Faille de sécurité « Les entreprises aussi devraient fermer leurs sites »

Les entreprises sont loin d’être à l’abri de la faille de sécurité qui a forcé des gouvernements partout dans le monde, dont Québec et Ottawa, à fermer leurs sites. Mais la majorité d’entre elles risquent de ne même pas savoir qu’elles sont vulnérables, préviennent des experts consultés par La Presse.

« C’est toujours ça le problème, j’appelle ça la chaîne d’incompétence, déplore Eric Parent, PDG d’EVA Technologies, une firme montréalaise de cybersécurité. Tu demandes à tes gens de l’informatique qui ne sont pas ferrés, ils vont dire que tu ne l’as pas, ce logiciel. Et dans trois mois, tu apprends que tu l’avais. »

Depuis vendredi, la firme de M. Parent a effectué des vérifications préliminaires chez une quarantaine de ses clients, sur une centaine au total. « Ils l’ont tous. Jusqu’à maintenant, il n’y en a pas un qui ne l’a pas. »

« Les entreprises aussi devraient fermer leurs sites en attendant de savoir », estime-t-il.

Journaux contaminés

Contrairement aux failles de sécurité classiques, qui touchent essentiellement un produit précis, comme Microsoft Server Exchange le printemps dernier, « Log4Shell » concerne un outil développé en code source ouvert. Développée par la fondation Apache, la bibliothèque Java Log4j a été intégrée à des milliers de plateformes et de logiciels et installée sur des millions de serveurs. Elle permet essentiellement de produire des journaux d’activités, des « logs ».

La vulnérabilité consiste en une simple ligne de code qu’un cyberpirate peut coller dans un formulaire sur le web et qui permet de prendre le contrôle du serveur. Il peut ensuite y installer des logiciels malicieux ou récupérer des données personnelles.

La vulnérabilité a été découverte le 24 novembre par un informaticien du géant chinois du commerce électronique Alibaba, Chen Zhaojun. Un correctif a été publié le 6 décembre. Mais ce n’est qu’à partir du 9 décembre que la plupart des experts dans le monde ont appris son existence. Depuis, de grandes entreprises comme Apple, Tesla et Microsoft – dans son jeu Minecraft – ont confirmé être vulnérables à cette faille, qui a par ailleurs forcé de nombreux organismes et gouvernements à suspendre l’accès à leurs sites.

Il s’agirait de la pire faille informatique de l’histoire. Au moment d’écrire ces lignes, on n’avait pas encore confirmé si elle avait déjà été exploitée par des cybercriminels.

Recherche de victimes

Chez ESET, une entreprise de cybersécurité établie en Slovaquie qui a ouvert un bureau à Montréal, on confirme enquêter sur cette vulnérabilité depuis le 10 décembre et avoir publié un correctif le lendemain pour les 20 produits de l’entreprise. Fait troublant, on a relevé dès le 11 décembre des attaques utilisant cette faille, qui ont été bloquées.

Il est peu probable qu’il s’agissait d’attaques ciblées, indique Marc-Etienne Léveillé, chercheur sénior en logiciels malveillants chez ESET.

Les premières indications, révèle-t-il, font état de groupes de cyberpirates dont le principal objectif est d’installer des logiciels sur les ordinateurs de leurs victimes pour miner des cryptomonnaies.

Savoir si les serveurs d’une entreprise utilisent la bibliothèque Java Log4j peut être une tâche colossale, voire impossible pour de petites entreprises. Au Québec, le ministre délégué à la Transformation numérique, Éric Caire, l’a comparée au fait de trouver « combien de pièces dans tous les immeubles du gouvernement du Québec utilisent des ampoules 60 watts ».

Questionné lundi au sujet de la cyberattaque, le premier ministre François Legault a réitéré qu’aucune donnée personnelle n’était en jeu, mais que « c’est un risque qu’on est en train de corriger pour s’assurer qu’il n’y ait pas de gens avec des mauvaises intentions qui utilisent ça pour rentrer dans nos réseaux. On va les garder fermés jusqu’à tant que les corrections soient faites », a-t-il dit en parlant des plateformes numériques du gouvernement du Québec.

Log4j n’est pas un logiciel en tant que tel, mais un outil qu’on greffe à des systèmes existants. Et comme il s’agit de code source ouvert, aucune entreprise en informatique ne dispose d’une liste exhaustive de ses utilisateurs, qui se chiffrent vraisemblablement en millions.

« On le trouve sur n’importe quel système, ça se peut très bien que tu ne saches même pas qu’il est installé dans ton entreprise, estime Eric Parent. Il faudrait que ce soit le manufacturier qui te prévienne que ce type précis d’équipement a cette vulnérabilité. »

La faille pourrait même toucher le simple consommateur, s’il possède par exemple des disques durs réseau ou des webcams dont les interfaces génèrent des journaux d’activités, prévient Eric Parent.

Se protéger… ou fermer

Les entreprises qui ont confié la gestion de leur réseau informatique à de grandes entreprises infonuagiques peuvent raisonnablement considérer que leur fournisseur s’est protégé, note-t-il. « Je ne suis pas un grand fan du cloud, mais ce sont des compagnies qui ont des milliers de personnes qui s’occupent de sécurité. »

Pour les autres, une révision complète du réseau informatique, par des employés ou des firmes externes spécialisées, s’impose. Mais la simple mise à jour d’un outil comme Log4j, qui permettrait d’éliminer la vulnérabilité, n’est pas à la portée de tous, prévient Marc-Etienne Léveillé. « Ce serait la meilleure chose à faire. Mais dans certains cas, ça fait partie d’un système qui n’a pas été mis à jour, lui. »

En attendant de faire ces vérifications, et s’il est impossible de fermer temporairement les serveurs, Eric Parent conseille de modifier certaines configurations, notamment en arrêtant la mise à jour des journaux d’activités. « Là, au moins, la faille ne peut être exploitée. Sinon, tu restes sans rien faire et tu attends de te faire avoir. »

Avec la collaboration d’Henri Ouellette-Vézina, La Presse