Vos données sont illisibles pour votre prestataire, et pour nous

« Et vous, vous pouvez lire nos données ? »

C’est la question qui arrive en rendez-vous, tôt ou tard. La réponse doit être vérifiable, pas rassurante.

Beaucoup de solutions chiffrent au repos, côté serveur : les données sont chiffrées sur le disque du serveur de sauvegarde. Cela protège contre le vol physique du disque. Cela ne protège pas si quelqu’un obtient un accès au serveur, puisque c’est le serveur qui détient la clé.

BeBackup chiffre à la source. Les données sont chiffrées sur la machine sauvegardée, avant de partir, avec une clé qui ne quitte jamais cette machine. Le serveur ne stocke que des blocs inintelligibles et l’empreinte de la clé — de quoi vérifier qu’un agent présente la bonne clé, jamais de quoi déchiffrer.

La contrepartie, dite franchement

Un chiffrement dont la clé reste chez le client a une conséquence qu’il faut énoncer clairement : la clé est propre à chaque poste et elle est irremplaçable. Personne ne peut la régénérer, ni vous, ni nous.

C’est exactement ce qui rend la garantie de confidentialité crédible — et c’est aussi ce qui fait de la conservation sécurisée de la clé de récupération une tâche d’exploitation à part entière, à organiser avant le premier déploiement. Pour un prestataire qui gère un parc, c’est une procédure à écrire, pas une case à cocher.

Un prestataire peut également choisir d’imposer une clé côté serveur pour les postes qu’il administre, s’il préfère centraliser cette responsabilité plutôt que la laisser à chaque machine. Ce qu’un prestataire prend en charge

Certificats : émis, importés, renouvelés

• Autorité de certification interne : création de la CA et des certificats, génération de demandes CSR, import de certificats externes et régénération du certificat serveur — le tout depuis l’interface.
• Let’s Encrypt automatique : émission depuis l’interface via ACME v2 (tls-alpn-01 et http-01), puis renouvellement automatique 30 jours avant expiration. Let’s Encrypt, Buypass et ZeroSSL sont proposés, et une autorité personnalisée peut être indiquée par URL.
• Plancher TLS 1.2 pour les navigateurs, TLS 1.3 pour les agents.

Le certificat expiré un dimanche matin est un classique de l’exploitation. Ici, le renouvellement ne dépend ni d’une tâche planifiée à écrire, ni d’un rappel dans un agenda.