Stuxnet change de rive ?

Kali

Chaque semaine, Stuxnet nous apporte son lot de surprises, d'informations et de...désinformation. Il est certain qu'à force de patience, d'erreurs et de tâtonnements, la vérité poindra, jamais complètement mais en tout cas suffisamment pour bâtir deux ou trois scenarii probables.

J'évoquais l'Inde dans mon dernier billet, un peu à contre-courant, et il semble effectivement que le sous-continent soit la première victime du ver. Dès le 29 septembre 2010, c'est Jeffrey Carr qui évoquait une relation possible entre le code ciblant et agressif et les étranges difficultés du satellite indien de recherche INSAT-4B. Son article, assez remarquable, se trouve ici sur le site Forbes. Pour résumer l'intuition de J. Carr, l'ISRO (Organisme spatial indien) utilise des machines Siemens de type S7-400 PLC et SIMATIC WinCC. Il compte d'ailleurs donner davantage d'éléments sur les cibles potentiellement compromises à travers un modèle analytique qui sera présenté lors du Black Hat à Abu Dhabi.

La direction de l'ISRO a depuis démenti la possession de systèmes Siemens mais il semblerait que certains cadres aient contredit l'affirmation, sous couvert évidemment.

Bref, Stuxnet n'a pas fini de faire couler de l'encre et, potentiellement, de créer des perturbations supplémentaires. La seule certitude que nous ayons pour le moment concerne les statistiques de contamination tenues par Kaspersky : Le nombre d’infections en Inde dans les 5 premiers jours atteint les 8500 cas, contre environ 5000 en Indonésie et un peu plus de 3000 en Iran. Le recensement de fin septembre montre que l’infection est toujours importante en Inde avec plus de 8000 cas contre 3000 en Indonésie et 1300 au Kazahkstan, alors que le nombre de cas en Iran chute à moins de 800. 

Stuxnet préfèrerait-il les rives du Gange à celles du Chatt-el-Arab ? Tant qu'a rajouter une hypothèse supplémentaire, pourquoi diable Siemens ne serait-il pas également la cible ? Mais c'est là s'embarquer sur des hypothèses de guerre économique délicates et non étayées. Surtout qu'il s'agit aussi de garder en tête la perspective (autrement dit pourquoi maintenant et de manière aussi coordonnée ?) l'offensive médiatique et généralisée qui a commencé avant l'été. Celle-ci insiste régulièrement sur les risques de cyber-attaques (US, OTAN, GB ces jours-ci). Dans ce cas, nous assistons à une partie à plusieurs étages et aux multiples acteurs.

Edit : ne faisant preuve d'aucune originalité et devant bien rendre à César ce qui lui appartient, Pierre Caron dans ZDNet pousse encore un peu plus loin ma dernière assertion.

Stuxnet : latin, grec ou martien ?

C'est après la lecture de la bonne synthèse sur la possible  probable intox et désinformation liée à Stuxnet ("dernière" version en date qui serait en fait la 4ème variante depuis son apparition en juin 2009) que j'achève sur LeMagIT, que j'ai rebondi sur le billet relatif au sujet de mon collègue N. Ruff (aka Newsoft), billet avec lequel je suis en désaccord partiel mais d'autres que moi se sont chargés d'alimenter la réflexion de Nico.

Mais ceci est un autre sujet car ce que je constate c'est que la communauté des experts codes et soft y perd quand même son latin : tout le monde salue l'intelligence des différents exploits utilisés, l'ingéniosité voire l'élégance des principes de fonctionnement, tout le monde subodore une entité étatique soit américaine, israélienne, voire chinoise (j'ai même lu un billet suspectant l'Inde, c'est dire) mais personne n'est capable de dire ce qu'il s'est réellement passé, quelle est ou quelles sont les cibles, si l'attaque a réussi ou pas.

Alors, je pose la question suivante : Stuxnet est-il simplement d'origine humaine ?
 

Vous l'aurez, je l'espère, compris cette dernière ligne vise à procurer un sourire supplémentaire au week-end qui commence ! Week-end durant lequel vous pourrez étudier l'excellent papier de N. Fallière sur les mécanismes de notre "cyber" ver préféré...

L'unité 8200 ou l'excellence dans les nouveaux conflits

Unité 8200, Mount Avital, Golan

Check Point, ICQ, Nice, AudioCodes  ou Gilat, autant d’entreprises israéliennes du secteur high-tech, plus ou moins connues du grand public. Ces entreprises possèdent pourtant le point commun que la plupart de ses dirigeants et de ses salariés sont tous passés à un moment donné de leur vie…militaire par l’unité 8200.

Cette unité, discrète par essence, est chargée de la collecte du renseignement d’origine électronique et électromagnétique mais possède également une unité spécialisée dans la cryptographie (chiffrement / déchiffrement). Sans oublier évidemment qu’elle possède des experts de haut-niveau dans l’exploitation des vulnérabilités, autrement appelés « hackers » dont certains l’ont réellement été avant d’être détectés par la Défense israélienne. C’est en quelque sorte l’équivalent de la NSA américaine, exception faite que cette unité est entièrement intégrée au ministère de la Défense.

De là à penser que cette unité pourrait être derrière le ver Stuxnet largement médiatisé depuis une dizaine de jours, il n’y a qu’un pas que le Figaro a franchi aujourd’hui. Ce pas, je ne le franchirai cependant pas, mais je recommande à mes lecteurs de s’enquérir de l’un des exploits quasi-officiels de cette unité : l’opération Orchard, septembre 2007 en Syrie.

Cette opération a valeur d’exemple quant à l’expertise détenue par l’unité 8200 et combien elle s’intègre parfaitement à la doctrine de l’armée israélienne qui est de considérer les capteurs (drones en particulier), les unités militaires et le cyberespace comme un ensemble d’éléments interconnectés participant en cohérence à des opérations militaires. Les guerres du 21^ème siècle ont à peine commencé que Israël semble être le seul pays au monde (avec les États-Unis évidemment, la Chine a un niveau moindre - j'y consacrerai d'ailleurs un article prochainement) à s’être doté des forces et des moyens nécessaires pour y survivre voire les gagner.

Thème du mois : les stratégies dans le cyberespace

Les hasards du calendrier sont parfois étonnants. Aux Etats-Unis, le président Obama a décidé que le mois d'octobre serait consacré à la sensibilisation à la cybersécurité. En France, où la blogosphère géostratégique est active, multiple et dynamique, Alliance GéoStratégique (AGS) consacre également ce mois-ci au même thème afin de "parcourir le cyberespace, sous l’angle de la stratégie, de la géopolitique, de la cybercriminalité, de la cyberguerre et bien d’autres."

Je vous encourage à aller y faire un tour, même si je ne suis pas intégré à l'Alliance car nombreux sont les articles de qualité et les auteurs pertinents. J'apporte néanmoins ma modeste contribution en vous invitant à lire l'article intitulé "La sécurité immergée dans la complexité systémique" que j'avais rédigé en avril 2010. En somme, il s'agit bien d'unir l'ensemble des forces et des acteurs (aux moyens si différents) pour sensibiliser les citoyens aux risques et aux enjeux de l'information sous forme numérique. Bonnes lectures !

Secret Défense

Je voudrais saluer à travers ce billet l'un des spécialistes incontestables des questions de Défense et de sécurité en France et assurément au-delà, Jean-Dominique Merchet qui quitte Libération pour de nouvelles aventures à Marianne 2.

Le blog Secret Défense risque d'évoluer, peut-être sous la forme, sans doute sur la fréquence des publications et j'émets humblement le souhait qu'il continue d'apporter à la plèbe les informations pertinentes et surtout le regard critique que tous avons le devoir d'entretenir et conserver.

Alors bon vent au Pacha et à bientôt sur la fréquence.
:)

Analogies (mal)heureuses ?

Dans la série je crée un billet qui traite de deux informations semblant totalement disjointes alors que, finalement, potentiellement, perfidement, il se pourrait que...cette semaine la confirmation de la montée en puissance ou plutôt de l'approche de la vitesse de croisière par l'U.S. Cybercommand. C'est à lire ici mais ça peut aussi être approfondi là. Devinette à 2 cents d'Euro : pourquoi le général commandant cette unité est aussi le patron de la...NSA ? Étonnant, non ?

Dans un "tout autre registre" (je vous ai prévenu dès le départ : fausse naïveté et vraie perfidie sont au programme de ce billet ! :), où l'on reparle de l'Iran, pas de l'épisode carnavalesque de son "président" hier à l'ONU mais plutôt de méchants problèmes infectieux sur de "gentils" équipements...SCADA. A lire, cette analyse plutôt intéressante accessible aux profanes.

Prendre le maquis du Web ?

Titre résolument provocateur en résonance avec un article du site Ecrans, partie multimédia du quotidien Libération. Cet article daté du 30 août traite d'une interview donnée par Jean-Michel Jarre au magazine musicale Uncut. Le génial compositeur d'Oxygène livre une réflexion à mon sens pertinente sur le devenir du web.

Même si ce billet de rentrée peut (vous) sembler en écart avec la "ligne éditoriale" de ce site, j'y décèle néanmoins une lien possible de fracture numérique majeure pour la prochaine décennie. Un excellent sujet de thèse au confluent de la prospective, de la stratégie et de la sociologie des internautes dans les années qui viennent. Avec en perspective des changements majeurs dans la façon d'appréhender et d'utiliser (ou non !) "l'ancien" web et voir émerger un web underground, possible réalité revival de la 1ère génération internet (avant 2000). Où se poseraient de nouvelles problématiques d'anonymat, de confidentialité donc de...sécurité !

Bonne rentrée à toutes et à tous.

L'air du temps : IBM et Boeing

Deux nouvelles extrêmement différentes mais néanmoins intéressantes. En premier lieu Bob Sutor, Vice President Open Source et Linux chez IBM recommande de généraliser l'utilisation de Firefox. Information à double détente puisqu'au respect des standards et à une optimisation de la sécurité du navigateur, via son mode de développement ouvert et communautaire, se dessine en filigrane l'orientation forte du Business Model de Big Blue vers le cloud (computing).

Dans un autre registre, Boeing serait sur le point de racheter Narus, une société spécialisée dans l'analyse en temps réel du trafic réseau pour la protection et la gestion des réseaux IP étendus. L'avionneur américain considérerait la cybersécurité comme l'un des champs de croissance actuels. Au passage, on peut noter qu'il est aussi décidé d'intégrer en interne ce "nouveau champ de croissance" au sein des infrastructures sol, réseaux mais aussi des produits avions et spatiaux.

Nikola Tesla : début de réhabilitation ?

Il y a déjà plusieurs semaines que je découvre toute la portée des travaux de Nikola Tesla, injustement oublié par la communauté scientifique et l'humanité ou, tout du moins, sous-estimé.

Il serait temps que ce visionnaire prenne enfin la place qui lui revient, au niveau d'un Einstein, avis tout personnel ! En premier lieu parce que l'un de ses travaux majeurs porte sur l'énergie libre et qu'il en parle dès le 20 mai...1891 ! Au risque de faire hurler les physiciens, plus particulièrement les astrophysiciens, je considère que son approche déductive est en relation directe avec la théorie de la relativité restreinte mais va probablement plus loin car elle aborde implicitement le principe d'unification des forces appelée aussi théorie de la 5ème force.

Pour revenir aux travaux de Tesla, un rapide inventaire qui n'est pas exhaustif aide à se rendre compte de la richesse, de l'inventivité et de leur application dans la vie courante : créateur de la radio (attribué à tort à Marconi), invention du moteur électrique asynchrone, de l'alternateur polyphasé, principal promoteur du transport de l'énergie électrique en courant alternatif, lampe « haute fréquence » à pastille de carbone dont le concept préfigure celui de l'accélérateur à particules ou celui du microscope électronique, expériences de télécommande, théorie sur les armes à énergie dirigée autrement appelée "rayon de la mort". Notons au passage que le projet HAARP serait l'héritier directe de la théorie de Tesla.

Inventeur et ayant déposé plus de 700 brevets, Tesla fait encore parler de lui ces derniers jours à propos d'un article datant du 24 décembre 1909 dans la revue britannique The Electrical Engineer : il y décrit ses travaux de transmission sans fil et n'hésite pas à anticiper le futur (lointain) en expliquant l'apparition du téléphone portable associé aux contenus multimédia et, cerise sur le gâteau, j'y lis aussi une anticipation de l'internet des objets !

Finalement, parce qu'il y a encore beaucoup de matière, j'en suis venu à éprouver une véritable fascination pour cet inventeur génial et visionnaire en regardant l'excellent film de Christopher Nolan : le Prestige. Que je vous conseille vivement, cela va sans dire. Gageons que les années qui viennent verront une réhabilitation complète mais tardive des travaux de Tesla et, pourquoi pas, son apport essentiel à l'astrophysique et à son Graal.

La sécurité immergée dans la complexité systémique

La sécurité de l'information ne vit pas en vase clos et de ce fait, doit être mise dans un contexte de perspective plus globale. D'autant plus qu'essayer de garantir un niveau de risques acceptable dans un environnement interdépendant où les menaces, les enjeux et les technologies évoluent rapidement, nécessite une approche bien plus souple et ouverte qu'une simple analyse de risques à laquelle vient se greffer un système de management de la S.I.

Des termes comme systémique, prospective et géostratégie ne sont pas de simples figures de style que l'on entendrait dans les salons feutrés de certaines discussions où la rhétorique l'emporterait sur la réalité. Ces disciplines participent à la réflexion d'ensemble qu'un responsable de la sécurité se doit d'avoir constamment, au risque de ne faire qu'un simple travail de technicien, oubliant dans quel cadre le système qu'il doit protéger s'insert et interagit et quels sont les enjeux politiques, économiques et stratégiques pouvant peser de manière indirecte mais parfois aussi directe.

C'est dans cet esprit que je porte au lecteur attentif et francophone (les autres aussi are welcome :) quelques liens qui servent à ma veille quotidienne et qui, parfois, m'aident à anticiper ou mieux comprendre certaines tendances.

Le blog Secret Défense de J-D Merchet qui est probablement le blog français des affaires militaires le plus consulté.
Celui de son homologue Jean Guisnel, Défense Ouverte.
Mon blog défense, mis à jour régulièrement avec des sujets d'actualité.
Le dessous des cartes qui, je le pense, n'a aucun rapport avec l'excellente émission de vulgarisation sur Arte.
Alliance géostratégique, assurément intéressant, avec des articles pertinents et d'une certaine profondeur.
Enfin Rapport de conflits, créé et animé par un citoyen belge, petit pays dont nous sommes beaucoup à espérer que les tensions actuelles déboucheront sur une solution politique viable et non sécessionniste.

Cette liste n'est bien-sûr pas exhaustive mais elle participe, je l'espère, comme base fiable à la prise en compte de la complexité que la sécurité de l'information doit prendre en compte. Bonne(s) lecture(s).

Risques et réseaux sociaux en entreprise

Dans mon billet du 11 février 2010, je terminais en indiquant que l'une de mes prochaines réflexions porterait sur l'intérêt d'exploiter les réseaux sociaux. Accaparé par mes activités tant professionnelles que personnelles, je préfère vous renvoyer, pour le moment, vers un billet court mais intéressant qui traite d'une étude sur le sujet menée par Forrester.

A vrai dire, mes réflexions actuelles gravitent davantage autour de mon dernier billet intitulé "Le jeu et ses règles". Mais les problématiques et les solutions possibles appréhendant un changement de paradigme proche d'une véritable révolution culturelle ("From follower to leader") sont complexes. Donc je phospore... :)

Le jeu et ses règles

Le CDSE (Club des Directeurs de Sécurité des Entreprises) vient de publier les actes de son colloque européen qui s'est tenu le 15 décembre 2009 à l'OCDE. Plongé dans leur lecture, je n'ai pas encore fini la cinquantaine de pages du rapport mais l'intervention du criminologue Alain Bauer est enthousiasmante.

Rappelant que les entreprises sont confrontées à des menaces réelles, organisées et de plus en plus ciblées, il note que celles-ci ont généralement un coup de retard en matière de gestion des risques tandis qu'en face, le crime est en mutation et que l'adversaire définit les règles du jeu. Une digression sur l'évocation de la mafia Turque qui a la particularité d'être également "prestataire de services" pour les autres mafia !

A. Bauer considère également que la conformité (référentiels normatifs de type "formule magique" ISO 27001 mais pas que) est un "drame [qui] empêche la réalité d'exister au nom d'une réalité virtuelle qui devrait être celle-là". Il y a beaucoup d'autres éléments significatifs mais je pense qu'il faut simplement retenir que si l'entreprise ne peut ni quitter la partie ni en imposer les règles, alors il faut les changer !

Pour se faire, les personnes en charge de la sécurité doivent s'inscrire dans une démarche pro-active en développant l'analyse en amont afin d'anticiper les coups à venir. Protéger étant aussi anticiper, l'intégration d'un processus prospectif permettrait à l'entreprise d'infléchir certaines règles du jeu à son avantage. Un processus à définir de manière peu orthodoxe puisque s'appuyant autant sur l'innovation, une bonne dose de créativité et d'instinct, le tout combiné à une démarche d'I.E. appliquée à la sécurité de l'information. Il faut laisser de la souplesse et éviter les effets trompeurs de type ligne Maginot dans lesquels nous nous laissons choir chaudement au creux d'une sécurité qui n'est qu'apparente !

Le fil conducteur dictant cette profonde évolution d'usages dangereux car non remis en cause : comment faire évoluer régulièrement les dispositifs et processus de protection que j'applique ? Comment rendre dynamique ma sécurité (et surtout pas sous le seul angle technique, restrictif à mon sens).

Le sujet est vaste et mérite plus qu'un simple billet posant la problématique. Là aussi, je vous ferai part de mes réflexions sur le sujet et apprécierai également les vôtres.

Réseaux sociaux 1 - Blogs 0

Au risque d'enfoncer des portes ouvertes, mon blog est resté inactif durant de longs mois. S'agissait-il d'illustrer le côté has been récemment pointé par les media ou, plus prosaïquement, ai-je manqué d'inspiration face à une actualité bien pâle et sans réelle innovation/évolution/révolution ? Sans doute a-t-il s'agit de tout cela car je n'aime pas vraiment parler ou écrire...pour ne rien dire !

Quelques éléments intéressants me donnent cependant envie de réagir. En premier lieu, les sempiternels rapports d'éditeurs bien connus sur les menaces à venir . Ou comment recycler les mêmes ingrédients depuis des années pour ne rien proposer de nouveau ! Eventuellement, on notera l'émergence du thème portant sur les infrastructures critiques, bien commodément remis au goût du jour ces derniers temps. En lien direct, malgré ou en dépit des apparences, l'affaire Google en Chine qui n'est rien d'autre que l'instrumentalisation de faits, certes graves, dont l'extension politique et surtout géopolitique n'est pas...absurde. Sur cette affaire, je vous renvoie à l'article intéressant de Wired, traitant des APT (Advanded Persistent Threats).

Finalement, je vais opter pour le côté has been :) et m'intéresserai prochainement à l'intérêt pratique que les entreprises, mais pas que, ont à exploiter les réseaux sociaux. De vraies mines d'or que ces lieux d'ego-socialisation dont il me semble nécessaire de pointer les limites et d'explorer les usages professionnels en interne des entreprises.

NetFocus 2009 - Bruxelles

Lundi 11 et mardi 12 mai, votre serviteur a eu le plaisir de rejoindre Bruxelles d'un coup d'aile afin de participer à NetFocus 2009, qui avait lieu au sein du très agréable Royal Hotel Radisson SAS.

Ambiance de crise si l'on peut dire car presque deux fois de participants qu'en 2008, surtout que l'évènement avait lieu en Belgique. Cocasse pour ce NetFocus...France !

Peu de nouveautés ou d'évolutions par rapport à l'année dernière. Un regret sur la présentation web 2.0 pour laquelle j'avais déjà présenté les problématiques l'année dernière. Il me semble que tout se déporte actuellement sur le SaaS et le Cloud et que le 2.0 fait déjà partie...du passé !

Deux belle interventions néanmoins, en lien plus ou moins direct avec les infrastructures vitales et critiques. Affaire(s) à suivre de près puisque depuis la parution du décret SAIV, rien ne semble avoir bougé en terre gauloise ! Mais chuuut puisque NetFocus se veut avant tout un rendez-vous "off" de partage d'expériences, d'opinions et de points de vue parfois antagonistes mais tellement enrichissants.

En résumé, quelques belles interventions, assez peu d'originalité (l'exercice prospectif apporterait du sang frais !), le noyau "dur" des RSSI Français de NetFocus toujours aussi sympathique et l'espoir que NetFocus 2010 ait lieu...en France !

La sécurité redescend de son nuage !

Il aura fallu attendre la RSA Conference 2009 à San Francisco pour finalement ouvrir la boîte de Pandore...du point de vue médiatique : le cloud serait "un cauchemar pour la sécurité" ! Je n'ai de cesse depuis presque deux ans (sans être le seul, évidemment) de m'interroger régulièrement sur les risques et opportunités de cette technologie d'avenir (même si "ancienne" sur l'échelle IT !).

Il va sans dire que, dans la course effrénée au profit par les gains de productivité, dématérialiser tout ou partie de son infrastructure informationnelle est un doux poison. La recherche à court terme d'économies est l'indicateur principal qui pilote une décision ô combien stratégique.

Mais que se passera t-il le jour où se produira la première "fuite involontaire" d'informations d'une entreprise qui aura migré vers le nuage ? Nul doute que le cas se produira et que sera minorée, as usual, la perte d'informations considérées comme non stratégiques par l'entreprise victime. Alors qu'une information, même non sensible, possèdera toujours une valeur différente de zéro.

J'ai encore l'impression que le marketing financier a bâti une séduisante naïade tout en disant à l'équipe sécurité : on vous donnera le budget lorsqu'on aura atteint le profit attendu...en année n+3. Toujours la même fable : la sécurité demeure un coût, pas un investissement. En attendant de compter les pertes, je m'en vais en vacances quelques temps. A bientôt !