Sécurité informatique : Notre vie en symbiose*

Vous rappelez-vous de nos articles du bulletin sur la cyber-sécurité des systèmes de contrôle (« Pirater les systèmes de contrôle, éteindre les lumières ! » et « Pirater les systèmes de contrôle, éteindre... les accélérateurs ? ») en début de cette année ? Permettez-moi de faire la lumière  là-dessus depuis une perspective complètement différente.

J'ai été élevé en Europe dans les années 80. Intégré dans toutes les commodités d'une ville moderne, mon environnement a fait de moi un Cyborg - un homme ligoté à la technologie - aidé mais également dépendant des logiciels et du matériel : Depuis mon enfance, je mange de la nourriture emballée par des machines et expédiée par un réseau sophistiqué de navires et camions la gardant fraîche ou congelée jusqu'à ce qu'elle arrive dans les supermarchés. Je chauffe ma maison par la magie de l'énergie nucléaire fournie par l'intermédiaire d'un réseau électrique complexe. En fait, la plupart des équipements et gadgets que j'utilise sont basés sur l'électricité et j'ai juste besoin d'utiliser une prise de courant. Pendant mes vacances, je voyage en taxi, train et avion. Et j'apprécie le beau temps à l'extérieur grâce à un système d'air climatisé situé dans le sous-sol du bâtiment IT du CERN.

Ce système d'air climatisé, un système de contrôle de processus (« Process Control System », PCS), surveille la température ambiante de la pièce par l'intermédiaire d'un réseau distribué de capteurs. Une unité centrale intelligente - appelée contrôleur logique programmable (« Programmable Logic Controller », PLC) - compare les valeurs de température mesurées avec un ensemble de seuils, puis calcule les nouveaux réglages pour le chauffage ou la climatisation. En plus de cette boucle de régulation de la température (surveiller , calculer , paramétrer), un petit écran - un système SCADA (système de surveillance et d'acquisition de données) très simple - fixé au mur me permet de lire la température actuelle de la pièce et de manipuler ses points de réglages. Selon la taille de l'immeuble, en fonction des processus à contrôler, de nombreux capteurs, PLCs , actuateurs et systèmes SCADA peuvent être combinés et interconnectés pour construire un PCS plus grand et plus complexe.

De la même manière, tous nos produits et équipements dépendent des nombreux et complexes PCS : les PCS pour la gestion de l'eau et des déchets, la production et la transmission d'électricité, le transport public et privé, la communication, la production de pétrole et de gaz, mais aussi pour les voitures, les aliments et les produits pharmaceutiques. Aujourd'hui, beaucoup de gens vivent en symbiose avec ces PCS qui rendent leur vie confortable, et l'industrie en dépend. La diversité des PCS est devenue une « infrastructure critique » (« Critical Infrastructure ») complète et intégrée fournissant la base fondamentale pour leur survie générale.

Alors, que se passerait-il si un composant ou l'ensemble de cette infrastructure critique tombait en panne ? Comment votre vie changerait-elle sans eau courante et sans l'élimination appropriée des déchets, sans électricité, sans nourriture fraîche et congelée ? L'air frais de la salle de conférence deviendrait chaud et inconfortable. À une échelle plus large, sans eau potable au robinet, nous devrions revenir aux puits locaux, ou recueillir et chauffer l'eau de pluie afin de la purifier. Une panne du système d'électricité arrêterait la vie publique : les produits surgelés dans les supermarchés se réchaufferaient et deviendraient immangeables, les pompes à carburant ne fonctionneraient plus, les systèmes de maintien en vie dans les hôpitaux cesseraient une fois que les générateurs diesel locaux seraient à court de carburant... (Tout cela est bien décrit dans le roman Blackout de M. Elsberg).

Nous comptons sur notre Infrastructure Critique, nous comptons sur les PCS, et nous comptons sur les technologies derrière les PCS. Dans le passé, les PCS , les PLCs et les systèmes SCADA ainsi que leurs composants matériels et leurs logiciels étaient propriétaires, construits sur mesure, et autonomes. L'expertise était centralisée, avec quelques ingénieurs système connaissant leur système par cœur. Cela a changé au cours des dernières décennies. La pression pour la consolidation et la rentabilité a poussé les fabricants et les services publics à s'ouvrir. Aujourd'hui, les PCS modernes emploient les mêmes moyens technologiques utilisés depuis des années dans les centres informatiques, dans les bureaux et à la maison : le système d'exploitation Windows de Microsoft pour exécuter les systèmes SCADA ; des navigateurs Web comme interfaces utilisateur ; des ordinateurs portables et des tablettes remplacent les listes de contrôle sur papier ; des emails pour diffuser les informations et alertes d'état, le protocole IP pour communiquer entre les différentes parties d'un PCS ; l'internet pour les accès à distance pour le personnel du support et les experts...

Malheureusement, tout en bénéficiant de la technologie de l'information standard, les PCS ont également hérité de ses inconvénients : les défauts de conception dans le matériel, les bogues dans les composants et applications logiciels, et les vulnérabilités dans les protocoles de communication. Exploitant ces inconvénients, des cyber-attaquants malveillants et des chercheurs en informatique bienveillants sondent de nombreux matériels différents, logiciels et protocoles pendant des années. Encore plus aujourd'hui, les centres informatiques, les systèmes de bureau et les ordinateurs personnels sont en permanence attaqués. Avec leurs nouvelles bases technologiques, les PCS ont aussi subi un examen minutieux. L'attaque sophistiquée « Stuxnet » par les États-Unis et Israël contre le système de contrôle des installations d'enrichissement en uranium de l'Iran en 2010 est seulement l'un des cas les plus médiatisés. De nouvelles vulnérabilités affectant les PCS sont publiés régulièrement sur ​​certaines pages Web, et des modes d'emploi en vue d'attaques malveillantes circulent largement sur ​l'​Internet. Les dommages causés peuvent être énormes.

Par conséquent , la « protection des infrastructures critiques » (« Critical Infrastructure Protection ») devient impérative. Mais protéger des PCS comme des centres informatiques, les mettre à jour, utiliser des anti-virus, contrôler les accès s'avére beacoup plus difficile que les attaques. Les PCS sont construits pour des cas d'utilisation. Les actes malveillants sont rarement pris en compte lors de leur phase de conception et d'implémentation. Par exemple, redémarrer un PC SCADA va interrompre temporairement les capacités de surveillance ; mettre à jour le firmware d'un PLC nécessite généralement de refaire des tests minutieux et probablement une nouvelle certification. Les deux sont des tâches non anodines et coûteuses qui ne peuvent être faites en accord avec le cycle mensuel des mises à jour de Microsoft par exemple.

Et donc, une partie (sinon plusieurs) des PCS d'aujourd'hui sont vulnérables aux cyber-attaques courantes. Non sans raison, Richard Clarke disait « les États-Unis pourrait être en mesure de faire sauter une centrale nucléaire quelque part, ou un centre de formation terroriste quelque part, mais un certain nombre de pays pourraient riposter par une cyber-attaque et le système économique du pays pourrait s'éffondrer en représailles... parce que nous ne pouvons pas le défendre aujourd'hui. » (AP 2011). Nous devons élever nos cyber-défenses maintenant. Sans protection des infrastructures critiques, sans systèmes SCADA protégés, notre vie symbiotique moderne est en péril.

* Pour être publié dans le World Federation of Scientists yearbook.

N'hésitez pas à contacter l'équipe de sécurité informatique
ou à consulter notre site web.

Si vous voulez en savoir plus sur les incidents et les problèmes de sécurité informatique rencontrés au CERN, consultez notre rapport mensuel (en anglais).

Accédez à la collection complète d'articles de l'équipe de sécurité informatique ici.

par Stefan Lueders, Computer Security Team