octobre 22nd, 2010

Nos confrères de Network World relatent un récent exercice de sécurité mis en œuvre par le DHS, dans le but d’étudier la propagation des virus… et gaz contaminants dans le métro de Boston. Virus biologique bien sûr. Pour ce faire, l’équipe de scientifiques chargée de l’enquête a diffusé des gaz inoffensifs dans les couloirs du réseau de transport, et en a contrôlé la diffusion en fonction de l’heure, de la température, du mouvement des rames qui agissent tel des pistons pneumatiques et des configurations architecturales. Ceci dans le cadre de deux campagnes qui se sont déroulées en décembre de l’an passé et août de cette année, donc à des températures et taux hygrométriques différents. Deux paramètres importants lorsque l’on tente d’utiliser des vecteurs d’attaque bactériologiques.

Il semble que les résultats effectifs de cette étude soient tenus relativement secrets, puisque pas une ligne n’a été rédigée par nos confrères sur l’impact possible d’une telle attaque ou sur l’efficacité du procédé. Tout au plus les différentes titres abordant ce sujet se sont contentés faire un amalgame et de rappeler le hack de la carte d’accès à base de RFID (Myfare) qui défraya la chronique lors de la Defcon 16, plus en raison de la réaction brutale et irréfléchie du MBTA (métro de Boston) que de la difficulté technique de la faille de sécurité. L’on est très loin des considérations chimico-botuliennes de cet exercice du DHS… à moins que l’on puisse considérer l’art de sauter par-dessus un portillon ou resquiller le prix d’un ticket de métro comme les préliminaires d’une attaque terroriste.

Il reste cependant que cette simulation doit être classée dans la catégorie des attaques Scada, visant non pas à porter atteinte à l’intégrité du système de transport, mais utilisant le réseau de transport en question pour propager la menace. Les « bombes bactériologiques », aussi incontrôlables qu’un lâcher de virus informatiques, ont depuis toujours fasciné les armées du monde entier, qui ne cessent de tenter de les utiliser dans des milieux plus ou moins confinés afin d’en maîtriser la portée. On attribue la première guerre bactériologique aux Mongols qui, durant le siège de Caffa en Crimée, catapultèrent les cadavres de leurs soldats morts de la peste pour la propager à toute la population assiégée. Cette tentative fut, pense-t-on, à l’origine de la Grande Peste qui fit 20 millions de morts en Europe (tuant un habitant sur deux) entre 1348 et 1350. Plus près de nous, l’on peut se rappeler de l’attentat au gaz moutarde perpétré par la secte Aum dans le métro de Tokyo en 1995 avait fait 12 morts et 50 blessés graves, alors que l’attaque avait été circonscrite à une seule station et ne reposait pas sur l’utilisation de virus organiques.

Selon l’Economic India Times, la Défense du pays devrait un jour disposer de son propre système d’exploitation. Un noyau conçu par des ingénieurs du pays, reposant sur une structure précise et maîtrisée « closed source » et, l’on imagine, dépourvu de tout soupçon de « backdoor », de « clef de séquestre étrangère » ou plus simplement de failles de sécurité connues par tout le monde. Pour l’heure, l’équipe de développement ne compterait qu’une cinquantaine d’ingénieurs.

Si le projet arrive à terme, il est très probable que ce pays, probablement l’un des plus productifs en termes de développements logiciels, sera capable de déployer son « OS national » aussi bien sur l’intégralité de ses réseaux d’administration, de défense et d’infrastructures sensibles Scada, mais également, sous forme de noyau embarqué, sur la plupart des équipements de commutation, sans oublier les passerelles de protection périmétrique.

En France, pays pionnier dans la création et enterrement de noyaux à des fins non-agricoles, l’on a vu ainsi passer des Pick, des Mos, des Prologues, des Mercures qui furent toujours plus grands morts que vivants.