Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Cloud : derrière le nuage merveilleux se cachent les ordinateurs de quelqu’un d’autre

16 mars 2021 - 10:09,
Tribune - Charles Blanc-Rolin
L’incendie dont a été victime le datacenter strasbourgeois d’OVH jeudi dernier n’en finit pas de faire couler de l’encre, ou des pixels, et pour cause, il risque bien de nous faire redescendre pour un bon moment, de notre petit nuage ! Pour reprendre le célèbre slogan de la FSF [1] : « There is no cloud ...just other people’s computers ».

Avant tout, je compatis sincèrement avec les équipes d’OVH qui n’ont vraiment pas eu de chance et qui travaillent d’arrache-pied pour rétablir au plus vite un service pour leurs clients (dont je fais partie, à titre personnel) pour lesquels les machines sont arrêtées ou dans certains cas totalement perdues. Courage à eux, car la tâche ne doit vraiment pas être facile.
Par chance, et il est important de le souligner, les données restent des données... aucun mort ou blessé n’est à déplorer, et même si la situation est embêtante pour tout le monde, c’est bien ça le plus important à sens.

Source : https://twitter.com/sdis67/status/1369597903535304705

Le premier retour vidéo d’Octave KLABA [2] a quand même de quoi faire réfléchir, aussi bien sur des erreurs de conception, d’organisation, de configuration ou d’administration qui ont pu être faites chez OVH, mais très certainement chez d’autres hébergeurs, ainsi que chez chacun d’entre nous…. Restons modestes...

- L’incendie semble provenir d’une défaillance d’un onduleur et s’est propagé très vite. Première question qui me vient, à quelle distance doivent se trouver les onduleurs des salles machines ? Les locaux dans lesquels se trouvent les onduleurs ne devraient-ils pas être équipés de systèmes d’extinction automatique, au même titre que les salles machines ?

- Dans le cas d’un PCA, ce qui ne semble pas avoir été mis en place pour le datacenter strasbourgeois, ne devraient-on pas avoir deux systèmes d’alimentation électrique totalement distincts, permettant au bâtiment B de continuer tourner, si le bâtiment A est en feu et qu’il faut couper l’alimentation électrique ?

- Une partie des données sauvegardées ont été perdues car la salle contenant les sauvegardes se trouvait à côté de la salle contenant les serveurs de production qui était en feu. Des sauvegardes à côté d’une prod, ce n’est pas choquant si ce ne sont pas les données de la prod accolée qui y sont stockées. Alors que c’est-il passé ? Erreur de conception au départ ? J’ai du mal à y croire… J’imagine que les sauvegardes étaient croisées, à minima sur site, même si un croisement Roubaix ↔ Strasbourg ne me paraîtrait pas déconnant. Erreur de configuration ou d’administration survenue par la suite ? C’est probable. Au delà des tests de restauration, ne devrions-nous pas faire au même titre que des revues d’habilitations, des revues des sauvegardes intégrant l’aspect localisation ? La sauvegarde ne devrait-elle pas rester une préoccupation, même lorsqu’un service ou une application est externalisé ?

C’est un coup dur pour OVH, mais je veux bien croire Octave KLABA lorsqu’il dit, qu’ils feront tout pour que ça ne se reproduise jamais. Cet incident est lourd de conséquences en terme d’image, on parle de 3,6 millions de sites / services indisponibles [3], mais aussi et là pour le coup, ironie du sort, c’est une bonne nouvelle pour nous, au moins 140 serveurs de commandes et de contrôle d’attaquants à l’arrêt [4].

- Autre question qui me vient, les certifications ISO 27001 ou HDS ne sont-elles pas « trop » considérées comme un gage de sécurité absolut pour les données ?

J’ai souvenir du rapport d’incident d’un hébergeur HDS qui mentionnait, la porte du local technique électrique ne s’ouvrait plus car l’armoire électrique est tombée sur la porte lorsque la pelleteuse a arraché les câbles (comme quoi, même le sens d’ouverture de la porte a son importance), le groupe électrogène n’a pas démarré, les versions d’hyperviseurs étaient différentes dans le datacenter de secours, du coup, nous n’avons pu activer le PCA, les configurations des commutateurs n’avaient pas été sauvegardées, donc rien a fonctionné quand on a redémarré le datacenter principal… Un scénario digne d’une production hollywoodienne.

Et si vous pensez que c’est mieux chez Microsoft ou Amazon, sachez que non seulement le gouvernement américain peut accéder légalement à vos données [5], même stockées en Europe, mais également que le gouvernent Chinois pourrait y accéder, d’après les dires de Microsoft [6].

Aucun service ne sera jamais parfait, alors ne mettons pas tous nos œufs dans le même panier et préférons les « paniers » français ou européens...


[1] https://www.fsf.org/

[2] https://www.ovh.com/fr/images/sbg/index-fr.html

[3] https://www.bfmtv.com/tech/incendie-chez-ovh-3-6-millions-de-sites-web-sont-tombes-en-panne_AN-202103110385.html

[4] https://securityaffairs.co/wordpress/115559/apt/ovh-fire-apt-impact.html

[5] /article/2967/rgpd-vs-cloud-act.html

[6] https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Horizon Santé 360 : Innovons ensemble pour notre souveraineté en santé

Horizon Santé 360 : Innovons ensemble pour notre souveraineté en santé

02 oct. 2025 - 10:31,

Communiqué

- La Poste Santé & Autonomie

Rendez-vous le 9 octobre 2025 à Paris pour la 3ᵉ édition d’Horizon Santé 360, l'événement annuel de La Poste Santé & Autonomie.

Illustration Le Data Act : une nouvelle ère pour la gouvernance des données de santé

Le Data Act : une nouvelle ère pour la gouvernance des données de santé

30 sept. 2025 - 07:15,

Tribune

-
Marguerite Brac de La Perrière

Le 12 septembre 2025 a marqué une étape décisive dans la stratégie européenne de la donnée avec l’entrée en application du Data Act (Règlement UE 2023/2854). Ce texte, pilier du marché unique de la donnée, vise à encadrer l’accès, le partage et la portabilité des données générées par les produits ...

Illustration « Intelligence artificielle au service de la santé » : quelle stratégie nationale règlementaire ?

« Intelligence artificielle au service de la santé » : quelle stratégie nationale règlementaire ?

29 sept. 2025 - 20:33,

Tribune

-
Alexandre FIEVEÉ &
Alice ROBERT

Partant du constat que l’IA est un « levier de transformation majeur » pour le système de santé français et qu’il est nécessaire d’organiser son développement en tenant compte de paramètres clés tels que la confiance et la clarté du paysage règlementaire et éthique, une stratégie interministérielle ...

Illustration Domaine 2 du programme CaRE : une matinée pour se faire accompagner

Domaine 2 du programme CaRE : une matinée pour se faire accompagner

29 sept. 2025 - 11:30,

Actualité

- Valentine Bellanger, DSIH

Dans le cadre de son Tour de France, Orange Cyberdefense propose des matinales de rencontres et d’échanges autour d’une thématique très attendue : le Domaine 2 du programme CaRE (1). L’objectif : maîtriser les prérequis du programme CaRE et se faire accompagner pour bénéficier des soutiens financier...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.