Foll Cédric

Cette période estivale est l’occasion de faire un petit bilan de quelques évolutions du monde de la cybersécurité, depuis que j’ai endossé, il y a une dizaine d'années, le rôle de rédacteur en chef de MISC. Des changements législatifs, l'émergence de nouvelles formes de menaces, quelques ruptures technologiques, l'évolution du profil des attaquants et les questions de souveraineté ont radicalement modifié le paysage de la cybersécurité et le métier des professionnels du secteur.

SMTP (Simple Mail Transfer Protocol) fait partie des protocoles historiques toujours actifs et continuant d’évoluer de la même manière que HTTP, tandis que d'autres, tels que NNTP, IRC ou plus récemment FTP, ont quasiment disparu faute d’avoir su s’adapter aux usages et besoins de sécurité. Pourtant, SMTP, au même titre que la plupart des autres protocoles internet créés à cette époque repose sur la confiance mutuelle. L’expéditeur spécifié au niveau du protocole peut parfaitement être usurpé sans aucun contrôle, il peut d’ailleurs être différent de celui spécifié dans l’enveloppe du message. Quant au destinataire spécifié dans l’enveloppe, il peut n’avoir aucun lien avec le destinataire réel. Bref, tout est déclaratif sans aucun contrôle pour le plus grand bonheur des premiers virus internet, des spammeurs ou aujourd’hui des campagnes de phishing.

Vincent Strubel, le nouveau directeur général de l'ANSSI, a récemment souligné lors du FIC l'importance d'un Cloud de confiance et de la qualification SecNumCloud pour faire émerger des acteurs nationaux et garantir la sécurité du patrimoine informationnel des entreprises et des administrations françaises.

Tout le monde s’était habitué à ce que les machines reconnaissent des images, la voix et des instructions passées à l’oral ou à l’écrit avec plus ou moins de succès, mais les exemples d’IA génératives accessibles au public étaient jusqu’à fin 2022 peu enthousiasmants. ChatGPT a marqué l'apparition auprès du public d’avancées développées depuis quelques années en matière d’IA, mais qui étaient restées dans les laboratoires.

L’USB s’est progressivement imposé comme l’unique connectique disponible sur les terminaux. Les ports série, parallèles puis plus récemment Thunderbolt ont progressivement disparu des postes de travail. Il est à parier que ce sera bientôt le tour des ports propriétaires, notamment sur les matériels Apple, ainsi que des connexions RJ45 qui ont disparu de la plupart des ordinateurs portables.

Une fois après avoir racheté Twitter, Elon Musk licencie plus de la moitié des effectifs. Un crash de la plateforme à brève échéance semblait probable. Peut-être que celui-ci se sera produit à l’heure où vous lirez ces lignes, mais le système a finalement plutôt bien tenu alors que l’activité sur la plateforme n’a pas fléchi et qu’un événement tel que la coupe du monde faisait craindre le pire. Elon Musk a certes fait fuir une partie des annonceurs avec ses errements sur les comptes certifiés à 8$, mais les utilisateurs sont toujours présents et l’exode annoncé vers Mastodon n'a clairement pas eu lieu. Beaucoup d’utilisateurs qui indiquaient rejoindre le mammouth continuent finalement d’alimenter leur compte Twitter et se contentent de crossposter sur les deux plateformes.

Même si je n’ai plus participé au salon monégasque automnal depuis plusieurs années, je ne rate jamais la lecture du discours que Guillaume Poupard donne à cette occasion. Une des annonces a été la création d’une startup d'État, « Mon Service Sécurisé », visant à aider les structures de taille intermédiaire à sécuriser leurs services numériques. L’ANSSI fait le constat que si la maturité des grandes administrations et entreprises a largement progressé, il en est tout autre des organisations de taille plus modeste. Il suffit d’ailleurs de lire les titres de presse égrenant les hôpitaux, collectivités, universités ou écoles dont le système d’information est bloqué suite à une attaque pour se convaincre de l’inadéquation de leur sécurité face aux menaces. Et ce n’est certainement que la partie émergée de l’iceberg, les vols de données sans demande de rançon sont par nature discrets et pas forcément détectés par les administrations et entreprises ciblées.

Lorsque les premiers objets connectés ont commencé à envahir nos maisons, nous avons été nombreux à essayer de comprendre leur fonctionnement et regarder sous la capot. Et force est de constater que la sécurité n’était clairement pas le point fort de la plupart de ces objets. Si certains pouvaient résister à quelques attaques, c’était dû à l’usage de protocoles exotiques ou propriétaires rendant plus complexe le travail du pentester non outillé pour taquiner les ondes...

À l’époque où j’ai commencé l’informatique, lorsqu’une faille de sécurité était découverte sur une brique applicative, le passage des mises à jour sur les serveurs se faisait souvent à renfort de ./configure;make;make install. Certains vieux barbus restent nostalgiques de l’époque dorée où recompiler sendmail chaque semaine sur autant de distributions Linux qu’ils géraient de serveurs constituait le cœur de leur travail. Pour nos Bastard Operator From Hell, la valeur professionnelle se mesurait au nombre d’options de compilations connues sur gcc et leur capacité à modeler chaque serveur à leur image en s’éloignant au maximum des standards. Si certains regardent de haut les plus jeunes qui ne savent même plus recompiler un noyau, il convient de rappeler que le nombre de serveurs gérés par un admin sys a souvent été multiplié par un facteur dix à cent en vingt ans.