Infrastructures critiques…
Technologie et sécurité
6 octobre 2010 – 15h24
Billet 5 de 6
Plusieurs personnes utilisent Internet mais, faute de connaissances plus techniques, croient que le piratage informatique touche principalement les sites Web et les données confidentielles des entreprises.
La réalité est que le piratage peut toucher beaucoup plus que cela. Plusieurs films d’action et de science-fiction en font d’ailleurs référence. Par exemple, dans le dernier Die Hard, un jeune pirate informatique prend le contrôle des systèmes de lumières de circulation, des systèmes de contrôle électrique et plus encore. Ça peut paraître irréaliste, mais c’est bien réel. Ça reste toutefois plus complexe que 2 ou 3 clics! Voici une brève aperçue de la sécurité de ces systèmes.
Les infrastructures critiques (SCADA)
SCADA (Supervisory Control And Data Acquisition), spécialisé en télésurveillance et acquisition de données, est un sujet inconnu pour la plupart d’entre nous. Toutefois, ces systèmes contrôlent les infrastructures critiques incluant les systèmes d’électricité, les canalisations de gaz, le transport de produits chimiques, etc. Lors du BlackHat et du Defcon de cette année plusieurs conférences ont porté sur ce domaine plutôt méconnu.
L’un des conférenciers a expliqué que sur une centaine de système SCADA analysés, plus de 30 000 vulnérabilités y ont été découvertes. Ces vulnérabilités sont dues des logiciels qui ne devraient normalement pas se retrouver sur ces systèmes, tels que des clients MSN, des bases de données de services de rencontre et des jeux en ligne.
Retrouver ces logiciels sur des serveurs qui contrôlent des services critiques est assez terrifiant puisque ces systèmes devraient normalement être contrôlés à partir de modules propriétaires inconnus et très contrôlés. C’est malheureusement souvent le contraire!
Ainsi, le fait que ces logiciels soient installés sur ces serveurs permet à des logiciels malveillants tels que des botnet (réseau de zombies), des virus et des logiciels avec vulnérabilités permettant d’exploiter ces systèmes, de s’y installer. En s’y installant, ils ces logiciels malveillants peuvent ensuite attaquer les systèmes critiques et les contrôler en partie ou en entier, que ce soit au niveau de l’électricité, de l’eau ou autre.
Encore plus inquiétant, il semblerait, toujours selon ce chercheur, que les systèmes informatiques des entreprises normales semblent beaucoup plus sécuritaire que les réseaux SCADA. Il y a de quoi avoir peur…surtout lorsqu’on pense aux conséquences.
Comment sécuriser le tout?
Comme le dit James Arlen dans sa conférence et son blogue , les réseaux et infrastructures SCADA ne sont présentement pas sécuritaires et les technologies actuelles ne peuvent régler ce problème facilement. De plus, depuis une dizaine d’années, lui et d’autres firmes ont effectué plusieurs tests et analyses de sécurité sur ces systèmes et à chaque fois, malgré ce qu’en disent les experts, les systèmes critiques étaient tous branchés à Internet et non par le biais un système hétéroclite sécuritaire.
Ainsi, beaucoup de recherche et de mise en place de sécurité de base doivent être instaurés dans ces systèmes avant qu’ils ne soient complètement sécuritaires.
Je vous invite à suivre le dernier article de la série qui suivra dans les prochaines semaines. Je vous invite aussi à m’écrire personnellement à : patrick.rousseau-mathieu@nurun.com pour toute question ainsi qu’à laisser vos commentaires dans l’espace réservé, ci-dessous.
Patrick