Sécurité

Infrastructure et certifications

Onshape est basé sur la plateforme Iaas (Infrastructure as a Service) Amazon Web Services (AWS) Elastic Compute Cloud (EC2). AWS EC2 constitue le choix idéal pour proposer un service de CAO aussi moderne que sécurisé. AWS propose en effet une infrastructure informatique de pointe répartie dans le monde entier dans des centres de données physiques sécurisés équipés d'alimentations, de systèmes de refroidissement et de réseaux redondants. AWS bénéficie de nombreuses certifications américaines et internationales en lien avec la sécurité et la qualité, notamment ISO 9001, ISO 27001, SOC-2 Type II, FIPS 140-2 et NIST 800-53. Le service Onshape lui-même bénéficie de la certification SOC-2 Type II. De plus, Onshape utilise la technologie AWS Virtual Private Cloud (VPC) pour isoler et sécuriser le trafic réseau entrant et sortant. Les règles utilisées pour la configuration de VPC sont définies dans le code, revues par des pairs et déployées par le biais d'une automatisation.

Système sans fichiers

L'architecture haute disponibilité d'Onshape repose sur des bases de données modernes NoSQL dans lesquelles sont stockées toutes les données de conception. Ces basées de données sont hébergées sur des serveurs répartis géographiquement, sont répliquées en de nombreux exemplaires afin d'assurer une haute disponibilité et sont sauvegardées toutes les 3 heures pour faciliter la reprise après sinistre. Les sauvegardes sont restaurées toutes les trois semaines et l'intégrité de chaque modèle est vérifiée automatiquement par rapport aux nouvelles versions du logiciel Onshape. Cette vérification permet également de s'assurer que les fonctionnalités introduites dans de nouvelles versions ne posent pas de problèmes avec les modèles existants.

Accès et piste d'audit

Onshape est accessible par le biais de navigateurs standard comme Chrome, Firefox et Safari sur ordinateurs fixes et portables. Des applications pleinement fonctionnelles (et non de simples visionneuses) sont également proposées pour les appareils mobiles iOS et Android. Le système d'exploitation n'a pas d'importance : Windows, MacOS, Linux et Chrome OS proposent tous la même expérience et la même qualité de fonctionnement. Les données de CAO ne quittent jamais l'environnement sécurisé dans le cloud, sauf si une autorisation d'exportation a été explicitement accordée par leur propriétaire. Chaque intervenant sur le projet travaille en permanence sur la dernière version de la conception. Tous les accès aux données sont enregistrés dans une piste d'audit permanente. Enfin, plusieurs utilisateurs peuvent collaborer de manière sécurisée sur une même conception en parallèle où qu'ils se trouvent, dans la mesure où ils sont connectés à Internet.

Chiffrement

Tous les accès depuis des machines et appareils clients vers les serveurs d'Onshape sont sécurisés par le protocole de chiffrement TLSv1.2, qui repose sur des algorithmes forts comme AES-GCM et interdit les algorithmes moins protecteurs. Les données de conception au repos sont chiffrées. De plus, toutes les bases de données sont configurées avec des systèmes de fichier chiffrés utilisant le protocole AES-256 en mode XTS. Par ailleurs, les clés de chiffrement sont gérées par AWS Key Management System (KMS), qui utilise des modules de sécurité matériels pour assurer la sécurité des clés de chiffrement. Enfin, les serveurs d'Onshape sont entièrement déployés et configurés par le biais d'une automatisation et sont fréquemment remplacés, parfois plusieurs fois par jour. Ils n'exécutent que le logiciel d'Onshape, les exploits tirant parti des navigateurs Web et clients de messagerie sont ainsi impossibles.

Autorisations

Onshape utilise des systèmes d'authentification forts pour identifier les utilisateurs et permet le recours à l'authentification à double facteur (2FA) par le biais d'un mot de passe à usage unique afin de protéger l'accès aux comptes, même si le nom d'utilisateur et le mot de passe correspondant venaient à être divulgués. Tous les mots de passe sont hachés et salés à l'aide des fonctions de dérivation de clé PBKDF2. Ainsi, même si la base de données des mots de passe d'Onshape était compromise, les mots de passe enregistrés ne seraient pas exposés à des attaques hors ligne, sauf à mobiliser des ressources informatiques extrêmement importantes. Les attaques en ligne sont quant à elle neutralisées par une limitation du nombre de tentatives d'identification non valides. Dans Onshape, l'accès aux documents de CAO est contrôlé par des autorisations précises : lecture, écriture, copie, commentaire, lien, suppression et repartage. Les propriétaires des conceptions disposent donc des outils nécessaires pour trouver un équilibre entre sécurité et exigences du workflow de conception. Ces autorisations peuvent être modifiées à tout moment pour étendre ou retirer un accès aux données de conception. Toutes les modifications des autorisations et des accès aux données sont enregistrées dans une piste d'audit permanente.

Restauration des données

Onshape fait preuve de transparence vis-vis des problèmes rencontrés par le service via une page d'état en ligne. L'architecture moderne reposant sur des bases de données permet aux clients de récupérer les données supprimées par erreur ou même volontairement. Les pertes de données résultant de défaillances ou d'erreurs des utilisateurs, des problèmes fréquents avec les systèmes de CAO basés sur des fichiers, ont ainsi presque entièrement disparu.

Protection des données des clients

Onshape accorde une grande importante à la sécurité et à la confidentialité des données de ses clients. Nos employés n'ont pas accès à ces données, sauf si elles ont été explicitement partagées avec notre service d'assistance. Par ailleurs, le personnel des opérations d'Onshape peut accéder à l'environnement de serveur exclusivement par le biais d'un VPN nécessitant une authentification par mot de passe, paire de clés chiffrées publiques/privées, code secret et authentification à double facteur.

Validation par des tiers

Onshape fait appel aux services de Synack, une entreprise de sécurité respectée qui propose des tests de pénétration et une gestion des vulnérabilités en continu. Des chercheurs en sécurité du monde entier s'appuient sur des outils et technologies de pointe pour mettre au jour des exploits dans le service de CAO d'Onshape, ainsi que dans les autres systèmes sur lesquels repose la plateforme. Les API, la gestion des DNS et des hôtes ciblés connectés à Internet sont notamment concernés. Les chercheurs de Synack sont rémunérés selon le nombre et la gravité des vulnérabilités découvertes : ils sont ainsi incités à se montrer créatifs et efficaces lors de leurs tests. Synack a enregistré des milliers d'heures de tests de pénétration contre notre service. Les vulnérabilités détectées sont immédiatement signalées à l'équipe de sécurité d'Onshape, qui les trie et les résout. L'automatisation du déploiement d'Onshape permet de mettre en production les correctifs rapidement. Certaines vulnérabilités ont ainsi pu être corrigées pour l'ensemble des utilisateurs en quelques heures seulement.

Par ailleurs, tous les serveurs d'Onshape exécutent des agents logiciels intégrant un système de détection des intrusions. Ce système suit tous les appels au noyau du système d'exploitation et assure les fonctions suivantes :

• Suivi de l'intégrité des fichiers (FIM)
• Suivi des entrées et sorties réseau
• Suivi des réaffectations de privilèges
• Suivi des modifications de la configuration AWS
• Envoi d'alertes en temps réel à l'équipe de sécurité d'Onshape en cas de problème de niveau 1