Effondrement informatique mondial : Dominik Merli, professeur de sécurité informatique à l’Université technologique d’Augsbourg, explique dans une interview avec ntv.de pourquoi rien ne fonctionne dans les aéroports ou les hôpitaux du monde entier. Il s’agit du contexte de Grève de fouleDes accidents, une éventuelle cyberattaque – et la question de savoir comment l’Allemagne pourra se protéger à l’avenir.
ntv.de : Monsieur Merli, que savez-vous des problèmes informatiques mondiaux qui touchent si durement les aéroports, entre autres ?
Dominik Merli : Aujourd’hui, nous constatons que les systèmes informatiques ne fonctionnent pas dans diverses régions du monde, par exemple dans les aéroports, les hôpitaux ou les trains. L’agent Crowdstrike présent sur les ordinateurs de ces zones – un logiciel de sécurité de la société de cybersécurité qui fonctionne sur un système Windows et analyse si des attaques se produisent – a été provoqué par une mise à jour.
Mais non seulement le logiciel Crowdstrike, mais des systèmes informatiques entiers du monde entier ont cessé de fonctionner.
L’agent Crowdstrike a affecté l’ensemble du système avec son problème. Cela avait pour conséquence que les systèmes ne démarraient plus correctement. Suite à une mise à jour quotidienne, les ordinateurs ne sont plus disponibles car ils ne peuvent plus démarrer.
N’importe quel système informatique peut-il planter avec une simple mise à jour ?
Quelque chose comme ça n’est pas normal. Les systèmes d’exploitation comme Windows, Linux ou macOS disposent en fait d’une méthodologie pour séparer les applications logicielles. Cela signifie : si l’un d’eux plante, alors il plante tout simplement. Mais le reste continue. Par exemple, si Word ne fonctionne plus, le lecteur de musique fonctionne toujours.
Qu’y a-t-il de différent dans le krach mondial ?
De tels programmes de sécurité interviennent dans le système lui-même, c’est-à-dire dans la couche de base de Windows. Car à ce niveau, ils surveillent le comportement du système et ce qui se passe pour détecter des anomalies ou des attaques. Et c’est pourquoi on a toujours dit que les logiciels si profondément intégrés et intervenant si profondément – y compris les antivirus, qui existent depuis longtemps – pouvaient également casser quelque chose dans le système.
Comment se fait-il que plus rien ne fonctionne dans le monde ?
Le nœud du problème est que les systèmes informatiques sont complexes. Le problème actuel est une interaction entre deux produits logiciels différents : Microsoft Windows et Crowdstrike Agent. Un crash ne se produit que lorsqu’ils interagissent. L’agent sur un système Linux ou Mac ne pose aucun problème et les systèmes Windows sans le nouveau logiciel ne posent aucun problème non plus. La complexité et le fait que nous exécutons simultanément de nombreux logiciels différents sur un même système rendent cela plus probable. Mais cela ne peut être évité, tant les systèmes sont complexes car il n’y a pas d’autre moyen.
La société Crowdstrike reconnaît désormais l’erreur et cite un tel problème logiciel comme raison de l’effondrement. Peut-on exclure complètement une cyberattaque ?
De l’extérieur, c’est difficile car nous ne savons pas exactement ce que contient cette mise à jour et nous n’avons aucune preuve d’attaque pour le moment. Les mises à jour démarrent à des heures différentes selon les fuseaux horaires et il serait normal qu’elles démarrent d’abord en Australie, qui est particulièrement touchée par les erreurs système, car c’est là que commence la journée. Cela indique donc qu’il s’agissait d’une panne normale. Cependant, un attaquant pourrait donner cette apparence s’il voulait faire croire qu’il ne s’agissait que d’un bug dans une mise à jour de routine.
Une attaque contre Crowdstrike et la mise à jour serait-elle possible ?
Il est concevable, et cela s’est produit dans le passé, qu’un fabricant soit compromis. Par exemple, un attaquant pourrait s’installer dans les systèmes Crowdstrike et y influencer le logiciel. Ce logiciel modifié et désormais malveillant trouve ensuite son chemin normal dans les ordinateurs des clients via la mise à jour.
Crowdstrike affirme avoir corrigé l’erreur et propose désormais une mise à jour aux entreprises. Est-ce que tout rentrera dans l’ordre rapidement ?
Un point important est que Crowdstrike a arrêté de déployer la mise à jour. Tous les systèmes qui n’étaient pas en ligne ce matin ne recevront plus la mise à jour à leur mise sous tension. Cependant, pour les systèmes sur lesquels l’erreur s’est déjà produite, Crowdstrike ne peut pas aider à distance et automatiquement. Vous devez supprimer un fichier spécifique pour rendre le système à nouveau opérationnel. Toutefois, cela n’est possible que si un administrateur présent sur l’appareil accède à ce fichier dans un mode spécifique.
Cela semble fastidieux.
Si une entreprise possède un millier de PC qui ont reçu la mise à jour automatiquement, mais que vous devez désormais traiter chacun d’entre eux de manière non automatique, cela peut entraîner beaucoup d’efforts et de longs temps d’arrêt. Cependant, il n’est pas possible de faire une prévision exacte pour l’avenir, car cela dépend également du degré de virtualisation de certains systèmes, c’est-à-dire dans le cloud.
Un crash comme celui d’aujourd’hui est-il évitable ?
Il n’existe pas de sécurité à 100 % en matière d’ordinateurs. Si quelqu’un le promet, c’est un signe que vous devriez vous méfier. Dans de tels systèmes, nous rencontrons toujours des dangers et des erreurs qui peuvent être intégrées au logiciel et qui ne sont pas encore connues.
Quels dangers s’y cachent ? Les aéroports connaissent d’énormes problèmes, mais heureusement aucun avion n’est tombé du ciel aujourd’hui.
Si la défaillance d’un composant particulier peut causer des dommages humains, la redondance joue un rôle majeur et est requise par les normes, standards et lois. Notamment dans le domaine de la sécurité aérienne ou automobile. Là, par exemple, vous avez environ trois systèmes d’un même type et si l’un d’entre eux tombe en panne, vous en avez deux autres qui peuvent prendre en charge toutes les fonctions. Mais si tout le monde utilisait Windows et disposait du logiciel Crowdstrike, rien ne serait gagné. Par conséquent, ces trois composants sont développés par trois équipes différentes ou doivent être basés sur des logiciels ou des technologies différents.
Comment le monde pourra-t-il se protéger à l’avenir ?
Des cas comme ceux d’aujourd’hui pourraient certainement être mieux gérés. Deux parties doivent jouer un rôle : les opérateurs des systèmes, qui doivent réfléchir à ce qui se passerait en cas de défaillance d’un système de contrôle pour une zone donnée. Ai-je alors un système de sauvegarde qui démarre dans les dix secondes ? Par contre, il faut demander aux constructeurs comment il se fait qu’une mise à jour entraîne une telle erreur ? Comment une mise à jour comme celle-ci parvient-elle à passer les contrôles de qualité et les tests nécessaires à son déploiement dans le monde entier ? Je soupçonne que tout ne s’est pas parfaitement déroulé lors des tests. Je ne peux pas imaginer que l’on savait que le logiciel pouvait causer un tel problème. Je crois plutôt qu’il n’y avait pas de procédure de test optimale pour ce cas.
Il existe environ six grandes sociétés de cybersécurité auxquelles la plupart des grandes entreprises du monde font appel. Est-il dangereux?
Fondamentalement, nous nous rendons dépendants de tous les produits logiciels que nous utilisons. Il y a toujours un certain niveau de confiance impliqué. Mais le chiffre six n’est pas si bas. Il existe d’autres domaines dans lesquels il n’y a que quelques acteurs ou un monopole évident. Avec six sociétés de sécurité, il existe certainement un certain niveau de concurrence et de diversité.
Qu’en est-il de la dépendance à Microsoft Windows ?
Dans certains domaines, nous avons une large distribution et une domination des systèmes d’exploitation Windows. Lorsqu’un problème survient, plus rien ne fonctionne. Beaucoup de gens en sont conscients, mais prennent quand même le risque car c’est un avantage que de nombreuses personnes utilisent Windows. Le fait que Linux et Mac ne soient désormais plus concernés montre qu’un système informatique hétérogène a un effet positif et plus de résilience, car tout ne peut pas être affecté en même temps.
Et les particuliers qui font la queue dans les aéroports sont les plus stupides ?
C’est exactement pourquoi c’est un problème de société. Tout le monde est concerné ; les opérations ne peuvent plus être réalisées dans certains hôpitaux. Nous rendons notre infrastructure critique dépendante de systèmes vulnérables ; c’est-à-dire ceux qui n’ont pas un niveau élevé de résilience. Nous devons changer cela. D’une part, nous devons faire prendre conscience des raisons pour lesquelles une telle résilience a du sens et pourquoi nous devons y consacrer de l’argent. D’un autre côté, la transparence doit être créée quant aux logiciels présents dans nos systèmes. En fin de compte, des plans d’urgence doivent être élaborés : que se passe-t-il si le système tombe en panne demain ?
Vous attendiez-vous à un crash comme celui d’aujourd’hui ?
En matière de cybersécurité, nous nous attendons à ce que des pannes, petites et grandes, se produisent chaque jour. Surtout celles provoquées par d’étranges dépendances techniques ou par des attaquants créatifs et intelligents. C’est pourquoi un échec comme celui d’aujourd’hui ne me surprend pas.
David Needy s’est entretenu avec Dominik Merli