La sécurité logicielle est en plein Far West (et cela pourrait nous être fatal)

Publié initialement dans CSO Online

En tant que hacker éthique (semi-retraité), professionnel de la sécurité et mordu d'informatique, on pourrait dire que la technologie me tient à cœur. Je m'intéresse à sa conception, à son fonctionnement et à la manière dont elle peut améliorer ou optimiser certains aspects de notre quotidien. Je regarde constamment « sous le capot » des appareils, y découvrant certains des meilleurs (et des pires) exemples de code existants. Récemment, j'ai examiné comment mon système de climatisation pouvait être contrôlé à distance via une application Android (imaginez ma surprise en découvrant que n'importe qui sur le réseau WiFi pouvait contrôler l'appareil sans aucune authentification).

La sécurité logicielle est une préoccupation constante pour moi, tout comme le danger bien réel que représentent nos modes de vie de plus en plus numériques, où nous partageons nos informations personnelles. Après tout, nous évoluons dans un territoire largement non réglementé, sans surveillance et joyeusement ignoré. Nous sommes en plein Far West.

En tant que société, nous ne regardons pas sous le capot de la technologie que nous utilisons au quotidien. Bien que des séries télévisées populaires et acclamées comme Mr. Robot contribuent à une prise de conscience générale, nous n'avons pas le réflexe sécurité... en fait, la plupart d'entre nous n'ont aucune idée du niveau de sécurité des logiciels intégrés dans la myriade d'applications, de services et d'objets connectés que nous achetons et utilisons. Ce n'est même pas que nous leur accordons une confiance aveugle, c'est simplement que nous n'y pensons pas du tout.

Sony PlayStation Network (PSN), Ticketmaster, Yahoo!, Facebook, Target : chacune de ces entreprises largement utilisées a été victime d'une violation de données. Leurs vulnérabilités logicielles ont été exploitées, exposant des millions et des millions de dossiers clients. Ces exemples ne représentent qu'une fraction des violations mondiales survenues au cours des dix dernières années. Ce sont les conséquences coûteuses d'une sécurité logicielle défaillante qui permet aux malfaiteurs de voler nos précieuses informations.

Lorsque la plupart des gens pensent aux violations de données, ils pensent aux failles de sécurité des informations. Celles-ci sont perçues comme un cauchemar pour l'entreprise concernée et un désagrément pour les personnes dont les données personnelles ont été compromises, mais sérieusement, est-ce si grave ? Si la sécurité continue d'être ignorée, les conséquences sont-elles vraiment si importantes ? Rien de majeur ne s'est produit jusqu'à présent ; les violations de données ont de graves répercussions pour les entreprises responsables, mais c'est leur problème, n'est-ce pas ? Elles perdent des clients, elles perdent la confiance des consommateurs ; c'est finalement à elles de régler la situation et de payer pour les dégâts.

La sécurité logicielle devrait être la priorité de chaque organisation.

Il existe une raison assez simple pour laquelle la sécurité logicielle n'est pas la préoccupation numéro un de toutes les organisations dotées d'une équipe de développement : trop peu de vies ont été perdues jusqu'à présent et les connaissances sur les risques sont insuffisantes.

Morbide ? Peut-être. Mais c'est la pure vérité. La réglementation, les normes de construction et les changements législatifs (sous l'impulsion d'agences gouvernementales, par exemple) n'interviennent que lorsqu'il y a un coût humain réel.

Prenons l'exemple d'un pont. Les ingénieurs civils (une profession vieille de plusieurs siècles) considèrent la sécurité comme un élément fondamental de la construction d'un pont. Leur approche va bien au-delà de l'esthétique et de la fonctionnalité de base. Chaque pont construit doit respecter des réglementations de sécurité strictes, la profession d'ingénieur civil et la société dans son ensemble ayant appris, au fil du temps, à exiger un haut niveau de sécurité. Aujourd'hui, un pont qui ne répond pas aux exigences de sécurité est considéré comme dangereux et inutilisable. C'est une évolution que nous devons encore atteindre dans le domaine de l'ingénierie logicielle.

Pour prendre un exemple plus moderne, examinons l'industrie du jouet. Les années 1950 ont connu une énorme augmentation de la production et des ventes de jouets grâce au baby-boom d'après-guerre. Il est intéressant de noter que le nombre de visites aux urgences liées à des incidents impliquant des jouets a également augmenté durant cette période. Les flèches jouets provoquaient des blessures oculaires, les petits jouets (et les pièces détachables de jouets plus grands) étaient ingérés, et les fours jouets destinés aux petites filles pouvaient chauffer à des températures plus élevées que les fours domestiques classiques.

C'était un peu le « Far West », avec peu de réglementations, hormis quelques interdictions isolées et des rappels de produits dans les circonstances les plus graves. Les fabricants de jouets étaient essentiellement libres de produire ce qu'ils voulaient, les préoccupations en matière de sécurité n'étant généralement signalées qu'après plusieurs incidents. Ce n'est qu'avec l'adoption de lois comme le Toy Safety Act de 1969 de Richard Nixon que les tests et l'interdiction des jouets dangereux sont devenus la norme, aux États-Unis et dans le monde entier. Bien que les accidents puissent encore arriver, le processus général de fabrication des jouets adopte aujourd'hui une politique de « sécurité d'abord », et nos enfants sont beaucoup moins exposés au danger.

En matière de sécurité logicielle, nous sommes actuellement en plein Far West. Hormis les lois et réglementations évidentes concernant la vie privée (surtout récemment avec le RGPD) et la protection des données des clients, ainsi que la législation sur la déclaration obligatoire des violations dans certains pays, très peu de choses sont dites ou faites dans le monde des affaires ou au sein de la communauté concernant le niveau de sécurité intégré aux logiciels. Même ces lois concernent davantage la responsabilité de l'entreprise que le logiciel lui-même, ou l'imposition d'une norme de sécurité obligatoire à respecter.

Nous y arriverons, mais cela pourrait nécessiter une série de catastrophes au préalable.

Gartner estime qu'il y aura 8,4 milliards d'appareils connectés à Internet en usage d'ici 2020 ; un chiffre qui représente une augmentation de 31 % depuis 2016. Cela inclut l'électronique grand public, ainsi que des équipements médicaux et industriels spécifiques. Cela représente énormément d'opportunités pour un pirate informatique.

Imaginez que le logiciel gérant le stimulateur cardiaque d'une personne ne soit pas sécurisé. Un pirate pourrait s'y introduire et potentiellement arrêter le cœur de sa victime (vous trouvez cela ridicule ? Les médecins ont désactivé le WiFi du stimulateur cardiaque de Dick Cheney pour empêcher un assassinat potentiel par piratage). Un micro-ondes ou une bouilloire connecté pourrait exploser à distance (tout comme tous les types d'objets connectés que nous utilisons chez nous), ou les freins d'une voiture électrique connectée pourraient être désactivés. Cela peut sembler tiré d'un film d'action hollywoodien, mais si le logiciel de l'un de ces appareils connectés avancés peut être piraté, nous sommes face à un désastre potentiel, tout comme les menaces que nous avons déjà évoquées avec les conséquences explosives des cyberattaques dans l'industrie pétrolière et gazière.

Nous pouvons anticiper les conséquences désastreuses du piratage malveillant à mesure que nos vies deviennent de plus en plus dépendantes du numérique. Tout commence par susciter l'enthousiasme des développeurs pour le codage sécurisé et par prendre au sérieux le développement d'une culture et d'un état d'esprit axés sur la sécurité au sein des équipes de développement.

Votre révolution logicielle commence ici. Le secteur bancaire ouvre la voie en adoptant la formation ludique pour lutter contre le code défaillant, une approche véritablement innovante qui bouleverse la formation traditionnelle (comprenez : ennuyeuse). En fait, chacune des six plus grandes banques australiennes mobilise actuellement ses développeurs de cette manière, stimulant ainsi leur culture de la sécurité. Découvrez ce que notre client, IAG Group, a réalisé avec son tournoi de haut niveau.