Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2018 - n°434 - 143
Doctrine
Cybersécurité
Cyberattaques au cœur
des microprocesseurs
Présentation des causes profondes expliquant
la survenance de telles attaques et description
de certaines vulnérabilités
S
i les cyberattaques mondiales s'appuyaient
la plupart du temps sur des défaillances
humaines, certaines se sont propagées sans un
tel recours. Ce fût le cas récemment avec les
rançongiciels « WannaCry » et « NotPetya » qui utilisent des
failles logicielles au niveau des protocoles et des systèmes
d'exploitation. Le phénomène est encore plus inquiétant
avec « Meltdown » et « Spectre », qui exploitent de façon
inédite des vulnérabilités matérielles au cœur même des
microprocesseurs. Il est donc naturel, dans ces conditions,
que la confiance soit remise en cause avec un effet durable
notamment avec les milliards d'objets connectés attendus,
très peu sécurisés et donc susceptibles de servir de tête de
pont à des cyberattaques massives ! Tout ceci est facilité par
l'absence de techno-diversité où « presque tout est informatisé
et relié à Internet de façon ordinaire avec des protocoles
incertains, des « composants sur étagère »1, des vulnérabilités
souvent non corrigées et une sécurité incertaine, y compris
pour les systèmes critiques »2.
L'auteur se propose de présenter les causes profondes
expliquant la survenance de telles attaques avant de décrire
certaines vulnérabilités, en soulignant que bien d'autres
seront possibles sans une remise en question à la hauteur des
enjeux.
Introduction
La façon de penser des ingénieurs est toute aussi importante
que le code produit, tout comme les liens avec ce qu'ils créent,
et tout particulièrement la compréhension du comportement
des systèmes dans leurs diverses interactions. Il s'agit de
s'appuyer sur un modèle fondé sur la façon dont chacun
des événements devrait être traité, pour mieux intégrer la
dépendance des uns avec les autres, avant de songer à la
programmation proprement-dite. Il convient également de
considérer globalement les limites et le caractère critique du
code face à la complexité, et plus seulement pour des systèmes
dits « critiques ».
Certains spécialistes n'ont pas suffisamment de conscience
morale, du fait du peu d'attention sur les conséquences de
ce qu'ils produisent. Ils ne voient que la solution immédiate
qu'ils apportent, pourvu qu'elle fonctionne, quitte à s'arranger
d'un taux de fautes « tolérable » à leurs yeux en considérant
l'éthique comme étrangère à leur métier. D'autres se
sentent frustrés du peu de reconnaissance des efforts qu'ils
accomplissent et peu enclins à discuter de morale dans leur
travail quotidien. Ces derniers sont cependant attachés à ce
que leur analyse soit précise et sont préoccupés par les limites
des tests et les points faibles de méthodes prometteuses sans
pour cela se sentir responsables, s'alliant ainsi aux critiques,
mais cependant peu préparés pour considérer globalement
les questions morales attachées à leur métier. Tout ceci
montre l'utilité d'un travail collectif pour disposer d'une base
de valeurs partagées significative3.
Les causes profondes des fautes
La complexité grandissante des systèmes, les problèmes
d'interaction et de communication, le manque de formation
et les pressions sur les délais et les coûts durant un projet sont
des facteurs prédominants. Examinons les raisons profondes
de ces fautes et les pistes pour y remédier ou tout au moins
pour en réduire le nombre et les conséquences.
Le facteur humain est une constante, car les êtres humains ne
sont donc pas parfaits et sont enclins à commettre des fautes4.
En conséquence, il ne faut pas s'attendre à ce qu'ils réalisent
soit sans défaut. Il n'est pas sûr non plus que si la tâche était
confiée à des systèmes fondés sur l'intelligence artificielle, le
constat serait différent, dans la mesure où de tels systèmes
sont également conçus par des êtres humains !
Dès sa conception, un projet exige le regard de la R&D
et des méthodes d'ingénierie appropriés pour assurer sa
faisabilité, selon des critères précis d'assurance, plus ou
moins forts en fonction de la criticité et de la sécurité requises,
et des moyens et des compétences appropriés à l'état de
l'art. Une gestion irréaliste, fondée sur des délais et des
ressources insuffisants, est assurément une source constante
de pressions. Elle génère des ambiguïtés par des défauts de
communication et conduit au traitement des anomalies « au
fil de l'eau », avec des modifications anarchiques qui ne
peuvent qu'avoir des conséquences négatives. L'utilisation
d'outils collaboratifs permet de corriger une bonne partie
EXPERTISES AVRIL 2018
143
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2018 - n°434
https://www.nxtbook.fr/newpress/celog/celog-expertises-2210_483
https://www.nxtbook.fr/newpress/celog/celog-expertises-2209_482
https://www.nxtbook.fr/newpress/celog/celog-expertises-2207_481
https://www.nxtbook.fr/newpress/celog/celog-expertises-2206_480
https://www.nxtbook.fr/newpress/celog/celog-expertises-2205_479
https://www.nxtbook.fr/newpress/celog/celog-expertises-2204_478
https://www.nxtbook.fr/newpress/celog/celog-expertises-2203_477
https://www.nxtbook.fr/newpress/celog/celog-expertises-2202_476
https://www.nxtbook.fr/newpress/celog/celog-expertises-2201_475
https://www.nxtbook.fr/newpress/celog/celog-expertises-2112_474
https://www.nxtbook.fr/newpress/celog/celog-expertises-2111_473
https://www.nxtbook.fr/newpress/celog/celog-expertises-2110_472
https://www.nxtbook.fr/newpress/celog/celog-expertises-2109_471
https://www.nxtbook.fr/newpress/celog/celog-expertises-2107_470
https://www.nxtbook.fr/newpress/celog/celog-expertises-2106_469
https://www.nxtbook.fr/newpress/celog/celog-expertises-2105_468
https://www.nxtbook.fr/newpress/celog/celog-expertises-2104_467
https://www.nxtbook.fr/newpress/celog/celog-expertises-2103_466
https://www.nxtbook.fr/newpress/celog/celog-expertises-2102_465
https://www.nxtbook.fr/newpress/celog/celog-expertises-2101_464
https://www.nxtbook.fr/newpress/celog/celog-expertises-2012_463
https://www.nxtbook.fr/newpress/celog/celog-expertises-2011_462
https://www.nxtbook.fr/newpress/celog/celog-expertises-2010_461
https://www.nxtbook.fr/newpress/celog/celog-expertises-2009_460
https://www.nxtbook.fr/newpress/celog/celog-expertises-2007_459
https://www.nxtbook.fr/newpress/celog/celog-expertises-2006_458
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com