Novembre 1988, ce que l’on appelle Internet n’avait pas grand chose en commun avec le réseau que nous connaissons aujourd’hui. Le “web” n’existe pas encore, l’accès au réseau reste essentiellement réservé aux universités, à la recherche, à certaines administrations et grandes organisations. 

Il est estimé qu'environ 60 000 ordinateurs y étaient connectés, contre environ 30 milliards aujourd’hui...

Dans la soirée du 2 novembre 1988, des ordinateurs commencent à ralentir anormalement jusqu’à en devenir presque inutilisables. Un programme se répand de machine en machine, il ne détruit pas les fichiers, ne chiffre pas et ne demande pas de rançon, n’affiche aucune revendication. Il se contente de se reproduire à une vitesse démesurée.

En moins de 24 heures, environ 6 000 machines, soit 10% d’internet auraient été touchées. L’incident entrera dans l’histoire sous le nom de Morris Worm, ou le « Grand ver » (Great Worm).

Pour comprendre l’importance de cet événement, il faut revenir dans l’Internet de l’époque. Le réseau n’est alors qu’un outil académique et scientifique. Le World Wide Web, inventé par Tim Berners-Lee, n’apparaitra que l’année suivante.

L’échelle du réseau n’est pas la seule différence, sa philosophie n’était pas la même. Une partie de son fonctionnement repose sur une forte confiance entre les institutions et entre les machines. Les administrateurs connaissent les organisations connectées au réseau. Certains mécanismes Unix permettent même à un ordinateur considéré “de confiance” d’accorder des privilèges sans demander systématiquement un mot de passe. Cette approche facilite énormément les échanges entre les chercheurs mais présente aussi d’énormes faiblesses, inconcevables aujourd’hui.

C’est dans ce contexte que Robert Tappan Morris évolue. C’est un jeune étudiant en doctorat d’informatique à l'Université de Cornell ayant déjà une bonne expérience des systèmes Unix. Robert s’intéresse notamment à la sécurité des réseaux informatiques. En octobre 1988 il commence à développer un programme capable de se déplacer automatiquement d’un ordinateur a un autre.

L’objectif de Morris est souvent résumé comme une tentative de mesurer la taille d’internet. Les documents judiciaires donnent une image plus précise ; Il cherchait également à démontrer les faiblesses des mécanismes de sécurité avec ce programme capable de se propager en restant discret. Il ne souhaitait pas, selon la justice, porter atteinte au fonctionnement des machines.

Dans la soirée du 2 novembre 1988, Morris décide de déployer son programme. Pour éviter que le programme ne soit relié à l’université de Cornell, il le lance depuis un ordinateur d’une université du Massachusetts. Le FBI situe le lancement aux alentours de 20h30.

Le Morris worm est un ver informatique. Contrairement à d’autres virus classiques qui dépendent souvent d’un serveur hôte, le ver peut fonctionner indépendamment et trouver lui-même des machines a infecter.

Le programme créé par Morris disposait de plusieurs méthodes pour entrer dans d’autres systèmes Unix. Il exploitait des vulnérabilités dans des services courants, cherchait et utilisait les relations de confiance entre machines et enfin tentait de trouver les mots de passe des utilisateurs. Si une méthode ne fonctionnait pas, il pouvait en essayer une autre.

Une fois l’accès obtenu et la machine infectée le processus recommençait : la machine cherchait à son tour des ordinateurs accessibles, tentait d’y entrer et transmettait une copie du programme.

En théorie ce mécanisme devait permettre au ver de progressivement parcourir internet discrètement. En pratique un détail a légèrement modifié son comportement.

Morris avait anticipé un problème évident, que faire si une machine est déjà infectée ?

Si le ver s’installe systématiquement à chaque passage, les copies du programme finiront par s’accumuler jusqu’à consommer toutes les ressources. Le programme demandait donc à la machine cible si elle possédait une copie du ver. Si la réponse était non, il s’installait, si la réponse est oui, il ne faisait rien.

Mais Morris pense rapidement à une contre mesure facile. Il suffirait aux administrateur de faire répondre oui aux machines (même non infectées) pour que le ver ne se propage pas. Il décide donc de ne pas tenir compte systématiquement de la réponse, même lorsque la réponse est oui, le ver doit se copier quand même. La probabilité de copie peu importe la réponse était d’environ une sur sept.

Morris avait largement sous estimé la fréquence à laquelle une machine serait interrogée par différentes copies du ver. Les machines ont rapidement commencé a saturer. Et ce ver discret qui était censé simplement mesurer Internet et servir de PoC cybersécurité a fini par infecter 10% du réseau mondial notamment des universités, des installations de la NASA, des organismes militaires et plus encore.

Pendant que le ver continuait de se propager, les administrateurs et chercheurs ont commencé a analyser les machines infectées et les organismes déconnectaient leurs ordinateurs du réseau. Le défi était considérable pour l’époque. Aujourd’hui une vulnérabilité peut être documentée presque instantanément sur des dizaines de sites. En 1988, il n’existait aucun concept de réponse à incident. Les chercheurs devaient donc comprendre seuls car le réseau ne fonctionnait plus. Comment le programme se reproduit et pourquoi les machines sont saturées ? comment l’empêcher d’infecter de nouvelles machines et comment débarrasser ces machines du ver. Pas simple 

L’origine du programme n’est pas restée secrète longtemps et les enquêteurs sont remontés à l'université de Cornell malgré les précautions prises par Morris.

Robert avait tout de même laissé des traces que le FBI a rapidement remontées. Il a été interrogé et ses dossiers informatiques ont été analysés. L’affaire est rapidement devenue publique et a pris une tournure juridique grave pour le jeune étudiant.

Quelques années auparavant, les Etats Unis avaient adoptés le Computer fraud and Abuse Act, une loi pour lutter contre les accès non autorisés aux systèmes informatiques.

Le Morris Worm a été un des premiers grands exemples pour éprouver ce texte. Une des questions centrale de ce procès concernait la volonté de Morris de provoquer des dommages. La justice a estimé qu’il n’était pas nécessaire de prouver sa volonté de nuire. Le seul fait d’avoir conçu et lancé un programme dans le but d’accéder à des machines sans autorisation suffisait dans le cadre de l’affaire.

Robert Morris a été reconnu coupable et condamné à trois ans de probation, des heures de travaux d’intérêt général et au paiement d’une amende.

Cet incident laissera bien plus que des machines a nettoyer. Il fut le révélateur d'un problème structurel : Lorsque un événement affecte plusieurs organisations sur Internet, qui coordonne la réponse ?

Chaque organisme dispose de ses propres chercheurs et administrateurs mais il n’existait pas de cadre organisé pour centraliser les informations sur un incident de cette ampleur et les diffuser.

Plusieurs jours après l’incident, la DARPA (Defense Advanced Research Projects Agency) demandait la création d’une équipe spécialisée dans ce domaine. 

Le Computer Emergency Response Team Coordination Center, connu sous le nom de CERT/CC, était né.

Un modèle qui sera repris partout dans le monde. Des CERT et CSIRT (Computer Security Incident Response Team) apparaitront dans de nombreux pays et grandes organisations. Aujourd'hui encore ils ont en eux l'héritage d'un jeune doctorant en informatique dépassé par son invention.