Alerte rouge autour de SNMP

Un important défaut frappe le métalangage descriptif ASN.1 (Abstract Syntax Notation One), ou plus exactement la méthode d'intégration dudit idiome. Une faille à l'origine de la fragilité détectée, en février dernier, dans SNMP (Simple Network Management Protocol), protocole d'administration d'équipements de réseau. Christophe Escudier, consultant chez Intrinsec, spécialiste du conseil en matière de sécurité, place le risque "à un niveau élevé", ajoutant qu'on "ne peut être sûr de la mise à jour systématique par les éditeurs". Sa solution : "filtrer les machines de supervisions, principales utilisatrices de SNMP, et les séparer du réseau local de production".

On peut tout de même s'interroger : on parle de Kerberos, X509, SSL... les colosses de la sécurité auraient la cheville argileuse et le bouclier parkinsonien. En effet, la complexité même d'ASN.1 et les impératifs de rendement incitent les programmeurs et concepteurs à "réutiliser" des bibliothèques déjà conçues. Et quand bien même les développements demeureraient originaux que l'erreur fatale serait insidieusement présente, instillée par un compilateur lui-même frappé de cette peste. La faille de tampon est la plus belle illustration de la notion d'héritage dans la programmation à objets.

On peut donc estimer, sans jouer les Cassandre, que nos réseaux n'y échapperont pas : dès l'automne prochain, le dépassement de tampon ASN se portera haut et les IDS (Intrusion Detection Systems, détecteur d'intrusions) auront du pain sur la planche.

Aux Etats-Unis, les ténors de la sécurité prennent chacun position, condamnant en général la "légèreté" des développeurs et l'absence de processus normé liant sécurité et suivi de projet de développement. Les bibliothèques de fonctions "libres de droits" en prennent pour leur grade.