Un ordinateur portable volé ou perdu est agaçant, un ordinateur portable avec des données d'entreprise non protégées peut coûter cher à une entreprise. Outre les solutions logicielles comme les pare-feux et la protection antivirus, les ordinateurs portables robustes offrent une série de mécanismes de protection physiques et proches du firmware : le chiffrement SSD selon OPAL 2.0, le verrou Kensington, un BIOS sécurisé selon les directives NIST, un module à puce TPM 2.0 et des scanners d'empreintes digitales. Cet article présente les cinq mécanismes, compare leurs niveaux de sécurité et montre lesquels sont proposés par les ordinateurs portables Durabook actuels selon la fiche technique.
OPAL est une norme pour la gestion des disques à auto-chiffrement. La version actuelle pour les ordinateurs portables est OPAL 2.0 : un chiffrement assisté par logiciel dont la charge de calcul est déportée sur le SSD lui-même, ce qui décharge le processeur. OPAL 2.0 est compatible avec tous les systèmes d'exploitation courants et offre une politique de sécurité gérable de manière centralisée, incluant la récupération de mot de passe et la gestion des utilisateurs. L'inconvénient par rapport à un chiffrement entièrement basé sur le matériel : OPAL 2.0 n'offre pas la même protection globale, mais peut être géré de manière plus flexible en cours d'exploitation.
Le verrou Kensington est un câble de sécurité avec serrure permettant d'arrimer des appareils mobiles à un point fixe. Le mécanisme de sécurité a été développé dès 1992, mais toutes les serrures comparables portent encore aujourd'hui cette désignation. Les versions haut de gamme disposent de douilles spécialement positionnées, de sorte qu'un arrachement forcé rend l'appareil inutilisable au lieu de simplement détacher la serrure. L'inconvénient : le câble d'acier peut être coupé avec une pince coupante, et sans un ancrage solide au poste de travail, la serrure n'offre guère de protection.
Le National Institute of Standards and Technology (NIST) publie des directives de sécurité pour les implémentations BIOS. Un BIOS sécurisé selon ces directives détecte les modifications non autorisées de son propre code, qui pourraient permettre l'exécution de logiciels malveillants pendant le démarrage, et signale les modifications critiques de configuration. Ce mécanisme de protection intervient ainsi avant le démarrage effectif du système d'exploitation et comble une lacune que les seules solutions logicielles ne peuvent pas couvrir.
Trusted Platform Module (TPM) désigne une petite puce physique sur la carte mère qui sert d'ancrage de sécurité supplémentaire. Le TPM 2.0 assure notamment le chiffrement du disque dur, la protection contre la manipulation du firmware par des rootkits BIOS, l'authentification biométrique et la transmission de l'état du système lors de l'accès à des services cloud. Un inconvénient du point de vue de l'utilisateur : les possibilités de contrôle sur les clés stockées dans le TPM sont limitées, ce qui peut entraîner un surcroît de travail en cas de panne ou de remplacement d'appareil.
Un scanner d'empreintes digitales offre un grand confort d'utilisation et une identification fiable, sans que les utilisateurs aient à retenir des mots de passe. En pratique, il arrive occasionnellement des erreurs de reconnaissance lors de la lecture, et les empreintes digitales peuvent en principe être reproduites. Pour une utilisation quotidienne avec un besoin de protection modéré, le gain de confort par rapport aux mots de passe reste néanmoins considérable ; pour les environnements hautement sensibles, le scanner d'empreintes digitales devrait être combiné avec un facteur supplémentaire, par exemple un lecteur de cartes à puce.
Selon la fiche technique, les trois ordinateurs portables Durabook actuels se distinguent nettement dans leur équipement de sécurité. Le Durabook S14I combine de série un lecteur de cartes à puce avec un module TPM. Pour le Durabook S15, un scanner d'empreintes digitales et un lecteur de cartes à puce peuvent être ajoutés en option via le configurateur. Le Durabook S15AB, plus ancien, propose TPM 2.0, un verrou Kensington ainsi qu'en option un lecteur de cartes à puce comme équipement.
Aussi bien le Durabook S15 que le Durabook S14I misent sur des processeurs Intel® avec support vPro™. vPro™ n'est pas lui-même un mécanisme de chiffrement ou de protection d'accès, mais permet la maintenance et la configuration à distance centralisées d'une flotte d'appareils, ce qui rend les politiques de sécurité applicables à l'échelle de l'entreprise, sans devoir se rendre auprès de chaque appareil individuellement. Cela est particulièrement pertinent pour les ordinateurs portables robustes sur le terrain, car un accès physique n'est souvent que rarement possible pour le personnel informatique.
Outre le chiffrement des données, la protection d'accès physique joue également un rôle sur les ordinateurs portables robustes : celui qui utilise un appareil avec batterie interchangeable sur le terrain devrait veiller à ce que le verrou du compartiment batterie ne puisse pas s'ouvrir sans outil. Les ports USB désactivables, permettant d'empêcher un transfert de données non autorisé via clé USB, sont tout aussi pertinents, à condition que le système d'exploitation respectif ou un logiciel de gestion supplémentaire le prenne en charge. Pour les appareils avec port RS232 ou RJ45 optionnel, le même principe s'applique : un port non nécessaire peut généralement être désactivé par politique, plutôt que de le laisser ouvert en permanence.
Aucune des fonctions de sécurité décrites ici ne remplace une sauvegarde régulière des données. Les données chiffrées par TPM 2.0 sont certes protégées contre les accès non autorisés, mais en cas de défaillance de la puce TPM ou du SSD lui-même, elles sont tout aussi irrémédiablement perdues sans sauvegarde que des données non chiffrées. Pour une utilisation sur le terrain, une sauvegarde automatisée vers un serveur central dès qu'un appareil retrouve l'accès réseau est donc recommandée, plutôt que de se fier exclusivement au chiffrement local.
Outre le simple scanner d'empreintes digitales, les versions actuelles de Windows prennent en charge la connexion biométrique via Windows Hello, qui couple la reconnaissance d'empreintes digitales ou faciale avec le module TPM. La clé biométrique n'est ainsi pas stockée dans le système d'exploitation lui-même, mais dans le TPM, ce qui renforce encore la protection par rapport aux seules solutions logicielles. Pour les entreprises avec de nombreux collaborateurs mobiles, cela réduit en outre la charge de support qui résulte autrement des mots de passe oubliés.
Pour une utilisation avec des données modérément sensibles, une combinaison de chiffrement OPAL 2.0 et de protection par mot de passe suffit souvent. Celui qui utilise des appareils en service extérieur ou sur des chantiers, où un vol est plus probable, devrait en plus prévoir un verrou Kensington et TPM 2.0. Pour les environnements hautement sensibles avec des exigences de conformité strictes, par exemple dans le secteur de la santé ou dans les administrations, la combinaison complète de TPM 2.0, lecteur de cartes à puce et gestion centralisée vPro™ est recommandée. La règle empirique suivante aide à s'orienter : plus le nombre d'appareils dans la flotte est élevé et plus le besoin de protection des données traitées est important, plus le surcroît de travail pour l'infrastructure carte à puce et la gestion centralisée en vaut la peine par rapport à une simple solution par mot de passe.
Les appareils de Robustbook peuvent être configurés selon le modèle avec les fonctions de sécurité décrites ici. Nous proposons avec le Durabook S14I, le Durabook S15 et le Durabook Z14I des ordinateurs portables robustes pour une utilisation en extérieur, tous avec un boîtier aluminium-magnésium et une certification MIL-STD-810H. Pour un conseil sur l'équipement de sécurité adapté à votre secteur et à vos exigences de conformité, l'équipe est disponible via la page de contact.