La blogosphère et certains média spécialisés en Security sont traversés ces derniers mois par un véritable intérêt pour les infrastructures critiques et les SCADA. Un article paru il y a une dizaine de jours dans le Washington Times n'était pas passé sous mon radar mais je n'avais pas eu le temps de le "traiter".
De mon point de vue, cet article est un véritable avertissement à peine voilé des USA à la Chine !
L'article attaque fort puisqu'on y apprend que les barrages - on pense d'ailleurs à celui des Trois-Gorges, le plus grand au monde, dont d'ailleurs on aperçoit une photo sur la 1ère page de l'article - les pipelines (pétrole et gaz), les usines et toute infrastructure "ordi-pilotée" en Chine seraient encore plus vulnérables à des cyber-attaques que dans n'importe quel autre pays !
Sous couvert de rendre service à la communauté en signalant des vulnérabilités trouvées et en s'étonnant "naïvement" de l'absence de réponse de l'entreprise chinoise citée (WellinTech, 1er éditeur chinois d'applications SCADA), il faut comprendre que les enjeux mondiaux de cybersécurité voient s'affronter deux blocs principaux (USA/Chine ou USA+OTAN/Chine ?) et quelques blocs pas moins compétents mais avec des stratégies sensiblement différentes (Russie, Israël). J'ai malheureusement beaucoup de mal à citer l'Union Européenne (ou l'un de ses pays) du fait de son silence (coupable ?) ou plutôt de l'absence d'actions concrètes (je parle ici du concret, du réel, pas de concepts, de marketing ou d'intentions). On me rétorquera que l'OTAN travaille sérieusement sur le sujet mais je me suis déjà exprimé par ailleurs.
Pour revenir à l'opinion exprimée par des "spécialistes de la sécurité", il faut surtout regarder du côté de ces spécialistes : le premier, Dillon Beresford, est un chercheur en sécurité de NSS Labs qui a découvert une belle vulnérabilité exploitable dans l'outil Kingview Scada. On lira plus en détail cette affaire sur NanoJV, affaire qui date déjà de quelques mois et ressort de manière fort opportune.
Le second spécialiste, James A. Lewis, est le marqueur du message (relativement) discret adressé à la Chine. Cet expert fait partie d'un des think-tank des plus discrets mais aussi des plus côtés et influents, le CSIS. On y retrouve la fine fleur de Washington, des plus grandes entreprises américaines (dont secteur de la Défense) en passant par le monde politique et des généraux du Pentagone. Évidemment, les principales agences du renseignement sont représentées par ce biais, de manière plus ou moins explicite.
Pour revenir à ce que dit M. Lewis, on pourrait sourire si l'on ne comprenait pas LE message pas du tout subliminal : la vulnérabilité accentuée de la Chine est particulièrement due au fait que les "études" montrent que l'immense majorité des logiciels (systèmes d'exploitation et applications bureautiques) utilisés sont contrefaits. Contrefaçons dont la provenance n'est pas claire mais qui s'avère dangereuse car beaucoup de celles-ci viennent de la mafia...russe. Le risque de backdoors s'avère donc important. CQFD.
Enfin, je ne résiste pas au plaisir de traduire sa conclusion : "les Chinois n'ont pas les mêmes problèmes que nous. Mais ils ont les leurs, qui sont parfois pires". Ou pourraient l'être ?
