Cybersécurité : quelques chiffres clés (à manier avec précaution !)

2 milliards d'internautes .

250 000 scans ou tentatives de scan par heure sur les réseaux militaires US.

15 000 attaques informatiques par jour sur les réseaux fédéraux US.

1,8 millions d'attaques par mois sur les systèmes informatiques du Sénat ou des diverses agences gouvernementales US.

Les différentes attaques proviennent de 207 pays. 

Ces chiffres datent de 2010 et donnent le tournis. Assenés ainsi et sans une lecture un peu plus nuancée, il est aisé de croire que les USA sont soumis de manière aigüe et permanente à une guerre de l'information dont le monde entier serait l'ennemi !

Vision réductrice mais qui participe au storytelling et à la puissance de feu des communicants. C'est aussi ce qui fait la force des USA qui, lorsqu'ils décident de s'emparer d'un sujet, ne font ni semblant ni les choses à moitié.

Quoiqu'il en soit, faites l'expérience en allant consulter le journal d'événements de votre antivirus/pare-feu qui, l'un sans l'autre, ne servent pas à grand chose : vous serez stupéfaits par le nombre de tentatives d'attaques, majoritairement issues de botnets malveillants, avec des origines géographiques tellement variées que vous pourrez faire le tour de la Terre à bon compte. Et sans quitter le confortable siège de votre bureau !

Cyber-espionnage "temps de paix" ?!

Les USA, grands communicants devant l’Éternel, ont beau maîtriser l'art et la manière de peindre la toile qui illustrera au mieux le storytelling choisi, il semble cependant assez évident que le cyber-espace et les enjeux liés à se conflictualité sont un sujet pour le moins...délicat !

Tandis que je tentais, imparfaitement, vendredi dernier d'analyser l'Executive Order signé le mois dernier par le président Obama, des éléments de réflexion supplémentaires sont apparus durant le week-end. Un article de TheAtlanticWire résume parfaitement les 3 points clés qu'il faut (faudrait ?) retenir pour le moment. Pour le moment, puisque le Pentagone doit prochainement publier la déclinaison de l'Executive Order en règles d'engagement opérationnelles et que l'été apportera peut-être un autre lot de "fuites" savamment orchestrées.

Les 3 points clés sont les suivants :

- S'assurer régulièrement que les routes (vers les réseaux gouvernementaux et militaires) du pays-cible (je ne vois pas d'autre traduction contextuelle à "another country") sont "praticables" à tout moment via l'envoi de requêtes non-malveillantes. Ceci en vue de lancer une contre-attaque éclair. L'article parle d'espionnage en temps de paix (Peacetime Espionage) pour cette activité.

- L'autorisation de mesures de rétorsion en lançant des attaques ou des contre-attaques avec la particularité que les USA s'arrogent le droit de poursuivre virtuellement les attaquants, même (et surtout) à l'intérieur du pays d'où proviendrait l'attaque.

- Enfin, le fait de ne pas lancer d'attaque ou de contre-attaque via les réseaux, systèmes et serveurs d'un "pays neutre" c'est à dire qui n'aurait pas donné son autorisation à ce type d'action.

La partie "rétorsions" est la moins surprenante puisque nombre de spécialistes se sont focalisés sur ce point alors, qu'à mon avis, les autres parties sont tout aussi intéressantes, si ce n'est plus. On remarquera d'ailleurs la belle hypocrisie de langage qu'il y aurait à distinguer un cyber-espionnage "en temps de paix" et un cyber-espionnage "en temps de guerre". Il s'agit bel et bien de la même activité qui est de reconnaître les chemins d'attaque vers les pays-cibles et de s'assurer que l'ensemble des informations dont disposent les USA sont à jour "au cas où".

Enfin, la partie sur les "pays neutres" est soit un non-sens soit, là aussi, une belle hypocrisie pseudo-légaliste : le Pentagone, via l'U.S. Cyber Command, voire le DHS (le périmètre "géographique" du DHS semble, en fait, assez fluctuant) ne sera pas autorisé à lancer une cyber-attaque via un pays qui ne l'aurait pas autorisé. Le Pentagone ou le DHS non, mais la CIA ?
 

On atteint là les limites d'un exercice, certes délicat, de communication tout azimuts alors que la stratégie générale n'apparait pas vraiment finalisée* ou reste encore perfectible. A moins, évidemment, que tout ceci ne soit qu'un immense iceberg où la partie immergée reste invisible aux yeux du commun des mortels ?


* on lira avec intérêt (en anglais) les auditions effectuées par la sous-commission "Cybersécurité" du Sénat. Des critiques, émises par Mélissa Hathaway, soulignent le flou que j'évoquais plus haut. En particulier sur le rôle du DHS. Je veillerai, si mon agenda le permet, à produire une courte analyse sur ces auditions.

Cybersécurité USA : les règles (officielles) d'engagement signées

Le mois dernier, le gouvernement Obama annonçait une série de mesures dans le domaine de la cybersécurité. Les mesures étant déclinées sur le plan défensif et offensif, c'est ce dernier point qui avait surtout retenu l'attention de certains média (traditionnels et Internet).

La riposte à coups de missiles, pas seulement conventionnels (?!), en réponse à une attaque sur l'infrastructure de production et de transport de l'électricité avait choqué plus d'un commentateur avisé. Je demeure toujours convaincu que cette image est avant tout l'interprétation de "toute cyber-attaque d'origine étatique pourra être considérée comme un acte de guerre".

Il semblerait que des fuites savamment organisées (forcément) épaississent un peu plus le brouillard* puisque l'on en apprend un peu plus sur l'Executive order, portant sur la cybersécurité, et signé le mois dernier par le président Obama. En lieu et place de missiles, il y est surtout question des réactions militaires autorisées en fonction de certaines cyber-attaques : celles-ci vont de l'emploi des capacités cyber-offensives à la conduite de missions de renseignement (espionnage = usage CIA).

Dans tous les cas, toute réaction devra avoir reçu une autorisation présidentielle et, même si l'ensemble des règles ne sont pas encore connues, une cyber contre-attaque américaine passant par un autre pays devra avoir l'aval de celui-ci. Sur le principe de ce qui se fait du point de vue de l'aviation militaire américaine qui doit, normalement*, obtenir l'autorisation de passage dans l'espace aérien du pays survolé.

Ce dernier point me plonge dans une grande perplexité puisque les attaques peuvent être menées très rapidement et qu'un pays comme les USA, inventeur - entre autre - de l'Internet, possède les outils les plus pointus pour camoufler de possibles attaques de son territoire. Disons que dans ce cadre, on est plus dans une réponse de type "communication officielle" avec, optionnellement, l'implication des alliés (au hasard : l'OTAN).

Étrangement*, les règles d'engagement de la CIA n'apparaissent nulle part. Sachant que cette dernière possède les propres siennes (également sous Executive order mais de niveau...secret !) dans le cyber-espace et qu'elles sont moins contraignantes que celles qui s'appliquent aux militaires. Alors peut-être qu'un jour, oui, en réponse à une cyber-attaque, l'un des (nombreux) drones employé par "l'Agence" balancera son ou ses missiles sur un data-center militaire. Ou, en tout cas, sur une cible de valeur militaire voire politique.

* on notera avec une certaine gourmandise que la discrétion induite par le brouillard n'empêche aucunement de jouer à "ma main droite ne voit pas ce que ma main gauche fait" ! Mais qu'aussi, Tom Clancy est un visionnaire ! ;)

Attaque APT chez RSA : des millions de clients vulnérables ?

Toute personne intéressée par les problématiques de sécurité (de l'information), a entendu parler ou entendra un jour parler des conférences RSA (RSA Conference). Si l'actualité ne la mettait pas en lumière ces derniers jours, on aurait tendance à oublier que RSA est la division sécurité d'EMC commercialisant, entre autre, un système mondialement réputé (et répandu) d'authentification forte par token, SecurID. Les utilisateurs de cette solution se comptent en dizaines de millions.

C'est ce produit qui semble avoir été particulièrement ciblé par une attaque sophistiquée de type APT (Advanced Persistent Threat), révélée la semaine dernière par Art Coviello, le directeur de RSA, dans une lettre où la transparence le dispute à la confiance dans un produit "qu'il_est_super_et_qui_continue_à_l'être".

Tout d'abord, notons le "ton" calme, professionnel et pour tout dire rassurant d'Art Coviello. Dans le fond, impossible de connaître la gravité du risque mais l'on sait que RSA a confiance dans son produit et que les équipes sont mobilisées. Un (énorme) bémol cependant quand je lis "Nous sommes convaincus que les informations extraites ne permettent pas une attaque réussie directement sur l'un de nos clients RSA SecurID".

Question : si ce n'est pas directement, est-ce qu'une attaque peut réussir indirectement ?

"Ces informations pourraient être utilisées pour réduire l'efficacité d'une mise en œuvre d'authentification à deux facteurs en cours dans le cadre d'un vaste attaque".

Réponse : malheureusement on sent bien que la belle confiance affichée en toute "transparence" est bien de l'ordre de la méthode Coué. 

Un dernier mot sur la partie technique de l'attaque : elle a réclamé beaucoup de patience, de savoir(s)-faire et de ressources (compétences et financières). C'est donc le marqueur d'une attaque professionnelle menée par des personnes ayant des objectifs précis...ou une commande précise.
Edit : sur ce dernier point, il faut lire l'hypothèse du lien avec la directive FFIEC. C'est loin d'être idiot !

L'attaque ayant réussi, pourquoi alors l'avoir communiquée ? Une théorie intéressante est que l'affaire HBGary/Anonymous a marqué les esprits et qu'il vaut mieux prendre les devants afin de piloter la communication. Communication ou pas, rien qu'en France, l'Education nationale utilise SecurID pour la saisie des notes et à travers le monde, ce sont des sites de banque à distance. Souhaitons qu'Art Coviello ait raison et que l'un de mes prochains billets ne traite pas d'une attaque reliée directement à cette affaire ! En attendant, le lecteur attentif ira lire le (bon) billet sur le même sujet publié ce matin par Sid.

PS : à propos des APT, je me permets la reproduction d'un de mes échanges avec Nico "News0ft", histoire d'illustrer le recyclage marketing de cet acronyme. "Quant aux "APT", ça existe bel et bien ... mais ce sont juste des "gens" qui font du test d'intrusion récurrent sans l'accord du client et sans aucun cadre déontologique ... et ça donne les mêmes résultats qu'un test d'intrusion classique: 100% de succès".

Complexité et beauté de Stuxnet

Wired a publié vendredi 11 février un article bien documenté sur la typologie d'introduction de Stuxnet avant qu'il ne s'active et ne cause des dommages, difficilement quantifiés depuis, au sein du programme nucléaire iranien. La méthodologie retenue est somme toute "logique" puisque ne pouvant utiliser l'internet, seuls restent des vecteurs physiques de type support amovible (clé USB) afin de contaminer l'un des réseaux locaux (mais isolé) du programme nucléaire.

Cinq Six organisations/groupes, dont on ne sait rien pour le moment mais dont on peut supposer un lien direct ou indirect avec le programme nucléaire, ont été ciblées et ont fait l'objet d'attaques temporelles successives. Les deux premières vagues ont eu lieu en juin et en juillet 2009 puis il y a eu neuf mois d'inactivité complète avant que trois autres vagues n'aient lieu (mars, avril et mai 2010).

Symantec, qui a mené ces analyses, est capable de dire que c'est l'attaque conduite en mars 2010 qui a obtenu le taux de réussite le plus important (69%). Deux autres informations intéressantes émergent du rapport : il n'a fallu qu'une douzaine d'heures entre l'introduction réussie de Stuxnet et que sa charge devienne active (du point de vue logiciel). Enfin, Stuxnet semble avoir été conçu pour être uniquement "LAN-based" ("réseau local") afin de ne pas s'échapper into the wild (dans l'Internet).

Si ces informations viennent à être confirmées, on peut de nouveau souligner la grande complexité  opératoire de ce code malveillant high-tech. Enfin, je signale qu'une partie du code décompilé de Stuxnet est disponible ici. A projeter le samedi soir en soirée, pour faire son geek ! :)

D'ailleurs, en parlant de geek, la toile bruisse ces dernières heures d'une rumeur insistante : les Anonymous auraient déclaré être entrés en possession de Stuxnet. On imagine aisément la vision d'Apocalypse relayée par certains média. La bonne question à se poser serait : qui a intérêt à quoi ? Je pense que l'on assiste à de la désinformation voire de l'intoxication informationnelle. Cet article, sérieux et étayé, semble confirmer mon sentiment.

Attaques concertées sur le CO2 en Europe

Des attaques de grande ampleur sur le marché européen des échanges CO2 ("Bourses du carbone") vient d'obliger la Commission Européenne a une grande première : fermer les registres jusqu'au 26 janvier.

 

La Tribune explique que « Les attaques étaient concertées. Elles se sont déroulées sur plusieurs jours, dans le but de voler des crédits pour les revendre sur le marché spot », indique la Commission.

Les codes informatiques des registres, sortes de banques centrales de CO2, ont été forcés et les quotas, désignés par un numéro et donc totalement traçables, ont été expédiés sur d'autres comptes. Treize pays ont du suspendre toutes leurs opérations sur le CO2. En France le registre géré par la Caisse des dépôts est resté ouvert.

Au total, les montants disparus avoisineraient 3 millions de tonnes de CO2, pour une somme de plus de 200 millions d'euros. Toujours selon la Tribune, Barclays Capital, un des gros acteurs du marché, a, depuis le début de l'année, interrompu toute opération sur le marché au comptant (spot) du CO2, afin d'éviter de se retrouver avec des quotas volés.

Ce marché met en jeu des sommes d'argent très importantes et l'on comprend aisément qu'il soit une cible de choix pour la cyber criminalité, généralement le fait des mafias des pays de l'Est. A titre d'exemple, la tonne de CO2 s'échangeait au prix moyen de 13€ la tonne en 2010 sur des volumes allant de plusieurs centaines de milliers de tonnes à quelques millions de tonnes ! Je ne dispose pour le moment d'aucune information sur le(s) vecteur (s) et les chemins d'attaque utilisés mais je publierai toute information dans ce sens.

Moyens cyber-offensifs et approche systémique

L'OCDE vient de publier une analyse intéressante ayant pour sujet la réduction des risques systémiques dans le cyberespace (le rapport en anglais). Cette analyse se situe dans le champ de recherches "Chocs globaux du futur" et me parait donner la tendance observée en 2010 : les menaces dans le cyberespace sont dorénavant étudiées sérieusement au niveau des centres de décisions à l'échelle planétaire. Et cela au même titre que les atteintes majeures au système financier, les pandémies à large échelle, les pollutions majeures ou les incidents climatiques non limités à une zone géographique régionale.

N'ayant pas eu encore le temps de lire attentivement ce rapport, mais en me basant sur l'article d'ITe qui a attiré mon attention, je m'aperçois que les auteurs arrivent à des conclusions similaires à celles de mon billet du 22 octobre 2010 où j'expliquais que les moyens cyber-offensifs n'auraient que des effets systémiques limités et devaient être vus en complément de l'utilisation de moyens plus "traditionnels".

Voeux 2011 : Stuxnet chinois ?

Afin de sacrifier diligemment aux sacro-saints voeux de la nouvelle année, je vous souhaite une année pleine de réussites, emplie d'un bonheur total et accompagnée d'une santé de fer.

Toujours aussi rapide et plutôt bien informé, Dominique Bourra sur le site NanoJV, relevait le 31 décembre que la dernière information concernant Stuxnet semblait être passée totalement inaperçue, en France tout du moins (phénomène dû à des panses bien remplies et des cerveaux en mode off ? :)

Quoiqu'il en soit, un article de Jeffrey Carr publié le 14 décembre sur le site Forbe's établirait une première connexion avec la Finlande où la société Vacon fait fabriquer  à Suzhou (en...Chine) les convertisseurs de fréquence ciblés par Stuxnet ! De plus, l'un des deux certificats digitaux (pour l'authentification sécurisée d'une connexion) et qui a servi dans l'une des phases initiales de l'attaque est un certificat Realtek, constructeur mondialement connu et basé à Taïwan. Enfin, les centrifugeuses iraniennes seraient un modèle d'origine chinoise.

Tout cela commence à faire beaucoup mais le propos se tient. Je pressens que Stuxnet n'a pas fini de faire parler de lui en 2011 mais je rappelle également que la cyber lutte planétaire engagée maintenant depuis des années, et qui commence à devenir médiatique, est essentiellement le fruit d'entités étatiques dont les recherches et les capacités sont par essence d'une extrême discrétion. Une conséquence, semble-t-il de l'annulation la conférence S4 (SCADA Security Scientific Symposium) qui devait se tenir ce mois-ci à Miami.

Stuxnet, made in USA ?

C'est Dominique Bourra, à travers l'un de ses blogs, qui relaie une information d'envergure parue le 1er décembre aux États-Unis : d'après Sean Osbourn, un conservateur pur et dur, les États-Unis seraient en réalité les concepteurs de Stuxnet ! L'article sur son blog, relayé ensuite par le Northeast Intelligence Network, ne manque pas d'arguments et l'hypothèse est séduisante.

Cependant, j'ai jusqu'à présent fait montre de prudence dans cette affaire et je continue sur cette voie tant que des informations autrement plus consistantes et irréfutables ne seront pas présentées. J'avais déjà précédemment évoqué la liste (plus que réduite) des nations possédant les moyens techniques et les ressources nécessaires à l'élaboration de ce code extrêmement sophistiqué et les USA étaient au premier rang de celles-ci. 

L'on navigue de toute manière en territoire intrinsèquement embrumé et l'hypothèse d'une opération à plusieurs participants ne me parait pas non plus délirante. Une chose semble à peu près sûre dans cette histoire : la cible de Stuxnet semble bien le programme nucléaire et ce dernier pourrait bien être plus atteint que les iraniens ne le disent. La fin des pourparlers hier, après 14 mois de suspension, en sont d'ailleurs peut être l'illustration.