Escalade malsaine

Voici un billet dont j’avais entamĂ© la rĂ©daction immĂ©diatement aprĂšs mon dernier post sur les soucis d’aĂ©roports, de disques durs et d’autres futilitĂ©s pour les sĂ©dentaires non informaticiens. Je m’Ă©tais rendu compte que vu les derniers Ă©vĂšnements dont j’esquissais briĂšvement les caractĂ©ristiques, il serait nĂ©cessaire de consacrer un billet complet Ă  tout cela.

Seulement voilĂ  ! Avec tous mes projets, travaux, articles et autres activitĂ©s, je n’ai pas eu une minute pour finir ma petite prose et la mettre en ligne rapidement. Pire encore, le blog de TaoSecurity a publiĂ© en gros la mĂȘme chose, donc mes propos ne sont plus vraiment en primeur, mĂȘme si je les avais rĂ©digĂ©s avant lui !

Pour compenser, je vais tout de mĂȘme parler de plusieurs petites choses intĂ©ressantes en complĂ©ment.

Introduction

Ce billet est sans doute polĂ©mique. Je ne cherche pas Ă  provoquer, mais il y a quand mĂȘme des points sur lesquels j’ai des inquiĂ©tudes et qui mĂ©ritent rĂ©flexion. Par coĂŻncidence, la semaine derniĂšre – une fois n’est pas coutume – je me suis retrouvĂ© Ă  regarder la tĂ©lĂ©vision en pleine nuit, ne souhaitant pas dormir. Me voilĂ  donc devant Arte Ă  1h30 du matin, face Ă  une Ă©mission fort intĂ©ressante traitant avec force dĂ©tails la raison pour laquelle peu de personnes mĂȘme brillantes n’ont pas vu venir la seconde guerre mondiale, malgrĂ© ce que son instigateur avait pourtant marquĂ© noir sur blanc. Tout Ă©tait Ă©crit… Mais vu que cet ouvrage est censurĂ© dans de nombreux pays, difficile pour les historiens et les prospectivistes de faire correctement leur travail. De plus la veille j’avais vu l’excellent film La vie des autres, une histoire de la Stasi et de ses consĂ©quences, ce qui a contribuĂ© Ă  renforcer mon ressentiment.

La vision de ce documentaire ne m’a pas laissĂ© indiffĂ©rent, puisque je venais le soir mĂȘme de prendre connaissance puis de lire en dĂ©tail les diffĂ©rents appels d’offres de l’armĂ©e amĂ©ricaine concernant leur nouvel armageddon numĂ©rique, j’en parle plus loin. Je me risque en tout cas ici Ă  faire un parallĂšle pouvant ĂȘtre discutĂ© et critiquĂ© : Le rĂ©armement massif de Berlin en 1936 a laissĂ© beaucoup de monde indiffĂ©rent. Et pourtant de nombreux pays se rĂ©arment en ce moment – ce qui ne semble manifestement pas ĂȘtre le cas de la France, soit dit en passant. Tout comme la Chine qui connaĂźt un accroissement phĂ©nomĂ©nal de ses forces armĂ©es depuis quelques annĂ©es et qui inquiĂšte sincĂšrement Washington depuis 2007, l’armĂ©e amĂ©ricaine continue Ă  s’Ă©quiper en technologies de toutes nature.

Sur le plan qui m’intĂ©resse plus particuliĂšrement, Ă  savoir la guerre numĂ©rique, les travaux de recherche et d’Ă©quipement vont bon train. Le Pentagone avait dĂ©jĂ  crĂ©Ă© en 2006 une branche de son armĂ©e de l’air spĂ©cialisĂ©e dans les combats numĂ©riques, le Cyber-Command, mais depuis peu les chantiers avancent Ă  grand pas. Tiens, vous pouvez mĂȘme directement aller zieuter leur site pour juger.

En tout cas, quatre Ă©vĂšnement ont dĂ©frayĂ© la chronique ces derniĂšres semaines : La dĂ©claration du secrĂ©taire du Homeland Security Department au sujet du projet Cyber-Manhattan, un article paru dans la presse militaire faisant Ă©tat du souhait de l’armĂ©e amĂ©ricaine de s’Ă©quiper d’un botnet militaire, un appel d’offres concernant l’Ă©tude et la mise en place d’une telle arme, et un second appel d’offres concernant la mise en place d’un simulateur de batailles numĂ©riques Internet.

1. Lancement du projet Cyber-Manhattan

Les mauvaises langues soutiendront que c’est peut-ĂȘtre dans le but d’intoxiquer les ennemis que l’information est publique, mais Michael Chertoff, secrĂ©taire du Homeland Security Department – organisme chargĂ© notamment de protĂ©ger les infrastructures nationales critiques depuis le 11 septembre – a bel et bien dĂ©clarĂ© que le Gouvernement amĂ©ricain avait lancĂ© un chantier de grande envergure (probablement aussi important que le projet Manhattan concernant la mise au point en secret de la bombe atomique). Le CongrĂšs ayant validĂ© un budget de 150M$ pour 2008 qui sera portĂ© Ă  192M$ en 2009. Ce n’est donc Ă  priori pas de l’intoxication ! D’ailleurs le Department of Homeland Security a publiĂ© les informations correspondantes ici, on y parle notamment d’exercices de bataille numĂ©rique (CyberStorm II), de dĂ©tection des attaques (programme Einstein) etc… Instructif ! Le plus intĂ©ressant est le budget global que le Gouvernement amĂ©ricain consacre Ă  la sĂ©curitĂ© des systĂšmes d’information … 7.2 milliards de dollars pour 2008, et 6.6 milliards pour 2009. Et oui, tout ça !

A titre anecdotique, la NSA est partie prenante dans ce projet, puisque depuis janvier dernier, sur ordre de G. Bush, elle effectue la mise sous surveillance de la totalitĂ© des systĂšmes gouvernementaux, ainsi que de toutes les requĂȘtes des moteurs de recherche, dont bien Ă©videmment Google et les autres principaux (ils sont amĂ©ricains, je vous rappelle au cas ou vous l’auriez oubliĂ© !). Tout cela pour prĂ©venir des attaques terroristes paraĂźt-il.

2. L’article du Colonel Charles W. Williamson III

Ca, j’en ai parlĂ© dans mon dernier billet. La revue Armed Forces Journal fait Ă©tat des vues apocalyptiques d’un colonel amĂ©ricain, qui dĂ©clare entre deux idĂ©es dĂ©lirantes qu’il faut que l’AmĂ©rique se dote d’un botnet militaire. L’article en question vaut son pesant de cacahuĂštes, et a provoquĂ© nombre de rĂ©actions. Notons en synthĂšse que cet homme souhaite dĂ©ployer un super rĂ©seau d’ordinateurs sous-contrĂŽle de l’armĂ©e pour pouvoir lancer des attaques dĂ©fensives et offensives. IdĂ©e totalement farfelue du moins sous la forme exprimĂ©e dans l’article. TaoSecurity reprend quelques points et les dĂ©monte totalement ; je partage ce point de vue en totalitĂ© !

Le plus amusant est la fin de l’article, ou il explique aux sceptiques sa vision des choses… c’est tellement bon que je vous en livre quelques passages, (vous verrez, ça dĂ©mĂ©nage !) :

– Nos ennemis sauront que c’est l’Amerique qui les ont attaquĂ©s ?

– PrĂ©cisĂ©ment ! Nous voulons que nos adversaires potentiels sachent que cette arme fonctionne et qu’elle sera utilisĂ©e lorsque nĂ©cessaire. En pratique, nous devrons faire des dĂ©monstrations en rĂ©el sur Internet afin de montrer des signaux que les services de renseignement Ă©trangers pourront observer. Bien entendu nous ferons cela sans leur dĂ©voiler nos vrais secrets.

– Nous pourrions tuer quelqu’un dans un hĂŽpital ou arrĂȘter des systĂšme de secours critiques ?

– Le risque d’occurence est faible. Ces services ont dĂ©jĂ  des plans de secours en cas d’urgence, y compris en cas de coupures d’Ă©lectricitĂ© et de communication qui seraient provoquĂ©es en cas de dĂ©ni de service. De plus, la prĂ©paration des attaques ciblĂ©es pourra se faire comme dans le monde physique en Ă©vitant certaines cibles critiques.

– Les attaques par force brute ne sont pas Ă©lĂ©gantes !

– Qui s’en soucie ? Les USA ont rĂ©ussi des bombardements massifs contre les Talibans en Afghanistan. Toutes les bombes n’ont pas besoin d’ĂȘtre guidĂ©es au laser. L’attaque par force brute est Ă©lĂ©gante en soi.

– On devra donc lancer une nouvelle course aux armements ?

– Nous y sommes dĂ©jĂ , et nous perdons. Le gĂ©nĂ©ral James Cartwright a tĂ©moignĂ© en 2007 que la Chine avait la capacitĂ© la plus importante au monde en termes d’attaques par dĂ©ni de service[…]

Sympathique article, n’est-il pas ? En tout cas nous sommes bel et bien partis dans une notion d’escalade, d’oĂč le titre de mon billet.

3. le projet « Dominant Cyber Offensive Engagement »

Toujours dans mon dernier billet, j’Ă©voquais que l’ArmĂ©e de l’air avait justement lancĂ© un appel d’offres visant Ă  mettre Ă  exĂ©cution ce que je viens d’Ă©voquer Ă  l’instant ! Son doux nom « Dominant Cyber Offensive Engagement and supporting Technology » (rien que ça!), ne laisse rien prĂ©sager de rassurant. Nous ne sommes donc pas non plus dans la paraoĂŻa et la conspiration mais bel et bien dans la rĂ©alitĂ©, puisque les 3 millions de dollars pour 2008 et les 8 millions pour 2009 sont en effet prĂ©vus clairement.

Je ne dĂ©taille pas le document, vous pourrez le lire en dĂ©tail, mais il s’agit en gros d’appliquer la tactique des « 5 D » (Deceive, Deny, Disrupt, Degrade, Destroy, rien que ça !) au niveau des ordinateurs. Pour cela, rien de plus simple : crĂ©er un rĂ©seau de prise de contrĂŽle furtif des ordinateurs, capable de s’infiltrer au vu et au nez de tout le monde sur Internet et ailleurs, capable d’exfilter secrĂštement des informations contenues sur les ordinateurs en question, et capable de mener des attaques. Bref, un vrai bonheur… Auriez vous tellement hĂąte que vos ordinateurs soient infectĂ©s par une telle monstruositĂ© qui irait tĂ©lĂ©charger des images pĂ©dophiles et les derniers Divx Ă  votre place en peer-to-peer, comme ça vous auriez votre abonnement Internet suspendu et vous partiriez directement en prison sans passer par la case dĂ©part et toucher les 20000$. Fiction ou rĂ©alitĂ© ? En tout cas, tout ce que je viens de dĂ©crire vient directement du dĂ©tail de l’appel d’offres, y compris les « effets D5 ». A vous de juger !

4. Un simulateur grandeur nature d’Internet… et de ses utilisateurs !

Je vous laisse Ă©galement dĂ©couvrir l’extraordinaire appel Ă  propositions publique faite par la DARPA et visant ni plus ni moins qu’Ă  simuler Internet en grandeur nature. Et je ne parle pas que de simuler des rĂ©seaux et des PC, mais aussi les utilisateurs lambda qui font du peer to peer, du word et du gmail, les rĂ©seaux d’entreprises et gouvernementaux et les hordes d’attaquants qui s’acharnent avec des botnets et des DDoS.

Et comme je suis sympa je vous livre les 48 pages du dĂ©tail de la chose au format Word, qui mĂ©rite sincĂšrement la lecture (ne serait ce que pour voir comment l’armĂ©e fait ses appels d’offres).

C’est un peu long Ă  lire mais ça vaut bien un roman car on se croirait en pleine science fiction. A titre d’exemple l’une des conditions de sĂ©lection du prestataire (page 20, paragraphe « Phase 3.3.3 Go/No go metrics » pour les incrĂ©dules) sera sa capacitĂ© Ă  :

  • reconstituer l’infrastucture de tests en moins de 15 minutes (je rappelle qu’on parle de simulation d’Internet, pas de rĂ©seau de 3 routeurs !!),
  • reconfigurer l’ensemble des systĂšmes en moins d’une heure,
  • dĂ©ployer 10’000 (!) systĂšmes hĂ©tĂ©rogĂšnes en moins de 2 heures d’aprĂšs les demandes de configuration et les schĂ©ma rĂ©seaux fournis par la Darpa (lĂ , il va falloir qu’ils m’expliquent comment ils vont faire, Ă  moins d’avoir des disques durs qui tournent Ă  60000 tours/mn et des rĂ©seaux en terabit/s je ne vois pas…)
  • synchroniser le tout Ă  la milliseconde (Ă  mon avis c’est le plus simple !),
  • en moins de 4 heures, obtenir le statut exact et prĂ©cis de l’ensemble des systĂšmes physiques en place pour le test, y compris au niveau des chipsets et des cartes pĂ©riphĂ©riques, et les instancier logiquement,
  • clore tous les Ă©ventuels tickets d’incidents en moins de 4 heures,
  • ĂȘtre capable de simuler 80% des rĂ©actions et comportements humains sur l’ensemble du systĂšme, et de maniĂšre rĂ©aliste (embaucheront-ils des esclaves d’IndonĂ©sie ou du Bengladesh ?),
  • ĂȘtre capable d’accĂ©lĂ©rer ou de ralentir la simulation (ils appellent ça « time-compression/dilatation ») de 25% sans impact sur les rĂ©sultats.

Sachant que les specs de la chose prĂ©cisent que le systĂšme doit reconstituer un environnement Internet total, prĂ©voir les disparitĂ©s de systĂšmes, les erreurs, les nouveaux protocoles rĂ©seaux et dĂ©bits connus et Ă  venir, sur tous les supports possibles (ils parlent mĂȘme de liaisons Internet via Wifi, UHF, VHF, et TACSAT, page 15 du document !), et reproduire les erreurs d’utilisation du systĂšme par des humains qui ne savent pas toujours se servir de leur suite bureautique, de leurs navigateurs, clients de messagerie et lecteurs multimĂ©dia… ca me semble relever du projet fou, de l’utopie !!! On verra bien, pour le moment le projet n’a pas encore reçu l’accord de financement du SĂ©nat (je n’ose mĂȘme pas imaginer le coĂ»t que ca va reprĂ©senter pour un jouet comme celui-lĂ  !!!). Quelques journaux en parlent tout de mĂȘme.

L’opĂ©ration Cisco Raider

Pour terminer, on change lĂ©gĂšrement de sujet, puisque j’Ă©voque ici l’opĂ©ration Cisco Raider menĂ©e par le FBI depuis deux ans, dont les rĂ©sultats ont abouti en janvier puis ont Ă©tĂ© repris par erreur par la presse ce mois ci. Je prĂ©cise par erreur, car mĂȘme si le document Ă©tait dĂ©classifiĂ©, le FBI a du rĂ©cemment faire un communiquĂ© de presse sur son site pour indiquer que celui-ci n’aurait jamais du sortir du service ! Ah, les fuites d’informations sont difficiles Ă  prĂ©venir, mĂȘme au sein de tels organismes… Tiens, la prĂ©sentation Powerpoint en question est ici, ou lĂ  si vous n’avez pas PowerPoint ou OpenOffice !

Pour rĂ©sumer, cette histoire a dĂ©butĂ© lorsque des services informatiques de l’armĂ©e amĂ©ricaine ont tentĂ© de mettre en marche des routeurs de marque Cisco rĂ©cemment acquis dans le cadre de contrats gouvernementaux, et ont Ă©tĂ© confrontĂ©s Ă  des soucis, puisque les MAC-adresses des Ă©quipements Ă©taient dupliquĂ©es, ce qui n’arrive jamais… sauf en cas de crontrefaçon. Et c’est prĂ©cisĂ©ment ce qui est arrivĂ© ! Non ce n’est pas une blague, l’armĂ©e amĂ©ricaine s’est vue refouguer quelque 76 millions de dollars d’Ă©quipements rĂ©seaux contrefaits « Made in China », et pas des moindres puisqu’il s’agit de contrafaçons du leader mondial. Et oui, il n’y a pas que Vuitton ou Rolex qui souffre de cela.

Tout ça pour dire que le souci n’est Ă©videmment pas directement liĂ© au fait que l’armĂ©e amĂ©ricaine a achetĂ© des produits contrefaits, mais que ceux-ci sont moins rĂ©sistants, et peuvent peut-ĂȘtre comporter des portes dĂ©robĂ©es ! Rappelons quand-mĂȘme l’histoire des cadres photo chinois vendus en dĂ©but d’annĂ©e sur les Ă©tals de BestBuy et qui comportaient des virus intĂ©grĂ©s !

Et si l’on vient me soutenir que ce n’est pas possible de prendre le contrĂŽle d’Ă©quipements rĂ©seaux, je vous renvoie dare-dare vers le site de Cisco lui-mĂȘme, qui a publiĂ© une rĂ©ponse suite Ă  la prĂ©sentation rĂ©cente de Sebastian Muniz, chercheur chez Core Security, qui a simplement dĂ©montrĂ© comment installer des rootkits sur des Ă©quipements Cisco !

De lĂ  Ă  imaginer des botnets, des backdoors et d’autres chinoiseries sur tout cela, il n’y a qu’un pas Ă  franchir… ou pas 😉

Conclusion

Que dire de plus ? Je ne sais pas trop, en fait(*)… C’est dĂ©jĂ  assez troublant comme cela. Le SSTIC aura lieu dans moins de 2 semaines, et je suis certain que ce sera l’occasion d’Ă©changer sur tous ces sujets passionnants ! En tout cas j’y serais.

(*) en fait si, allez jeter un oeil sur le document intitulĂ© « The National Counterintelligence Strategy of the United States 2007 » sur le site www.ncix.gov, je n’en dis pas plus !

Ce contenu a été publié dans IT Security. Vous pouvez le mettre en favoris avec ce permalien.

12 réponses à Escalade malsaine

  1. Yann dit :

    Moi aussi 😉 (au SSTIC je parle biensĂ»r)

    Excellent article sur le sujet ! Merci pour lui !

    A dans deux semaines !

  2. iti dit :

    Il faudrait « corriger » le lien Cisco Raider vers le site du NY Times… ;o)

  3. Merci pour l’info, je corrige le lien !

  4. iti dit :

    Ce qui me surprend le plus, c’est qu’on parle massivement du continent asiatique en ce moment, tant pour les attaques pseudo-alĂ©taoires de rĂ©seaux de Bots que pour cette affaire Cisco, mais il existe un « ancien ennemi » de l’Est qui est toujours aussi efficace…..

    Personnellement, je continue la plongĂ©e, Big Brother ne supportant pas l’eau de mer. 🙂

  5. Lien corrigé, merci.

    Tu as raison, c’est Ă©galement un souci mais Ă  en croire ce que je lis, on ne s’en soucie guĂšre du moins sur le plan militaire. Et pourtant eux aussi se sont mis Ă  rĂ©armer lourdement… Mauvaise augure.

  6. Merci Bruno pour ce post trĂšs intĂ©ressant et pour ton point de vue. Je n’ai pas beaucoup de temps pour lire ces 48 pages mais tu m’en as donnĂ© envie…

  7. Il vaut le coup. Le seul souci, vu que c’est la Darpa et donc un organisme de recherche, c’est de savoir si leur appel Ă  proposition n’est pas un peu trop farfelu… Mais bon, ce sont de grands garçons, ils savent ce qu’ils font et donc si ils estiment que les spĂ©cifications du cahier des charges doivent ĂȘtre ainsi, c’est qu’ils ont leur petite idĂ©e en tĂȘte, j’en suis certain.

    A trĂšs bientĂŽt.

  8. Grunt dit :

    TrĂšs rassurant, dis-moi..

    Enfin bon, je prĂ©fĂšre largement qu’on essaie de prendre le contrĂŽle de ma Debian (bon courage le FBI), plutĂŽt qu’on me largue des bombes sur la gueule.
    Dans le premier cas je me sens un peu plus protégé ^^

  9. > qu’on essaie de prendre le contrîle de ma Debian (bon courage le FBI)

    Tu as patché ton OpenSSL et regénéré toutes tes clefs ?!

    Dans l’absolu tu as raison, c’est moins gĂȘnant d’avoir une attaque informatique que des bombardements. Seulement voilĂ , dans le concept de guerre, on prĂ©fĂšre utiliser les 2 Ă  la fois… Plus facile de bombarder quand les systemes adverses sont plantĂ©s ! cf. l’rticle sur la lutte offensive « attaques ciblĂ©es » qui fait allusion a cela.

  10. iti dit :

    A propos des patchs Debian, je suis surpris de voir passer autant d’updates de modules Debians que d’updates de modules Red Hat. LE noyau semblant diffĂ©rent, il y aurait peut-ĂȘtre eu des dĂ©pendances SSL entre les deux distribs, du genre Red Hat aurait signĂ© des modules avec des clefs Debians ????? 😉

  11. Curieux… !

    PS : Pour info je serai en mode « dĂ©connecté » pendant 1 a 2 semaines… donc pas de prĂ©cipitation si je ne reponds pas !

  12. miib dit :

    un vrai projet manhattan… ce qui me rappelle la visite des deux musĂ©es de Los Alamos …
    Une habitude du secret rompue avec les déclarations de Charles W. Williamson III.

    Pouf, pouf… un militaire un homme politique sont dans un bateau… l’homme politique tombe Ă  l’eau…. qui reste sur le bateau ?
    personne…. car les sous-marins ultra secrets ont coulĂ© le bateau !

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *