Le chercheur en sécurité Brian Meixell et Dillon Beresford, en collaboration avec le NSS Labs, avait prévu de parler mercredi lors d'une conférence sur la sécurité, TakeDownCon, à Dallas des faiblesses relatives au PLC (Programmable Logi Controller) des systèmes Siemens . Ces derniers sont largement utilisés au niveau industriel, dans les centrales électriques, sur des navires de guerre, etc.

Mais les chercheurs ont décidé de retirer leur présentation à la dernière minute après que Siemens et l'agence fédéral de sécurité américaine aient soulevé les risques potentiels en cas de diffusion, a déclaré Rick Moy, directeur général de NSS Labs. Celui-ci avait indiqué cette faille aux équipes du ICS-CERT (Industrial Control Systems Cyber Emergency Response). «  Siemens nous avait indiqué qu'un correctif était disponible, mais il semble que ce patch n'a pas été complètement déployé. Nous avons donc retiré notre présentation qui pouvait présenter des risques majeurs ».

Une interruption temporaire

Il est habituel que les chercheurs en sécurité attendent la correction du logiciel avant de parler des failles trouvées. Mais bloquer la présentation de scientifiques dans une conférence reste assez originale. Rick Moy explique « il s'agit d'une suspension temporaire, la présentation n'est donc pas enterrée » .

La sécurité des systèmes Scada a été un sujet important dans la communauté des experts en sécurité suite à la découverte l'année dernière du ver Stuxnet, qui probablement visait le programme nucléaire de l'Iran. Dans une description de leur présentation Brian Meixell et Dilon Beresford souhaitaient montrer comment écrire un malware « au niveau industriel » et d'ajouter,« nous allons montrer comment des attaquants motivés peuvent pénétrer des installations les plus protégés dans le monde, sans le soutien d'un Etat-nation».

 

Illustration: Système Scada