IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Gandi, un bureau français d'enregistrement de noms de domaine, perd les données de ses clients
Et leur demande de s'apprêter à user de leurs sauvegardes

Le , par Patrick Ruiz

243PARTAGES

25  0 
Gandi signifie Gestion et Attribution de Noms de Domaine sur Internet. C’est une société française créée il y a 20 ans et qui œuvre principalement comme bureau d’enregistrement de noms de domaine et hébergeur web.

Le 8 janvier dernier, une ligne d’historique publié par cette dernière précise aux clients que « l'opération de récupération des données est toujours en cours. Nous ne pouvons pas encore faire de garanties sur les données. Soyez prêts à restaurer à partir de vos sauvegardes. » Gandi vient de perdre les données de ses clients… Plus dur encore pour ces derniers, l’entreprise ne peut se prononcer quant à savoir si elle est à même de les restituer. Dans une mise à jour qui survient plusieurs heures plus tard, Gandi ajoute qu’une copie des contenus retrouvés est en cours vers une autre unité de stockage avant toute action additionnelle. Toutefois, pas de précisions sur la question de savoir s’il s’agit de la totalité des données ou pas.


Une conclusion certaine se dégage : l’entreprise ne disposait pas de copies de sauvegarde des data de ses clients. Un mail à l’intention des clients le confirme : « Ce courriel vous parvient à la suite de celui du 8 janvier 2020. Pour rappel, hier, un incident est survenu sur une de nos unités de stockage au sein d’un de nos centres de données situé au Luxembourg. Malgré les systèmes de réplication mis en place et les efforts combinés de nos équipes toute la nuit, nous n’avons pu récupérer les données sur l’unité de stockage atteinte. Nous nous excusons sincèrement pour le désagrément que cette situation a causé. Ce type d’incident est d’une rareté extrême dans l’industrie de l’hébergement web. Dans le cas où vous disposeriez de copies de sauvegarde de vos données, nous suggérons que vous en fassiez usage pour la remise sur pied de votre serveur sur un datacenter différent. »

Donc pas de copies de sauvegardes des données des clients ; pire, l’entreprise ne disposait pas non plus des snapshots utiles pour mitiger les incidents de ce type.


Depuis, l’entreprise est reprise pour son slogan « no bullshit » qu’un de ses employés défend : « Je ne cherche pas à décharger Gandi de ses responsabilités, mais simplement à souligner que notre slogan n'exclut pas les failles et que nous sommes attachés à la plus grande transparence. »

Dans une publication parue il y a 4 ans, la Cloud Security Alliance attire l’attention sur les risques de sécurité majeurs du cloud computing :

  • l’existence de brèches de sécurité tant sur l’une des couches logiques du Datacenter que celles issues d’erreurs humaines ;
  • l’utilisation d’API non sécurisées pour l’intégration des applications avec les services cloud ;
  • l’exploitation de vulnérabilités des systèmes d’exploitation sur les serveurs du cloud et même sur les applications hébergées ;
  • le piratage de compte, qui est un vieux type d’attaque informatique, vient avec une forte recrudescence depuis l’avènement d’Internet et encore celui du cloud computing ;
  • une action malveillante initiée en interne dans les effectifs du fournisseur. Une personne malveillante dans l’équipe de gestion du Datacenter peut facilement nuire à la confidentialité et l’intégrité des environnements hébergés ;
  • les menaces persistantes avancées (en anglais, APT : Advanced Persistent Threats) qui consistent en une forme d’attaque où le hacker réussit à installer d’une façon ou d’une autre un dispositif dans le réseau interne de l’organisation, à partir duquel il peut extirper des données importantes ou confidentielles. C’est une forme d’attaque difficile à détecter pour un fournisseur de services cloud ;
  • la perte de données qui peut être causée par une attaque informatique (logique) du Datacenter, une attaque physique (incendie ou bombardement), une catastrophe naturelle, ou même simplement à un facteur humain chez le fournisseur de services, par exemple en cas de faillite de la société ;
  • les insuffisances dans les stratégies internes d’adoption ou de passage au cloud. Les entreprises ou les organisations ne prennent pas souvent en compte tous les facteurs de sécurité liés à leur fonctionnement avant de souscrire à un service cloud. Certaines négligences, tant au niveau du développement d’application qu’au niveau de l’utilisation basique, leur sont parfois fatales ;
  • utilisation frauduleuse des technologies cloud en vue de cacher l'identité et de perpétrer des attaques à grande échelle. Généralement, il s’agit de comptes créés pendant les périodes d’évaluation (la plupart des FAI proposent 30 jours d’essai gratuits) ou des accès achetés frauduleusement ;
  • le déni de service qui est une attaque qui consiste à rendre indisponible un service par une consommation abusive des ressources telles que les processeurs, la mémoire ou le réseau. L’idée, pour le pirate, c’est de réussir à surcharger les ressources du Datacenter en vue d’empêcher d’autres utilisateurs de profiter des services ;
  • Les failles liées à l’hétérogénéité des technologies imbriquées dans l’architecture interne du cloud, et l'architecture externe d'interfaçage avec les utilisateurs.

C’est des développements à prendre en compte lorsqu’on prend la décision de s’attacher un certain type de service...

Sources : historique, Twitter

Et vous ?

Qu’en pensez-vous ?
Qui du fournisseur de services en ligne ou du client a la responsabilité de la sauvegarde des données ?
Le cas Gandi est-il isolé ? Azure, AWS et GCP ont-ils un fonctionnement différent ?
Quelle est votre expérience avec Gandi ? Avec les services en ligne pour ce qui est du stockage des données ?

Voir aussi :

Les plateformes Cloud sont-elles matures ? Les services Cloud de Google, LinkedIn et Microsoft tombent en panne
Une nouvelle poursuite judiciaire enclenchée par Facebook rappelle Cambridge Analytica, suite à la mauvaise utilisation des données
Des entreprises de technologie suppriment les preuves de crimes de guerre mises en ligne, et les gouvernements veulent qu'elles en fassent davantage
Les violations de données signalées sont en hausse de plus de 56% au premier trimestre, d'après un rapport

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Katyucha
Expert confirmé https://www.developpez.com
Le 10/01/2020 à 13:49
Citation Envoyé par Pierre Louis Chevalier Voir le message
Au départ Gandi c'était un registar bien connu en France, après quoi ils ont été fortement concurrencés par les hébergeurs discounts comme par exemple OVH. Puis Gandi s'est mis à proposer des hébergements aussi y a peu, mais je ne sais pas ce que ça vaux, apparemment rien.
Donc Amazon et microsoft ne valent rien non plus, ni google, ni ovh... dans ses 10 derniers années, ils ont tous eu des gros incidents : ça fait juste partie des risques !

Citation Envoyé par Anselme45 Voir le message
Que les clients qui font confiance aux solutions cloud en tout genre n'ont pas fini d'avoir des déconvenues !
Tout comme, tu peux avoir la même déconvenue OnPremise ... quand un matin, je suis arrivé chez mon client et que la baie IBM de 40 To a crashé pendant la nuit, avec pertes des données... bah voila, rien n'est parfait ! OnPremier ou à l'extérieur, le 0 risque n'existe pas !
12  0 
Avatar de Anselme45
Membre extrêmement actif https://www.developpez.com
Le 10/01/2020 à 12:06
Qu’en pensez-vous ?
Que les clients qui font confiance aux solutions cloud en tout genre n'ont pas fini d'avoir des déconvenues !
13  2 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 10/01/2020 à 12:37
Au départ Gandi c'était un registar bien connu en France, après quoi ils ont été fortement concurrencés par les hébergeurs discounts comme par exemple OVH. Puis Gandi s'est mis à proposer des hébergements aussi y a peu, mais je ne sais pas ce que ça vaux, apparemment rien.
En tout cas comme on dit "ne pas mettre tout ses œufs dans le même panier", même si un hébergeur propose un service de sauvegardes il faut toujours prévoir d'autres sauvegardes, ailleurs, et tester que son système de sauvegardes est fonctionnel, la preuve en est.
9  1 
Avatar de Katyucha
Expert confirmé https://www.developpez.com
Le 10/01/2020 à 12:02
Citation Envoyé par ben51 Voir le message
Pourquoi MySQL serait pire sous Linux que sous un autre OS ?

C'est la réponse de base de SQLPro ... j'ai appris à ne plus le lire

Bon courage aux équipes de Gandi
8  2 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 10/01/2020 à 14:20
Citation Envoyé par Katyucha Voir le message
Donc Amazon et microsoft ne valent rien non plus, ni google, ni ovh... dans ses 10 derniers années, ils ont tous eu des gros incidents : ça fait juste partie des risques !
Oui enfin panne ça arrive, mais ne pas arriver à remonter une sauvegarde la c'est pas de la panne c'est de l'incompétence généralisée, ça veux dire qu'il y a eu avant aucun processus pour vérifier le bon fonctionnement du processus de sauvegarde.
Note que aussi c'est courant, combien de PME ont perdus toutes leurs données suite à une panne, et la panne a montré que leur processus de sauvegarde était non fonctionnel....
Donc il faut avoir plusieurs sauvegardes, sur plusieurs sites, et faire des essais de récupération pour valider que le processus de sauvegarde est bien fonctionnel.
Le Cloud est pas forcément une mauvaise chose, il faut avoir une sauvegarde distante en cas par exemple d'incendie ou de vol, donc le Cloud. Inversement avoir une sauvegarde "locale" est pertinent, si par exemple le prestataire Cloud ou l'hébergeur est déficient, comme ici.
4  0 
Avatar de ben51
Membre régulier https://www.developpez.com
Le 10/01/2020 à 11:55
Pourquoi MySQL serait pire sous Linux que sous un autre OS ?
3  0 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 10/01/2020 à 14:47
Des hébergeurs proposent ou pas des sauvegardes, soit c'est inclus soit c'est en option. Après si la panne est due à l'hébergeur et pas à une fausse manip de l'utilisateur ça reste de la responsabilité de l’hébergeur à mon avis, donc écrire sur le contrat : "pas de sauvegardes du tout même si c'est Gandi qui a merdé" c'est un hébergeur à fuir.
3  0 
Avatar de gabriel21
Membre chevronné https://www.developpez.com
Le 10/01/2020 à 14:55
Citation Envoyé par SQLpro Voir le message
Il faudrait rajouter à cela deux éléments importants :
1) l'utilisation de technologies free de stockage des informations, ayant souvent de très grandes lacunes dans le domaine de la haute disponibilité comme de la sauvegarde. Exemple MySQL ! À lire : https://sqlpro.developpez.com/tutori...mysql-mariadb/
Mysql n'a rien à faire en entreprise, il faut être honnête, mais bon SQL Server c'est pas non plus la panacée et dire que nous en étions préservé jusqu'à ce que Microsoft en a fasse une version Linux. En toute honnêteté, je ne l'ai pas testé. Pour l'instant, sur notre infrastructure on ne mélange pas : les logiciels Microsoft reste sur Microsoft. Reste Oracle, mais même avec un bon administrateur BDA, on peut quand même perdre des données même sur un cluster EXADATA en cas de compromission de la baie de stockage. Le problème, c'est que souvent les DSI confondent sauvegarde et réplication. Voir même dans le cadre de la réduction des coût, des architectes sauvegarde ont proposé de stocker les sauvegardes sur la même baie que le données à sauvegarder.
Citation Envoyé par SQLpro Voir le message

2) l'utilisation de VM dont les informaticiens systèmes croient trop souvent que l'on est capable de reconstituer une base de données à partir de snapshot… Dans le cas du free du genre MySQL et en sus sous Linux il n'est pas rare que ce soit irrécupérable
La course à la technologie et à la rentabilité font que les gens chargés des SI, ne font plus ni études préalables ni tests et croient stupidement les racontars sur Internet !
A +
Avec SQL Server sur Windows sur VMWARE ESX, le résultât n'est pas mirobolant à moins que nos administrateurs Windows, DBA et virtualisation soient tous des incapables (3 équipes différentes), le taux de réussite est proche de zéro. Dans la majorité des cas, il a fallu redescendre les sauvegardes de la base.
Personnellement, je n'apprécie pas plus que ça la technologie des snapshot. Elle est très délicate et peut engendrer plus de problème que de solutions. En production, là où je travaille, nous ne l'utilisons que dans quelles que cas du type : MAJ OS et sauvegarde système dans les cas où le verrouillage par le client de sauvegarde implique une coupure de service, mais en aucun cas pour sauvegarder une machine ou une BDD.
2  0 
Avatar de Aiekick
Membre extrêmement actif https://www.developpez.com
Le 30/01/2020 à 12:52
malgré ce petit bug, j'ai toute confiance en gandi. je suis chez eux depuis 15 ans et j'y reste
2  0 
Avatar de gurkuru
Nouveau membre du Club https://www.developpez.com
Le 07/02/2020 à 10:08
Ben, quoi, les clients doivent sauvegarder eux-mêmes leurs données, c'est écrit dans le contrat (pas en clair, pas vraiment indiqué, mais bon, faut lire quoi...).
Ce que ça dit, c'est juste, on (Gandi, l'entreprise), fait de l'hébergement de données, mais n'assure pas leur sauvegarde en plein, et peut au mieux restaurer l'index d'accès avec son système.
Donc on paie pour un hébergement, sans sauvegarde complète. Ca c'est du service, ça c'est de la sécurité .
Peu importe le mode de stockage des données, si il n'y a pas une copie dynamique des données durant leur modification, avec test d'intégrité durant l'écriture de la copie, réaliser une copie de l'index ne sert pas à grand chose. Le test d'intégrite servant à vérifier que les modifications n'altèrent pas l'original, ni ne corrompent les données liées. Mais comme ça demande de la puissance de calcul (ben oui, faut y mettre des moyens techniques à la hauteur), de l'espace de stockage (et oui, faut aussi penser à la croissance continue de la taille des données), bref de penser en amont au système, pas en aval (comme les plans d'urbanisme en France, ou ailleurs dans le monde).
Gandi propose des services surement suffisant pour la plupart, mais pour moi, il ne font que la moitié du travail (absence de sauvegarde), et pour le cout demandé, ça me semble un peu juste.
2  0