La rentrée scolaire est dans dix jours, et les chefs d’établissement ont normalement de quoi s’occuper : finaliser les emplois du temps, vérifier les dernières affectations, contacter les enseignants, informer les parents ou encore régler les factures arrivées pendant l’été. Petit souci : pour pouvoir exécuter toutes ces tâches, encore faut-il avoir accès aux serveurs mails et aux différentes applications métier… en travaux express depuis le piratage de cet été.
L’affaire avait refait surface le 17 août, quand le groupe de pirates ZeroBytes avait revendiqué l’intrusion. Le même groupe s’était déjà fait remarquer quelques jours auparavant en revendiquant le vol des données de 678 000 contribuables à la Direction générale des finances publiques. Cette fois, les pirates affirmaient avoir récupéré quelque 346 millions de lignes de données provenant notamment d’applications utilisées par l’Éducation nationale. Une paille (et une faille… béante).
Et une fois les pirates partis, tout comme on remplace la porte du logis après le passage des voleurs, il faut maintenant combler la ou les failles. Pour ça, il faut comprendre précisément comment ils sont entrés, déterminer jusqu’où ils ont pu aller et surtout s’assurer qu’ils ne puissent pas revenir. Et parfois, la seule solution consiste à couper des services le temps de vérifier et de sécuriser l’ensemble.
Un PC personnel, sept failles et les fichiers de la police au bout : autopsie d’un piratage
L’autoroute de l’information est fermée, veuillez emprunter la départementale voisine
C’est précisément ce qui se passe actuellement dans plusieurs académies, comme le rapporte Le Monde. Le ministère confirme avoir suspendu préventivement pendant l’été l’accès à certaines applications professionnelles dans quelques académies, dans le cadre d’un plan de renforcement de la sécurité mené avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Les services sont maintenant rétablis progressivement… mais trop progressivement au goût des chefs d’établissement.
À dix jours de la rentrée, le calendrier est particulièrement mauvais : si les élèves rêvent encore à leurs soirées sur la plage, les chefs d’établissement et leurs équipes, eux, sont déjà sur le pont et ont besoin de leurs outils. Les perturbations varient fortement suivant les académies : Paris et Versailles sont peu ou pas affectées, tandis que Nantes, Toulouse et Bordeaux font partie des territoires les plus touchés. Messageries indisponibles, connexions à distance impossibles ou applications professionnelles inaccessibles : certains chefs d’établissement découvrent les restrictions seulement au moment de reprendre leur travail.
C’est le cas à Cholet, où le proviseur Gérard Heinz va jusqu’à se décrire comme étant au « chômage technique ». Difficile de faire plus clair, et plus logique : pas de messagerie, pas d’applications métier, donc impossible de communiquer ou même de voir les comptes et factures de l’établissement. Et comme tout passe aujourd’hui par des serveurs, même la moindre communication avec les parents devient un parcours du combattant : comment joindre une famille quand le numéro de téléphone est enregistré sur un serveur inaccessible ?
La situation est encore plus intéressante du côté de Bordeaux. Le rectorat a indiqué aux personnels que les « clés OTP-ODA », un mécanisme d’authentification utilisé pour accéder à plusieurs portails professionnels, avaient été désactivées à la demande du ministère, sur injonction de l’ANSSI. La raison donnée est sans ambiguïté : des vulnérabilités affectant ce mécanisme présentaient un niveau de risque jugé incompatible avec les exigences de sécurité. Depuis, certains accès ont été rétablis depuis les établissements, mais restent impossibles à distance. Au revoir le télétravail… mais au moins ont-ils accès aux fichiers voulus depuis leur bureau.
Voilà qui rappelle une nouvelle fois qu’un système informatique sécurisé ne se résume pas à la présence d’un mot de passe ou même d’un second facteur d’authentification : encore faut-il que l’ensemble de la chaîne permettant de s’identifier soit correctement conçu et maintenu.
Et pour Toulouse ? C’est quasiment le même blocage que Cholet : les messageries sont bloquées depuis mercredi, tout comme l’accès au portail Arena. Ce dernier est loin d’être accessoire puisqu’il constitue le point d’entrée vers de nombreuses applications professionnelles et administratives, dont I-Prof et SIECLE. Et ça tombe bien, ces deux applications métier sont dans la liste des victimes de ZeroBytes.
Pas d’accès à ces deux applications ? La rentrée s’annonce mouvementée : difficile de savoir quels enseignants sont affectés à quels établissements, lesquels navigueront entre plusieurs lieux d’enseignement… éditer le moindre emploi du temps devient une mission pour Ethan Hunt. Coup de grâce supplémentaire : les enseignants stagiaires ont été affectés très tardivement cette année, du fait de la réforme les touchant. Certains chefs d’établissement ne peuvent donc même pas savoir quels stagiaires ils auront dans leurs équipes, faute d’accès au logiciel adéquat !
Tout couper, ou laisser les portes ouvertes ?
Reste qu’il fallait faire un choix : continuer sur un système aux failles béantes, déjà visité et allègrement pillé par des pirates aux dents longues, ou tout couper le temps de faire les travaux nécessaires ? Prendre le risque de voir d’autres données être revendues à des malfrats, ou bloquer temporairement le fonctionnement d’un des plus gros ministères français ?
La seconde est évidemment préférable lorsqu’un risque sérieux a été identifié. Mais devoir choisir dans l’urgence entre sécurité et continuité de service montre également l’importance d’avoir prévu en amont des mécanismes de secours et des moyens d’accès alternatifs sécurisés. Plusieurs responsables d’établissement interrogés regrettent justement qu’aucune solution de remplacement ne leur ait été proposée. Et oublions le retour au papier : il y a bien longtemps que les applications métier ont remplacé les classeurs pour une bonne partie de ces tâches. Impossible de ressortir un vieux registre comme si de rien n’était… pourquoi pas des polycopiés non plus !?
Le ministère espère maintenant rétablir progressivement les applications au début de la semaine prochaine, en donnant la priorité à celles indispensables à la préparation de la rentrée. Certaines pourraient néanmoins rester indisponibles plus longtemps dans les académies les plus touchées, notamment celle de Nantes.
L’urgence est réelle : après les vacances, des centaines de milliers d’enseignants vont reprendre le chemin des établissements et des millions d’élèves les suivront le lendemain. L’Éducation nationale dispose donc de très peu de temps pour terminer son grand ménage informatique. Et cette fois, contrairement aux vacances scolaires, la date de la rentrée ne pourra pas être repoussée d’un clic. La première échéance est fixée au 31 août, date de la prérentrée des enseignants. Le lendemain, ce sera au tour des élèves. Tic tac tic tac tic tac…
