RSA : la fiabilité de SecurID remise en cause après une grave attaque

RSA, la division sécurité d’EMC (spécialiste du stockage), vit un cauchemar à cause d’un piratage qui pourrait entraîner un sérieux préjudice.

« Récemment, nos systèmes de sécurité ont identifié une cyber-attaque extrêmement sophistiquée contre RSA », a reconnu son président Art Coviello dans un message adressé aux clients.

Selon Silicon.fr, cet assaut de type Advanced Persistent Threat (APT) pourrait remettre en cause l’intégrité des technologies anti-intrusion du groupe.

« Notre enquête a aussi révélé que l’attaque a permis le vol de certaines informations des systèmes de RSA », poursuit le patron de RSA. « Certaines de ces informations sont spécifiquement liées aux produits d’authentification à deux facteurs SecurID. »

Ce n’est guère rassurant pour les administrateurs des milliers de machines qui se sont dotées de cette technologie.

Sur le site corporate de RSA, on apprend que l’authentification à deux facteurs de RSA SecurID est fondée sur la combinaison d’un « identifiant immuable » (mot de passe ou PIN) et d’un « dispositif physique » (authentificateur). Ce système est censé garantir un niveau d’authentification utilisateur bien plus fiable que les mots de passe réutilisables.

Destinée à de nombreux appareils high-tech (PC, périphériques USB, téléphones…), la solution SecurID serait exploitée par 25 000 entreprises dans le monde.

Mais l’attaque informatique visant la branche sécurité IT d’EMC remet en cause ses assertions.

Les informations recueillies par les pirates « pourraient être utilisées pour réduire l’efficacité d’une mise en œuvre d’authentification à deux facteurs en cours dans le cadre d’une attaque généralisée », admet Art Coviello.

Tout en précisant qu’elles ne « permettraient pas d’accomplir avec succès une attaque directe sur l’un de nos clients RSA SecurID ».

Dans l’attente d’une remise à plat de SecurID, RSA diffuse des recommandations pour ses clients et partenaires et organise un support spécifique.

La division sécurité d’EMC devra tirer des leçons sur les failles de son propre système d’information…