Du sentiment d’insécurité (informatique) 2/2

Le préjudice des attaques informatiques dans le monde semble pouvoir être évalué à près de 1000 milliards $. C’est ce qu’il en ressort d’un article du Figaro paru il y a quelques jours. Le chiffre est impressionnant, massif et, a priori, indiscutable puisque venant de McAfee, l’un des leaders mondiaux en solutions de sécurité logicielles.

En terme d’attractivité, les USA a été le pays le plus attaqué au monde en mars 2011, suivi de la Chine puis de la…France qui obtient une « très belle » médaille de bronze ! Viendraient ensuite la Russie, l’Allemagne puis la Corée du Sud. Le Royaume-Uni, première place financière mondiale, n’apparaît même pas dans le classement, relégué à une infamante 45^ème place ! Ces informations sont relayées par le Journal du Net et basées sur le décompte effectué par Websense. On peut émettre l’hypothèse que l’actualité des dernières semaines (Libye, Côte d’Ivoire) donne une « visibilité » exceptionnelle à la France comparativement au Royaume-Uni et peut focaliser un surcroît d’attaques d’origine essentiellement partisanes et/ou politiques.

Quelles hypothèses peut-on poser à la lecture de ces deux informations choc ? Premièrement que le cyber-crime devient une activité extrêmement rentable, générant un chiffre d’affaire annuel compris entre celui des dépenses militaires (chiffres 2009) et le trafic de drogues ! A cela, il convient de distinguer les activités délictueuses « classiques » qu’elles soient d’origine mafieuses, col blanc ou de la petite délinquance vis à vis d’opérations considérées comme non-conventionnelles de guerre économique et d’espionnage. Difficile de quantifier ce dernier ratio, qui recherche l’invisibilité la plus complète et dispose pour se faire de moyens techniques et organisationnels bien supérieurs à quiconque.

Les chiffres étant énoncés, le décor planté et les acteurs présentés, il convient maintenant d’introduire un paramètre sous-jacent qui possède un effet de levier non-négligeable : le marketing ! En effet, le marché mondial de la sécurité de l’information, des infrastructures de transport et de communication est un marché en forte croissance depuis plusieurs années. Tout en étant loin d’avoir atteint sa maturité. Les éditeurs de solutions de sécurité sont donc en première ligne et ont tout intérêt à surligner, avec plus ou moins de discrétion, l’ensemble des actes délictueux que l'on peut qualifier de cyber-insécurité. Entretenir ce sentiment d’insécurité informationnelle, avéré ou non, rend plus attentif toute entreprise ou particulier qui prend conscience dès lors qu'il est préférable de (bien) protéger ses données.

Le procédé en soi n'est pas choquant mais, ce qui rend par contre doublement vigilant c’est de constater que les attaques sont permanentes, nombreuses et souvent ciblées. Et, bien-sûr, qu’elles réussissent. Dans ce cadre, combien de temps encore les éditeurs de solutions et nombre d’acteurs spécialisés vont-ils rester crédibles vis-à-vis de leurs clients ? Comment expliquer qu’une entreprise comme RSA ou HBGary se fassent trouer et mette, potentiellement, en danger certains (ou la plupart ?) de leurs clients ?

Bref, qui peut encore assurer aujourd’hui que le triptyque « magique » ISO 27k + DMZ Proxy/Firewallée/VPNisée + SSO / chiffrement me garantit une protection élevée et que je peux dormir sur mes deux oreilles ? Personne ! Personne de sérieux et de bien informé, en tout cas.

Que faire alors ? Il n'y a pas de solutions «clé en main » mais je crois qu’il devient nécessaire d'arrêter cette hypocrisie tandis que les faits viennent contredire les beaux discours. Et chaque jour un peu plus. Sauf à penser, bien-sûr, que ce qui est vendu se rapporte davantage à des éléments entretenant le sentiment de sécurité. Dans ce cas, l'objectif est atteint mais autant s'assurer que la police d'assurance nous couvre contre ce type de préjudice.

Chine - USA : la cyber-partie d'échecs

La blogosphère et certains média spécialisés en Security sont traversés ces derniers mois par un véritable intérêt pour les infrastructures critiques et les SCADA. Un article paru il y a une dizaine de jours dans le Washington Times n'était pas passé sous mon radar mais je n'avais pas eu le temps de le "traiter".

De mon point de vue, cet article est un véritable avertissement à peine voilé des USA à la Chine !

L'article attaque fort puisqu'on y apprend que les barrages - on pense d'ailleurs à celui des Trois-Gorges, le plus grand au monde, dont d'ailleurs on aperçoit une photo sur la 1ère page de l'article - les pipelines (pétrole et gaz), les usines et toute infrastructure "ordi-pilotée" en Chine seraient encore plus vulnérables à des cyber-attaques que dans n'importe quel autre pays !

Sous couvert de rendre service à la communauté en signalant des vulnérabilités trouvées et en s'étonnant "naïvement" de l'absence de réponse de l'entreprise chinoise citée (WellinTech, 1er éditeur chinois d'applications SCADA), il faut comprendre que les enjeux mondiaux de cybersécurité voient s'affronter deux blocs principaux (USA/Chine ou USA+OTAN/Chine ?) et quelques blocs pas moins compétents mais avec des stratégies sensiblement différentes (Russie, Israël). J'ai malheureusement beaucoup de mal à citer l'Union Européenne (ou l'un de ses pays) du fait de son silence (coupable ?) ou plutôt de l'absence d'actions concrètes (je parle ici du concret, du réel, pas de concepts, de marketing ou d'intentions). On me rétorquera que l'OTAN travaille sérieusement sur le sujet mais je me suis déjà exprimé par ailleurs.

Pour revenir à l'opinion exprimée par des "spécialistes de la sécurité", il faut  surtout regarder du côté de ces spécialistes : le premier, Dillon Beresford, est un chercheur en sécurité de NSS Labs qui a découvert une belle vulnérabilité exploitable dans l'outil Kingview Scada. On lira plus en détail cette affaire sur NanoJV, affaire qui date déjà de quelques mois et ressort de manière fort opportune.

Le second spécialiste, James A. Lewis, est le marqueur du message (relativement) discret adressé à la Chine. Cet expert fait partie d'un des think-tank des plus discrets mais aussi des plus côtés et influents, le CSIS. On y retrouve la fine fleur de Washington, des plus grandes entreprises américaines (dont secteur de la Défense) en passant par le monde politique et des généraux du Pentagone. Évidemment, les principales agences du renseignement sont représentées par ce biais, de manière plus ou moins explicite.

Pour revenir à ce que dit M. Lewis, on pourrait sourire si l'on ne comprenait pas  LE message pas du tout subliminal : la vulnérabilité accentuée de la Chine est particulièrement due au fait que les "études" montrent que l'immense majorité des logiciels (systèmes d'exploitation et applications bureautiques) utilisés sont contrefaits. Contrefaçons dont la provenance n'est pas claire mais qui s'avère dangereuse car beaucoup de celles-ci viennent de la mafia...russe. Le risque de backdoors s'avère donc important. CQFD.

Enfin, je ne résiste pas au plaisir de traduire sa conclusion : "les Chinois n'ont pas les mêmes problèmes que nous. Mais ils ont les leurs, qui sont parfois pires". Ou pourraient l'être ?

Attaque APT/RSA : la piste chinoise ?

ATTENTION : le titre de ce billet et son contenu sont à prendre au second voire au troisième degré et ne peuvent être considérées comme réellement sérieux ! Quoique...

Pour celles et ceux qui sont des couches-tards/lève-tards comme moi, n'avez-vous jamais remarqué le pic d'activité neuronale que votre cerveau atteint en (fin de) soirée ? C'est donc quelques instants avant d'aller me coucher hier soir, qu'une idée saugrenue m'a traversé l'esprit. 

Revenant sur la journée écoulée, je repensais à l'attaque RSA qui, comme à Fukushima (je regrette le parallèle mais d'un côté comme de l'autre c'est loin d'être glorieux - Fin de la parenthèse), est officiellement sous contrôle.

On sait que la tribune - risquée - d'Art Coviello, le patron de RSA, ne comporte aucun élément technique et n'évoque aucune piste. Ce qui peut se comprendre si l'enquête est toujours en cours (avec le FBI en cyber-limier*) mais il devient étonnant de n'avoir lu aucun article qui ferait intervenir la puissance cyber-démoniaque* : la Chine !

Alors, disons que par goût du jeu et d'une certaine provocation, j'associe ces mots-clés et j'attends de voir ce que va devenir ce billet emporté par des robots vers les confins buzzesques*.

* entre l'association à toute les sauces du préfixe "cyber" et le néologisme tout pourri, vous me pardonnerez ces chinoiseries ! :)

HBGary/Anonymous : nouvelles révélations

L'information a surgi hier de l'autre côté de l'Atlantique et semble être relativement passée inaperçue de ce côté-ci. Tout du moins en Gaule, se pâmant peut-être devant le suspense Hitchcockien de l'affaire dite de Bercy (se pâmant...ou pas ! :).

Début février 2011, et entrant dans le champ des mesures de rétorsion dans l'affaire Wikileaks, des pirates (qualifiés à tort ou raison de l'étiquette Anonymous)  pénètrent le Système d'Information d'HBGary, une société spécialisée dans la...sécurité de l'Information (les cordonniers, toussa) et récupèrent des dizaines de milliers de courriels confidentiels et sensibles pour la plupart d'entre eux.

L'information du jour concerne les attaques, apparemment réussies, dont ont été la cible des entreprises d'envergure mondiale : DuPont, Johnson & Johnson, Walt Disney, SonyCorp ou encore General Electric. L'affaire ou plutôt les affaires, ne s'arrête(nt) pas là puisque c'est le FBI qui est sur la brèche et révèle que DuPont subit là sa deuxième série d'attaque en moins d'un an ! La première série d'attaques ayant été du type Google,  affaire largement médiatisée et ayant donné lieu à des frictions certaines entre le géant de Mountain View, le gouvernement chinois mais aussi américain (même si moins médiatisé).

Au-delà de l'importance économique et concurrentielle de ces affaires, on découvre à travers les mails dérobés le portrait d'un espionnage élevé au niveau industriel dont les pirates opèrent à partir de la Chine, de la Russie et d'autres pays. Les autorités américaines poussent évidemment un énième cri d'alarme en soulignant que les dangers de ces cyber-attaques sont sous-estimés. L'affaire DuPont le prouve d'une certaine manière mais il est difficile de réduire une douzaine d'attaques forcément d'importance puisque touchant de grandes entreprises tandis que c'est toute l'industrie qui subit en permanence ces  cyber-assauts. 

C'est ce que dit Steven Chabinsky, l'un des responsables de la cyber division du FBI qui s'inquiète de la permanence et de l'augmentation incroyable de ces attaques. On apprend d'ailleurs, sans surprise d'ailleurs, que tous les secteurs sont visés : l'énergie, l'industrie pharmaceutique, les entreprises de défense, etc. 

Que dire de plus si ce n'est que l'article* d'où j'ai extrait ces informations recèle d'informations très intéressantes. On y apprend, entre autre, comment la 2ème attaque sur DuPont a pu fonctionner : les ordinateurs portables de certains de ses cadres  avaient été "piégés" lors d'un voyage d'affaires en...Chine. Sans forcément les partager, on comprend aussi les silences de nombreux responsables du fait des contraintes légales américaines mais aussi de l'atteinte en terme d'image de marque vis à vis de leurs clients.

Cet article met davantage en lumière, puisqu'il semble que c'est nécessaire, la réalité d'une guerre qui se déroule dans l'ombre depuis des décennies mais franchit un nouveau palier par l'usage des technologies de l'information : la guerre économique mondiale où le cyberespace semble avoir atteint sa "taille d'adulte" dans les échanges d'informations et les transactions dématérialisées. Et il ne faudrait pas croire que cette guerre ne concerne que les États-Unis, la Russie ou la Chine : les nations dites moyennes, font aussi partie du jeu. Sous-estimer la réalité stratégique des enjeux ou balayer les conséquences sous couvert de restrictions budgétaires n'est plus de l'ordre de la légèreté ou de l'inconscience : c'est celui de l'irresponsabilité** politique, économique et technologique.

* Pour les non-anglophones, la traduction Google devrait suffire.  
** Le lecteur, dans sa bienveillance, reconnaîtra que si je me montre offensif sur ce sujet (une fois encore), veillera également à noter la constance de mes propos en cohérence avec le titre de ce blog :) Si tu veux la paix... 

Complexité et beauté de Stuxnet

Wired a publié vendredi 11 février un article bien documenté sur la typologie d'introduction de Stuxnet avant qu'il ne s'active et ne cause des dommages, difficilement quantifiés depuis, au sein du programme nucléaire iranien. La méthodologie retenue est somme toute "logique" puisque ne pouvant utiliser l'internet, seuls restent des vecteurs physiques de type support amovible (clé USB) afin de contaminer l'un des réseaux locaux (mais isolé) du programme nucléaire.

Cinq Six organisations/groupes, dont on ne sait rien pour le moment mais dont on peut supposer un lien direct ou indirect avec le programme nucléaire, ont été ciblées et ont fait l'objet d'attaques temporelles successives. Les deux premières vagues ont eu lieu en juin et en juillet 2009 puis il y a eu neuf mois d'inactivité complète avant que trois autres vagues n'aient lieu (mars, avril et mai 2010).

Symantec, qui a mené ces analyses, est capable de dire que c'est l'attaque conduite en mars 2010 qui a obtenu le taux de réussite le plus important (69%). Deux autres informations intéressantes émergent du rapport : il n'a fallu qu'une douzaine d'heures entre l'introduction réussie de Stuxnet et que sa charge devienne active (du point de vue logiciel). Enfin, Stuxnet semble avoir été conçu pour être uniquement "LAN-based" ("réseau local") afin de ne pas s'échapper into the wild (dans l'Internet).

Si ces informations viennent à être confirmées, on peut de nouveau souligner la grande complexité  opératoire de ce code malveillant high-tech. Enfin, je signale qu'une partie du code décompilé de Stuxnet est disponible ici. A projeter le samedi soir en soirée, pour faire son geek ! :)

D'ailleurs, en parlant de geek, la toile bruisse ces dernières heures d'une rumeur insistante : les Anonymous auraient déclaré être entrés en possession de Stuxnet. On imagine aisément la vision d'Apocalypse relayée par certains média. La bonne question à se poser serait : qui a intérêt à quoi ? Je pense que l'on assiste à de la désinformation voire de l'intoxication informationnelle. Cet article, sérieux et étayé, semble confirmer mon sentiment.