La sécurité du blockchain

De nombreux secteurs sont en train d'étudier les applications du Blockchain, qui font l'objet de projets pilotes. Consultez notre récent livre blanc « (R)évolution du Blockchain – La perspective suisse » (1) pour avoir un aperçu général des applications du Blockchain sur le marché suisse. La plupart de ces nouvelles applications doivent traiter et stocker des données sensibles. Dans le secteur de la santé, par exemple, ce sont les dossiers médicaux des patients, les métadonnées médicales, les informations sur les essais cliniques et les renseignements permettant d'identifier une personne. Par conséquent, nos clients sont de plus en plus préoccupés par la sécurité du Blockchain et par ses capacités et limites à protéger les données essentielles.

D'après notre expérience, trois aspects compliquent la gestion de la sécurité du Blockchain :
 

1. L'immaturité et la complexité de la technologie
 

En raison des différents algorithmes de consensus disponibles (p. ex., preuve de travail ou preuve d'enjeu), types de Blockchain (p. ex. avec autorisation ou sans autorisation), et protocoles cryptographiques complexes sous-jacents, les professionnels de la sécurité ont du mal à bien comprendre les flux de données et les potentielles failles de sécurité. En outre, il existe plusieurs plateformes et mises en œuvre de Blockchain, ce qui nécessite d'évaluer l'aptitude d'une application à s'intégrer à un système de Blockchain donné.

2. L'absence de normes et de réglementations sur la technologie du Blockchain
 

À l'heure actuelle, la technologie du Blockchain n'est pas réglementée, ce qui entraîne des incertitudes juridiques et des zones grises. Un exemple intéressant de l'absence de contrôles et de lois régissant les réseaux de Blockchain est le piratage de la DAO (2), où une vulnérabilité liée aux contrats intelligents (3) a entraîné une perte de 60 millions de dollars américains pour le réseau (4).

3. La croyance répandue que le Blockchain est sécurisée par défaut

La technologie du Blockchain repose sur la cryptographie à clé publique et des primitives telles que les signatures numériques et les fonctions de hachage, ce qui peut donner une fausse impression de sécurité. Le fait que tous les protocoles cryptographiques ont leurs limites et que la sécurité globale comprend non seulement la technologie, mais également les personnes et les processus, est souvent négligé par les analyses de sécurité du Blockchain.

Pour surmonter ces difficultés, nous conseillons à nos clients d'adopter une approche fondée sur les risques à l'égard de la sécurité du Blockchain, qui assure la sélection des contrôles de sécurité en fonction des besoins de l'entreprise et des cas d'utilisation commerciale. Cette approche peut se résumer comme suit:

• Comprendre la criticité des données et des processus
  La première étape consiste à comprendre la sensibilité des données qui sont stockées et traitées dans le Blockchain. En comprenant les implications réglementaires et en réalisant une analyse d’impact pour l'entreprise, il est possible de déterminer l'importance de la confidentialité, de l'intégrité et de la disponibilité des données.
  
• Créer un modèle de menaces
  En second lieu, l'analyse doit prendre en compte les menaces traditionnelles liées à l'infrastructure de clés publiques et au développement des applications, comme la compromission des clés et les erreurs de programmation. Il faut également identifier les vecteurs d'attaques propres au Blockchain pour l'application donnée. Ceux-ci comprennent le détournement du consensus, le déni de service distribué (DDoS), l'exploitation du Blockchain avec autorisation, l'exploitation des contrats intelligents et le piratage de portefeuille (5). Il est alors possible de répertorier les scénarios de risque et d'évaluer leur probabilité et leur impact.
  

• Sélectionner les contrôles de sécurité
  La dernière étape est la sélection des contrôles de sécurité qui tiennent compte des risques identifiés. Un certain nombre de bonnes pratiques de sécurité traditionnelles peuvent être mises en œuvre. Celles-ci comprennent une gestion solide des clés de chiffrement, la révision du code source, le chiffrement des données, le contrôle d'accès et le monitoring de la sécurité. En outre, on peut mettre en place des techniques propres à la technologie Blockchain, comme la gestion de portefeuille sécurisé, la gestion de chaîne avec autorisation et le développement de contrats intelligents sécurisés. Enfin, il est important de garder à l'esprit que les individus, les processus et la technologie jouent un rôle clé dans la bonne protection des applications utilisant le Blockchain. Par exemple, les conséquences du piratage de la DAO mentionné ci-dessus auraient pu être limitées si une structure de gouvernance et un processus approprié d'intervention en cas d'incident avaient été mis en place.
  

Si vous souhaitez participer à une première discussion concernant la sécurité du Blockchain et l’approche de Deloitte à cet égard, nous vous invitons à prendre contact avec notre équipe.

1. Deloitte AG, The Blockchain (R)evolution The Swiss Perspective, February 2017.
2. P. Vessenes
3. IBM Research
4. Etherscan
5. ENSIA, Distributed Ledger Technology & Cybersecurity – Improving information security in the financial sector, December 2016