MATERIELS

Confronté à une concurrence de plus en plus pressante qui l'attaque essentiellement sur le terrain de la sécurité, RIM est dans une situation bien paradoxale. D'un côté, la chaîne de sécurité de son offre BlackBerry est extrêmement fiable. De l'autre, certaines entreprises refusent par principe de la considérer comme telle sous prétexte qu'elle passe par une infrastructure qu'elles ne maîtrisent pas. En l'occurrence, les messages traversent une plate-forme RIM située en Angleterre. Principal argument du fournisseur : un chiffrement de bout en bout est réalisé entre le terminal et le serveur BES (BlackBerry Enterprise Server) situé dans l'entreprise.

"Même s'il semble difficile d'imaginer qu'une telle menace puisse se concrétiser, rien n'empêche en théorie RIM d'intercepter les messages et de les décrypter, ce qui n'est qu'une question de moyens techniques et de temps", affirme pourtant Denis Gallienne (photo), responsable marketing télécom chez Econocom, tout en ajoutant que "la solution BlackBerry est l'une des plus sécurisées et que cette petite faille théorique est anecdotique dans l'étude des besoins utilisateurs. D'autant que 99,9 % des e-mails pourraient être lus par RIM sans perturber l'économie ni provoquer l'émoi des utilisateurs finaux."

La position du responsable marketing est pondérée par son directeur général, Bernard Flobert : "Nous estimons que la fiabilité et la sécurité de la solution BlackBerry sont optimales et que la robustesse de ses algorithmes de chiffrement n'est plus à démontrer.  Nous avons d'ailleurs conseillé à un nombre important de clients d'Econocom d'adopter la solution BlackBerry, que nous avons implantée au sein de notre propre société".

Un algorithme jamais cracké

Pour sa part, RIM nie farouchement toute possibilité de déchiffrer les messages transitant par son infrastructure. Selon Daniel Jouan, ingénieur avant-vente technique chez RIM France "jamais personne n'a réussi à cracker l'algorithme AES avec une clé de session de 256 bits, utilisé par la solution BlackBerry". Autre argument : l'infrastructure BlackBerry n'est pas là pour rien, elle permet d'autoriser uniquement en sortie les connexions au firewall de l'entreprise, ainsi protégée des intrusions. Sans cela, il faudrait en effet ouvrir un port en entrée afin que les terminaux dialoguent avec le serveur de messagerie. Le fournisseur balaye en outre d'un revers de main l'argument selon lequel l'entreprise pourrait ne pas maîtriser toute la chaîne.

"Quelle que soit la solution, les messages transitent par le réseau GPRS qui est une infrastructure IP intégrant des caches en différents endroits", précise Daniel Jouan (photo). Il reste que de nombreuses entreprises ne placent pas RIM au même niveau qu'un opérateur télécom et ont bel et bien écarté la solution de RIM sur le seul critère qu'elles ne voulaient même pas avoir à se poser la question de la confiance. Denis Gallienne évoque pour sa part une alternative : "plusieurs sociétés françaises étudient la possibilité d'installer une solution de cryptage tierce, de bout en bout, par dessus la solution de sécurité de RIM. Cette nouvelle infrastructure dont l'entreprise aurait la maîtrise permettrait de ne plus se préoccuper du rôle de ce serveur intermédiaire BlackBerry".

Une sécurité encore renforcée

Quand même sensible à ces arguments, RIM est actuellement en train d'améliorer encore la sécurité de sa solution BlackBerry. Tout d'abord, celle-ci peut désormais s'intégrer dans une infrastructure à clé publique. Dès lors, les clés de chiffrement privées permettant de chiffrer et déchiffrer les messages sont elles-mêmes chiffrées via la clé publique du destinataire (au lieu d'être générées sous le contrôle de l'infrastructure BlackBerry). D'autre part, le fournisseur vient de lancer un appareil baptisé Smard Card Reader (SCR). Porté typiquement autour du cou, il instaure un dialogue Bluetooth chiffré avec le terminal. Dès que ce dernier est éloigné de quelques mètres du SCR (donc de l'utilisateur), par exemple en cas de perte ou de vol, le terminal se verrouille. En somme, il s'agit d'une fonction d'authentification forte entre le terminal et son utilisateur. Ce SCR peut en outre embarquer les données de l'éventuelle infrastructure à clés publique, c'est-à-dire la clé privée de l'individu et son certificat numérique.