Le ver Slammer s'est offert une centrale nucléaire américaine

Le ver Slammer/Sapphire avait fait un tour du monde très remarqué en janvier 2003, en infectant de nombreuses grandes entreprises, dont MicrosoftMicrosoft (qui fournissait pourtant depuis six mois un correctif censé empêcher l'infection).

Mais l'on vient d'apprendre aujourd'hui que Slammer a aussi infecté le réseau d'une centrale nucléairecentrale nucléaire américaine. C'est ce que reconnaît la Commission de Régulation du Nucléaire (Nuclear Regulatory Commission), neuf mois après les évènements.

La commission explique que le ver a tout d'abord infecté le réseau privé d'un prestataire de service avant d'emprunter la ligne T1 qui reliait directement ce fournisseur au réseau de la centrale nucléaire de Davis-Besse, dans l'Ohio. Cette ligne à haut débit contournait le pare-feupare-feu de la centrale, qui, lui, bloquait pourtant correctement les ports utilisés par Slammer pour se répliquer.

Une fois sur le réseau, le ver a trouvé des serveurs Microsoft SQL Server 2000 non corrigés (le patch existait pourtant depuis six mois) et a pu les infecter librement. Les perturbations causées par Slammer ont alors neutralisé pendant plusieurs heures deux systèmes de contrôle jugés importants, dont l'un chargé d'afficher l'état des systèmes critiques de la centrale.

Selon la NRC toutefois, la centrale n'était pas en danger, grâce notamment à la présence de systèmes analogiquesanalogiques chargés des mêmes fonctions. En outre, lorsque l'incident a eu lieu, la centrale de Davis-Besse ne fonctionnait pas : elle était arrêtée depuis près de deux ans, à la suite de la découverte d'un trou dans la tête de son réacteur.

Au delà de l'intérêt médiatique que suscite le moindre incident lié à l'industrie nucléaire, cette affaire pose surtout à nouveau le problème du choix des systèmes informatiques utilisés dans le cadre de mission critiques.

Le recours massif à des systèmes de même type et d'un même éditeur crée une dépendance forte vis-à-vis du matériel, qui peut alors faciliter la propagation d'une perturbation mineure et en accentuer les effets. La lettre que l'OSSIR (Observatoire de la Sécurité des Systèmes d'Information et des Réseaux) a adressé dès l'an 2000 au Gouvernement, dénonçant les risques posés par la "mono-culture" informatique, est ainsi plus que jamais d'actualité.