Des bases aux avancées : évolution de la sécurité informatique dans les années 1980

Remarque : cet article a été initialement publié sur SmarterMSP.

Alors que la cybersécurité est aujourd'hui un secteur pesant plusieurs milliards de dollars, aux débuts de l'informatique commerciale, la plupart des entreprises ne comprenaient pas pleinement la nécessité de mettre en place des mesures de sécurité ou même la portée potentielle du problème. Comme c'est toujours le cas, les criminels ont dès le début vu les potentialités que recelaient ces vulnérabilités, et la plupart des efforts en matière de sécurité ont été faits après coup.

Dans cette série, nous allons examiner le développement de la cybersécurité des années 1980 jusqu'en 2023 . Il est essentiel pour la cybercommunauté de comprendre notre histoire, car elle nous permet d'apprendre des incidents et de rester réactifs face aux technologies et menaces émergentes qui s'annoncent.

Avant l'omniprésence de l'Internet 

Les années 1980 ont été le témoin de l'essor des ordinateurs personnels et de l'émergence du tout jeune secteur de la cybersécurité, alors que les universitaires et les criminels mettaient à l'épreuve la sécurité des premiers systèmes informatiques en réseau.

Rappelez-vous toutefois que de nombreux ordinateurs n'étaient pas connectés lors de cette première décennie d'adoption généralisée. S'ils étaient en réseau, c'était en interne ou sur un campus. Les organisations réellement interconnectées via la première version de ce qu'on appelait l'Internet étaient des universités, des organisations gouvernementales et de très grandes entreprises.

Par conséquent, les menaces avaient davantage tendance à être axées sur le matériel. Pour voler des données ou introduire un logiciel malveillant, un criminel devait accéder physiquement à un ordinateur ou à un serveur et utiliser une disquette (ou plus tard une clé USB). La plupart des ordinateurs individuels n'étaient pas protégés par un mot de passe.

En réponse, les entreprises ont eu tendance à mettre en place une sécurité physique telle que des caméras ou des systèmes de cartes d'accès. Si vous regardiez des téléfilms ou des films dans les années 1980, il y avait souvent des séquences dans lesquelles les personnages téléchargeaient rapidement des données sur une disquette après s'être introduits par effraction dans une pièce mal sécurisée, puis mettaient la disquette dans une sacoche et s'échappaient.

Cependant, on prenait de plus en plus conscience de la vulnérabilité des ordinateurs gouvernementaux en réseau, et c'est une représentation hollywoodienne de la cybercriminalité qui a aiguillonné les premiers efforts en matière de sécurité. Le film War Games, sorti en 1983, met en scène un pirate solitaire et un programme informatique malveillant s'emparant de systèmes de missiles nucléaires. Le visionnage de ce film a conduit le président Ronald Reagan à demander au ministère de la Défense d'enquêter sur la possibilité qu'une situation analogue se produise réellement. Il s'est avéré que d'importantes vulnérabilités faisaient déjà l'objet de recherches au sein du ministère dès les années 1960. (les scénaristes de War Games se sont entretenus avec Willis Ware, un ingénieur de la RAND Corporation, auteur de l'un des premiers articles consacrés à la cybersécurité, et qui les a aidés à comprendre le piratage des modems via le Demon Dialing utilisé dans le film.)

Les premiers pirates se sont également introduits dans des ordinateurs gouvernementaux via ARPANET (ainsi que via d'autres systèmes chez AT&T, le Los Alamos National Laboratory et d'autres structures). À l'époque, il s'agissait principalement de criminalité informatique ou de sabotage. Les criminels accédaient aux données pour vendre à d'autres gouvernements ou entreprises ou pour détourner des systèmes informatiques afin de nuire à la victime ou de créer le chaos. 

La première législation en matière de cybersécurité, le Computer Fraud and Abuse Act (CFAA), a été adoptée aux États-Unis en 1986 pour rendre l'accès non autorisé à un ordinateur protégé illégale et interdire le vol ou la destruction de données ou de programmes informatiques.

L’émergence de virus sophistiqués

En plus de l'espionnage et du sabotage, les années 1980 ont également vu l'émergence de virus et de vers informatiques sophistiqués. Le premier virus informatique a été créé au début des années 1970 (le virus Creeper). Il s'est propagé sur l'ARPANET. Dans les années 1980, le virus Cascade et le virus Morris, plus célèbre, ont davantage attiré l'attention sur ces types de violations. 

C'est un étudiant diplômé qui a initialement créé le ver Morris pour évaluer la taille d’Internet. Cependant, une erreur de programmation a provoqué sa réplication sauvage, et l'effondrement du réseau mondial a été évité de peu. 

Le créateur du ver Morris a été la première personne condamnée selon les termes du CFAA. Le virus Morris a également conduit à la création de la Computer Emergency Response Team (qui est devenue l'US-CERT) et a servi d'émulateur dans le domaine émergent du développement d'antivirus. Les premiers produits commerciaux sont apparus en 1987 avec la sortie de produits antivirus pour l'Atari ST, ainsi que la solution antivirus NOD, Anti4us, Flushot Plus, et le lancement de McAfee aux États-Unis. Une infection virale en cascade sur l'un de ses sites a également permis à IBM d'accéder au marché des antivirus.

Ces premiers produits analysaient et recherchaient dans les ordinateurs des séquences de codes de virus et modifiaient des programmes afin de tromper les virus en leur faisant croire que l'ordinateur était déjà infecté. Une fois identifié, le virus pouvait être mis en quarantaine et supprimé. Toutefois, ces produits ne pouvaient être conçus que pour contrer les virus connus et nécessitaient des mises à jour sur disquette. Les premiers antivirus étaient également basés sur des signatures et produisaient non seulement un grand nombre de faux positifs, mais ils consommaient également beaucoup d'énergie et de mémoire.

En l'espace de quelques années, les développeurs de virus ont trouvé des moyens de contourner ces produits, ce qui a entraîné une escalade significative dans la course aux armements en matière de cybersécurité. Dans notre prochain article, j'expliquerai comment ces développements ont conduit à la mise au point d'outils de cybersécurité supplémentaires dans les années 1990.