La vulnérabilité informatique des infrastructures en question

Un train de banlieue miniature tourne en rond et attend qu'il prenne à un pirate quelque part dans le monde l'envie de le faire dérailler: la vulnérabilité des infrastructures au piratage informatique s'est invitée au dernier CeBIT de Hanovre, qui vient de fermer ses portes.
La maquette à l'échelle 1:87 du projet «Honey Train » – un jeu de mot avec «Honey Pot», «pot de miel», expression qui désigne un appât en anglais – a été conçue par l'entreprise de sécurité Sophos. Dans la ville miniature, les noms de rues sont empruntés au Monopoly.
Mais les composants logiciels du système sont connectés pour de vrai et apparaissent sur le réseau comme ceux d'un vrai train. Ses points faibles structurels ont fait d'ailleurs déjà l'objet de discussions entre hackers sur des forums.
Les responsables de Sophos attendent que, quelque part, un pirate exploite ces failles et appuie sur le bouton. À Hanovre, le train déraillerait et finirait sa course dans un immeuble, un avant-goût de ce qui pourrait menacer les infrastructures de par le monde.
Avec le projet, la société veut «aller voir ce qui se passe dans la tête des cybercriminels», détaille Chester Wisniewski, conseiller chez Sophos.
«C'est une bonne reproduction des plus mauvais systèmes de sécurité publique existants dans la vraie vie (...). Des systèmes conçus à une époque plus simple quand personne ne tentait de les attaquer, ce qui les rend vulnérables»,
explique-t-il.

La mauvaise approche
Les internautes sont depuis longtemps victimes des pirates en ligne, du «phishing» – mails déguisés comme provenant d'une source de confiance, pour soutirer des informations personnelles – jusqu'à la surveillance pratiquée par les services de renseignements.
Le dernier scandale en date concerne le piratage par les services secrets américains et britanniques du chiffrement des puces électroniques du français Gemalto, le champion mondial de la sécurité numérique, pour écouter des smartphones.
Mais les grandes infrastructures sont pour l'instant relativement épargnées. «Je suis surpris que le pire ne se soit pas encore produit», estime Christoph Meinel, à la tête de l'Institut Hasso Plattner, université de Berlin dédiée aux technologies.
«Certains nous disent "ne vous inquiétez pas, cela n'arrivera pas", mais c'est la mauvaise approche. Une fois que quelqu'un aura réussi, on peut s'attendre rapidement à voir surgir d'autres attaquants», ajoute-t-il.
En 2010 déjà, les centrifugeuses d'enrichissement d'uranium en Iran ont été victimes d'une attaque clandestine du virus informatique Stuxnet. Il leur ordonnait d'accélérer la cadence pour provoquer dysfonctionnements et explosions.
Dans son roman à succès Blackout, le journaliste autrichien Marc Elsberg imagine le chaos provoqué par une attaque pirate sur les réseaux électriques européens. Communications coupées, distribution alimentaire en péril – impossible de maintenir la chaîne du froid – transports à l'arrêt... Le sabotage provoque même un accident nucléaire.
Un scénario «tout à fait valide» selon Marco Di Filippo, un fournisseur de services de sécurité partenaire de Sophos.

Mode manuel
«Les infrastructures sont désormais automatisées, transfèrent des données sur Internet grâce à un protocole courant, le "TCP/IP", et sont donc en ligne sans protection, pointe-t-il.
«Cela inclut les réseaux électriques, les centrales électriques, les parcs éoliens, les barrages, mais aussi les systèmes de transports», précise le spécialiste.
«Si quelque chose est connecté à Internet, il est théoriquement possible de le pirater», confirme Andrey Nikishin, de Kaspersky Lab, une firme russe reconnue en matière de sécurité informatique.
Mais un sabotage en règle reste difficile, selon lui. Les gouvernements ont identifié les faiblesses de leurs infrastructures et s'attellent à les protéger. Nombre d'entre elles ont aussi un mode manuel. Et «heureusement, on ne peut pas pirater l'interrupteur manuel», assure-t-il.
Les pirates ont des motivations diverses, selon les recherches de Kaspersky: espionnage entre États, militants spécialistes du sabotage, criminels courant après l'argent, ou simples adolescents à la recherche de défis.
La multiplication des objets connectés leur offre de nouvelles cibles, souligne M. Nikishin. Bientôt, nos maisons, voitures et tous nos appareils courants auront une
adresse IP.