La FCC interdit l'importation de nouveaux routeurs étrangers : la sécurité nationale et votre réseau national en jeu

La Federal Communications Commission des États-Unis (FCC) a annoncé cette semaine une mesure qui modifiera la façon dont l'équipement qui relie nos maisons à l'Internet arrive sur le marché des États-Unis : l'importation de nouveaux modèles de routeurs de consommation fabriqués à l'étranger est interdite, les considérant comme une menace inacceptable pour la cybersécurité et la sécurité nationale. Il s'agit d'une action visant à réduire un vecteur de risque qui, selon le gouvernement, peut être exploité pour espionner, interrompre des infrastructures critiques ou monter des réseaux malveillants à grande échelle..

L'inclusion de ces appareils dans la « Liste de couverture » de la FCC signifie que les nouveaux modèles fabriqués à l'extérieur des États-Unis ne seront plus admissibles à la commercialisation dans le pays, à moins qu'ils n'obtiennent l'approbation conditionnelle d'organismes exécutifs qui vérifient qu'ils ne présentent pas de danger. La note officielle et la liste actualisée sont disponibles sur le site Web de FAC lui-même : Communication de la FCC et liste couverte.

L'argument central de l'agence est que les routeurs de bureaux nationaux et de petits bureaux ont été utilisés à plusieurs reprises par des acteurs malveillants - qu'ils soient étatiques ou non - pour compromettre les réseaux, espionner les communications et diffuser des activités nuisibles. Dans son évaluation, l'Exécutif note que ces équipes présentent une vulnérabilité dans la chaîne d'approvisionnement qui pourrait affecter des secteurs essentiels tels que l'énergie, les transports et l'eau, ainsi que l'économie en général.

Pour illustrer l'ampleur du problème, la FCC et d'autres documents officiels recueillent des cas récents où des groupes ayant des liens présumés avec des nations adverses ont exploité des routeurs étrangers pour s'infiltrer et sauter entre les réseaux. Certains noms propres apparaissent dans ces enquêtes, et l'agence cite des exemples de la façon dont les équipes engagées ont servi de point de soutien aux mouvements latéraux et à un accès prolongé. Le texte de FAC se réfère lui-même à cette analyse et à la détermination de la sécurité nationale qui sous-tend la mesure.

Il est important de souligner que l'interdiction affecte les nouveaux modèles importés; elle n'oblige pas les consommateurs à cesser d'utiliser les routeurs qu'ils ont déjà achetés. Elle n'empêche pas non plus les distributeurs de vendre des modèles précédemment autorisés par la FCC. Cette distinction vise à équilibrer la réponse immédiate aux risques avec le caractère pratique des maisons et des entreprises qui dépendent déjà de l'équipement autorisé.

Un détail frappant est l'exclusion de certains appareils dont la fabrication a une présence aux États-Unis: par exemple, les routeurs Wi-Fi de Starlink ont été cités comme exemptés parce qu'ils sont produits au Texas, selon des rapports comme la BBC ( Rapport de la BBC). Cela montre que la mesure ne vise pas des marques ou des technologies spécifiques, mais plutôt l'origine physique et la traçabilité de la chaîne de production.

Le souci des routeurs n'est pas nouveau. Au-delà des attaques récentes, les services de renseignement s'intéressent depuis longtemps à l'interception ou à la manipulation des équipements du réseau. Des journalistes et des documents ont identifié des pratiques dans lesquelles certaines agences ont cherché à intervenir des routeurs avant leur exportation pour introduire des pointeurs, pratique rapportée à temps par des enquêtes journalistiques ( Glenn Greenwald dans The Guardian) et analysés en profondeur par d'autres moyens ( Les temps financiers).

D'un point de vue technique, les routeurs sont un objectif attrayant: ils sont à la frontière entre les réseaux publics et privés, ils gèrent le trafic de tous les appareils ménagers et, avec des paramètres faibles ou un firmware vulnérable, ils peuvent permettre une surveillance passive, l'exfiltration de données ou l'installation de logiciels malveillants qui transforme des milliers d'appareils en botnet. Un attaquant ayant le contrôle de ces équipements peut effectuer des attaques de force brute distribuées à l'interception des communications ou des mouvements latéraux au sein des réseaux commerciaux.

La mesure de FAC comprend également un mécanisme permettant aux fabricants de demander une « approbation conditionnelle » - évaluée par des organismes comme le ministère de la Défense ou la Sécurité nationale - s'ils démontrent que leurs pratiques de conception et de production atténuent les risques cernés. Cette voie administrative permet de garder la porte ouverte pour les fournitures étrangères qui font preuve de robustesse dans leur chaîne d'approvisionnement et les contrôles de sécurité.

Au niveau industriel et géopolitique, la décision aura un impact sur la chaîne matérielle mondiale. Les fabricants et les fournisseurs devront réagir : certains peuvent choisir de déplacer des lignes d'assemblage aux États-Unis, d'autres chercheront à démontrer des contrôles qui satisfont aux exigences du processus d'approbation conditionnelle, et il n'est pas possible que la mesure mène à des discussions commerciales ou juridiques dans les instances internationales.

Pour les utilisateurs finaux, la chose la plus immédiate est de prêter attention aux recommandations de sécurité: garder le firmware à jour, changer les mots de passe par défaut et compter sur des marques ou des modèles qui fournissent la transparence sur votre chaîne d'approvisionnement. Mais nous pouvons aussi voir une poussée vers la fabrication nationale ou une plus grande surveillance réglementaire sur les dispositifs de réseau, qui jusqu'à présent ont mis l'accent sur une infrastructure plus grande et qui est maintenant descendue vers l'appareil que nous avons sur la table à la maison.

L'annonce de FAC s'inscrit dans une tendance mondiale où les gouvernements se concentrent sur la sécurité de la chaîne d'approvisionnement technologique. La mesure ne vise pas à ne laisser personne accéder à la connectivité, mais à réduire un risque systémique qui, selon les agences américaines, a été exprimé à maintes reprises et avec des conséquences potentiellement graves. Reste à voir comment les fabricants réagiront, quel impact réel cela aura sur les prix et la disponibilité, et si d'autres pays prendront des mesures similaires pour protéger leurs réseaux.

Ceux qui veulent lire la documentation officielle et les détails techniques peuvent se reporter à la déclaration de FAC et à la liste des équipements visés, où les critères et le processus d'exemption sont expliqués : Note de la FCC et liste couverte. Pour une revue journalistique des implications et des exceptions, l'article de la BBC offre un look accessible: BBC Nouvelles alors que la recherche journalistique sur les interventions passées auprès des équipes de réseau est disponible à Le gardien et l ' analyse de Les temps financiers.