Comment un simple logiciel VPN peut-il mettre en péril la sécurité de noms de domaine aussi en vue que .co.uk? C’est la question que soulève aujourd’hui l’incident de cybersécurité impliquant Nominet, le registre de domaine britannique bien connu. Ce dernier a récemment confirmé que sa sécurité avait été compromise à cause d’une vulnérabilité exploitée dans le logiciel VPN d’Ivanti. Pourquoi une telle brèche est-elle apparue, et quels en sont les risques réels?
Nominet a alerté ses clients par email d’un « incident de sécurité en cours ». Si cette alerte initiale a semé la panique, elle soulève surtout la question de la fiabilité des logiciels tiers dans la protection des systèmes critiques. Comment un logiciel tiers, censé sécuriser l’accès à un réseau, peut-il lui-même devenir une porte d’entrée pour les hackers? Que s’est-il exactement passé avec cette vulnérabilité d’Ivanti?
Il apparaît que les hackers ont pénétré dans le système de Nominet via le logiciel VPN « Connect Secure » d’Ivanti, exploitant ainsi une vulnérabilité zero-day. Mais pourquoi cette faille n’a-t-elle pas pu être corrigée à temps? L’entreprise Ivanti a admis la semaine dernière que cette faille était effectivement utilisée pour s’introduire dans les réseaux de ses clients, sans toutefois préciser combien de compagnies ont été touchées. Ce silence inquiète-t-il les professionnels de la cybersécurité autant que nous?
L’incertitude plane sur l’ampleur réelle de cette compromission.
Nominet reste, pour l’instant, le seul à avoir confirmé un impact direct de cette faille d’Ivanti sur ses systèmes, mais rassure quant à l’absence de preuve d’une fuite de données pour le moment. Pourtant, le fait que seulement l’accès au VPN ait été restreint semble-t-il suffisant pour garantir la sécurisation des systèmes? L’entreprise peut-elle protéger ses utilisateurs du pire en limitant simplement l’accès à un logiciel vulnérable en attendant? Les entreprises doivent-elles revoir leur politique de confiance envers les fournisseurs de logiciels tiers suite à cet incident?
Alors que la confiance dans les partenariats technologiques se fragilise, ce cas soulève de sérieuses questions sur la cyberprotection. Quels outils, pratiques ou technologies peuvent garantir une véritable invulnérabilité face à des attaques toujours plus sophistiquées?
Source : Techcrunch
