...
RIE et Internet
Dispose de zones dédiées permettant d’être exposé soit au réseau interministériel de l’État (RIE), et ainsi de profiter d’un niveau de résilience élevé, soit à Internet.
Le Cloud Nubo
Opérée par la DGFiP pour l’ensemble des ministères, l’offre Cloud Nubo est destinée à accueillir des services, données et traitements sensibles de l’État, hors Diffusion restreinte.
Fin juin 2024, l’offre Cloud Nubo héberge 440 projets applicatifs, répartis sur plus de 10 000 machines virtuelles.
- Socle technique : Nubo est une offre de service orientée IaaS, basée sur la version communautaire OpenStack.
- Modèle de résilience : Les infrastructures de Nubo sont déployées sur 2 sites en Ile-de-France. Chaque site dispose de 2 régions indépendantes (une région exposée RIE, et une région pour l’exposition Internet) permettant aux bénéficiaires d’organiser une résilience multi-sites pour les projets nécessitant un haut niveau de disponibilité. Pour faciliter la résilience multi-sites des projets bénéficiaires, une nouvelle offre de répartition de charge bi-sites est prévue à horizon fin 2023.
- Accompagnement : Nubo met à disposition une équipe d’accompagnement, différents modes de communication (formulaires, adresse courriel dédiée, flux rss, salon Tchap), ainsi qu’un portail proposant des informations (actualités, nouveautés, interventions programmées), de la documentation, des outils web (portail de service, suivi de la consommation, niveaux de service, FAQ, suivi des demandes), et une bibliothèque logicielle, contenant des programmes prêts à l’emploi à destination des projets.
...
Cloud π (Pi)
Dédié aux services de l’État, opéré par le ministère de l’Intérieur, Cloud π offre la particularité de pouvoir héberger des produits manipulant des données de type diffusion restreinte (DR). L’offre de services du Cloud π est orientée infrastructure à la demande, directement disponible via un portail ou des API.
Le Cloud π compte également plus de 10 000 machines virtuelles.
- Socle technique : L’offre π est basée sur une distribution OpenStack.
- Modèle de résilience : Les infrastructures de π sont déployées sur 2 sites en Ile-de-France. Chaque site dispose de 3 « availability zones » (AZ) indépendantes, et permet d’avoir une exposition internet ou RIE.
- Catalogue de services : π propose un catalogue de services orientés IaaS (Compute, Stockage, Réseau notamment).
Logiciels 36 commentaires
RIDL, Fallout, Zombieload, MDS… Pas un mois ne passe sans qu’apparaisse une nouvelle version de Spectre, cette faille qui exploite les mécanismes d’exécution spéculative des processeurs, et permet à une application malveillante d’extraire les données d’une autre application. « Nous allons vivre avec ces problèmes pendant longtemps », explique Greg Kroah-Hartman, l’un des principaux développeurs du noyau Linux, au cours d’une conférence donnée lors de l’Open Source Summit Europe, le grand raout de la fondation Linux.
RIDL et Fallout touchent la dernière génération de processeurs Intel, qui comprennent pourtant des garde-fous contre les failles touchant les mécanismes d’exécution spéculative. Contrairement aux attaques comme Spectre ou Foreshadow, qui concernent les caches des processeurs, RIDL et Fallout s’intéressent aux mémoires tampons internes aux processeurs. Autrement dit : un problème jugé « exceptionnel » l’an passé s’avère systémique.
...
« Les processeurs sont devenus si complexes que les fabricants sont incapables de contrôler leur sécurité », poursuit-elle, « nous n’avons aucune idée du nombre de failles matérielles ”zero-day” encore exploitables.
...
pour accélérer les opérations, les processeurs essayent d’anticiper la prochaine action, d’une manière qui peut être abusée par des applications malveillantes. Même si certains processeurs AMD et ARM sont vulnérables à certaines attaques, les processeurs Intel sont plus durement touchés. Et même si ces failles peuvent être exploitées sur tous les appareils dotés d’un processeur moderne, elles concernent plus particulièrement les serveurs, puisqu’elles peuvent franchir les limites des machines virtuelles et des conteneurs.
Or Intel est un acteur central dans le domaine du cloud computing, qui repose très largement sur le noyau Linux (dont Intel est, par une ironie cruelle, le premier contributeur). Les dernières failles exploitent des problèmes de conception du mécanisme d’hyperthreading d’Intel, qui permet d’exécuter deux opérations — deux threads — simultanées sur un seul cœur. Comme les deux threads partagent la même mémoire cache, une attaque bien conçue peut récupérer les données du thread voisin. Les barrières des applications, des machines virtuelles, et même de la Secure Enclave des processeurs Intel peuvent ainsi être franchies.
La communauté formée autour d’OpenBSD, un système UNIX particulièrement attaché à la sécurité, a réagi en désactivant complètement l’hyperthreading. ... mises à jour du noyau et du BIOS » : désactiver l’hyperthreading, ou mettre à jour le BIOS sans mettre à jour le système, « ne suffit pas » ... d’autres reviennent sur les mesures de « mitigation » ... déclaration-choc : « si vous utilisez un système stable, vous n’utilisez pas un système sécurisé ». Les distributions GNU/Linux suivent, peu à peu, l’exemple d’OpenBSD. Microsoft recommande, dans certains cas, de désactiver l’hyperthreading dans les environnements serveur qui utilisent des machines virtuelles. Et Apple ? Au-delà des mises à jour explicitement dédiées à Spectre et Meltdown, ou plus récemment à Zombieload, la firme de Cupertino n’a pas dévoilé ses intentions...