Un type vient-il d’arrêter une énorme cyberattaque ?

Internet, comme vous le dira quiconque travaille au plus profond de ses tranchées, n’est pas une machine fluide et bien huilée.

Il s’agit d’un patchwork désordonné qui a été assemblé au fil des décennies et qui est maintenu ensemble avec l’équivalent numérique du scotch et du bubble-gum. Une grande partie repose sur des logiciels open source qui sont entretenus sans merci par une petite armée de programmeurs bénévoles qui corrigent les bugs, colmatent les failles et veillent à ce que l’ensemble de cet engin branlant, responsable de milliards de dollars de PIB mondial, continue de fonctionner.

La semaine dernière, l’un de ces programmeurs a peut-être sauvé Internet d’énormes problèmes.

Il s’appelle Andrés Freund. C’est un ingénieur logiciel de 38 ans qui vit à San Francisco et travaille chez Microsoft. Son travail consiste à développer un logiciel de base de données open source connu sous le nom de PostgreSQL, dont les détails vous ennuieraient probablement aux larmes si je pouvais les expliquer correctement, ce que je ne peux pas.

Récemment, alors qu’il effectuait une maintenance de routine, M. Freund a découvert par inadvertance une porte dérobée cachée dans un logiciel faisant partie du système d’exploitation Linux. La porte dérobée était un prélude possible à une cyberattaque majeure qui, selon les experts, aurait pu causer d’énormes dégâts si elle avait réussi.

Aujourd’hui, à la manière d’Hollywood, les leaders technologiques et les chercheurs en cybersécurité saluent M. Freund comme un héros. Satya Nadella, le directeur général de Microsoft, loué sa curiosité et son savoir-faire. Un admirateur je l’ai appelé le gorille à dos argenté des nerds. Les ingénieurs ont fait circuler une vieille bande dessinée Web célèbre parmi les programmeurs sur la façon dont toute l’infrastructure numérique moderne repose sur un projet géré par un gars au hasard dans le Nebraska. (Dans leur récit, M. Freund est le type aléatoire du Nebraska.)

Dans une interview cette semaine, M. Freund, qui est en fait un codeur d’origine allemande à la voix douce et qui a refusé de se faire prendre en photo pour cette histoire, a déclaré que devenir un héros populaire sur Internet avait été désorientant.

Je trouve ça très étrange, dit-il. Je suis une personne assez privée qui s’assoit juste devant l’ordinateur et pirate du code.

La saga a commencé plus tôt cette année, alors que M. Freund revenait d’une visite chez ses parents en Allemagne. En examinant un journal de tests automatisés, il a remarqué quelques messages d’erreur qu’il n’a pas reconnus. Il souffrait du décalage horaire et les messages ne semblaient pas urgents, alors il les a rangés dans sa mémoire.

Mais quelques semaines plus tard, alors qu’il effectuait d’autres tests chez lui, il a remarqué qu’une application appelée SSH, utilisée pour se connecter à distance aux ordinateurs, utilisait plus de puissance de traitement que d’habitude. Il a attribué le problème à un ensemble d’outils de compression de données appelés xz Utils et s’est demandé s’il était lié aux erreurs qu’il avait constatées précédemment.

(Ne vous inquiétez pas si ces noms sont grecs pour vous. Tout ce que vous devez savoir, c’est que ce sont tous de petits éléments du système d’exploitation Linux, qui est probablement le logiciel open source le plus important au monde. La grande majorité des les serveurs du monde, y compris ceux utilisés par les banques, les hôpitaux, les gouvernements et les sociétés Fortune 500, fonctionnent sous Linux, ce qui fait de sa sécurité une question d’importance mondiale.)

Comme d’autres logiciels open source populaires, Linux est constamment mis à jour et la plupart des bugs sont le résultat d’erreurs innocentes. Mais lorsque M. Freund a examiné de près le code source de xz Utils, il a vu des indices indiquant qu’il avait été intentionnellement falsifié.

Il a notamment découvert que quelqu’un avait implanté du code malveillant dans les dernières versions de xz Utils. Le code, connu sous le nom de porte dérobée, permettrait à son créateur de détourner la connexion SSH d’un utilisateur et d’exécuter secrètement son propre code sur la machine de cet utilisateur.

Dans le monde de la cybersécurité, un ingénieur de bases de données trouvant par inadvertance une porte dérobée dans une fonctionnalité principale de Linux est un peu comme un boulanger qui sent une miche de pain fraîchement cuite, sent que quelque chose ne va pas et en déduit correctement que quelqu’un a falsifié l’ensemble de l’approvisionnement mondial en levure. . C’est le genre d’intuition qui nécessite des années d’expérience et une attention obsessionnelle aux détails, ainsi qu’une bonne dose de chance.

Au début, M. Freund a douté de ses propres conclusions. Avait-il vraiment découvert une porte dérobée dans l’un des programmes open source les plus scrutés au monde ?

C’était surréaliste, dit-il. Il y avait des moments où je me disais, j’avais juste dû passer une mauvaise nuit de sommeil et faire des rêves fébriles.

Mais ses recherches n’ont cessé de révéler de nouvelles preuves et la semaine dernière, M. Freund a envoyé ses conclusions à un groupe de développeurs de logiciels open source. La nouvelle a enflammé le monde de la technologie. En quelques heures, un correctif a été développé et certains chercheurs lui ont attribué le mérite d’avoir empêché une cyberattaque potentiellement historique.

Cela aurait pu être la porte dérobée la plus répandue et la plus efficace jamais implantée dans un produit logiciel, a déclaré Alex Stamos, directeur de la confiance chez SentinelOne, une société de recherche en cybersécurité.

Si elle n’avait pas été détectée, a déclaré M. Stamos, la porte dérobée aurait donné à ses créateurs une clé principale pour n’importe lequel des centaines de millions d’ordinateurs dans le monde qui exécutent SSH. Cette clé aurait pu leur permettre de voler des informations privées, d’installer des logiciels malveillants paralysants ou de provoquer des perturbations majeures de l’infrastructure sans se faire prendre.

(Le New York Times a poursuivi Microsoft et son partenaire OpenAI pour violation du droit d’auteur impliquant des systèmes d’intelligence artificielle qui génèrent du texte.)

Personne ne sait qui a installé la porte dérobée. Mais le complot semble avoir été si élaboré que certains chercheurs pensent que seule une nation dotée de formidables compétences en matière de piratage informatique, comme la Russie ou la Chine, aurait pu le tenter.

Selon certains chercheurs qui ont examiné les preuves, l’attaquant semble avoir utilisé un pseudonyme, Jia Tan, pour suggérer des modifications à xz Utils dès 2022. (De nombreux projets de logiciels open source sont régis par une hiérarchie ; les développeurs suggèrent des modifications au code d’un programme, puis les développeurs plus expérimentés, appelés responsables, doivent examiner et approuver les modifications.)

L’attaquant, utilisant le nom de Jia Tan, semble avoir passé plusieurs années à gagner lentement la confiance des autres développeurs de xz Utils et à obtenir davantage de contrôle sur le projet, pour finalement devenir un responsable et finalement insérer le code avec la porte dérobée cachée plus tôt cette année. (La nouvelle version compromise du code avait été publiée, mais n’était pas encore largement utilisée.)

M. Freund a refusé de deviner qui aurait pu être à l’origine de l’attaque. Mais il a ajouté que l’identité de celui-ci avait été suffisamment sophistiquée pour tenter de brouiller les traces, notamment en ajoutant un code qui rendait la porte dérobée plus difficile à repérer.

C’était très mystérieux, dit-il. Ils ont clairement déployé beaucoup d’efforts pour essayer de cacher ce qu’ils faisaient.

Depuis que ses conclusions ont été rendues publiques, a déclaré M. Freund, il a aidé les équipes qui tentent de procéder à une ingénierie inverse de l’attaque et d’identifier le coupable. Mais il est trop occupé pour se reposer sur ses lauriers. La prochaine version de PostgreSQL, le logiciel de base de données sur lequel il travaille, sortira plus tard cette année, et il essaie d’apporter quelques modifications de dernière minute avant la date limite.

Je n’ai pas vraiment le temps d’aller prendre un verre pour fêter ça, dit-il.