La NSA a trouvé une faille dangereuse dans Windows et a demandé à Microsoft de la corriger

NSOC NSA NSA

La National Security Agency a découvert une faille majeure dans Microsoft Windows qui aurait permis à des pirates de compromettre les dernières versions de Windows 10, un système d'exploitation utilisé par près d'un milliard d'appareils.

Le cryptographique défaut pourrait permettre à un attaquant de déguiser un logiciel malveillant en logiciel légitime. L'utilisateur n'aurait aucun moyen de savoir que le fichier était malveillant, car la signature numérique semble provenir d'un fournisseur de confiance, a déclaré Microsoft. L'exploitation de la vulnérabilité pourrait également permettre à un pirate de intercepter et modifier communications Internet cryptées, selon un rapport de l'Université Carnegie Mellon.

Dans un rare communiqué de presse de l'agence , la NSA a exhorté les utilisateurs de Windows à mettre à jour et a déclaré que la vulnérabilité 'critique' serait rapidement comprise par les pirates parrainés par le gouvernement.

L'agence a transmis la faille à Microsoft, qui a publié un correctif le 14 janvier. Il n'y a pas si longtemps, la NSA aurait simplement utilisé l'exploit pour ses propres objectifs offensifs, mais les agences de renseignement du pays ont changé de stratégie au cours de la dernière décennie. La décision de corriger la faille plutôt que de l'utiliser comme une arme représente une victoire pour la direction de la cybersécurité de la NSA, le département récemment lancé chargé de la mission de cyberdéfense de l'agence.

Lorsque la nouvelle direction de la cybersécurité a été mise en place, nous avons noté que nous voulions faire les choses différemment, a déclaré Anne Neuberger, la directrice du département. Nous voulons une nouvelle approche du partage, pour instaurer la confiance avec la communauté de la cybersécurité. C'est un aspect clé de cela.

Avec ce défaut, Neuberger fait sa marque de manière publique sur l'agence notoirement secrète.

En 2008, les États-Unis ont commencé à élaborer un plan appelé Vulnerabilities Equities Process pour faire face aux principales failles technologiques et aux cybercapacités. L'objectif était d'améliorer la défense des systèmes d'information aux États-Unis - aucun pays ne s'appuie davantage sur un Internet sûr et sécurisé. La NSA est l'agence exécutive derrière le plan, qui comprend également le FBI, la CIA, les départements de l'Énergie, de l'État, du Commerce, etc. L'objectif est un processus complet pour peser les besoins offensifs et défensifs de la nation à mesure que de nouvelles failles sont découvertes.

C'est la tension essentielle de l'ère numérique, a déclaré Jason Healey, un ancien responsable de la cybersécurité de la Maison Blanche. Dans quelle mesure utilisons-nous cela [offensivement], et dans quelle mesure voulons-nous être en sécurité lorsque nous sommes en ligne ? »

Cet exploit a été transmis au Vulnerabilities Equities Process, puis divulgué à Microsoft, a déclaré Neuberger.

La NSA a déclaré qu'elle n'avait vu aucun exploit de la faille Windows. Microsoft, qui a une visibilité extraordinaire sur les exploits utilisés dans le monde, affirme également ne pas avoir vu la faille exploitée.

Bien que la NSA ait signalé des vulnérabilités aux éditeurs de logiciels pendant des années, c'est la première fois qu'elle s'attribue le mérite public.

Une partie de l'établissement de la confiance consiste à montrer les données, a déclaré Neuberger. Nous soumettons des vulnérabilités depuis longtemps, mais nous n'avons jamais autorisé l'attribution, et par conséquent, il est difficile pour les entités de nous faire confiance. La deuxième partie de la décision est que nous voulons nous pencher en avant pour conseiller les réseaux d'infrastructures critiques, pour sensibiliser. Pour ce faire, nous savions que nous devions être très transparents à ce sujet.

La NSA a toujours eu une cyber-mission défensive parallèlement à sa mission offensive beaucoup plus médiatisée. En 2017, l'agence a signalé un outil de piratage appelé EternalBlue à Microsoft, qui a ensuite publié un correctif. Ce rapport est intervenu après qu'un groupe de piratage opaque appelé Shadow Brokers, soupçonné d'être des agents du renseignement russe, a volé les outils. Après la publication du correctif, Shadow Brokers les a publiés en ligne.

Microsoft a maintenant publié un correctif officiel pour la faille actuelle, mais cela peut encore prendre beaucoup de temps pour que les mises à jour prennent effet. EternalBlue a été utilisé dans certains des plus gros incidents de piratage, y compris la campagne de ransomware WannaCry, des mois après la publication des correctifs.

Ce même risque s'applique à la faille critique d'aujourd'hui. Il y a toujours un délai entre la publication d'un correctif et le moment où la protection est effectivement appliquée aux machines du monde entier. C'est une fenêtre de temps que les pirates cherchent à exploiter. Les experts recommandent de mettre à jour votre machine régulièrement.

Cet article a été mis à jour avec des informations plus spécifiques sur la vulnérabilité.

cacher