Stuxnet, DuQu : une même origine ?

C'est en tout cas ce que semble penser l'un des experts du laboratoire de virologie de Kaspersky. L'argumentation déployée et les éléments factuels énoncés sont de nature à rendre un peu plus compréhensible une menace potentielle dont le caractère malveillant n'a pas été (encore) prouvé.

La confusion, le buzz et même les divergences apparues ces derniers jours occultent un élément sans doute fondamental : DuQu est un "véhicule" à plusieurs variantes (au moins 4) qui est beaucoup plus proche du démonstrateur (aussi appelé Proof of Concept - PoC) que du "cyber-missile" dézingueur de centrifugeuses iraniennes (comme l'était Stuxnet).

L'article, plutôt passionnant (en anglais), éclaire également l'affaire Stuxnet : pour Kaspersky, Stuxnet comprend deux parties : une plateforme de transport (qui semble extrêmement similaire dans le cas de DuQu) et une ogive. L'analogie avec un missile est plutôt bien trouvée puisque dans le cas de DuQu, les variantes analysées ne semblent pas comporter d'ogive ou elle n'a pas encore été découverte ! Dans tous les cas, et même s'il faut évidemment rester prudent, la filiation avec Stuxnet semble à peu près avérée même s'il n'est pas dit que ce soit la même équipe de concepteurs qui en soit à l'origine. L'inverse, cependant, serait surprenant.

Au secours, Stuxnet est papa !

L'on pouvait croire qu'au pays des chimères, celles-ci ne meurent jamais vraiment puisque, à travers les mythes et les contes, l'être humain continue de faire vivre des monstres et autres fantasmagories. De nos jours, ce ne sont plus le croque-mitaine ou la dame blanche qui effraient petits et surtout grands mais bien plus les grains de sable qui pourraient enrayer l'énorme machinerie (et le business qui va avec) qui permet à des milliards d'humains et d'objets de communiquer de plus en plus les uns avec les autres.

L'un de ces grains de sable, de la taille d'une plage en fait, reste heureusement encore du domaine du (mauvais ?) fantasme : qu'on l'appelle cyberguerre, cyber conflit ou cyber-warfare, les possibles qu'il recouvre hantent les nuits de certains hauts responsables au Pentagone et ailleurs. Stuxnet, aka "le liquidateur de centrifugeuses nucléaires iraniennes" (mais c'était un peu long), apparu l'année dernière, peut être historiquement considéré comme le premier code informatique conçu pour s'attaquer à une partie d'infrastructure majeure qui est le socle d'intérêts considérés comme vitaux par un État, iranien en l'occurrence. Et qui relèverait donc d'une quasi déclaration de guerre s'il provenait d'un autre État. Fort heureusement, ce n'est évidemment pas le cas, et les coupables courent encore ! A propos de SCADA, justement, encore faudrait-il que le minimum soit fait en la matière. De fait, on se référera sans attendre au guide didactique que vient de publier le DoE (ministère US de l'Énergie) qui recense "21 points pour améliorer une infrastructure SCADA".

Pour revenir aux mystérieux coupables, ceux-ci courent d'ailleurs tellement vite et sont tellement satisfaits de leur première expérience réussie qu'il viennent probablement de remettre le couvert ! Symantec vient en effet d'annoncer ces dernières heures avoir analysé des échantillons d'un code malveillant trouvé en Europe et découvert par un laboratoire avec de fortes connections internationales (pas d'autres informations sur ces deux éléments). 

Quoiqu'il en soit je renvoie tout lecteur intéressé par les détails techniques vers le rapport complet de Symantec qui est un modèle du genre et, avant d'aller plus avant dans les supputations et les hypothèses invraisemblables, je ne cesse de m'interroger sur le fait relevé par le blog allié de Paolo Passeri : "only yesterday the DHS issued a Bulletin warning about Anonymous Threat to Industrial Control Systems (ICS), not even 24 hours after the statement a new (potential) threat for ICS appears in the wild… Only a coincidence?"

Le Pakistan crée une école de lutte dans le cyberespace

Le Pakistan vient de décider la création d'une école qui sera chargée de former dès 2012 ses futurs spécialistes de la lutte dans le cyberespace. L'information pourrait presque prêter à sourire si celle-ci ne concernait pas l'acteur central de la zone d'instabilité la plus explosive d'Asie centrale et peut-être même d'Asie tout court : l'Afghanistan où les USA (directement) et  l'Inde (indirectement) tentent d'empêcher, ou du moins de contrebalancer, la tentative d'Islamabad de récupérer de la profondeur stratégique. Il y aussi l'Iran, la Chine voire la Russie en embuscade. Et tout en filigrane, probablement Israël.

Cette école sera colocalisée dans le MIT Pakistanais (toutes proportions gardées), la NUST School of Electrical Engineering and Computer Sciences (NUST - SEECS). Une première promotion d'une trentaine d'étudiants inaugurera le cursus de 4 années qui comprendra, entre autre, la lutte contre le code malveillant ou les moyens de se préparer à des cyber attaques. A l'obtention de leur diplôme, les étudiants obtiendront un contrat de 7 ans dans l'Armée de Terre qu'ils rejoindront en tant qu'officiers.

Les raisons officielles qui poussent Islamabad a créer une telle école s'appellent l'Inde et Israël. Notons tout de même qu'elle prend aussi corps dans une tendance plus globale où de nombreux États à travers le monde investissent le domaine ces derniers mois. A se demander si, tout compte fait, une nouvelle "course à l'armement" ne s'est pas sérieusement engagée dans le cyberespace ?

La Sécurité de l'Information est-elle un échec ? 1) Le constat

L'Alliance Géostratégique vient de publier un article, premier d'une série écrite en collaboration avec le blog allié CIDRIS - Cyberwarfare. A travers le constat partagé que la menace informationnelle a évolué ces dernières années, que les risques sans changer de nature se font bien plus réels mais aussi invisibles, nous pensons que les dispositifs (techniques, organisationnels mais aussi normatifs)  chargés de protéger le patrimoine informationnel mais surtout l'appréhension intellectuelle de la situation  sont - au mieux - mal adaptés quant ce n'est pas entièrement obsolètes !

Ce qui est relativement étrange c'est de constater que la gestation de cette série d'articles intervient après l'observation et une réflexion entamées depuis presque deux ans. Coïncidence s'il en est, on notera qu'une certaine actualité ces derniers jours (ANSSI, Thales, ...) s'est beaucoup penchée sur le sujet même si ,CIDRIS et moi, avons décidé de gravir le sommet "par la face Nord" puisque nous avons l'ambition de traiter la problématique dans sa globalité tout en essayant d'y apporter des réponses voire des solutions (la critique seule n'étant pas suffisante).

Cybersécurité : un nouvel Executive Order d'Obama

La volonté seule ne suffisant malheureusement pas, un pragmatisme certain et le temps qui est nécessaire semblent conduire le président Obama et son administration à essayer de tirer le meilleur parti des leçons du passé. Mais aussi à préparer l'avenir, proche et un peu plus lointain, tout au moins dans le cyberspace.

C'est ainsi que l'on peut appréhender les nominations récentes au DHS et au Pentagone. C'est aussi sous cet angle que l'on peut analyser l'Executive Order du président Obama, publié et applicable dès vendredi dernier (7 octobre).

Avant de présenter ce qui me semble être les deux faits saillants de cet Ordre Exécutif Présidentiel, rappelons brièvement qu'il est la résultante directe de trois facteurs distincts mais complémentaires. Les deux premiers, extérieurs, sont d'abord les attaques surprises du 11 septembre 2001 (absence de coordination inter-agences alors que de nombreuses informations parcellaires existaient) et l'affaire du soldat Manning, plus récente (il y a presque 18 mois), avec les fuites consécutives via Wikileaks. Le troisième, intérieur cette fois-ci, est le résultat de 7 mois de revues et d'audits par l'administration US sur la façon dont sont partagées et gérées les informations confidentielles (ou tout du  moins sensibles).

Il s'agit donc en l'occurrence d'assurer une véritable cohérence entre l'ensemble des agences fédérales, nombreuses et dotées d'une culture sécurité (de l'information) et du secret extrêmement différentes les unes des autres. Un comité spécial sera créé afin de coordonner le partage d'informations inter-agences tout en s'assurant que les informations classifiées sont correctement protégées. Chacune des 24 agences majeures recensées se verra dotée d'un responsable dont la mission sera d'identifier, de classifier et de protéger les informations qui le nécessitent.

Comme il ne s'agit pas seulement d'ordonner, les objectifs doivent pouvoir être corrélés avec des résultats mesurables. C'est l'objet de la seconde mesure phare de cet Executive Order : sous le patronage du ministre de la Justice (pour les aspects légaux et la conformité) et du directeur du renseignement national (qui chapeaute les  nombreuses agences du renseignement américain) une "Insider Threat Task Force" sera chargée de veiller à l'application de l'ensemble des directives en matière de cybersécurité, tout en développant les contours d'une politique de dissuasion, de détection et de mitigation des risques. D'autres missions lui sont aussi confiées, ce blog y reviendra probablement un peu plus tard, mais l'écueil légal, entre autre, fait écho à mon analyse approfondie concernant la stratégie cybersécurité des États-Unis.

Pour conclure j'aimerai souligner deux choses : le comité spécial mis en place devra rendre compte de l'avancée de sa mission sous 90 jours puis une fois par an. En matière de mesure de la performance et d'évolutions possibles (lorsqu'elles sont nécessaires), les USA restent encore un bel exemple de pragmatisme et d'efficacité. Enfin, puisque l'information couverte par ce billet rejoint d'autres préoccupations, je vous encourage à aller consulter l'Alliance géostratégique cette semaine qui devrait publier le premier d'une série d'articles réalisée conjointement avec le blog allié Cidris.

Sources supplémentaires :

http://www.federalnewsradio.com/?nid=316&sid=2581865

http://latimesblogs.latimes.com/nationnow/2011/10/executive-order-on-government-secrets.html

Exclusif : quand les drones US s'enrhument

L'information livrée il y a quelques heures par Wired fait et continuera de faire des vagues : le système de surveillance et de détection des cyber-menaces HBSS, opéré par la DISA, a mis à jour la contamination des stations de contrôle des drones militaires Predator et Reaper par un keylogger !

La nouvelle est suffisamment importante pour qu'elle fasse le buzz dans les jours qui viennent et l'on peut déjà recenser les quelques éléments importants qui soulignent l'importance de l'affaire. En premier lieu, et malgré les efforts déployés, le malware n'a pu être éradiqué. Les spécialistes de la DISA ont constaté, stupéfaits, qu'à chaque fois qu'ils pensaient le malware définitivement supprimé, il "revenait" ! 

D'autre part, les mêmes experts émettent un certain nombre de doutes qui font penser que le niveau d'attaque est relativement important, non maîtrisé et avec des effets, pour le moment, entièrement inconnus ! Ils pensent, contradictoirement, que le programme est "bénin" mais sans certitude. Ils ne savent pas non plus si le keylogger est d'origine accidentelle ou bien intentionnelle. Enfin, ils semblent penser qu'il a pu infecter une partie ou l'ensemble des réseaux informatiques de la base aérienne de Creech (qui opère une grande partie des drones US) et que, possiblement, des informations confidentielles ont pu circuler vers Internet ! Vu le contexte, le ciblage et la difficulté à éradiquer le malware, on pourrait presque penser que ce dernier a été spécifiquement conçu et introduit !

Toutes proportions gardées et avec la réserve qui convient, cette affaire fait étrangement écho à Stuxnet mais surtout à l'opération Buckshot Yankee en 2008. Notons cependant la transparence (suspecte ?) des autorités américaines qui ont communiqué sur le sujet et que les vols des drones, qui ne sont pas directement concernés, se poursuivent toujours au-dessus de l'Afghanistan, du Pakistan ou du bassin somalien.

Edit (10 octobre) : peu d'informations ont circulé depuis l'article de Wired mais il existe une autre piste, intéressante, d'un chercheur en sécurité. Il existe 2 sociétés qui fournissent le Pentagone en solutions de monitoring, en particulier des rootkits qui, entre autre, font du keylogging. Même si l'explication est sensée et recouvre une réalité, j'ai un peu de mal à croire que la DISA, l'organisme militaire en charge des problématiques des réseaux et des infrastructures IT, ainsi que des problématiques de sécurité associées, n'ait pas toutes les informations nécessaires quant aux produits et solutions qu'elle peut être amené à déployer, opérer ou auditer ! 

Il est alors possible que l'explication soit bien plus simple et qu'elle n'ait pas besoin de contrefeu ou de silence embarrassé. Pourquoi, en fait, ne s'agirait-il pas d'une introduction accidentelle via un support amovible (clé USB selon toute vraisemblance) ? Cet article de Geekosystem semble le penser et je trouve les arguments avancés plutôt convaincants.

Cybersécurité USA : après le DHS, la Défense poursuit son staffing

J'ai consacré la semaine dernière un billet soulignant les changements importants de responsables au sein du DHS. C'était sûrement oublier un peu vite que le ministère de la Défense américain (alias le DoD) est aussi confronté à une montée en puissance de la cybersécurité et qu'il ne peut être exempté de tout reproches quant aux tentatives d'attaques (avortées mais surtout réussies) sur ses propres réseaux ainsi que chez certains de ses sous-traitants stratégiques.

C'est donc dans ce cadre que l'on a appris hier la nomination d'Eric Rosenbach au DoD en temps qu'adjoint Cybersécurité auprès de Leon Panetta (le ministre de la Défense). Lorsque l'on détaille attentivement son pedigree, on ne peut qu'être impressionné par sa formation multi-domaines, ses fonctions successives et complémentaires et, enfin, son expérience significative dans le renseignement. 

Ce dernier point semble d'ailleurs être devenu le génotype du bon candidat dans les 2 ministères. A tout le moins, une stratégie et les politiques associées peuvent  commencer à devenir efficaces avec les bons acteurs. C'est ainsi qu'il faut, à mon avis, déchiffrer les récents mouvements de personnel au DHS et au DoD.

3ème paquet Télécom, vie privée et ordre public

Adoptée le 24 août dernier en Conseil des Ministres et entrée en vigueur 2 jours plus tard, l'ordonnance de transposition dite du "3ème paquet Télécom" se prête à l'analyse tant juridique, que technique voire éthique. D'emblée, remarquons que si 7 années s'étaient écoulées entre le 1er (2002) et le 2ème paquet Télécom (2009), il aura fallu moins de 2 années pour transposer des directives européennes qui, de globalement, portent sur certaines améliorations substantielles. 

Outre le renforcement de la coopération au niveau communautaire, les objectifs des directives sont, principalement, les suivants :
- Renforcer l’indépendance et les pouvoirs des « autorités règlementaires nationales » (ARN) ;
- Renforcer la protection et les garanties accordées à l’ensemble des utilisateurs finaux ;
- Mieux gérer le spectre (des fréquences).

Je laisse volontairement le champ juridique de côté, des spécialistes ayant déjà présentés leurs analyses, pertinentes voire percutantes. Notons cependant que le rôle et les pouvoirs de l'Arcep sont renforcés, ce qui à l'heure d'interrogations récentes sur une fusion avec le CSA et surtout l'Hadopi mérite probablement une attention citoyenne attentive. 

Des avancées certaines...

Pour revenir à ce 3ème paquet Télécom, il y a donc bien des avancées et certaines retiennent davantage mon attention : l'obligation de l'opérateur à plus de neutralité (réseaux de nouvelle génération), une meilleure protection des consommateurs et surtout de ses données personnelles avec une possible extension de l'usage de moyens massifs de chiffrement côté opérateur, le tout probablement pour aider à démocratiser le Cloud (mais aussi le développer économiquement :), l'obligation de notifier toute "faille de sécurité", (Il faut d'ailleurs lire attentivement ce qu'en dit pertinemment O. Iteanu).

...et une (grosse) interrogation
On peut cependant s'interroger sur les revirements successifs en matière d'autorisations de brouillage. Formellement interdits puis autorisés, les dispositifs de brouillage sont de nouveau interdits et les utilisateur actuels ont 5 ans pour se conformer à cette obligation. L'importation, la commercialisation et l'utilisation de ces dispositifs deviennent strictes et les sanctions pénales renforcées. La mise en œuvre devient réservée à l'ordre public (police, défense, prisons) et sacrifie sans doute une utilité avérée dans certains cas (salles de spectacles) sur l'autel de la lutte contre le terrorisme et les actions illicites, qu'elles qu'en soient leur nature.

Au DHS, un jeu de chaises (très peu) musical

Début juillet, une petite bombe avait secoué la communauté du renseignement et de la cybersécurité aux Etats-Unis : le patron de l'US-CERT, Randy Vickers, avait été brutalement "démissionné" ! Ce changement, assurément politique, visait avant tout à faire tomber une tête après que des réseaux fédéraux (FBI) et militaires (Navy, CIA) avaient été mis à rude épreuve par les Anonymous et les Lulzsec.

L'été s'achevant à peine, le mercato d'automne continue au DHS et il fait suite au départ de Phil Reintinger, ancien ponte du DHS NPPD, qui s'est fait débaucher début septembre par Sony pour en devenir le monsieur Sécurité. Le sous-secrétaire d'Etat au DHS, Randi Beers, a semble-t-il annoncé en interne que le poste laissé vacant était scindé en deux : un poste uniquement dédié à la  Cybersécurité et dirigé par Greg Schaffer (en intérim) est créé, tandis qu'un autre, dirigé par Suzanne Spaulding, sera chargé spécifiquement de la protection des Infrastructures Critiques, de la sécurité des bâtiments fédéraux ainsi que  de la gestion du système biométrique d'identité et de suivi des visiteurs étrangers (programme US-VISIT). La liste des mouvements ne s'arrête pas là puisque vendredi dernier (23/09) , c'est Sean McGurk, le patron du DHS NCCIC, qui a quitté le navire ! Enfin, Nicole Dean devient la nouvelle directrice de la DHS NCSD.

Que faut-il retenir de tout cela ? Tout d'abord, que l'administration américaine demeure très pragmatique puisque, après s'être fait trouer nombre de leurs réseaux durant le 1er semestre, le tout en place publique (à double sens puisque les annonces médiatiques successives d'attaques servaient aussi leurs intérêts !), une reprise en main vient de s'effectuer. De fait, les personnes remplacées le sont par des professionnels des arcanes de la politique washingtonienne (plusieurs responsables sont d'anciens conseillers auprès de sénateurs voire du gouvernement) mais sont aussi très (mais vraiment très !)  proches des services de renseignement comme la CIA. Enfin, la partie stratégique et programmatique étant achevées (ou presque), la mise en cohérence avec une organisation efficace et pérenne est sans doute venue.

En ces temps incertains, la démarche démontre l'agilité mais aussi la volonté qui commande aux destinées des USA dans le cyberespace. Sans qu'il faille les prendre systématiquement en exemple, on ne peut écarter l'écart existant entre ici et là-bas. A l'heure où de gros boulets rouges volent dans le Landerneau cyber-frenchie, s'en inspirer ne serait pas une trahison intellectuelle !

Cybersécurité européenne : oui mais non !

Sans annonce excessive et dans une relative discrétion, l'Alliance atlantique est en train de franchir une étape supplémentaire dans la mission qui lui a été confiée dans le cyberespace. C'est sous l'impulsion du NC3A, l'une des agences les plus importantes de l'OTAN, que la MN Cyber Defence
Capability Development Initative (Initiative de Développement d'une Capacité Multinationale de Cyberdéfense) vient d'être lancée.

Une présentation détaillée est disponible ici mais, avant de revenir une prochaine fois sur le contenu de ce document, c'est un tout autre rapprochement que cette information provoque. Il s'agit d'une interrogation, dont ce blog se fait l'écho depuis le sommet de Lisbonne en novembre 2010, quant aux initiatives concernant la cybersécurité en Europe.

Une information, relayée par Cidris, concerne la création d'une nouvelle agence européenne, en complément de l'ENISA. Cette nouvelle agence, qui sera chargée de la gestion opérationnelle des Systèmes d'Information, devrait traiter en particulier du volet stratégique lié aux infrastructures critiques.

Il me semble que la tendance que j'anticipe depuis un moment soit en train de se confirmer puisque le siège de cette nouvelle agence se trouve à Tallinn. C'est aussi dans la capitale  de l'Estonie que se trouve, entre autre, le NCIRC qui n'est autre que le CERT de l'OTAN. Ou plutôt une sorte de CERT++ puisque doté de capacités offensives renforcées.

Faut-il y voir une incroyable coïncidence ? Évidemment non. Il va sans dire que la responsabilité de chacun des pays de l'Union européenne en matière de cybersécurité est en train de devenir discrètement consubstantielle à l'OTAN. Ce n'est pas forcément ni tout noir ni tout blanc puisque chaque gouvernement est parfaitement informé des enjeux et des implications d'un tel mouvement.

On peut cependant se poser trois questions simples :

1) Est-ce que chaque citoyen européen est (au moins) informé de ces évolutions avant  d'être entièrement mis devant le fait accompli ?

2) La nouvelle agence européenne disposera-t-elle de réels pouvoirs (voire contre-pouvoirs) ou sera-t-elle une simple chambre d'enregistrement ?

2) Est-il normal que les États-Unis disposent quasi-directement des leviers de défense et peut-être d'attaque concernant la cybersécurité européenne ? Autrement dit, n'y-a-t-il  pas un risque majeur d'une certaine perte de souveraineté ?

Si le non est majoritaire à ces trois questions, c'est qu'il y a comme un problème...

Cybersécurité : un accord signé entre les USA et l'Australie

En début d'été, l'Alliance Géostratégique publiait une réflexion intitulée "Australie, cybersécurité et enjeux mondiaux". J'y expliquais les liens forts et particuliers qui unissent le pays des kangourous aux États-Unis, insistant particulièrement sur le prolongement de certaines activités de la NSA via le DSD (chiffre [crypto] et "grandes oreilles" pour les deux).

De mon point de vue, la structuration de l'activité Cybersécurité, tant pour le volet défensif que le volet offensif, reflétait à l'instar du Royaume-Uni, la déclinaison de la stratégie US à travers une grande partie du monde (Europe, Pacifique). J'estimais d'ailleurs l'Australie comme un bon candidat en tant que "bras armé américain" dans le cyberespace.

L'accord signé la semaine dernière vient illustrer ces réflexions. Le cyberespace fait désormais partie du traité de défense mutuel entre les deux nations. De quoi, probablement, bien préparer la visite officielle de Barack Obama, prévue à la mi-novembre.

Manœuvres dans le cyberespace : la stratégie Cybersécurité des USA

Une fois de plus, l'Alliance Géostratégique me fait l'honneur d'accueillir une réflexion sur un sujet traité à différentes reprises sur ce blog ainsi que par ailleurs (chez CIDRIS et Lignes Stratégiques) : quelles intentions, réalités et manœuvres possiblement dilatoires la "nouvelle" stratégie de cybersécurité, initiée par l'administation Obama, recouvre?

L'article en question peut être lu et directement commenté sur le site d'AGS. Bonne lecture !

Entreprises : les conseils d'un (ex) hacker (2/2)

Ces dérives, postulées depuis plusieurs années et avérées au fil des derniers mois, concernent en particulier le sentiment de sécurité perçu par la direction (d'une entreprise) de son S.I. parce qu'existe une Politique de Sécurité, éventuellement une certification ISO 27001 (rare en France) et, la plupart du temps, une "bonne vieille infrastructure à la papa" avec DMZ "reverse-proxyfiée/firewallée", sondes (bon point) et passerelles anti-spam/anti-virus. 

Cette description caricaturale voire anachronique pourra peut-être faire sourire mais, pourtant, un certain conformisme angélisme régente encore trop souvent certaines DSI et/ou Directions. Et encore, je me garderai bien d'aborder  les délicates problématiques de l'outsourcing, le blog ami CIDRIS s'en chargeant parfaitement par ailleurs !

Mais puisque jusqu'ici tout allait bien, quelle pouvait être la raison  impérieuse de faire évoluer la vision, parfois éculée, de la sécurité : un centre de coût en lieu et place d'un investissement pour le présent et l'avenir ? Mais le temps technologique file également à toute allure et nous sommes en 2011. Les menaces ont profondément évolué ces derniers mois, elles sont devenues permanentes et protéiformes, avec de moins en moins en filigrane cette guerre économique globale anticipée puis vérifiée et enfin accélérée. 

Tous ces éléments se vérifient quotidiennement et ne sortent pas d'un énième rapport ou de fumeuses recherches universitaires où des têtes bien faites (et certains services étatiques, louons les tous !) entretiendraient des discussions de salon ou pousseraient des cris d'orfraies, bien loin d'une réalité que seuls certains  vaniteux décideurs maîtriseraient ?

Je me veux mordant et (légèrement ?) provocateur mais le monde, ces derniers mois, n'a pas évolué qu'à la télévision ou seulement du Maghreb à la côte est du Japon ! Changements brusques et accélération de l'histoire (catastrophes naturelles, évolutions politiques majeures, aléas économiques) portent en eux des effets qui se prolongent dans le cyberespace qui, lui aussi, possède la particularité de disposer de caractéristiques bivalentes : outils et armes sans distinction de protocole, seul l'usage tend à en indiquer la nature.

Plus clairement, le monde de l'entreprise a la fâcheuse (coupable ?) tendance d'utiliser des schémas et des recettes techniques (et parfois organisationnelles) qui sont de moins en moins adaptés aux menaces actuelles et émergentes. Les conseils délivrés par SparkyBlaze, issus de son expérience avérée et "(very) up to date" (à jour), impliquent sans aucun doute une profonde remise en cause de la stratégie* appliquée et des moyens mis en œuvre pour l'atteindre. Avec un investissement associé, plus ou moins important selon que l'on parle d'une TPE/PME ou d'une multinationale. Selon le secteurs d'activité et l'exposition aux risques, cet investissement se révélera probablement générateur d'économies à long terme. Pour les plus frileux, une bonne assurance peut aussi être le début d'une certaine sagesse...

Les conseils proposés par SparkyBlaze :

- Déployer une défense en profondeur

- Appliquer une politique stricte en matière de sécurité de l'information

- Faire des audits de sécurité réguliers par une expertise extérieure

- Utiliser des sondes IDS/IPS

- Sensibiliser vos dirigeants sur la sécurité de l'information

- Sensibiliser vos dirigeants sur l'ingénierie sociale

- Effectuer les mises à jour en temps et en heure (soft + hard)

- Disposer d'une veille sécurité quotidienne

- Laisser vos spécialistes se rendre à des conférences spécialisées en sécurité

- Embaucher des spécialistes qui connaissent réellement la sécurité

- Généraliser l'utilisation du chiffrement des données (avec de l'AES-256, par exemple)

- Utiliser efficacement des filtres/outils anti-spam

- Garder un œil sur les informations laissées dans le domaine public (nota : à mon sens, le tri est à effectuer en amont)

- S'assurer que la sécurité physique (des sites et des locaux) est au niveau requis (sur le principe du "pourquoi blinder la porte d'entrée tandis que la fenêtre du salon reste ouverte ? :)

* ce changement de paradigme doit nécessairement commencer par une douloureuse mais salutaire remise en cause de certains schémas (sclérosés) de pensée.  D'où la probable utopie de ce billet. Donc la moindre désillusion de son auteur !

Entreprises : les conseils d'un (ex) hacker (1/2)

2011 aura probablement marqué l'émergence des Anonymous sur la scène médiatique. J'ai beaucoup de mal à les qualifier de cyber-criminels ou, à l'opposé, de chevaliers blancs puisque leur objectif politique navigue entre utopie, hacktivisme, apolitisme (= hors partis traditionnels) et un petit côté Robin des bois numérique qui n'a pas pour but essentiel de renverser un système (economico-financier et politique) mais bien d'essayer de dénoncer certaines pratiques ou de les rendre plus transparentes. L'affaire HB Gary demeure d'ailleurs leur fait d'arme le plus intéressant, techniquement et de par les révélations produites.

Pour autant, des erreurs voire des errements ont aussi eu lieu et, après quelques mois d'observation, les autorités en charge de la lutte contre la cybercriminalité, particulièrement au Royaume-Uni et aux États-Unis ont décidé de combattre ce mouvement, plusieurs arrestations intervenant depuis le début d'année sans discontinuer depuis. Bien que ne comportant pas officiellement de leaders, les Anonymous ont su se reposer sur quelques figures charismatiques venant, pour l'essentiel, du hacking.

Ce milieu, underground par essence plus que par posture, reste extrêmement mystérieux pour le grand public mais aussi difficilement joignable par tout un chacun. Hormis quelques connectés dans le milieu de la recherche ou certains mouvements politiques (les libertaires/libertariens, par exemple), il n'y a que les forces de l'ordre (spécialisées) et la mise en œuvre de moyens (techniques et humains) conséquents pour les traquer et, souvent, les débusquer. Les journalistes, eux, ne semblent pas les bienvenus car partie intégrante du système décrit plus haut.

Aussi, est-il toujours intéressant et généralement utile d'écouter ou de lire ce qu'un ex-pilier de l'organisation comme SparkyBlaze recommande aux entreprises pour réduire les risques face à des tentatives de piratage. L'interview qui a inspiré ce billet comprend de nombreux autres éléments de valeur mais c'est ce point qui m'a semblé emblématique d'une certaine tendance. Tendance qui est à rapprocher avec l'analyse de Cédric "Sid" Blancher ,que je partage entièrement, quant à certaines dérives liées à la "mise en œuvre des certifications et autres audits de conformité".

Contrôler un sous-marin via le Cloud ? La DARPA y pense !

On aurait tort de penser que les rêves les plus fous ou les utopies les plus farfelues sont inatteignables. Parfois, la recherche, l'innovation et un certain dépassement des frontières* habituelles y parviennent, au grand dam de l'Humanité ou, à l'inverse, en contribuant à son bien-être général.

Il n'est pas dit que la DARPA, l'agence de la recherche dépendant du ministère de la Défense américaine, ait ce dernier objectif en tête, même si certaines de ses contributions ont pu bouleverser voire améliorer le quotidien des êtres humains ! Pour autant, il sera difficile de taxer cette agence de conformisme ou de suivisme. Au contraire, puisque sa mission première est de donner la supériorité militaire et technologique aux forces armées américaines, dans tous les domaines et quels qu'en soient les chemins. D'ailleurs, les idées "subversives" et "révolutionnaires" sont mêmes encouragées !

Ayant également investi le cyberespace depuis des années, certaines évolutions récentes lui font franchir un nouveau palier. De son point de vue, le cloud n'en est encore qu'à ses débuts pour les applications militaires embarquées et c'est dans ce cadre qu'elle travaille plus précisément sur les "military critical clouds". 

Des gains substantiels de temps et d'argent semblent pouvoir être faits entre le design, le développement, la production et la mise en service des systèmes. Pour revenir aux "idées révolutionnaires" évoquées plus haut, on passe de l'étonnement à la consternation lorsque l'on prend connaissance des applications visées par ce projet :
- Analyse de données ou d'applications;
- Traitement des données d'imagerie des drones;
- Contrôle d'un sous-marin...

Oui, vous avez bien lu, le contrôle d'un sous-marin ! Évidemment, c'est cette dernière application qui  a retenu mon attention jusqu'à en faire ce billet de rentrée. Souhaitons simplement que ledit sous-marin est de la catégorie des drones et aucunement un SNA ou, pire, un SNLE ! Connecter un tel engin via un réseau en nuage même "sécurisé" ne peut être qu'une hérésie où la bêtise le disputerait au mauvais goût. Une sorte de croisement entre le programme Skynet (Terminator) et la vision de Kubrik dans "Docteur Folamour" ! 

J'allais oublier : que celles et ceux qui seraient intéressé(e)s pour répondre aux sollicitations de la DARPA se dépêchent : ils ont jusqu'au 22 septembre ! :) 

* que ces frontières soient sociétales, psychologiques ou technologiques.

Ce billet s'inspire de cet article d'Information Week.