L’incident CrowdStrike offre aux adversaires une feuille de route des vulnérabilités américaines

Qu’est-il arrivé à la résilience numérique ?

• Cause de la catastrophe numérique

  • L’effondrement numérique qui a touché vendredi des aéroports, des hôpitaux et des chaînes de télévision a été provoqué par un bug dans une mise à jour logicielle
  • Il ne s’agissait pas d’une action de forces hostiles, mais d’un incident qui a révélé les vulnérabilités des États-Unis

• Pourquoi la restauration est-elle difficile ?

  • L’administration Biden simulait des scénarios d’attaque menés par des hackers russes et chinois
  • Mais cet incident-ci est dû à une simple erreur humaine
  • Dans des systèmes réseau complexes, une petite erreur peut provoquer un problème majeur

• Réaction des cybercombattants

  • Ils se sont dits soulagés qu’il ne s’agisse pas d’une attaque de niveau étatique
  • Des malwares comme Volt Typhoon, lié à la Chine, sont difficiles à détecter et encore plus difficiles à supprimer
  • Cet incident révèle une nouvelle fois les limites de la cyberrésilience

• Coopération entre le gouvernement et le secteur privé

  • Ces dernières années, les États-Unis ont commencé à traiter sérieusement les enjeux de cybersécurité
  • Des agences gouvernementales comme le FBI, la NSA et la CISA coopèrent avec des entreprises privées pour partager les vulnérabilités et alerter sur les hackers
  • Le président Biden a mis en place un conseil d’examen de la cybersécurité chargé d’analyser les incidents majeurs

Le résumé de GN⁺

• Cet incident est un effondrement numérique provoqué par une simple erreur dans une mise à jour logicielle
• Il met en lumière les vulnérabilités des systèmes réseau complexes et montre les limites de la cyberrésilience
• La coopération entre les pouvoirs publics et le secteur privé est essentielle, et un système d’examen des incidents majeurs est nécessaire
• Parmi les produits ou projets aux fonctions similaires figurent des logiciels de cybersécurité comme CrowdStrike

[GN⁺]

Réactions sur Hacker News

• Certains estiment que si un système d’exploitation a fréquemment besoin de correctifs de sécurité, il ne devrait pas être utilisé pour l’infrastructure

  • Par exemple, certains disent avoir vu des photos d’écrans d’aéroport affichant un BSOD
  • La sécurité n’est pas une fonctionnalité qu’on peut ajouter après coup, elle doit être intégrée dès le départ
  • Il existe tout un secteur qui tente d’ajouter de la sécurité à Windows, mais cela reste toujours inefficace

• Des doutes sont soulevés sur la résilience numérique

  • Certains se disent convaincus qu’une feuille de route des vulnérabilités américaines est en train d’être élaborée
  • Le problème vient du fait qu’on ne renforce pas les vulnérabilités à cause du coût et de la commodité
  • Lors du lancement de Windows 95, Microsoft a mis l’accent sur la facilité d’usage sans prendre la sécurité en compte
  • Par la suite, les problèmes de sécurité ont restreint la liberté des utilisateurs, ce qui a provoqué leur résistance

• Certains estiment que CrowdStrike a imposé à la civilisation occidentale un test grandeur nature de reprise après sinistre et de résilience

  • Un seul employé malveillant pourrait détruire tous les ordinateurs
  • Les systèmes techniques devraient être plus résilients face à l’erreur ou au piratage d’un fournisseur unique
  • Des mécanismes de récupération automatique pourraient être mis en place

• Il y a là un secret connu depuis des décennies

  • Les principaux éditeurs d’OS et de navigateurs publient en permanence des correctifs
  • La chaîne d’approvisionnement logicielle est si vaste qu’elle est impossible à auditer
  • Les logiciels de « sécurité » élargissent la surface d’attaque

• Certains estiment que pour une entreprise non américaine, utiliser les services de CrowdStrike est risqué

  • Le FBI pourrait, au moyen d’un mandat secret, contraindre CrowdStrike à injecter une DLL

• Certains pensent qu’en cas de guerre, tout cesserait de fonctionner en moins de 8 heures

  • Il faudrait revenir au cash et aux procédures papier, mais ce serait douloureux et lent

• Une panne informatique mondiale de grande ampleur a touché les entreprises utilisant des machines Windows avec CrowdStrike installé

  • Certains se demandent si cet incident servira de leçon

• Certains estiment qu’il faut davantage de diversité dans l’infrastructure informatique

  • Si un plus grand nombre de machines critiques utilisaient d’autres OS, les dégâts seraient limités

• Certains s’opposent à l’avis de Kent Walker de Google selon lequel l’IA aidera à identifier les vulnérabilités et à les corriger