Loi du (cyber) Talion : dérapages et absurdité à tous les étages

Identifier des cyber-attaquants pour pouvoir ensuite réagir en les attaquant soi-même, voilà une idée folle qui, si elle n'était pas proposée par une commission américaine officielle, serait à proprement parler consternante et d'une efficacité douteuse ! Dans un rapport de 100 pages, la Commission contre le vol de la propriété intellectuelle (1) recommande d'autoriser les entreprises du secteur privé à "activement récupérer leurs informations volées du réseau informatique de l'attaquant puis de le rendre indisponible voire le détruire sans aucune limitation".

L'approche utilisée est de considérer que la réglementation internationale mais aussi nationale, en dépit du renforcement de l'arsenal réglementaire par l'administration Obama, sont insuffisantes et sans effets. La commission propose donc de renforcer le coût d'une attaque ciblant les entreprises US en autorisant l'emploi d'outils cybernétiques offensifs par ces mêmes entreprises en vue de mener des actions de rétorsion !

Du sentiment d’insécurité (informatique) 2/2

Le préjudice des attaques informatiques dans le monde semble pouvoir être évalué à près de 1000 milliards $. C’est ce qu’il en ressort d’un article du Figaro paru il y a quelques jours. Le chiffre est impressionnant, massif et, a priori, indiscutable puisque venant de McAfee, l’un des leaders mondiaux en solutions de sécurité logicielles.

En terme d’attractivité, les USA a été le pays le plus attaqué au monde en mars 2011, suivi de la Chine puis de la…France qui obtient une « très belle » médaille de bronze ! Viendraient ensuite la Russie, l’Allemagne puis la Corée du Sud. Le Royaume-Uni, première place financière mondiale, n’apparaît même pas dans le classement, relégué à une infamante 45^ème place ! Ces informations sont relayées par le Journal du Net et basées sur le décompte effectué par Websense. On peut émettre l’hypothèse que l’actualité des dernières semaines (Libye, Côte d’Ivoire) donne une « visibilité » exceptionnelle à la France comparativement au Royaume-Uni et peut focaliser un surcroît d’attaques d’origine essentiellement partisanes et/ou politiques.

Quelles hypothèses peut-on poser à la lecture de ces deux informations choc ? Premièrement que le cyber-crime devient une activité extrêmement rentable, générant un chiffre d’affaire annuel compris entre celui des dépenses militaires (chiffres 2009) et le trafic de drogues ! A cela, il convient de distinguer les activités délictueuses « classiques » qu’elles soient d’origine mafieuses, col blanc ou de la petite délinquance vis à vis d’opérations considérées comme non-conventionnelles de guerre économique et d’espionnage. Difficile de quantifier ce dernier ratio, qui recherche l’invisibilité la plus complète et dispose pour se faire de moyens techniques et organisationnels bien supérieurs à quiconque.

Les chiffres étant énoncés, le décor planté et les acteurs présentés, il convient maintenant d’introduire un paramètre sous-jacent qui possède un effet de levier non-négligeable : le marketing ! En effet, le marché mondial de la sécurité de l’information, des infrastructures de transport et de communication est un marché en forte croissance depuis plusieurs années. Tout en étant loin d’avoir atteint sa maturité. Les éditeurs de solutions de sécurité sont donc en première ligne et ont tout intérêt à surligner, avec plus ou moins de discrétion, l’ensemble des actes délictueux que l'on peut qualifier de cyber-insécurité. Entretenir ce sentiment d’insécurité informationnelle, avéré ou non, rend plus attentif toute entreprise ou particulier qui prend conscience dès lors qu'il est préférable de (bien) protéger ses données.

Le procédé en soi n'est pas choquant mais, ce qui rend par contre doublement vigilant c’est de constater que les attaques sont permanentes, nombreuses et souvent ciblées. Et, bien-sûr, qu’elles réussissent. Dans ce cadre, combien de temps encore les éditeurs de solutions et nombre d’acteurs spécialisés vont-ils rester crédibles vis-à-vis de leurs clients ? Comment expliquer qu’une entreprise comme RSA ou HBGary se fassent trouer et mette, potentiellement, en danger certains (ou la plupart ?) de leurs clients ?

Bref, qui peut encore assurer aujourd’hui que le triptyque « magique » ISO 27k + DMZ Proxy/Firewallée/VPNisée + SSO / chiffrement me garantit une protection élevée et que je peux dormir sur mes deux oreilles ? Personne ! Personne de sérieux et de bien informé, en tout cas.

Que faire alors ? Il n'y a pas de solutions «clé en main » mais je crois qu’il devient nécessaire d'arrêter cette hypocrisie tandis que les faits viennent contredire les beaux discours. Et chaque jour un peu plus. Sauf à penser, bien-sûr, que ce qui est vendu se rapporte davantage à des éléments entretenant le sentiment de sécurité. Dans ce cas, l'objectif est atteint mais autant s'assurer que la police d'assurance nous couvre contre ce type de préjudice.

Quand CINDER nous sidère

Plusieurs mois après, l'onde de choc Wikileaks et les actions de rétorsion menées dans ce cadre par les Anonymous continuent de se propager. C'est en particulier les révélations d'après l'affaire HBGary qui alimentent presque chaque semaine les (bonnes) chroniques autour de la cybersécurité.

C'est au détour de cet article sur Wired que je me suis rappelé avoir déjà lu le nom de Cinder l'année dernière. Ce qui finalement était plutôt normal puisque l'appel d'offre de la DARPA avait été publié en août 2010. Là où la machine s'emballe un peu c'est quand on retrouve Cinder, la DARPA et...HBGary ensemble (dans la même galère ? :).

Ce qui est plutôt fascinant c'est, une fois de plus, de mesurer combien les forces armées américaines sont en train de se créer une expertise unique au monde dans le cyber espace. "On" aura beau mettre en avant la Chine et son armée de "millions" de pirates :) , ne nous leurrons cependant pas sur une réalité probable face à une réalité subtilement orientée.

En clair, les USA avancent plus ou moins masqués à travers les écrans de fumée qu'eux et d'autres propagent mais ils possèdent probablement une avance de plusieurs années dans le domaine. Et même si leurs réseaux étatiques (militaires comme civils) se font attaquer quelques millions de fois par jour (!), et même si la Chine a des ambitions qu'elle peut difficilement nier, et même si quelques pays entretiennent ou développent des moyens cyber-offensifs qu'il va de plus en plus falloir intégrer dans la balance des forces.

Au fait, me direz-vous, c'est quoi ce programme Cinder ? Rien d'autre qu'un programme de surveillance automatisé chargé de débusquer les méchants de l'intérieur. C'est à dire toute personne civile ou militaire travaillant pour la Défense et dont le comportement pourrait s'apparenter à Bradley Manning. Sauf que là, le système aura pour objectif de détecter tout comportement numérique anormal avant qu'une fuite éventuelle ou une trahison n'ait lieue !

A côté de cela, le filtrage des salariés dans l'entreprise me paraît gravement laxiste et libertaire !

Attaque APT chez RSA : des millions de clients vulnérables ?

Toute personne intéressée par les problématiques de sécurité (de l'information), a entendu parler ou entendra un jour parler des conférences RSA (RSA Conference). Si l'actualité ne la mettait pas en lumière ces derniers jours, on aurait tendance à oublier que RSA est la division sécurité d'EMC commercialisant, entre autre, un système mondialement réputé (et répandu) d'authentification forte par token, SecurID. Les utilisateurs de cette solution se comptent en dizaines de millions.

C'est ce produit qui semble avoir été particulièrement ciblé par une attaque sophistiquée de type APT (Advanced Persistent Threat), révélée la semaine dernière par Art Coviello, le directeur de RSA, dans une lettre où la transparence le dispute à la confiance dans un produit "qu'il_est_super_et_qui_continue_à_l'être".

Tout d'abord, notons le "ton" calme, professionnel et pour tout dire rassurant d'Art Coviello. Dans le fond, impossible de connaître la gravité du risque mais l'on sait que RSA a confiance dans son produit et que les équipes sont mobilisées. Un (énorme) bémol cependant quand je lis "Nous sommes convaincus que les informations extraites ne permettent pas une attaque réussie directement sur l'un de nos clients RSA SecurID".

Question : si ce n'est pas directement, est-ce qu'une attaque peut réussir indirectement ?

"Ces informations pourraient être utilisées pour réduire l'efficacité d'une mise en œuvre d'authentification à deux facteurs en cours dans le cadre d'un vaste attaque".

Réponse : malheureusement on sent bien que la belle confiance affichée en toute "transparence" est bien de l'ordre de la méthode Coué. 

Un dernier mot sur la partie technique de l'attaque : elle a réclamé beaucoup de patience, de savoir(s)-faire et de ressources (compétences et financières). C'est donc le marqueur d'une attaque professionnelle menée par des personnes ayant des objectifs précis...ou une commande précise.
Edit : sur ce dernier point, il faut lire l'hypothèse du lien avec la directive FFIEC. C'est loin d'être idiot !

L'attaque ayant réussi, pourquoi alors l'avoir communiquée ? Une théorie intéressante est que l'affaire HBGary/Anonymous a marqué les esprits et qu'il vaut mieux prendre les devants afin de piloter la communication. Communication ou pas, rien qu'en France, l'Education nationale utilise SecurID pour la saisie des notes et à travers le monde, ce sont des sites de banque à distance. Souhaitons qu'Art Coviello ait raison et que l'un de mes prochains billets ne traite pas d'une attaque reliée directement à cette affaire ! En attendant, le lecteur attentif ira lire le (bon) billet sur le même sujet publié ce matin par Sid.

PS : à propos des APT, je me permets la reproduction d'un de mes échanges avec Nico "News0ft", histoire d'illustrer le recyclage marketing de cet acronyme. "Quant aux "APT", ça existe bel et bien ... mais ce sont juste des "gens" qui font du test d'intrusion récurrent sans l'accord du client et sans aucun cadre déontologique ... et ça donne les mêmes résultats qu'un test d'intrusion classique: 100% de succès".

HBGary/Anonymous : nouvelles révélations

L'information a surgi hier de l'autre côté de l'Atlantique et semble être relativement passée inaperçue de ce côté-ci. Tout du moins en Gaule, se pâmant peut-être devant le suspense Hitchcockien de l'affaire dite de Bercy (se pâmant...ou pas ! :).

Début février 2011, et entrant dans le champ des mesures de rétorsion dans l'affaire Wikileaks, des pirates (qualifiés à tort ou raison de l'étiquette Anonymous)  pénètrent le Système d'Information d'HBGary, une société spécialisée dans la...sécurité de l'Information (les cordonniers, toussa) et récupèrent des dizaines de milliers de courriels confidentiels et sensibles pour la plupart d'entre eux.

L'information du jour concerne les attaques, apparemment réussies, dont ont été la cible des entreprises d'envergure mondiale : DuPont, Johnson & Johnson, Walt Disney, SonyCorp ou encore General Electric. L'affaire ou plutôt les affaires, ne s'arrête(nt) pas là puisque c'est le FBI qui est sur la brèche et révèle que DuPont subit là sa deuxième série d'attaque en moins d'un an ! La première série d'attaques ayant été du type Google,  affaire largement médiatisée et ayant donné lieu à des frictions certaines entre le géant de Mountain View, le gouvernement chinois mais aussi américain (même si moins médiatisé).

Au-delà de l'importance économique et concurrentielle de ces affaires, on découvre à travers les mails dérobés le portrait d'un espionnage élevé au niveau industriel dont les pirates opèrent à partir de la Chine, de la Russie et d'autres pays. Les autorités américaines poussent évidemment un énième cri d'alarme en soulignant que les dangers de ces cyber-attaques sont sous-estimés. L'affaire DuPont le prouve d'une certaine manière mais il est difficile de réduire une douzaine d'attaques forcément d'importance puisque touchant de grandes entreprises tandis que c'est toute l'industrie qui subit en permanence ces  cyber-assauts. 

C'est ce que dit Steven Chabinsky, l'un des responsables de la cyber division du FBI qui s'inquiète de la permanence et de l'augmentation incroyable de ces attaques. On apprend d'ailleurs, sans surprise d'ailleurs, que tous les secteurs sont visés : l'énergie, l'industrie pharmaceutique, les entreprises de défense, etc. 

Que dire de plus si ce n'est que l'article* d'où j'ai extrait ces informations recèle d'informations très intéressantes. On y apprend, entre autre, comment la 2ème attaque sur DuPont a pu fonctionner : les ordinateurs portables de certains de ses cadres  avaient été "piégés" lors d'un voyage d'affaires en...Chine. Sans forcément les partager, on comprend aussi les silences de nombreux responsables du fait des contraintes légales américaines mais aussi de l'atteinte en terme d'image de marque vis à vis de leurs clients.

Cet article met davantage en lumière, puisqu'il semble que c'est nécessaire, la réalité d'une guerre qui se déroule dans l'ombre depuis des décennies mais franchit un nouveau palier par l'usage des technologies de l'information : la guerre économique mondiale où le cyberespace semble avoir atteint sa "taille d'adulte" dans les échanges d'informations et les transactions dématérialisées. Et il ne faudrait pas croire que cette guerre ne concerne que les États-Unis, la Russie ou la Chine : les nations dites moyennes, font aussi partie du jeu. Sous-estimer la réalité stratégique des enjeux ou balayer les conséquences sous couvert de restrictions budgétaires n'est plus de l'ordre de la légèreté ou de l'inconscience : c'est celui de l'irresponsabilité** politique, économique et technologique.

* Pour les non-anglophones, la traduction Google devrait suffire.  
** Le lecteur, dans sa bienveillance, reconnaîtra que si je me montre offensif sur ce sujet (une fois encore), veillera également à noter la constance de mes propos en cohérence avec le titre de ce blog :) Si tu veux la paix...