Recenser les réactions de la communauté face aux erreurs de configuration en matière de sécurité du cloud
En résumé :
- Les erreurs de configuration dues à l'erreur humaine constituent la principale cause d'incidents liés à la sécurité et à la confidentialité dans les services cloud.
- Des chercheurs ont récemment analysé 251 000 publications relatives à la sécurité et à la confidentialité sur Stack Overflow afin de comprendre quels sont les défis concrets pour lesquels les développeurs, les administrateurs système et les ingénieurs réseau sollicitent de l'aide.
- Les erreurs techniques, les problèmes d'ergonomie et l'insuffisance des systèmes d'assistance constituent la principale cause des erreurs.
Le cloud computing fait désormais partie intégrante du développement logiciel moderne grâce à son évolutivité, à son coût abordable et à sa facilité de déploiement. Cependant, la configuration sécurisée des services cloud reste un défi de taille pour les développeurs, les administrateurs système et les ingénieurs réseau.
Les erreurs de configuration dues à une défaillance humaine restent l'une des principales causes d'incidents liés à la sécurité et à la confidentialité, souvent liées à la complexité de la configuration des plateformes cloud. En juillet 2024, par exemple, des pirates ont accédé aux historiques d'appels et de SMS de plus de 100 millions de clients d'AT&T en exploitant des bases de données Snowflake mal sécurisées, sur lesquelles l'authentification multifactorielle n'était pas imposée.
Il ne s'agit pas d'incidents isolés, mais bien de problèmes systémiques au sein de l'écosystème du cloud ; un rapport récent portant sur les ressources de production des principaux fournisseurs de cloud, tels qu'Azure, AWS et Google Cloud, a révélé que ces ressources présentaient en moyenne 115 vulnérabilités.
Ce contexte met en évidence la nécessité urgente de comprendre où et comment ces erreurs de configuration persistent, dans une perspective centrée sur l'humain.
Mes collègues et moi-même avons récemment relevé ce défi en analysant les interactions entre les contributeurs sur Stack Overflow, un site web de questions-réponses très populaire destiné aux programmeurs informatiques.
Cela offre un éclairage unique sur les défis concrets liés à la configuration de la sécurité dans le cloud et sur la manière dont la communauté des opérateurs cloud y fait face.
Les difficultés découlent d'erreurs techniques, de problèmes d'ergonomie et de l'insuffisance des systèmes d'assistance
Nous avons analysé et répertorié les difficultés courantes liées à la configuration du cloud à partir de plus de 251 000 publications traitant de la sécurité et de la confidentialité sur Stack Overflow, publiées entre 2008 et 2024 (figure 1).
Parmi ceux-ci, l'authentification et le contrôle d'accès sont apparus comme le principal défi, présent dans la quasi-totalité des cas d'utilisation du cloud. Parmi les autres problèmes courants, on peut citer :
- communication sécurisée et chiffrement
- configuration et gestion du réseau
- enregistrement et suivi
- Sauvegarde et restauration de bases de données.
Les erreurs de configuration au niveau de l'authentification et du contrôle d'accès entraînent des défaillances dans d'autres domaines (tels que les réseaux, le déploiement et le développement), ce qui souligne la nécessité d'une compréhension globale des mécanismes d'identité et d'accès dans les systèmes cloud sécurisés.
Ces difficultés ne découlent pas uniquement d’erreurs techniques, mais également de problèmes plus généraux liés à l’ergonomie et à des systèmes d’assistance insuffisamment adaptés. Cela inclut une documentation peu pratique, incomplète ou trop générique, ainsi qu’un manque d’outils tenant compte du contexte pour guider les développeurs et les administrateurs dans des tâches de configuration complexes. Pris dans leur ensemble, ces problèmes révèlent un décalage persistant entre les ressources d’assistance disponibles et les réalités pratiques du développement dans le cloud, soulignant la nécessité de disposer de mécanismes d’assistance plus concrets, plus compréhensibles et adaptés au contexte.
Nous avons également analysé les réponses acceptées parmi les 251 000 questions que nous avons recueillies. Ces réponses acceptées traitent principalement des difficultés de configuration à travers trois stratégies complémentaires :
- modifications du code et explications
- suggestions d'utilisation du service
- références à des documents officiels.
Le recours systématique à un ensemble de ressources d'aide fiables, qui transparaît souvent dans les questions elles-mêmes, met en évidence un écosystème commun de connaissances sur lequel s'appuient les opérateurs et les personnes chargées de répondre pour résoudre les problèmes de configuration du cloud.
Notre ensemble de données comprenait à la fois des questions de débogage très ciblées et des interrogations plus générales sur la faisabilité de certaines configurations cloud, ce qui montre à quel point l'environnement cloud est source non seulement d'erreurs techniques, mais aussi d'une incertitude fondamentale. La fréquence de ces questions souligne que se retrouver bloqué n'est pas l'exception, mais la norme, et que les outils actuels ne parviennent pas à répondre aux besoins et aux attentes des développeurs et des administrateurs.
Les modèles de langage de grande envergure (LLM) pourront-ils vous aider à l'avenir ?
Dans l'ensemble, nous estimons que pour relever les défis liés à la configuration, il est nécessaire d'améliorer la conception des outils de sécurité et de protection de la vie privée ainsi que des mécanismes de retour d'information, notamment en matière d'authentification et de contrôle d'accès, et de développer des ressources d'aide tenant compte du contexte et s'appuyant sur des informations sociales et organisationnelles.
Les travaux futurs devraient porter sur la manière dont des modèles de langage à grande échelle (LLM) finement ajustés peuvent être intégrés et déployés au sein des configurations cloud des opérateurs afin de fournir une aide adaptée au contexte lorsque cela est nécessaire. Ces LLM auraient une connaissance approfondie des capacités et des limites des configurations des opérateurs et seraient ainsi en mesure de proposer des conseils davantage contextualisés. Les travaux futurs devraient également se concentrer sur la sélection de données d’entraînement précises pour ces LLM, afin d’éviter tout apprentissage à partir de données potentiellement erronées.
Consultez notre article présenté lors de la conférence NDSS 2026 pour en savoir plus sur notre méthodologie et nos résultats.
Sumair Ijaz Hashmi est doctorant au Centre Helmholtz pour la sécurité de l'information (CISPA) en Allemagne.
Les opinions exprimées par les auteurs de cet article de blog n'engagent qu'eux-mêmes et ne reflètent pas nécessairement celles de l'Internet Society.