INTERNET - Mobilisation tous azimuts des géants mondiaux de l’informatique La découverte d’une faille de sécurité révèle la fragilité du Web

Les géants informatiques mondiaux, dont Microsoft, Sun Microsystems et Cisco, se sont mobilisés ces derniers mois pour corriger une grave faille de sécurité qui menaçait l’Internet mondial. Le spécialiste en sécurité Dan Kaminsky, de IO Active, a découvert il y a six mois cette faille qui portait sur le Domain Name System (DNS), le système central qui met en relation les adresses des sites et les pages stockées sur des serveurs, via des numéros similaires à des numéros de téléphone. Il a alors réuni les grands groupes Internet, qui ont planché discrètement pendant des mois pour mettre au point une solution. Un patch (correctif de sécurité) a été diffusé la semaine dernière aux entreprises et aux internautes, généralement via des mises à jour automatiques des systèmes. Cette faille aurait pu permettre à des pirates de rediriger n’importe quelle adresse Internet vers d’autres sites de leur choix, et d’ainsi contrôler le trafic Internet mondial. Le risque est notamment celui du «?phishing?», où des escrocs dirigent les internautes à leur insu vers de faux sites de banques par exemple, pour récupérer leurs numéros de cartes bancaires ou autres données sensibles. Un pirate aurait aussi pu ainsi voler des e-mails ou toute sorte de données. «?Aucune opération de sécurité n’a jamais été réalisée à cette échelle?», a commenté M. Kaminsky, qui a mis en place un site (www.doxpara.com) pour permettre aux internautes de tester leur vulnérabilité à cette faille. «?C’est un problème-clé qui gouverne toute l’architecture de l’Internet?», a souligné l’expert en sécurité Rich Mogull, de la société Securosis, lors d’une conférence téléphonique. En détournant les adresses «?vous auriez l’Internet, mais pas celui que vous attendez?», a-t-il expliqué. «?Les gens peuvent être inquiets, mais ne doivent pas paniquer, car nous avons gagné autant de temps que nous pouvions, afin de tester et mettre en application le patch?», a commenté M. Kaminsky. Ce dernier avec 16 autres chercheurs du monde entier s’étaient retrouvés en mars sur le campus de Microsoft à Redmond (nord-ouest des États-Unis) pour travailler sur une parade, dans un effort de collaboration sans précédent. Généralement, les experts en sécurité vendent aux entreprises les détails sur les failles qu’ils découvrent, mais M. Kaminsky a choisi d’agir en secret et de prévenir toute le monde en raison de l’importance de l’enjeu. «?J’ai découvert cette faille complètement par hasard, a-t-il raconté, en regardant quelque chose qui n’avait rien à voir avec la sécurité. Ce problème affecte non seulement Microsoft et Cisco, mais tout le monde?», a-t-il dit, en évitant toute précision technique pour éviter d’inspirer des pirates. Pour la première fois, les grands groupes informatiques ont décidé ensemble de lancer une diffusion massive simultanée du patch sur toutes les plates-formes informatiques, ce qui devrait protéger la plupart des internautes. Les détails techniques ne seront publiés que dans un mois, le temps d’installer le correctif. Microsoft a notamment diffusé le correctif dans une mise à jour de Windows. «?C’est un jour important, a commenté Jeff Moss, fondateur de la conférence de la sécurité informatique Black Hat.?Nous assistons à la diffusion massive d’un patch multivendeur pour une faille Internet qui aurait pu, par exemple, permettre à quelqu’un de rediriger l’adresse Google.com là ou il voulait.?» «?Ce qu’a fait Dan est très important pour toute la stabilité de l’Internet. Je n’ose même pas penser à tout l’argent qu’il aurait pu gagner s’il avait voulu vendre cette faille. Au lieu de cela, il a préféré avertir publiquement. Il faut que je lui paie une bière?!?» a lancé M. Moss. Il reste à comprendre comment une telle faille a-t-elle pu être possible et si le problème est définitivement réglé… «?Les protocoles qui sont au cœur de l’Internet ont été définis dans les années 1970 et 1980, et la sécurité des données n’y était pas inscrite. À l’époque, on n’avait pas du tout prévu que le Web deviendrait une espèce de grande matrice tentaculaire avec des milliards de machines?», relève Guillaume Lovet, expert de la société Fortinet. Un tel décalage entre les préoccupations d’hier et d’aujourd’hui explique par exemple la prolifération des spams et la difficulté à les éradiquer, dit-il. Mais de l’aveu des spécialistes, changer cette infrastructure, redéfinir ces protocoles, serait extrêmement compliqué, long et très coûteux. Pour l’instant, les acteurs se contentent donc de déployer des logiciels de correction, une «?solution de court terme?» qui laisse «?une fenêtre d’opportunité?» pour les pirates, selon M. Lovet. Dans ces conditions, «?ne faudrait-il pas un second Internet hypersécurisé, réservé aux entreprises, des espèces d’autoroutes payantes???» s’interroge M. Bichart, qui imagine déjà un «?Internet à deux vitesses?».