne répond pas à nos standards mais que vous souhaitez ajouter une couche de cryptage, consultez notre article sur les meilleures applications pour crypter vos données avant de les télécharger sur le cloud .

Nous pensons que cette charte est parfaitement réalisable et raisonnable pour les fournisseurs de sauvegarde cloud. Pour beaucoup, ce serait une amélioration, mais il n’existe pas de solution parfaite. Les professionnels de l'informatique ont souligné que les systèmes de chiffrement comme ceux-ci il y a encore des trous , mais les alternatives pourraient être tout aussi risquées. C'est pourquoi il est toujours important de créer et protéger des mots de passe forts .

' Verrouillage du système ' par Youri Samoilov sous licence CC PAR 2.0