Le FBI invite les utilisateurs de Windows XP à télécharger un correctif

Le National Infrastructure Protection Center (NIPC) installé dans les locaux du FBI, avertit le public américain des failles informatiques de Windows XP.

La branche du FBI (Federal Bureau of Investigation) spécialisée dans la protection des infrastructures aux Etats-Unis avertit les utilisateurs américains de PC des failles informatiques de Windows XP.

L’agence invite les nombreux utilisateurs du système d'exploitation de Microsoft à désactiver une fonction installée par défaut qui laisse la porte ouverte aux attaques de pirates informatiques.

Dans un communiqué publié le week end dernier, le National Infrastructure Protection Center (NIPC) demande aux propriétaires de PC sous Windows de télécharger le correctif (patch) disponible sur le site web de Microsoft.

L’agence fédérale leur conseille également de désactiver la fonction de reconnaissance des périphériques, appelée "Universal Plug and Play", dans le cas où celle-ci ne serait pas utilisée.

Le NIPC, qui laisse en général aux entreprises privées le soin de prendre les mesures qu’elles estiment adéquates en matière de sécurité informatique, a annoncé s’être entretenu avec le géant du logiciel et d'autres experts du secteur afin de minimiser les risques liés aux failles du système lancé fin octobre.

Microsoft avait annoncé la semaine dernière avoir décelé deux vulnérabilités sur son nouveau système d'exploitation.

Ces faiblesses pouvaient entraîner d'éventuelles attaques informatiques, du déni de service, caractérisé par la paralysie d'un ordinateur ou d'un serveur connecté à Internet lorsqu'il est submergé par un nombre de requêtes trop important, à la prise de contrôle à distance d’un ensemble de PC.

Source: Net-Economie (26/12/2001)

La coquille vide américaine

Lancé en fanfare il y a trois ans, le NIPC, émanation du FBI, devait lutter contre les virus informatiques. Patatras ! Un rapport révèle qu'il ne sert à rien.

On allait voir ce qu'on allait voir ! Virus, vers, chevaux de Troie et autres pestes informatiques n'auraient plus qu'à bien se tenir : l'Oncle Sam prenait les choses en main. On était en février 1998, et le gouvernement américain confiait au FBI le soin de monter un service de lutte contre les « méchants » de l'Internet. On l'intitula NIPC (National Infrastructure Protection Center), et il fut installé dans les locaux mêmes des services du contre-espionnage. Avec pour mission, ronflante comme il se doit, de tenir un état précis des menaces, mais aussi d'avertir le public de celles qui paraissent particulièrement inquiétantes, d'engager les enquêtes et de répondre aux attaques.

Mais un rapport du GAO (General Accounting Office), l'équivalent de la Cour des comptes, qui dépend du Congrès, vient de rendre un audit assassin sur le NIPC. On y apprend que le nouvel organisme, qui devait disposer de 24 fonctionnaires, ce qui est déjà très peu, n'a jamais compté plus de 13 employés. Mais, surtout, les alertes - particulièrement celle concernant le virus « I love You », parti des Philippines - n'ont jamais été effectuées à temps. Et le NIPC s'est révélé complètement incapable de participer à la définition d'une stratégie nationale de protection des infrastructures critiques, ce pour quoi il avait pourtant été créé par le président Bill Clinton. Sur le site web du centre, son directeur, Ron Dick, nouvellement nommé, appelle au « partenariat entre le gouvernement et les entreprises privées pour réduire notre vulnérabilité aux attaques et accroître notre capacité face aux nouvelles menaces ». Beau, mais vain discours.

Décidément, le FBI n'est pas à la noce depuis quelques mois ! La trahison de son super-agent Robert Hanssen au profit des Russes, puis le pataquès qui a conduit la mythique agence de contre-espionnage à ne pas transmettre à la justice des pièces essentielles au procès du terroriste Timothy McVeigh avaient déjà gravement terni son image. Cette nouvelle tache ne va pas le grandir...

Source: Le Point (01/06/2001)

Cyber-guerre : quand le mythe coûte cher

Inefficace, peu pertinent... Les critiques officielles pleuvent sur le National Infrastructure Protection Center (NIPC), ce “machin” du FBI chargé de lutter contre les dangers (supposés) de la cyber-guerre...

La parano américaine en matière de guerre électronique n´a guère de limites. C´est d´ailleurs pour se prémunir contre toute attaque (potentielle) que le National Infrastructure Protection Center (NIPC) avait été mis en place, sous la présidence de Bill Clinton. Les spécialistes de la sécurité informatique souriaient depuis longtemps à l´évocation de ce nom. Connu pour ne publier que des alertes sans intérêt, le NIPC, émanation du FBI se voulait, un peu comme le CERT, l´une des autorités morales autorisées à parler de problèmes de sécurité.

Mais, aujourd´hui, ce sont des critiques tout à fait officielles qui lui tombent sur le dos. Celles du General Accounting Office (GAO), l´équivalent américain de notre Cour des Comptes. Que dit cet organisme dans son rapport de près de 110 pages ? Entre autres choses, que “les efforts déployés pour mettre en place une capacité d´alerte plus robuste ont été minés, d´une part, par le manque d´expertise et, d´autre part, parce qu´il n´existe pas de réseau national ou gouvernemental permettant de collecter et d´analyser les informations sur les incidents” informatiques. Le GAO relève également que le NIPC utilise, trop souvent, le travail des autres pour produire ses alertes. Mais aussi, qu´elles ne concernent, la plupart du temps, que des sujets d´intérêt moyen et ne sont pas prospectives. Les attaques sont déjà en cours, les virus sont déjà dans les ordinateurs lorsque le NIPC se réveille, notent les experts du GAO...

81 alertes en trois ans : le bilan est maigre

Ces déclarations du GAO à propos du NIPC (et qui pourraient fort bien s´appliquer au CERT CC) laissent rêveur... Pourquoi donc faut-il que l´État américain mette en place des infrastructures coûteuses et inefficaces pour se protéger d´un péril mal identifié ?

Ce constat d´échec doit faire pouffer dans les salles informatiques. En effet, Bugtraq est justement un réseau d´alerte de la communauté des hackers qui permet de prévoir où les problèmes vont éclore. À titre d´exemple, les récentes alertes de sécurité sur IIS, le serveur Web de Microsoft et sur Windows 2000 laissent penser que des attaques à grande échelle vont avoir lieu... Alors que les abonnés à la mailing list Bugtraq reçoivent en moyenne une vingtaine d´alertes de sécurité par jour, le NIPC a produit en tout et pour tout 81 “alertes” depuis sa création en février 1998... À croire que le volontariat fonctionne mieux que la volonté d´État...

Source: Transfert (24/05/2001)