Le 17 octobre 2013, Le Laboratoire de virologie et de cryptologie opérationnelles (ESIEA), dirigé par Éric Filiol, a livré au consortium DAVFI les différents éléments techniques permettant de concevoir des terminaux sous Android sécurisés. SecuriteOff dévoile les dernières informations et, notamment, la date de commercialisation des terminaux sous Android avec Jérôme Notin, Président de Nov’IT, Chef de file de ce projet. Mais pour ce projet, un antivirus destiné aux ordinateurs sous Windows reste prioritaire.
SecuriteOff : Un peu plus de deux mois après la présentation du projet au Val de Grâce, pouvez-vous nous préciser l’échéancier ?
Jérôme Notin : Mi-octobre, l’équipe d’Éric Filiol nous a remis différents éléments techniques (dont la ROM basée sur CyanogenMod*). Notre objectif est maintenant de mettre à disposition une ROM de test permettant de valider pour tout un chacun nos développements. Malheureusement, des retards et aléas administratifs et financiers nous ont empêchés d’avoir les ressources techniques nécessaires pour proposer plus rapidement une solution complète à expérimenter et à commercialiser: un market opérationnel 24 h sur 24, un site sécurisé… C’est fondamental pour nous, car des grands comptes et administrations sont vraiment attirés par notre offre et ont manifesté leur souhait de réaliser des tests grandeur nature. Mais il ne faut toutefois pas oublier que nous aurons plus de 6 mois d’avance par rapport aux engagements initiaux, c’est-à-dire une première commercialisation en octobre 2014.
SecuriteOff : Justement, allez-vous tenir cet engagement pour une première livraison à l’automne prochain ?
J.N : Nous respecterons parfaitement nos délais puisque nous prévoyons une commercialisation des terminaux mobiles sous Android le 2 avril ! Nous proposerons une offre complète qui comprendra des modèles récents de smartphones et de tablettes avec un Android durci, une plateforme disponible 24 h sur 24, des outils de validation d’applications et un outil de DM (Device management) afin de faciliter le déploiement et la gestion de parc dans les entreprises. Il s’agira d’une console unifiée – et très ouverte – compatible également avec la version Windows et celle dédiée aux environnements GNU/Linux. Notre offre matérielle sur Android évoluera en fonction des nouvelles références proposées par les constructeurs de téléphones mobiles et de tablettes. Nous tenons à conserver cette capacité d’intégrer rapidement les nouveaux modèles. C’est en effet une des forces de notre offre que de pouvoir fournir à l’utilisateur final les dernières générations de smartphones et de tablettes
SecuriteOff : Cela signifie que le projet d’Android durci est très avancé. Que vous reste-t-il à finaliser avant avril prochain ?
J.N : Nous travaillons à l’optimisation des outils d’analyse des applications, afin de pouvoir les valider et ainsi les rendre disponibles dans notre market. Nous ne travaillons pas encore à l’intégration de nouveaux logiciels pour deux raisons principales. Premièrement, notre offre commerciale n’étant pas encore lancée nous n’avons pas encore de demande spécifique des entreprises. Cela deviendra notre priorité dès le lancement. Deuxièmement, notre market propose déjà des outils pour beaucoup d’usages, par exemple le navigateur web Firefox, un client de messagerie, des lecteurs de RSS, de PDF, de fichiers Office…
La géolocalisation est leurrée
À noter que parmi les applications intégrées à notre market, certaines ne mettent pas en péril la sécurité du terminal, mais elles utilisent de manière abusive quelques fonctionnalités comme la géolocalisation. Comme cela existe déjà sous Android, nous avons décidé d’intégrer une couche qui fournit à l’application une mauvaise information de géolocalisation. (Ndlr : Fin janvier 2014, le New York Times a révélé que la NSA et son homologue britannique GCHQ se servent des nombreuses applications – parmi lesquelles Facebook, Google Maps et le jeu Angry Birds – pour smartphones pour collecter des données (dont la localisation) sur les utilisateurs.
SecuriteOff : Le consortium DAVFI travaille aussi sur d’autres versions dont une destinée à sécuriser les postes de travail sous Windows. Est-ce toujours une priorité ?
J.N : Oui ! Actuellement, nous parlons beaucoup de la version Android, car c’est l’actualité visible du projet. Mais la version Windows reste notre priorité, car elle est très demandée par nos différents contacts. Et même si Microsoft reste obtus et fermé à nos multiples requêtes, cela ne nous empêche pas d’avoir une équipe dédiée au développement d’une version de DAVFI pour Windows 7 avec un portage très rapide sur Windows 8.1. Comme l’indique Éric Filiol, le résultat final sera très intéressant en termes de détection des codes malveillants et d’analyse comportementale. Nous avons hâte d’être en octobre 2014 afin de présenter le travail de notre équipe. Il s’agira d’une application à installer sur un poste de travail par l’intermédiaire de notre console centrale qui permettra d’appliquer entre autres une politique de sécurité en fonction du profil des utilisateurs.
SecuriteOff : Quels sont les autres projets ?
J.N : Parallèlement à la version Android durci – et son offre globale de mobilité sécurisée – et la sécurisation des postes de travail sous Windows, nous développons une version destinée aux ordinateurs fonctionnant avec une distribution GNU/Linux et une déclinaison destinée aux serveurs GNU/Linux avec des aspects particuliers, par exemple la surveillance des flux HTTP. Par ailleurs, quelques entreprises et administrations souhaitent se doter de leur propre market ; nous travaillons à être prêts pour leur fournir tous les éléments nécessaires.
* Système d’exploitation Open Source offrant des fonctionnalités et des options indisponibles sur les versions d’Android distribuées par les vendeurs sur leurs appareils.