La FCC veut des règles pour la partie la plus importante d’Internet dont vous n’avez probablement jamais entendu parler

La Federal Communications Commission s’apprête à voter jeudi sur le rétablissement des règles historiques de neutralité du net qui, selon la commission, renforceront sa base pour rédiger davantage de réglementations sur la cybersécurité, mais l’industrie et certaines organisations axées sur la cybersécurité ont averti que ces nouvelles règles potentielles pourraient conduire à moins de sécurité. pas plus.

Dans le cadre de sa tentative de rétablir les règles de neutralité du net, la FCC envisage d’être mieux placée pour prendre des mesures pour protéger ce que la présidente de la FCC, Jessica Rosenworcel, et la directrice de la Cybersecurity and Infrastructure Security Agency, Jen Easterly, ont décrit dans un article de blog l’année dernière comme « la partie la plus importante ». d’Internet dont vous n’avez probablement jamais entendu parler » – le Border Gateway Protocol, ou BGP.

BGP est un ensemble de règles techniques pour le routage des données Internet, et Rosenworcel et Easterly ont fait valoir l’année dernière que les États-Unis étaient « à la traîne » en matière de sécurité BGP.

« BGP n’inclut pas de fonctionnalités de sécurité explicites pour garantir la confiance dans les informations échangées », ont-ils écrit. « En conséquence, un adversaire peut délibérément falsifier les informations d’accessibilité de BGP pour rediriger le trafic, et les acteurs au niveau de l’État ont été soupçonnés au fil des années d’exploiter la vulnérabilité de BGP au détournement. Ces « détournements BGP » peuvent exposer des informations personnelles, permettre le vol, l’extorsion et l’espionnage au niveau de l’État, et perturber les transactions critiques pour la sécurité, y compris dans le secteur financier.

La FCC a évoqué pour la première fois la possibilité d’une réglementation sur BGP en 2022, et en a discuté à nouveau dans la règle de neutralité du net publiée le 4 avril.

« La Commission pourrait envisager d’exiger des fournisseurs de services qu’ils déploient des solutions pour remédier aux vulnérabilités BGP, telles que les détournements BGP », a écrit la FCC dans la règle proposée en avril. « L’agence pourrait également envisager d’établir des exigences en matière de cybersécurité pour BGP, y compris « des fonctionnalités de sécurité pour garantir la confiance dans les informations qu’il est utilisé pour échanger », ce qui pourrait empêcher les mauvais acteurs de « falsifier délibérément ».[ing] Informations d’accessibilité BGP pour rediriger le trafic vers lui-même ou via un réseau tiers spécifique, et empêcher ce trafic d’atteindre son destinataire prévu.

Lorsque la FCC a envisagé pour la première fois de réglementer le BGP il y a deux ans, USTelecom – qui représente des sociétés comme Verizon et AT&T – a suggéré que les affirmations de la FCC auprès de l’autorité de régulation sur la question étaient juridiquement douteuses.

La FCC a écrit dans le document du 4 avril qu’agir en faveur de la neutralité du Net placerait l’agence « dans une position plus forte pour remédier aux vulnérabilités menaçant la sécurité et l’intégrité du Border Gateway Protocol ».

Mais certains remettent en question la sagesse des réglementations de la FCC sur le BGP. L’Internet Society, une organisation à but non lucratif qui milite en faveur d’un Internet ouvert et sécurisé, et la Global Cyber ​​Alliance, une organisation à but non lucratif axée sur la réduction des cyber-risques, ont récemment écrit à la FCC pour lui faire part de leurs préoccupations.

« Si la FCC devait procéder et émettre des réglementations sur la manière de répondre à certaines menaces de sécurité, ces réglementations resteraient inchangées », a déclaré John Morris, directeur de la politique Internet américaine et du plaidoyer à l’Internet Society. « Les fournisseurs se conformeraient à ces réglementations, et ils ne feraient peut-être rien de plus. »

La Global Cyber ​​Alliance dirige une initiative industrielle volontaire internationale connue sous le nom de Normes mutuellement convenues pour la sécurité du routage, autrefois dirigée par l’Internet Society. «Nous aimerions nous aussi un système de routage sécurisé», a déclaré Leslie Daigle, directrice de la technologie à la Global Cyber ​​Alliance. « Ce serait formidable de voir davantage de soutien aux efforts menés par l’industrie pour atteindre cet objectif plutôt que d’avoir à le réglementer. »

Les deux groupes craignent également que d’autres pays puissent répondre à l’action de la FCC en produisant des normes contradictoires qui fragmenteraient Internet, entraînant ainsi des risques supplémentaires pour la sécurité.

Cette position reflète également les préoccupations de l’industrie concernant la réglementation BGP qui ont fait surface lorsque la FCC a commencé à explorer la question en 2022.

« Verizon est d’accord avec presque tous les autres commentateurs sur le fait que la nature mondiale du routage Internet signifie que les États-Unis ne peuvent pas résoudre unilatéralement leurs vulnérabilités inhérentes en matière de sécurité, et qu’imposer l’adoption d’un ensemble particulier de technologies ou de normes serait contre-productif, voire nuisible », a écrit la société. .

Sous l’administration Biden, de nombreuses agences ont élaboré des réglementations et des directives en matière de cybersécurité, mais nombre d’entre elles se concentrent sur des cibles à haut risque au sein d’un secteur donné. Les réglementations de la FCC pourraient avoir un impact sur des milliers de fournisseurs de services Internet et de réseaux, a déclaré Morris.

Malgré le scepticisme du secteur privé, les agences fédérales semblent majoritairement soutenir l’approche de la FCC. En 2022, plusieurs agences ont signalé leur soutien aux efforts de la FCC pour sécuriser BGP.

« Nous comprenons que la nature mondiale d’Internet augmente les défis associés à la sécurisation de BGP », ont écrit les ministères de la Justice et de la Défense dans un dossier commun. « Du point de vue de la sécurité nationale, cependant, nous pensons que l’établissement d’une base de mesures de sécurité BGP à l’échelle du secteur contribuerait grandement à protéger la transmission des données et des communications des personnes américaines dans un environnement de menace en constante évolution. Le statu quo n’a pas atteint – et ne peut pas atteindre – cet objectif.

La FCC a également suggéré que le rétablissement des règles de neutralité du net pourrait l’aider à prendre des mesures pour répondre aux menaces de sécurité liées au système de noms de domaine. L’Internet Society et la Global Cyber ​​Alliance ont déclaré qu’elles auraient des doutes similaires quant à l’action de la FCC.

Plusieurs groupes industriels n’ont pas répondu aux demandes de commentaires sur les commentaires de la FCC concernant la réglementation BGP dans le document du 4 avril. La FCC n’a pas répondu aux demandes de commentaires sur les préoccupations de l’industrie et d’autres.

Plus largement, la FCC a fait de la cybersécurité une petite partie de son discours visant à rétablir la neutralité du net. Certains ont également remis en question d’autres éléments du discours de la FCC en matière de cybersécurité, par exemple si cela permettrait à la commission de s’en prendre aux fournisseurs de services à large bande qu’elle considère comme des risques pour la sécurité.