Je travaille dans une école d'ingénieurs qui propose une formation en cinq ans, avec des étudiants qui ont donc pour la plupart entre 18 et 23 ans. J'ai commencé à enseigner pendant mon doctorat, et si j'ajoute mes propres études, cela fait plus de trente ans que je suis entouré d'étudiants.

La jeunesse croque la vie à pleines dents, et profite de sa formidable énergie. Sur le chemin de l'apprentissage, les jeunes découvrent les succès mais aussi les échecs.Et parfois certains échecs semblent insurmontables.

Stéphane était étudiant avec moi et travaillait avec enthousiasme sur mes problèmes de réseaux de neurones. Nous programmions des heures durant et partions à la chasse aux bugs, entrecoupée de courses poursuites dans les couloirs du labo, à cheval sur nos fauteuils à roulettes et armés de nos vingt ans. J'étais son aîné de quelques années, et je me fichais bien de mon statut de maître de stage.

Quelques mois après la fin de son stage, je recevais une lettre de ses parents qui m'annonçaient son suicide. Stéphane vivait mal une rupture sentimentale qui s'ajoutait à un changement de vie qu'il appréhendait. Derrière lui, il laissait une famille effondrée et une lettre dans laquelle il écrivait que les meilleurs moments de sa courte vie avaient été ceux passés avec moi pendant son stage.

Je n'oublierai jamais le choc de cette disparition, et j'ai une pensée émue pour lui chaque 27 avril.

Stéphane, tu resteras jeune et présent dans mon cœur.

Je suis toujours en pleine recherche du Graal de la sauvegarde : l'outil universel qui permet de sauvegarder ses données, sur une fenêtre d'environ un mois, de les chiffrer, et de les restaurer facilement.

J'ai équipé la maison d'un magnifique NAS de 12 To que je souhaite dédier aux sauvegardes des différents ordinateurs, du NAS de partage de données, ainsi que des différentes tablettes et téléphones.

Voici où j'en suis de mes réflexions : ce n'est pas si simple...

Le NAS de sauvegarde est géré (très efficacement et très simplement) par OpenMediaVault. Je présente d'ailleurs la solution de principe dans ce billet.


Les ordinateurs.

Les ordinateurs de la maison sont tous de nature différente :
- deux fixes sous Windows
- un fixe sous Windows dans un réseau privée sécurisé (boîtier RPVA)
- deux portables sous Windows
- un fixe sous GNU/Linux

J'utilise le logiciel BackupPC, installé sur le serveur de sauvegarde, qui permet de sauvegarder des environnements hétérogènes. Le principal défaut, je trouve, est sa complexité de configuration, en particulier des inclusions/exclusions. J'ai fini par y arriver, mais j'ai trouvé cela fastidieux...

Je voulais utiliser le système sur tous les postes, quand je me suis rendu compte que l'ordinateur situé derrière le boîtier RPVA (Navista) n'était pas "pingable" et que le serveur de sauvegarde ne pourrait pas le joindre (alors que l'inverse est vrai). J'ai donc choisi de mettre en place un serveur VPN (OpenVPN) dédié à ce poste (sans routage) pour que le serveur puisse le voir. Ça fonctionne plutôt bien.

Puis, un internaute m'a orienté vers le logiciel Veeam Endpoint Backup Free, que je ne connaissais pas alors que j'utilise la version professionnelle au boulot. Du coup, je l'ai installé sur tous les postes sous Windows, avec l'avantage de ne pas avoir à créer un compte "backup" local. Ce logiciel crée des images ISO de boot en cas de panne et sauvegarde l'intégralité du disque dur via le mécanisme Microsoft VSS (ie les fichiers ouverts). C'est simple, gratuit, pratique et facile à utiliser. Seul défaut : la partie serveur est payante. Du coup, j'ai créé un partage Windows sur le serveur de sauvegarde, où sont stockées toutes les sauvegardes Veeam. Pour éviter la contamination par cryptovirus, j'ai préféré créer un partage différent pour chaque PC sauvegardé (avec un user différent, invisible des autres). Exit donc la déduplication...

Enfin, pour le PC sous GNU/Linux (Mint), j'utilise BackupPC qui fonctionne, mais je teste aussi Back In Time qui a l'air très efficace (et très simple à paramétrer).


Le NAS familial.

Il s'agit d'un Synology DS713+ encore pour l'instant sous DSM 5.2 (la v6 vient juste de sortir). Il s'agit d'un système d'exploitation utilisant un noyau Linux, et donc qui possède les outils rsync(d). J'utilise donc BackupPC pour le sauvegarder et cela fonctionne très bien.


Les tablettes et téléphones.

C'est pour l'instant en stand-by... J'utilise les comptes Google créés pour chaque appareil Android, et iTunes/iCloud pour les appareils Apple. Certains vieux téléphones doivent être sauvegardés à la main sur le PC de son propriétaire, le PC étant ensuite sauvegardé par le système décrit précédemment...


La todo list.

L'externalisation des sauvegardes. Vu la masse de données, il faut sélectionner les données intéressantes et les isoler sur un disque dur USB branché sur le serveur de sauvegarde. A moins que je n'utilise mon vieux NAS Synology DS209j, très lent, mais qui pourrait embarquer deux disques 4To en RAID0, soit 8To.

Le chiffrement n'est pas encore traité. Je vise surtout le disque dur qui sera externalisé. La commande gpg devrait faire l'affaire...

Il y a encore beaucoup de logiciels excellents à tester. J'ai plusieurs envies, comme par exemple Duplicity.

Je vais regarder également du côté des outils pro abordables. J'attends en particulier avec impatience la sortie de l'agent Veeam pour Linux.

Enfin, il faudra bien arrêter une politique de sauvegarde, avec une liste restreinte de logiciels et de procédures de restauration. C'est très bien de jouer avec les outils, mais il va falloir décider.

Si vous avez des conseils, des idées, des retours d'expérience, n'hésitez pas à m'en faire part, en commentaires ou par email ;-)

Mon billet intitulé "Mais putain y va bouger son gros cul ce con" m'a valu une avalanche d'emails outrés d'un certain nombre de confrères, et l'affaire a pris une tournure assez inattendue pour moi : j'ai été contacté par le président de la compagnie des experts de justice de ma Cour d'Appel, puis par le Procureur Général près la Cour d'Appel qui m'ont demandé de mesurer mes propos.

Je leur ai expliqué que j'étais le premier concerné par le titre, comme indiqué dans le billet. Je n'ai pas dû être très convainquant puisque, quelques jours plus tard, je recevais un courrier à l'entête du ministère de la Justice me demandant d'exercer mon devoir de réserve et de retirer le billet en question.

Heureusement, sur les conseils avisés de mon avocat, j'ai laissé le billet en ligne et expliqué que, n'étant pas fonctionnaire, je ne suis pas astreint à un devoir de réserve et que je garde toute ma liberté d'expression dans notre beau pays démocratique. Le billet est toujours en ligne et représente toujours le fond de ma pensée et de ma déception politique.

Néanmoins, la pression sur un simple petit blogueur comme moi est assez forte, et je mesure la fragilité de ma position et la difficulté d'assumer une libre parole somme toute assez théorique : je dois penser aussi mon travail. Il est en effet assez simple de perdre son emploi sans espoir d'en retrouver, surtout à mon âge. Je dois aussi penser à mes proches.

J'ai passé l'âge des grandes batailles.

Je vous tiendrai au courant du suivi.


[EDIT de 14h15]

En cette journée de 1er avril, je ne pensais pas semer la panique auprès de mes amis. Il est vrai que je suis plutôt connu pour mon sérieux, un peu coincé, de geek un peu nerd.

Je voudrais donc les rassurer (et surtout qu'ils arrêtent d'essayer de me contacter : je travaille) : personne ne m'a écrit, ni mes confrères, ni le président de la compagnie d'expert de justice de ma Cour d'Appel, ni le Procureur Général, ni le ministère de la Justice...

Ce blog est un petit espace de liberté, mon identité réelle est connue de presque tout le monde (et tout le monde s'en fout), et je ne rougis d'aucun des billets que j'y écris sous mon nom de plume.

Si un jour de devait subir les foudres de la justice, comme lors de l'affaire Zythom, j'attendrais que les cendres soient retombées avant de venir en parler ici.

Enfin, je voudrais rappeler que j'ai parfaitement conscience de l'insignifiance de ce blog, et que rien de ce que je peux écrire ici ne peut changer quoi que ce soit en ce bas monde : je n'ai pas ce talent, cette prétention, et ce n'est pas mon objectif.

Ce matin, j'ai piégé mes enfants en leur faisant croire que leur lycée était fermé pour cause de grève...

Sans rancune (mais merci pour les petits mots ;-)

On the Internet, nobody knows you are a dog, but they sure know if you are a son-of-a-bitch.

PS: ET JE N'AI PAS passé l'âge des grandes batailles ! Je compte bien encore bouger mon gros cul de con...

Depuis quelques semaines, c'est l’hécatombe autour de moi : je ne compte plus les collègues DSI qui subissent des attaques par chiffrement des disques durs (cryptovirus)... Pour l'instant, mon école n'a pas encore été touchée, mais cela ne saurait tarder car aucune défense n'est inviolable.

Pour autant, nous ne restons pas les bras croisés. La meilleure défense, c'est, comme toujours, l'éducation. Il faut (in)former ses utilisateurs, et rappeler qu'il ne faut pas ouvrir une pièce jointe sans s'être posé quelques questions : est-il normal que cette personne m'adresse une pièce jointe, l'email semble-t-il cohérent, est-il rédigé dans un français correct, etc. ? Bref, il faut introduire chez l'utilisateur un peu de saine paranoïa.

Les responsables informatiques ne se contentent pas de former leurs utilisateurs, ils essayent de mettre quelques remparts (de fortune), par exemple en s'assurant que les antivirus sont à jour et en segmentant les données par droits d'accès.

Vous pouvez aussi piocher des solutions intéressantes chez Korben, dans ce billet ou dans celui-ci.

Il existe pourtant un moyen simple permettant d'échapper (pour combien de temps ?) à certaines des attaques : il suffit de mettre en place un logiciel de filtrage de sites.

Voici la méthode que nous avons mise en place :
- un serveur GNU/Linux Debian configuré en passerelle
- le logiciel Squid configuré en proxy transparent
- le logiciel SquidGuard
- la mise à jour quotidienne des sites à partir de la liste noire établie et maintenue par l'Université de Toulouse : http://dsi.ut-capitole.fr/blacklists/
- et tous les ordinateurs du réseau configurés avec ce serveur comme passerelle vers internet.

Parmi les listes noires gérées par l'Université de Toulouse, nous avons choisi de mettre en place "malware" et "phishing" qui bloquent pour l'instant la plupart des utilisateurs ayant cliqué sur les pièces jointes contaminées.

Dans notre établissement, ce serveur est une machine virtuelle hébergée sur notre cluster de virtualisation, mais il était auparavant installé sur un "vieux" PC avec deux cartes réseaux. Il existe également des installations basées sur un Raspberry Pi (voir par exemple cette installation en contrôle parental qui peut facilement être légèrement modifiée pour faire du filtrage des sites de malwares et de phishing). Cet article peut également vous aider. Une fois configuré, le Raspberry Pi peut être branché sur la box du FAI (n'oubliez pas de paramétrer le DHCP de la box pour que la passerelle de tous vos ordinateurs soit le Raspberry PI).

Vous pouvez également installer, si vous le préférez, la distribution Pfsense avec Squid et SquidGuard. Cette solution existe aussi en hardware dédié.

Et n'oubliez pas le dernier rempart, le Mur de glace du Territoire du Nord :
la sauvegarde de vos données.

Mais vous n'y échapperez pas, car nul n'est à l'abri !
Vous allez tous mourir...

Le 31 mars est la journée mondiale de la sauvegarde. Faut-il vraiment une journée mondiale pour vous sensibiliser sur ce sujet, je ne pense pas... Pour autant, il est parfois utile de se pencher sur ce problème, et j'en profite pour vous faire un petit retour d'expérience, si ça peut aider quelqu'un. 

Les histoires pour faire peur.

Si je fais appel un peu à ma mémoire, j'ai quelques histoires horribles à raconter :
- un ami qui a perdu définitivement 3 semaines de photos de ses dernières vacances (disque dur externe HS, pas de copie)
- une entreprise qui a fermé parce que son serveur est tombé en panne pendant la sauvegarde (disque dur HS, sauvegarde en cours rendue inutilisable, je raconte cette histoire ici)
- des copains DSI qui m'ont remonté des pertes de données à cause de cryptovirus (données récupérées à partir des sauvegardes, travail de la journée perdu)
- un avocat m'appelant à l'aide après la perte de toutes les données de son cabinet (destruction par vandalisme)
- une collègue dont la maison a entièrement brûlé
- je ne compte plus les messages sur Facebook ou sur Twitter d'un étudiant ayant perdu plusieurs années de travail lors du vol de son ordinateur portable... 

Le problème.

Je souhaite mettre à l'abri les données informatiques de la maison, et qui se trouvent sur les ordinateurs de mes enfants (2 fixes et un portable), sur ceux du cabinet d'avocat de mon épouse, sur ceux de mon cabinet d'expertise informatique, sur les tablettes, sur les téléphones mobiles et sur le système de stockage collectif de la maison (un NAS Synology) qui regroupe toutes les photos et films familiaux. Il faut penser aux pertes de données par incendie (toute la maison brûle), par destruction (in)volontaire, par cambriolage et par attaque virale (j'ai très peur des cryptovirus). 

Ma solution.

Un système local dédié au stockage des sauvegardes, plus un système de synchronisation vers l'extérieur. Les données confidentielles seront chiffrées avant sauvegarde.

Voyons tout cela de plus près. 

Le stockage local.

J'ai testé plusieurs solutions (FreeNAS, OpenMediaVault, NAS4Free, OpenFiler, Amahi, NexentaStor, ZFSguru...) pour finalement retenir celle présentée dans ce précédent billet, à savoir OpenMediaVault. Je voulais éviter une solution Windows, trop sensible aux attaques virales, je cherchais une solution open source bien maintenue par sa communauté, et j'ai un faible pour les solutions sous Debian, distribution que je connais bien et que j'apprécie. J'ai eu un peu peur de me lancer dans des solutions un peu exotiques (même si le système de fichiers ZFS me semble très intéressant).

J'ai donc acheté un MicroServer Gen 8 HP sur Amazon pour 219 euros TTC que j'ai reçu quelques jours plus tard, et que j'ai immédiatement rempli avec deux barrettes mémoires de 8Go, quatre disques de 4 To (disques que j'utilise traditionnellement pour les expertises) et un petit disque SSD de 64 Go. J'ai ensuite procédé à l'installation en suivant la procédure de l'Atelier du Geek décrite dans ce billet.

Me voici donc à la tête d'un NAS DIY magnifique d'une capacité de 10 To répartie sur 4 disques en RAID5, que je vais destiner UNIQUEMENT aux sauvegardes des données familiales (et aussi aux données temporaires volumineuses générées lors de mes expertises judiciaires). 

Le logiciel de sauvegarde.

Là aussi, j'ai fait beaucoup d'essais : Areca Backup, BackupPC, Bonkey, DeltaCopy, FreeFileSync, etc. J'ai lu beaucoup d'articles, suivis les conseils donnés par vos commentaires sous ce billet. J'ai beaucoup rêvé d'un clone GNU/Linux du splendide logiciel Apple Time Machine, mais malheureusement, je n'ai pas trouvé.

J'ai choisi BackupPC pour ses performances, malgré une configuration que je trouve complexe. Il gère très bien la déduplication pour optimiser la place prise par les sauvegardes, il comprime les données, automatise très simplement les sauvegardes et gère très bien les ordinateurs connecté de façon aléatoire (les portables par exemple).

L'installation de BackupPC en parallèle à OpenMediaVault, et sa configuration, feront l'objet d'un billet technique séparé (Travail en cours, mais en gros, j'ai suivi ce billet). 

Le circuit des données.

Tous les ordinateurs de la maison ont accès à un NAS Synology de 4 To (deux disques en RAID1) qui stocke les photos et vidéos familiales, mais qui servait également au stockage des sauvegardes. Aujourd'hui, les sauvegardes de chaque poste sont faites directement vers le nouveau système de sauvegarde, ainsi que la sauvegarde du NAS Synology lui-même.

J'ai fait une exception pour les ordinateurs du cabinet d'avocat dont les données sont chiffrées avant d'être exportées. Je n'ai pas encore modifié ce système qui fonctionne bien. Je n'ai pas encore eu le temps de creuser ce point avec BackupPC. 

L'externalisation en cas d'incendie.

Mes enfants utilisent (ou pas) le Google Drive mis à disposition par le Google/apps familial. Pour ma part, étant sous GNU/Linux, je n'étais pas satisfait des clones permettant d'accéder à mon Google Drive professionnel (pourtant à capacité illimitée ! ). J'ai donc installé sur le NAS familial le logiciel OwnCloud, pour me permettre de synchroniser certaines données avec plusieurs ordinateurs, dont celui que j'utilise au boulot.

Ce système fonctionne très bien, mais ne contient pas toutes les données qui sont sauvegardées par BackupPC. C'est un point sur lequel je dois encore travailler. Je pense tout simplement installer OwnCloud sur le système de sauvegarde OpenMediaVault/BackupPC.

J'ai un disque perso de 4 To qui continue de tourner entre le boulot et la maison, pour l'ensemble des données essentielles (rotation tous les 6 mois). 

Bilan provisoire.

Le cube HP MicroServer Gen8 est très silencieux et son prix vraiment attractif. Son processeur est un peu poussif, et semble être son point faible puisqu'il passe à 100% si deux sauvegardes sont en cours, mais il fait très bien l'affaire.

OpenMediaVault est d'une simplicité remarquable et d'une qualité professionnelle aboutie.

BackupPC est complexe mais efficace. Je pense être encore très loin d'avoir fait le tour de toutes ses possibilités. Par contre, dès qu'un clone fiable de Time Machine sortira...

Quand tout le système sera en place et stabilisé, cela fera un total de 6 disques durs de 4 To destinées aux sauvegardes :
- 4 dans le NAS de sauvegarde
- 1 dans le PC du boulot pour OwnCloud
- 1 hors ligne stocké au boulot.

Cela représente un coût non négligeable, mais qui me paraît dérisoire face à la perte DEFINITIVE des données concernées.

Quelque soit la manière dont vous gérez vos données numériques, le plus important est de veiller à ce que les données les plus chères à vos yeux soient stockées à plusieurs endroits et résistent à un effacement accidentel, à un vol, à une destruction ou à un chiffrement frauduleux.

Pensez-y.