Google Chrome OS change-t-il le jeu en matière de sécurité des systèmes d’exploitation ?

Le nouvel OS de Google pour les nuages, censé faire ses débuts au second semestre 2010, ne devrait pas changer à court terme la façon dont sont menées la plupart des attaques, mais il pourrait avoir des implications à grande échelle sur la façon d’approcher la sécurité si son adoption décolle. C’est en tout cas ce qu’affirme un groupe d'experts en sécurité Web.

Google a annoncé en juillet que ses ingénieurs sont occupés à concevoir un système d'exploitation léger, construit en utilisant l'architecture de son navigateur Chrome sur une version modifiée du noyau Linux. Dans une conférence de presse tenue en novembre, les ingénieurs de Google ont vanté la capacité de l'OS à isoler les processus, en les faisant s’exécuter dans un bac à sable de façon à rendre plus difficile pour les attaquants d'exécuter des logiciels malveillants de façon masquée sur l'ordinateur d'une victime. Chrome utilise également le chiffrement pour les données utilisateur stockées en cache localement, et s’appuie aussi fortement sur le nuage, l’essentiel des données et applications résidant et fonctionnant sur les serveurs de Google.

Si les ingénieurs de Mountain View utilisent un certain nombre de nouvelles techniques pour durcir le système d'exploitation contre les attaques externes, les cybercriminels ont jusqu’alors fait la preuve de leur capacité à trouver des failles même dans les codes réputés les plus sûrs, expliquent les experts en sécurité. "Il y aura de nouveaux types d'attaques et de  nouvelles questions de sécurité", explique d'emblée David Lindsay, un consultant en sécurité pour l’éditeur Cigital.

La technique du bac à sable : illusoire ?

La technique de bac à sable pour les processus de Chrome OS reprend des concepts utilisés pour le navigateur Chrome. Elle peut limiter les ressources allouées à un processus et informer un utilisateur qu’il est temps de mettre fin à un processus, lorsqu’une anomalie est détectée (comme un script utilisant trop de ressources CPU). Les ingénieurs de Google indiquent travailler sur une méthode pour appliquer ce processus de bac à sable à certains pilotes pour durcir encore un peu plus l’OS.

Lindsay compare le système d'exploitation Chrome à l'introduction du langage JavaScript dans le navigateur en 1995. Les développeurs ont réussi à créer une expérience Web plus dynamique, mais ont au passage augmenté la surface d'attaque et rendu l’impact de certains types d'injections beaucoup plus sévère. JavaScript est également conçu pour fonctionner dans son propre bac à sable. "L'objectif est de limiter les dégâts, mais les attaquants finissent toujours par trouver des façons de contourner les limitations imposées par le bac à sable", indique-t-il.

"Je pense qu’à l'avenir, la menace ne proviendra pas nécessairement d’attaques visant à sortir des limites du bac à sable, mais de ce que les hackers seront capables de faire au sein même du bac à sable, ajoute David Lindsay. Le bac à sable pourrait en effet permettre des attaques bien plus nocives que ce que l’on peut aujourd’hui réaliser dans une application Web".

"En déplaçant le système d'exploitation sur le Web, Google fait le pari que les avantages des langages de programmation modernes, la capacité de gérer de façon centralisée la sécurité et la protection des données utilisateur dans le nuage apporteront des bénéfices supérieurs aux menaces introduites par le Web", estime de son côté Jacob West, en charge du groupe sécurité chez l'éditeur Fortify Software.

S'appuyer sur les services en nuage pour "accroître" la sécurité

Jacob West explique que le système d'exploitation pourrait éventuellement centraliser la sécurité autour de la protection des données d'un utilisateur dans le nuage. Il aurait notamment un vrai potentiel de réduction des menaces provenant de vers, de pièces jointes malveillantes et de logiciels espions. Mais il n’est pas dupe : "Au cours de mes années dans le monde de la sécurité, je n'ai pas encore rencontré un cas où placer quelque chose sur le Web a amélioré la sécurité. Ce dont je suis sûr, c'est que si Google parvient pas à gagner des parts de marché, l’Internet regorge d'attaquants qui trouveront un moyen de mettre les utilisateurs de Chrome OS dans leur ligne de mire."

"Ne vous attendez-pas à un changement radical dans le paysage des menaces, affirme quant à lui Amit Klein, le directeur technique de Trusteer (société spécialisée dans la protection des postes de travail). Les postes de travail standards et les ordinateurs portables dominent toujours le marché de l'informatique personnelle et si Chrome commence à faire une percée dans les marchés du mobile ou de l'entreprise, il commencera à attirer l’attention de criminels désireux de tirer parti de sa base installée".  "Je suis sûr que de nombreux chercheurs en sécurité se penchent déjà sur le code et je pense que l’on va voir apparaître les premiers exploits rapidement", ajoute Amit Klein.

Des attaques rebondissant du PC au nuage

Une dernière piste d’attaque du système consiste à s’en prendre directement aux serveurs de Google. L’obention d’identifiants utilisateurs pourrait permettre aux cybercriminels d’avoir accès à bien plus de données dans le nuage que sur un simple PC. "Si le cloud computing et Google OS décollent, on va voir de plus en plus de cas d'usurpation d'identité, prédit Amit Klein. Je peux très bien imaginer des scénarios d’attaques en plusieurs étapes où des données volés sur un PC permettent d’obtenir des informations de compte et sont utilisées pour accéder ou compromettre des données personnelles dans le nuage".

par Robert Westervelt