Évoquant d’anciens employés de la NSA qui se sont exprimés sous couvert de l’anonymat à cause de la sensibilité de cette affaire, le Washington Post a affirmé que lorsque la NSA a commencé à utiliser son outil de piratage appelé EternalBlue, ceux qui ont été chargés de le déployer ont été à la fois émerveillés par sa puissance rare, mais ont également redouté le danger que cela pouvait représenter si l’outil venait à être perdu. Certains fonctionnaires se sont même demandé si la faille n’était pas tellement dangereuse qu’il fallait absolument la révéler à Microsoft.Mais le choix de la NSA a été fait : pendant plus de cinq ans, l’agence de renseignement a continué d’en profiter et désormais les pires inquiétudes de certains agents sont devenues réalité : le ransomware WannaCry, qui a fait des victimes dans des dizaines de pays, s’appuie sur des outils de la NSA. L’attaque s’est propagée tellement vite que Microsoft s’est vue contrainte de publier des correctifs pour des versions de ses systèmes qu’il ne supporte plus. C’est ainsi que Windows XP a pu recevoir son premier correctif en trois ans.
Dans un billet des plus passionnés publié dimanche dernier, Brad Smith, qui est le juriste en chef de Microsoft, n’a pas manqué d’en appeler à la responsabilité de l’État : « Cette attaque fournit un autre exemple de la raison pour laquelle le stockage des vulnérabilités par les gouvernements est un problème. Il s'agit d'un modèle émergent en 2017. Nous avons vu des vulnérabilités stockées par la CIA apparaître sur WikiLeaks, et maintenant cette vulnérabilité volée de la NSA a touché des clients à travers le monde. À plusieurs reprises, les exploits entre les mains des gouvernements se sont répandus dans le domaine public et ont causé des dégâts répandus. Un scénario équivalent avec des armes conventionnelles serait l'armée américaine dont certains de ses missiles Tomahawk sont volés. Et cette attaque la plus récente représente un lien complètement involontaire, mais déconcertant entre les deux formes les plus sérieuses de menaces de la cybersécurité dans le monde d'aujourd'hui : l'action de l'État-nation et l'action criminelle organisée. »
Alors que peu de critiques disent que la NSA ne devrait plus développer de logiciels malveillants, l'incident de WannaCry a relancé les inquiétudes concernant la sécurité interne dans une agence qui, en 2013, a perdu énormément de documents classés secrets au profit de son ancien contractuel Edward Snowden.
« Ils doivent absolument faire un meilleur travail dans la protection des outils de piratage. Vous ne pouvez pas défendre cela », a déclaré l'ancien directeur de la NSA, Keith B. Alexander, qui a dirigé l'agence de 2005 à 2014, mais a déclaré qu'il n’était pas dans la mesure d’émettre un quelconque commentaire sur un outil en particulier parmi ceux que Shadow Brokers a laissé fuiter.
Richard Ledgett, qui a pris sa retraite le mois dernier en tant que directeur adjoint de la NSA, a déclaré que divulguer toutes les failles empilées par l’agence équivaudrait à un « désarmement unilatéral ». Aussi, il a déclaré que « tout irait bien » si la NSA révélait toutes les vulnérabilités qu'elle trouve être « absurdes ».
Keith B. Alexander
La NSA, lanceur d'alerte ?
Après avoir appris que certains de ses outils de piratage les plus précieux, parmi lesquels EternalBlue ont été volés par un groupe mystérieux qui s'appelait les Shadow Brokers, l’agence a décidé d’avertir Microsoft. Ce qui a permis à l’entreprise de préparer un correctif de sécurité qui a été diffusé durant le mois de mars. Cependant, les Shadow Brokers ne se sont pas contentés de publier la faille, ce qui aurait demandé aux pirates un certain temps avant de pouvoir développer des outils pour l’exploiter : ils ont publié les exploits utilisés par la NSA. Ce qui implique que même un pirate débutant qui se sert d’eux peut causer des dégâts.
Il y a quelques mois, alors que les Shadow Brokers ont commencé leur campagne de divulgation d’exploits, un ancien haut responsable de l'administration a expliqué que « Dès lors, la valeur du renseignement des exploits a été "dégradée", de sorte qu'il a été décidé que la NSA alerterait tous les fournisseurs concernés. »
« La NSA a identifié un risque et l'a communiqué à Microsoft, qui a publié un correctif immédiat » en mars, a déclaré Mike McNerney, un ancien responsable de la cybersécurité du Pentagone et un membre du Truman National Security Project. Le problème, a-t-il dit, c'est qu’aucun haut fonctionnaire n’a pris l’initiative de crier au monde : « Celui-ci est très sérieux et nous devons nous protéger. »
L'article du Washington Post est le premier à déclarer explicitement que la NSA a été la source qui a alerté Microsoft sur la vulnérabilité corrigée dans le bulletin de sécurité MS17-010 de mars. Mais ce n'est pas une grande surprise : plusieurs éléments de preuve ont amené des spéculations qui ont duré des semaines selon lesquelles la NSA serait la partie divulgatrice.
Le premier élément de preuve était le timing. Le 7 janvier, les Shadow Brokers ont annoncé la vente aux enchères de dizaines d'outils de la NSA, dont un appelé DoublePulsar, une porte dérobée installée par EternalBlue. Cinq semaines plus tard, Microsoft a brusquement annulé la mise à jour programmée de février, citant un problème de dernière minute non divulgué. C'était la première fois que l'entreprise avait annulé un Patch Tuesday. Quatre semaines plus tard, MS17-010 a été publié. Et précisément 28 jours après, les Shadow Brokers ont publié EternalBlue, DoublePulsar et des dizaines d'autres outils de piratage.
Le second élément a été la décision de Microsoft de ne pas nommer la partie qui a signalé les vulnérabilités colmatées dans le bulletin MS17-010. Alors qu’il peut arriver que les bulletins Microsoft omettent de temps à autre de divulguer les parties à l’origine de l’alerte, la plupart d'entre elles sont créditées.
Source : Washington Post
Envoyé par Stéphane le calme
