{"id":86903,"date":"2022-07-18T09:00:03","date_gmt":"2022-07-18T07:00:03","guid":{"rendered":"https:\/\/blog.wildix.com\/secure-video-conferencing-best-practices-2022\/"},"modified":"2022-07-22T17:53:01","modified_gmt":"2022-07-22T15:53:01","slug":"meilleures-pratiques-videoconference-securisee-2022","status":"publish","type":"post","link":"https:\/\/blog.wildix.com\/fr\/meilleures-pratiques-videoconference-securisee-2022\/","title":{"rendered":"Vid\u00e9oconf\u00e9rence s\u00e9curis\u00e9e : Comment se r\u00e9unir en toute s\u00e9curit\u00e9 et en toute confidentialit\u00e9"},"content":{"rendered":"

[vc_row][vc_column][vc_single_image source=\u00a0\u00bbfeatured_image\u00a0\u00bb img_size=\u00a0\u00bbfull\u00a0\u00bb][\/vc_column][\/vc_row][vc_row][vc_column][vc_column_text]De nos jours, rares sont les bureaux qui ne disposent pas d’une plateforme de vid\u00e9oconf\u00e9rence, quelle qu’elle soit. Mais ce que beaucoup de lieux de travail oublient, c’est que la s\u00e9curit\u00e9 de la vid\u00e9oconf\u00e9rence est tout aussi essentielle que la s\u00e9curit\u00e9 des conf\u00e9rences t\u00e9l\u00e9phoniques, des emails ou de toute autre forme de communication \u00e0 distance.
\n
\nBien qu’il soit essentiel de s\u00e9curiser vos conversations vid\u00e9o, il est rarement facile de mettre en \u0153uvre la s\u00e9curit\u00e9. De nombreuses entreprises sont tent\u00e9es de se contenter de superposer apr\u00e8s coup des mesures de s\u00e9curit\u00e9 telles que des pare-feu ou des mots de passe suppl\u00e9mentaires sur les outils Web. Cependant, dans la pratique, il s’agit d’obstacles assez simples \u00e0 franchir pour les hackers, et une fois qu’ils sont franchis, les organisations se retrouvent sans protection contre l’acc\u00e8s illicite aux communications professionnelles priv\u00e9es et m\u00eame aux donn\u00e9es des utilisateurs. M\u00eame pour les petites entreprises, des attaques de ce type peuvent \u00eatre d\u00e9vastatrices, entra\u00eenant \u00e0 la fois une perte de revenus imm\u00e9diate et une forte d\u00e9gradation de la r\u00e9putation.<\/p>\n

L’essentiel d’un service de vid\u00e9oconf\u00e9rence s\u00e9curis\u00e9 ne r\u00e9side pas dans de simples ajouts ou outils superpos\u00e9s. En effet, si la protection n’est pas directement int\u00e9gr\u00e9e au service, les conf\u00e9rences t\u00e9l\u00e9phoniques que vous organisez sur le Web ne seront pas r\u00e9ellement s\u00e9curis\u00e9es.<\/p>\n

Mais \u00e0 quoi ressemble cette s\u00e9curit\u00e9 int\u00e9gr\u00e9e ? Nous allons l’expliquer ici en pr\u00e9sentant la technologie n\u00e9cessaire pour assurer la s\u00e9curit\u00e9 des vid\u00e9oconf\u00e9rences. Pour une meilleure protection, nous passerons \u00e9galement en revue plusieurs bonnes pratiques en mati\u00e8re de s\u00e9curit\u00e9 des vid\u00e9oconf\u00e9rences.<\/p>\n

Mots de passe<\/strong><\/h2>\n

Le moyen le plus direct pour un hacker d’obtenir un acc\u00e8s non autoris\u00e9 aux appels vid\u00e9o est de se connecter. Si les mots de passe des utilisateurs sont trop simplistes ou communs, ce ne sera qu’une question de temps avant qu’un cyber-attaquant ne devine simplement les informations d’identification correctes.<\/p>\n

C’est pourquoi toute plateforme de visioconf\u00e9rence s\u00e9curis\u00e9e doit exiger des utilisateurs qu’ils cr\u00e9ent des mots de passe suffisamment longs et uniques, en particulier des mots de passe comportant des lettres, des chiffres et des caract\u00e8res sp\u00e9ciaux diff\u00e9rents. Comme tout responsable informatique peut vous le dire, il y aura toujours des employ\u00e9s qui utiliseront des mots de passe trop simples ou trop \u00e9vidents lors de la cr\u00e9ation d’un compte. Pour lutter contre ce ph\u00e9nom\u00e8ne, un service de t\u00e9l\u00e9conf\u00e9rence s\u00e9curis\u00e9 doit carr\u00e9ment rejeter ces mots de passe comme \u00e9tant insuffisants et demander aux utilisateurs d’en cr\u00e9er de plus longs.<\/p>\n

\"Video<\/p>\n

Toutefois, le fait d’exiger des mots de passe longs et complexes ne cr\u00e9e pas en soi un environnement de conf\u00e9rence Web s\u00e9curis\u00e9. Apr\u00e8s tout, les bases de donn\u00e9es de mots de passe sont fr\u00e9quemment pirat\u00e9es et divulgu\u00e9es sur le dark web, donnant acc\u00e8s aux hackers tout aussi facilement.<\/p>\n

Heureusement, les bases de donn\u00e9es de mots de passe peuvent \u00eatre s\u00e9curis\u00e9es par le cryptage du fournisseur de logiciels. En appliquant une m\u00e9thode de cryptage – en particulier, SHA512 et la cryptographie saline (salt cryptography) – les mots de passe stock\u00e9s dans les bases de donn\u00e9es sont rendus illisibles par tous, sauf par le syst\u00e8me, gr\u00e2ce \u00e0 un codage complexe. Cela permet de garantir que, m\u00eame en cas de violation de la base de donn\u00e9es, les donn\u00e9es r\u00e9elles seront illisibles et donc inutilisables pour les hackers.<\/p>\n

Authentification unique et authentification \u00e0 deux\u00a0facteurs<\/strong><\/h2>\n

Toutefois, dans certains cas, les mots de passe complexes peuvent faire obstacle \u00e0 la s\u00e9curit\u00e9 des conf\u00e9rences Web. Les mots de passe longs sont, de par leur conception, difficiles \u00e0 retenir, et les utilisateurs peuvent donc les \u00e9crire ou les enregistrer dans des endroits peu s\u00fbrs pour s’en souvenir. En outre, le fait de n’exiger que des mots de passe longs pour se connecter laisse toujours ouverte la possibilit\u00e9 – aussi infime soit-elle – qu’un hacker puisse deviner les informations d’identification d’un utilisateur et s’introduire par force brute.<\/p>\n

Une r\u00e9ponse efficace \u00e0 ce probl\u00e8me est l’authentification unique (SSO). Au lieu de demander un nouveau mot de passe pour s\u00e9curiser votre logiciel de vid\u00e9oconf\u00e9rence, l’authentification unique permet aux utilisateurs de se connecter \u00e0 l’aide d’un compte existant, par exemple via Google ou Microsoft. Cela permet aux utilisateurs de r\u00e9utiliser un mot de passe complexe d’un compte tout en b\u00e9n\u00e9ficiant d’une connexion s\u00e9curis\u00e9e pour un logiciel suppl\u00e9mentaire.<\/p>\n

Une s\u00e9curit\u00e9 suppl\u00e9mentaire peut \u00eatre ajout\u00e9e aux proc\u00e9dures de connexion gr\u00e2ce \u00e0 l’authentification \u00e0 deux facteurs (2FA). Dans ce cas, une connexion r\u00e9ussie ne donne pas imm\u00e9diatement acc\u00e8s \u00e0 un compte. Les utilisateurs doivent alors saisir un code envoy\u00e9 \u00e0 leur adresse \u00e9lectronique ou \u00e0 leur num\u00e9ro de t\u00e9l\u00e9phone, ou un code g\u00e9n\u00e9r\u00e9 par une application d’authentification. Cette \u00e9tape suppl\u00e9mentaire n\u00e9cessitant l’acc\u00e8s \u00e0 un appareil ou \u00e0 un compte suppl\u00e9mentaire, elle r\u00e9duit consid\u00e9rablement les risques de connexion non autoris\u00e9e.<\/p>\n

\"Secure<\/p>\n

Cryptage<\/strong><\/h2>\n

Cependant, les hackers sont g\u00e9n\u00e9ralement conscients de la difficult\u00e9 d’acc\u00e9der directement aux comptes et se laisseront rarement arr\u00eater par ces seules mesures. Lorsque les tentatives de connexion \u00e9chouent, les hackers tentent le plus souvent d’intercepter secr\u00e8tement les vid\u00e9oconf\u00e9rences, un peu comme on met un t\u00e9l\u00e9phone sur \u00e9coute pour l’\u00e9couter secr\u00e8tement.<\/p>\n

Le moyen le plus efficace d’emp\u00eacher cela est d’utiliser un logiciel de vid\u00e9oconf\u00e9rence crypt\u00e9. Le cryptage, comme nous l’avons dit, brouille les donn\u00e9es de mani\u00e8re \u00e0 les rendre illisibles pour les utilisateurs non autoris\u00e9s ; plus la m\u00e9thode de cryptage est sophistiqu\u00e9e, plus il est difficile de d\u00e9chiffrer les donn\u00e9es.<\/p>\n

Bien que les chats vid\u00e9o utilisent des \u00e9l\u00e9ments audio et visuels, et non simplement du texte, il est tout \u00e0 fait possible de s\u00e9curiser les conf\u00e9rences t\u00e9l\u00e9phoniques en utilisant les m\u00eames m\u00e9thodes de cryptage. L’une des plus fiables est le protocole SRTP (Secure Real-Time Transport Protocol), qui utilise \u00e0 la fois une cl\u00e9 de chiffrement al\u00e9atoire pour les m\u00e9dias et un moyen int\u00e9gr\u00e9 d’authentification des messages \u00e9chang\u00e9s. Cette combinaison d’approches emp\u00eache l’interception des vid\u00e9os ou leur falsification par des hackers.<\/p>\n

Le SRTP peut \u00eatre rendu encore plus s\u00fbr par l’utilisation du protocole DTLS (Datagram Transport Layer Security). Il s’agit d’un protocole qui superpose aux messages un cryptage suppl\u00e9mentaire si complexe qu’il ne peut \u00eatre d\u00e9chiffr\u00e9 qu’\u00e0 l’aide de la cl\u00e9 originale du code. Cette approche est ensuite pouss\u00e9e un peu plus loin en partageant cette cl\u00e9 uniquement avec le ou les autres participants \u00e0 l’appel vid\u00e9o, et non avec un serveur ou une autorit\u00e9 centrale, qui pourrait \u00eatre pirat\u00e9. Toutes ces mesures combin\u00e9es assurent la s\u00e9curit\u00e9 sur une base directe de point \u00e0 point pour une protection encore plus grande.<\/p>\n

WebRTC<\/strong><\/h2>\n

Un \u00e9l\u00e9ment souvent m\u00e9connu de la conf\u00e9rence Web s\u00e9curis\u00e9e est le WebRTC, une technologie d’\u00e9change de m\u00e9dias con\u00e7ue pour partager des communications directement au sein des navigateurs Web. En plus d’\u00eatre un composant important pour les transferts de m\u00e9dias en temps r\u00e9el, le WebRTC est vital pour obtenir la plateforme de vid\u00e9oconf\u00e9rence la plus s\u00e9curis\u00e9e possible gr\u00e2ce \u00e0 ses protocoles de s\u00e9curit\u00e9 int\u00e9gr\u00e9s.<\/p>\n

L’une des plus importantes de ces caract\u00e9ristiques de s\u00e9curit\u00e9 est \u00e9galement fondamentale pour le WebRTC : le fait qu’il fonctionne directement dans le navigateur sans plugins suppl\u00e9mentaires. Par cons\u00e9quent, le WebRTC et tout logiciel de vid\u00e9oconf\u00e9rence associ\u00e9 seront mis \u00e0 jour \u00e0 la derni\u00e8re version d\u00e8s que vous mettrez \u00e0 jour votre navigateur. L’installation des derniers protocoles de s\u00e9curit\u00e9 est donc nettement plus rapide et permet d’\u00e9viter les piratages li\u00e9s \u00e0 des vuln\u00e9rabilit\u00e9s ou \u00e0 des exploits du syst\u00e8me.<\/p>\n

\"Secure<\/p>\n

En outre, comme le WebRTC s’ex\u00e9cute directement dans le navigateur sans aucune installation sur les appareils, il existe s\u00e9par\u00e9ment de l’architecture num\u00e9rique de cet appareil. Cela est essentiel pour la s\u00e9curit\u00e9, car cette configuration signifie que le WebRTC n’est pas affect\u00e9 par les programmes ou les vuln\u00e9rabilit\u00e9s install\u00e9s sur l’appareil ; les logiciels espions, les virus ou les entr\u00e9es d\u00e9rob\u00e9es similaires que les hackers peuvent essayer de cr\u00e9er pour obtenir un acc\u00e8s ill\u00e9gitime ne peuvent pas atteindre la technologie du navigateur et n’affecteront donc pas une plateforme bas\u00e9e sur le WebRTC.<\/p>\n

Cela s’ajoute aux mesures de s\u00e9curit\u00e9 que le WebRTC met en \u0153uvre par conception. En effet, il est dot\u00e9 d’un cryptage complet de bout en bout via DTLS et SRTP, ce qui signifie que les discussions en ligne utilisant le WebRTC passent par un logiciel de vid\u00e9oconf\u00e9rence crypt\u00e9. Le WebRTC \u00e9tablit \u00e9galement des connexions directes entre navigateurs pour les transferts de donn\u00e9es, plut\u00f4t que de se connecter \u00e0 un serveur central, ce qui r\u00e9duit encore le risque d’interception des m\u00e9dias.<\/p>\n

Contr\u00f4le du syst\u00e8me<\/strong><\/h2>\n

Toutes ces mesures de s\u00e9curit\u00e9 doivent toutefois aller de pair avec un moyen de visualiser les menaces potentielles ou r\u00e9elles, sans quoi les utilisateurs n’auront aucun moyen de comprendre les \u00e9ventuelles vuln\u00e9rabilit\u00e9s du syst\u00e8me.<\/p>\n

Cette exigence est en fait assez simple \u00e0 confirmer dans un logiciel : le syst\u00e8me doit simplement disposer d’un outil ou d’une API permettant de consigner les instances auxquelles il a \u00e9t\u00e9 acc\u00e9d\u00e9, et cet outil doit \u00eatre facilement accessible aux techniciens locaux. C’est encore mieux si le syst\u00e8me comprend un moyen d’alerter les conseillers en s\u00e9curit\u00e9 si l’une de ces entr\u00e9es semble ill\u00e9gitime, bien s\u00fbr – mais plus important encore, il est carr\u00e9ment vital que cet outil \u00e9mette des alertes automatiques aux administrateurs du syst\u00e8me lorsqu’il d\u00e9tecte des intrusions compl\u00e8tes.<\/p>\n

De toute \u00e9vidence, cela s’explique en grande partie par le fait que les techniciens doivent \u00eatre imm\u00e9diatement inform\u00e9s de tout piratage d\u00e8s qu’il se produit afin de s\u00e9curiser \u00e0 nouveau le syst\u00e8me et de corriger les vuln\u00e9rabilit\u00e9s. Mais il est \u00e9galement important d’avoir une surveillance constante du syst\u00e8me pour rester vigilant face aux attaques en masse du syst\u00e8me, connues sous le nom d’attaques par D\u00e9ni De Service distribu\u00e9 (DDoS). Bien qu’un syst\u00e8me de visioconf\u00e9rence s\u00e9curis\u00e9 soit en mesure de pr\u00e9venir ces attaques d\u00e8s le d\u00e9part en bloquant simplement l’exc\u00e8s de trafic provenant des adresses IP \u00e0 l’origine de l’attaque, il est n\u00e9anmoins essentiel que les administrateurs s’en rendent compte imm\u00e9diatement. Un retard dans la visualisation ou le signalement de ces menaces ne fait que laisser la possibilit\u00e9 aux hackers de r\u00e9\u00e9valuer leur plan d’attaque et de revenir avec des m\u00e9thodes plus efficaces.<\/p>\n

Les outils int\u00e9gr\u00e9s pour cette surveillance sont essentiels ; pour une efficacit\u00e9 maximale, ils doivent inclure des ensembles de donn\u00e9es et des ventilations statistiques de la nature des tentatives d’acc\u00e8s. Il serait encore mieux que le syst\u00e8me prenne en charge l’int\u00e9gration avec des outils de surveillance externes (par exemple, Zabbix). L’essentiel est que, sans mesures permettant d’examiner les tentatives d’acc\u00e8s et les intrusions r\u00e9ussies, il sera impossible de modifier et d’am\u00e9liorer les mesures de s\u00e9curit\u00e9 actuelles.<\/p>\n

Outils de mod\u00e9ration<\/strong><\/h2>\n

Jusqu’\u00e0 pr\u00e9sent, nous avons abord\u00e9 les outils permettant d’\u00e9viter les piratages et l’interception des donn\u00e9es. Ces outils sont tous inestimables pour les entreprises, mais ils sont loin d’\u00eatre les seuls n\u00e9cessaires \u00e0 la s\u00e9curisation des r\u00e9unions vid\u00e9o. Apr\u00e8s tout, il est non seulement possible, mais aussi tr\u00e8s courant, que des cyber-attaquants s’introduisent dans des appels Web et perturbent les proc\u00e9dures (une pratique commun\u00e9ment appel\u00e9e \u201cZoombombing<\/a>\u201d).<\/p>\n

Pour \u00e9viter de telles perturbations, une plateforme de vid\u00e9oconf\u00e9rence s\u00e9curis\u00e9e doit \u00e9galement disposer d’outils permettant de limiter l’acc\u00e8s aux conf\u00e9rences t\u00e9l\u00e9phoniques, ainsi que d’outils permettant de contr\u00f4ler les appels eux-m\u00eames.<\/p>\n

L’une des mesures de protection les plus courantes consiste \u00e0 d\u00e9finir un mot de passe pour les conf\u00e9rences, ce qui permet en th\u00e9orie d’exclure les invit\u00e9s ind\u00e9sirables. Pour les petites conf\u00e9rences ou les \u00e9v\u00e9nements internes, cela peut \u00eatre un moyen essentiel de garantir la confidentialit\u00e9.<\/p>\n

Pour les conf\u00e9rences plus importantes, cependant, les mots de passe sont presque toujours partag\u00e9s avec les invitations aux r\u00e9unions, ce qui signifie que des mesures de s\u00e9curit\u00e9 suppl\u00e9mentaires doivent \u00eatre disponibles. L’une de ces m\u00e9thodes consiste \u00e0 s\u00e9curiser les appels vid\u00e9o en n’autorisant que les utilisateurs invit\u00e9s, c’est-\u00e0-dire les utilisateurs disposant d’un login sp\u00e9cifique sur le logiciel d’appel vid\u00e9o. De cette fa\u00e7on, toute personne ne disposant pas d’une autorisation d’acc\u00e8s explicite sera instantan\u00e9ment emp\u00each\u00e9e d’\u00e9couter votre appel.<\/p>\n

Toutefois, m\u00eame cette mesure est susceptible d’\u00e9chouer : les piratages de mots de passe, les vuln\u00e9rabilit\u00e9s du syst\u00e8me et les failles de s\u00e9curit\u00e9 impr\u00e9vues peuvent toujours permettre \u00e0 des invit\u00e9s ind\u00e9sirables de participer aux appels vid\u00e9o. C’est pourquoi tout syst\u00e8me d’appel vid\u00e9o s\u00e9curis\u00e9 doit \u00e9galement disposer d’outils de mod\u00e9ration en dernier recours pour m aintenir l’ordre et la confidentialit\u00e9 au sein de la conf\u00e9rence.<\/p>\n

Les plus critiques de ces capacit\u00e9s de mod\u00e9ration sont :<\/p>\n