Cybersécurité - Innovations digitales et numériques

L'isolation complète du réseau de téléphonie sur IP est préconiséeLe guide recommande de protéger les téléphones IP à l’aide de codes d’accès spécifiques à chaque utilisateuragrandir la photoCe cloisonnement concerne à la fois le réseau physique et ses équipements actifs (commutateurs), les serveurs et les données (à stocker sur des supports dédiés). Au cas où cette isolation ne serait pas réalisable, ce guide énonce des mesures minimales de cloisonnement.S'en suit une succession de préconisations plus spécifiques comme la protection systématique des téléphones IP à l'aide de codes d'accès spécifiques ou la désactivation des ports Ethernet non-utilisés par les téléphones.En revanche, le guide déconseille de définir explicitement sur chaque port de commutateur Ethernet utilisé pour raccorder les postes IP, l'adresse MAC du téléphone normalement connecté à ce port, « en raison des coûts d’exploitation importants lié au maintien à jour des adresses MAC dans la configuration des commutateurs »

http://www.ssi.gouv.fr/IMG/pdf/NP_securiser_ToIP_NoteTech-v1.pdf

D’un autre côté, la nomination de Patrick Pailloux s’explique surtout par la nouvelle stratégie que souhaite adopter la DGSE. À la différence des Etats-Unis, par exemple, mais aussi comme de nombreux voisins européens, la France a opté pour une séparation entre sa « lutte informatique offensive » et sa « lutte informatique défensive », la première étant exécutée au Mortier, siège de la DGSE, et la deuxième étant justement l’une des principales fonctions de l’ANSSI. « Cette nomination est dans la continuité des grands programmes mis en place à la DGSE, avec une implication plus importante dans la cybersécurité. La direction générale des services extérieurs veut rendre ses moyens encore plus efficaces. Le fait que ces deux volets soit séparés pose cependant des problèmes d’organisation. Du point de vue du citoyen, c’est en tout cas une bonne chose car cela permet d’éviter des excès comme ceux de la NSA. Les Etats-Unis se sont même posés la question de séparer ces deux volets. »

Répondre aux attaques est votre seule mission ?Non. L’ANSSI a une fonction de réaction aux attaques informatique mais aussi de prévention. Dans le premier cas, nous sommes une autorité de défense sous la direction du premier ministre. Comme je viens de l’expliquer, nous coordonnons la réponse en cas d’attaques vis-à-vis d’une administration ou d’une entreprise. Bref, nous jouons le rôle de pompier avec un centre actif 24h/24 où nous détectons les attaques sur les réseaux. Mais notre mission principale est préventive. Nous aidons à ce que les organisations françaises ayant des infrastructures critiques soient protégées. Nous fournissons des solutions et nous publions aussi beaucoup de guides.

En tout état de cause, plus de 10 ans après avoir commencé à m'intéresser à ces questions, j'en suis arrivé à la conclusion que s'il est impossible à un non-professionnel de sécuriser son ordinateur de façon à empêcher un professionnel motivé d'y pénétrer, il est par contre tout à fait possible de créer des fenêtres de confidentialité, de disparaître le temps d'une connexion, d'apprendre à communiquer de façon furtive, discrète et sécurisée, à échanger des fichiers sans se faire repérer et donc d'avoir "droit à son quart d'heure d’anonymat".

Gérard Rio, fondateur des Assises, de conclure : « Le cru 2013 nous conforte une nouvelle fois dans notre parti pris : fournir aux professionnels un lieu d’échanges et de partages, qui les réunit chaque année. Par ailleurs, nous avons pu observer l’enthousiasme des partenaires pour fournir des contenus à forte valeur ajoutée et la satisfaction de nos invités à participer aux ateliers proposés. Chaque année est un nouveau défi que nous relevons avec joie et succès. Rendez-vous donc en 2014 à Monaco ! »

on venait poser des questions sur les SCADA. Le contre-amiral nous a assuré qu’il n’amenait pas le sujet sur la table simplement parce que c’est l’axe de communication officiel du moment, mais bien parce que l’agence était cette année particulièrement sollicitée à ce sujet. Selon lui, et comme le mentionnait déjà Patrick Pailloux dans son discours d’ouverture, les visites sur le stand de l’ANSSI montrent qu’il existe dans ce domaine une différence de perspective fondamentale entre la sûreté de fonctionnement et la sécurité de l’information, qui repose sur l’intégrité des données transmises par les capteurs de l’équipement. Et les exploitants semblent parfois encore confondre les deux : les dispositifs de sûreté ne peuvent s’activer et empêcher une catastrophe si les informations qu’ils reçoivent des capteurs sont falsifiées et indiquent que tout va bien. Les collaborateurs de l’ANSSI avaient donc à coeur de marteler cette différence, dans l’espoir que l’écho parvienne jusqu’au automaticiens par l’intermédiaire des RSSI.

Si l’exercice des Assises perd de son intérêt fondamental au fil des éditions (4), sa surface d’exposition médiatique et la concentration de professionnels de la SSI en ferait pourtant la tribune idéale pour lancer l’ECSM. Surtout, l'exercice devrait être aussi l'occasion de repenser et de relancer le paquebot "Assises" qui poursuit imperturbablement son cap vers une destination de plus en plus floue.

Sortir des constats déjà faits depuis des mois voire des années, cesser les mêmes discours stéréotypés en amenant du sang neuf et en faisant intervenir de nouveaux visages, introduire une dose de "rump sessions" plus pointues et moins mercantiles sont autant de pistes à envisager. Souhaitons donc que ce salutaire chantier s'ouvre et que le FIC ou les RIAMS, de belles réussites alliant l'agrément à l'efficacité, inspirent les Assises. Sous peine de perdre définitivement de leur sens et de leur intérêt.

Cette loi contient de nombreux articles qui dépassent le cadre de ce billet ; nous allons nous concentrer sur le chapitre IV et les articles 21 à 25 qui détaillent les dispositions relatives à la « protection des infrastructures vitales contre la cybermenace ». Depuis l’attaque Stuxnet en 2010, les publications de failles et d’outils offensifs ciblant les « composants SCADA » se sont multipliées. Par ailleurs, de nombreux systèmes sont exposés et accessibles directement sur Internet et peuvent être détectés au moyen de simples requêtes dans un moteur de recherche. Concrètement : il peut suffire de quelques clics de souris pour accéder à des fonctions de pilotage et perturber significativement le comportement d’un site industriel. La capture d’écran ci-contre en est l’illustration : il s’agit d’un système de régulation de chauffage accessible en ligne avec login et mot de passe par défaut.

Cette responsabilité incombe en premier lieu, sur le plan opérationnel, aux directions des systèmes d'information de ces organisations et à leur responsable de la sécurité des S.I (RSSI). L'Anssi pourra décider de conduire des audits de sécurité dans ces entreprises, en cas de failles suspectées.

Quel regard portez-vous sur ce monde des objets connectés vers lequel nous nous dirigeons ? Alors qu'un réfrigérateur a été piraté, va-t-on vers un nombre croissant d'attaques ?

- D'attaques je ne sais pas, mais c'est sûr que nous allons vers un nombre croissant de vulnérabilité et donc de potentielles attaques. Après, chaque objet connecté n'est pas forcément intéressant à attaquer. Ce n'est pas parce qu'on a plus d'objets connectés que c'est dramatique. Tout dépend si tout est inter-connecté avec votre maison, votre ordinateur, etc., alors l'objet connecté peut servir de porte d'entrée.

M. Pailloux était en concurrence avec un membre actuel de la direction technique de la DGSE, un haut cadre du groupe de télécommunications Orange et l'ex-numéro deux de la direction technique de la DGSE, Philippe Duluc, aujourd'hui patron de la sécurité chez Bull après avoir occupé ces fonctions à France Télécom. Au regard du formidable poids pris par la technologie au sein du monde du renseignement et de la dépendance des Etats à la collecte, l'interception et le décryptage des données techniques à travers le monde, le directeur technique de la DGSE est devenu un personnage de premier plan, à l'image du patron de la NSA aux Etats-Unis. Plus de la moitié des effectifs de la DGSE travaillent au sein de sa direction technique, soit plus de 3 000 personnes, davantage que ce que ne veulent bien admettre les autorités.

La plupart des attaques sont cependant réalisées via la messagerie électronique des utilisateurs. Rien de nouveau sous le soleil, mais les pirates n’ont aucune raison de changer de tactique tant que ça marche. Les fichiers bureautiques corrompus envoyés par courriel ont donc toujours la côte. « Ces incident pourraient souvent être évités par des mesures simples à mettre en œuvre (sensibilisation des utilisateurs, mesures de filtrage…) » rappelle pourtant le Certa. Et, bien-sûr, rien ne vous empêche de jeter un œil aux guides publiés par l’Anssi… http://www.ssi.gouv.fr/IMG/pdf/guide_hygiene_informatique_anssi.pdf

Bref, sous la balkanisation apparente de cette treizième édition des Assises de la Sécurité l’on peut encore trouver un socle commun : l’ouverture des SI concerne tout le monde et la question apparaît très loin d’être réglée. Mais finalement, en l’absence d’une tendance forte – la nature ayant horreur du vide – il n’est pas très étonnant que ce soit un problème de fond qui prenne la relève.