Les bonnes pratiques pour protéger les systèmes Blackberry

Par Ludovic Blin, secuobs.com
Le 17/03/2006

---

Résumé : Alors que plusieurs failles ont été découverte récemment dans le système Blackberry, ses possibilités de configuration en terme de sécurité permettent de limiter fortement les risques. - Lire l'article



Les assistants personnels Blackberry, qui permettent notamment de recevoir ses emails, synchronisés avec le serveur de l’entreprise, via le réseau GSM, sont de plus en plus utilisés (notamment dans le monde de la finance ou par de nombreux cadres supérieurs). Les présentations effectuées par le chercheur FX lors du congrès 22C3 en décembre 2005, ou encore à la conférence BlackHat Europe début mars ont fait état de failles touchant les fonctions de décompression (des images TIFF notamment) et de risques de spam.

Il est possible de se protéger contre ces menaces en configurant soigneusement l’installation du système Blackberry. Celui-ci est en effet doté de nombreuses fonctions de sécurité et d’un outil destiné à définir des politiques de sécurité, le IT Policy Manager. La plupart des clients, évoluant en particulier dans des domaines sensibles, ne se privent pas de mettre en place des politiques restrictives.

« Nombreux sont nos clients qui mettent en place des politiques restrictives, par exemple au niveau des mots de passes et du nombre d’essai autorisés, souvent limités à trois » confirme Daniel Jouan, ingénieur chez RIM France. « Il est aussi possible de séparer le serveur de conversion de fichier du BES (Blackberry Enterprise Server), ou encore d’interdire purement et simplement les pièces jointes, ou seulement certains formats, rendant impossible l’exploitation des failles évoquées » ajoute Daniel Jouan.

En ce qui concerne les risques de spam, il est possible de les éviter grace à deux caractéristiques des logiciels Blackberry. D’une part, les terminaux sont livrés d’origine avec la clé triple DES leur permettant de communiquer avec le réseau. Mais il est possible de changer cette clé pour une clé qui sera spécifique à l’organisation. Les autres Blackberries ne pourront donc plus communiquer avec les terminaux de l’entreprise. « De plus, la plupart des utilisateurs préférent désactiver le PIN-to-PIN » précise Daniel Jouan. Lorsque cette option est désactivée (elle est activée par défaut), il est impossible pour un utilisateur d’un groupe d’envoyer des messages Blackberry aux autres membres du groupe. Ces deux mesures permettent de se protéger des risques de spam par message BB. Par ailleurs, il est également possible d’interdire l’envoi de SMS depuis un terminal.

Par ailleurs des hotfixes ont été publiés début janvier par l’éditeur pour remédier aux problèmes liés au traitement de certaines images.

Lors de la mise en place d’une solution Blackberry, il est recommandé d’appliquer les mises à jour, de configurer finement la politique de sécurité, en changeant la clé triple-DES (et en interdisant éventuellement les messages PIN-to-PIN) et surtout en utilisant un serveur de conversion séparé du BES (et doté d’une politique tres restrictive au niveau réseau), voire plus simplement en interdisant les pièces jointes.