Sécurité : IPv6 c'est IPv4 à 95% !

Stéphane Botzmeyer est l'un des meilleurs spécialistes français (1) d'Internet, des réseaux TCP/IP et des RFC. Déjà évoqué sur ce blog au travers d'un article sur l'AFNIC, son employeur, il était l'un des intervenants à la journée sécurité organisée par le laboratoire sécurité de l'ESGI le 21 janvier 2013. Son exposé avait pour objet de présenter la sécurité du protocole réseau IPv6 dont le déploiement semble enfin décoller. Même si cela se fait "lentement" et de manière "laborieuse".

Gestion des incidents de sécurité : l'exemplarité récente de l'AFNIC

Comme il est précisé sur son site, l'AFNIC est "une association à but non lucratif qui gère le registre des noms de domaine .fr (France) et .re (La Réunion) et est l'office d'enregistrement désigné par l'État pour le .fr". L'équipe qui la compose est resserrée mais extrêmement compétente du fait, essentiellement, de la sensibilité technique, juridique et commerciale de la gestion des noms de domaine. On y trouve des personnalités relativement médiatiques comme Stéphane Bortzmeyer.

Cette sensibilité oblige l'AFNIC à être en pointe sur les problématiques de réseaux, de protocoles et de normes, d'équipements et d'évolutions majeures (cas d'IPv6, par exemple). La composante sécurité (de l'information) est évidemment majeure et c'est pourquoi il est rare que l'on apprenne les tentatives d'actes malveillants dont ils peuvent être victimes. Sauf si cela touche à leur "cœur de métier".

C'est donc ce qui s'est produit le 12 janvier 2012, même si les circonvolutions syntaxiques qualifient l'acte "d'incident réseau". Logiquement, le communiqué publié le 16 janvier ne donne aucun détail si ce n'est qu'un "audit de sécurité [...] a révélé un risque potentiel d'exposition de certaines données d'authentification". En conséquence de quoi, une procédure d'escalade a été déclenchée, conduisant au renouvellement des identifiants des bureaux d'enregistrement. Entre la détection du problème, la mise en place de mesures correctives et la résolution de l'incident, 3 heures auront été nécessaires. Exceptionnellement, le support est resté disponible durant toute la nuit. 

Ce que cette histoire nous apprend c'est qu'une structure adaptée (moyens et personnel compétent), disposant des processus de contrôle (de sécurité) réguliers et de systèmes d'alerte performants, adossés à des procédures d'escalades et de résolution d'incidents (et/ou de crises) permettent généralement d'empêcher (ou du moins de contenir) qu'un incident de ce type passe du statut "sérieux" à "grave" ou "majeur". Après cela, qui osera encore penser que la sécurité est un coût avant d'être un investissement ?

Quelques précisions sur le détournement Chinois du 8 avril 2010

Après avoir discuté avec certains spécialistes et avoir effectué des recherches étayant les hypothèses abordées, il m'apparaît qu'au moins une chose semble certaine dans cette affaire de détournement de 15% du trafic internet mondial par les chinois, le 8 avril, et ce durant 18 minutes : identifiée le jour même, cette histoire n'a été discutée que dans le cercle restreint des ISPs et autres spécialistes BGP, OSPF, etc.

Commodément, cette affaire est ressortie quelques heures avant la présentation au Sénat américain du rapport mensuel, comme cité dans mon billet précédent. Ce n'est pas trop s'avancer que de penser (et de dire) que la probabilité qu'il s'agisse d'une coïncidence est extrêmement...faible.

Pour les lecteurs passionnés de techniques qui lisent mon blog, je vous encourage à aller lire les deux liens suivants : le premier article a été écrit quelques heures après l'incident et comporte d'intéressantes données, en particulier les pays ciblés par numéros de préfixes uniques (ce qui en donne la hiérarchie quantitative). Le second lien est vers un article de Stéphane Bortzmeyer (de l'AFNIC) qui traite (déjà) des précédents détournements DNS observés.