Le succès du filtrage XML suscite les convoitises

Bardés de processeurs spécialisés, les boîtiers de filtrage XML sécurisent les flux applicatifs sans nuire aux performances des applications. Les grands noms de l'informatique s'approprient les constructeurs de ces appliances.

La mainmise de Citrix sur Quicktree représente le quatrième rachat de fabricants de boîtiers de filtrage XML depuis celui de Sarvega par Intel en 2005. Entretemps, IBM s'est porté acquéreur de Datapower en octobre 2006, et Cisco s'est adjugé Reactivity au mois de février dernier. Quelle mouche les a donc piqués ? Pourquoi cet intérêt pour la sécurisation des échanges au format XML ?En cause, le succès du format. SAP, Software AG, BEA, Microsoft, ou encore la fondation Apache s'appuient sur des formats de documents XML pour leurs échanges de données, tout comme les flux RSS ou Atom. Très répandu et bien documenté, XML est donc désormais la cible de virus et autres spywares.A défaut de résoudre en amont les problèmes de sécurité inhérents à la conception des applications web et à ces échanges de données, les administrateurs blindent l'accès aux services, notamment à l'aide de filtres XML, faciles à mettre en ?"uvre et peu consommateurs de ressources.

Des filtrages sur mesure

Dans la plupart de ces boîtiers, des puces spécialisées décortiquent à la volée les schémas XML et les principales DTD (Document Type Definition) des messages avant de les envoyer vers les serveurs. L'opération est très rapide. Le matériel de Cisco atteint ainsi un rythme de contrôle de 20 000 messages par seconde.Certains boîtiers proposent même un filtrage sur mesure pour des flux spécifiques : ebXML pour les échanges de type EDI, CML pour l'industrie chimique, ou encore FIXML et SwiftML pour la finance. D'autres utilisations sont possibles. Ainsi, chez IBM, sert-on, par exemple, des boîtiers Datapower pour effectuer une conversion bidirectionnelle d'un document XML dans un autre dialecte XML. Cette conversion peut conduire à un service web, à un e-mail, ou à un message WAP ou SMS. Le document est ensuite crypté (ou décrypté, selon le cas de figure) et routé vers sa destination avec un niveau de priorité particulier, fonction de la taille du document, de la DTD, du destinataire, etc.

Des protocoles en évolution constante

Les implémentations diffèrent donc largement selon les constructeurs. Et au-delà de la protection virale, certains mettent en avant la possibilité de décharger les serveurs applicatifs des opérations d'authentification, d'autorisation, voire de cryptage (AES, 3DES, DSA, RSA, etc. ). Ces boîtiers apparaissent donc parfois comme redondants par rapport à des dispositifs de sécurisation SSL existant dans l'entreprise.Avec des prix couramment compris entre 30 000 et 50 000 dollars - et même 70 000 euros pour le boîtier Cisco -, les boîtiers de filtrage XML sont une manne financière pour leurs fabricants... Et une dépense non négligeable pour des utilisateurs, qui voient aussi se profiler un autre inconvénient : l'obsolescence prévisible de certains protocoles. Les protocoles dérivés de XML (XML Digital Signature, XKMS, par exemple) et ceux toujours en phase de normalisation auprès de l'IETF, du W3C, ou de l'Oasis ne vont cesser d'évoluer. Ils risquent même, dans les prochaines années, de ne plus être identifiés par le filtrage d'origine, généralement opéré par des processeurs spécialisés pour des raisons de performance.Chez Citrix, les appliances XML de Quicktree vont rejoindre les accélérateurs de trafic Netscaler et Wanscaler, et augmenter la sécurité de son offre de gestion des clients légers, sans compromettre la consommation de bande passante. F5 Networks, qui propose aussi des appliances de filtrage XML, souligne, lui, l'importance de recourir à un système d'équilibrage de charge pour optimiser l'utilisation de ces coûteux boî[e-mail]

3 questions à... : Olivier Seznec, directeur technique de Cisco France

Ingénieur des Mines de Paris, Olivier Seznec a travaillé successivement chez 3Com, Wellfleet, et Ipsilon avant de rejoindre Cisco.

Quel est l'intérêt des boîtiers de filtrage XML et pourquoi ne pas les intégrer dans des routeurs ?
' Ces boîtiers ont pour fonction de sécuriser les transferts de message XML en vérifiant les schémas de description XML. Il est possible d'éviter, par exemple, les attaques par Buffer Overflow, car le boîtier scanne et vérifie les requêtes. Il analyse notamment la taille des champs et élimine le contenu dont les dimensions sont anormales. Le boîtier XML est capable de reconstituer un message complet. Un travail plus fin que celui effectué par le routeur, qui ne lit que les en-têtes des paquets pour les router à la volée. '

Ne font-ils pas double emploi avec les boîtiers de sécurité SSL ?
' Les boîtiers SSL accélèrent les transactions sécurisées, indépendamment des protocoles utilisés (FTP, HTTP, POP ou Imap). Les boîtiers XML agissent au degré le plus fin des messages. '

Ces boîtiers sadressent-ils à toutes les entreprises ?
' Les filtres XML ciblent les grands services informatiques (des industriels et des banques) qui cherchent à atteindre un niveau uniforme se sécurité pour des raisons de conformité, en évitant des interventions sur chaque serveur, et sans avoir à remettre à jour de nombreux logiciels. '