Sécurité, obcurité et esprits embrumés
Remarqué par Bruce Schneier, commenté par Steve Bellovin, mais surtout révélé par le Telegraph, l'histoire de ce jeune geek polonais qui, pour se divertir, s'est mis à confectionner une « télécommande de TV modifiée » (sic) dans le but d'activer les aiguillages de tramway de Lodz. La pagaille qui s'en est suivi fut redoutable. Bellovin fait remarquer qu'utiliser des outils aussi primitifs qu'une télécommande infra-rouge pour piloter une infrastructure de transport -tout en priant Hermes, le dieu des voyageurs et des cravates en soie que personne ne découvrira le procédé-, relève de la plus stupide application du principe de la « sécurité par l'obscurantisme ». Et de conclure fort justement que le principe en question ne fonctionne tout simplement pas lorsqu'il s'agit de sécuriser une infrastructure Scada (Supervisory Control and Data Acquisition, ou télégestion des grands réseaux : eau, électricité, gaz, transports, processus chimiques...). En France, une telle révélation aurait pour conséquence immédiate le déclanchement d'une vague de canulars potachesque provoquée à coup de télécommandes Pronto et de PDA transformés en télécommandes universelles. Le Tram de Petite Ceinture détourné et celui de Saint-Denis transformé en rollercoaster fou, ca nous ferait de belles manchettes de journaux. Mais le bon sens est parfois la chose la moins souvent partagée. Une grande ville de l'Est de la France, il y a quelques années de cela, avait constellé ses carrefours de panneaux d'affichages municipaux électroniques. Pour y inscrire des messages, il suffisait d'en dactylographier le texte à l'aide d'un... Minitel. Il n'a pas fallu longtemps pour qu'un autre « jeune geek Français » découvre le numéro d'accès au réseau et diffuse quelques remarques de potache bien senties sur l'ensemble du réseau d'information citadin. La première parade, pour ne point avoir à refondre le système de télécommunication, fut de « retourner » les modems des Minitels (autrement dit de les faire fonctionner en 75/1200 bauds, plutôt qu'en 1200/75). Par chance, les jeunes geek étaient peut-être un peu trop jeunes et pas assez geek, et le procédé permit de tenir bon en attendant que soit développé une véritable couche de sécurité. De nos jours, ce stratagème aurait peu de chances de résister plus de 24 heures. La sécurité par l'obscurantisme ne peut effectivement s'appliquer là ou commencent les services à la communauté. Il existe pourtant des défenseurs de cette sécurité par l'obscurantisme qui, à grand renforts de sophismes, tentent de défendre cette attitude si chère à nos banquiers notamment. Daniel Miessler, dont les propos sont généralement fort intéressants, se fourvoie pourtant en tentant de défendre cette idée abracadabrante. Miessler, par un maladroit artifice de réthorique, tente de confondre la notion de camouflage et d'obscurité. Le camouflage d'un tank, explique-t-il, ne remet pas en cause son invincibilité et sa résistance aux assauts de tous types. Pourtant, ce camouflage ne peut qu'améliorer l'efficacité de ce vecteur d'attaque terrestre. Certes. Mais le principe même de la « security by obscurity », c'est d'employer le camouflage comme unique bouclier destiné à masquer d'éventuels défauts. Il y a tout de même une marge. Un système peu fiable, qu'il soit masqué ou non, demeure un système peu fiable. Il ne peut se comparer à une stratégie de défense soigneusement élaborée, qui sera, par la suite, masquée aux regards. Le camouflage n'est jamais qu'un moyen supplémentaire de défense passive, qu'il serait très risqué de confondre avec une protection active. Ce n'est pas parce qu'un administrateur réseau a isolé son architecture d'une ceinture complexe de firewalls, d'IDS/IPS, d'antivirus, de détecteurs de présence physique ou logique, de procédures et de politiques de contrôle d'accès, qu'il doit pour autant clamer haut et fort son plan de numérotation IP ou la marque et la référence de ses outils de protection. On ne sait jamais ce que l'avenir nous réserve.
