DOGE en tant que cyberattaque d’État

La cyberattaque d’État qu’est DOGE

• Ces dernières semaines, le gouvernement américain a subi l’une des violations de sécurité les plus graves de son histoire. Elle n’a pas été causée par une cyberattaque sophistiquée ni par de l’espionnage étranger, mais par un ordre officiel émanant d’un milliardaire dont le rôle au sein du gouvernement n’est pas clairement défini.

• Des personnes liées au nouveau Department of Government Efficiency (DOGE) ont accédé aux systèmes informatiques du Trésor américain, obtenant la capacité de collecter et de contrôler les données relatives à environ 5,45 billions de dollars de paiements fédéraux annuels.

• Du personnel non autorisé de DOGE pourrait avoir accédé à des données confidentielles de l’Agence américaine pour le développement international et les avoir copiées ; les dossiers de l’Office of Personnel Management (OPM) ainsi que ceux de Medicare et Medicaid ont également été compromis.

• Les noms d’employés de la CIA ont été envoyés, partiellement caviardés, à un compte e-mail non officiel, tandis que du personnel de DOGE a saisi des données du ministère de l’Éducation dans un logiciel d’IA et a également commencé à travailler au département de l’Énergie.

• Le 8 février, un juge fédéral a bloqué l’accès de l’équipe DOGE aux systèmes du Trésor, mais comme les données ont peut-être déjà été copiées et des logiciels installés ou modifiés, la solution reste incertaine.

• Les systèmes auxquels DOGE a accédé constituent des éléments centraux de l’infrastructure nationale, et ceux du Trésor contiennent le schéma technique des flux financiers du gouvernement fédéral.

• Cette affaire est sans précédent : des opérateurs extérieurs, disposant d’une expérience limitée et d’une supervision minimale, travaillent ouvertement tout en obtenant un accès administratif de plus haut niveau aux réseaux les plus sensibles des États-Unis et en y apportant des modifications.

• Le point le plus préoccupant n’est pas seulement l’octroi des accès, mais le démantèlement systématique des mesures de sécurité. Cela revient à supprimer les protocoles standards de réponse aux incidents, les mécanismes d’audit et de traçabilité des changements, pour les remplacer par des opérateurs peu expérimentés.

• Les systèmes informatiques du Trésor ont été conçus selon des principes comparables à ceux des protocoles de lancement d’armes nucléaires, afin qu’aucun individu seul ne dispose d’une autorité illimitée. C’est le principe de sécurité de la « séparation des tâches », un garde-fou essentiel contre la corruption et les erreurs.

• Des personnes liées à DOGE ont obtenu l’autorisation de modifier les programmes centraux des ordinateurs du Trésor, d’accéder à des clés chiffrées et d’altérer les journaux d’audit qui enregistrent les changements du système.

• Les modifications apportées à ces systèmes ne compromettent pas seulement leur fonctionnement actuel, elles laissent aussi des vulnérabilités qui pourront être exploitées lors de futures attaques.

• Trois grands domaines de sécurité sont menacés : la manipulation des systèmes, l’exposition des données et le contrôle des systèmes.

• Pour corriger ces vulnérabilités, il faut révoquer les accès non autorisés et rétablir des protocoles d’authentification appropriés ; une surveillance complète des systèmes et une gestion rigoureuse des changements doivent également reprendre.

• Ce n’est pas une question politique, mais une question de sécurité nationale, car des services de renseignement étrangers pourraient profiter du chaos et de cette nouvelle instabilité pour voler des données américaines et installer des portes dérobées.

[GN⁺]

Avis sur Hacker News

• L’inquiétude à l’idée qu’un acteur hostile ou un pays ennemi puisse collecter des données et avoir l’occasion de comprendre comment attaquer l’État est légitime
  • Il y a une différence entre des responsables élus qui agissent de façon stupide ou peu sûre et des personnes non élues qui peuvent le faire sans aucun contre-pouvoir
  • Je respecte l’avis de Bruce Schneier et je recommande ce post afin d’éviter que tous les posts sur ce sujet soient signalés
• Le raisonnement de Schneier peut comporter des erreurs
  • Des rapports affirment qu’« ils entraînent des logiciels d’IA sur ces données sensibles »
  • Exécuter de l’inférence n’est pas la même chose qu’entraîner un modèle
  • Ce post ne devrait pas être signalé, car cela va à l’encontre de la liberté d’expression
  • Beaucoup de gens sur HN accordent de la valeur à ses analyses
  • Il vaut mieux exprimer un désaccord dans les commentaires que tenter de faire disparaître les opinions opposées
• Si l’État survit à ce chaos, le logiciel devra être réécrit depuis zéro
  • Sinon, il sera impossible de savoir quels acteurs, étrangers ou nationaux, détiennent une connaissance du système
• Schneier ne devrait pas être signalé
  • J’attendais depuis plusieurs jours une évaluation calme et globale des risques en cybersécurité
  • C’est ce qui s’en rapproche le plus parmi ce que nous pouvons obtenir
• Il faut reconnaître le principe de la clôture de Chesterton
  • La « clôture de Chesterton » est le principe selon lequel aucune réforme ne devrait être menée avant d’avoir compris les raisons de l’état existant
• Les actes continueront jusqu’à ce que des conséquences soient imposées
  • Ces conséquences doivent être législatives ou juridiques
• Si Dieu le veut, l’État administratif sera mis à genoux par les responsables élus chargés de le contrôler
• Les entreprises sont la quatrième branche officieuse du gouvernement
  • Si le marché boursier s’effondre, elles disparaîtront
  • Le robinet des dons de campagne et des lobbyistes en faveur des politiciens se fermera
  • La panique et le leadership changeront
  • Citizens United permet à l’argent opaque, d’où qu’il vienne, de financer indéfiniment les campagnes, mais cela ne suffira pas à compenser un effondrement du marché boursier causé par une perte de confiance dans le dollar américain et dans les marchés
• Article connexe : « Le Trésor a été averti que l’accès de DOGE était signalé comme une “menace interne” »
  • L’évaluation menée par Booz Allen Hamilton a eu lieu avant la nomination d’un allié d’Elon Musk comme superviseur d’un système de paiement sensible
• Le prestataire gouvernemental Booz Allen Hamilton a déclaré avoir licencié vendredi soir le sous-traitant qui avait préparé le rapport
  • Il s’agissait d’un projet de rapport affirmant que l’accès du Department of Government Efficiency d’Elon Musk au système de paiement du Trésor créait un « risque sans précédent de menace interne » et devait être interrompu immédiatement