Exfiltration des données stratégiques, attaques indirectes, opérations dé déstabilisation ou d’influence, génération de cryptomonnaies, Fraude en ligne constitue les cinq menaces de l’année 2018.

C’est le constat que fait l’ANSSI, dans son rapport annuel qui considère que les attaques les plus visibles prennent la forme de sabotage, l’espionnage est le risque qui pèse le plus sur les organisations. Il a été une préoccupation majeure pour l’ANSSI en 2018. Discrets, patients, et bénéficiant d’un financement important, les attaquants s’intéressent de plus en plus aux secteurs d’activité d’importance vitale et aux infrastructures critiques spécifiques, comme les secteurs de la défense, de la santé ou encore de la recherche.

« Des groupes très organisés préparent ce qui ressemble aux conflits de demain, en s’introduisant dans les infrastructures des systèmes les plus critiques. » considère Guillaume Poupard, directeur général de l’ANSSI.

L’agence a également observé une augmentation des attaques indirectes en 2018. En ciblant un ou plusieurs intermédiaires (fournisseur, prestataire, etc.), les attaquants parviennent à contourner les mesures de sécurité de très grandes organisations, pourtant de plus en plus conscientes du risque numérique. La compromission d’un seul intermédiaire suffit parfois à accéder à plusieurs organisations.

Les opérations de déstabilisation et d’influence ont été particulièrement nombreuses en 2018. Sans être très sophistiquées, ces attaques ont un fort impact symbolique, lié à la nature des cibles visées et aux revendications dont elles font l’objet.

Tout au long de l’année, l’ANSSI a pu observer une multiplicité d’attaques visant à générer des cryptomonnaies. Les attaquants, de plus en plus organisés en réseaux, profitent des failles de sécurité pour déposer discrètement des mineurs de cryptomonnaies. Contrairement aux rançongiciels, ces logiciels malveillants sont les plus discrets possibles.

Enfin, l’agence a constaté une montée en puissance de la fraude en ligne. Les grands opérateurs se préoccupant de plus en plus de leur sécurité numérique, les attaquants se tournent vers des cibles moins exposées mais plus vulnérables. De nombreuses campagnes d’hameçonnage ciblant des collectivités territoriales ou des acteurs du secteur de la santé ont été observées en 2018.

Créer il y a dix ans, l’ANSSI emploie aujourd’hui 600 salariés dont de nombreux spécialistes en cybersécurité. En 2018, l’ANSSI fait état de près de 1900 signalements, 391 incidents hors opérateurs d’importance vitale (OIV), 16 incidents majeurs et 14 opérations de cyberdéfense.

 

L’ANSSI et le cloud

Plus difficile à évaluer que la seule sécurité, la confiance dans des infrastructures de type Cloud ne peut s’envisager que dans la durée. Les réponses actuellement apportées consistent essentiellement en l’isolation des systèmes les plus sensibles. Cette approche atteint ses limites et doit conduire à la mise en œuvre d’initiatives qui ne seront porteuses de sens et de résultats qu’à l’échelle européenne.

L’instauration de la confiance en ces solutions doit, selon l’ANSSI, s’attacher à instruire plusieurs champs d’action :
– réduire les risques liés à la migration des données dans le cloud par une attention renforcée à l’égard des processus critiques et l’intervention du législateur européen ;
– accompagner le phénomène de « dépérimétrisation » du système par la recherche d’un équilibre entre fonctionnalité et fermeté ;
– s’adapter au déplacement de la sécurité des systèmes vers la sécurité de l’information et des services numériques par un accompagnement au changement à la fois culturel et opérationnel.

 

Gildas Avoine, professeur en sécurité informatique et cryptographie à l’INSA Rennes

Gildas Avoine qui dirige le groupement de recherche en sécurité informatique du CNRS identifie un certain nombre de défis majeurs.

– Le premier concerne la cryptographie post-quantique. Ce sujet d’actualité mobilise des chercheurs du monde entier dans l’objectif de trouver des algorithmes capables de résister à la puissance d’un ordinateur quantique.
– Le second défi porte sur la cryptographie homomorphe. Cette dernière doit permettre la réalisation de calculs sur des données chiffrées, une solution particulièrement intéressante à l’heure du Cloud pour déléguer des calculs sans révéler les données.
– Le troisième concerne les preuves, c’est-à-dire qu’il consiste à prouver, sous certaines hypothèses, qu’un système est sûr.
– Le quatrième défi concerne l’intelligence artificielle et les perspectives qu’elle pourrait offrir en matière de cybersécurité.
– Le cinquième et dernier défi est quant à lui proche des sciences humaines puisqu’il s’intéresse à la vie privée et à l’éthique pour s’interroger, par exemple, sur la pertinence d’être transparent ou non sur les algorithmes utilisés.

 

CLIP OS : Un OS sécurisé

L’ANSSI contribue à 13 projets Open Source parmi lesquels CLIP OS, un OS qu’elle développe, fait évoluer et utilise CLIP OS depuis 2006. Basé sur Linux, ce système d’exploitation intègre un ensemble de mécanismes de sécurité qui lui confèrent un haut niveau de résistance aux codes malveillants et lui permettent d’assurer la protection d’informations sensibles.

Il fournit par ailleurs des mécanismes de cloisonnement qui rendent possible le traitement simultané, sur le même poste informatique, d’informations publiques d’une part et classifiées d’autre part, grâce à deux environnements logiciels isolés. L’objectif est ainsi de réduire les risques de fuite d’informations sensibles sur un réseau public.

S’il n’existe actuellement pas de version « prête à l’emploi » de CLIP OS pour le grand public, l’ANSSI propose à chacun de contribuer au développement et au durcissement du système d’exploitation, pour mieux répondre aux usages et aux besoins spécifiques de chaque déploiement. À cette fin, l’agence met à disposition de la communauté :

– Le code source et la documentation en français de la version 4 de CLIP OS pour initier et faciliter les développements futurs ;
– Le code source et la documentation en anglais de la version 5 de CLIP OS en cours de développement.