La comédie des erreurs qui a permis à des pirates informatiques soutenus par la Chine de voler la clé de signature de Microsoft

En mars 2021, Microsoft a révélé une cyberattaque massive qui a compromis son logiciel de messagerie Exchange Server et affecté des dizaines de milliers d’organisations dans le monde entier. L’attaque, attribuée à un groupe de pirates informatiques parrainé par l’État chinois et connu sous le nom de Hafnium, a exploité quatre vulnérabilités inconnues jusqu’alors dans Exchange Server pour accéder à des comptes de messagerie, voler des données et installer des logiciels malveillants.

Mais l’attaque a également eu une autre conséquence, plus alarmante : les pirates ont réussi à voler la clé de signature de Microsoft, qui est utilisée pour vérifier l’authenticité et l’intégrité des mises à jour logicielles. Cela signifie que les pirates pouvaient utiliser la clé volée pour signer des codes malveillants et les distribuer comme des mises à jour légitimes à des utilisateurs peu méfiants.

Comment cela s’est-il produit ? Comment une entreprise aussi sophistiquée que Microsoft a-t-elle pu perdre le contrôle d’un actif aussi essentiel ? Et qu’est-ce que cela signifie pour la sécurité des chaînes d’approvisionnement en logiciels ?

La réponse se trouve dans une comédie d’erreurs impliquant une erreur humaine, une défaillance technique et une défaillance organisationnelle. Ce sont là quelques-uns des facteurs clés qui ont contribué à cette violation sans précédent :

– Microsoft utilisait un certificat auto-signé pour ses mises à jour Exchange Server, au lieu d’un certificat émis par une autorité externe de confiance. Il était donc plus facile pour les pirates d’usurper l’identité de Microsoft et d’inciter les utilisateurs à installer des mises à jour malveillantes.

– Microsoft a stocké sa clé de signature sur un serveur connecté à l’internet, au lieu de l’isoler dans un environnement hors ligne sécurisé. Cela exposait la clé à un risque de compromission par toute personne pouvant accéder au serveur.

– Microsoft n’a pas mis en œuvre les contrôles de sécurité adéquats sur son serveur de signatures, tels que le cryptage, l’authentification, la journalisation et la surveillance. Cela a permis à des pirates d’obtenir un accès non détecté au serveur et de modifier sa configuration.

– Microsoft n’a pas respecté le principe du moindre privilège, qui consiste à n’accorder que le niveau d’accès minimal nécessaire à chaque utilisateur ou processus. Au lieu de cela, il a accordé à son serveur de signature tous les privilèges administratifs, ce qui a permis aux pirates d’exécuter des commandes arbitraires et de voler la clé.

– Microsoft ne disposait pas d’un solide plan de réponse aux incidents qui lui aurait permis de détecter, de contenir et d’atténuer l’attaque. Microsoft a mis plusieurs semaines à découvrir la faille et à informer ses clients, ce qui a donné aux pirates tout le temps nécessaire pour exploiter la clé volée.

Ces erreurs illustrent comment un seul maillon faible peut compromettre toute une chaîne d’approvisionnement en logiciels et mettre en danger des millions d’utilisateurs. Elles soulignent également la nécessité pour les développeurs et les vendeurs de logiciels d’adopter les meilleures pratiques pour protéger leurs clés et leurs processus de signature :

– Utilisez des certificats provenant d’autorités accréditées qui appliquent des politiques strictes de vérification et de révocation.

– Stockage des clés de signature dans des modules de sécurité matériels (HSM) qui assurent une protection physique et logique contre les accès non autorisés.

– Mettre en œuvre des contrôles de sécurité tels que le cryptage, l’authentification, la journalisation et la surveillance sur les serveurs et les réseaux de signature.

– Suivez le principe du moindre privilège et appliquez le principe de la défense en profondeur, qui consiste à utiliser plusieurs couches de sécurité pour protéger les actifs critiques.

– Disposer d’un plan d’intervention clair et complet en cas d’incident, comprenant des tests et des mises à jour réguliers.

Le vol de la clé de signature de Microsoft a été un signal d’alarme pour l’industrie du logiciel et a rappelé l’importance de la protection des chaînes d’approvisionnement en logiciels. En tirant les leçons de cet incident et en appliquant ces meilleures pratiques, les développeurs et les vendeurs de logiciels peuvent prévenir des attaques similaires à l’avenir et garantir la fiabilité de leurs produits.