En plus de ces arguments «classiques», le VDI a récemment pu donner un second souffle à son message marketing. En effet, ces plateformes sont maintenant présentées comme des solutions capables d’accompagner la consumérisation de l’IT - que rien ne semble pouvoir arrêter - et garantissant notamment la sécurité des données de l’entreprise, quand bien même celles-ci seraient accédées depuis un poste BYOD, par définition peu contrôlé et mal protégé.

Instinctivement, l’articulation VDI/BYOD s’entend bien. Rappelons que le VDI transforme le poste de travail en un simple «écran/clavier/souris», l’ensemble des données et du processing étant centralisé sur les serveurs. Ainsi, peu importe que le BYOD empêche de bien sécuriser les postes, puisque, grâce au VDI, il n’y a rien à voler sur ces mêmes postes.

Malheureusement, cette argumentation tient en équilibre sur une base instable, et chacun doit avoir conscience qu’un poste compromis accédant à une infrastructure d’entreprise est toujours un problème. Le VDI ne change rien à cet énoncé de bon sens, en dépit du cloisonnement «environnement d’entreprise» / «machine physique» qu’il met en place.

Pour étayer cette position, nous prendront l’exemple des attaques complexes. C’est à dire des attaques customisées ou ciblées. Nous ne parlons pas ici d’un épiphénomène : d’après les mesures de Verizon publiées en 2011, 63% des malwares seraient ainsi personnalisés. Ces menaces, véritables usines à buzz en 2011, font peur. Et pour cause : leur prolifération s’accélère, notamment grâce au retard technologique des solutions «classiques» de sécurité, antivirus en tête, qui ne les détecte que difficilement.

Dans le contexte du BYOD, donc des postes mal protégés, ces attaques ne rencontrent que peu de résistance. Or, celles-ci embarquent très fréquemment des fonctions de keylogging. Une fois installée et lancée, cette fonction enregistrera les frappes clavier et effectuera des screenshots réguliers de l’affichage. Ainsi, même si ce poste physique accède à une plateforme de VDI et ne sert que de «écran/clavier/souris», toutes les données qui seront écrites par l’utilisateur, ou affichées au travers de l’interface VDI seront capturées et exfiltrées. L’infrastructure VDI et le service IT n’ayant pas la main sur le poste physique BYOD, le keylogger n’aura aucune chance d’être découvert, et après quelques semaines d’activité une part importante des données sensibles de l’entreprise aura été compromise.

Pire : prenons le cas d’un malware opérant maintenant comme un outil de contrôle à distance tel que VNC. La machine BYOD étant peu ou pas contrôlée, on peut penser que sa politique de mise en veille sera plutôt permissive. De sorte que le poste restera déverrouillé trop fréquemment, trop longtemps. En intervenant dans le bon timing, c’est à dire juste après le départ de l’utilisateur (pourquoi ne pas utiliser la webcam du poste pour le vérifier ?), le malware pourra profiter de ce que le poste virtuel est lui aussi déverrouillé pour prendre intégralement la main dessus, comme s’il était l’utilisateur lui-même. Emails, fichiers personnels, fichiers en réseau, rien ne sera plus inaccessible à l’assaillant. Et alors comment faire la différence entre des données accédées par le «vrai» utilisateur ou par l’assaillant ? Un forensic impossible.

Enfin, un dernier risque existe mais ne sera pas aborder ici en détail : le risque inhérent à la centralisation, qui revient à mettre tous ses oeufs dans le même panier. Lacompromission de la sécurité interne du système VDI auraient en effet des conséquences dramatiques. Le lecteur pourra se référer aux publications critiques de sécurité de chaque éditeur pour constater que ce risque n’est pas imaginaire et que des failles dans ces systèmes ont régulièrement été découvertes.

Pour conclure, si les systèmes de VDI présentent de nombreux avantages dans la gestion des parcs BYOD, il semble déraisonnable de penser qu’ils puissent en résoudre seul les problématiques de sécurité. Aucune sécurité satisfaisante ne saurait ainsi être atteinte sans la mise en place de contre-mesures efficaces et adaptées sur le poste de travail physique lui-même.

Jérôme Robert, Directeur Marketing Arkoon Network Security / SkyRecon