Archivage : Insurgo, ces boîtiers qui détruisent vos données

Les bandes plus difficiles à détruire qu’il n’y paraît

D’ordinaire, une entreprise à peu près consciencieuse a plusieurs méthodes pour détruire ses anciennes bandes : les démagnétiser avec un appareil qui diffuse un champ magnétique puissant et que l’on appelle en anglais un degausser, les passer à la broyeuse, les brûler dans un incinérateur. « Aucune de ces méthodes n’est réellement efficace », lance Paul Box !

Et d’énumérer les risques. « Pour démagnétiser efficacement une bande, il faut utiliser un champ magnétique deux fois plus puissant que la sensibilité magnétique de la bande. Vous n’avez aucun moyen de savoir si l’action d’un degausser a été suffisante pour effacer intégralement les données. »

« Quant à la broyeuse, elle générera des morceaux de bande longs d’environ 10 cm. Une bande LTO 7 de 2015, vendue pour une capacité brute de 2,5 To, contient typiquement 1,5 Go de données sur 10 cm. Combien de comptes en banques pensez-vous que l’on peut faire tenir sur 1,5 Go ? Une quantité suffisante pour menacer l’existence de plusieurs dizaines de grandes entreprises ! »

« Mais il y a pire. Les bandes contiennent dans leur boîtier plastique une puce avec des informations essentielles, qui n’est pas effaçable par un aimant, et qui est si petite qu’elle a peu de chances d’être détruite par la broyeuse. Lors de nos tests sur des bandes démagnétisées par un aimant, puis broyées, nous avons été en mesure de retrouver en seulement 5 secondes le nom de l’entreprise et les détails des serveurs sauvegardés. C’est plus qu’il n’en faut pour monter une cyberattaque ciblée », assure Paul Box.

Concernant l’incinération, Insurgo pointe une facture énergétique – et carbone – que plus aucune entreprise ne souhaite afficher dans son bilan comptable. Du fait des matériaux qui composent une bande, il faudrait un four qui génère une chaleur homogène d’au moins 800 degrés. Mais comme les incinérateurs classiques ont des points froids, cela serait insuffisant et des déchets plastiques subsisteraient. Déchets qu’il faudrait ensuite enterrer, ce qui n’est possible que si l’on reste en dessous d’un certain quota de déchets plastiques. Sinon, il faut payer des amendes.

« Par ailleurs, les incinérateurs n’offrent aucune traçabilité. Qui vous dit que le manutentionnaire qui ramasse vos bandes avec sa pelle va bien les jeter dans le four ? », interroge-t-il. Sans même parler de corruption, Paul Box explique que des informations stratégiques tombées par mégarde sur un tas de déchets seraient de fait à la portée de quiconque.

KIT pour recycler, SWAT pour éradiquer

Les boîtiers KIT et SWAT ressemblent à des lecteurs de bande externes classiques, si ce n’est que leur tête d’écriture a été remplacée par un puissant électro-aimant. Ils font défiler la bande pour y effacer minutieusement chaque centimètre carré. Il ne s’agit pas d’écrire des données vierges, mais de chambouler littéralement la polarisation de chaque grain magnétique à la surface de la bande. Les données mais aussi le formatage sont irrémédiablement perdus.

La puce est également vidée de toutes ses données. Toute étiquette (codes-barres, inscriptions manuscrites ou typographiques) est décollée. Ensuite, soit la bande est détruite, soit elle est recyclée. Deux options différentes conditionnées par le type d’appareil utilisé.

Sur le SWAT, l’électro-aimant est aussi large que la bande. De fait, il efface les pistes parallèles écrites par les quatre têtes d’un lecteur normal, mais aussi les servotracks, ces signaux qui zigzaguent dans l’interstice qui sépare deux pistes adjacentes et permettent aux têtes de se repérer. Sans servotrack, plus aucun lecteur traditionnel n’est capable d’écrire sur la bande. Elle peut être broyée, puis incinérée. Avec tous les problèmes écologiques que cela représente.

Sur le KIT, il n’y a pas un, mais plusieurs électro-aimants de la même taille que les quatre têtes ordinaires. Ici, seules les pistes de données sont effacées. Grâce aux servotracks restées intactes, la cartouche peut resservir. Insurgo propose de la mettre sur le circuit de l’occasion – via une autre de ses marques, la boutique en ligne eTapes – et de reverser un pourcentage de la vente à l’entreprise à qui appartenait initialement la cartouche. Le cercle est vertueux : l’entreprise client peut même comptabiliser un bénéfice carbone.

L’effacement d’une cartouche prend moins de cinq minutes sur la version 2 des boîtiers KIT et SWAT lancée en 2020. Insurgo a calculé qu’une seule personne a le temps d’insérer successivement 45 cartouches sur autant d’appareils KIT ou SWAT avant de revenir récupérer la première cartouche intégralement effacée. Selon le fournisseur, il serait ainsi possible d’effacer 900 cartouches par heure.

Le fournisseur avance un comparatif : une personne pourrait insérer successivement des cartouches dans 5 degaussers pour démagnétiser 250 cartouches par heure. Une broyeuse de supports magnétiques pourrait réduire en miettes 1 000 cartouches par heure.

LeMagIt n’a pas été en mesure de vérifier ces chiffres ni de comprendre les conditions exactes de leurs mesures.

Un processus traçable, exécuté par un personnel accrédité

Par ailleurs, les deux scénarios d’effacement vont de pair avec un système de traçabilité. Une base de données, baptisée Investigo, référence toutes les opérations effectuées sur chaque cartouche selon le numéro de série – ineffaçable – contenu dans sa puce.

« Outre les lectures faites quand les cartouches sont insérées dans nos appareils, nous disposons de scanners – des sortes de douchettes – pour lire la puce lorsqu’une cartouche est réceptionnée, déballée, déplacée, rangée, etc. », indique Paul Box.

En l’occurrence, aucune cartouche ne sort du circuit avant d’avoir été relue dans un lecteur normal, avec un logiciel de restauration de pointe, pour vérifier qu’aucun fragment de donnée n’est effectivement récupérable.

Insurgo ne vend pas ses appareils aux entreprises, mais le service qui va autour, effectué par un personnel accrédité. Outre assurer lui-même ce service (quitte à se déplacer dans les locaux d’une entreprise avec son matériel), Insurgo revend des licences d’exploitation de sa solution à des prestataires qu’il certifie.

Fondé en 2009, Insurgo revendique des clients en Europe, aux USA et en Asie. Paul Box a partagé avec LeMagIT le nom de plusieurs banques et de services publics – dont des régaliens – mais a expressément demandé qu’ils ne soient pas cités dans cet article.