BlackBerry Enterprise Server: comment RIM assure la sécurité de sa plate-forme

Parfois mise en doute, notamment à cause de la mise à l’index des Blackberry par les autorités gouvernementales françaises, la sécurité de la plate-forme BlackBerry Enterprise Server ne peut, selon RIM, être prise à défaut. Revue de détail de l’architecture.

«La sécurité constitue l’ADN de la solution Blackberry», martèle Daniel Jouan, Responsable grands comptes de RIM pour la France. Et ce n’est pas la première fois qu’il nous le dit. Cette affirmation seule ne suffit pourtant pas à rassurer les quelque 14 millions d’utilisateurs mondiaux, dont 34% de particuliers (non entreprise), notamment après les récentes mises en garde gouvernementales. A l’occasion d’une présentation, RIM a donc souhaité remettre les pendules à l’heure et démontrer que BlackBerry Enterprise Server (BES), fondement même de la solution de RIM, présente bien toutes les garanties de sécurité, tant dans son architecture, que dans ses fonctionnalités avancées. Et RIM de souligner: dans tous les cas, c’est l’entreprise qui détermine ses politiques de sécurité et ses stratégies informatiques pour les utilisateurs. 

Une architecture pensée pour la sécurité

L’infrastructure BlackBerry repose sur le BES et ne se connecte qu’à lui. Les terminaux ne sont pas visibles du réseau public, dans la mesure où ils connectés à un réseau privé par le biais de l'opérateur mobile. Ils reçoivent alors une adresse IP (Internet Protocol) dynamique, non routable de classe A. En clair, l'entreprise se connecte aux terminaux grâce à l'infrastructure BlackBerry, qui la protège de toute intrusion émanant Internet.

Ainsi, la connexion TCP/IP (Transmission Control Protocol / Internet Protocol) émise par le BES est sortante. Lorsque le logiciel BES démarre, il établit une connexion permanente TCP/IP vers l’infrastructure BlackBerry, qui est authentifiée par un SRP Identifier (numéro unique) et une clé logicielle d’authentification (Authentication Key). La connexion établie de cette façon lance le dialogue TCP/IP, dans les deux sens, entre le BES et l’infrastructure BlackBerry. L’ensemble des flux de données échangés entre le BES et les terminaux passe par cette connexion, toute connexion entrante étant refusée, protégeant ainsi le réseau local de l’entreprise.

En s’appuyant sur la technologie standardisée SPEKE IEEE*, l’activation pour l’entreprise consiste à lier le terminal BlackBerry à la boite aux lettres de l’utilisateur. Une fois celle-ci réalisée, l’adresse physique du terminal est liée au SRP Identifier du BES et à l’identifiant unique du BES de l’entreprise.

Pour garantir la confidentialité des données entre l’entreprise et le collaborateur mobile, aucun accès à l’information par un tiers ne doit être possible. C’est pourquoi tout échange de données, entre le BES, situé au sein du réseau local de l’entreprise et le terminal BlackBerry, s’effectue au travers d’un chiffrement symétrique de bout en bout.

Chiffrement de dernière génération

«Lors de leur création, les clés de chiffrement en AES 256 bits (Advanced Encryption Standard, un algorithme de chiffrement de dernière génération) sont générées localement. A aucun moment elles ne sont échangées ou ne transitent entre le BES et le terminal. Ces derniers se challengent mutuellement via la technologie SPEKE, afin de valider les clés de chiffrement en attente. Les clés sont renouvelées automatiquement tous les mois ou à la demande», insiste M. Jouan, qui ajoute : «L’installation conforme de l’algorithme de chiffrement AES 256 bits au sein de la solution BlackBerry garantit également l’intégrité des données. L’information des pièces jointes étant distillée entre le BES et le terminal, aucun macro virus ou fichier exécutable (.exe) n’est transmis au terminal, ce qui permet d’éviter tout risque d’infection potentiel».

En outre, le BES ne stocke aucune donnée de la messagerie ou du système d'information du système d'information. Ces informations ne font que transiter. Quand un courriel arrive dans la boîte électronique de l’utilisateur, il est poussé en temps réel (mode push) sur le BlackBerry concerné.

Le BES, cœur de la plate-forme

Le BES sait automatiquement si un terminal est présent sur le réseau ou non. Il ne conserve que les configurations et les politiques de sécurité ("IT Policies") définies par l’entreprise. Elles permettent de définir ce qu’il est possible de faire ou non avec le terminal (accès à Facebook, rédaction de SMS, recours à l’appareil photo, etc.) pour tous les utilisateurs ou pour certains.De même, toutes les applications de l'environnement BlackBerry sont signées et le terminal effectue une vérification de ces signatures lors de chaque démarrage. Le moindre fichier applicatif corrompu ne sera donc pas autorisé à s'installer ou à s’exécuter.

Dans la nouvelle version 4.1 du BES, outre sa compatibilité avec toutes les versions d’Exchange (depuis la 5.5), de Domino (depuis la 4.6) et Novell (depuis la 6.5), elle l’est également avec les messageries instantanées Lotus, Microsoft et Novell, de même qu’avec des applications comme SAP, Oracle / Siebel, Reuters, Bloomberg, etc. Enfin, le BES 4.1 s’ouvre, via le protocole GME, à la téléphonie fixe d’entreprise (PBX, IP PBX, etc.) en offrant à ses utilisateurs les fonctionnalités d’un téléphone de bureau sur leur terminal téléphonique Blackberry (fonctions de présence, appel par le PBX de l’entreprise depuis le domicile, etc.). Les coûts étant ici définis par l’entreprise, qui peut, au passage, tracer les appels, grâce à la journalisation.

*SPEKE : Simple Password Exponential Key Exchange ; une méthode cryptographique pour l'échange de clés d'authentification liées aux mots de passe.

Retrouvez sur BusinessMobile.fr tous nos articles consacrés aux terminaux et services BlackBerry.