[Actu] Le retour des morts-vivants

Générique L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.

Gaël Bonjour, vous écoutez RdGP, le podcast sérieux qui vous emmène au cœur des enjeux des droits numériques, des libertés individuelles et de la vie privée. Bienvenue dans cette nouvelle revue de l'actu numérique. Cette semaine, je suis à nouveau seul et pour l'occasion, j'aimerais bien prendre une voix un peu plus grave. Un peu plus grave, car... Qui aurait pu prédire ? Qui aurait pu prédire que PHP allait casser l'Internet mondial ? Eh bah, en fait, probablement tout le monde. Bon, rassurez-vous, Internet n'est pas tombé en panne, mais cette semaine, on a tout de même eu droit à une jolie panique. Deux vulnérabilités critiques ont été révélées dans PHP, un langage informatique qui fait fonctionner une bonne partie des sites Internet. Et pour ceux qui ne connaissent pas PHP, c'est un langage de programmation qui a un peu plus de 30 ans, et à l'échelle de l'informatique, c'est clairement un fossile. Et pourtant, il est encore partout. Sur les sites Internet, dans les administrations, dans les entreprises, dans les banques, il y a du PHP dans tous les coins. Et cette semaine donc, les mainteneurs de PHP ont annoncé deux vulnérabilités particulièrement graves. Du genre qui peuvent permettre à un pirate de prendre contrôle d'un serveur à distance. Pas ouf. Mais là où ça devient vraiment amusant, c'est que les mainteneurs ont prévenu les utilisateurs, annoncé la sortie des correctifs et invité les entreprises à se préparer. Et là, panique générale. Parce que pour mettre à jour du PHP, il faut savoir... Où est-ce qu'on utilise du PHP ? Et manifestement dans certaines entreprises, c'est une question à laquelle il n'est pas si simple de répondre. Alors tout le monde a commencé par faire un inventaire. Et c'est ainsi qu'on peut tomber sur du PHP 5.4. PHP 5.4 ! C'est sorti en 2012 et il est plus officiellement maintenu depuis 2015. 2015, François Hollande était président, Windows 10 venait de sortir, et on utilisait encore Twitter sans se poser trop de questions. Alors évidemment, les développeurs, ils ont pas juste passé 11 ans comme ça à regarder leur serveur en se disant « Moi tiens, celui-là on va le laisser vieillir, comme un bon camembert normand ». Non, en général il y a une raison, une application un peu ancienne, un prestataire qui a disparu, une migration repoussée parce que ça coûte trop cher. Et puis il y a toujours cette merveilleuse phrase que tous les informaticiens connaissent « Eh, tant que ça marche, on touche à rien ». Et pendant que tout le monde courait partout avec son PHP sous le bras, il y a eu autre chose d'amusant. Parce que le 21 octobre, en fait, PHP il n'était pas le seul à avoir des problèmes. Non, non, non ! Il y a eu Node JS, des problèmes de certificat, tout un tas de problèmes ! C'est comme si PHP, le grand frère, avait décidé de faire une énorme bêtise pour attirer l'attention des parents, pendant que tous ses petits frères en profitaient pour voler des bonbons. Bon, le vrai problème c'est pas d'utiliser de vieilles versions, c'est de ne pas savoir qu'elles sont là. Parce qu'aujourd'hui on parle d'intelligence artificielle, de calcul quantique, de centres de données gigantesques, on nous promet des entreprises entièrement automatisées, des assistants capables de tout faire et bientôt, probablement, un réfrigérateur qui négociera lui-même le prix de nos yaourts. Mais dans le même temps... il faut parfois une énorme alerte de sécurité internationale pour qu'une entreprise découvre qu'elle fait encore tourner un logiciel installé sous Sarkozy. D'ailleurs en parlant d'intelligence artificielle, elle a joué un rôle capital dans toute cette histoire. De plus en plus de chercheurs en sécurité utilisent désormais des modèles de langage pour analyser du code, déterrer des vulnérabilités qu'on n'avait pas encore découvertes depuis des années. Et c'est notamment ce qui a contribué à révéler toute la gravité du problème de PHP. Et là je pense qu'on arrive vraiment dans une nouvelle époque. Parce que jusqu'à présent, on pouvait encore espérer qu'une vieille faille informatique passe inaperçue pendant quelques années. C'était un peu comme cette fissure dans le mur de votre maison. Vous savez qu'elle est là, vous avez vaguement prévu de vous en occuper, mais tant que personne ne vient regarder derrière le papier peint, tout va bien. Sauf que maintenant, on vient d'inventer une armée de petits robots capables d'inspecter les murs jour et nuit sans jamais se fatiguer. Et ils ont l'air de beaucoup aimer les fissures. Alors je ne sais pas si nous aurons le droit à une nouvelle affaire PHP toutes les semaines, mais je pense que les prochaines années seront particulièrement sportives. Des vulnérabilités oubliées depuis 10 ou 15 ans vont probablement ressortir les unes après les autres, et l'intelligence artificielle n'est pas réservée qu'aux gentils chercheurs. Les pirates aussi, ils vont s'en servir. Donc autrement dit, si votre stratégie de sécurité consistait à espérer que personne ne regarde votre vieux serveur, bah j'ai une mauvaise nouvelle, il va falloir trouver autre chose. Et peut-être même faire ce truc absolument révolutionnaire, un inventaire de son système informatique et de ses dépendances. Alors ouais, je sais, c'est pas aussi sexy que de déployer un assistant conversationnel dans toute l'entreprise. Mais savoir quels logiciels on utilise, quelles versions sont installées, qui les maintient, et surtout, lesquels ne reçoivent plus de correctifs de sécurité, ça me semble être un bon début. Parce qu'au fond, on a pris l'habitude de considérer que les infrastructures numériques existent naturellement. On ouvre un site Internet, il fonctionne, on installe un logiciel, on suppose qu'il sera encore maintenu demain. Tant que tout marche, personne ne se pose trop de questions. Jusqu'au jour où une vulnérabilité critique apparaît et où tout le monde se met à chercher frénétiquement le serveur que Gérard avait installé en 2012. Gérard qui, évidemment, est parti à la retraite depuis sept ans. Alors, qui aurait pu prédire que PHP nous rappellerait un jour à quel point notre informatique est fragile ? Encore une fois, probablement tout le monde. Mais avec l'intelligence artificielle qui se met désormais à fouiller dans les placards de nos systèmes informatiques, je crois qu'il serait grand temps de faire un peu de ménage. Parce que la prochaine fois ce n'est peut-être pas PHP qui va nous faire peur, ce sera ce vieux logiciel dont vous aviez complètement oublié l'existence et que Gérard lui-même ne se souvient plus d'avoir installé. Merci beaucoup à toutes nos auditrices et tous nos auditeurs, je vous rappelle que RdGP est hébergé par Castopod, n'hésitez pas à nous envoyer des commentaires sur le Fédivers, notamment Mastodon, et je vous dis à la semaine prochaine.

Générique *musique d'outro*