J'aimerai faire dévier l'échange sur un point spécifique qui, si je ne m'abuse, n'a pas été abordé précédemment
À mes yeux, le principal soucis du concept de "firewall comme outil de sécurité" est le biais cognitif nuisible que cela engendre dans l'esprit des gens, renforcé par l'individualisme de notre société et la non responsabilité de nos concitoyens.
Le phénomène est d'autant plus visible lorsque le groupe concerné est grand : grosse structure avec de nombreuses équipes, ou encore plusieurs équipes qui ne sont pas directement reliés, comme c'est le cas entre l'équipe qui conçoit le boitier "iot" et l'équipe qui gère le réseau domestique.
Dans ce cadre, la sécurité devient l'affaire des autres.
Pourquoi concevoir un produit sécurisé ? Après tout, le "firewall" (ou quoi que ce soit, ce n'est pas mon périmètre) va s'occuper de protéger tout ça !
Bon, j'utilise un système d'exploitation déprécié, ou encore non maintenu, ou encore notablement faillible, mais ce n'est pas grave, je suis "protégé" !
Le firewall a l'effet d'un garde-fou le long d'une route, sur laquelle les conducteurs ne se sentent plus concernés par la ceinture de sécurité ou la limitation de vitesse. Étrangement, lorsque la vie dudit conducteur est en jeu, le phénomène suscité ne s'applique plus beaucoup.
Je côtoie des professionnels qui ne pratique pas de patch management. Mais attention : il y a un firewall, #toutestokmaintenant !
Ma société a mis tout ses collaborateurs en "télétravail", sans outil interne, suite à un ransomware. Nous savons que Microsoft Windows est un risque conséquent (à partir de quand peut-on parler de certitude ?), l'effort est cependant mis sur le cloisonnement réseau, et sur les firewall, donc. Avec beaucoup de succès, visiblement.
Les produits IOT sont notablement mal sécurité, non maintenu. La question que l'on peut se poser : pourquoi, en tant que constructeur, devrai-je changer cet état de fait ? Après tout, les produits sont protégés par un firewall, non accessible d'internet.
Et finalement, pourquoi est-ce que ces pratiques ne fonctionnent pas ?
Pourquoi ne peut-on pas raisonnablement sécuriser un périmètre avec des firewall ?
On peut noter plusieurs raisons
La première, surement, est que la majorité de ces réseaux fonctionnent selon le bien connu principe du poulailler : une porte, un grillage autour, et des poulets sans défense au milieu : lorsque le loup est rentré, c'est la boucherie.
La deuxième raison : le firewall ne fait pas d'analyse sémantique. Je ne vais pas parler des aberrations, comme le SSL spoofing, qui n'ont guère d'avenir. Le firewall, donc, doit lire les paquets réseaux, et miraculeusement séparer le bon grain de l'ivraie. N'étant pas magique, on se rabat sur des heuristiques simples: port destination, ip source, protocole .. Hors, comme l'équipement au sain du réseau doit bien pouvoir sortir de ce dernier, et qu'il n'est pas possible sainement de maintenir une liste des "gentils" sur internet (liste exhaustive, de l'oublions pas), on en arrive à dire : "en sortie, #toutestokmaintenant". L'équipement est donc libre de ramener ce qu'il veut à l'intérieur du réseau, voir la raison #1 pour la suite de l'histoire.
Pour conclure, je prétends que l'utilisation du firewall comme base de la sécurité a un impact négatif, car remplaçant de manière nécessairement insuffisante la base réelle de sécurité du périmètre concerné.
"La sécurité, c'est comme le TCP : ça se fait sur les endpoints."
IPv6