Beaucoup de choses ont été écrites ces derniers jours à propos de l'attaque informatique par un virus dénommé Struxnet contre l'Iran et en particulier contre ses installations nucléaires de Bouchehr et Natanz .
La première des contre-vérités énnoncées est qu'il s'agit de la première attaque de ce type contre ce que l'on nomme des Automates Programmables Industriels - ici de marque Siemens - et un SCADA - Supervisory Control and Data Acquisition - le systéme de télegestion qui supervise les installations industrielles lui aussi developpé par Siemens : SIMATIC WinCC
Les API ce sont des petits automates à base de microcontroleurs destinés à surveiller des fonctions particulières dans un systéme industriel : Controler le niveau d'eau dans une cuve et déclancher suivant les informations " Niveau trop haut " ou " Niveau trop bas " la mise en service d'une pompe d'alimentation ou d'une vanne d'évacuation , fermer l'alimentation en vapeur d'une turbine sur detection d'une survitesse si celle-ci s'emballe ,gérer la lubrifcation des paliers durant les phases de démarrage et d'arrêt d'une turbine , gérer le gradient de vitesse durant la phase de démarrage et d'arrêt d'une turbine afin d'éviter les zones de résonance mécaniques ...et l'une des caractéristiques de ce virus est de réecrire ou de supprimer , en camouflant cette modification , des lignes ou des blocs de programmes permettant la detection de parametres cruciaux ou l'activation de ces fonctions sensibles
Une telle modifcation fait que l'automate ne detecte plus un paramétre critique comme une pression trop haute ou une vitesse trop élevée ou ne provoque pas l'activation de fonctions comme la mise en service d'une lubrification .
La première attaque de ce type daterait du début des années 80 lorsque la CIA aurait introduit dans des logiciels des API et du SCADA pilotant les compresseurs du gazoduc Novi Ourengoï - Extrême Orient des codes malveillants . Ceux -ci auraient "detectés" des baisses de pression innexistantes , obligeant les compresseurs à compenser cette baisse de pression innexistante et provoquant ainsi l'explosion du gazoduc par surpression elle aussi non-detectée .
Les ingénieurs et techniciens de la société ABB étaient d'ailleurs conscients que ce type d'attaque était possible contre leurs systèmes de contrôle à l'aune de l'attaque conte le gazoduc Soviètique et ce des le début des années 90 .
Lors de la mise en service du systéme de contrôle de la centrale hydroélectrique de Vianden au Luxembourg à laquelle j'ai participé - travaillant alors chez le turbinier Neyrpic - cette possibilité avait été évoquée à demi-mots lorsqu'il a été question de telegestion decentralisée de la centrale via un modem . Il en était de même pour des automates comme des régulations de vitesse pour turbines qui étaient en cours de développement au sein de la société qui m'employait , l'accés se faisant via des organisers PSION .
La seconde contre-verité annoncée est que contrairement à ce que beaucoup d'experts - ou bien vite autoproclamés et baptisés tels comme Ralph Langner et Frank Rieger abondament cité dans ce dossier - ont annoncés , Siemens a démenti avoir fourni des systémes de contrôle industriels pour la construction de la centrale nucléaire de Bouchehr et la mise en service de celle-ci poursuit son cours . La présence de systémes Siemens se basait sur une seule photographie d'un écran de la salle de contrôle de la centrale dont le graphisme reproduisait celui des interfaces graphiques de la société Siemens .
Avant de se lancer dans des spéculations hasardeuses et catastrophistes dans le seul objectif de gagner une notorité mediatique , il aurait fallu verifier cette information de base !
Un conseil qu'auraient du suivre aussi les Stakhanovistes du clavier de la blogosphère Francophone et Anglosaxonne - plus particulièrement la blogosphère philosioniste - qui ont commenté ce dossier ces derniers jours et qui ont cité MM. Ralph Langner et Frank Rieger - sans parler d' " experts Israéliens en informatique " - sans chercher à verifier cette donnée basique .
Il est aussi peu probable que ces SCADA destinés certainement à piloter ce que l'on appelle les auxiliaires ( pompes du circuit de réfrigeration par exemple ) de la centrale aient été acquis par des voies détournées . Si les API sont disponibles chez de nombreux revendeurs à travers le monde et si tout un chacun disposant de connaissances de base en informatique et en génie des systèmes industriels peut en acquérir un pour gérer ce que bon lui semble ,l'acquistion du système de contrôle passe par des contrats d'ingénierie entre sociétés . De plus les developpements associés sur le système de base indiquent vite à quel type d'industrie ce système est destiné .
On doit donc se trouver en présence d'un système indigène ou celui fourni par la société Russe Atomstroyexport qui reprend les normes graphiques des interfaces homme-machine des systémes développés par Siemens qui sont devenus pratiquement des normes internationales .
Idem en ce qui concerne la centrale de Natanz ou les systémes visés auraient pu être des automates pour la gestion du vide , de l'acheminement des fluides ou les variateurs de vitesse qui controlent la rotation des centrifugeuses et surtout leurs phases critiques de montée et de descente en vitesse ainsi que la coordination des cascades de centrigeuses entre-elles . Siemens ne rapporte d'ailleurs aucune attaque virale contre ses systèmes SIMOTION ou SINAMICS .
Des ordinateurs de la centrale , certainement des ordinateurs du système de gestion du " non-nucléaire " cad par exemple le personnel de la centrale et des ordinateurs personnels ont bien été affectés par le virus Struxnet comme l'on reconnu les Iraniens et ceux-ci l'ont neutralisé .
Il est hautement improbable que les responsables techniques Iraniens et Russes aient d'autre part établi des passerelles entre le système de gestion administratif de la centrale ( administrative network ) et les systémes de gestion de la partie nucléaire et electro-mécanique de la centrale ( operation network ) et si ces passerelles existent elles doivent être en cours de supression , ce qui nous amène à l'échec de cette attaque si elle a eu lieue .
La troisième contre-vérité est que cette attaque si elle a été organisée par une structure étatique - de nombreux sites de propagande prosionistes ou philosémites ont clamé une " victoire Israélienne " dans une " Guerre du XXI éme siècle " avant de se rétracter devant le fiasco de ce pétard mouillé - soit un succés . C'est un " one shot " pour cette " silver bullet " qui aurait manqué ses deux cibles principales .
La centrale nucléaire de Bouchehr poursuit sa phase de démarrage avec le chargement du combustible , phase dont la fin est prévue mi-novembre , et l'électricité qui sera produite par la centrale iranienne de Bouchehr alimentera le réseau national à partir de janvier a annoncé aujourd'hui le chef du programme nucléaire Iranien Ali Akbar Salehi , les centrifugeuses de Natanz tournent toujours mais les responsables de la sécurité informatique Iranienne connaissent desormais les failles par lesquelles un virus de type Struxnet peut s'attaquer à leurs systèmes et auront à coeur à renforcer les mesures de sécurité comme l'accés via des périphériques comme les clefs USB à un systéme de contrôle industriel . De la même manière les connexions au reseau global ou à celui d'une entreprise ou d'un groupe ( corporate network ) de tels systèmes , une héresie sécuritaire soit dit en passant , si elles existent seront supprimées rendant caduques les deux autres fonctionnalités de virus de type Struxnet à savoir le declanchement de l'attaque sur un ordre extérieur et la communication de statistiques sur des paramètres des systémes infectés . On imagine aussi sans peine que l'accés à ces installations sensibles et aux periphériques sera de plus en plus contrôlé et reglementé , rendant une attaque via un insider - quelque soit le motif qui le guide - beaucoup plus difficile . [ Voir rapport sur la securité d'un système SCADA de la société ABB ] .
On est dans une repetition du scenario de l'attaque contre les installations nucléaires Syriennes : Si le programme intrusif aéroporté Suter a pu béneficier de l'architecture défaillante de la Défense Aérienne Syrienne qui melangeait radars automoteurs Soviétiques et systémes de missiles TOR au travers de liaisons VHF , les nouveaux materiels fournis par la Russie comme le système de défense " Bastion-P " utilisent des liaisons directionnelles micro-ondes et surtout des reseaux doubles ou triples de communications par fibre-optique et sont destinés à fonctionner en " circuit fermé " , le systéme radar étant intégré ou relié au travers d'un reseau sécurisé vis à vis d'une intrusion qui ont été renforcés suite au retour d'expérience de l'Operation Orchard .
Dans les deux cas ces attaques ont révélé des failles qui ont servi à un renforcement des systèmes concernés ainsi que surtout celui des procèdures d'exploitation et de mise en oeuvre .
Signalons enfin , et toujours dans l'hypothèse de l'attaque par une structure étatique - et dans ce cas ce sont bien sur Israel et les Etats-Unis qui sont les usual suspects - ce qui est loin d'être confirmé , on se retrouverait dans un cas juridique assez plaisant et assez savoureux .
Si une plainte de l'Iran devant la Cour Internationale de Justice ou à l'ONU a assez peu de chances d'aboutir par une sanction contre l'agresseur compte tenu de l'état actuel des relations internationales , une plainte de la socièté Siemens qui est de facto la première victime de cette attaque contre un état - Israel et les Etats-Unis - ne manquerait pas de piquant et pourrait bien se solder par des dommages conséquents pour le défendeur .
Il faudrait alors à l'agresseur un serieux dossier montrant que cette société a contrevenu aux régles de l'embargo à destination de l'Iran qui aurait justifié un tel ciblage .
Dans un communiqué la société Siemens annonçait qu'elle étudiait la possibilité de poursuites contre les auteurs de l'attaque contre ses systèmes au moyen de Struxnet . Wait and see !
Note de l'Editeur :
La société Siemens propose un programme correctif et disponible sur le net à cette adresse .
Documentation
Rapport sur la sécurité informatique d'un système SCADA/EMS de la société ABB d'une centrale hydroelectrique Etasunienne et en particulier la page 11 sur les attaques :
" Attackers, whose motives include widespread disruption, may want to get into systems, such as ABB SCADA/EMS system, to cause havoc in whatever sector can be breached. a Industrial espionage or sabotage might also be a motive for attackers of an ABB SCADA/EMS system. Insiders also pose a significant threat, as in the case of the Australian disgruntled employee, Vitek Boden, who used a digital control system to leak hundreds of thousands of gallons of putrid sludge into parks, rivers, and the manicured grounds of the Maroochy Shire Hyatt Regency hotel."