Cybersécurité : Ondřej Surý, l’informaticien tchèque qui a contribué à sauver Internet
Une faille de sécurité majeure dans PHP, un langage de programmation utilisé notamment pour faire fonctionner des sites web et des applications en ligne, aurait pu permettre à des pirates d’exécuter leurs propres programmes sur des machines vulnérables et d’en prendre le contrôle. Ondřej Surý, spécialiste tchèque chargé de préparer les paquets logiciels permettant de mettre à jour PHP, a contribué à diffuser le correctif dans les meilleurs délais. Malgré l’urgence et les risques, l’informaticien tchèque devenu célèbre décrit une tâche technique habituelle et préfère souligner l’aide apportée aux utilisateurs plutôt que son propre rôle.
En quoi consistait exactement cette faille de sécurité ?
Ondřej Surý : « Il s’agissait d’une vulnérabilité de type RCE, pour Remote Code Execution, ou exécution de code à distance. En termes simples, cela signifie qu’un attaquant pouvait exécuter ses propres programmes sur la machine de sa victime. En pratique, il pouvait donc potentiellement faire n’importe quoi, puisqu’il aurait eu un accès complet au serveur ou à l’ordinateur utilisant une version vulnérable de PHP. »
Vous êtes spécialiste de ce domaine et participez à la préparation des mises à jour de sécurité. Quelle charge de travail cela a-t-il représenté pour vous ? Combien de temps vous a-t-il fallu pour réagir ?
« J’étais dans une situation plutôt favorable par rapport aux personnes qui administrent des serveurs utilisant PHP, parce que je suis le seul à m’occuper de cette partie du travail. Mon rôle consistait à préparer les paquets logiciels (fichiers de mise à jour, ndlr) que les utilisateurs installent sur leurs machines pour mettre à jour leur version de PHP.
Cela m’a pris quelques heures, auxquelles il fallait ajouter le temps nécessaire pour compiler le code source et produire les programmes exécutables. Pour moi, ce n’était donc pas une tâche énorme, car je fais cela régulièrement. Ce qui était sérieux, en revanche, c’était l’ampleur des conséquences possibles et la responsabilité de préparer les paquets à temps, afin que les utilisateurs puissent installer les versions corrigées sans tarder. »
Je garde mon sang-froid dans ce genre de situation
Aviez-vous le sentiment que le temps pressait, sachant que des acteurs malveillants auraient pu causer de sérieux dégâts sur Internet ?
« Bien sûr. Mais je garde mon sang-froid dans ce genre de situation. Je sais que le temps presse, mais j’ai organisé le travail que je devais accomplir. »
Vous dites garder la tête froide. Avez-vous tout de même ressenti un grand soulagement lorsque vous avez compris que la situation n’allait pas tourner au désastre et que le problème avait été résolu à temps ?
« J’étais surtout heureux pour toutes les personnes que j’avais aidées. Personnellement, je n’utilise pas PHP moi-même. Mais toutes les personnes qui utilisent les paquets que je prépare étaient exposées au risque.
Je ne parlerais pas vraiment de soulagement, mais j’étais heureux d’avoir pu les aider à temps. J’ai reçu énormément de messages de gratitude. Pour ces personnes, la situation a dû être stressante. J’ai donc ressenti une forme de soulagement pour elles, en sachant qu’elles avaient pu installer les versions corrigées de PHP à temps et qu’elles n’étaient plus confrontées à un risque aussi important. »
Pas le sentiment d’avoir accompli quelque chose d’extraordinaire
Un titre à votre sujet dans la presse disait en substance : « S’il arrive quelque chose à ce type, nous sommes fichus. » Vous semblez être quelqu’un de modeste et vous avez tenu à partager le mérite avec d’autres personnes impliquées. Comment vivez-vous le fait d’avoir accompli quelque chose d’aussi important ?
« J’ai reçu beaucoup de messages de personnes qui me remerciaient pour ce que j’avais fait. Mais je n’ai pas le sentiment d’avoir accompli quelque chose d’extraordinaire. Pour moi, c’était simplement une mise à jour de plus. Je l’aurais préparée même si les enjeux n’avaient pas été aussi importants. Je ne me sens donc pas particulièrement spécial. »
Pensez-vous que les gens avaient aussi envie de lire une belle histoire sur Internet ? À ses débuts, Internet semblait être une formidable invention. Pour beaucoup, il est ensuite devenu quelque chose de plus négatif, qui a dégradé nos vies à bien des égards. Les gens avaient-ils besoin d’une bonne nouvelle à son sujet ?
« Je connais ces belles histoires, même si j’ai plutôt tendance à les éviter. Mais c’est agréable de voir quelqu’un aider quelqu’un d’autre. Ce sont de meilleures histoires à lire que celles qui racontent tout ce qui ne va pas dans le monde. »
