Knox Workspace reçoit la certification de l’Anssi

Une opportunité pour se distinguer sur le marché français. C’est ainsi que Samsung appréhende, dans un communiqué, la certification de premier niveau (CSPN) que l’Agence nationale pour la sécurité des systèmes d’information (Anssi) vient de lui délivrer.

Cette certification n’a pas la même valeur qu’une évaluation Critères Communs (CC), comme le précise l’agence sur son site Web qui la présente comme une alternative « lorsque le niveau de confiance visé est moins élevé » et que « le coût et la durée [de l’évaluation CC] peuvent être un obstacle ».

Avec la certification CSPN, la solution de cloisonnement des usages Knox Workspace 2.3 rejoint donc des solutions telles que TrueCrypt 7.1a, pour le stockage sécurisé, Dropbear 2012.55 pour les communications sécurisées, ou encore Teopad 1.1.06 de Thales. Le produit de Samsung est ici classé dans la catégorie des environnements d’exécution sécurisés. Il a été testé sur Galaxy Note 4 et Galaxy S5 sous Android 5.0, dans une configuration de type COPE – celle d’un appareil fourni par l’organisation à son collaborateur – et non pas BYOD.

Si les fonctionnalités d’isolation des données, de filtrage des applications, d’authentification de l’utilisateur, de gestion de l’état du conteneur, et de gestion de l’accès aux interfaces externes ont été jugées conformes, le rapport de certification attire toutefois l’attention du lecteur sur quelques bémols.

On y découvre ainsi que « des comportements limites ont été relevés mais ne remettent toutefois pas en cause la sécurité globale de la solution pour le cas d’usage considéré » à compter que certaines recommandations soient suivies.

En particulier, les auteurs du rapport souligne « une vulnérabilité potentielle » découverte à l’occasion de l’évaluation de Knox 2.3 : « après avoir initié un changement de code PIN ou de méthode d’authentification dans un conteneur, un utilisateur ayant basculé hors du conteneur peut revenir sur celui-ci sans qu’il lui soit demandé de se ré-authentifier ; il peut alors définir un nouveau code PIN ou une nouvelle méthode d’authentification sans avoir à saisir le code actuel ».

Surtout, les auteurs invitent à la « vigilance » lors de la définition des listes blanches et noirs d’applications « afin de ne pas compromettre la politique de sécurité ». Les utilisateurs sont également encouragés à la « vigilance » à l’occasion du passage d’un conteneur à une application externe : l’utilisateur reste là « authentifié dans le conteneur et un attaquant qui prendrait possession du terminal à ce moment-là pourrait accéder au contenu du conteneur sans devoir s’authentifier ». La surveillance physique du terminal s’avère donc particulièrement importante.

La remarque paraît d’autant plus pertinente que ce message de vigilance semble encore avoir du mal à passer. Ainsi, lors de l’édition 2015 du Forum International de la Cybersécurité (FIC), un membre du cabinet du ministère de l’Intérieur avait pu être observé, au milieu du public, déverrouillant son smartphone Samsung par un simple quadruple 0, durant l’allocation de Bernard Cazeneuve.