Web_Deux ans et 100 millions suffisent pour envahir Internet

Organiser l'invasion informatique des États-Unis, c'est possible en deux ans et pour 100 millions de dollars, selon un spécialiste américain de l'espionnage informatique qui a présenté un modèle à Las Vegas.

Chercheur chez Independant Security Evaluators, Charlie Miller, qui a travaillé pendant cinq ans à la NSA (Agence de sécurité nationale américaine), a présenté ses travaux lors de la conférence de pirates informatiques Defcon qui s'est achevée à Las Vegas.

«J'ai fait comme si la Corée du Nord m'avait demandé d'orchestrer une cyberattaque contre les États-Unis», a-t-il expliqué à l'AFP. «J'ai travaillé en conditions réelles».

Il a précisé avoir reçu une demande du Centre d'excellence en cyberdéfense de l'Estonie d'établir les moyens d'une défense contre le même type de cyberattaque. Le chercheur avait présenté les résultats de ses travaux lors d'une rencontre de l'Otan dans le pays balte au mois de juin.

«Je savais que ce serait facile mais maintenant je sais à quel point ça l'est», a-t-il ironisé, assurant que les États-Unis étaient «très vulnérables» à une cyberattaque généralisée. D'autant, a observé le spécialiste, que 100 millions de dollars représentent une goutte d'eau par rapport à tout ce qui est dépensé pour se prémunir contre une telle catastrophe.

La stratégie globale mise au point cible les réseaux de distribution d'électricité, les banques, les télécommunications et tout autre élément de l'infrastructure technologique du pays.

La cyberarmée ne serait composée que d'une centaine de «soldats», depuis des commandos d'élite informatique jusqu'à des étudiants mordus d'informatiques.

Une des clés, explique M. Miller, est de pénétrer furtivement les réseaux et d'établir des têtes de pont dans les systèmes informatiques pendant deux ans avant l'invasion générale.

«Une fois que vous m'avez donné deux ans de préparation, c'est foutu pour vous», s'est amusé Charlie Miller. «Mais au cours de ces deux ans, vous pouvez encore découvrir ce qui se passe et tout arrêter», a-t-il prévenu.

Une cible unique comme la bourse ou un réseau militaire peut en outre être envahi à moindre coût.

M. Miller a choisi la Corée du Nord pour établir son scénario parce que ce pays présente l'avantage d'être tellement en retard technologiquement qu'une invasion globale d'internet le laisserait indemne.

«Certains pays sont peut-être déjà en mesure» d'orchestrer une invasion générale de l'internet, a estimé le spécialiste. Deux solutions s'offrent alors: «limiter notre dépendance à internet ou faire de notre mieux pour les découvrir et trouver les moyens politiques de les en empêcher».

Mais pour lui, les meilleurs experts informatiques capables de mener à terme une telle attaque se réfréneraient pour des questions de patriotisme et de moralité. «Ils auraient peur d'être tués», justifie-t-il, «ça paraît une chose assez réaliste à laquelle il faut penser».

Le président de la National security corporation, Mark Harding, rappelle de son côté combien les États-Unis ne sont pas prêts à contrer une telle attaque. «Certains disent qu'ils peuvent arrêter tout internet et c'est vrai qu'ils le peuvent», reconnaît-il.

«Mais ils ne le font pas parce qu'ils croient aux vertus de ne pas faire de dégâts ni de voler des choses qui ne leur appartiennent pas», détaille M. Harding. «C'est quand ce mélange de moralité et de discipline n'est plus là que vous vous retrouvez du mauvais côté».

Source : CyberPresse Par : Glenn Chapman, Agence France-Presse (Las Vegas)

Web_La cybersécurité, un des grands défis du XXIe siècle

Le président élu américain Barack Obama doit s'atteler au grave problème de la sécurité sur internet, un des défis du XXIe siècle, estiment des experts en cybersécurité dans un rapport diffusé lundi.

Ces experts du Centre d'études stratégiques et internationales (CSIS), basé à Washington, estiment que la Maison Blanche devrait disposer d'un bureau consacré à ce sujet, dans ce rapport de la Commission sur la cybersécurité pour la 44e présidence, créée en 2007 après une vague d'attaques sur internet aux États-Unis.

«La cybersécurité fait partie des défis économiques et de sécurité intérieure les plus graves que nous aurons à affronter au XXIe siècle», affirme la commission dans un résumé de son rapport, ajoutant que le danger pourrait provenir «d'agences étrangères de renseignement ou militaires, ou de criminels entre autres».

«Cette lutte va infliger de graves dégâts à la santé économique et à la sécurité intérieure des États-Unis à moins d'une réponse vigoureuse», ajoute-t-il.

«Seule une stratégie nationale qui englobe les aspects nationaux et internationaux de la cybersécurité pourra améliorer la situation», dit encore le rapport qui peut être consulté à l'adresse tinyurl.com/6r68tb.

Les experts pressent Barack Obama, qui prendra ses fonctions le 20 janvier, de créer à la Maison Blanche un bureau afin de «gérer les nombreux aspects destinés à sécuriser notre réseau national en même temps que protéger les libertés privées et civiles».

Au cours de sa campagne, M. Obama avait promis de nommer un «directeur informatique» dans son administration.

Les experts, qui ont consulté notamment des responsables des départements à la Défense et à la Sécurité intérieure et des renseignements américains, ont aussi appelé à revoir les lois relatives au cyberespace, les estimant dépassées.

Dans un rapport rendu public mi-novembre, la US-China Economic and Security Review Commission avait tiré la sonnette d'alarme sur la sophistication du cyber-espionnage chinois, affirmant que la Chine disposait de techniques d'espionnage informatique capables de pénétrer les réseaux américains les plus sensibles pour y dérober des informations confidentielles.

Source : LaPresseAffaires
Par : Agence France-Presse

Internet_Les géants de l'internet mobilisés contre une grave faille de sécurité

Les géants informatiques mondiaux, dont Microsoft, Sun Microsystems et Cisco, se sont mobilisés ces derniers mois pour corriger une grave faille de sécurité qui menaçait l'internet mondial, et diffusent cette semaine à grande échelle un logiciel de correction.

Le spécialiste en sécurité Dan Kaminsky, de IO Active, a découvert il y a six mois cette faille qui portait sur le Domain Name System (DNS), le système central qui met en relation les adresses des sites et les pages stockées sur des serveurs, via des numéros similaires à des numéros de téléphone.

Il a alors réuni les grands groupes internet, qui ont planché discrètement pendant des mois pour mettre au point une solution.

Le correctif est diffusé cette semaine aux entreprises et aux internautes, généralement via des mises à jour automatiques des systèmes.

Cette faille aurait pu permettre à des pirates de rediriger n'importe quelle adresse internet vers d'autres sites de leur choix, et d'ainsi contrôler le trafic internet mondial.

Le risque est notamment celui du «phishing», où des escrocs dirigent les internautes à leur insu vers de faux sites de banques par exemple, pour récupérer leurs numéros de cartes bancaires ou autres données sensibles. Un pirate aurait aussi pu ainsi voler des courriels ou toute sorte de données.

«Aucune opération de sécurité n'a jamais été réalisée à cette échelle», a commenté M. Kaminsky, qui a mis en place un site (www.doxpara.com) pour permettre aux internautes de tester leur vulnérabilité à cette faille.

«C'est un problème-clé qui gouverne toute l'architecture de l'internet», a souligné l'expert en sécurité Rich Mogull, de la société Securosis, lors d'une conférence téléphonique. En détournant les adresses «vous auriez l'internet mais pas celui que vous attendez», a-t-il expliqué.

«Les gens peuvent être inquiets mais ne doivent pas paniquer, car nous avons gagné autant de temps que nous pouvions, afin de tester et de mettre en application le correctif», a commenté M. Kaminsky.

M. Kaminsky et 16 autres chercheurs du monde entier s'étaient retrouvés en mars sur le campus de Microsoft à Redmond (nord-ouest des Etats-Unis) pour travailler sur une parade, dans un effort collaboratif sans précédent.

Généralement les experts en sécurité vendent aux entreprises les détails sur les failles qu'ils découvrent, mais M. Kaminsky a choisi d'agir en secret et de prévenir tout le monde en raison de l'importance de l'enjeu.

«J'ai découvert cette faille complètement par hasard», a-t-il raconté, «en regardant quelque chose qui n'avait rien à voir avec la sécurité». «Ce problème affecte non seulement Microsoft et Cisco, mais tout le monde», a-t-il dit, en évitant toute précision technique pour éviter d'inspirer des pirates.

Pour la première fois, les grands groupes informatiques ont décidé ensemble de lancer une diffusion massive simultanée du correctif sur toutes les plate-formes informatiques, ce qui devrait protéger la plupart des internautes.

Microsoft a notamment diffusé mardi le correctif dans une mise à jour de Windows.

«Nous assistons à la diffusion massive d'un correctif multi-vendeur pour une faille internet qui aurait pu, par exemple, permettre à quelqu'un de rediriger l'adresse Google.com là ou il voulait», a commenté Jeff Moss, fondateur de la conférence de la sécurité informatique Black Hat.

«Ce qu'a fait Dan est très important pour toute la stabilité de l'internet. Je n'ose même pas penser à tout l'argent qu'il aurait pu gagner s'il avait voulu vendre cette faille. Au lieu de cela il a préféré avertir publiquement. Il faut que je lui paie une bière!», a lancé M. Moss.

Source : La Presse Affaires via Agence France-Presse