Blend Web Mix - S.Bortzmeyer : "Nos instincts naturels ne sont pas préparés aux menaces du Web"

Les sites Internet d'aujourd'hui sont la cible de nombreuses attaques et l'homme n'est tout simplement pas préparé pour y faire face.

Stéphane Bortzmeyer, architecte système et réseau à l'AFNIC, dresse un tableau relativement noir de la sécurité informatique, notamment en ce qui concerne les attaques ciblant les sites Internet.

En janvier 2015, suite aux attentats de Charlie Hebdo, quelque 20 000 sites Web ont été défigurés. Selon Bernard Cazaneuve, ministre de l'Intérieur, il y aurait même eu une « cyber-guerre ». Mais selon M. Bortzmeyer, ce chiffre est assez faible au regard du nombre de sites accueillant une version non récente d'un CMS de type Wordpress.

Néanmoins, dans un monde idéal où les mises à jour seraient systématiques et forcées pour empêcher les attaques de type XSS (par cross scripting), CSRF ou injections SQL, le Web ne s'en trouverait pas plus sécurisé. Il reste les attaques par déni de service, celles contre le DNS et les noms de domaine ainsi que les manipulations de certificats frauduleux. Même les résolveurs des FAI peuvent se faire pirater. Ou les registres des extensions de noms de domaine. C'est par exemple le cas du .my en 2015 et 2015.

Stéphane Bortzmeyer affirme que n'importe qui peut voir son site Web piraté. Outre des revendications politiques, certaines attaques reposent sur des motivations financières ciblant des sites modestes. Ces derniers peuvent ainsi héberger des logiciels malveillants chiffrant les données des visiteurs en leur demandant une rançon pour pouvoir y accéder.



L'homme rappelle que les attaques peuvent aussi être des démonstrations de force pour un futur client. C'est notamment ce dont le répertoire open source Github a été victime.

Aujourd'hui, le constat sans appel est que la sécurité informatique est un échec. On doit faire face à des dangers en permanence et nos instincts naturels n'y sont pas préparés. Contrairement à une mise en forme en CSS, la sécurité ne se voit pas... jusqu'à ce que l'attaque ait lieu.

Selon M.Bortzmeyer notre intuition fonctionne précisément sur ce que l'on peut physiquement percevoir et selon l'endroit où l'on se trouve. Ainsi, l'adolescent qui publie des contenus privés sur Facebook depuis sa chambre se sent en sécurité chez lui car il ne voit pas les serveurs du réseau communautaire.

Un psychologue suggère même de passer des bruits de foule en permanence pour se mettre dans un état d'esprit moins sécurisé et afin de prendre conscience de la nature publique des données.