Les systèmes de contrôle/commande industriels sont la base de nos industries d’aujourd’hui. Ils permettent le pilotage, la conduite et la surveillance d’activités logistiques (oléoducs, gazoducs, réseaux de distribution de l’eau) ou encore d’activités de fabrication (centrale électrique nucléaire, thermique ou hydro-électrique, raffinerie, usine agro-alimentaire, usine d’armement, usine chimique).
Il y a quelques mois, Stuxnet, programme informatique auto-répliquable, a exploité une succession de failles des systèmes informatiques de deux centrales nucléaires en Iran dans le but d’agir sur des équipements physiques sensibles et de saboter ces sites industriels.
Il a la particularité de s’attaquer à des systèmes de contrôle/commande d’automates industriels en les reprogrammant et en dissimulant les modifications effectuées. Les configurations logicielles ciblées par l’attaque concernent des systèmes de conduite lourds tels que :
• les centrales hydro-électriques,
• les centrales nucléaires,
• les systèmes de distribution d’eau potable,
• les oléoducs.
Les dysfonctionnements provoqués sont cachés aux opérateurs et ont pour objectif la destruction des installations, le sabotage des produits ou la transmission d’informations à l’extérieur de l’entreprise. Dans le cadre précis de l’affaire Stuxnet, les équipements visés étaient les convertisseurs de fréquence chargés de gérer la rotation des moteurs des centrifugeuses nécessaires au processus de raffinage du combustible nucléaire (séparation physique des isotopes d’uranium pour fabriquer un combustible hautement enrichi). Cf. Rapport d'analyse du virus Stuxnet par Symantec.
Même s’il est difficile de connaitre les conséquences réelles de ce virus sur le programme nucléaire Iranien, il n’en demeure pas moins avéré que ce type d’attaque représente une menace réelle. La communauté mondiale a stigmatisé l’un des maillons de la chaine informatique et a pointé du doigt les failles d’un progiciel édité par Siemens. Ce n’est cependant que la partie émergée de l’iceberg, la réalité est plus dérangeante.
En effet, l’évolution des équipements de contrôle industriels a radicalement changé ces 10 dernières années. Il y a 10 ans, ces derniers étaient composés de panneaux où chaque action était pilotée par un interrupteur ou un bouton qu’il fallait actionner physiquement. Ces automates industriels fonctionnaient sur des systèmes d’exploitation propriétaire sans connexion Intranet ou Extranet. Toute opération de sabotage ou d’espionnage industriel nécessitait une action physique sur les installations.
Trois tendances majeures remettent en cause cette sécurité physique initiale.
La première est l’évolution technologique. Les actions de contrôle sont désormais faites via des équipements fonctionnant ensemble via un réseau informatique classique ‘Ethernet plug-and-play’ ; certains fonctionnent en mode sans fil ‘Wireless in the rack’ et sont accessibles à distance avec ou sans-fil.
La seconde concerne la facilité et les coûts. Les industriels s’équipent de solutions ‘standard’ identiques à celles issues de la bureautique car elles ont comme avantage d’être connues par tous et d’avoir un faible coût. Il n’est pas étonnant que des éditeurs de SCADA (ex : Siemens) ou de MES (ex : Apriso) proposent comme avantage de leurs progiciels un fonctionnement sous Windows. (Cf. Site web Apriso). Cependant, cette uniformisation de l’informatique bureautique et industrielle, tant sur le point du système d’exploitation que de l’infrastructure réseaux, facilite le travail de ceux dont le but est de saboter ou de piller des informations. Ci-dessous un exemple d’écran de conduite d’une installation de pompage d’eau qui ont été accessibles via internet avec l’identifiant et le mot de passe standard du fournisseur du logiciel. (Cf Site web US Homeland Security)
La troisième, enfin, est l’amélioration de la performance industrielle, en permettant le partage d’informations entre les différentes fonctions de l’entreprise comme les approvisionnements, la qualité, la maintenance, l’optimisation des capacités et des coûts. Cette interconnexion des systèmes de gestion d’entreprise (ERP) et des systèmes d’informatiques industriels (MES, SCADA) est source de nouveaux risques qui doivent impérativement être pris en compte pour éviter tout pillage d’information ou sabotage.
L’évolution des moyens informatiques et des nouvelles techniques de communication ainsi que la pression sur les coûts ont fait converger les industriels vers des infrastructures techniques de plus en plus standardisées et interconnectées. Même si cette tendance permet une amélioration de l’efficacité tout en réduisant le coût de possession, elle peut également déboucher sur une vulnérabilité sans précédent des industries.
Erwan Bastard
Il y a quelques mois, Stuxnet, programme informatique auto-répliquable, a exploité une succession de failles des systèmes informatiques de deux centrales nucléaires en Iran dans le but d’agir sur des équipements physiques sensibles et de saboter ces sites industriels.
Il a la particularité de s’attaquer à des systèmes de contrôle/commande d’automates industriels en les reprogrammant et en dissimulant les modifications effectuées. Les configurations logicielles ciblées par l’attaque concernent des systèmes de conduite lourds tels que :
• les centrales hydro-électriques,
• les centrales nucléaires,
• les systèmes de distribution d’eau potable,
• les oléoducs.
Les dysfonctionnements provoqués sont cachés aux opérateurs et ont pour objectif la destruction des installations, le sabotage des produits ou la transmission d’informations à l’extérieur de l’entreprise. Dans le cadre précis de l’affaire Stuxnet, les équipements visés étaient les convertisseurs de fréquence chargés de gérer la rotation des moteurs des centrifugeuses nécessaires au processus de raffinage du combustible nucléaire (séparation physique des isotopes d’uranium pour fabriquer un combustible hautement enrichi). Cf. Rapport d'analyse du virus Stuxnet par Symantec.
Même s’il est difficile de connaitre les conséquences réelles de ce virus sur le programme nucléaire Iranien, il n’en demeure pas moins avéré que ce type d’attaque représente une menace réelle. La communauté mondiale a stigmatisé l’un des maillons de la chaine informatique et a pointé du doigt les failles d’un progiciel édité par Siemens. Ce n’est cependant que la partie émergée de l’iceberg, la réalité est plus dérangeante.
En effet, l’évolution des équipements de contrôle industriels a radicalement changé ces 10 dernières années. Il y a 10 ans, ces derniers étaient composés de panneaux où chaque action était pilotée par un interrupteur ou un bouton qu’il fallait actionner physiquement. Ces automates industriels fonctionnaient sur des systèmes d’exploitation propriétaire sans connexion Intranet ou Extranet. Toute opération de sabotage ou d’espionnage industriel nécessitait une action physique sur les installations.
Trois tendances majeures remettent en cause cette sécurité physique initiale.
La première est l’évolution technologique. Les actions de contrôle sont désormais faites via des équipements fonctionnant ensemble via un réseau informatique classique ‘Ethernet plug-and-play’ ; certains fonctionnent en mode sans fil ‘Wireless in the rack’ et sont accessibles à distance avec ou sans-fil.
La seconde concerne la facilité et les coûts. Les industriels s’équipent de solutions ‘standard’ identiques à celles issues de la bureautique car elles ont comme avantage d’être connues par tous et d’avoir un faible coût. Il n’est pas étonnant que des éditeurs de SCADA (ex : Siemens) ou de MES (ex : Apriso) proposent comme avantage de leurs progiciels un fonctionnement sous Windows. (Cf. Site web Apriso). Cependant, cette uniformisation de l’informatique bureautique et industrielle, tant sur le point du système d’exploitation que de l’infrastructure réseaux, facilite le travail de ceux dont le but est de saboter ou de piller des informations. Ci-dessous un exemple d’écran de conduite d’une installation de pompage d’eau qui ont été accessibles via internet avec l’identifiant et le mot de passe standard du fournisseur du logiciel. (Cf Site web US Homeland Security)
La troisième, enfin, est l’amélioration de la performance industrielle, en permettant le partage d’informations entre les différentes fonctions de l’entreprise comme les approvisionnements, la qualité, la maintenance, l’optimisation des capacités et des coûts. Cette interconnexion des systèmes de gestion d’entreprise (ERP) et des systèmes d’informatiques industriels (MES, SCADA) est source de nouveaux risques qui doivent impérativement être pris en compte pour éviter tout pillage d’information ou sabotage.
L’évolution des moyens informatiques et des nouvelles techniques de communication ainsi que la pression sur les coûts ont fait converger les industriels vers des infrastructures techniques de plus en plus standardisées et interconnectées. Même si cette tendance permet une amélioration de l’efficacité tout en réduisant le coût de possession, elle peut également déboucher sur une vulnérabilité sans précédent des industries.
Erwan Bastard