Avertissement sur la sécurité électorale commune de la CISA et du FBI

Aux États-Unis, la Cybersecurity and Infrastructure Security Agency (CISA) et le Federal Business Investigation (FBI) ont publié un avertissement conjoint relatif à la cybersécurité qui conseille aux agences gouvernementales et aux organismes électoraux de se méfier des cyberattaques qui enchaînent les attaques à l'encontre de multiples vulnérabilités connues. Cette tactique largement répandue, connue sous le nom de chaînage des vulnérabilités, cherche à exploiter de multiples vulnérabilités au sein d'une même intrusion. L'objectif : détourner l'attention des équipes en charge de la cybersécurité en vue d'installer des malwares encore plus dangereux pouvant être activés ultérieurement.

Les menaces persistantes avancées (APT, advanced persistent threats) identifiées par la CISA semblent viser les systèmes de support utilisés dans le cadre du processus électoral. La CISA alerte sur le fait que la compromission de ces systèmes pourrait se traduire par l'intrusion d'un malware dans le système électoral. La CISA signale qu'il n'y a pas encore de preuve que l'intégrité des données électorales ait été compromise.

Les élections sont administrées par chacun des États américains, et les systèmes utilisés pour comptabiliser les votes sont depuis 2016 la cible de cyberattaques. Dans le livre Rage, récemment publié par le journaliste américain Bob Woodward, il a été rapporté que les systèmes électoraux de deux comtés de Floride étaient compromis. La possibilité que des données aient été altérées demeure toutefois incertaine.

La CISA souligne avoir observé des attaques APT exploitant plusieurs anciennes failles en combinaison avec une nouvelle vulnérabilité d'élévation de privilèges (CVE-2020-1472), qui a récemment été découverte dans Windows Netlogon. La CISA constate que certaines de ces attaques utilisent également des vulnérabilités connues en vue de compromettre les réseaux privés virtuels (VPN) et les services d'identité de Microsoft Active Directory (AD) qui reposent sur le protocole RDP (Remote Desktop Protocol).

Il est conseillé aux équipes informatiques de vérifier que l'infrastructure destinée à l'Internet ne comporte aucune de ces vulnérabilités (connues et autres), y compris les protocoles SSL, les périphériques informatiques mobiles, les SD-WAN (réseaux étendus définis par logiciel) et les pare-feux.

À quelques semaines des élections, il semblerait que la cybersécurité soit à nouveau un problème national aux États-Unis. Cette semaine, SecurityScorecard a publié un rapport qui attribue à 75 % des États la note de « C » ou moins en matière de sécurité des élections. Le Congrès américain n'a pas alloué de fonds supplémentaires à la sécurité électorale et les fonctionnaires en charge de la sécurité de l'élection au sein de l'administration Trump se contentent désormais d'informer quelques membres du Congrès sur la sécurité autour de l'élection suite à la plainte d'un informateur qui prétend que les rapports précédents auraient minimisé l'ingérence de la Russie.

Auparavant, certains États s'appuyaient sur l'expertise en matière de cybersécurité de leurs équipes de la Garde nationale afin d'épauler les fonctionnaires locaux. Contrairement à une entreprise professionnelle de services de sécurité informatique, l'expertise fournie par les unités de la Garde nationale des États-Unis est nettement plus abordable (et les États sautent le pas).

Si l'on met de côté les luttes politiques internes, il est évident qu'il existe nombre de possibilités d'améliorer la sécurité électorale. Les systèmes électoraux et les plateformes informatiques ne sont pas si différents et, dans ce cas, les données pourraient s'avérer plus vulnérables que les politiciens des deux parties ne le pensent. Le défi consiste maintenant à s'assurer que les questions de cybersécurité n'entachent pas un processus électoral qui risque déjà de faire l'objet d'innombrables actions en justice.