Pourquoi Alex Gibney ne met pas un morceau de ruban adhésif sur son appareil photo portable

Le réalisateur de documentaires Alex Gibney s’est fait des ennemis: il a retourné des pierres sous les décombres d’Enron, dans le cadre du legs compliqué de Steve Jobs, et sur tout pont vendu aux membres de l’Église de Scientologie au cours de sa carrière prolifique. Je me souviens de l’avoir vu filmer de manière agressive par un membre du public lors d’une séance de questions-réponses après la projection de Va clair, ses deux heures de démantèlement de la scientologie. Vraisemblablement, des ennemis.

Mais Gibney n’est pas aussi, disons le vigilant, comme Mark Zuckerberg, quand il s’agit de surveiller ce que les yeux pourraient être en train de le regarder avec la caméra de son ordinateur portable.C’est une idée enracinée dans la paranoïa qui a son lot de convertis car, bien que de nombreux guides en ligne prétendent vous montrer comment le faire, la National Security Agency peut également utiliser la caméra et le microphone de votre ordinateur portable pour vous espionner.

Pourtant, Gibney ne couvre pas la caméra ou le microphone de son ordinateur portable avec du ruban adhésif Inverse.

«Je ne le couvre pas toujours parce que j'utilise parfois l'appareil photo et que je ne veux pas gommer l'objectif avec du ruban adhésif», dit-il avant d'ajouter: «Mais j'utilise parfois un Post-It avec un adhésif juste au-dessus de l'objectif. ”

C’est le genre de réponse que vous attendez d’un cinéaste, et Gibney, au début de son dernier doc, Zéro jour (sorti le 8 juillet), utilise cette caméra pour Skype avec Sergey Ulasen, un chercheur en sécurité biélorusse qui a remarqué pour la première fois Stuxnet, le ver de malware extrêmement dense et précis, largement développé par le gouvernement fédéral américain. Il se retrouverait sur les ordinateurs qui contrôlaient les centrifugeuses nucléaires iraniennes et merde merde. C'est ce qui a été fait à l'été 2010. Zéro jour raconte l'histoire de la cyberguerre avec Stuxnet, un virus dont personne ne veut parler:

Les premières minutes du film incluent un montage de têtes parlantes en costume indiquant de nombreuses manières différentes qu’elles ne peuvent rien dire.

«Deux réponses avant de commencer: je ne le sais pas et si je le savais, je n’en parlerais pas de toute façon», déclare l’ancien chef de la CIA et de la NSA, Michael Hayden.

"Je commençais à en avoir marre", dit Gibney avant de signaler que l'opération avait été annulée: "Je ne pouvais pas convaincre les fonctionnaires de dire que Stuxnet existait déjà. Il y avait une sorte de Nouveaux vêtements de l’empereur qualité à ce sujet."

Au lieu de cela, le directeur s’est penché sur la criminalistique, en commençant par l’origine du virus sophistiqué et en partant de là au cours de la procédure de deux heures. Les ingénieurs en sécurité de Symantec, Eric Chien et Liam O’Murchu, insistent sur l’intrigue du film, parce qu’ils l’ont nommée, STUXnet, et ont aidé à explorer ce code informatique incroyablement complexe.

"Nous l'avons ouvert et il y avait juste des mauvaises choses partout, dit O’Murchu dans le film. "Nous avons eu 100 questions tout de suite."

Ils ont donc identifié la menace: Un virus moyen prend quelques minutes à comprendre. Un mois après avoir exploré Stuxnet, les deux commencent tout juste à comprendre sa charge utile ou son objectif.

«Chaque morceau de code fait quelque chose et fait quelque chose de bien, afin de l'attaquer», explique Chien dans le film.

Le code était également un «code zéro jour», ce qui signifiait que le jour 1, il atteignait un ordinateur et commençait à fonctionner de manière autonome. Il n'y avait aucun lien sur lequel il fallait cliquer ou pièce jointe qui devait s'ouvrir. "Un exploit à zéro jour est un exploit que personne ne connaît, à l'exception de l'attaquant", explique O’Murchu. «Donc, il n’ya aucune protection contre cela, aucun correctif publié, il n’ya aucune protection de la journée. C’est ce qui importe le plus aux attaquants, car ils savent à 100% que s’ils ont cet exploit de zéro jour, ils peuvent entrer où ils veulent."

La sophistication du malware a conduit à une conclusion: c’était le chef-d’œuvre d’un organisme gouvernemental ou d’une nation, et non pas un groupe anonyme, ni un collectif hacktiviste, ni Occupy Wall Street. C'était une arme pour la cyberguerre.

Voici comment cela a fonctionné: Le malware a été installé via un code infecté sur des clés USB. Pour obtenir le ver de la taille d’un demi-mégaoctet sur ces disques, il est supposé que les entreprises qui ont travaillé avec le programme nucléaire iranien ont été touchées par le virus sélectif. Une fois lancé, il a été conçu pour le contrôleur de logique programmable de Siemens, qui est un petit ordinateur, qui contrôle toutes sortes de machines dans les usines, les réseaux électriques, les hôpitaux et les installations nucléaires. Et le logiciel malveillant recherchait un automate spécifique qui effectuait un travail spécifique avant d'attaquer. Parce que la plupart des virus agissent comme une bombe de tapis, ce malware était plutôt un fusil de sniper, ce qui est inhabituel. Stuxnet n'était programmé pour se déployer que lorsqu'il avait trouvé la cible, à savoir l'installation nucléaire de Natanz en Iran. Les centrifugeuses utilisées pour l'enrichissement d'uranium ont été détruites lorsque Stuxnet a programmé ses moteurs pour perdre le contrôle au bon moment, alors que la chose était pleine d'uranium enrichi après 13 jours de rotation.

Le film de Gibney montre également la fierté et peut-être l’orgueil du président iranien Mahmoud Ahmadinejad d’autoriser les photographes à se rendre à Natanz. Ils ont capturé des images vitales pour le renseignement étranger - États-Unis et Israël. Les présidents George W. Bush et Barack Obama ont approuvé le déploiement de Stuxnet. Ce partenariat a été mis en place par le partenariat de la National Security Agency (qui collecte des renseignements) et du US Cyber ​​Command (le bras militaire qui utilise le renseignement de la NSA pour déployer des cyber-armes comme Stuxnet)..

«Nous pourrions regarder ou attaquer», explique l'actrice Joanne Tucker, qui joue le rôle d'un composite composé d'entretiens avec des sources officieuses de l'armée et du renseignement. C’est un tour intéressant qui n’a pas été révélé avant la fin du film. Ce n’est pas vraiment un spoiler, car le public peut le voir venir; "Dire Stuxnet à voix haute était comme dire Voldemort en Harry Potter ”, Dit Tucker dans le film. Ils ont appelé l'attaque de Natanz aux portes olympiques, ou OG. Il y a eu une énorme opération pour tester le code sur les automates en Amérique et pour voir ce que le virus avait causé à la centrifugeuse."

Natanz, bien sûr, n’était pas connecté à Internet. Il y avait un «entrefer» comme on le dit, mais ce n’était qu’un obstacle. Le code peut être introduit par un humain. Il y avait des rumeurs sur des situations à «Moscou où un ordinateur portable iranien a été infecté par un faux technicien de Siemens avec une clé USB» ou par des agents doubles disposant d'un accès direct. L'espionnage n'a jamais été révélé. Les entreprises qui devaient effectuer des réparations à Natanz étaient également infiltrées par le portable électricien infecté, il le prend pour que Natanz branche, et boum: Stuxnet est dans l’installation nucléaire iranienne.

"Il n'y avait pas de retour en arrière une fois que Stuxnet était sorti", dit Chien dans le film.

Il y avait un problème: les Israéliens prenaient le code Stuxnet, le changeaient et sans prévenir, lancé il. Ils ont "foutu en l'air", dit le composite de Tucker dans la NSA: Au lieu de se cacher discrètement dans les ordinateurs, le virus modifié par Israël a commencé à les arrêter afin que les gens le remarquent. Il s'est également répandu dans le monde entier et est tombé entre les mains de la Russie et, éventuellement, de l'Iran.

"Ils ont réussi à poser des problèmes mineurs à quelques-unes de nos centrifugeuses grâce au logiciel qu'ils ont installé sur les composants électroniques", a déclaré Ahmadinejad à la presse lors d'une conférence de presse en Iran en novembre 2010. "C'était un geste vilain et immoral de leur part, mais Heureusement, nos experts l'ont découvert et aujourd'hui, ils ne sont plus capables de le faire à nouveau. ”

À peu près à la même époque, des scientifiques nucléaires iraniens ont commencé à se faire tuer, ce que l’armée israélienne est réputée être.

Bientôt, le nombre de centrifugeuses iraniennes a commencé à augmenter, jusqu'à 20 000, avec un stock d'uranium faiblement enrichi - et les installations nucléaires se sont développées. Si la couverture avait été soufflée, Stuxnet avait eu l'effet inverse.

Et Stuxnet a fini par s’imposer sur les ordinateurs américains, alors qu’il se répandait dans le monde entier. Le département de la Sécurité intérieure des États-Unis a ensuite été chargé de stopper le virus, une autre branche du gouvernement créée en attaquant les systèmes de contrôle industriels américains. Naturellement, les responsables du DHS, y compris Sean McGurk, qui supervisait la cybersécurité pour le compte du DHS à l’époque, n’avaient aucune idée qu’elle venait des États-Unis.

«Vous ne pensez pas que le sniper qui se cache derrière vous vous tire dessus. Le sénateur Joe Lieberman non plus, qui a été vu lors d'une audience au Sénat croquant une question à McGurk sur la responsabilité exacte de Stuxnet: «Pensons-nous qu'il s'agissait d'un acteur d'État-nation et qu'il s'agissait d'un nombre limité d'États-nations qui ont une telle capacité avancée?

«Imaginons un instant que non seulement toute l'électricité soit coupée sur la côte est, mais qu'Internet aussi soit tombé en panne», déclare New York Times journaliste David Sanger dans le film. L’actrice composite abandonne l’autre chaussure: imaginez le temps qu’il faudrait à ces réseaux pour que des dizaines de millions de personnes se connectent en ligne.

«Le scénario de la guerre de cyberguerre de science-fiction est là, c’est Nitro Zeus. Si l’accord nucléaire conclu entre l’Iran et six autres pays à l’été 2015 n’avait pas été conclu, il aurait été possible de «neutraliser les défenses anti-aériennes, les systèmes de communication et les éléments essentiels de son réseau électrique», a déclaré Sanger pour le compte de l’Iran. Fois en février.

"Nous avons probablement vu près de dix pays", a déclaré Chien lors d'une récente séance de questions-réponses après une démonstration de Zéro jour, lorsqu'on lui a demandé combien de pays avaient accès à des cyberarmes qui pourraient bloquer les systèmes de contrôle industriels en Amérique ou ailleurs. Le seuil de déclenchement d’une guerre cybernétique est relativement bas.