BYOD : comment effacer à distance des terminaux iOS et Android

Pourquoi effacer un terminal verrouillé et chiffré ?

Un terminal mobile perdu expose tant l’entreprise que l’employé aux risques de vol d’identité et de données. Verrouiller un terminal avec un code PIN ou un mot de passe permet de limiter le risque de perte de données occasionnelle. Mais ce n’est pas suffisant pour empêcher les criminels ou les forces de l’ordre d’utiliser des outils d’investigation pour collecter les données stockées dans la mémoire flash. Par exemple, une personne en possession d’un iPhone perdu peut utiliser F/OSS Lantern Lite - un outil open source d’imagerie pour terminaux iOS - connecter l’appareil, le passer en mode DFU, et récupérer l’intégralité de ses données. De là, des outils dédiés peuvent être utilisés pour récupérer des fichiers effacés et casser des mots de passe courts. Des outils d’investigation comparables existent pour Android et BlackBerry.

L’effacement à distance aide à gérer le risque de perte de données. On peut être tenté d’imaginer que l’effacement à distance est un moyen facile d’effacer tous les fichiers de l’utilisateur de la mémoire flash. Mais de nombreux appareils supportent plus d’un type d’effacement. L’un d’entre eux permet de supprimer les applications et fichiers d’entreprise installés par une solution de MDM, quand l’autre permet d’effacer tout le contenu sans le moindre discernement. Pour autant, ce dernier type d’effacement peut ne pas réellement tout effacer…

Du retour à l’état en sortie d’usine à l’effacement destructif

Pour effacer les terminaux iOS, une commande peut être invoquée localement comme à distance pour effacer tout le contenu et les réglages. Elle provoque également une écriture en écrasement sur la clé de chiffrement stockée sur le terminal, rendant  illisible tout le contenu enregistré dans la partition utilisateur du système de fichier chiffré. Mais l’appareil doit être joignable pour que l’outil de MDM ou iCloud puisse invoquer à distance cette commande.

L’effacement peut également être auto-invoqué après plusieurs tentatives infructueuses de saisie du mot de passe de verrouillage. Mais une personne en possession d’un terminal iOS déconnecté d’Internet peut aisément éviter son effacement à distance avant d’avoir réussi à en récupérer le contenu.

Sur les terminaux Android, une commande de remise à l’état d’usine peut être invoquée pour réinitialiser tous les réglages, supprimer les applications et les données associées, ainsi que les e-mails, messages et autres détails de contacts stockés dans la mémoire flash. Mais celle-ci n’est pas écrasée : toute donnée qui n’a pas été chiffrée peut être récupérée dans un processus d’enquête. Qui plus est, les données stockées sur une carte SD sont susceptibles de ne pas être supprimées, suivant le modèle de l’appareil. Si la mémoire flash était chiffrée, l’efficacité de l’effacement dépend de la manière dont sont gérées les clés de chiffrement. Enfin, comme iOS, Android supporte l’effacement automatique après un certain nombre de tentatives infructueuses de saisie du mot de passe de verrouillage. Mais là encore, le contenu des terminaux déconnectés d’Internet peut être siphonné avant son effacement.

Sur les terminaux BlackBerry, les utilisateurs peuvent invoquer la fonction d’effacement de sécurité pour sélectivement effacer données d’applications, applications personnelles, et/ou contenus de la carte SD. Les administrateurs peuvent invoquer à distance une commande qui efface toutes les données utilisateur, les références aux clés de chiffrement, les informations d’authentification pour les mémoires volatile et non-volative, la mémoire flash, et la mémoire intégrée. Lorsqu’un BlackBerry est réinitialisé à ses réglages d’usine, les références aux hashes du mot de passe sont également supprimées, ainsi que les applications tierces et leurs données. Sur les appareils configurés pour chiffrer leur contenu, un effacement de la mémoire conforme aux recommandations du NIST peut être opéré pour interdire toute récupération des données. Enfin, BlackBerry supporte des règles de protection plus étendues qu’iOS et Android, avec notamment un délai d’effacement automatique après réception d’une politique de sécurité, un délai d’effacement sécurisé après verrouillage, ou encore l’effacement sécurisé en cas de batterie faible. Les deux derniers permettent notamment de déclencher l’effacement automatique de terminaux déconnectés et perdus depuis un certain temps.

Au-delà de l’effacement à distance

Cette compréhension de la manière dont fonctionne l’effacement à distance conduit à une conclusion : aucune entreprise ne devrait en faire sa seule protection contre une éventuelle fuite de données. L’effacement à distance est conçu pour compléter d’autres mesures de sécurité, dont la robustesse affecte significativement l’efficacité globale des protections. Des capacités d’effacement à distance doivent donc être complétées par d’autres tactiques.

A commencer par un mot de passe robuste. Ne pas verrouiller les terminaux laisse les données vulnérables à un accès immédiat par des étrangers. Mais un PIN court n’offre pas une bien meilleure protection.

La protection par mot de passe devrait en outre être associée à un chiffrement complet du terminal. Celle-ci n’est pas complètement infaillible, mais faire l’impasse laisse le système de fichiers du terminal ouvert à tous les regards indiscrets.

Et malgré tout, il convient de faire attention aux données laissées sur le terminal après son effacement. Ainsi, si le smartphone Android d’un collaborateur supporte le chiffrement et l’effacement à distance de la carte SD, activez ces options. Et si les employés sauvegardent eux-mêmes leurs terminaux sur leurs portables, assurez-vous que ces sauvegardes sont chiffrées. Si les sauvegardes sont faites sur un service Cloud, comme iCloud, il faut être bien conscient qu’elles seront épargnées par l’effacement à distance et resteront indéfiniment accessibles.

Ajouter une autre couche de chiffrement peut s’avérer tout aussi utile, notamment pour protéger des données sensibles contre un effacement à distance infructueux ou une opération d’investigation poussée. Lors du déploiement de fichiers d’entreprise sur des terminaux mobiles, il convient donc d’utiliser un conteneur sécurisé. Et les données d’applications développées en interne doivent être chiffrées. En prenant soin de gérer convenablement les clés de chiffrement.

Enfin, des services tels que Find My iPhone d’Apple, ou son équivalent signé Samsung, permettent aux employés d’avoir une chance de retrouver rapidement un appareil perdu ou volé et, ainsi, de protéger leurs données personnelles.