Log4j, une «apocalypse Internet» dont tout le monde se fiche
© DR
En dehors des cercles des développeurs, Log4j ne dit rien à personne. A tel point que même une partie de ceux qui utilisent ce bout de code informatique – une «bibliothèque» du langage Java – n’ont pas conscience de la brèche découverte il y a maintenant cinq semaines. Et c’est bien le problème: le risque, c’est de ne pas se sentir concerné et ne pas faire les mises à jour qui corrigent la faille. Cette bibliothèque de programmes est intégrée dans les PC, smartphones, consoles de jeux et les objets connectés à internet en général. C’est l’un des programmes les plus utilisés du monde avec jusqu’à un milliard de téléchargements par an. En raison de la gravité, la faille de Log4j a reçu son propre nom. Elle s’appelle «Log4Shell».
Mais pour que nos lectrices et lecteurs saisissent l’étendue du problème, commençons par le début de l’histoire.
Il y a 25 ans, Ceki Gülcü, qui habite aujourd’hui à Vevey et qui possède sa propre société de conseil en logiciels, fait son mémoire de maîtrise en cryptographie dans le laboratoire de recherche d’IBM à Rüschlikon. Après ses études, il reste employé dans une équipe IBM qui s’occupe de dispositifs sécurisés. Il utilise le langage de programmation Java et développe avec deux autres personnes, Michael Steiner et le Dr. Asokan, un programme de journalisation (en Anglais un log) qui écrit ce qui se passe lorsqu’on utilise un logiciel. Le logiciel Log4j Version 1 est créé. Ceki Gülcü explique la fonctionnalité de Log4j en prenant l’exemple de la boite noire dans un avion qui enregistre les conversations des pilotes, la vitesse, la hauteur et tous les aspects techniques qu’on programme pour surveiller et contrôler le vol.
Le logiciel Log4j est en open-source. Les logiciels au code source ouvert, c’est-à-dire mis gratuitement à la disposition du grand public, qui répondent à des valeurs philosophiques et politiques de justice, ont la réputation d’être généralement sûrs, en raison même de leur transparence. On considère que «de nombreux yeux» veillent à détecter et à résoudre les éventuels problèmes.
En 2000, le programme a été officiellement donné à la fondation open-source Apache. Cette fondation à but non lucratif est composée de développeurs et contributeurs bénévoles. En 2006, Ceki Gülcü quitte le projet et développe ses propres logiciels, comme SLF4J ou LogBack, très connu et très apprécié dans le monde aujourd’hui.
La fondation Apache a lancé un remaniement complet en 2012 sous le nom Log4j Version 2. Une fonctionnalité spéciale est introduite: Log4j 2 va analyser et interpréter l’information avant que le contenu arrive dans le logiciel et va, dans les cas où c’est indiqué, consulter le site externe, télécharger et analyser cette information. Et c’est ici précisément que la faille a été découverte il y a plus d’un mois: un malfaiteur peut soumettre une chaîne de caractères — spécialement conçus — qui est journalisée par Log4j et qui pourrait ensuite exécuter du code arbitrairement, depuis une source externe. Autre possibilité: simplement figer l’ordinateur pour ensuite demander une rançon.
La découverte de la faille est exaltante et se lit comme un thriller. Nous l’avons ajoutée à la fin de l’article comme supplément. C’est Chen Zhaojun, membre de l’équipe Alibaba Cloud Security, qui a découvert la brèche. Il a informé les développeurs Log4j, la fondation Apache, et a rendu publique la vulnérabilité avec eux le 9 décembre 2021, ce qui a laissé suffisamment de temps aux développeurs pour réparer le problème, tester la réparation et mettre à disposition le correctif. Suite à une fuite sur une plateforme de blogs chinoise peu avant la publication, des discussions sur les détails de la faille se sont ouvertes, ce qui a renforcé l’inquiétude. Les hackers, eux, n’ont pas attendu: les premières attaques ransomwares ont été observées dès les premiers jours qui ont suivi la découverte.
A-t-on une idée des dégâts provoqués par cette faille?
La réponse à cette question est double.
Il y a, d’un côté, ce que l’on sait: il est établi que des géants comme la NASA, Twitter, Oracle ou Apple utilisent des programmes où la vulnérabilité Log4j est présente. Ainsi, iCloud – le service de stockage en ligne d’Apple – pourrait avoir été piraté grâce à cette faille. En théorie, Ingenuity, le petit hélicoptère que la NASA a envoyé sur Mars, est également vulnérable puisque certains logiciels utilisés pour communiquer avec lui depuis la Terre reposent sur Log4j. Les PME, les administrations et jusqu’aux particuliers ayant des serveurs privés à la maison sont aussi concernés et il faudra du temps pour connaître l’ampleur de la brèche.
Ce qu’on sait aussi: le ministère belge de la Défense est la première victime connue d’une cyberattaque exploitant Log4Shell. Des mesures de précaution spectaculaires ont été prises, comme au Canada avec des fermetures préventives de serveurs du gouvernement, ou en Allemagne avec le géant Bosch, qui produit aussi des objets connectés et a reconnu être touché, mais sans donner plus de détails.
Et puis, il y a ce que l’on ne sait pas, parce que cette faille, tellement simple, avait peut-être déjà été découverte par des hackers qui l’auraient alors exploitée depuis longtemps, sans que personne ne s’en soit rendu compte. Rappelons que la version 2 a été lancée en 2012. Il n’est donc pas impossible que les malfaiteurs aient introduit des logiciels malveillants dans des systèmes informatiques et attendu avant de passer à l’action. Pour certains acteurs, il est plus intéressant d’avoir accès à des informations confidentielles plutôt que de se faire payer. On craint que la première vague d’attaques ne soit qu’un premier tremblement de terre avant que n’arrive un tsunami d’assauts plus importants.
Ce dernier mois, différentes grandes entreprises en Suisse se sont fait pirater. Les plus connues sont la maison d’édition Slatkine, DBS Group, Frey Emil Group. Mais d’autres entreprises, plus petites, subissent aussi une déferlante de cyberattaques inédite. Si ces piratages sont réellement dus à la faille Log4Shell, nous ne le saurons jamais.
Mais cela soulève une problématique supplémentaire: l’immense majorité des entreprises n’a pas d’assurance contre les cyber-risques. Certaines parce qu’elles ne se sentent pas concernées, mais elles sont de moins en moins nombreuses, d’autres parce qu’elles se croient «blindées» techniquement. D’autres n’y pensent tout simplement pas.
L’affaire Log4Shell sonne donc comme un signal d’alarme fracassant. Elle nous montre la fragilité de l’écosystème Internet qui est bâti sur d’immenses structures de plus en plus compliquées non seulement par l’équipement, mais aussi par les services et donc les logiciels. Aujourd’hui nous le savons clairement, aucun système informatique n’est sûr à 100%.
Un futur digital et démocratique à construire
Cette apocalypse informatique soulève l’importance que nous devons accorder au digital.
En tant qu’entreprise ou gouvernement, il faut avoir un plan d’urgence. Les mesures techniques seules ne suffiraient pas. Les entreprises et gouvernements devraient se préparer à continuer à travailler en cas de panne informatique. Il faut en outre préparer sa communication de crise.
Vous aussi, chères lectrices et chers lecteurs, vous êtes exposés à un vol d’identité, un piratage avec chantage à la clef. Chaque personne est responsable de la sécurité de son propre système informatique. Il faut donc faire ses devoirs, se former et s’informer au moins superficiellement1.
Faites en sorte de connaître les bases de la protection de vos données chez vous: toutes les données sensibles doivent être stockées dans un élément déconnecté d’internet. Changez-en le mot de passe régulièrement, ainsi que celui de votre Wifi. Installez un mot de passe sur votre disque dur.
Le plus important reste le bon sens. Et de reconnaitre que ni la société, ni le gouvernement ne sont aujourd’hui prêts à une digitalisation accélérée. La thématique est transversale et touche tous les domaines. Avant que le gouvernement ne se lance dans «l’e-ID», le vote électronique et l’échange automatisé des données médicales, avant de faire une projection précise de l’avenir, nous devrions discuter ensemble, en tant que société, de l’avenir que nous voulons. Débattre ensemble du droit, de la sécurité et de la protection des données, de l’infrastructure, de l’open source, de la surveillance, de la souveraineté de nos données, la démocratie, la culture, le droit d’auteur. Et la censure doit être bien sûr intégrée aux discussions. Une participation citoyenne est souhaitable, voir grandement nécessaire.
La transition passe par nous et par vous, en première ligne: responsabilisons-nous en matière digitale, c’est urgent.
En complément: Log4Shell, un thriller actuel et bien réel
Le 24 novembre dernier à 14h51, les membres d’un projet de logiciel open source reçoivent un e-mail alarmant. Son auteur menace de saper des années de programmation réalisées par un petit groupe de volontaires et de déclencher des cyber-attaques massives dans le monde entier.
«Je voudrais signaler une faille de sécurité», écrit Chen Zhaojun, un membre de l’équipe de sécurité du cloud d’Alibaba Group Holding Ltd, et il ajoute que «la faille a des conséquences importantes».
Le message décrivait comment un pirate pouvait exploiter Log4j, un outil logiciel très répandu, pour réaliser ce que l’on appelle une exécution de code à distance – un rêve pour les pirates, car ils peuvent de cette façon prendre le contrôle d’un ordinateur.
La nouvelle déclenche une course mondiale à la mise à jour des systèmes critiques, les hauts responsables américains de la cybersécurité qualifient la découverte de «menace importante». Si la faille n’est pas comblée, le logiciel peut permettre aux pirates d’accéder librement à d’innombrables systèmes informatiques. Mais en coulisses, un petit groupe s’est mis au travail pour réparer le logiciel défectueux. Après avoir reçu l’e-mail de Chen, les programmeurs bénévoles d’Apache ont aussitôt commencé à corriger la faille de sécurité avant que le reste du monde ne soit au courant du problème.
Mais le 8 décembre, l’équipe reçoit un autre e-mail de Chen, les informant que quelqu’un a publié les détails de la faille de sécurité sur une plateforme de blogs chinoise, accessible à l’ensemble d’nternet. «Certains groupes de discussion sur la sécurité de WeChat parlent déjà des détails de la vulnérabilité, et des chercheurs en sécurité l’ont identifiée», poursuit Chen. «Nous promettons de la garder secrète jusqu’à ce que votre version officielle soit publiée. S’il vous plaît, dépêchez-vous».
A ce moment-là, les hackers ont déjà commencé à exploiter la faille, rendue publique par une personne sous pseudonyme et qui ne répond à aucun commentaire. Environ 20 heures plus tard, l’équipe d’Apache travaillant sur Log4j publie un «correctif» pour résoudre le problème.
Fin décembre, le régulateur chinois de l’Internet, le ministère de l’Industrie et des Technologies de l’information (MIIT), a temporairement suspendu un partenariat avec Alibaba Cloud, la filiale de cloud computing du géant du commerce électronique Alibaba Group, pendant six mois en raison du fait qu’il n’a pas informé rapidement le gouvernement au sujet d’une faille de sécurité critique affectant la bibliothèque de journalisation Log4j.
1Nous allons traiter de sécurité digitale dans plusieurs articles à venir. En attendant, voici une bonne source pour se tenir informer en matière sécurité digitale et législation en Suisse: https://www.societe-numerique.ch
Amnesty International organise un Workshop «Rien à cacher? Protéger sa vie privée et celle des autres à l’ère du numérique» à Lausanne, détails ici.
À lire aussi
La protection de l’environnement est absente des politiques publiques du numérique
Le numérique est un secteur industriel qui contribue à épuiser les ressources naturelles et à polluer la planète. Les déchets électroniques, la consommation électrique et hydrique croissent avec la multiplication et l’intensification des usages numériques, en particulier ceux liés à l’intelligence artificielle, au streaming vidéo, aux cryptomonnaies. La dimension écologique (...)
Notre liberté rend la monnaie, pas les CFF
Coffee and snacks «are watching you»! Depuis le 6 octobre et jusqu’au 13 décembre, les restaurants des CFF, sur la ligne Bienne – Bâle, n’acceptent plus les espèces, mais uniquement les cartes ou les paiements mobiles. Le motif? Optimiser les procédures, réduire les files, améliorer l’hygiène et renforcer la sécurité. S’agit-il d’un (...)
Ce que révèle la panne mondiale d’Amazon sur notre dépendance numérique
Le 20 octobre dernier, une panne a bloqué des millions d’utilisateurs dans le monde, du fait d’un problème technique affectant le fonctionnement des serveurs d’Amazon Web Services. De cette infrastructure en nuage (le «cloud» d’Amazon) dépend un nombre considérable de clients, dont les services à leurs propres clients ont été (...)
La neutralité suisse à l’épreuve du numérique
Face à la domination technologique des grandes puissances et à la militarisation de l’intelligence artificielle, la neutralité des Etats ne repose plus sur la simple abstention militaire : dépendants numériquement, ils perdent de fait leur souveraineté. Pour la Suisse, rester neutre impliquerait dès lors une véritable indépendance numérique.
Numérique: quand les failles deviennent des menaces
Entre vols de voitures facilités par l’électronique, cyberattaques d’aéroports européens et fuite présumée de données d’état civil en France, trois faits récents rappellent notre dépendance au numérique et les vulnérabilités qu’il crée.
Facture électronique obligatoire: l’UE construit son crédit social chinois
Le 1er janvier 2026, la Belgique deviendra l’un des premiers pays de l’UE à mettre en place l’obligation de facturation électronique imposée à toutes les entreprises privées par la Commission européenne. Il s’agit d’une atteinte majeure aux libertés économiques et au principe de dignité humaine, soutenu par l’autonomie individuelle. Outre (...)
A confondre le verbe et l’action, on risque de se planter
De tout temps, dans la galerie des puissants, il y eut les taiseux obstinés et les bavards virevoltants. Donald Trump fait mieux. Il se veut le sorcier qui touille dans la marmite brûlante de ses colères et de ses désirs. Il en jaillit toutes sortes de bizarreries. L’occasion de s’interroger: (...)
Notre dernière édition avant la fusion
Dès le vendredi 3 octobre, vous retrouverez les articles de «Bon pour la tête» sur un nouveau site que nous créons avec nos amis d’«Antithèse». Un nouveau site et de nouveaux contenus mais toujours la même foi dans le débat d’idées, l’indépendance d’esprit, la liberté de penser.
Superintelligence américaine contre intelligence pratique chinoise
Alors que les États-Unis investissent des centaines de milliards dans une hypothétique superintelligence, la Chine avance pas à pas avec des applications concrètes et bon marché. Deux stratégies opposées qui pourraient décider de la domination mondiale dans l’intelligence artificielle.
Les fantasmes des chefs de guerre suisses
Il arrive que le verrou des non-dits finisse par sauter. Ainsi on apprend au détour d’une longue interview dans la NZZ que le F-35 a été choisi pas tant pour protéger notre ciel que pour aller bombarder des cibles à des centaines, des milliers de kilomètres de la Suisse. En (...)
PFAS: un risque invisible que la Suisse préfère ignorer
Malgré la présence avérée de substances chimiques éternelles dans les sols, l’eau, la nourriture et le sang de la population, Berne renonce à une étude nationale et reporte l’adoption de mesures contraignantes. Un choix politique qui privilégie l’économie à court terme au détriment de la santé publique.
Démocratie en panne, colère en marche
En France, ce n’est pas tant le tourniquet des premiers ministres et la détestation de Macron qui inquiètent, c’est le fossé qui se creuse entre la société et le cirque politicien, avec son jeu d’ambitions qui paralyse le pays. Le tableau n’est guère plus réjouissant en Allemagne, en Grande-Bretagne, en (...)
L’identité numérique, miracle ou mirage?
Le 28 septembre, les Suisses se prononceront à nouveau sur l’identité numérique (e-ID). Cette fois, le Conseil fédéral revient avec une version révisée, baptisée «swiyu», présentée comme une solution étatique garantissant la souveraineté des données. Mais ce projet, déjà bien avancé, suscite des inquiétudes quant à son coût, sa gestion, (...)
Le voyage chahuté d’Ursula
Il est fait grand bruit autour d’une fable alarmiste, d’un incident minuscule lors du vol de la présidente de la Commission européenne entre la Pologne et la Bulgarie: la perturbation du GPS attribuée à la Russie et facilement surmontée comme cela est possible sur tous les avions. Quasiment rien en (...)
Nos médicaments encore plus chers? La faute à Trump!
En Suisse, les médicaments sont 50 à 100 % plus coûteux que dans le reste de l’Europe. Pourtant, malgré des bénéfices records, les géants suisses de la pharmaceutique font pression sur le Conseil fédéral pour répercuter sur le marché suisse ce qu’ils risquent de perdre aux Etats-Unis en raison des (...)
Le trio des va-t-en-guerre aux poches trouées
L’Allemand Merz, le Français Macron et le Britannique Starmer ont trois points communs. Chez eux, ils font face à une situation politique, économique et sociale dramatique. Ils donnent le ton chez les partisans d’affaiblir la Russie par tous les moyens au nom de la défense de l’Ukraine et marginalisent les (...)
