Huit pratiques de référence pour protéger les données sous iOS

Faire des choix matériels éclairés

La sécurité des terminaux Apple s’améliore avec chaque nouvelle version d’iOS. Mais c’est souvent intimement lié à des capacités matérielles spécifiques. Par exemple, les appareils iOS dotés d’un processeur A7 ou plus récent disposent d’une enclave sécurisée. Celle-ci assure la protection du terminal à sa mise en route, en vérifiant que le système d’exploitation est authentique et en veillant en continu à l’intégrité des mécanismes de protection des données, y compris en cas de compromission du noyau de l’OS.

Rafraîchir iPhone et iPad à intervalles réguliers – et encourager les utilisateurs de terminaux personnels à faire de même – peut aider à dépasser certaines faiblesses matérielles connues et à renforcer la plateforme sur laquelle s’appuient nombre d’applications et de services métiers.

Maintenir à jour OS et applications

Les menaces mobiles mettent à profit des vulnérabilités présentes dans les applications et le système d’exploitation. La DSI doit donc veiller à combler les éventuelles failles le plus vite possible. Et cela se traduit par l’installation rapide des mises à jour proposées par Apple et les éditeurs d’applications mobiles. Le groupe propose régulièrement des correctifs, notifiant notamment les utilisateurs sur leurs terminaux.

La DSI devrait encourager les utilisateurs à installer ces mises à jour et utiliser une solution de gestion de la mobilité d’entreprise (EMM) pour vérifier la mise en œuvre de cette pratique. Jusqu’à éventuellement placer en quarantaine les appareils fonctionnant avec des versions obsolètes du système d’exploitation ou de certains logiciels critiques. Là, une solution de gestion des applications mobiles (MAM) peut aider à assurer la mise à jour régulière des applications métiers.

Activer le chiffrement

Les terminaux iOS peuvent protéger les données au repos en s’appuyant sur un chiffrement AES assortis de clés sur 256 bits liées à l’identifiant unique du terminal. Ce dernier est défini à la fabrication.

La DSI peut prévenir la copie, la modification ou encore le déchiffrement du système de fichier et des composants de stockage en associant les données à chaque terminal. Définir un mot de passe pour le terminal permet d’activer cette protection pour tous les fichiers stockés, en plus de mécanismes de protection spécifiques aux applications.

Combiner Touch ID et mot de passe robuste

Les mécanismes de protection les plus robustes sont sans objet avec des mots de passe trop simples. Pourtant, ces derniers continuent de prévaloir parce que la simplicité d’utilisation est essentielle sur des appareils mobiles. Mais Apple a récemment rallongé les codes de verrouillage par défaut, à six chiffres, et ajouté Touch ID pour simplifier le quotidien des utilisateurs.

Certaines applications peuvent d’ailleurs utiliser Touch ID comme second facteur d’authentification. Mais la robustesse de la protection des données continue de dépendre de celle du mot de passe. Celui-ci reste requis au démarrage et après 5 tentatives infructueuses d’authentification via Touch ID, ou encore 48h d’inactivité.

Activer l’effacement à distance

L’effacement d’un terminal iOS détruit la clé de chiffrement de son système de fichiers : les fichiers sont chiffrés deviennent illisibles. Pour protéger contre la perte ou le vol de terminaux, la DSI devrait exiger un mot de passe ou le recours à Touch ID après un bref délai, activer l’effacement de donnée automatique après plusieurs échecs d’authentification (10 par défaut), et enfin activer la fonction Trouver mon iPhone pour permettre à l’utilisateur de lancer une localisation, un verrouillage à distance, ou encore un effacement.

L’EMM pour un contrôle plus granulaire

Enrôler tous les terminaux iOS utilisés à des fins professionnelles dans un système d’EMM permet à la DSI de configurer des politiques à distance, de surveiller les appareils, et de faire appliquer des mécanismes natifs du système d’exploitation.

Par exemple, la DSI peut utiliser l’EMM pour forcer l’usage de codes de verrouillage d’un niveau de complexité défini par ses politiques internes, mais également configurer les délais d’inactivité conduisant au verrouillage automatique, le nombre d’essais de saisie du mot de passe, ou encore verrouiller et effacer à distance des terminaux enrôlés.

Dans de nombreux cas, toutefois, les entreprises ne veulent pas effacer complètement les appareils, mais seulement leurs données métiers. Pour cela, la DSI peut utiliser l’EMM pour annuler l’enrôlement d’un terminal iOS et provoquer automatiquement la suppression de tous les éléments de configuration internes, ainsi que les données et applications corporates.

Eviter et détecter le jailbreak

Les terminaux iOS ne peuvent exécuter que des applications signées numériquement avec un certificat validé, comme ceux fournis par Apple aux développeurs. Les terminaux jaibreakés peuvent contourner ce mécanisme de protection – ainsi que d’autres. De quoi ouvrir la voie à l’exécution d’application non autorisées et potentiellement malveillantes et, de là, à la compromission de données internes sensibles.

La DSI peut réduire ce risque en définissant une règle qui interdit ce processus sur les terminaux administrés. Elle doit pour cela recourir à un outil d’EMM capable de détecter les appareils jailbreakés, et de les placer en quarantaine – voire de les effacer automatiquement.

Assurer la protection continue des données

Les pratiques de référence de protection des données pour iOS décrites ci-dessus s’appliquent au données au repos. Mais il est également important de chiffrer les données en mouvement. Par exemple, les sauvegardes de terminaux iOS peuvent être chiffrées. Et il revient à la DSI de s’en assurer – ainsi que de la robustesse des mots de passe utilisés pour cela. En outre, le service informatique peut mettre à profiter des fonctionnalités telles que l’activation d’une connexion VPN à la demande, ou en permanence, pour éviter que les données métiers ne transitent sans protection.

Contrôler le transfert vers les applications tierces

Enfin, si les applications iOS sont isolées les unes des autres, dans des bacs à sable, elles peuvent échanger des données, via des API système. Ce qui signifie que les données métiers non protégées peuvent être exposées à des risques : par exemple, une application d’entreprise peut autoriser l’ouverture de fichiers avec une application tierce, ou encore l’utilisation de claviers tiers.

Pour éviter cela, la DSI peut utiliser un outil d’EMM avec de configurer des règles d’échange de données avec des applications tierces et, ainsi, protéger les flux de données entre applications administrées – celles installées avec l’EMM – et les autres – celles installées par les utilisateurs.

Enfin, la DSI peut décider de contrôler l’utilisation de certaines fonctionnalités du terminal, ou de périphériques. En somme, il ne s’agit pas uniquement de protéger les données au repos, mais également de penser à où les données peuvent migrer et comment les bloquer.

Adapté de l’anglais.