NVIDIA indique qu’une activité non autorisée sur sa plateforme de développement cloud Brev pourrait avoir exposé des informations qui y étaient stockées, notamment des clés SSH associées aux machines de clients. Selon Tom’s Hardware, un avis adressé aux clients situe cette activité entre le 4 et le 20 octobre. L’avis ne précise pas l’année concernée.
Une clé SSH est un identifiant numérique qui permet de se connecter à un ordinateur ou à un serveur. Les clés concernées avaient été configurées par Brev et servaient à accéder aux machines virtuelles (VM) des clients, c’est-à-dire à des ordinateurs logiciels exécutés dans le cloud. Si une clé est exposée, elle peut entraîner un risque d’accès non autorisé, même si NVIDIA affirme n’avoir trouvé aucun indice d’utilisation frauduleuse.
Qu’a fait NVIDIA ?
NVIDIA indique avoir renouvelé les clés concernées, autrement dit les avoir remplacées par de nouvelles, puis avoir mis à jour les instances des clients avec ces nouvelles clés. Cette mesure vise à empêcher l’utilisation des anciens identifiants pour se connecter à ces machines. Dans son avis, l’entreprise indique que les informations des clients sur son réseau Brev « pourraient avoir été affectées ».
Dans les informations rapportées par Tom’s Hardware, l’entreprise n’a pas précisé comment l’activité non autorisée avait commencé, quels comptes étaient concernés ni si quelqu’un avait copié ou consulté des données spécifiques de clients. Elle n’a pas non plus indiqué combien de clients avaient reçu un avis. Faute de ces éléments, il est difficile d’évaluer l’ampleur de l’incident à partir des informations disponibles.
Ce qui reste incertain
Dire n’avoir trouvé aucun indice d’utilisation abusive ne revient pas à affirmer que les clés n’ont certainement pas été utilisées : cela décrit ce que l’enquête de l’entreprise aurait révélé. L’avis rapporté ne précise ni les activités observées par les enquêteurs ni la manière dont ils ont vérifié si les clés avaient été utilisées de façon abusive.
Pour les clients de Brev, la seule mesure confirmée est le remplacement par NVIDIA des clés potentiellement concernées et la mise à jour des instances. L’avis rapporté ne donne pas d’autres consignes aux clients et ne précise pas s’ils doivent modifier d’autres identifiants. Il ne fait état d’aucune interruption de service ni d’aucun accès confirmé aux VM des clients.
Pourquoi c'est important
Les clients de Brev peuvent chercher à savoir si leurs machines ou leurs données dans le cloud ont été exposées, mais l’avis de NVIDIA rapporté ne précise pas quels comptes étaient concernés et ne confirme aucun accès aux VM des clients. L’entreprise affirme avoir remplacé les clés et n’avoir trouvé aucun indice d’utilisation abusive ; elle ne précise pas si les clients doivent prendre d’autres mesures.
