IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

OVH : le site de Roubaix de l'hébergeur aurait une sécurité incendie déficiente
Selon un rapport de Bureau Veritas

Le , par Bill Fassinou

542PARTAGES

13  0 
Un peu plus d'un mois après l'incendie qui a ravagé les datacenters strasbourgeois du français OVH, l'on apprend l'existence d'un rapport qui démontre la défaillance du système de sécurité incendie du site hébergeant ses datacenters à Roubaix. Le rapport, signé Bureau Veritas, a analysé en janvier la protection incendie du site de Roubaix qui renferme plus de 130 000 serveurs. Selon Bureau Veritas, les salles de batteries sont mal protégées et nécessitent une remise en conformité, la protection anti-foudre comporte des câbles susceptibles de conduire la foudre à l'intérieur de l'édifice, et d'autres problèmes encore.

Les sites abritant les centres de données du fournisseur français d'infrastructures cloud OVH seraient mal sécurisés. En effet, c'est ce que démontre un rapport d'audit de Bureau Veritas datant de janvier 2021, soit environ deux mois avant l'incendie qui a détruit ses installations à Strasbourg. Le rapport d'expertise sur le site de Roubaix attire l'attention sur trois points essentiels, notamment les salles abritant les batteries, les poteaux-incendie et la protection anti-foudre des datacenters roubaisiens. En premier, Bureau Veritas a remarqué que les pièces où OVH entrepose les batteries sont mal sécurisées.



Ces salles ne respecteraient pas les conditions minimales requises de résistance au feu. « Aucune prise de terre paratonnerre n’a été créée, seule une interconnexion en 50 mm² a été réalisée avec une câblette de terre passant sur un chemin de câble près de la clôture extérieure. Descente reliée à une barrette de liaison avec une câblette elle-même reliée à un conducteur présent dans un chemin de câble à environ 5 m (la gaine grise présente dans le regard ne contient pas de conducteur) », a noté Bureau Veritas à propos du bâtiment Roubaix 1, parlant du choix de la protection externe pour cette structure.

Vu sous cet angle, le bureau d'inspection recommande une remise en conformité des locaux qui abritent les batteries, notamment en ce qui concerne le côté « coupe-feu ». Toujours par rapport à ces observations, Bureau Veritas recommande également le déplacement de certaines de ces salles vers d'autres espaces respectant les contraintes réglementaires. Cette dernière recommandation vient du fait que, selon l'organisme, le bâtiment Roubaix 4 serait difficile d'accès aux engins de secours en cas de pépins. Le rapport mentionne que "les locaux de batteries de Roubaix 4 ne disposent pas d'une voie d'échelle".

Toutefois, il a précisé que "l'intégralité des salles contenant des batteries est en cours de mise en conformité" et qu'elles devraient être conformes à la réglementation ICPE d'ici fin 2022. La deuxième défaillance majeure mise en évidence par le rapport concerne les poteaux- incendie. À ce stade, l'organisme a révélé que le débit disponible en simultané sur trois poteaux-incendie installés sur le site de Roubaix, soit 360 m3/h, est "insuffisant par rapport aux besoins requis (420 m3/h)" par l'ensemble des installations. Il recommande donc l'implantation de "bassins de confinement" pour résoudre ce déficit.

En troisième grand point, c'est le dispositif anti-foudre du site roubaisien du fournisseur cloud français qui a été remis en cause par Bureau Veritas. En plus de pointer du doigt une installation défectueuse, il ajoute que les câbles de parafoudre, tels qu’installés, sont susceptibles de conduire la foudre « directement à l'intérieur de l'édifice ». En fait, le rapport note qu'aux abords des bâtiments Roubaix 2 et 4, un câble de parafoudre mal protégé se glisse sur une quinzaine de mètres à l'intérieur du centre de données Roubaix 2. Il s'agirait d'une installation contraire aux bonnes pratiques du domaine.



« Ce câble pénètre dans le bâtiment et remonte vers les bureaux. Cette installation peut être dangereuse, car elle peut amener en cas d'impact la foudre directement à l'intérieur de l'édifice », lit-on dans le rapport. Outre ces faits, Bureau Veritas note l'absence de parafoudres de type 1 au sein des tableaux basse tension (TGBT), à l'exception du bâtiment Roubaix 7. « L'ensemble des TGBT et TGBT de secours du site de Roubaix devront être équipés de parafoudres de type 1+2 », recommande l'organisation de certification dans son rapport de janvier dernier.

À lecture du rapport, des critiques avancent que les bâtiments des centres de données de Strasbourg souffriraient des mêmes défaillances, ce qui aurait donc conduit à l'incendie qui s'est ravagé le site dans la nuit du mardi 9 à mercredi 10 mars 2021. S'exprimant sur Twitter au lendemain de l'incendie, le fondateur et PDG d'OVHcloud, Octave Klaba avait expliqué que l’incendie est parti du centre de données SBG2, qui a été entièrement détruit au moment où arrivaient les secours. Il s'est propagé pour toucher une partie de SBG1. Les autres centres de données du site SBG3 et SGB4 ont été épargnés par l'incendie.

À la suite de ses recommandations pour la mise en conformité et la sécurisation des centres de données roubaisiens d'OVH, Bureau Veritas a estimé le montant des travaux. L'organisme mentionne dans le rapport que le fournisseur cloud français devra dépenser pas moins de 2,9 millions d'euros pour remettre le site aux normes actuelles de l'industrie.

Source : Rapport de l'étude (PDF)

Et vous ?

Quel est votre avis sur le sujet ?

Voir aussi

Un important incendie sur les installations d'OVHcloud à Strasbourg provoque l'indisponibilité de nombreux sites internet en France et en dehors de l'Hexagone

OVHcloud lance le processus d'une éventuelle introduction en bourse, selon un porte-parole de l'entreprise

OVHcloud promet de créer un laboratoire de simulation des incendies de datacenters pour mieux les modéliser et trouver des moyens plus efficaces de les éteindre

OVH abandonne le datacenter SBG1 envahi par de la fumée provenant de batteries lors du nouvel incendie maîtrisé : le résultat d'erreurs de conception de l'alimentation électrique révélées en 2017 ?

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de sevyc64
Modérateur https://www.developpez.com
Le 07/12/2021 à 23:41
Citation Envoyé par defZero Voir le message
LoL, les personnes (j'espère pas des pro ) qui on perdu leurs donner dans cette histoire ne peuvent s'en prendre qu'à elles même.
Justement ceux sont beaucoup de pros. Et non, ils ne sont pas forcément fautifs, mais bien victimes.

On est parmi ces pros, on hébergeait chez OVH, les vitrines commerciales d'un certains nombres de nos clients. L'offre choisit était une offre globale avec sauvegarde assurée par OVH. Rien n'indiquait et ne permettait de choisir, dans le contrat d'hébergement, l’emplacement des sauvegardes réalisées. Mais la terminologie utilisée dans le contrat pouvait laisser penser à une sauvegarde sécurisée et redondante.
Dans les faits, comme l'incendie l'a révélé, rien de tout ça.

Une partie de nos clients ont perdus leur site, mais pas tous, malgré l'offre globale que l'on avait acheté à OVH.
Parmi ceux qui ont perdus leur site, une large partie a aussi perdu les sauvegardes, mais pas tous. Tout le contenu de SBG2 n'était pas forcément sauvegardé à SBG2. Dans notre cas, certaines sauvegardes étaient sur SBG3 et 4, d'après les infos qu'OVH avait donné, quelques rares, ailleurs, Roubaix il me semble.

Je peux te dire qu'il y a une armée d'avocats à éplucher les contrats, et c'est pas nous, le client, qui sommes coupables, mais bien OVH. Coupables, oui, de négligences, entre-autre, mais maintenant condamnable, cela reste une autre histoire.
13  1 
Avatar de petitours
Membre chevronné https://www.developpez.com
Le 07/12/2021 à 19:25
« Il semble que les consommateurs à l’échelle globale ne comprennent pas notre offre. Cela fait déjà trop de discussions autour de cet aspect. Nous ne voulons pas nous enfoncer dans cette brèche. Nous allons plutôt revoir la sécurité à la hausse en offrant le plus haut niveau de sauvegarde pour tous nos clients de tous nos centres de données. Cela va changer les standards de l’industrie, ainsi que notre façon d’offrir nos services »
Çà c'est se moquer du monde.

Changer les standards de l'industrie en ne laissant pas la sauvegarde au même endroit que les données à protéger même l'amateur qui recherche "sauvegarde" sur son moteur de recherche préféré trouvera dés la première réponse le principe élémentaire du 3-2-1, non respecté par OVH.

Ok c'est une faute importante de la part des clients que de confier au prestataire A la sauvegarde de ses données qui sont déjà chez le prestataire A mais prétendre être dans les standards de l'industrie avec leurs sauvegardes locales c'est se moquer du monde.
D'ailleurs ils disent qu'il y a des sauvegardes qui ont été perdues mais vu ce qu'elles sont devenues et cet endroit stupide où elles étaient on est en droit d'imaginer qu'elles n'existaient pas du tout les sauvegardes.
11  0 
Avatar de ensi_en
Membre habitué https://www.developpez.com
Le 08/12/2021 à 16:17
Citation Envoyé par defZero Voir le message
LoL, les personnes (j'espère pas des pro ) qui on perdu leurs donner dans cette histoire ne peuvent s'en prendre qu'à elles même.
Sérieux ?
Quand on paye pour une option de sauvegarde on est censé avoir des sauvegardes en cas de problème, ce n'est pas aux clients de gérer où et comment sont fait ces sauvegardes c'est une des raisons pour lesquelles on utilise un service de cloud.
Et si un incident arrive à tous les centres de données de OVH vous allez dire que c'est la faute des clients parce qu'ils n'ont pas fait des sauvegardes chez un autre fournisseur dans un autre pays ?
7  0 
Avatar de kunnskap
Membre éclairé https://www.developpez.com
Le 08/02/2022 à 1:14
Citation Envoyé par Aiekick Voir le message
Je ne voient pas bien en quoi la souscription a un service de sauvegarde supplementaire aurait pu eviter le drame,
puisque nous avons decouvert que l'amateurisme d'ovh a mit les serveur de sauvegarde dans le meme datacenter que les serveurs de donnée...
ce qui fait que l'argumentaire d'ovh est debile dans ce cas
Je suis d'accord avec vous si c'était à OVH de gérer la sauvegarde selon le contrat. Le mettre dans le même lieu géographique n'est pas très malin...

En revanche, pour m'en être occupé récemment, OVH assure un réplica x3 sur l'Object Storage, mais n'assure pas que ce réplica soit fait sur des sites géographiques distincts pour autant. C'est donc à moi, professionnel du domaine, de m'assurer que c'est le cas et de prendre les dispositions nécessaires pour le gérer, une réplication n'étant pas une sauvegarde par ailleurs. Ce type de point à gérer, assez subtil, a pu être négligé par beaucoup, occasionnant des pertes de données.
7  0 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 08/02/2022 à 13:47
1) Plus de 99% des gens ne lisent pas les contrats ou les CGV, et certains contrats ou CGV prennent plusieurs heures à lire donc personne ne le fait. Au final une commande devrait donc être explicite. Si un client a coché la case sauvegarde sur sa commande, il doit avoir sa sauvegarde, quoi qu'il arrive, et OVH est responsable, et c'est à OVH de trouver une solution technique pour que la sauvegarde soit disponible, quoi qu'il arrive, sinon c'est pas une sauvegarde. Sinon il aurait fallut écrire clairement sur la commande non pas "sauvegarde" mais alors "Vous aurez peut être une sauvegarde si vous avez du bol, mais c'est sans garantie". Un contrat, que personne ne lit, et OVH fait en sorte que vous ne le lisiez pas car le contrat peut être accepté sans être ni lu ni même vu, et qui explique le contraire de ce qui est est clairement marqué sur une commande est illégal et une pure escroquerie.

2) Il y a une énorme différence entre avoir la sauvegarde sur le même site mais éloigné du serveur sauvegardé, et une sauvegarde sur un serveur dans le même local que le serveur censé être sauvegardé. Ici avoir mis la sauvegarde aussi près du serveur sauvegardé et une faute inadmissible d'OVH (entre autres nombreuses autres fautes signalées par l'audit ) et OVH doit être tenu pleinement responsable des dommages subis par les clients qui n'ont pas pu récupérer leur sauvegarde.

Au final la plainte est donc parfaitement légitime, OVH se doit de payer les dommages causés par sa négligence. D'ailleurs OVH a reconnu sa faute, c'est juste le montant des dédommagements qui est en cause ici.
8  1 
Avatar de Jules34
Membre expérimenté https://www.developpez.com
Le 28/03/2022 à 10:52
Citation Envoyé par Bruno Voir le message
« Si on part en justice, ce chiffre [quadruple] », étant donné les dommages-intérêts et les frais de justice, prétend-on chez Ziegler & Associés. Si, en l’espèce, OVHcloud a plus à gagner à accepter la conciliation, c’est aussi, nous assure-t-on, eu égard à sa cotation en Bourse.
Franchement c'est pas de chance pour OVH et son introduction en bourse. Moi je les aimes bien et ça pourrait être un fleuron français dans l'industrie mais j'ai l'impression qu'on s'évertue à leur mettre la tête sous l'eau.

Bon l'incendie c'est sûr que c'était pas malin et que c'était à OVH et personne d'autre de prévenir ce risque.

Mais dans l'actu il y a aussi le recul de sa notation, dégradé par Morgan Stanley, 8 jours après que la firme ait annoncé former un recours collectifs contre Windows....

Déposée l'été dernier, la plainte porte sur la manière dont Microsoft commercialise des produits comme la suite logicielle Office, qui rendrait plus coûteuse l'utilisation des services concurrents de la plateforme Azure, ont indiqué des personnes proches du dossier au Wall Street Journal. La plainte affirme également que les logiciels de Microsoft ne fonctionnent pas aussi bien sur les plateformes cloud concurrentes d'Azure, selon ces sources.
Courage OVH !!!

Le marché européen de la tech à décidément l'air d'être une grande aire de copinage ou se mêle pèle-mêle les intérêts US et ceux des gouvernants €, attiré par l'odeur de l'argent, et aux entrepreneurs de se débrouiller dans ce maelstrom
7  0 
Avatar de petitours
Membre chevronné https://www.developpez.com
Le 08/12/2021 à 16:55
Évidement que les pros qui se sont fait avoir ont fait une faute, la valeur d'une solution SI ce sont les données, leur sécurité doit être étudiée et à mon avis un principe de base pour garantir que la sauvegarde ne soit pas au même endroit que la prod c'est de ne pas la confier au même prestataire que la prod.

Par contre quand le patron d'OVH dit "Cela va changer les standards de l’industrie" je maintiens qu'il se moque du monde car un "truc" qui est au même endroit que la prod et soumis au mêmes risques on ne peut pas appeler ça un standard de l'industrie en matière de sauvegarde alors que bon nombres d'amateurs ont compris le principe du 3-2-1.

@zapnico, communiquant de OVH fraichement inscrit. Non OVH n'est pas irréprochable. A minima ils sont en défaut de conseil, terme juridique très important qui fait l'objet d'une jurisprudence longue comme le bras.
Et ils sont mauvais pas que sur les sauvegardes. Pour ma part je suis en train de les quitter peu à peu pour une autre raison ; j'en ai marre de recevoir des factures de 0€ avec des trucs illisibles dessus ainsi que de recevoir une facture pour un hébergement, une autre pour le DNS (1.1€ TTC), une autre à 0€ pour le low latency, le tout avec des décalages qui se sont créés entre des services commandés ensemble pour la même durée. De plus le service client a qui on signale ces décalages nous explique que c'est de notre faute alors qu'on vient de leur expliquer qu'on a renouvelé 3 services qui fonctionnent ensembles et que c'est OVH qui a ajouté 12 mois par ci, 11 par là et 8 par ici.

On dit qu'il faut aller voir l’état des sanitaires d'un restaurant pour connaitre l’état des cuisines, moi je considère que l’état de la facturation donne une idée de la qualité de gestion et de la considération client.
5  0 
Avatar de kunnskap
Membre éclairé https://www.developpez.com
Le 22/01/2022 à 17:39
J'ai lu avec attention les commentaires de @infozoide et @chrtophe.

Et je suis sidéré effectivement de la façon dont beaucoup de gens tapent sur OVH après l'incident. Je ne suis pas spécialement pro-OVH j'avais d'ailleurs migré mes services chez LWS des mois avant l'incendie, pour d'autres raisons liées aux interruptions de service que je trouvais trop nombreuses et au support technique devenu moins efficace avec le temps.

La seule chose que j'ai toujours clamé sans que personne ne m'écoute autour de moi, c'est qu'il ne fallait rien mettre chez SBG. Ce datacenter est un brouillon, j'avais lu beaucoup d'articles qui présentaient son fonctionnement, et cette conclusion était la plus logique. D'autant plus logique qu'en 2017 le site de Strasbourg avait été victime d'une panne électrique majeure (on l'a peut être oublié, mais c'est arrivé) et à cette occasion, OVH a de façon transparente admis que le site ne disposait que d'une seule arrivée haute tension. Ce qui confirmait ce que je pensais déjà de ce site depuis longtemps. Et ce qui n'enlève rien à la grande transparence d'OVH, signe de sérieux et d'une aptitude à la remise en question. Toutes les entreprises sont loin d'être aussi transparentes lorsqu'un incident se produit.

Mais dans les 2 cas, panne électrique ou incendie, si ça occasionne des pertes de données, je ne vais pas chercher le coupable directement chez OVH. Où sont ces DSI, ces admin sys, ces informaticiens de pacotille qui me traitent de fou quand je leur dis qu'il ne faut pas supposer ce qu'on fera quand problème il y aura, mais qu'il faut plutôt se demander comment on se relèvera quand le problème nous mettra à terre? Où sont ils ces gens pleins de certitude comme je l'ai lu dans le message de @infozoide qui font leur métier au rabais?

Quand on paye un service 5 euros par mois, il est naïf de croire qu'en cas de pépin, tout est ok. Bien sûr que non, la sécurité a un prix. Et oui, comme le dit @chrtophe, le prix du service rendu par la production est à dissocier du prix du service qui sera nécessaire pour la remettre en production quand elle sera tombée, ou du prix nécessaire pour la maintenir en production si des perturbations arrivent.

Et ce second prix, peu sont prêts à le payer, et souvent, ceux qui le payent le font après un âpre combat que je dois mener pour leur faire prendre conscience que lorsque ça, ça marchera plus, ça va drôlement les faire ch***

Après on peut ne pas être en capacité de payer ce prix: oui, je comprends tout à fait, et bien il faut assumer le risque qui va avec. On ne peut pas tout avoir. Tu ne veux/peux pas payer des serveurs redondants et du paramétrage pour de la HA, donc tu auras une interruption de service, bah oui, désolé, la magie c'est chez Harry.
5  0 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 09/02/2022 à 12:48
Citation Envoyé par pachot Voir le message
Mais le terme "sauvegarde" ne veut rien dire dans un SLA. C'est les pannes couvertes qui sont importantes (et RPO/RTO). Un backup sur place c'est très bien pour protéder des pannes disque. De loin plus courantes que l'incendie sur plusieurs data centers.
Je ne comprends pas pourquoi tu nous sort ce blabla technique ca ne sert à rien, du point de vue du client, qui peu être un client non informaticien, une sauvegarde est une sauvegarde, peu importe la cause de la catastrophe, le client doit avoir sa sauvegarde. Le seul cas ou le client n'aurait pas sa sauvegarde c'est si tous les data center d'OVH étaient en France, ce qui n'est même pas le cas, et que des bombes atomique aient rasé toute la France

Si le terme "sauvegarde" est trop vague, c'est à OVH de préciser, comme le font les "autres" : sauvegarde sur le même site (avec évidement une sauvegarde sur le même site mais à distance du serveur à sauvegarder sinon c'est une faute), ou sauvegarde distante sur un autre site ou encore géoredondante.

Citation Envoyé par pachot Voir le message
Quel service Azure, AWS, GCP a un backup dans une autre région sans frais supplémentaire? On ne parle pas d'Availability Zone ici. OVH Strasbourg c'est plusieurs data centers au même endroit. Donc une seule zone. Ils ont d'autres régions et, comme les autres cloud providers, des services de backups inter-région.
Je ne comprends pas pourquoi tu compares au Cloud, alors qu'ici on ne parles pas de clients cloud mais de clients majoritairement dédiés, vps et mutualisés, c'est à dire exactement la même offre qu'avait OVH il y a 20 ans avant l'arrivée du Cloud, cela n'a donc rien à voir.
Dans les offres cloud on te proposes généralement différentes options, et le backup interrégional sert surtout à avoir les données plus proches de l'endroit de leur utilisation, et il est déjà possible d'avoir avant ça une fiabilité de sauvegarde car les sauvegardes proposées sont généralement au moins redondantes, ou interzone (il y a généralement plusieurs sites pour la même région), donc à moins qu'une région comme par exemple l'Europe soit totalement rayée de la carte, il n'est pas nécessaire d'avoir une sauvegarde inter région pour avoir une sauvegarde fiable et redondante.
6  1 
Avatar de Pierre Louis Chevalier
Expert éminent sénior https://www.developpez.com
Le 09/02/2022 à 23:55
Citation Envoyé par chrtophe Voir le message
Si tu n'es pas informaticien, en général tu travailles sur du mutualisé, pas du dédié/VPS ou tu dois avoir des compétences techniques et une autonomie.
Pour passer une commande, dans une entreprise c'est généralement le service achat qui gère ça, et même parfois dans une petite PME parfois c'est le gérant directement, ces gens la voient "sauvegarde" dans la commande donc ils pensent naïvement que ce problème est géré, et c'est pourquoi beaucoup se sont retrouvés avec des dommages énormes.

Après tu peux toujours dire : "oui mais le service informatique aurais du...", mais dans les faits il y a parfois des gens en entreprise qui sont incompétents, qui en ont rien à foutre, qui sont en congé maladie, qui ne font rien si on leur donne pas d'ordre, qui sont surbookés et qu'il ne s'en sortent pas, qui sont en sous effectifs, etc..
Dans certains grands groupes il y a souvent de vrais directions informatique avec des gens compétents, et qui vont par exemple sécuriser leur infrastructure avec du multi cloud et du cloud hybride, et par contre dans certaines PME plus ou moins en déficit ils vont prendre du low cost, l'équipe informatique est insuffisante voir parfois quasiment inexistante, ils vont juste prendre des prestataires low cost pour faire du travail bâclé et il n'y aura pas de vue d'ensemble fiable, il n'arrivent pas à recruter en interne, et encore moins à bien payer les gens pour qu'ils restent, c'est la différence entre la théorie (service informatique compétent), et la pratique sur le terrain (rien).
6  1