La panne de courant n’a pas été causée par le bombardement de tours électriques ou par la coupure de lignes électriques, mais par la manipulation précise et invisible des systèmes de contrôle industriels qui gèrent le flux d’électricité. Cette synchronisation de l’action militaire conventionnelle et de la cyberguerre sophistiquée représente un nouveau chapitre dans un conflit international dans lequel les lignes de codes informatiques manipulant les infrastructures critiques comptent parmi les armes les plus puissantes.
Pour comprendre comment une nation peut éteindre les lumières de l’ennemi sans tirer un seul coup de feu, nous devons examiner l’appareil de contrôle qui régule les infrastructures modernes. Ce sont des cerveaux numériques qui ouvrent les vannes, font tourner les turbines et fournissent de l’énergie.
Pendant des décennies, les dispositifs de contrôle ont été considérés comme simples et indépendants. Cependant, la modernisation du réseau les a transformés en ordinateurs sophistiqués connectés à Internet. En tant que chercheur en cybersécurité, je surveille la manière dont les cyberforces avancées exploitent cette modernisation en utilisant la technologie numérique pour contrôler le comportement physique des machines.
Mes collègues et moi avons démontré comment les logiciels malveillants peuvent compromettre un contrôleur et créer une réalité divisée. Le malware intercepte les commandes légitimes envoyées par les opérateurs de réseau et les remplace par des instructions malveillantes destinées à déstabiliser le système.
Par exemple, les logiciels malveillants pourraient envoyer des commandes pour ouvrir et fermer rapidement les disjoncteurs. Il s’agit d’une technique connue sous le nom de battement. Cette action peut endommager physiquement d’énormes transformateurs et générateurs en les surchauffant ou en les désynchronisant avec le réseau électrique. Ces actions peuvent provoquer des incendies et des explosions dont la réparation peut prendre des mois.
Dans le même temps, le malware calcule quelles seraient les lectures des capteurs si le réseau fonctionnait normalement et renvoie ces valeurs fabriquées à la salle de contrôle. Même si dans le monde physique un transformateur est surchargé et qu’un disjoncteur se déclenche, un opérateur peut voir un voyant vert et une tension constante sur l’écran. Cette déconnexion entre les images numériques et la réalité physique aveugle les défenseurs et les empêche de diagnostiquer les échecs ou d’y répondre jusqu’à ce qu’il soit trop tard.
Parmi les exemples historiques de ce type d’attaque, citons le malware Stuxnet qui a ciblé l’usine d’enrichissement nucléaire iranienne. Le malware a saboté des centrifugeuses en 2009, envoyant de fausses « bonnes » données aux opérateurs tout en faisant tourner les centrifugeuses à des vitesses dangereuses.
Un autre exemple est l’attaque russe Industroyer contre le secteur énergétique ukrainien en 2016. Le logiciel malveillant Industroyer ciblait le réseau électrique ukrainien et utilisait les propres protocoles de communication industriels du réseau pour ouvrir directement les disjoncteurs, coupant ainsi l’alimentation électrique de Kiev.
Plus récemment, l’attaque chinoise Bolt Typhoon contre des infrastructures critiques américaines, révélée en 2023, était une attaque axée sur un positionnement proactif. Contrairement au sabotage traditionnel, ces pirates ont acquis la capacité d’infiltrer les réseaux, d’arrêter les opérations, d’éviter d’être détectés et de perturber les communications et les systèmes électriques américains lors de crises futures.
Pour se défendre contre ce type d’attaques, le Cyber Command américain utilise une stratégie de « défense avancée », poursuivant activement les menaces au sein des réseaux étrangers avant qu’elles n’atteignent le sol américain.
Au niveau national, la Cybersecurity and Infrastructure Security Agency promeut les principes de « sécurité dès la conception », encourageant les fabricants à éliminer les mots de passe par défaut et les utilitaires pour mettre en œuvre des architectures « zéro confiance » qui supposent que les réseaux ont déjà été compromis.
Vulnérabilités de la chaîne d’approvisionnement
Des vulnérabilités se cachent actuellement dans la chaîne d’approvisionnement du contrôleur lui-même. Une analyse des micrologiciels des principaux fournisseurs internationaux révèle une forte dépendance à l’égard de composants logiciels tiers pour prendre en charge des fonctionnalités modernes telles que le cryptage et la connectivité cloud.
Cette modernisation a un coût. Beaucoup de ces appareils critiques exécutent des bibliothèques de logiciels obsolètes, dont certaines ne sont plus prises en charge depuis des années. Cela signifie qu’il n’est plus pris en charge par le fabricant. Cela crée une vulnérabilité commune à l’ensemble du secteur. Une vulnérabilité dans une seule bibliothèque omniprésente comme OpenSSL, une boîte à outils logicielle open source utilisée par presque tous les serveurs Web et appareils connectés dans le monde pour chiffrer les communications, peut exposer les contrôleurs de plusieurs fabricants à la même méthode d’attaque.
Les contrôleurs modernes sont des appareils compatibles Web et hébergent souvent leurs propres sites Web de gestion. Ces serveurs Web intégrés représentent un point d’entrée souvent négligé par les attaquants.
Un attaquant pourrait infecter l’application Web du contrôleur, permettant ainsi à un logiciel malveillant de s’exécuter dans le navigateur Web d’un ingénieur ou d’un opérateur connecté pour gérer l’usine. Cette exécution permet à un code malveillant de s’appuyer sur une session utilisateur légitime, de contourner le pare-feu et d’envoyer des commandes à la machine physique sans avoir à déchiffrer le mot de passe de l’appareil.
L’ampleur de cette vulnérabilité est énorme et le potentiel de dommages s’étend bien au-delà du réseau électrique : les transports, la fabrication, les systèmes de traitement de l’eau, etc.
À l’aide d’outils d’analyse automatisés, mes collègues et moi avons découvert que le nombre de contrôleurs industriels exposés à l’Internet public est nettement supérieur aux estimations de l’industrie. Des milliers d’appareils critiques, depuis les équipements hospitaliers jusqu’aux relais de sous-stations, sont visibles par toute personne disposant des bons critères de recherche. Cette exposition offre aux adversaires un riche terrain de chasse pour effectuer des reconnaissances et identifier des cibles vulnérables qui servent de points d’entrée à des réseaux plus profonds et plus protégés.
Les récentes cyberopérations américaines réussies rendent difficile l’examen des vulnérabilités américaines. La vérité inconfortable est que le réseau électrique américain repose sur les mêmes technologies, protocoles et chaînes d’approvisionnement que les systèmes qui ont été compromis à l’étranger. https://www.youtube.com/embed/wnhCuYRYCdM?wmode=transparent&start=0 Le réseau électrique américain est vulnérable aux pirates.
Désalignement de la réglementation
Mais les risques nationaux sont encore exacerbés par un cadre réglementaire qui peine à répondre aux réalités du réseau. Mes collègues et moi avons mené une étude approfondie du secteur électrique américain qui a révélé un écart important entre la conformité réglementaire et la sécurité réelle. Nos recherches montrent que même si les réglementations établissent des lignes de base, elles encouragent souvent la réflexion sur des listes de contrôle. Les services publics sont aux prises avec des exigences excessives en matière de documentation qui détournent les ressources des mesures de sécurité efficaces.
Ce retard réglementaire est particulièrement préoccupant compte tenu de l’évolution rapide de la technologie qui connecte les clients au réseau électrique. La prolifération des ressources énergétiques distribuées, telles que les onduleurs solaires résidentiels, a créé d’importantes vulnérabilités décentralisées qui échappent largement à la portée des réglementations actuelles.
Une analyse soutenue par le ministère de l’Énergie montre que ces appareils sont souvent dangereux. Mes collègues et moi avons découvert qu’en compromettant un pourcentage relativement faible de ces onduleurs, un attaquant peut manipuler la puissance de sortie et provoquer une instabilité significative sur le réseau de distribution d’énergie. Contrairement aux centrales électriques centralisées, protégées par des gardes et des systèmes de sécurité, ces appareils sont installés dans les habitations privées et les entreprises.
considérer le physique
Pour protéger l’infrastructure américaine, nous devons aller au-delà des listes de contrôle de conformité qui dominent actuellement le secteur. Les stratégies de défense nécessitent désormais un niveau de sophistication à la hauteur des attaques. Cela représente un changement fondamental vers les mesures de sécurité qui prennent en compte la manière dont les attaquants peuvent manipuler les machines physiques.
L’intégration d’ordinateurs connectés à Internet dans les réseaux électriques, les usines et les réseaux de transport crée un monde où les frontières entre code et destruction physique sont irrévocablement floues.
Pour garantir la résilience de votre infrastructure critique, au lieu de faire confiance sans réserve aux logiciels et au matériel ou au feu vert de votre panneau de contrôle, vous devez accepter cette nouvelle réalité et construire des défenses qui valident chaque composant.
Saman Zonowuz, professeur agrégé de cybersécurité et de confidentialité, de génie électrique et informatique, Georgia Institute of Technology
Cet article est republié à partir de The Conversation sous une licence Creative Commons. Lisez l’article original.
