Spécial sécurité : Cyber-guerre / Orange, SFR, Bouygues et les virus / virus porcin

Sommaire :

- 1 - La cyber-guerre est-elle un sport de combat ?

- 2 - Orange, SFR et Bouygues, complices de diffusion de virus ?

- 3 - La race porcine, complice de diffusion de virus ?

1- La cyber-guerre est-elle un sport de combat ?

La « cyber-guerre » échauffe les esprits et remplit les salles de conférences. Lors de la toute dernière RSA Conference, il était même impossible de ne pas avoir entendu parler du débat : Cyber Warfare: A New Cold War? s’interroge Ned Moran, tandis que Richard Stiennon nous enseigne l’art de Surviving Cyber War. Même les présentations techniques succombent aux charmes des bruits de bottes, Prefix Hijacking: Threat to Applications in the Cloud and Cyber Warfare disserte Ram Keralapura. Victor Ralevich s’étend sur le thème Cyber Warfare: Technology, Law and Ethics… même si associer les mots éthique et guerre relève d’une certaine exagération paradoxale. Ned Moran reprend Is There a Cyber Cold War? … car une guerre froide passe parfois inaperçue, à tel point que seuls quelques gourous sont capables de nous en montrer les signes révélateurs. Randy Sabett, enfin, détaille la situation américaine dans le cadre d’une causerie intitulée Cyber Security for the 44th Presidency - Assessing the CSIS Commission Recommendations, CNCI, and Current U.S. Strategy. Pour ceux qui n’auraient pas bien saisi la situation, tout porte à croire que nous vivons déjà au cœur de la « prochaine cyber-dernière », et que le fracas viral qui tonne autour de nous a pour origine l’œil de Moscou, le fantôme de Pékin, la main gauche de Washington ou toute autre puissance aussi occulte que vindicative.

Pendant ce temps, Markus Ranum accueillait les clients potentiels sur le stand de Tenable.

Mais certains ont la mémoire longue. Et notamment Richard Bejtlich, qui exhume une intervention dudit Ranum faite à l’occasion de la conférence Hack In the Box (http://conference.hitb.org/hitbsecconf2008kl/?page_id=65) de Malaisie en octobre dernier et intitulée «  la cyber-guerre, c’est de la crotte de biquet ». Selon Ranum, l’équilibre des forces et le « retour sur investissement » laisseraient penser que seules les grandes nations peuvent se payer le luxe d’une véritable cyberguerre –les plus petites préfèrent l’efficacité d’une attaque suicide nécessitant peu de moyens-. En outre, l’efficacité réelle d’une telle attaque, autrement dit la possibilité de toucher une infrastructure vitale (Scada) n’est ni certaine, ni même réaliste dans bien des cas. Une pensée qui rappelle un peu la vision «terror movie plot » (scénario de série B) chère à Bruce Schneier.

Bejtlich, qui travaille parfois pour le compte du gouvernement US dans le secteur de la défense, voit la chose avec un tout autre éclairage, et répond à Ranum. En marquant toutefois quelques points, notamment en contrant le patron de Tenable lorsque celui explique d’une cyberguerre n’est pas capable d’occuper le terrain après que ses « troupes virales » soient passées à l’action. Et Bejtlich de répliquer que c’est également le cas d’un corps d’armée particulier : l’aviation. Les coups portés sont des attaques en profondeur, comparables à celles d’un commando, et le fait de ne pas occuper le terrain sur le champ n’est pas la preuve d’un échec.

Qui détient la vérité ? Ranum, Bejtlich… ou aucun des deux ? Car il existe une troisième façon de voir les cyber-conflits, plus Européenne, plus « vécue » aussi. Celle qui assimile ce genre de combat à une arme psychologique, à une action de propagande. Car la cyber-guerre est aussi virtuelle que la « cinquième colonne » des années 40, aussi pernicieuse qu’une dépêche d’Ems. Avec très peu de moyen –une série de sondes réseau, quelques exploits lancés contre des cibles aussi précises qu’improbables à détruire- elle monopolise les efforts de celui qui se croit visé, tend à détourner son attention, tout en maintenant une pression psychologique certaine sur les populations. Plutôt que de compter les points en termes de centrales électriques virusées, elle remporte la victoire en affectant, même de façon imperceptible, le moral de l’adversaire ou ses efforts logistiques. Toujours, d’ailleurs, avec les leviers classiques de la peur, d’autant plus prégnante que son origine est incertaine. La cyber-guerre ne serait donc par prête de détrôner les charniers de Craonne, et l’on entendra encore chantonner quelques siècles durant «  Moi mon colon, celle que j’préfère, c’est la guerr’de 14-18 »

2- Orange, SFR et Bouygues, complices de diffusion de virus ?

«  Méfiez-vous des logiciels d’installation douteux » titre le blog de l’Avert. Et d’épingler au passage le service de micropayement SMS+ (une association des trois principaux opérateurs de téléphonie mobile en France) utilisé par l’un de ces trop nombreux sites payants diffuseurs de programmes gratuits.

Si, à la haute époque des BBS et des transmissions à 300 bauds et des communications facturées au temps, l’on pouvait comprendre et admettre que certaines entreprises offrent un « service » payant consistant à collecter puis diffuser des freewares parfois difficiles à récupérer, ce point est moralement bien plus discutable à notre époque. Même si un vide juridique certain autorise de telles pratiques. Pour les chercheurs de l’Avert, en revanche, cela ne fait aucun doute : camoufler, dans une procédure d’installation, une routine qui inféode le téléchargement d’un programme Open Source tel que VNC à un mécanisme de payement, ce n’est pas du commerce, c’est «  a tool used to carry out SMS fraud ». Du coup, la routine en question est classée dans la catégorie « Troyens » et est honorée du nom évocateur de Ransom-E.

A qui la faute ? A l’acharnement de certains politiques qui persistent à toujours voir en Internet un « machin » au sens Gaullien du terme, qu’il faudra tôt ou tard transformer en un énorme Minitel facturé par palier ? Aux opportunistes qui profitent de l’ignorance –ou du manque de pratique- d’une vaste proportion d’internautes, lesquels ignorent tout des modèles gratuits, de l’existence d’associations telles Framasoft ou de la simplicité d’un téléchargement sur SourceForge ? Ou bien encore à l’absence du moindre comité d’éthique chez les opérateurs, qui cherchent plus à monnayer leurs services qu’à savoir ce que leurs services monnayent ? Question pudiquement laissée sous silence depuis précisément l’invention du Minitel, ou plus exactement de l’invention des sites «  roses et plus si affinité » qui y fleurissaient alors.

3- La race porcine, complice de diffusion de virus ?

L’épidémie de peste porcine pourrait bien, dans les jours qui suivent, nous réserver quelques beaux spécimens d’escroqueries au Tamiflu, de superbes scam, des montagnes de spam et des propagations de fausses rumeurs dignes d’être chantées par un ténor rossinien. Le Sans supplie ses lecteurs et leur demande de ne pas enfermer leurs RSSI et spécialistes sécurité dans l’enceinte confinée de leur NOC, sous prétexte de quarantaine… Ce virus-là ne se propage pas sur un câble Ethernet, mais il pourrait bien être capable de provoquer de terribles attaques en déni sur les réseaux téléphoniques, si un vent de panique venait à souffler. Chez F-Secure, l’on commence à compter l’épidémie… de dépôts de noms de domaines. Il ne serait pas très étonnant d’y découvrir quelques registrars spécialisés dans le « domain parking » du côté des US ou de l’Ukraine. Dans moins d’une semaine, l’on pourrait craindre l’arrivée d’une vague d’emails qui, sous prétexte de peste porcine, entraînerait les internautes les plus naïfs dans les rets d’une attaque « drive by download » aussi classique que navrante.

[Retrouvez toute l'actualité de la sécurité vue par CNIS-Mag sur http://www.cnis-mag.com]