Scada : des dizaines de failles consolidées

En 2010, le ver Stuxnet a jeté une lumière crue sur la sécurité des systèmes informatisés de contrôle des infrastructures industrielles, les Scada. Alors qu’ils étaient longtemps restés à l’écart des questions de sécurité, leur vulnérabilité est apparue au grand jour. Certains n’hésitant pas d’ailleurs à fustiger une absence de culture de la sécurité informatique chez les éditeurs de solutions de ce type. Des chercheurs ont décidé de prendre le taureau par les cornes.

A l’image de Luigi Auriemma dont le message publié sur le Bugtraq daté de ce lundi 21 mars, jette un beau pavé dans la mare. Décrivant les Scada comme les systèmes informatiques permettant de contrôler tout ce que le monde compte de systèmes industriels «plus ou moins critiques, de l’énergie aux infrastructures publiques», il souligne leur banalité : «ils sont comme tout autre logiciel que l’on peut utiliser au quotidien, avec leurs entrées et vulnérabilités : débordement de pile ou de tas, déborder de valeurs entières, exécution de commandes arbitraires, formatage de chaînes de caractères, corruptions de mémoire», etc. Non content de se livrer à cet inventaire à la Prévert, le chercheur met à disposition, sur son site Web, quelques dizaines de failles qu’il a découvertes dans des logiciels Scada signés Siemens, Iconics, 7-Technologies ou encore DATAC. Suivant la logique du Full Disclosure et poussant l’exercice jusqu’à proposer des exemples de code d’exploitation des failles. Interrogé par nos confrères du Register, Luigi Auriemma explique sa démarche : «les Scada constituent un domaine critique mais personne ne s’en préoccupe réellement.»

Un kit d’exploit russe

Mais Luigi Auriemma n’est pas le seul à s’inquiéter des menaces potentielles sur les Scada. La semaine passée, la société russe Gleg, qui se présente comme spécialiste de la sécurité des systèmes d’information, a lancé Agora SCADA+, «une tentative pour rassembler toutes les vulnérabilités Scada publiquement disponibles au sein d’ un unique kit d’exploitation ». Gleg ne précise pas les tarifs de son pack mais en vante lourdement les qualités : «les Scada et les vulnérabilités associées sont très particuliers en raison de leur nature sensible et de l’impact énorme d’une exploitation réussie. Les systèmes Scada sont en outre difficiles à patcher. Ainsi, les vieilles vulnérabilités restent actuelles.» Ce kit contient des bugs récents comme anciens, failles 0-day, etc. Une arme à double tranchant, peut-être même plus que l’initiative de Luigi Auriemma qui a, elle, le mérite d’être ouverte…

Egalement sur LeMagIT.fr
RSA Conference 2011 : Interrogations autour du concept de cyberguerre

Stuxnet met en lumière l’absence de culture de sécurité IT dans les SCADA