Débranchez Internet

• Un incident a eu lieu dans lequel une société de sécurité « virtuelle » appelée « ClownStrike » a mis hors service la majeure partie de la base installée Windows avec une mise à jour de contenu insuffisamment testée
• Beaucoup de gens seront à blâmer dans une telle situation, mais la plupart répètent l’argument selon lequel « ce type de systèmes ne devrait pas être connecté à Internet »

Considérations pratiques sur le fait de ne pas se connecter à Internet

• Les ordinateurs d’entreprise modernes remplissent presque entièrement un rôle d’appareils de communication
• Sans interconnexion au-delà des frontières organisationnelles et géographiques, il est difficile de créer de la valeur
• Les systèmes de réservation et de planification des compagnies aériennes, par exemple, sont par nature des systèmes de communication et ne peuvent pas fonctionner sans réseau

Importance de la connexion réseau pour la maintenance et l’exploitation

• Même pour les systèmes qui n’exigent pas de communication en temps réel, la connexion réseau est très utile pour la maintenance, la supervision et l’adaptation aux évolutions des besoins métier

Les différentes significations d’un système non connecté à Internet

• Il existe plusieurs formes de non-connexion à Internet, et sans définition claire il est difficile d’avoir une discussion sérieuse
• Il existe divers scénarios, allant de l’absence de connexion réseau sur un appareil isolé jusqu’aux solutions cross-domain certifiées par la NSA
• Il existe aussi plusieurs formes de connexion Internet restreinte, comme les WAN privés, les tunnels chiffrés ou les VPC privés AWS

Les contraintes d’exploitation des systèmes sans connexion Internet

• Presque tous les environnements logiciels sont conçus en partant du principe qu’une connexion Internet existe, ce qui rend tout plus difficile en environnement hors ligne
• Mises à jour de l’OS, gestionnaires de paquets, certificats TLS, licences cloud : tout cela entraîne du travail supplémentaire et des coûts additionnels
• Dans bien des cas, les interactions complexes avec les éditeurs de logiciels d’entreprise font fortement augmenter le temps et les coûts

Les environnements hors ligne sont rares

• Les environnements hors ligne dans leur forme la plus stricte se limitent à la défense, aux services de renseignement et à certaines banques
• Ces secteurs sont généralement réputés pour leurs coûts et délais excessifs
• Même dans une forme plus faible, on ne les voit guère que dans des secteurs très réglementés ou dans certaines entreprises particulièrement sensibles à la sécurité

Propositions d’amélioration

• Appliquer des politiques réseau aussi restrictives que possible (les clouds comme AWS facilitent cela)
• Développer des logiciels en tenant compte des environnements hors ligne (minimiser les connexions externes, prévoir des solutions de remplacement pour les endpoints, etc.)
• Repenser TLS et d’autres hypothèses implicites, par exemple en utilisant le magasin de confiance du système et en résolvant les dépendances au moment du déploiement
• Docker est un exemple paradoxal qui rend la gestion des environnements hors ligne plus difficile

L’avis de GN⁺

• L’affaire CrowdStrike est un problème sans lien avec la connexion à Internet. Même en environnement hors ligne, les mises à jour de sécurité restent indispensables
• Cependant, dans la pratique, les mises à jour hors ligne ont tendance à être retardées, ce qui peut paradoxalement aussi contribuer à la sécurité
• La coupure réseau est séduisante sur le plan conceptuel, mais sa mise en œuvre réelle est très difficile. L’industrie logicielle devra mieux s’y préparer à l’avenir
• Il faut aussi reconnaître les limites fondamentales de l’environnement IT moderne, construit sur l’hypothèse d’une connexion Internet, et chercher d’abord des améliorations réalisables comme le renforcement des politiques réseau
• Dans les domaines exigeant un niveau de sécurité extrême, comme les infrastructures critiques ou la défense, il peut valoir la peine d’envisager une séparation physique des réseaux malgré les difficultés

[GN⁺]

Commentaires sur Hacker News

• En tant que personne travaillant dans la sécurité, les systèmes et l’exploitation, je constate que la plupart des gens font mal leur travail, et que l’ensemble du secteur est organisé pour l’encourager

  • Lors du déploiement de signalétique numérique, l’accès réseau ne devrait être autorisé qu’à l’adresse IP du serveur, et seuls des mises à jour signées ainsi que des connexions avec certificate pinning devraient être acceptées
  • Les appareils IoT sont souvent peu sécurisés, avec des mots de passe par défaut et de nombreux ports ouverts
  • La plupart des entreprises ne font pas bien leur travail, et suivre les « meilleures pratiques » ou les recommandations des fournisseurs ne signifie pas faire les choses correctement

• En Suède, il existe un réseau privé appelé Sjunet, isolé d’Internet, utilisé par les prestataires de santé

  • Sjunet peut être vu comme un environnement air gap à l’échelle de tout un secteur, ce qui améliore la sécurité pour un coût limité

• En tant qu’ingénieur en contrôle-commande, les machines utilisant des câbles Ethernet ne devraient pas être connectées à Internet

  • Dans les usines de fabrication, les systèmes PLC et HMI utilisent Ethernet, mais ne sont pas exposés à Internet
  • Les anciennes machines comme les soudeuses par résistance n’ont pas besoin de systèmes de sécurité modernes

• Je ne suis pas d’accord avec l’idée qu’il ne faut pas isoler les systèmes par air gap

  • Il ne faut pas adopter des pratiques de développement centrées sur Internet
  • Qu’une machine IRM récupère des dépendances JS depuis NPM est une aberration

• Lorsqu’on exploite un réseau privé, les services internes n’auront probablement pas de certificats TLS émis par une autorité de certification populaire

  • On peut perdre énormément de temps à cause des problèmes de trust store du JRE

• Après avoir utilisé une borne McDonald’s, j’ai testé des équipements ailleurs

  • Les bornes d’une aire de restauration donnaient un accès complet à Internet, et il était possible d’y télécharger des logiciels malveillants
  • Les bornes de parking n’étaient pas durcies
  • L’affichage interactif d’une marque de bière ne pouvait pas faire beaucoup de dégâts, mais j’y ai laissé un message « Buvez de l’eau »

• La conclusion principale n’est pas que les systèmes ne doivent pas être connectés à Internet

  • Les systèmes ne devraient pas autoriser de flux réseau sortants
  • Sur de nombreux produits logiciels d’entreprise, on peut désactiver les mises à jour automatiques
  • On peut déployer les mises à jour progressivement afin de minimiser les problèmes

• Hamnet permet partiellement le routage Internet et utilise le spectre radioamateur

  • L’usage commercial y est interdit

• Les systèmes de réservation des compagnies aériennes doivent être connectés au réseau, mais beaucoup d’équipements n’ont pas besoin d’être en ligne

  • Il y a trop d’appareils connectés à Internet, comme les réfrigérateurs, les bouilloires ou les portes de garage
  • Toutes les mesures de sécurité créent une forme de gêne pour l’utilisateur

• Certains logiciels ont perdu en popularité et ne causent plus vraiment de dommages

  • Pourtant, il existe encore de nombreuses boîtes noires et logiciels propriétaires, avec des capacités de reprise après sinistre insuffisantes