Empreinte

En sécurité des données, le mot empreinte recouvre trois réalités différentes, et les confondre conduit à de mauvaises politiques. L'idée est toujours la même : on dérive d'un élément plus vaste une valeur courte, qui permet de le reconnaître plus tard. Ce qui change, c'est ce qui est empreint et la manière de calculer la valeur.

Les deux premiers sens comptent le plus pour la prévention de la perte de données, car ils reconnaissent des documents protégés. Le troisième décrit des systèmes plutôt que des documents, et sert à l'identification et à l'inventaire.

Une empreinte de contenu ne conserve pas le document lui-même. La méthode est conçue pour les contenus modifiés ou réutilisés en partie, c'est-à-dire précisément là où les contrôles de fichiers simples échouent. Dans Anexet, elle se configure comme empreinte numérique et s'exécute en quatre étapes.

L'intérêt est pratique : un extrait collé dans un courriel correspond toujours à sa source, et un modèle issu d'un formulaire vide correspond à chaque copie remplie de ce formulaire.

1. 1

   Normaliser le texte

   Supprimer la mise en forme et ramener le document à un texte comparable, pour que les changements de mise en page ne modifient pas le résultat.

2. 2

   Calculer les empreintes des segments

   Calculer des empreintes sur des portions de texte qui se chevauchent. Seul cet ensemble de valeurs est conservé.

3. 3

   Comparer le nouveau contenu

   Les courriels sortants, les fichiers envoyés et les messages suivent le même processus et sont comparés à l'ensemble enregistré.

4. 4

   Agir selon le recouvrement

   Un recouvrement important signale la présence de contenu protégé, et la règle bloque, journalise ou alerte.

Un hachage cryptographique est calculé sur le fichier entier, et la valeur obtenue est stockée dans une banque de hachages. Il répond avec certitude à une question : s'agit-il du même fichier, octet par octet ? Les hachages sont peu coûteux à calculer et à comparer, et ils ne produisent aucun faux positif.

Cette précision est aussi leur limite. Enregistrer le document dans un autre format ou modifier un seul caractère produit une valeur totalement différente, et la correspondance échoue. Les hachages constituent un bon premier filtre et servent à la vérification de l'intégrité des fichiers, mais ils ne suivent pas un contenu réécrit.

Les empreintes enregistrées sont conservées dans des banques de données. Le gestionnaire d'empreintes affiche chaque banque avec sa taille, son nombre de documents et la date de la dernière mise à jour, pour que l'administrateur voie ce qui est protégé et à quel point l'ensemble de référence est récent. Une banque jamais mise à jour protège un ensemble de documents de plus en plus historique.

Ce sens partage la métaphore avec les autres, mais pas le mécanisme. L'empreinte d'un appareil ou d'un navigateur est un profil construit à partir de caractéristiques observables du système : identifiants matériels, composants installés, réglages d'écran et de langue, attributs réseau. Rien n'en est tiré d'un contenu protégé, et l'objet est un système, pas un document.

Les défenseurs l'utilisent pour l'identification des appareils et l'inventaire des postes, par exemple dans l'inventaire matériel. Les attaquants s'appuient sur des profils comparables pour suivre les utilisateurs sans cookies, ce qui impose une définition précise du terme dans tout programme de sécurité.

Les méthodes se complètent. Les hachages forment le premier filtre le moins coûteux, les empreintes de contenu détectent ce que la modification masquerait, et une liste de mots interdits couvre les données sensibles que personne n'a enregistrées à l'avance.

Toutes les méthodes d'empreinte sont à sens unique. L'original ne peut pas, en pratique, être reconstitué à partir de la valeur dérivée. Le système de détection peut donc reconnaître un contenu réglementé sans conserver une seconde copie. C'est un avantage pour la vie privée, et c'est aussi la raison pour laquelle l'ensemble de référence doit être entretenu.

Les empreintes ne fonctionnent que sur les données qu'elles peuvent lire. Un contenu converti en image nécessite d'abord une reconnaissance de texte, et un contenu fortement chiffré ou paraphrasé échappe à la correspondance. Elles ne décrivent pas non plus chaque tentative d'exfiltration de données : elles sont donc plus efficaces combinées à d'autres contrôles.

Commencez par enregistrer les documents dont la fuite causerait le plus de dégâts, comme les contrats, le code source et les données clients. Une banque construite à partir de ces fichiers reconnaît les copies qui ont été modifiées ou réutilisées.

Revoyez ensuite la banque régulièrement, car l'ensemble de référence n'est aussi à jour que son dernier enregistrement.

Pour aller plus loin : Chiffrement, codage et hachage : quelle différence ?.