Les vulnérabilités touchant les automates et les SCADAs sont à présent bien connues, et de nouvelles failles continuent d’être régulièrement rendues publiques(voir le précédent article à ce sujet).

Un certain nombre de fabricants d’automates et d’éditeurs ont commencé à publier des patchs pour corriger ces failles. On savait déjà que les industriels avaient du mal à mettre leurs systèmes à jour du fait de la nécessité d’arrêter la production et à cause du risque que cela ne « fonctionne plus comme avant ». Mais il y a pire…

Le concept de « forever-day »

Si certains constructeurs jouent le jeu, une nouvelle tendance est apparue : des éditeurs et fournisseurs annoncent que les failles sur leur produit ne feront jamais l’objet de correctifs. Le concept de « forever-day » vient d’être inventé pour définir ces failles publiquement connues, et qui seront à jamais (for ever) des « 0-day », c’est à dire connues sans correctif disponible.

Par exemple, la faille « buffer overflow » concernant une large gamme de logiciels ABB (voir précédent article) entre dans cette catégorie : malgré la gravité de la faille et le large nombre de systèmes impactés (bras robotisés dans l’industrie automobile, dans la chimie…), ABB a confirmé que dans la mesure où ces systèmes sont en fin de vie, ils ne produiront jamais de correctif.

Évidemment ABB n’est pas le seul. Cet article de ArsTechnica cite une faille dans le logiciel d’administration web d’un historian GE, qui « ne sera jamais corrigée ». GE recommande aux clients de le désinstaller…

C’est également le cas de failles dans les automates : l’article cite Schneider, mais également Siemens, dont les failles sur S7-300 (utilisées par Stuxnet) demeurent toujours sans correctif. Certes cela n’est pas une surprise puisque cela touche des aspects de design difficiles à « patcher », mais cela reste particulièrement gênant sur des automates, car contrairement aux logiciels sur postes Windows, dont on peut toujours activer le pare-feu pour cacher un port et donc un service avec une faille, la mise en œuvre d’un firewall devant un automate est possible mais coûteuse (les modules Tofino coûtent plusieurs k€ !).

Évidemment, les produits « en fin de vie » du point de vie d’un fournisseur, sont souvent « en pleine activité » dans l’industrie, qui fait durer les équipements plusieurs dizaines d’années.

Mais cette situation n’est pas une surprise

En effet, les chercheurs en sécurité qui se sont récemment illustrés en « découvrant » le monde industriel, continuent de découvrir ce que tout le monde (industriel) sait : les systèmes en production sont souvent obsolètes, c’est le cas des OS (certaines usines sont de vrais musées de l’informatique), de bases de données, et a fortiori des SCADAs et des automates !

C’est donc un fait : dans l’environnement industriel il y a des systèmes obsolètes. Pire : plus les systèmes pilotent des processus critiques, voire réalisent des fonctions de sûreté, plus ces systèmes sont obsolètes ! Un automate industriel doit en effet avoir fonctionné sans modification pendant des années pour avoir un historique permettant d’en connaître la fiabilité, et pouvoir l’utiliser dans des boucles de sûreté…

La réponse existe

Cela fait plusieurs années que les pionniers de la cybersécurité industrielle travaillent à des solutions. Étant donné qu’on ne peut pas sécuriser certains composants, on va les protéger de manière périphérique, en mettant des « couches » de sécurité. Cela s’appelle la défense en profondeur, c’est défini de manière détaillé depuis 2007 chez ISA, depuis 2008 chez AIEA pour le nucléaire.

Jusqu’à présent ces concepts n’avaient pas vraiment émergé en pratique, faute d’intérêt réel. Mais à présent leur pertinence apparaît clairement, d’autant plus que les différentes normes et référentiels subissent des liftings pour les mettre au goût du jour (ISA 99.03.03 fin 2011, AIEA « computer security at nuclear facilities » début 2012).

Et voici une bonne nouvelle : pour les avoir mis en œuvre réellement, je peux vous confirmer qu’ils sont pertinents, bien conçus, et réellement utilisables en pratique !

Il est donc temps de commencer à mettre en œuvre les solutions suggérées depuis des années. Seul bémol : il faut lire couramment l’anglais. En France en effet il y a une certaine agitation (comme détaillé dans le précédent article), mais les solutions pragmatiques et adaptées à l’industrie sont toujours attendues.

Tags: AIEA, Failles, ISA