IPV6 vu par Gil Shwed, PDG de Check Point Software

Le patron de l'éditeur israélien de produits de sécurité revient sur les oppositions entre les différents systèmes d'exploitation du marché, et exprime son inquiétude sur la complexité d'IPV6, l'internet de deuxième génération.

Est-il plus facile aujourd'hui de vendre de la sécurité?
Non, je ne pense pas. Je trouve au contraire que ça devient plus compliqué.

Est-ce parce que les utilisateurs finaux ne font toujours pas ce qu'il faut? Ou parce que les utilisateurs malintentionnés sont de plus en plus dangereux?
Un peu des deux. Et aussi parce que nous dépendons de plus en plus des réseaux. Voyez plutôt: il y a dix ans, si quelqu'un attaquait votre réseau, vous ne vous en rendiez probablement même pas compte, parce qu'il était majoritairement connecté via Novell. Peu d'ordinateurs étaient connectés au réseau IP (protocole internet) ou à internet, et ce n'était pas une mauvaise chose. Aujourd'hui, dès que votre réseau ou votre connexion est légèrement perturbé, cela affecte toute l'entreprise. Les attaques prennent très vite de l'ampleur.

Quel est votre plus grand défi jusqu'en 2005? Où se situe le front de la bataille?
Je pense qu'il y a plusieurs fronts. Le plus important est le fait que de nombreuses attaques aujourd'hui ne sont pas facilement identifiables.

L'administrateur réseau est-il le maillon faible? Est-ce parce que les administrateurs répugnent à mettre à jour les systèmes, qui peuvent être la cible d'attaques?
Non. J'ai été administrateur réseau et lorsque je télécharge des logiciels sur mon système, je ne peux toujours pas affirmer avec certitude qu'ils sont sûrs. Par exemple, je dois faire confiance à CNET lorsque je récupère des logiciels depuis sa logithèque.

Les attaques que vous interceptez proviennent-elles plus de l'extérieur ou d'ordinateurs internes?
Les attaques viennent de partout. Il suffit qu'un utilisateur soit touché pour qu'un réseau entier soit infecté. Il faut se souvenir que les politiques adoptées par les entreprises jouent un rôle central. Une entreprise qui dit: «Si j'achète suffisamment de produits high-tech, nous serons protégés», n'a vraiment pas la bonne attitude.

Depuis 2001, il y a eu plusieurs grosses attaques sur l'internet. Certains pensent qu'une catastrophe finira par arriver. Qu'en dites-vous?
Comme pour tout, c'est une question de probabilité. Je pense que l'internet a une architecture très solide. Son point faible, c'est qu'il n'est pas contrôlé par une entité, si bien que des choses peuvent se répandre très vite. Mais c'est également positif, car personne ne peut le neutraliser, que ce soit à l'aide d'un virus informatique ou d'une décision administrative disant: «Il y a un problème; fermons tout et nous pourrons le résoudre.»
Même si je vends des solutions de sécurité et si je préfère que les utilisateurs achètent davantage de ces produits, il faut savoir que l'internet n'est pas en mauvaise forme. Il y a des millions de gens qui y sont reliés. Aujourd'hui, des entreprises en dépendent et sont dans l'ensemble disponibles en permanence grâce au réseau.

Selon vous, le Service Pack 2 de Microsoft va-t-il aider à améliorer la sécurité des PC?
Le SP2 est une bonne chose, mais je ne crois pas qu'il va changer quoi que ce soit de manière significative.

Pourquoi Microsoft a-t-il autant de mal à gérer les problèmes de sécurité?
Mon point de vue, en tant qu'expert en technologie, est très simple. Retournons vingt ans en arrière pour ce qui est des systèmes d'exploitation. On trouvait alors Unix et VMS. Unix était extrêmement simple, puissant et facile à maîtriser. Vous pouviez accéder au noyau d'Unix, y apporter des modifications et vous en servir pour créer de nouvelles applications. Chaque programmeur Unix connaissait toutes les API (interfaces de programmation d'applications), car elles étaient très simples.
L'approche VMS était tout le contraire. Tout ce que vous vouliez faire était disponible. VMS était très puissant mais aussi très compliqué. Car tout reposait sur une énorme bureaucratie. Quoi que vous fassiez, vous deviez compulser 50 ou 100 pages de manuels pour savoir comment vous y prendre. Historiquement, Microsoft a choisi l'approche VMS. En fait, ils ont même embauché le type qui était chargé du développement de VMS.

Dave Cutler?
Oui, et ils se sont retrouvés avec un système plutôt compliqué. Lorsque vous avez un système assez compliqué, la moindre chose que vous faites peut avoir des répercussions dans des centaines d'endroits. Ce n'est pas l'affaire d'un seul programmeur, qui va aller dans le code et isoler le problème. Lorsqu'on a des centaines de mégaoctets de code, il y a des risques qu'il y ait beaucoup de bugs, et c'est ce qui est arrivé.
Microsoft a fait des merveilles pour ce qui est de mettre l'informatique à la portée de chaque utilisateur, mais son système n'est pas à la hauteur, sur le plan interne. À l'extérieur, pour l'utilisateur, c'est une autre histoire, mais à l'intérieur, on comprend pourquoi le système est sujet à autant de bugs.

Pensez-vous que Linux soit intrinsèquement plus sûr parce qu'il est basé sur Unix?
Dans l'ensemble, oui.

Pendant une certaine période, Unix a gagné en complexité.
Il est effectivement devenu plus complexe.

Il en a été de même pour Linux.
C'est vrai. Je ne pense pas que Linux et Unix soient exempts d'erreurs. Mais si vous observez le niveau de sophistication, je reste persuadé qu'Unix et Linux sont moins complexes que Windows.

Lorsque l'on examine les problèmes de sécurité, on remarque que les virus trouvent généralement de nouveaux canaux non surveillés. Lesquels sont relativement vulnérables en ce moment?
Je pense que les hackers malveillants sont à l'affût de la moindre faille, comme le récent bug mis à jour dans les fichiers JPeg.
Certains protocoles sont bien conçus et relativement faciles à respecter. D'autres sont plutôt médiocres, comme ceux qui sont liés à la VoIP - ils sont par nature compliqués, et il est très difficile de connaître les détails de leur fonctionnement.

Pensez-vous que les sanctions infligées aux auteurs de virus devraient être beaucoup plus lourdes?
Je pense que pour quiconque travaille dans le secteur high-tech, aller en prison ou être assigné à résidence (que ce soit pour un mois ou pour deux ans) laisse un mauvais souvenir sur le CV, du moins dans les pays occidentaux.
Je pense que l'essentiel n'est pas la lourdeur de la peine, mais plutôt le fait que des sanctions soient appliquées. La justice attrape autant de monde qu'elle le peut. Le plus gros problème est qu'un trop grand nombre de gens ne perçoivent pas ces crimes comme tels.

Le problème vient-il du fait que nous n'avons pas mis en place un système suffisamment dissuasif?
C'est l'un des problèmes. L'autre est qu'il s'agit d'un marché mondial. Si quelqu'un s'introduit dans un bureau par effraction dans notre pays, la police est en mesure de régler l'affaire. Mais nous parlons là de quelque chose que la justice ne sait tout simplement pas gérer. Car les lois n'ont pas été pensées pour gérer l'internet.
Pour attraper quelqu'un qui commet un crime électronique, vous devez le faire dans un délai extrêmement court. Or, si vous regardez comment travaille la police, vous voyez qu'une enquête suite à un meurtre peut durer deux ans. Si vous prenez deux ans pour enquêter sur un cybercrime, il ne reste plus aucun élément. Même si vous enregistrez la plus grande quantité de données possible, en deux ans, personne ne pourra vous dire à qui appartenait telle adresse IP à telle date.

Le nouveau protocole IPv6 facilite-t-il le suivi des personnes?
Non, je pense qu'il ne fait qu'empirer les choses. Nous supportons IPv6, mais c'est un système bien plus compliqué. Si internet a connu un tel succès, c'est parce qu'il a été conçu pour être simple. Plus vous compliquez les choses, moins elles ont des chances d'être déployées à grande échelle. Plus les performances sont élevées, plus vous aurez de problèmes... et IPv6 est compliqué. Des gens essaient de le déployer depuis huit ou neuf ans maintenant, mais son taux d'adoption reste encore très faible.

Pensez-vous qu'il sera plus fragile, plus sujet aux attaques ou simplement aux pannes ponctuelles?
Prenez un paquet IP: c'est quelque chose d'extrêmement simple, et pourtant des individus trouvent des centaines de moyens différents de l'utiliser. Un paquet IPv6 est au moins 100 fois plus compliqué. Il y a donc plus de possibilités d'introduire des bugs et des vulnérabilités. Il a fallu vingt ans pour que l'internet devienne le bon réseau que nous avons aujourd'hui; il en faudra plus pour l'IPv6.

Posté le 10 décembre 2004 par _SebF - Source ZDNet