"Wikileaks"- Executive Order du Président Obama

Texte attendu, le fameux "executive order" du Président OBAMA est un texte qui répond aux problématiques de divulgation d'information qui sont intervenues notamment dans le cadre de "l'affaire Wikileaks".

Un "executive order" est un texte équivalent à un décret du Président ou du Premier Ministre : il est pris par le chef de l'exécutif et a donc une portée très large. Il n'est pas forcément public comme en témoigne certains pris par son prédécesseur et que le Président OBAMA avait choisi de déclassifier à son arrivée.

Ce document enjoint aux administrations de s'atteler à différentes tâches afin de mieux protéger leurs secrets. En particulier, un audit ainsi qu'une révision des procédures seront obligatoires. Par ailleurs, les agences deviennent responsables des informations qu'elles créent, traitent puis partagent, créant ainsi un régime de responsabilité dont l'absence antérieure, si avérée, demeure très surprenant.

Ce texte crée également plusieurs comités, en particulier le Insider Threat Task Force dirigé par le Procureur Général (Attorney General), en pratique, le Ministre de la Justice. Ce premier comité aura pour tâche, encore une fois étonnante, de former une stratégie permettant aux agences de mieux gérer (licencier) les personnels dont la capacité à détenir/gérer des informations confidentielles semble limité.

Un second comité, le Classified Information Sharing and Safeguarding Office aura pour tâche de développer et d'entretenir une progression constante des bonnes pratiques en matière de préservation des informations confidentielles. Ce comité fournira également le personne au comité inter-agence chargé de cautionner les politiques d'échanges et de sécurité des informations.

Apparemment attendu dans la communauté de sécurité et du renseignement, cet acte présidentiel ne semble pas présenter de grandes nouveautés. Au contraire, il semble poser des bases dont l'absence d'existence antérieure laisse perplexe.

Peut-être peut-on trouver un élément de réponse à cette absence dans la dévotion des Etats-Unis envers les fonctions de renseignement. Si cette pratique nécessite une certaine dose de secret, elle a aussi besoin de nombreux échanges pour "construire" de l'information, par recoupements par exemple. Or, une des analyses du 11 Septembre, évènement traumatique s'il en est, pointait du doigt un manque de coopération des services de renseignement, notamment au niveau des échanges. L'équilibre délicat entre protection et échanges aura peut-être été plus en faveur de l'échange dernièrement avant de connaitre un certain revirement.

Notons aussi que les analyses de sécurité semblent pointer du doigt la tendance à protéger de manière périmétrique les installations et systèmes...Pour paraphraser d'autres blogueurs, la présence d'un firewall n'empêche pas aujourd'hui ces fameuses attaques en profondeur ou "APT" qui s'appuient sur la faiblesse d'un maillon interne. Il y a donc un historique lourd également sur la prise en compte tardive de la menace interne qui explique également certaines mesures de ce décret.

Source :

http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks-

Réunion OTAN sur la cyberdéfense

Selon le site de l'OTAN, une rencontre est prévue entre les pays membres et les pays partenaires afin d'échanger autour des problématiques de cyberdéfense et notamment de doctrine avec un objectif en vue : l'évolution du concept stratégique de l'Alliance.

Les lecteurs attentifs de ce blog se souviendront peut-être qu'une telle réunion avait déjà eu lieu en Juin, au même endroit que celle à venir, Cambridge. Une fois encore, un panel représentatif d'experts sera réuni en provenance des pays membres ou alliés incluant également, comme la première fois, la Russie. Ce blog s'est également souvent fait l'écho des échanges particuliers entre russes et américains sur ces sujets et cette participation parait plutôt de bon augure dans les relations du pays avec l'occident ou les Etats-Unis, au moins sur ce sujet.

La liste des sujets montrent une orientation peut-être plus "haut niveau" que l'atelier précédent qui abordait des sujets comme DNSSEC. L'objectif semble bien être la production de vision stratégique ainsi que l'étude des impacts économiques et de sécurité sur les différents secteurs d'un pays :

• "menaces de sécurité émergentes dans le cyberespace ;
• commandement et conduite des opérations dans le cyberespace ;
• historique des échecs en matière de sécurité de l'internet ;
• cyberrisques et état de préparation dans le secteur privé ;
• comment sécuriser l'internet de nouvelle génération ;
• gouvernance dans le cyberespace - législations, coopération internationale et traités."

Si certains sujets nous interpellent moins, ceux en gras, sont très intéressants car ils dénotent la prise en compte d'opérations dans le cyberespace par des états et des entités militaires alors que les doctrines faisant état d'éléments à ce sujet sont relativement récentes et peu explicites. Dans un second temps, l'analyse des échecs de sécurité sur Internet est également un sujet enrichissant et également "à la mode" au sein de la communauté SSI (n'hésitez pas à lire notre prochaine chronique sur AGS !)


En italique, les sujets liés à la réunion précédente qui avait abordé les questions de DNSSEC et du future de la gouvernance Internet. Visiblement, ces sujets demeurent suffisamment importants et critiques pour susciter un intérêt continu des membres de l'Alliance.

A suivre donc...

Source : dans le texte.

Un nouveau RSSI pour le DoD !

Si Vis se faisait l'écho sur son blog des récents changements de postes notamment au niveau du DHS américain.

Mais ce ministère n'est pas le seul puisque Léon PANETTA, secrétaire d'Etat à la Défense américain vient de nommer Eric Rosenbach responsable de projets liés à la cyberdéfense au sein de l' "Office of the Assistant Secretary of Defense for Global Strategic Affairs".

Il remplace ainsi Robert Butler dans un rôle de pilotage des politiques, stratégies et autres éléments de cyber-défense au sein du département de la défense américain. Doté d'une solide expérience en la matière, il aura néanmoins la très lourde tâche de gérer ces programmes dans un contexte de réduction des budgets importants.

Rappelons en effet que le Pentagone devra trouver, sur 10 ans environ, des économies comprises entre 500 milliard et 1 billion de dollars...tout en conservant intactes certaines capacités comme la cyberdéfense. Bien que matériellement, celle-ci ne soit pas forcément la plus couteuse comparés à des programmes spatiaux ou maritimes, il faut prendre en compte le capital humain et le coût de la formation...Par ailleurs, force est de constater que les dépenses IT sont aussi en constantes évolutions et dans une forme de cycle infernale de course à la modernité, ce qui rehausse d'autant les coûts.

Source : dans le texte

Une possible attaque informatique contre un aéroport indien

Les passagers de l'aéroport international Gandhi à New-Delhi ont connu un retour à l'age du stylo et de la plume (entendez sans informatique) plutôt éprouvant fin Juin. En effet, un problème dans le système de gestion de passagers et du terminal a occasionné des contrôles manuels et des retards.

Le point intéressant est qu'une entité officielle indienne (CBI) s'intéresse à la possibilité qu'une attaques informatique soit à l'origine de cette attaque. Il semblerait ainsi qu'un serveur participant à la gestion du système ait été soumis à des "scripts malveillants" occasionnant des dysfonctionnements et perturbant le système.

Un CUPPS est un système de gestion, au sein des aéroports permettant, visiblement, de gérer globalement des systèmes de compteurs, de zones et des embarquements...Ce système sert donc à gérer le bon fonctionnement d'un aéroport en respectant un certain nombre de régles et en s'interfaçant avec les informations et systèmes des compagnies aériennes...Un CUPPS semble être un système générique comme un progiciel de gestion pour SAP, par exemple. En voici un exemple dont on remarquera que, pour être un système à priori important dans la gestion d'une infrastructure, ce système peut faire appel à des produits sur étagères bien connus pour ses faiblesses...

Le fait qu'une attaque soit suspectée peut être attribué à l'existence d'éléments techniques (peu ou pas connus pour le moment) mais aussi à une question de contexte. Il semblerait ainsi qu'un CUPPS soit partie prenante de la sécurité des aéroports, un sujet dont vous avez forcément entendu parler alors que nous célébrons le souvenir du 11 Septembre.

Ainsi, il parait légitime que des enquêteurs s'intéressent à l'éventuelle compromission d'un système qui, s'il est affaibli, peut participer à la création de brèches dans la sécurité : contribuer à rendre plus facile l'accès à certaines zones d'un aéroport par exemple en vue d'une attaque plus complexe (une "APT" dans le réel en fait si mes lecteurs me pardonnent ce trait d'humour douteux).

Rappelons par ailleurs qu'un récent accord indo-américain mettait en avant, par la bande, l'intérêt et le caractère crucial des questions de sécurité pour les indiens. Notons aussi que les tendances récentes relatives à l'outsourcing sont peut-être de natures à pousser les autorités indiennes à être intraitables en matière de sécurité et d'informatique.

Source :

http://www.zdnet.com/blog/india/cbi-believes-cyber-attack-led-to-igi-airports-technical-problems-in-june/710

http://m.indianexpress.com/story_mobile.php?storyid=851365

Un nouveau traité avec du cyber !

A l'occasion du soixantième anniversaire de l'ANZUS, un traité de sécurité entre l'Australie et les Etats-Unis signé en 1951, les deux parties ont décidé de l'étendre au domaine de la coopération en matière de lutte informatique.

On ne connait pas encore les détails précis relatifs à ce traité mais on en saura peut-être plus lors de la prochaine visite du Président OBAMA en Australie.

Selon Reuters, c'est le premier accord de défense et de sécurité en-dehors de l'OTAN à intégrer ainsi la dimension "cyber"...Je reste légèrement dubitatif sur cette question eu égard à mes précédents articles sur les accords indo-américains, entre l'Inde et le Kazakhstan et USA-Canada.

Pour en savoir plus sur l'Australie et sa stratégie cyber, n'hésitez pas à vous référer à l'article de Si Vis Pacem publié sur AGS.

Pour en savoir plus sur les stratégies dans le cyberespace, n'hésitez pas à consulter le dernier ouvrage d'Alliance Géostratégique !

Source : http://www.theregister.co.uk/2011/09/15/cyber_crime_anzus/

Diginotar en faillite !

Un court billet aujourd'hui pour relayer l'information : l'entreprise Diginotar dont on parlait dans le billet précédent vient de mettre la clé sous la porte.

Comme le fait remarquer Sid, le nombre de boites ayant été définitivement fermées à cause d'une problématique de sécurité demeure rare. L'éditeur de sécurité F-Secure en propose d'ailleurs une liste.

COMODO, qui avait subi des désagrément comparables, semble pourtant toujours se "porter" assez bien.

Considérant l'augmentation de ce type de problèmes, la hausse des contraintes légales et l'attention grandissante qui y est portée, on peut se demander si le nombre de ces entreprises forcées à la faillite n'ira pas en grandissant.

Source : dans le texte

Pauvre SSL !

Il faut bien le dire, SSL n'est pas à la fête en ce moment...La compromission de l'autorité de certification DIGINOTAR a en effet fait beaucoup de bruits notamment parce que d'autres compromissions ont déjà eu lieu mais aussi parce que la société fournissait des certificats pour la PKI des autorités hollandaises.

Il semblerait par ailleurs que le hacker, ComodoHacker, qui se soit attaqué à ces entités soit identique...Cela dit, le Net étant ce qu'il est, il est difficile d'affirmer ici quoi que ce soit.

De plus, le "modèle" de sécurité qui existe derrière SSL est souvent remis en question. Un très bon article de Newsoft fait d'ailleurs le point sur cette question.

C'est donc dans un contexte difficile qu'intervient la publication d'une nouvelle information. En effet, une équipe de chercheurs en sécurité aurait réussi à trouver un moyen de décrypter les communications protégées par ce protocole.

Il s'agit d'une attaque tout à fait différente car dans le premier cas (diginotar), il y a usurpation des certificats afin de créer un faux sentiment de sécurité : la victime est persuadé d'aller sur un site de confiance mais, par un moyen tiers, en est détournée. Cependant, le site sur lequel elle arrive présente des similitudes graphiques et la présence du certificat n'alerte ni le navigateur, ni la victime et permet à l'attaquant de récupérer les informations.

Dans ce cas, il s'agit d'un cas potentiellement plus grave car il s'agit de décrypter les communications chiffrées entre un site légitime ET protégé et le navigateur du client. Pour cela, il suffirait d'insérer un bout de code javascript dans le navigateur de la victime ce qui ne parait pas infaisable dans le contexte du moment.

Il s'agit donc d'une attaque sur le fond cryptographique du protocole, ce qui est d'autant plus grave qu'elle n'était jusque-ici que théorique...Cela dit, l'article révèle aussi que si la démo devrait être fonctionnelle, l'implémentation parait tout de même assez difficile car le décryptage requiert du temps. De plus, ce "cheval de Troie cryptographique" semble ne fonctionner que sur la version 1.0 de TLS et pas les versions supérieures (qui sont cependant peu implémentées).

Ces problématiques techniques qui paraissent parfois un peu absconses sont pourtant au coeur des échanges sécurisées et de la confiance sur Internet. Elles ont donc, parfois, des conséquences plus stratégiques que vous pourrez découvrir dans le dernier numéro des cahiers de l'Alliance Géostratégique.

Source : dans le texte