De nombreux systèmes industriels suisses sont accessibles sans mot de passe

Les systèmes de contrôle et d’acquisition de données (SCADA), servant à gérer et surveiller des processus industriels, sont régulièrement pointés du doigt en raison de leur vulnérabilité. L’affaire du ver Stuxnet (conçu par la NSA en collaboration avec une unité de renseignement de l’Armée de défense d’Israël) avait notamment défrayé la chronique en 2010. Si dans ce cas précis l’attaque reposait sur un virus, un hacker malintentionné n’aurait pas toujours besoin de sortir l’artillerie lourde pour accéder à ces systèmes de contrôle. Car ces derniers peuvent parfois être d’authentiques passoires, par exemple s’ils sont connectés sans protection à un serveur VNC, utilisé pour afficher et contrôler à distance un tableau de bord.

Une centaine de serveurs de contrôle à distance ouverts au tout-venant

Jeune pousse zurichoise spécialisée en cybersécurité, BinaryEdge propose avec sa plateforme 40fy un service pour contrôler dans quelle mesure les entreprises sont exposées en ligne. Sa technologie scanne les données ouvertes de l’internet public «à raison d’environ 200 ports pas adresse IP tous les mois», précise à la rédaction son CEO Tiago Henriques. La start-up a récemment publié un rapport consacré à la vulnérabilité des services et systèmes connectés en Suisse. Parmi les quelque 19 millions d’adresses IP suisses analysées en février dernier par BinaryEdge, 3936 serveurs VNC ont été détectés, dont 100 accessibles sans le moindre mot de passe ou autre processus de contrôle d’accès. Encore plus inquiétant: beaucoup de ces serveurs auxquels il est possible de se connecter avec des outils simples donnent accès à des SCADA gérant des infrastructures potentiellement critiques. Le rapport mentionne en vrac des systèmes GPS, domotiques et d’approvisionnement en eau, des réseaux de chauffage ou encore des stations d’épuration.

En outre, 96 SCADA non équipés de VNC mais accessibles depuis le web public ont été répertoriés par BinaryEdge. Per exemple des modèles de la gamme Modicon de Schneider Electric ou Synco de Siemens. Les systèmes connectés à un serveur VNC sans protection présentent toutefois un risque plus élevé, explique le CEO, car ils offrent un accès direct à l’interface, tandis qu’infiltrer un SCADA ouvert «permet d’identifier les appareils connectés mais pas d’avoir accès directement aux boutons de contrôle.»

En Suisse, le protocole SSH a la cote

La vulnérabilité des SCADA est aussi liée au protocole de réseau utilisé pour accéder ou gérer à distance des machines via des lignes de commande. Le rapport de BinaryEdge se concentre sur deux protocoles: Telnet et SSH (Secure Shell). «Pour faire simple, Telnet est une version non sécurisée de SSH, dans la même logique que HTTP par rapport à HTTPS», explique Tiago Henriques. SSH permet effectivement le chiffrement des données transférées. Pourtant, parmi les près de 73'000 services reposant en Suisse sur ces protocoles, près de 12'000 font encore appel à Telnet et 5'230 combinent Telnet et SSH. «Les administrateurs système devraient envisager de couper l'accès Telnet et d’utiliser uniquement SSH», concluent sur ce point les experts de BinaryEdge.

Listés des VNC ouverts peut rapporter gros

La technologie de Binary Edge permet donc, entre autres, de montrer qu’entreprises ou utilisateurs privés font souvent l’impasse sur les mesures de protection de leur serveur VNC. Fin mars, un site illustrant publiquement ces négligences a fait parler de lui: VNC Roulette. Son concept: faire défiler aléatoirement des captures d’écran de desktop et autres interfaces accessibles sans mot de passe via un serveur VNC. Dont de nombreux systèmes SCADA disséminés au quatre coins de la planète. Le site a ensuite été mis hors ligne. Contacté par le blog Motherboead du site Vice, l’auteur de VNC Roulette, un hacker marocain de 19 ans, a avoué avoir vendu pour 30 000 dollars la liste des systèmes et ordinateurs vulnérables qui dé‚filent sur le site à un groupe russe non identifié… lequel n’a peut-être pas que de louables intentions.