Portes dérobées : Cisco veut rassurer ses clients

C’est un nouvel effort de transparence auquel Cisco vient de consentir. Dans un billet de blog, l’équipementier explique ainsi avoir créé un service qui « va permettre aux clients d’examiner et de tester logiciels et matériels Cisco, y compris le code source, dans un environnement dédié sécurisé, sur un site » du constructeur.

Pour l’heure, ce service, baptisé Technology Verification Service, démarre en phase de test, avec un « groupe sélectionné » de clients, mais Cisco enregistre déjà les commandes pour ce qui sera payant et conditionné à la signature d’un accord de confidentialité.

Pas question, donc, de fournir de code source aux clients, ni même de leur permettre de le consulter à distance : il faudra se rendre sur place. Le premier site d’accueil sera le Research Triangle Park, sur le campus de Caroline du Nord de l’équipementier. Il doit ouvrir ses portes au cours du premier semestre 2016. Un second site, en Europe, est prévu six mois plus tard.

Dans un document de présentation, Cisco replace l’annonce de ce service dans le cadre plus large « d’une série d’actions démontrant [son] engagement en faveur de solutions technologiques dignes de confiance ». Et de préciser s’être « engagé à fournir aux clients une visibilité sur la technologie qui solidifie des relations basées sur la confiance ».

Le tout renvoie directement aux révélations sur les pratiques de la NSA. Fin 2013, des documents révélés par Edward Snowden laissaient à penser que l’agence américaine du renseignement avait déjà infiltré plus de 50 000 réseaux informatiques à travers le monde, en s’appuyant sur des mouchards adaptés aux modèles courants de routeurs, commutateurs et pare-feu.

Déjà, en mai 2014, John Chambers, patron de Cisco, s’inquiétait du climat de défiance produit par les multiples révélations relatives aux activités de la NSA : « nous ne pouvons pas travailler de cette façon. Nos clients nous font confiance pour leur fournir des produits qui répondent aux standards d’intégrité et de sécurité les plus élevés ». Il réagissait là aux allégations d’interception d’équipements informatiques américains par la NSA afin d’y insérer des portes dérobées.

Récemment, FireEye a d’ailleurs découvert une attaque furtive visant le firmware des routeurs Cisco afin de s’assurer une présence persistante sur les réseaux compromis. Aucun lien avec l’agence américaine du renseignement n’a été établi, mais cette menace, baptisée SYNful Knock, s’avère plus répandue que ne l’imaginaient initialement les experts et donne de quoi alimenter la suspicion.

Cisco n’est pas le premier à jouer ainsi la transparence pour rassurer. Microsoft l’a devancé avec l’annonce, début 2014, d’un centre, à Bruxelles, où ses clients gouvernementaux peuvent examiner le code source de ses produits.