WEBVTT 00:00:00.000 --> 00:00:13.080 L'informatique doit être au service de chaque citoyen. 00:00:13.080 --> 00:00:18.240 Son développement doit s'opérer dans le cadre de la coopération internationale. 00:00:18.240 --> 00:00:23.680 Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la 00:00:23.680 --> 00:00:27.520 vie privée, ni aux libertés individuelles ou publiques. 00:00:28.200 --> 00:00:30.935 Bonjour, vous écoutez RdGP, le podcast sérieux qui vous emmène au cœur des enjeux des droits 00:00:32.435 --> 00:00:34.920 numériques, des libertés individuelles et de la vie privée. 00:00:34.920 --> 00:00:36.880 Bienvenue dans cette nouvelle revue de l'actu numérique. 00:00:42.050 --> 00:00:49.370 Cette semaine, je suis à nouveau seul et pour l'occasion, j'aimerais bien prendre une voix un peu plus grave. 00:00:49.370 --> 00:00:52.210 Un peu plus grave, car... 00:00:52.210 --> 00:00:55.330 Qui aurait pu prédire ? 00:00:55.330 --> 00:01:00.450 Qui aurait pu prédire que PHP allait casser l'Internet mondial ? 00:01:00.450 --> 00:01:04.850 Eh bah, en fait, probablement tout le monde. 00:01:04.850 --> 00:01:09.010 Bon, rassurez-vous, Internet n'est pas tombé en panne, mais cette semaine, 00:01:10.150 --> 00:01:12.150 on a tout de même eu droit à une jolie panique. 00:01:13.000 --> 00:01:17.400 Deux vulnérabilités critiques ont été révélées dans PHP, un langage informatique qui fait 00:01:17.400 --> 00:01:19.680 fonctionner une bonne partie des sites Internet. 00:01:19.680 --> 00:01:24.120 Et pour ceux qui ne connaissent pas PHP, c'est un langage de programmation qui a un peu plus 00:01:24.120 --> 00:01:28.240 de 30 ans, et à l'échelle de l'informatique, c'est clairement un fossile. 00:01:28.240 --> 00:01:30.920 Et pourtant, il est encore partout. 00:01:30.920 --> 00:01:35.280 Sur les sites Internet, dans les administrations, dans les entreprises, dans les banques, il 00:01:35.280 --> 00:01:37.080 y a du PHP dans tous les coins. 00:01:38.250 --> 00:01:44.170 Et cette semaine donc, les mainteneurs de PHP ont annoncé deux vulnérabilités particulièrement graves. 00:01:44.170 --> 00:01:48.650 Du genre qui peuvent permettre à un pirate de prendre contrôle d'un serveur à distance. 00:01:48.650 --> 00:01:50.030 Pas ouf. 00:01:50.030 --> 00:01:59.230 Mais là où ça devient vraiment amusant, c'est que les mainteneurs ont prévenu les utilisateurs, annoncé la sortie des correctifs et invité les entreprises à se préparer. 00:02:00.600 --> 00:02:03.040 Et là, panique générale. 00:02:03.040 --> 00:02:07.240 Parce que pour mettre à jour du PHP, il faut savoir... 00:02:08.300 --> 00:02:10.300 Où est-ce qu'on utilise du PHP ? 00:02:11.400 --> 00:02:16.400 Et manifestement dans certaines entreprises, c'est une question à laquelle il n'est pas si simple de répondre. 00:02:16.400 --> 00:02:20.400 Alors tout le monde a commencé par faire un inventaire. 00:02:20.400 --> 00:02:25.400 Et c'est ainsi qu'on peut tomber sur du PHP 5.4. 00:02:25.400 --> 00:02:27.400 PHP 5.4 ! 00:02:27.400 --> 00:02:33.400 C'est sorti en 2012 et il est plus officiellement maintenu depuis 2015. 00:02:34.550 --> 00:02:39.150 2015, François Hollande était président, Windows 10 venait de sortir, et on utilisait 00:02:39.150 --> 00:02:41.110 encore Twitter sans se poser trop de questions. 00:02:42.400 --> 00:02:46.480 Alors évidemment, les développeurs, ils ont pas juste passé 11 ans comme ça à regarder 00:02:46.480 --> 00:02:52.320 leur serveur en se disant « Moi tiens, celui-là on va le laisser vieillir, comme un bon 00:02:52.320 --> 00:02:52.880 camembert normand ». 00:02:54.100 --> 00:02:58.140 Non, en général il y a une raison, une application un peu ancienne, un prestataire qui a disparu, 00:02:58.140 --> 00:03:00.380 une migration repoussée parce que ça coûte trop cher. 00:03:00.380 --> 00:03:06.260 Et puis il y a toujours cette merveilleuse phrase que tous les informaticiens connaissent 00:03:06.260 --> 00:03:09.300 « Eh, tant que ça marche, on touche à rien ». 00:03:11.200 --> 00:03:16.500 Et pendant que tout le monde courait partout avec son PHP sous le bras, il y a eu autre chose d'amusant. 00:03:16.500 --> 00:03:21.020 Parce que le 21 octobre, en fait, PHP il n'était pas le seul à avoir des problèmes. 00:03:21.020 --> 00:03:25.040 Non, non, non ! Il y a eu Node JS, des problèmes de certificat, tout un tas de problèmes ! 00:03:25.040 --> 00:03:30.380 C'est comme si PHP, le grand frère, avait décidé de faire une énorme bêtise pour attirer l'attention des parents, 00:03:30.380 --> 00:03:33.640 pendant que tous ses petits frères en profitaient pour voler des bonbons. 00:03:36.550 --> 00:03:40.550 Bon, le vrai problème c'est pas d'utiliser de vieilles versions, c'est de ne pas savoir 00:03:40.550 --> 00:03:41.550 qu'elles sont là. 00:03:41.550 --> 00:03:46.870 Parce qu'aujourd'hui on parle d'intelligence artificielle, de calcul quantique, de centres 00:03:46.870 --> 00:03:51.310 de données gigantesques, on nous promet des entreprises entièrement automatisées, des 00:03:51.310 --> 00:03:56.230 assistants capables de tout faire et bientôt, probablement, un réfrigérateur qui négociera 00:03:56.230 --> 00:03:58.190 lui-même le prix de nos yaourts. 00:03:58.190 --> 00:03:59.590 Mais dans le même temps... 00:04:00.650 --> 00:04:04.090 il faut parfois une énorme alerte de sécurité internationale 00:04:04.090 --> 00:04:08.090 pour qu'une entreprise découvre qu'elle fait encore tourner un logiciel installé sous Sarkozy. 00:04:10.300 --> 00:04:15.380 D'ailleurs en parlant d'intelligence artificielle, elle a joué un rôle capital dans toute cette 00:04:15.380 --> 00:04:16.380 histoire. 00:04:16.380 --> 00:04:20.960 De plus en plus de chercheurs en sécurité utilisent désormais des modèles de langage 00:04:20.960 --> 00:04:24.260 pour analyser du code, déterrer des vulnérabilités qu'on n'avait pas encore découvertes depuis 00:04:24.260 --> 00:04:25.260 des années. 00:04:25.260 --> 00:04:28.700 Et c'est notamment ce qui a contribué à révéler toute la gravité du problème de 00:04:28.700 --> 00:04:29.700 PHP. 00:04:29.700 --> 00:04:32.220 Et là je pense qu'on arrive vraiment dans une nouvelle époque. 00:04:32.220 --> 00:04:35.380 Parce que jusqu'à présent, 00:04:35.380 --> 00:04:38.180 on pouvait encore espérer qu'une vieille faille informatique passe inaperçue pendant quelques 00:04:38.180 --> 00:04:43.460 années. C'était un peu comme cette fissure dans le mur de votre maison. Vous savez qu'elle est là, 00:04:43.460 --> 00:04:48.900 vous avez vaguement prévu de vous en occuper, mais tant que personne ne vient regarder derrière le 00:04:48.900 --> 00:04:54.460 papier peint, tout va bien. Sauf que maintenant, on vient d'inventer une armée de petits robots 00:04:54.460 --> 00:04:57.800 capables d'inspecter les murs jour et nuit sans jamais se fatiguer. 00:04:59.050 --> 00:05:01.910 Et ils ont l'air de beaucoup aimer les fissures. 00:05:04.350 --> 00:05:08.710 Alors je ne sais pas si nous aurons le droit à une nouvelle affaire PHP toutes les semaines, 00:05:08.710 --> 00:05:11.970 mais je pense que les prochaines années seront particulièrement sportives. 00:05:11.970 --> 00:05:16.310 Des vulnérabilités oubliées depuis 10 ou 15 ans vont probablement ressortir les unes 00:05:16.310 --> 00:05:21.150 après les autres, et l'intelligence artificielle n'est pas réservée qu'aux gentils chercheurs. 00:05:21.950 --> 00:05:24.550 Les pirates aussi, ils vont s'en servir. 00:05:24.550 --> 00:05:28.350 Donc autrement dit, si votre stratégie de sécurité consistait à espérer que personne 00:05:28.350 --> 00:05:32.430 ne regarde votre vieux serveur, bah j'ai une mauvaise nouvelle, il va falloir trouver 00:05:32.430 --> 00:05:33.430 autre chose. 00:05:33.430 --> 00:05:39.030 Et peut-être même faire ce truc absolument révolutionnaire, un inventaire de son système 00:05:39.030 --> 00:05:40.510 informatique et de ses dépendances. 00:05:41.650 --> 00:05:46.130 Alors ouais, je sais, c'est pas aussi sexy que de déployer un assistant conversationnel 00:05:46.130 --> 00:05:47.130 dans toute l'entreprise. 00:05:47.130 --> 00:05:52.430 Mais savoir quels logiciels on utilise, quelles versions sont installées, qui les maintient, 00:05:52.430 --> 00:05:56.530 et surtout, lesquels ne reçoivent plus de correctifs de sécurité, ça me semble être 00:05:56.530 --> 00:05:57.530 un bon début. 00:05:57.530 --> 00:06:01.490 Parce qu'au fond, on a pris l'habitude de considérer que les infrastructures numériques 00:06:01.490 --> 00:06:02.490 existent naturellement. 00:06:02.490 --> 00:06:07.090 On ouvre un site Internet, il fonctionne, on installe un logiciel, on suppose qu'il 00:06:07.090 --> 00:06:08.090 sera encore maintenu demain. 00:06:08.750 --> 00:06:14.590 Tant que tout marche, personne ne se pose trop de questions. Jusqu'au jour où une vulnérabilité 00:06:14.590 --> 00:06:18.590 critique apparaît et où tout le monde se met à chercher frénétiquement le serveur que Gérard 00:06:18.590 --> 00:06:24.910 avait installé en 2012. Gérard qui, évidemment, est parti à la retraite depuis sept ans. Alors, 00:06:24.910 --> 00:06:29.190 qui aurait pu prédire que PHP nous rappellerait un jour à quel point notre informatique est fragile ? 00:06:30.600 --> 00:06:34.880 Encore une fois, probablement tout le monde. Mais avec l'intelligence artificielle qui se met 00:06:34.880 --> 00:06:38.640 désormais à fouiller dans les placards de nos systèmes informatiques, je crois qu'il serait 00:06:38.640 --> 00:06:39.720 grand temps de faire un peu de ménage. 00:06:40.500 --> 00:06:45.380 Parce que la prochaine fois ce n'est peut-être pas PHP qui va nous faire peur, ce sera ce vieux logiciel 00:06:45.380 --> 00:06:50.700 dont vous aviez complètement oublié l'existence et que Gérard lui-même ne se souvient plus d'avoir 00:06:50.700 --> 00:06:55.075 installé. Merci beaucoup à toutes nos auditrices et tous nos auditeurs, je vous rappelle que 00:06:57.900 --> 00:07:03.420 RdGP est hébergé par Castopod, n'hésitez pas à nous envoyer des commentaires sur le Fédivers, 00:07:03.420 --> 00:07:04.740 notamment Mastodon, et je vous dis à la semaine prochaine. 00:07:04.740 --> 00:07:16.370 *musique d'outro*