Le “mégafichier” fichier TES (Titres Electroniques Sécurisés) est-il sûr face aux risques de fraude, d’intrusion, de compromission ou de destruction ? L’ANSSI et la DINSIC ont rendu leur avis : TES est “compatible” avec la sensibilité des données qu’il contient, mais la sécurité globale du système est “perfectible“.
Après avoir mené une expertise conjointe du 25 novembre 2016 au 15 janvier 2017, l’Agence nationale de la sécurité des systèmes d’information et la DINSIC, la DSI de l’Etat, viennent de remettre leur audit sur le fichier TES (Titres Electroniques Sécurisés) dont la finalité vise à « moderniser » et à rendre plus sûr le traitement des cartes nationales d’identité (CNI). Il vient d’être publié sur le site du ministère de l’Intérieur dans un souci de transparence, ainsi que l’avait voulu Bernard Cazeneuve, à l’époque ministre de l’Intérieur.
“L’audit a montré que, du point de vue de la sécurité informatique, les principes de conception du système TES sont compatibles avec la sensibilité des données qu’il contient. Cependant TES est un système complexe, incluant de nombreuses parties prenantes et de nombreux composants matériels et logiciels, d’où la nécessité d’une vigilance particulière pour assurer un niveau de sécurité homogène sur l’ensemble de son périmètre“, indique l’audit dès le début du compte-rendu. Du point de vue des usages, le rapport indique avoir constaté que le système “peut être détourné“, techniquement, “à des fins d’identification“. Un usage illicite malgré le lien unidirectionnel mis en place entre les données d’identification alphanumériques et les données biométriques.
Des vulnérabilités de gravité variable
Le test d’intrusion réalisé a mis en lumière un certain nombre de vulnérabilités de “gravité variable“. Le rapport recommande donc d’appliquer “des mécanismes de cloisonnement et de filtrage robustes” à l’ensemble des éléments du système, afin de “renforcer sa défense en profondeur“. Par ailleurs, la configuration et les pratiques d’administration de certains équipements du centre serveurs ne sont pas conformes à “l’état de l’art“, et des vulnérabilités au niveau des applications métiers ont été relevées, indique le rapport. Ce dernier conseille donc de mettre en œuvre un référentiel de sécurisation autant pour les équipements que pour les applications, d’améliorer le suivi des mises à jour, et de durcir la politique des mots de passe. Le rapport ne détaille évidemment pas les vulnérabilités découvertes, sous le sceau du secret défense.
Entre risques et bénéfices, la DINSIC et L’ANSSI renvoient in fine à l’arbitrage de l’Etat. Le rapport est disponible ici.
