La sécurité dès la conception, pas sur liste de contrôle

Il est tentant de traiter la sécurité comme une phase : construire le produit, puis le durcir. Nous pensons que cet ordre est à l'envers. Au moment où l'on part à la recherche des failles, l'architecture a déjà décidé où elles se trouvent. Chez Vexaro, les propriétés de sécurité passent donc en premier et les fonctionnalités s'y adaptent, et non l'inverse.

Aucune confiance implicite, par défaut

Dans Vexaro, rien n'est considéré comme digne de confiance du simple fait de sa place sur le réseau. Chaque session exige l'accord affiché à l'écran de l'hôte ou son mot de passe d'accès sans surveillance, chaque appareil garde ses propres règles sur qui peut s'y connecter et avec quels droits, et l'accès sans surveillance peut être limité à une liste d'ID Vexaro autorisés. C'est ce qui rend le reste maîtrisable : quand chaque session passe les mêmes contrôles, aux conditions de l'hôte, on peut raisonner sur qui peut atteindre quoi sans dessiner la carte du réseau.

Un chiffrement qu'il n'y a pas à activer

Les sessions directes sont chiffrées de bout en bout : la frontière du chiffrement, ce sont les deux machines, pas notre infrastructure. Lorsqu'un réseau impose une connexion relayée, le trafic reste chiffré en transit via des relais exploités par Vexaro. Dans les deux cas, aucun interrupteur à actionner : le chiffrement est la façon dont une session fonctionne.

Moindre privilège et vraie piste d'audit

• Les rôles accordent l'accès le plus restreint qui suffit à la tâche, et chaque appareil garde ses propres règles : qui peut s'y connecter sans surveillance, et avec quels droits.
• Les actions d'administration, les sessions et les événements d'accès sont consignés dans un journal d'audit que vous pouvez, avec les offres payantes, exporter et examiner selon vos propres critères.
• L'enregistrement des sessions, qu'un administrateur active pour toute l'organisation à partir de l'offre Team, vous donne le récit de ce qui s'est passé pendant une connexion, et pas seulement le fait qu'elle a eu lieu.

Affirmer que l'accès est contrôlé ne vaut que ce que vaut votre capacité à le vérifier après coup. C'est pourquoi le journal est une partie à part entière du produit et non un export greffé plus tard.

Où nous en sommes aujourd'hui

La sécurité dès la conception est un travail continu, et nous sommes en accès anticipé. Nous ne revendiquerons pas de certifications que nous n'avons pas obtenues et n'afficherons pas de nombre de clients pour paraître plus grands que nous ne sommes. Ce que nous ferons : dire clairement ce qui est vrai aujourd'hui, travailler à une certification internationale reconnue et publier notre avancement à chaque étape franchie. Si vous menez une évaluation fournisseur, notre équipe peut vous présenter la vue d'ensemble actuelle de la sécurité et les éléments qui l'étayent.

Une affirmation de sécurité ne vaut que ce que vaut le journal d'audit capable de la vérifier.

Concevoir pour la sécurité dès le premier commit n'a rien de spectaculaire et se voit rarement dans une démo. Mais c'est la différence entre un produit sûr parce que quelqu'un a pensé à vérifier et un produit sûr parce qu'il pouvait difficilement en être autrement. C'est cette version que nous voulons exploiter, et celle que nous voulons que vous exploitiez aussi.