Le Lot en Action

[Gregor Seither - IES News Service - 25/04/2009]
Il y a moins de trois semaines, le 9 Avril 2009, une ville de 50 000 habitants aux Etats-Unis a été la victime d’une cyberattaque d’envergure, qui l’a totalement coupée du reste du “monde-réseau”. Etonamment, la presse tant U.S. qu’internationale n’a pas parlé de cet évènement, qui est pourtant riche en enseignements.

LES FAITS : Dans la nuit du jeudi au vendredi, un groupe non identifié a soulevé quatre couvercles de bouches d’égout dans la ville de Morgan-Hill, dans le Nord de la Californie. Ils sont descendus dans les conduits et - à l’aide d’un  sécateur, ont sectionné huit cables en fibre de verre, déclenchant par ce simple geste une cyber-attaque aux conséquences énormes.

Cette attaque a apporté la preuve de l’extrême fragilité des infrastructures modernes de communication, et ce pour une raison très simple : pour des raisons de coûts et de non-coordination des différents acteurs technologiques, cette infrastructure est extrêmement centralisée.

Comme tout le monde utilise les mêmes “tuyaux”, un seul coup de sécateur a privé, en un instant, la ville de Morgan Hill ainsi qu’une partie des contés avoisinants de toute une gamme de services vitaux : les services d’appel d’urgence, le réseau de téléphones portables, le réseau de téléphonie filaire, l’accès Internet DSL ainsi que des réseaux privés, les services d’alerte pompiers et de télésurveillance, les distributeurs de billets, les terminaux de paiement par carte de crédit, les pompes à essence automatiques… ainsi que les systèmes de surveillance d’équipements sensibles. Par ailleurs, certaines ressources qui auraient du ne pas être affectés - comme par exemple le réseau informatique interne du centre hospitalier - se sont avérés avoir besoin d’un accès à des ressources distantes pour pouvoir fonctionner. A l’hôpital il a fallu basculer sur un système papier pendant plusieurs jours et les médecins n’avaient plus accès aux dossiers des malades.

Dans un rayon de 80 Km autour de la commune, les activités commerciales ont été perturbées. Les distributeurs de billets et les cartes de crédit ne fonctionnant plus, seuls les paiement en liquide étaient possibles, handicapant les acheteurs qui n’avaient pas assez de liquide dans leur portefeuille. Les nombreuses entreprises de la zone - notamment dans le domaine des services, des TIC ainsi que celles utilisant des systèmes informatiques pour leur travail quotidien - ont préféré renvoyer leurs employés chez eux. Techniquement, ce simple coup de sécateur avait tout simplement coupé la connexion entre cette zone, où vivent 50 000 personnes, et le reste du réseau Internet.

Quel était le but poursuivi par ces saboteurs ? La police se perd en conjectures. Des voleurs ? En coupant les fils, les alarmes ne fonctionnaient plus. Des manipulateurs des cours de la bourse ? La région abrite une population aisée et de nombreux cabinets de courtage ou encore des fonds d’investissement. En leur coupant la communication, on les empéchait de faire leur travail. Des terroristes ? Des saboteurs ? Mais rien ne s’est produit et aucune revendication n’a été rendu publique. Certains se demandent s’il ne s’agit pas de l’oeuvre d’un employé des télécommunications qui aurait un compte à régler. L’auteur de cet attentat connait apparemment bien la carte du réseau et savait ou frapper.
Ou bien s’agissait-il de grandes manoeuvres, en taille réelle, de la lutte antiterroriste.

Ou alors, peut-être que les saboteurs ont simplement voulu nous donner une leçon ? Car - malgré le silence de la presse et des autorités - il y a beaucoup de choses à apprendre dans l’affaire Morgan Hill et on espère que tous ceux qui sont chargés des services d’urgence, dans les entreprises comme au gouvernement, retiennent les enseignements de cette histoire.

LES ENSEIGNEMENTS - Première question à se poser : qu’est ce qui reste quand tout s’arrête de fonctionner ? La réponse est : la radio-amateur… et c’est à peu près tout. Les téléphones cellulaires ne fonctionnaient plus. Les antennes relais ne peuvent pas, d’une manière générale, établir une connexion d’elles-même, même si les deux téléphones sont dans la même zone. Elles communiquent avec un ordinateur distant qui établit la commutation. Si l’ordinateur ne répond plus, les antennes relais ne servent plus à rien. La police et les pompiers par contre, arrivaient encore à communiquer par le biais des émetteurs-récepteurs radio.

Réalisant qu’ils allaient avoir besoin de plus de radios pour faire face, les autorités locales sont allé réveiller le président du club de radio-amateur CiBi local et lui ont demandé de rameuter son réseau d’adhérents. Des Cibistes sont venus s’installer en différents points de la ville avec leur matériel (centres hospitaliers, ambulances, cabinets médicaux, centres d’approvisionnement) et faisaient le lien avec le monde extérieur, là où les téléphones et Internet fonctionnaient encore. Cela a permis d’éviter une catastrophe sanitaire.

L’effondrement du réseau informatique du centre hospitalier local est la conséquence d’une trop forte dépendance des services centralisés. Si le protocole Internet - développé par l’armée en prévision d’une guerre nucléaire - est conçu pour résister à ce genre de coupures dans la réseau, cela ne dispense pas les techniciens IT d’implémenter un réseau robuste au niveau local. Mais la plupart des entreprises se satisfont d’un système tant que celui fonctionne et ne se sont jamais posés la question de ce qu’il fallait faire le jour où cela ne fonctionnerait pas.

Les réseaux institutionnels, même ceux des services d’urgence, sont rarement testés pour voir comment ils se comportent en cas de coupure avec le monde extérieur. De nombreux réseau locaux nécessitent néanmoins un accès à des services distants, par exemple pour résoudre des adresses DNS. Si la ligne est coupée, ils ne fonctionnement plus, même en local. Et même si votre réseau local reste en place, certains services cruciaux comme le courrier ou les serveurs de fichiers sont souvent hébergés ailleurs, de l’autre côté de la coupure. De nombreux logiciels serveurs doivent valider leur licence auprès d’un serveur distant pour pouvoir fonctionner. La même chose vaut pour les communications VoIP. Si les systèmes sont correctement configurés, la VoIP devrait pouvoir fonctionner en local… mais 99% des systèmes grand public ne sont pas configurés en conséquence.

Morgan Hill devrait inciter les administrateurs réseaux à se poser la question de leur dépendance vis à vis des services en réseau. C’est très pratique d’utiliser Google pour le mail, et cela vous évite d’avoir à vous en occuper. Mais le jour où votre connexion Internet est morte, votre courrier n’est plus accessible. La même chose vaut pour n’importe quel service Web - par exemple les dossiers médicaux centralisés. Et une pareille fragilité n’est pas acceptable pour un hopital ou un fournisseur de services d’urgence, voire pour n’importe quelle structure censée continuer à fonctionner même en cas de catastrophe affectant l’infrastructure. Couler sa boite parce qu’on a pas pu accéder à ses mails et ses fichiers, c’est impardonnable.

Que faire ? La réponse est de mettre en place une infrastructure locale. Les services vitaux pour votre activité, le courrier électronique et les applications utilisées quotidiennement doivent fonctionner en local. Elles doivent pouvoir fonctionner sans requérir d’accès à des bases de données distantes. Un système de resynchronisation répercute les éventuels changements quand la connexion est rétablie. Bien sùr, cela implique une équipe IT locale et coutera plus cher qu’une gestion distante… mais au moins vous ne vous retrouverez pas le bec dans l’eau le jour où survient la panne.

En cas d’urgence, la communication sera un facteur crucial. Les émetteurs-récepteurs radio des systèmes d’urgence ont été petit à petit remplacés par des “talkie-walkie” cellulaires - mais ceux ci ne fonctionneront pas en case de panne de l’infrastructure. Le gouvernement, l’armée et la protection civile disposent (on l’espère) encore des vrais systèmes CiBi et radio ainsi que des répétiteurs permettant de couvrir des grandes distances. Si votre entreprise aura besoin de communiquer pour survivre dans une catastrophe, il serait bien que vous investissiez également dans ce genre de système et que vous le testiez régulièrement. La même chose vaut pour les autorités locales (mairies, communes(…).

Si les téléphones satellite continueront probablement à fonctionner, ils dépendent eux-aussi d’antennes au sol, qui peuvent être désactivées. Ces téléphones sont chers et ne sont souvent pas disponibles au moment où survient l’urgence car leurs utilisateurs (qui ne sont pas des techniciens) oublient d’en assurer la maintenance et le rechargement.

(…) Il faut aussi se poser la question de la sécurité physqique de nos installations. Ainsi, la plupart des couvercles de bouches d’égout ne sont pas verrouillés. Une simple clé d’égoutier permet de les ouvrir, et les réseaux sont équipés d’alarmes en cas d’inondation, mais pas en cas d’intrusion. Les boitiers installés sur des poteaux sont encore plus facilement accessible. La même chose vaut pour les armoires électriques/réseau et autres conduits en surface. Il suffit généralement d’un tournevis pour les ouvrir. (…)