Diodes de données et transfert inter-domaines : architecture de sécurité à sens unique

Déplacer un fichier d'un réseau Secret vers un réseau non classifié semble anodin jusqu'à ce que l'on considère ce qui ne doit pas se déplacer avec lui. Le texte que l'analyste entend publier peut être propre, mais le fichier qui le contient peut faire passer clandestinement du contenu classifié dans les métadonnées, les objets incorporés, l'historique des révisions, ou la queue non analysée d'un format binaire. Un pare-feu ne peut pas résoudre ce problème, car un pare-feu fait confiance à sa propre configuration et à sa propre pile logicielle — les deux pouvant être subverties. La réponse défendable est de rendre la direction de flux indésirable une impossibilité physique, puis d'inspecter ce qui est autorisé à circuler dans la direction permise. C'est le domaine de la diode de données et de la solution inter-domaines.

Pourquoi la direction doit être appliquée en matériel

Une diode de données applique le flux de données à sens unique comme une propriété de la physique plutôt que du logiciel. La mise en œuvre classique est une liaison optique avec un émetteur du côté source et un récepteur du côté destination, et délibérément aucun émetteur à la destination et aucun récepteur à la source. Les photons voyagent du niveau élevé vers le niveau bas (ou du bas vers le haut, selon la conception) ; il n'y a tout simplement aucun chemin optique pour que quoi que ce soit voyage en retour. Parce que l'unidirectionnalité est intégrée dans le câblage, elle ne peut pas être désactivée par une erreur de configuration, une exploitation du micrologiciel, ou un initié malveillant ayant un accès administratif à l'un ou l'autre hôte.

C'est la distinction cruciale avec un pare-feu. Un pare-feu est un dispositif bidirectionnel configuré pour se comporter comme s'il était unidirectionnel. Son application dépend des ensembles de règles, de l'intégrité de son système d'exploitation, et de l'hypothèse qu'aucune règle n'a été ajoutée par erreur. Une diode de données supprime ces hypothèses : même un hôte entièrement compromis du côté destination ne peut pas exfiltrer des données en traversant la frontière, car il n'existe aucun canal à utiliser. Pour protéger une enclave à classification élevée de toute connexion entrante, ou pour garantir qu'un réseau sensible peut recevoir des mises à jour sans jamais être accessible, cette garantie physique est ce qui rend l'accréditation possible.

Ce qu'une diode ne résout pas

La direction n'est pas la même chose que le contenu. Une liaison d'export à sens unique d'un réseau Secret vers un réseau non classifié transportera du contenu classifié tout aussi fidèlement qu'elle transporte du contenu publiable — elle ne sait pas lequel est lequel. Si un analyste exporte une présentation contenant une diapositive cachée, des données sources incorporées, ou des notes du présentateur laissées dans le fichier, la diode les transmet fidèlement. La diode répond uniquement à la question « les données peuvent-elles revenir en arrière ? ». La question distincte et plus difficile — « cet objet spécifique devrait-il être autorisé à circuler ? » — appartient à la solution inter-domaines superposée au-dessus.

De la diode de données à la solution inter-domaines

Une solution inter-domaines (CDS) est un système complet et accrédité pour le transfert contrôlé d'informations entre domaines de sécurité. Les conceptions CDS de transfert uniquement déplacent les données sans donner à l'un ou l'autre côté un accès interactif à l'autre ; les conceptions CDS d'accès permettent à un seul poste de travail d'atteindre plusieurs domaines à travers une frontière contrôlée. Cet article concerne le cas du transfert, où les diodes de données sont le plus souvent utilisées comme noyau d'application.

Une CDS de transfert comporte trois couches. La première est la couche d'application physique — généralement une ou plusieurs diodes de données — qui fixe la direction permise. La deuxième est la couche transport, le logiciel proxy qui rend une livraison fiable possible sur une liaison sans canal de retour. La troisième est la couche d'inspection, le garde de transfert qui décide, objet par objet, ce qui est autorisé à traverser. La combinaison de ces trois éléments, plus un régime d'audit et un concept d'opérations documenté, est ce qu'une autorité d'accréditation évalue. La relation entre le contrôle de direction et le contrôle de contenu est examinée plus en détail dans notre article complémentaire sur les solutions inter-domaines pour la défense.

Rendre le transport fiable sans canal de retour

La plupart des protocoles utiles — TCP en premier lieu — supposent un canal de retour pour les accusés de réception, la retransmission et le contrôle de flux. Une vraie diode de données n'en a pas. La solution standard est une paire de proxies, un de chaque côté de la diode. Le proxy côté envoi termine la session TCP de l'application localement, accuse réception à la source comme s'il était la destination, puis sérialise la charge utile dans un flux unidirectionnel. Ce flux est transporté à travers la diode en utilisant un protocole conçu pour la livraison à sens unique, avec correction d'erreurs en avant (FEC) au lieu de la retransmission : des données redondantes sont ajoutées pour que le récepteur puisse reconstruire les paquets perdus sans jamais les redemander.

Le proxy côté réception reconstruit la charge utile, vérifie son intégrité et ouvre une nouvelle session TCP vers la destination réelle. Du point de vue de l'application, un transfert de fichier ordinaire ou une livraison de message a eu lieu. Du point de vue de l'architecte de sécurité, aucun accusé de réception, aucune poignée de main, et aucun signal modulé temporellement n'a franchi la frontière physique. Le débit et la fiabilité sont ajustés en modifiant la redondance FEC et la taille des segments par rapport au taux d'erreur mesuré de la liaison, échangeant la bande passante contre la résilience plutôt que de s'appuyer sur un canal de retour inexistant.

Le garde de transfert : inspection et contrôle de libération

Le garde de transfert est l'intelligence d'une solution inter-domaines. Il se trouve dans le chemin des données et applique une politique de libération à chaque objet avant qu'il soit autorisé à traverser. Le principe directeur est la liste blanche, et non la liste noire : plutôt que d'essayer d'énumérer tout ce qui est dangereux, le garde ne permet que les données qui se conforment exactement à une spécification connue comme bonne et rejette tout le reste. Plusieurs techniques fonctionnent ensemble.

Validation structurelle. Chaque fichier est analysé par rapport à un schéma strict pour son type déclaré. Un document qui prétend être un format simple portant du texte mais qui contient des macros incorporées, des références externes, ou des régions binaires inattendues échoue à la validation. Le garde ne tente pas de nettoyer un tel fichier ; il le rejette, car tenter de réparer une entrée adversariale est lui-même une surface d'attaque.

Suppression des métadonnées et canonicalisation. Les formats complexes sont transformés en la représentation fidèle la plus simple — par exemple, en rendant un document riche dans un format plat et régénéré qui ne peut pas contenir les objets cachés de l'original. Les noms d'auteurs, l'historique des modifications, les balises de géolocalisation et autres métadonnées sont supprimés. La canonicalisation réduit les nombreuses façons dont un format peut encoder le même contenu visible à une seule, éliminant la variation qu'exploitent la stéganographie et les canaux cachés.

Correspondance de contenu et révision humaine. Les listes de mots interdits, les motifs d'expressions régulières et les détecteurs de marquages de classification signalent le texte qui ne devrait jamais apparaître du côté destination. Pour l'export du niveau élevé vers le niveau bas — la direction dangereuse — les objets signalés sont acheminés vers un réviseur humain qui prend la décision finale de libération. L'inspection automatisée réduit le volume qu'un réviseur doit traiter ; elle ne remplace pas le réviseur pour les transferts à risque le plus élevé.

Import versus export : risque asymétrique

Les deux directions du transfert inter-domaines comportent des risques très différents. L'import — déplacer des données d'un réseau de niveau inférieur vers un réseau de niveau supérieur — est principalement un problème d'injection de logiciels malveillants et d'intégrité. La destination est le côté le plus sensible, donc la préoccupation est que les données entrantes pourraient contenir un exploit ou corrompre l'enclave de niveau élevé. Le garde de transfert sur un chemin d'import se concentre sur la validation de format, l'analyse des logiciels malveillants, et le rejet de tout ce qui est exécutable ou activement interprété.

L'export — déplacer des données d'un réseau de niveau supérieur vers un réseau de niveau inférieur — est la direction qui peut divulguer des informations classifiées, et c'est donc le problème le plus difficile. Ici, le travail du garde est la confidentialité : s'assurer que rien de classifié ne circule dans les métadonnées, les objets cachés, ou les canaux dissimulés, et que les marquages de classification sont présents et cohérents. Parce que la conséquence d'un échec d'export est une divulgation plutôt qu'une infection, les chemins d'export exigent généralement des listes blanches de formats plus strictes, une révision humaine obligatoire du contenu signalé, et la canonicalisation la plus conservatrice. Une architecture courante utilise deux diodes physiquement séparées — une pour chaque direction — afin que les politiques d'import et d'export, et leurs modes de défaillance, ne partagent jamais un chemin.

Où les diodes s'inscrivent dans une architecture en couches

Les diodes de données se trouvent rarement seules. Elles constituent un contrôle dans une conception de défense en profondeur qui comprend également la segmentation réseau, l'authentification forte et la surveillance continue. Une diode protégeant une enclave sensible complète plutôt qu'elle ne remplace les contrôles de confiance zéro à l'intérieur de cette enclave ; la diode régit la frontière, tandis que la vérification basée sur l'identité régit chaque requête en son sein — sujet de notre article sur l'architecture de confiance zéro pour les réseaux militaires. Les diodes s'associent également naturellement aux déploiements isolés : un système isolé physiquement qui doit tout de même recevoir des mises à jour logicielles ou des renseignements sur les menaces peut utiliser une diode d'import pour recevoir des données sans jamais exposer un chemin de retour, un schéma discuté dans les déploiements isolés physiquement pour les logiciels de défense.

Réalités opérationnelles

Une solution inter-domaines est un engagement opérationnel, pas une installation unique. Les taux de rejet doivent être surveillés, car un garde qui rejette trop pousse les utilisateurs à trouver des alternatives non sanctionnées — le mode de défaillance le plus dangereux de tous. La profondeur des files d'attente et la latence doivent être suivies pour que les transferts légitimes et urgents ne soient pas affamés. Chaque format que le garde accepte est une surface d'attaque qui doit être revalidée chaque fois que l'analyseur, l'ensemble de règles ou le logiciel sous-jacent change. Et chaque décision de transfert doit être enregistrée dans un stockage immuable afin que, après coup, un auditeur puisse reconstruire exactement ce qui a traversé la frontière et pourquoi c'était autorisé.

La gouvernance des formats est la partie la plus souvent sous-estimée. La tentation dans tout déploiement opérationnel est de continuer à ajouter des formats acceptés — un nouveau type d'image ici, un format de document plus riche là — jusqu'à ce que la liste blanche devienne silencieusement une liste noire par attrition. Chaque ajout élargit la surface d'analyse que le garde doit faire confiance, et un analyseur complexe traitant des entrées adversariales est exactement là où les solutions inter-domaines ont historiquement échoué. La pratique disciplinée consiste à maintenir l'ensemble des formats acceptés aussi petit que la mission le tolère, préférer les formats structurés simples aux formats riches, et traiter toute demande d'ajout d'un format comme un changement déclenchant une réévaluation plutôt qu'une simple modification de configuration. Lorsqu'un format riche est véritablement requis, la voie plus sûre est de le rendre dans une représentation plate et régénérée du côté de confiance et de ne transférer que celle-ci, plutôt que de permettre à la structure originale de traverser la frontière.

La dimension humaine est tout aussi importante que la dimension technique. Les réviseurs qui statuent sur les objets d'export signalés ont besoin d'une formation, de critères de libération clairs, et d'outils qui présentent l'objet d'une manière qui fait ressortir le contenu caché plutôt que de le dissimuler. Un processus de révision qui montre à un réviseur uniquement la surface rendue d'un document, tandis que le garde laisse silencieusement passer les métadonnées en dessous, donne une fausse impression de sécurité. Les déploiements les plus robustes instrumentent l'étape de révision elle-même — mesurant la durée des révisions, la fréquence à laquelle les réviseurs ignorent les signalisations automatisées, et si les schémas d'ignorance évoluent au fil du temps — de sorte que la décision de libération contrôlée reste un jugement humain délibéré plutôt qu'un simple tampon.

Accréditation et autorisation

Aucune solution inter-domaines ne connecte des réseaux classifiés sans accréditation formelle. Dans les environnements de sécurité nationale américains, le National Cross Domain Strategy and Management Office (NCDSMO) maintient une base de produits évalués et les exigences de conception Raise-the-Bar, et une CDS nouvelle ou modifiée subit une évaluation de sécurité en laboratoire suivie d'une décision formelle d'autorisation d'exploitation. NATO et les programmes nationaux appliquent des régimes analogues référençant l'évaluation selon les Critères Communs et les autorités nationales d'accréditation de sécurité. Crucialement, l'accréditation couvre l'ensemble du concept d'opérations — les formats de données autorisés, les règles d'inspection, la conception de l'audit, et le processus de révision humaine — et pas seulement le dispositif. Une diode est un composant ; une CDS accréditée est un système avec un comportement documenté, et c'est le système, et non la boîte, qu'une autorité approuve.