Dans un entretien accordé en avril 2024 à l'émission All Things Considered de NPR, l'ingénieur logiciel de Microsoft Andres Freund raconte qu'il effectuait des tests de routine sur un logiciel open source lorsqu'il a remarqué quelque chose d'étrange : SSH — l'outil que les administrateurs utilisent pour contrôler des ordinateurs à distance — « semblait consommer trop de ressources » sur une machine où personne n'était autorisé à se connecter. Les symptômes étaient « suffisamment bizarres pour que je ne puisse pas vraiment me justifier de ne pas basculer » de son travail prévu vers l'enquête.
En creusant, il a trouvé du code injecté dans le logiciel open source qui fait tourner les serveurs de gouvernements, d'entreprises et de banques — une porte dérobée permettant à quelqu'un de se connecter sans autorisation. Quiconque détient cet accès peut à peu près tout faire, dit-il : arrêter des systèmes bancaires, interrompre des contrôles industriels, voler des données. Freund rappelle que l'injection a demandé plusieurs années de travail et plus d'efforts qu'un individu seul ne pouvait en fournir.
La prise de conscience est venue lentement, dit-il ; il n'arrêtait pas de supposer qu'il devait se tromper, puis de revenir à l'idée que cela pouvait réellement être vrai. Une fois qu'il a donné l'alerte, les développeurs se sont mobilisés et ont corrigé la faille, et un expert en cybersécurité a déclaré que « le monde doit à Andres une quantité illimitée de bière gratuite ».
Pour Freund, le problème de fond est structurel : le composant compromis était maintenu par une seule personne non rémunérée depuis près de vingt ans, alors même qu'il était extrêmement largement utilisé. « Nous avons eu une chance déraisonnable ici, et nous ne pouvons pas simplement compter là-dessus à l'avenir », dit-il.
La porte dérobée n'a pas été détectée par des outils de sécurité, mais par son propre effet secondaire : une consommation CPU supplémentaire à chaque connexion SSH, que l'ingénieur a refusé de laisser passer.
La détection est venue de l'effet secondaire de la porte dérobée elle-même — une utilisation accrue des ressources lors des connexions SSH — et non d'un audit ou d'un scan de sécurité.
La rigueur de Freund a fait la différence : le symptôme était assez discret pour être ignoré, et il a changé tout son programme pour le traquer.
Selon Freund lui-même, la détection a tenu à la chance, ce qui explique pourquoi il estime que le financement des mainteneurs doit changer, comme cela a été le cas après Heartbleed.
Les petites anomalies inexpliquées coûtent peu à traquer et cher à ignorer. Et un logiciel d'infrastructure ne devrait pas reposer sur un seul mainteneur non rémunéré pendant vingt ans.
Suites
Une fois que Freund l'a signalé, la communauté a réagi rapidement : les gens se sont mobilisés et la faille a été corrigée, et il est devenu un « héros d'Internet ». Dans l'entretien, il cite Heartbleed comme modèle pour la suite — après cette vulnérabilité d'OpenSSL, des entreprises ont commencé à rémunérer les mainteneurs afin que la sécurité puisse réellement s'améliorer, « et cela doit se produire davantage ».
VÉRIFIEZ LES SOURCES