Computer Security: today's paranoia, tomorrow's reality
Authors/Creators
Description
When the Internet opened its gates to academia in the late 80s and, together with the World Wide Web a few years later, to the general public, computer security was considered somehow irrelevant. People pointing to vulnerabilities and security risks (“hackers”) were labelled as paranoid. But they woke to reality during the outbreak of the “ILOVEYOU” virus in 2000, which caused large scale infections of Windows PCs (including many at CERN).
Similarly, warnings about weaknesses and insecure control systems, issued by CERN and others (see our Bulletin article “Hacking control systems, switching lights off!"), were ignored until the “Stuxnet” attack against control systems in Iran proved them right in 2010. Reality beat 'paranoia' again. Last year, the paranoid fear of many security experts that our whole IT infrastructure might have been infiltrated and spied on turned real, if you believe in the revelations of whistle-blower Edward Snowden (see "Security vs. Nations: a lost battle?"). Paranoia vs. Reality: 0-3. And the next strike is approaching…
The Internet is currently transforming away from an instrument for people sharing information to an “Internet of Things” with almost any device able to publish relevant and irrelevant data to all those who listen. Many gaming consoles and even TV sets require Internet connectivity for an “enhanced entertainment experience”. So do cars, as their entertainment systems provide interfaces to communicate with your phone. In the future, they might even communicate with other cars and the next traffic light to optimise traffic flow. “SmartMeters” will measure your energy consumption at home and share this with your energy provider in real time - using the Internet. “Nest Labs” (recently acquired by Google) does the same with home air conditioning and heating. Espresso machines provide USB ports for you to upload your favourite recipes and make your “coffee experience” even better.
The paranoia? All these devices run some kind of operating system. But compared to computers or laptops, the corresponding hardware vendors do not have a real incentive to provide permanent updates and patches for them. Currently, even some smartphone manufacturers are slow to provide suitable upgrades to the firmware of their older product lines. Why should we expect better from a manufacturer of Internet-ready espresso machines or heating systems controllable from your tablet PC? Indeed, this reality has already caught up with us, as German heating systems were found vulnerable* and numerous fridges(!) where found to be sending spam messages into the world...
Conclusion? Being paranoid is not that bad. It might just mean that you’re ahead of your time. At CERN, we should listen more to our intuition. Do we really have sufficient security measures in place? Is our data properly protected? Are our computing services able to fend attackers off? Is the way we do development and testing still adequate given that today everything is interconnected? When will reality enter CERN and create havoc? We’re interested to know where you would invest in computer security at CERN, where to improve, and what to leave out. Just e-mail us at Computer.Security@cern.ch. Be paranoid!
* Subsequently, the corresponding vendor suggested affected households disconnect their Ethernet cable.
Check out our website for further information, answers to your questions and help, or e-mail Computer.Security@cern.ch.
If you want to learn more about computer security incidents and issues at CERN, just follow our Monthly Report.
Access the entire collection of Computer Security articles here.
Other (French)
Quand internet a ouvert ses portes au monde académique, vers la fin des années 1980, rejoint quelques années plus tard par le World Wide Web, la sécurité informatique, du point de vue du public, n'était pas vraiment considérée comme faisant parti de l’équation. Toute personne parlant de vulnérabilités et de problèmes de sécurité (hackers) se voyait rapidement affublée de l’adjectif « paranoïaque ». Ce n’est qu’après l’épidémie du virus « ILOVEYOU », en 2000, qui a été responsable de l’infection à grande échelle d'ordinateurs Windows (parmi lesquels un certain nombre d'ordinateurs au CERN), que la sécurité informatique est devenue une réalité.
De même, les avertissements sur la faiblesse et l'absence de sécurité des systèmes de contrôle émis par le CERN et tant d'autres (voir notre article du Bulletin intitulé « Pirater les systèmes de contrôle, éteindre les lumières ») ont été ignorés, jusqu'à ce que l'attaque Stuxnet contre des systèmes de contrôle en Iran, en 2010, prouve leur pertinence. La réalité a fini par rejoindre la paranoïa. L'année dernière, la peur paranoïaque d'experts de la sécurité informatique, qui laissaient supposer que toute l'infrastructure informatique avait pu être infiltrée et mise sur écoute, s'est, à son tour, révélée être fondée (à en juger par les révélations d'Edward Snowden (voir notre article intitulé « Sécurité contre Nations : une bataille perdue ? »)). Paranoïa contre réalité : trois coups d'avance. Et le prochain se rapproche...
Internet est en constante évolution, s'éloignant de plus en plus d'un simple outil de partage de l’information, et se dirigeant de plus en plus vers un « internet des objets », comprenant tout un ensemble d'instruments publiant des données en grande quantité, intéressantes ou non, pour tous ceux qui « écoutent » : beaucoup de consoles de jeu, et même, de télévisions, ont besoin d'une connexion à internet, pour une « expérience de divertissement enrichie ». Même les voitures sont connectées puisque leurs systèmes de divertissement peuvent être connectés à votre téléphone. Dans un futur proche, elles pourraient même discuter entre elles et avec les feux de circulation afin d'optimiser le trafic. Les « compteurs intelligents » mesureront votre consommation électrique chez vous en continu et partageront cette information avec votre fournisseur d'énergie, potentiellement par internet. Nest Labs, récemment acheté par Google, fait de même avec votre chauffage et votre climatisation. Certaines machines à espresso ont un port USB pour vous permettre d'ajouter vos recettes préférées et ainsi rendre votre café plus à votre goût. Là aussi, internet attend au prochain tournant.
Le risque perçu par les paranoïaques ? Tous ces équipements utilisent une forme ou une autre de système d'exploitation. Mais comparés à ceux de nos ordinateurs, les vendeurs de ces équipements n'ont pas de réelles motivations pour fournir en continu des mises à jour et des patches de sécurité. Même certains fabricants de smartphones sont très lents pour fournir les mises à jour de firmware pour leurs gammes de produits plus anciennes. Pourquoi s’attendre à mieux de la part des fabricants de machines à café connectées à internet ou de systèmes de chauffage contrôlables depuis votre tablette ? Et la réalité a à nouveau rejoint la paranoïa : des vulnérabilités* ont été identifiées dans des systèmes de chauffage allemands et certains réfrigérateurs (!) se sont révélés être les expéditeurs de SPAM au monde entier.
Conclusion ? Être paranoïaque n'est pas si mal. Cela signifie peut-être simplement que vous êtes en avance sur votre temps. Au CERN, nous écoutons davantage notre intuition. Avons-nous suffisamment de mesures de sécurité en place ? Nos données sont-elles protégées convenablement ? Nos habitudes de développement et de vérification de nos systèmes sont-elles encore adéquates maintenant que tout est interconnecté ?
Dites-nous dans quel(s) domaine(s) de la sécurité informatique au CERN vous investiriez ; ce qui, selon vous, nécessite des améliorations ; et ce qui peut simplement être ignoré, en envoyant un courriel à Computer.Security@cern.ch. Soyez paranoïaques !
* Après quoi, le vendeur correspondant a suggéré aux personnes concernées de déconnecter le câble ethernet…
Si vous voulez en savoir plus sur les incidents et les problèmes de sécurité informatique rencontrés au CERN, consultez notre rapport mensuel (en anglais).
Et bien sûr, n'hésitez pas à contacter l'équipe de sécurité informatique ou à consulter notre site web.
Accédez à la collection complète d'articles de l'équipe de sécurité informatique ici.
Additional details
Identifiers
- CDS
- 1743554
- CDS Report Number
- BUL-NA-2014-158
Related works
- Is published in
- Periodical issue: fhhc9-nwt98 (CDS)
- Periodical issue: 8xe04-16x70 (CDS)