virtual browser

Cet été a été l’occasion pour une partie de notre R&D de se pencher sur l’amélioration du support des flux vidéos dans Virtual Browser.

Jusqu’à présent (et comme la grande majorité des technologies de déport d’affichage), les vidéos étaient gérées comme une succession d’images statiques, ce qui entraîne alors une consommation excessive de la bande passante et des ressources du serveur et aboutit à un manque de fluidité pour l’utilisateur.

Comme nous attachons une grande attention à la performance de notre déport d’affichage, nous avons décidé de nous attaquer au problème. Thibault (R&D commonIT) a réalisé une étude approfondie du sujet qui a permis de réaliser deux évolutions ayant un impact sensible sur la gestion des vidéos :

• Utilisation dynamique d’un algorithme de compression d’image avec ou sans perte en fonction de chaque image (photos/dessin, statique/dynamique).

• Identification à la volée des zones dynamiques (et en particulier des vidéos) avec création d’un flux de streaming (MPEG) pour les gérer au lieu de transmettre les images.

Ces évolutions sont actuellement en test et feront parties des améliorations de la version 2.1 qui sortira à la fin du mois.

La dernière version de Virtual Browser amène son lot de nouveautés (comme à chaque nouvelle version… merci à l’équipe de Mathieu ;-)). Mais parmi elles, il en est une qui va donner une nouvelle dimension à notre produit. En effet, il est désormais possible de publier sur le serveur Virtual Browser, aux cotés des différents moteur de navigation que nous intégrons déjà (IE, Firefox, java, flash, …), les clients ICA et RDP. Autrement dit, avec VB, un utilisateur peut se connecter aussi bien à des applications web qu’à des applications virtuelles ou à des bureaux virtuels complets.

La nouveauté est suffisamment importante pour qu’on s’arrête un instant sur sa finalité. Cette nouvelle version offre en fait la possibilité pour un utilisateur de se connecter, à partir d’un client unique, sécurisé, multiplatforme et ne nécessitant aucune installation sur le poste, à toute application webifiée ou virtualisée sans se soucier: (i) ni de ce qu’il y a sur son poste, (ii) ni de la compatibilité entre son client et l’application, (iii) ni du chemin d’accès à l’application en questions. L’objectif que nous poursuivons derrière cela est de faire de VB un browser universel d’accès au cloud.

Le terme de “Cloud” (ou “Cloud Computing“) est assez nouveau et donc pas encore parfaitement défini. Dans notre définition, il recouvre l’ensemble des applications, web ou virtuelles, hébergées par l’entreprise (private cloud) ou par des fournisseurs de service en ligne (Software-as-a-Service). Aujourd’hui, les entreprises vont petit à petit vers le Cloud Computing, ce qui a conduit leur datacenter à se disperser, un peu dans les environnements virtuels (Citrix et consorts), un peu dans les Intranet, un peu sur Internet, chez Google, Salesforce et les autres leaders du SaaS.

En positionnant VB comme un client universel d’accès au cloud, nous voulons accompagner les entreprises dans cette évolution en permettant trois choses fondamentales :

1- La sécurité grâce au chiffrement des flux, à l’authentification des accès et au cloisonnement des différents environnements : (i) Internet, (ii) applications internes, (iii) applications en ligne, (iv) poste de l’entreprise et (v) poste non maîtrisé

2- La centralisation du management et des mises à jour sur un serveur unique, redondant et évolutif

3- L’indépendance entre le poste utilisateur et les applications publiées. Le compatibilité et le chemin d’accès à une application sont totalement indépendants du poste de travail.

La version 1.0 de la solution Virtual Browser est officiellement disponible depuis quelques jours. Cette première version, largement testée et validée par des utilisateurs et des experts répond aux attentes du marché en matière de sécurité et de mobilité des applications web.

Joseph Latanicki, architecte sécurité à Theresis, le laboratoire d’Innovation de la division Security, Solutions & Services du groupe Thales, est un des experts qui a testé cette version, son retour est très positif : « Virtual Browser est une solution très intéressante car elle garantit par construction la protection du poste et du réseau contre les menaces venant d’Internet. Elle permet aussi de contrôler l’usage et les contenus du navigateur, y compris dans les flux chiffrés https. Mais au-delà de la sécurité, le produit de commonIT ouvre de nouvelles perspectives en matière d’accès aux applications web. ». En effet, grâce à Virtual Browser une entreprise peut développer et publier ses applications web sans se soucier de la compatibilité des navigateurs ou des problèmes de sécurité des postes distants. La solution permet à l’entreprise de mettre à disposition, de façon virtuelle, la version de navigateur qui est compatible avec chaque application.

La conférence RSA de San Francisco (du 20 au 24 avril) est un évènement mondial du marché des technologies de sécurité. C’est une opportunité que nous ne voulions pas manquer. Mais à peine 3 mois après le lancement de commonIT, la logistique pour organiser notre présence sur le salon n’était pas forcément compatible avec le fort développement commercial de l’entreprise.

Heureusement, RSA est venue à notre secours ! Cette année la conférence propose un évènement appelé RSA Innovation Sandbox. Il s’agit d’une compétition entre start-up. RSA invite les jeunes sociétés les plus innovantes comme commonIT à présenter et démontrer, en quelques minutes, leur technologie devant un panel de gourous de l’industrie de la sécurité informatique.

A cet instant commonIT est donc en compétition avec une trentaine de sociétés du monde entier. Si vous êtes inscrit sur la conférence RSA, vous pouvez nous aider en votant pour Virtual Browser ici.

Et si nous avons l’occasion de nous croiser à San Francisco, sachez qu’il y aura une pint d’Anchor Steam pour chacun de nos supperters ! Consultez notre vidéo de présentation de 30 secondes.

Virtual Browser n’a pas laissé la presse IT indifférente et nous sommes heureux de pouvoir compter plusieurs articles annonçant le lancement de commonIT.

Parmi eux, une longue interview dans Global Security Mag et quelques articles sur des sites spécialisés comme Security Vibes ou Mag securs.

Parions que ce n’est qu’un début car les jours à venir devraient apporter leur lot d’annonces de taille pour commonIT.

A suivre…

Au travers des pages de notre “stress-free blog” vous pouvez découvrir notre vision de la sécurité web en particulier et de la manière dont le marché évolue en général… Pour mieux comprendre cette vision, il manque sans doute des détails sur notre activité et sur notre innovation, Virtual Browser.

Virtual Browser est un navigateur web d’un genre nouveau qui garantit dans son architecture la sécurité et la mobilité.

Par construction, il ne s’exécute pas sur le poste de l’utilisateur mais dans un environnement isolé et sécurisé, sur un serveur virtuel hébergé dans une DMZ ou “in the cloud”. Seuls les éléments de présentation (images, sons, clavier, souris, impressions, etc…) sont affichés sur le poste, le coeur du navigateur est physiquement exécuté à distance. Par son architecture, Virtual Browser garantit ainsi qu’aucune attaque ne peut contaminer le poste puisqu’aucun code web n’est exécuté localement. En outre, Virtual Browser permet de cloisonner les sessions web selon le niveau de sensibilité des applications qu’elles sont autorisées à exécuter. Grâce à ce mécanisme, les applications sensibles (CRM, banque en ligne, travail collaboratif, etc…) sont protégées du surf Internet.

Par ailleurs, Virtual Browser joue un rôle de client d’accès aux applications web internes de l’entreprise depuis l’extérieur. Pour l’utilisateur nomade, Virtual Browser lui permet de retrouver son environnement de navigation où qu’il se trouve avec un affichage complet même sur terminal mobile.

En ce sens, Virtual Browser peut aussi être proposé comme client d’accès à des applications web publiées par une entreprise pour ses clients ou ses partenaires. Grâce à Virtual Browser l’entreprise peut non seulement protéger ses usagers mais également contrôler l’usage qu’ils font de l’application. En effet, comme aucune connexion IP n’est montée entre le poste et le serveur qui publie l’application, l’entreprise se prémunit contre toute infection par un poste qui serait contaminé… Et cela sans avoir besoin de mettre en place des technologies de contrôle d’intégrité du poste.

Il y a quelques mois, Checkpoint/ZoneAlarm a lancé ForceField, une solution de sécurité du navigateur virtualisée. Quand on examine le descriptif produit, on lit:

“ZoneAlarm Forcefield fournit une couche de protection autour de votre navigateur, vous protégeant ainsi des téléchargements invisibles de type “drive-by downloads”, des exploitations du navigateur, des tentatives de phishing, des logiciels espions et des enregistreurs de touches. Ainsi vos mots de passe, vos informations confidentielles et vos données financières restent protégés.“

Et d’affirmer présomptueusement que “Rien n’égale la protection que vous apporte ZoneAlarm ForceField“….

Cela paraît très prometteur et semble une très bonne réponse aux problémes de sécurité du navigateur. Mais la réalité semble tout autre… pour preuve citons cet excellent article paru dans InfoWorld et qui montre qu’il a fallu moins de 60 secondes à Robert Grimes pour contourner la protection de ForceField. Et cela n’est pas très étonnant ; en effet, c’était déjà le cas avec le produit GreenBorder (depuis racheté par Google) lors d’un test mené il y a quelques années. Ce n’est pas très étonnant parce que ce n’est pas l’implémentation de la technologie de “sandbox” qui est en cause mais plutôt l’approche même de sandbox. D’ailleurs, les experts de Checkpoint/ZoneAlarm le reconnaissent eux-mêmes : pour atteindre un niveau de sécurité satisfaisant, il est nécessaire que le système sous-jacent soit à jour et sécurisé !!! Où est donc la virtualisation là dedans ? L’intérêt de rajouter une couche de sécurité supplémentaire sur le poste de travail s’en trouve ainsi bien limité…
Alors, quelle solution ? Un VRAI navigateur virtuel qui s’exécute VRAIMENT dans un environnement d’exécution distinct et qui n’a absolument pas besoin d’un poste à jour et sécurisé pour permettre à l’utilisateur de surfer en toute tranquillité.

Je ne suis pas un grand fan des analogies quand on parle d’informatique. Moi qui suis un homme de marketing, j’admets qu’elles ont des vertus pédagogiques et permettent de faire passer des idées qui en matière de nouvelles technologies sont assez difficiles à comprendre. Mais en même temps je leur reproche une tendance à la vulgarisation qui, en tirant les concepts par les cheveux, finit parfois par en retirer la force… Mais puisque commonIT est née d’une innovation technologique que nous destinons au plus grand nombre, une fois n’est pas coutume, je me risque à une analogie :

A Lyon, pas loin de notre siège, a ouvert un centre unique au monde, appelé IWAY dans lequel on peut piloter des formules 1 dans un simulateur si performant que même les pilotes professionnels sont bluffés. Le parallèle avec commonIT et notre produit Virtual Browser est intéressant. Imaginez que vous conduisez une formule 1 dans un simulateur si réaliste que tout se passe comme sur un vrai circuit : vous allez aussi vite, vous avez les mêmes sensations, vous bénéficiez des mêmes technologies, de la même sécurité… Mais si vous avez un accident, vous ne risquez rien, vous redémarrez la course et la partie recommence. Remplacez le circuit par Internet, la formule 1 par un navigateur, l’accident par une attaque informatique et vous comprenez le concept de Virtual Browser : garantir que vos données et vos applications ne risquent rien, même en cas d’attaque.

Parmi les nombreuses discussions qui ont contribuées à la genèse de commonIT, il en est une que Daniel et moi avons eue il y a quelques temps en regardant de près le développement du Web 2.0 qui apportait à peu près autant de nouvelles fonctions que de problèmes de sécurité. Les échanges P2P, les messageries instantanées, les réseaux sociaux, etc… Tout conduisait au même constat : le poste de travail et ses données sont connectés à des applications complexes que les produits existants sont incapables de contrôler correctement. Aucune solution de sécurité n’est fiable à 100%. Tous les éditeurs vous le diront, une solution de sécurité a une obligation de moyen, pas de résultat. Et c’est bien là le problème. Avec le développement exponentiel des nouvelles technologies d’Internet, les moyens à mettre en oeuvre deviennent disproportionnés au regard des résultats. Au cours de cette discussion nous avons cherché à prendre le problème à l’envers de ce que veulent les conventions de notre domaine : Plutôt que de penser à un énième logiciel (anti-virus, anti-spyware, anti-spam, anti-phishing, anti-ce-que-vous-voulez qui serait venu surcharger des produits de sécurité et des postes de travail déjà étouffés par des fonctions plus ou moins efficaces) nous avons remis en cause l’architecture des logiciels de sécurité eux-mêmes. Nous avons imaginé qu’il soit possible d’inventer un produit dont l’architecture garantirait à 100% la sécurité des postes connectés aux applications web.

Un peu plus tard (et environ 10 ans après qu’il ait conçu une architecture qu’IDC appelera UTM - Unified Threat Management), Daniel inventait Virtual Browser, une solution sécurisée nativement, par son architecture. Virtual Browser est un navigateur web qui ne s’exécute pas sur le poste de travail, mais sur un serveur isolé, seuls l’affichage et le son arrivent sur le poste. Le code est éxécuté dans un environnement isolé. Par construction, l’architecture de Virtual Browser garantit que si, malgré le haut niveau de sécurité de la solution, une attaque n’est pas bloquée, les applications, les données et l’ensemble du réseau ne risquent rien. Virtual Browser est la première solution “secure by design”.

Lorsque vous naviguez sur Internet, votre navigateur va automatiquement ou sur votre demande aller récupérer des pages web, photos ou vidéos aux quatre coins du monde. C’est ce qui a fait la force d’Internet et que les sites Web 2.0 utilisent à outrance pour offrir la meilleur expérience utilisateur possible.

A côté de cela, on peut légitimement se demander si le navigateur n’est pas un peu trop crédule dans cette course au liens. Si un site Chinois référence des images présentes sur votre Intranet ou charge une partie du site de votre banque dans sa page, cela ne génera nullement votre navigateur. Et vous ?

Dans le jeu du chat et de la souris qui oppose les pirates et chercheurs en sécurité aux développeurs et mécanismes de protection, l’avantage est actuellement dans le camp du chat. Alors que le Web n’a jamais été aussi développé et utilisé à des fins commerciales, de nombreux problèmes de sécurité noircissent toujours le tableau :

• XSS (Cross-Site Scripting) : Une vulnérabilité dans un site web permettant de faire executer du code externe en contournant la protection de ‘same origin policy‘. Peut servir à voler les cookies de session d’un utilisateur.
• CSRF (Cross-Site Request Forgery) : Un manque de contrôle dans un site web pouvant être utilisé pour faire executer des actions (envoi d’email, modification de mot de passe, …) par un utilisateur à son insus. Il y a quelques semaines, une étude a révélé que certains sites majeurs comportaient ce genre de vulnérabilités. Le site de la banque INGDirect pouvait en particulier être utilisé pour réaliser des transferts d’argent…
• Clickjacking : Technique (récente) permettant de faire charger un site authentifié en arrière plan et de faire cliquer l’utilisateur afin de lui faire exécuter des actions sous son nom et à son insus. Une démo est présente ici.
• Intranet scanning : Utilisation de Javascript (ou non) afin de scanner, d’identifier (et éventuellement d’intéragir avec) un ensemble de machines situés sur le réseau interne.
• DNS rebinding : Exploitation du protocole DNS permettant de contourner la protection de ‘same origin policy‘ des navigateurs afin de faire executer du code ayant accès à un site légitime.

Bien entendu, il est souvent recommandé de se connecter à un site contenant des informations sensibles (type banque) que depuis un navigateur sans aucun autre site ouvert (et de préférence venant d’être démarré). Mais qui relance son navigateur avant de se connecter à sa banque ? Qui ne navigue jamais sur Internet avec un onglet sur son Intranet ou son webmail ?

C’est dans ce contexte que je me suis longtemps interessé à la possibilité de cloisonner les sessions de navigation par niveau de confiance : Il est normal que mon Intranet référence un lien vers Internet, mais il n’est pas normal qu’un site quelconque référence un lien vers mon Intranet. Dans une vie (plus ou moins) antérieure, j’ai étudié avec succès ce type de filtrage au niveau périmétrique mais HTTPS et Javascript permettent de le contourner. La seule possibilité pour le faire de manière efficace est de le faire directement dans le navigateur.

En co-fondant commonIT, j’ai immédiatement milité pour placer le cloisonnement de sessions au coeur du produit VirtualBrowser. Avec la virtualisation du navigateur, le cloisonnement de sessions et la mobilité, Virtual Browser offre une solution efficace et innovante de navigation sécurisée.