Cet article a été traduit automatiquement. Consulter la version de référence en anglais.
Alcatel-Lucent Rainbow™ est une approche hybride de communication unifiée en tant que service, basée sur le cloud et destinée aux entreprises. Rainbow offre une solution globale de collaboration et de communication tout en répondant aux besoins spécifiques des clients finaux d'ALE. Qu'il s'agisse d'une petite entreprise nécessitant une mobilité rentable ou d'une organisation multinationale souhaitant une norme unique pour les communications unifiées à travers leur environnement informatique complexe, leur vaste zone géographique et leurs processus commerciaux, Rainbow peut répondre à leurs besoins en matière de communications unifiées. Rainbow dispose d'une plateforme UCaaS et CPaaS évolutive et basée sur l'informatique en nuage, conçue dans un souci de haute disponibilité et de résilience. La protection de la confidentialité, de l'intégrité et de la disponibilité des données des utilisateurs de l'ALE, tout en conservant leur confiance, est également une priorité absolue.
Modèle de responsabilité
L'infrastructure Rainbow a été architecturée avec la sécurité dès la conception. Elle fournit une plateforme évolutive et fiable qui permet aux clients de s'interfacer avec des applications personnalisées, mais aussi de les déployer rapidement et en toute sécurité. L'infrastructure de l'ALE est construite et gérée conformément aux contrôles et politiques de sécurité des normes de l'industrie du Cloud, telles que OWASP. Nous utilisons des contrôles redondants et superposés, ainsi qu'une validation et des tests continus. En outre, tout est automatisé pour garantir que l'infrastructure sous-jacente est surveillée, fiable et sécurisée 24 heures sur 24, 7 jours sur 7 et 365 jours par an.
ALE fonctionne selon un modèle de responsabilité partagée en matière de sécurité, où ALE est responsable de la sécurité de l'infrastructure et des services Rainbow sous-jacents, tout en laissant nos clients gérer leur sécurité respective au niveau de la couche d'application, y compris la connectivité au Cloud, ainsi que les règles de confidentialité de leur entreprise et de leurs utilisateurs, les identités et la gestion du contrôle d'accès au sein du domaine Rainbow, comme le montre la figure 1.
Figure 1 : Modèle de responsabilité partagée de la sécurité Rainbow
Sécurité physique et environnementale
La confidentialité des données dans l'infrastructure, l'intégrité du contenu du service et la disponibilité des données stockées sont les principales préoccupations de l'ALE. L'ALE est responsable de la protection de l'infrastructure mondiale qui gère tous les services offerts par Rainbow, y compris le matériel, les logiciels, les équipements de réseau et les installations qui exploitent les services Rainbow. Les centres de données de Rainbow s'appuient sur des technologies modernes certifiées ISO-27001 et SOC. Ils sont isolés par des clôtures en fil de fer barbelé et l'accès physique est strictement surveillé 24 heures sur 24 et 7 jours sur 7 - à la fois au périmètre et aux points d'entrée du bâtiment par un personnel de sécurité professionnel utilisant la vidéosurveillance. Le personnel autorisé reçoit un badge nominatif contrôlé par RFID avec des examens récurrents des accréditations personnelles.
Chaque salle du centre de données est équipée d'un système de détection et d'extinction d'incendie ainsi que de portes coupe-feu pour prévenir les risques. Le système de détection d'incendie utilise des capteurs de détection de fumée dans tous les environnements du centre de données, les espaces d'infrastructure mécanique et électrique, les salles de refroidissement et les salles d'équipement des générateurs, conformément à la règle APSAD R4 et à la certification de conformité N4.
Chaque système d'alimentation électrique de centre de données est conçu pour être entièrement redondant et maintenable sans impact sur les opérations, 24 heures sur 24, sept jours sur sept, prenant en charge 48 heures d'autonomie initiale pour contrer toute défaillance du réseau d'alimentation électrique. Un système d'alimentation sans coupure (UPS) fournit également une alimentation de secours en cas de panne électrique.
Nos centres de données s'appuient sur leur propre réseau de fibres optiques à travers le monde, offrant une capacité totale de bande passante de réseau pouvant atteindre 4,5 Tb/s en Europe et 8 Tb/s en Amérique du Nord. Des techniques propriétaires d'atténuation du déni de service distribué (DDoS) sont utilisées au niveau du réseau pour protéger les services de l'ALE contre diverses attaques, détectées dans un délai d'une seconde, filtrant le trafic illégitime et l'aspirant jusqu'à 4 Tb/s, tout en laissant passer les paquets légitimes avec un délai de 1 ms.
Géographies
Rainbow est architecturé pour prendre en charge plusieurs régions géographiquement isolées, afin de se conformer aux réglementations légales et d'offrir à ses utilisateurs la meilleure expérience possible. L'ALE assure la confidentialité des données au niveau régional en garantissant aux utilisateurs que leurs données sensibles ne seront jamais répliquées au-delà des frontières. Le service Rainbow est ensuite réparti entre les régions afin de minimiser la latence du service vis-à-vis des utilisateurs, tout en garantissant les frontières des données.
À l'heure actuelle, comme le montre la figure 2, les données des utilisateurs sont liées à sept régions clés : Amérique du Nord, Caraïbes et Amérique latine, Europe, Moyen-Orient et Afrique (par défaut), Allemagne, Asie-Pacifique, Australie, Nouvelle-Zélande et Chine continentale, avec une couverture étendue aux États-Unis et en Asie. Les principaux centres de données d'ALE se trouvent au Canada, au Brésil, en France, en Allemagne, à Singapour, en Australie et en Chine. Les centres de données secondaires, qui n'hébergent aucune donnée mais servent uniquement de cache et de relais média, se trouvent aux États-Unis, en Afrique du Sud et au Japon. Ces sites déchargent l'infrastructure du réseau en fournissant aux utilisateurs de Rainbow un accès local direct à des ressources statiques par le biais d'un mécanisme IP AnyCast. L'ALE propose également un centre de données dédié à l'hébergement des données sensibles relatives aux soins de santé.
Figure 2 : Régions de disponibilité de Rainbow
Continuité des activités
ALE a conçu Rainbow pour tolérer des pannes de site, de centre de données, de système ou de matériel avec un impact minimal sur le client. Tous les services de l'ALE sont déployés dans une configuration redondante N+1 afin de garantir l'absence de point de défaillance unique (SPOF) et une capacité informatique suffisante pour permettre au trafic d'être réparti sur les serveurs restants en cas de défaillance d'une instance. Toutes les demandes d'application sont réparties uniformément entre les équilibreurs de charge internes et externes. Les bases de données et les données générées par les utilisateurs sont répliquées et sauvegardées à plusieurs reprises, par région, afin d'éviter toute perte. L'ALE ajoute des mécanismes GeoDNS et un support de basculement automatique pour faire face à d'éventuels problèmes de routage Internet et garantir l'accès des utilisateurs au point de présence le plus proche. L'infrastructure de production complète de Rainbow est automatisée afin de garantir un déploiement fiable et reproductible à 100 % des différents composants.
Les équipes d'assistance à la clientèle et d'exploitation de Rainbow utilisent des procédures de diagnostic standard pour résoudre les problèmes lors d'événements ayant un impact sur l'activité de l'entreprise. Des opérateurs assurent une couverture 24 heures sur 24, 7 jours sur 7 et 365 jours par an pour détecter les incidents et en gérer l'impact et la résolution. Des méthodes de communication interne sont en place pour s'assurer que les employés de l'équipe d'exploitation du Cloud d'ALE comprennent leurs rôles et responsabilités individuels et comment communiquer les événements importants en temps opportun. L'ALE a également mis en œuvre diverses méthodes de communication externe pour soutenir sa clientèle. Des mécanismes sont en place pour permettre à l'équipe d'assistance à la clientèle d'être informée des problèmes opérationnels qui ont un impact sur l'expérience des clients.
Les changements de routine, d'urgence et de configuration de l'infrastructure existante de Rainbow sont autorisés, testés, approuvés, automatisés et déployés uniquement par des membres désignés de l'équipe des opérations Cloud de l'ALE. Les mises à jour de l'infrastructure de Rainbow sont effectuées de manière à minimiser tout impact sur le client et son utilisation des services. Les modifications sont testées avant d'être appliquées à l'environnement de production afin de s'assurer qu'elles se comporteront comme prévu et qu'elles n'auront pas d'impact négatif sur les performances. Tous les changements doivent être autorisés par les membres du Change Advisory Board (CAB) interne afin d'assurer une supervision appropriée et de comprendre l'impact potentiel sur le Business.
Les changements clés sont programmés pendant les fenêtres de déploiement régulières (le dimanche, heure d'Europe centrale). Les modifications d'urgence apportées aux systèmes de production qui nécessitent des écarts par rapport aux procédures standard de gestion des changements sont associées à un incident et sont authentifiées et approuvées comme il se doit.
Principes de conception
Rainbow fournit plusieurs capacités et services de sécurité pour renforcer la confidentialité et contrôler les accès au réseau, notamment des pare-feu, le cryptage en transit avec le niveau le plus élevé des spécifications du protocole TLS pour tous les services, et des technologies d'atténuation des attaques DDoS.
La politique de sécurité de Rainbow met en œuvre des règles de blocage du trafic pour refuser tout trafic par défaut et n'ouvrir que les ports nécessaires sur les différents équilibreurs de charge en place. Les systèmes ALE n'acceptent que les connexions HTTPS / WSS (443) entrantes, tous les accès en clair étant redirigés vers des connexions sécurisées TLS. Dans la mesure où les équilibreurs de charge, les serveurs de messagerie et les relais média WebRTC sont hautement sécurisés, aucun composant n'est exposé ou accessible via l'internet (public). Les opérations de ces serveurs ne sont possibles que sur des points d'accès hautement contrôlés par le biais d'un VPN restreint basé sur une authentification à deux facteurs, en suivant une politique de non-mot de passe, empêchant toute attaque possible par force brute.
L'ALE contrôle la qualité de la sécurité des interfaces exposées à l'aide d'outils externes tels que Qualys SSL Labs, ce qui garantit le maintien d'un niveau de service approprié. Les certificats SSL/TLS wildcard standard de l'autorité de certification Comodo sont utilisés et reconnus par 99,9 % des navigateurs. Ils utilisent une clé EC de 256 bits et sont signés avec RSA SHA-256. La politique d'ALE consiste à ne prendre en charge que les algorithmes de chiffrement les plus puissants, en imposant des connexions TLSv1.2+ (et en désactivant SSLv2, SSLv3, TLSv1.0 et TLSv1.1), et en rejetant par conséquent les connexions provenant de navigateurs et de clients faibles tels que IE 6-10, Safari 5-6, Android < 4.4, Java 6-7 et OpenSSL < 1.0.
Les équilibreurs de charge Rainbow prennent en charge le Perfect Forward Secrecy (PFS), en utilisant les suites de chiffrement Diffie-Hellmann (DH) et Elliptic Curve Diffie-Hellmann Ephemeral (ECDHE), la Downgrade Attack Prevention, l'agrafage OCSP et sont connus pour être à l'abri de toutes les dernières menaces populaires telles que les attaques DROWN, BEAST, POODLE, HeartBleed et Spectre (parmi d'autres). La politique de l'ALE consiste à manipuler les numéros de version du serveur d'application afin d'empêcher les attaques basées sur le balayage.
L'ALE utilise Strict Transport Security (HSTS) et est préchargé dans les listes blanches HSTS publiques des navigateurs afin de renforcer les connexions TLS. Les serveurs Rainbow fonctionnent tous sur la distribution GNU/Linux Debian, configurée pour toujours suivre la dernière branche de sécurité, ce qui garantit que les paquets système sont mis à jour en cas de faille de type "zero-day". Le réseau de production Rainbow est un système d'information totalement autonome, séparé du réseau d'entreprise ALE par un ensemble complexe de mécanismes de sécurité et d'authentification du réseau.
Couche d'application
Pour garantir que seuls les utilisateurs et les administrateurs autorisés de Rainbow accèdent à leurs comptes et aux ressources associées, Rainbow utilise plusieurs types d'informations d'identification pour l'authentification. L'authentification de l'utilisateur se fait au moyen de l'authentification de base via TLS en associant l'adresse e-mail de l'utilisateur et son mot de passe privé, et les appels API ultérieurs reposent sur des jetons Web JSON (JWT) signés. Les mots de passe des utilisateurs finaux sont hachés et salés dans la base de données interne de Rainbow. Par conséquent, et pour des raisons de sécurité, les identifiants oubliés ne peuvent pas être récupérés, ce qui offre à l'utilisateur une sécurité supplémentaire dans le cas malheureux d'une violation de données. Le système Rainbow réinitialisera alors le mot de passe de l'utilisateur.
Un mot de passe est nécessaire pour accéder à un compte Rainbow. Il est spécifié au moment de la création du compte et peut être modifié à tout moment. Un niveau élevé de complexité est obligatoire pour les mots de passe des utilisateurs, avec un minimum de huit caractères, dont au moins une lettre minuscule, une lettre majuscule, un chiffre et un caractère spécial. L'authentification multifactorielle (MFA) Rainbow est une couche de sécurité supplémentaire lorsqu'il s'agit de l'auto-enregistrement du compte ou du mécanisme de réinitialisation du mot de passe. Un code PIN temporaire unique à six chiffres est envoyé à l'adresse e-mail d'un utilisateur et doit être validé dans Rainbow pour assurer la configuration du mot de passe.
Une fois l'utilisateur authentifié, les listes de contrôle d'accès (ACL) de Rainbow garantissent que chaque utilisateur se voit offrir l'ensemble limité de capacités que son profil offre actuellement. Les administrateurs d'entreprise ont la possibilité d'associer des utilisateurs à leur entreprise, de promouvoir des utilisateurs à différents niveaux de plan de service Rainbow et de mettre à jour la visibilité de l'entreprise au sein de Rainbow. À l'exception de la société publique "Rainbow", les sociétés privées sont isolées par défaut, la visibilité par défaut limitant les possibilités d'atteindre d'autres sociétés que la sienne, comme le montre la figure 3.
Figure 3 : Visibilité des entreprises de Rainbow
Des frontières de données sont mises en place, empêchant tout accès logique aux données des utilisateurs et des entreprises, sauf pour les pairs explicitement autorisés.
Conformité au cadre de sécurité
L'infrastructure Rainbow qu'ALE fournit à ses hôtes est conçue et gérée conformément aux normes de sécurité du Cloud, les services Cloud d'ALE étant certifiés ISO/IEC 27001:2013, 27017:2015 et 27018:2014 et HDS 1.1, l'hôte d'ALE étant certifié ISO/IEC 27001:2013, SOC 1 / SSAE 16 / ISAE 3402 (anciennement SAS 70), SOC 2 et SOC 3, les membres du personnel des opérations d'ALE étant également certifiés ISO 27001 " Lead Implementer " (chef de file de la mise en œuvre).
L'infrastructure et la solution logicielle de l'ALE font l'objet d'un examen constant par le biais de scanners de vulnérabilité de réseaux tiers, de scanners d'applications web et d'audits de sécurité manuels menés par des acteurs externes indépendants. La sécurité étant une priorité, toutes les mesures nécessaires sont prises pour atténuer ou éliminer toute menace découverte.
Respect de la confidentialité des données
Les services Rainbow sont conçus pour être conformes aux règles et réglementations en matière de protection des données personnelles et en particulier au règlement général européen sur la protection des données (GDPR) qui met en œuvre la protection de la vie privée et des données pour les individus. Le GDPR repose sur trois grands principes qui ont guidé la philosophie de la sécurité des données de Rainbow : le respect de la vie privée dès la conception, la sécurité par défaut et la responsabilité. La protection des données des clients est primordiale, c'est pourquoi l'ALE a mis en place des mécanismes et des processus de sécurité afin de garantir une sécurité approfondie pour le respect de la vie privée des personnes concernées. Vos données ne vous appartiennent qu'à vous-même et ne sont jamais traitées à des fins commerciales ni transférées à des tiers, où que ce soit, à moins que cela ne soit nécessaire. Le niveau de protection des données personnelles est au moins au niveau requis par le GDPR lorsque vos données sont transférées et que vous avez donné votre consentement préalable. Les données des utilisateurs restent également stockées dans les zones géographiques auxquelles ils appartiennent, ce qui garantit la conformité légale partout où elle s'applique.