Depuis le mois de mars, les clients de RSA se demandent s'ils peuvent continuer à faire confiance aux tokens de la société, qui les avait vaguement mis en garde après l'intrusion reconnue de pirates dans ses systèmes. Il y a deux semaines, des hackers ayant détourné la technologie SecurID ont contraint le groupe de défense américain Lockheed Martin à fermer l'accès à son réseau privé virtuel.

Dans une lettre envoyée à ses clients, RSA a confirmé que l'incident de Lockheed Martin était lié à sa technologie SecurID. Des informations « volées à RSA en mars dernier ont servi pour mener une attaque de plus grande envergure contre Lockheed Martin, » a écrit Art Coviello, le président exécutif de RSA, dans ce courrier. Néanmoins, l'entreprise reste « très confiante dans son produit SecurID, » même si elle reconnait que la récente attaque contre le groupe de défense américain et des préoccupations justifiées sur le piratage « ont pu entamer la tolérance de certains clients quant au risque global encouru. » 

En plus du remplacement des jetons SecurID, la société offre également à ses clients son service de surveillance des transactions RSA Transaction Monitoring, utilisé par certaines banques pour bloquer les transactions frauduleuses en ligne. Selon un porte-parole de RSA, « le déploiement de nouveaux jetons peut être compliqué pour les banques qui comptent un grand nombre de clients utilisant les jetons SecurID, et le RSA Transaction Monitoring leur apporte une autre option de verrouillage. »

Un remplacement devenu nécessaire pour beaucoup

Toutes les soixante secondes, les tokens SecurID génèrent un nouveau code à six chiffres que les utilisateurs peuvent taper en même temps que leur mot de passe pour accéder au réseau de leur système d'information. Ce chiffrage supplémentaire pour l'identification permet de sécuriser les réseaux, même quand les mots de passe sont subtilisés. Mais aujourd'hui, la sécurité de la technologie RSA est mise en cause. Les experts en sécurité estiment que les hackers qui se sont introduits dans les systèmes RSA se sont emparés du code source nécessaire pour générer de faux jetons. Mais ils auraient besoin de s'introduire à nouveau dans les serveurs de RSA pour savoir quel jeton particulier est utilisé par tel ou tel client. C'est ce qui s'est passé, semble-t-il, avec Lockheed Martin, même si le groupe de défense a refusé de commenter l'incident.

Pour remplacer ses jetons, RSA peut utiliser de nouvelles lignes de code, inconnues des hackers, pour générer les séquences de chiffres. Le département sécurité d'EMC dit avoir livré à ce jour environ 40 millions de tokens. L'entreprise ne veut pas dire combien lui coûteront ces cyber-attaques, mais, même avant le lancement du programme de remplacement SecurID, celles-ci lui ont déjà coûté cher. Ainsi, à la date du dernier bilan financier, fin mars 31, EMC a indiqué que la marge brute du groupe RSA avait chuté de 67,6 à 54,1 % sur une année. Dans le rapport d'EMC sur les bénéfices trimestriels, cette baisse a été imputée à la cyber-attaque.

Crédit photo : RSA