Pierre Beyssac

Ça c'était en gros possible à l'époque où il suffisait de coller une étiquette de marque française sur une machine fabriquée aux US (et c'était déjà un peu risible). Or là on parle de cloud et on ne sait pas grand chose, car l'annonce de Thales reste vague. ⤵️ https://t.co/reLk6DROc3

Déjà, l'extrait le plus technique de l'annonce Thales (le reste c'est de la com). https://t.co/lwYZEfbwzc https://t.co/yKCvrHsv00

1. "opérés par une nouvelle société dédiée et de droit français, majoritairement détenue par Thales," => ok tant mieux, mais en termes technique et sécurité c'est neutre, ça ne dit rien sur l'orga interne technique et qui a accès à quoi.

2. "hébergés en France, au sein d’une infrastructure séparée de celle de Google Cloud dont le réseau et les serveurs seront séparés, contrôlés et opérés par cette société" = ok aussi, ça sera donc des mini DC comme Google mais hors des murs et du réseau Google.

Mais cela ne dit rien sur qui dans la boite va opérer tout ça. Rien ne dit que ça ne va pas être une équipe séparée dédiée et gérée par Google, cloisonnée du reste, si ce dernier ne veut pas donner accès à ses bijoux de famille (ce qui serait logique).

3. "avec un support client assuré par des équipes en local". L'assistance niveau 1 ne sera pas gérée par Google. Ça n'engage pas à grand chose non plus.

4. "avec des services de sécurité assurés par la nouvelle société, notamment la gestion des identités, le chiffrement des données, l’administration ou encore la supervision" même réponse qu'au 2 (quel cloisonnement ?).

Sur l'authentification une gestion déportée hors Google est possible (classique) sous le contrôle de la nouvelle boite _et_ de Thales, ça doit rassurer l'ANSSI et les clients, et ça doit déjà même exister dans Google Cloud. Ça ne dit rien sur la sécurité effective hors authentif.

5. "avec des mises à jour reçues en continu mais réceptionnées, évaluées et validées au sein d’un sas de sécurité piloté par Thales" Thales aura un bac à sable de test des nouvelles versions et un bouton pour dire "on déploie ici".

6. "gérés sur une infrastructure conçue de façon durable". Thales plantera des forêts pour décarboner et ne changera pas le matériel trop souvent.

Le reste en pointillés : les équipes Thales n'auront pas forcément accès au logiciel Google Cloud qui a toutes les chances de rester une grosse boite noire pour eux (et c'est assez logique, cf bijoux de famille).

On parle de cloud donc la protection "on gère le réseau" n'achète pas grand chose en terme de sécurité, l'infra sera accessible depuis l'extérieur donc il sera difficile de dire même pour Thales qui y aura vraiment accès, a fortiori si seules des équipes Google opèrent.

C'est la grosse différence entre le cloud un serveur fabriqué en marque blanche et installé sans réseau... le fabricant ou un service de renseignement peut y placer des backdoors ou autre, mais elles seront d'impact limité, non exploitables à distance.

Voilà tout ça ce sont les questions que je me pose sur ce déploiement. Évidemment Thales a tout intérêt dans sa com à insister au maximum sur les quelques points d'indépendance du machin, mais faire du Google avec Google mais sans Google a évidemment vite des limites.

Et donc évidemment à ce stade on n'a que la com diffusée partout sans grosse analyse, et pas d'investigation de fond au sens journalistique ou technique. La boite n'est même pas encore montée donc plein de choses restent à définir, on n'a que les grandes lignes de l'accord.

Ce qu'on peut quand même déduire en creux : Thales n'a certainement pas accès au code source, sinon ils l'auraient évidemment annoncé (point d'importance majeure).

Thu Oct 07 10:51:50 +0000 2021