Rapport explicatif

Le principal motif de l'obligation de signaler une perturbation (au moins 30'000 clients potentiellement af- fectés) figure désormais dans l'OST, et non plus dans les prescriptions techniques et administratives.

Section 4 Manipulation non autorisée d'installations de télécommunication

En introduction, il convient de noter que les dispositions contenues dans cette section ne sont applicables qu'aux fournisseurs d'accès à Internet car, de fait, ils sont les seuls à être concernés par les manipulations non autorisées d'installations de télécommunication.

Art. 96a Mesures de sécurité

L'al. 1 de cette disposition réglemente la lutte contre les attaques visant à rendre les services Internet inac- cessibles en générant un grand nombre de requêtes (attaques par déni de service ou distributed denial-ofservice attack - DDoS). Ce cas est explicitement mentionné dans le message sur la révision de la LTC.

L'une des mesures consiste à empêcher l'utilisation de fausses adresses IP par les agresseurs (spoofing), ce qui rend impossible les attaques DDoS basées sur l'usurpation d'une adresse IP. Par conséquent, les fournisseurs d'accès à Internet sont tenus d'utiliser des mesures techniques raisonnables qui leur permettent de filtrer les paquets IP provenant de leur réseau avec une adresse IP source falsifiée. Pour mettre en place ces filtres, les fournisseurs doivent tenir à jour une liste des réseaux autorisés, laquelle peut être générée automatiquement à partir de la table de routage. Les étapes techniques nécessaires sont décrites par l'Inter- net Engineering Task Force (IETF) dans les "Best Current Practices" BCP38 pour les réseaux à héberge- ment unique (réseaux dans lesquels chaque appareil dispose d'une adresse IP) et BCP84 pour les réseaux à hébergement multiple (réseaux dans lesquels un appareil dispose de plusieurs adresses IP).

Les fournisseurs d'accès à Internet mettent souvent à la disposition de leurs clients des équipements (appe- lés Customer Premises Equipment - CPE). En raison de leur utilisation très répandue, ceux-ci jouent un rôle important dans la lutte contre les cyberincidents. L'al. 2 prévoit donc que les caractéristiques de sécurité de toutes les installations de télécommunication, qui sont mises à la disposition des clients, doivent être confi- gurées conformément aux règles reconnues de la technique et actualisées rapidement, pour autant que les fournisseurs concernés aient encore le contrôle sur ces installations. Cela permet aussi de combler les failles de sécurité sur ces équipements au moyen de mises à jour. Afin de minimiser l'exposition de ces équipements aux risques, l'OFCOM édictera des prescriptions techniques et administratives. Celles-ci de- vront notamment tenir compte des principes suivants:

− Aucune donnée d'accès standard (nom d'utilisateur, mot de passe) ne peut être utilisée pour ac- céder au CPE. Les données d'accès doivent être attribuées individuellement par appareil. Si cela n'est techniquement pas possible, un changement des données d'accès doit être imposé lors de la mise en service.

− Les services inutiles sur le CPE doivent être désactivés.

− Le trafic SMTP sortant sur le port 25 doit être bloqué par défaut sur tous les raccordements de cli- ents privés (raccordements "résidentiels", généralement des adresses IP dynamiques). En cas de besoin spécifique ou à la demande justifiée du client, il est envisageable de le débloquer.

− Sur un CPE à l'état de livraison, aucun port librement accessible depuis l'internet ne doit être ouvert. Les ports ouverts nécessaires au fonctionnement du CPE doivent être sécurisés par des mesures techniques (p. ex., une restriction IP).

− Les ports utilisés pour la télémaintenance par le fournisseur doivent être limités autant que possible (p. ex., à un segment d'adresse IP utilisé par le fournisseur à cette fin).

− Le protocole utilisé pour l'accès à la maintenance à distance doit être protégé par une technologie de cryptage actuelle.

− Les mises à jour de sécurité classées comme critiques par le fabricant doivent être rapidement in- stallées sur les CPE. Si les CPE sont classés comme "en fin de vie" par le fabricant, ils doivent être remplacés.

Lorsque des installations de télécommunication sont infectées par un logiciel malveillant, elles risquent de mettre en danger les autres installations de télécommunication auxquelles elles peuvent se connecter. Le logiciel malveillant peut se propager via la connexion ou être utilisé pour d'autres activités nuisibles, comme l'envoi de spam, le phishing ou la participation à une attaque DDoS. Pour cette raison, il est nécessaire de prévoir, à l'al. 3, des mesures contre les installations de télécommunication infectées ou vulnérables. Diffé- rentes mesures sont envisageables. La connexion Internet peut être bloquée ou restreinte afin d'interrompre une activité nuisible. Elle peut l'être également si un appareil vulnérable est utilisé pendant une longue péri- ode, afin de protéger les autres abonnés ainsi que la personne ou l'entreprise touchée (mot-clé: attaques par ransomware). Les appareils infectés peuvent aussi être placés dans un mode "sandbox" ("walled garden"),