Piratage d’une usine de produits chimiques

Au cours des conférences Black Hat et DEF CON, Marina Krotofil et Jason Larsen, chercheurs en sécurité cyberphysique, ont exposé leurs recherches sur les usines de produits chimiques. C’était une présentation très intéressante.

Le piratage d’une usine de produits chimiques n’est pas inconcevable en soi. Quand on sait que des centrifuges servant à enrichir l’uranium, des fusils de sniper ou des milliers de Jeeps peuvent être piratés, on n’a pas de mal à croire que des hackers puissent s’attaquer à une usine de produits chimiques. Rien ne peut échapper au piratage dans le monde ; par conséquent, pourquoi une usine de produits chimiques ferait-elle exception ?

http://twitter.com/kaspersky/status/629651596876644352/photo/1

Pendant sa présentation, Marina Krotofil a détaillé ce que les pirates peuvent faire. Elle a également énoncé les étapes à suivre quand des hackers prennent le contrôle d’un réseau informatique d’une usine. Première leçon tirée de ses recherches : les conséquences d’un piratage ne sont pas forcément toujours évidentes.

Les hackers peuvent exploiter une usine piratée de produits chimiques de différentes façons. Cependant, seule l’une d’entre elles est évidente : les pirates en question peuvent empêcher l’usine de fonctionner. Dans ce cas-là, les conséquences seraient difficiles à ne pas remarquer.

Un piratage plus subtil pourrait être un ajustement discret des processus chimiques, et ce afin d’entraîner une baisse de rentabilité et de compétitivité pour l’usine. Par exemple, les pirates peuvent modifier les processus chimiques dans le but de diminuer la qualité du produit et/ou le taux de production. Quand il s’agit de chimie, le paramètre le plus important est la pureté.

Par exemple, le paracétamol d’une pureté de 98% coûte environ 1 euro par kilogramme, tandis que le paracétamol d’une pureté de 100% coûte plus de 8 000 euros par kilogramme. Ainsi, réduire la qualité d’un produit est un objectif évident pour un pirate qui souhaite s’enrichir grâce à une usine concurrente.

[slideshare id=49122174&doc=phdays2015v0-150608131657-lva1-app6891]

Toutefois, il n’est pas si facile d’exploiter un système cyberphysique piraté. L’usine est quelque chose de très complexe, et beaucoup de ses processus physiques et chimiques dépendent les uns des autres. Si vous changez un paramètre ici, il pourrait y avoir des répercussions là. Afin d’atteindre certains objectifs, vous devez comprendre les corrélations qui existent.

https://media.kasperskydaily.com/wp-content/uploads/sites/93/2015/08/30144630/hacking-chemical-plant-2.jpg

Premièrement, vous avez besoin d’un chimiste, et d’un très bon, pour être précis. Deuxièmement, vous avez besoin de votre propre usine de produits chimiques afin de réaliser des expériences. D’ailleurs, c’était le cas des développeurs de Stuxnet. Ils ont utilisé quelques centrifuges d’enrichissement d’uranium pendant le développement de leur ver célèbre.

Si vous n’avez pas les moyens de posséder votre propre usine de produits chimiques, vous devez alors construire un software pour modéliser vos expériences. Vous devez aussi trouver l’équipement et le logiciel que vous allez manipuler. Sans surprise, la meilleure arme des pirates est en général Internet, et notamment les réseaux sociaux : il est difficile d’imaginer ce que les employés ne mettent pas en ligne. En réalité, ils postent de vraies captures d’écran avec des informations très utiles.

https://media.kasperskydaily.com/wp-content/uploads/sites/93/2015/08/30144634/hacking-chemical-plant-4.jpg

Même après avoir trouvé un bon chimiste, ainsi que toutes les informations et les modèles de logiciels nécessaires, vous ne pouvez jamais être sûr de contrôler le processus chimique que vous voulez. En effet, les usines de produits chimiques ne sont pas conçues pour faciliter leur piratage. Par exemple, elles ne possèdent pas d’outils de diagnostic intégrés, contrairement aux ordinateurs qui en ont presque toujours.

https://media.kasperskydaily.com/wp-content/uploads/sites/93/2015/08/30144637/hacking-chemical-plant-5.jpg

C’est pourquoi vos ajustements doivent être guidés par des données indirectes. Par exemple, il n’est pas possible de mesurer la pureté du produit en lui-même, mais vous pouvez l’estimer grâce à sa température ou à sa pression. Pirater une usine de produits chimiques est en effet très complexe. Néanmoins, si vous avez beaucoup de temps et de ressources, tout est possible.

En d’autres termes, il est plutôt difficile de pirater des systèmes cyberphysiques complexes. Toutefois, il est possible de le faire et, dans ce cas, il n’est pas facile de détecter l’activité malveillante.

Ce que nous pouvons apprendre du  #piratage d’une usine de produits chimiques #DefCon

Tweet

Kim Zetter a écrit dans « Countdown to Zero Day« , son livre à propos de Stuxnet, que ce ver n’est pas conçu à l’origine pour détruire les centrifuges d’enrichissement d’uranium, mais qu’il a été en réalité créé afin de diminuer la « qualité » du combustible nucléaire. Le malware aurait pu rester inaperçu si une personne très puissante avait été plus patiente, et n’avait pas insisté pour avoir des effets plus rapides.