Qui gouvernera Internet ?

Par DAN SCHILLER
Source : http://www.monde-diplomatique.fr
02/2013
english :  Masters of the Internet

En France, le fournisseur d’accès à Internet Free reproche au site de vidéo YouTube, propriété de Google, d’être trop gourmand en bande passante. Son blocage, en représailles, des publicités de Google a fait sensation. Free a ainsi mis à mal la «neutralité d’Internet » – l’un des sujets discutés en décembre à la conférence de Dubaï. La grande a!aire de cette rencontre a cependant été la tutelle des Etats-Unis sur le réseau mondial.


Habituellement circonscrite aux contrats commerciaux entre opérateurs, la géopolitique d’Internet s’est récemmentétalée au grand jour. Du 3 au 14 décembre 2012, les cent quatre-vingt-treize Etats membres de l’Union internationale des télécommunications (UIT, une agence affiliée à l’Organisation des Nations unies) s’étaient donné rendez-vous à Dubaï, aux Emirats arabes unis, pour la douzième conférence mondiale sur les télécommunications internationales.

Une rencontre où les diplomates,abreuvés de conseils par les industriels du secteur, forgent des accords censés faciliterles communications par câble et par satellite.

Longues et ennuyeuses, ces réunions sont cependant cruciales en raison du rôle déterminant des réseaux dans le fonctionnement quotidien de l’économie mondiale.

La principale controverse lors de cesommet portait sur Internet : l’UIT devaitelle s’arroger des responsabilités dans la supervision du réseau informatique mondial, à l’instar du pouvoir qu’elle exerce depuis des dizaines d’années sur les autres formes de communication internationale ?

Les Etats-Unis répondirent par un «non» ferme et massif, en vertu de quoi le nouveau traité renonça à conférer le moindre rôle à l’UIT dans ce qu’on appelle la «gouvernance mondiale d’Internet». Toutefois, une majorité de pays approuvèrent une résolution annexe invitant les Etats membres à «exposer dans le détail leurs positions respectives sur les questions internationales techniques, de développement et de politiques
publiques relatives à Internet».

Bien que «symbolique», comme le souligna le New York Times (1), cette ébauche de surveillance globale se heurta à la position inflexible de la délégation américaine, qui refusa de signer le traité et claqua la portede la conférence, suivie entre autres par la France, l’Allemagne, le Japon, l’Inde, le Kenya, la Colombie, le Canada et le Royaume-Uni. Mais quatre-vingt-neuf des cent cinquante et un participants décidèrent d’approuver le document. D’autres pourraient le signer ultérieurement.

En quoi ces péripéties apparemment absconses revêtent-elles une importance considérable ? Pour en clarifier les enjeux, il faut d’abord dissiper l’épais nuage de brouillard rhétorique qui entoure cette affaire. Depuis plusieurs mois, les médias occidentaux présentaient la conférence de Dubaï comme le lieu d’un affrontement historique entre les tenants d’un Internet ouvert, respectueux des libertés, et les adeptes de la censure, incarnés par des Etats autoritaires comme la Russie, l’Iran ou la Chine. Le cadre du débat était posé en des termes si manichéens que M. Franco Bernabè, directeur de Telecom Italia et président de l’association des opérateurs de téléphonie mobile GSMA, dénonça une «propagande de guerre», à laquelle il imputa l’échec du traité (2).


Fronde antiaméricaine

Ou que l’on vive, la liberté d’expression n’est pas une question mineure. Où que l’on vive, les raisons ne manquent pas de craindre que la relative ouverture d’Internet soit corrompue, manipulée ou parasitée.
Mais la menace ne vient pas seulement des armées de censeurs ou de la «grande muraille électronique» érigée en Iran ou en Chine.

Aux Etats-Unis, par exemple, les centres d’écoute de l’Agence de sécurité nationale (National Security Agency, NSA) surveillent l’ensemble des communications électroniques transitant par les câbles et satellites américains. Le plus grand centre de cybersurveillance du monde est actuellement en cours de construction à Bluffdale, dans le désert de l’Utah (3).

Washington pourchasse WikiLeaks avec une détermination farouche. Ce sont par ailleurs des entreprises américaines, comme Facebook et Google, qui ont transformé le Web en une «machine de surveillance » absorbant toutes les données commercialement exploitables sur le comportement des internautes.

Depuis les années 1970, la libre circulation de l’information (free flow of information) constitue l’un des fondements officiels de la politique étrangère des Etats-Unis (4), présentée, dans un contexte de guerre froide et de fin de la décolonisation, comme un phare éclairant la route de l’émancipation démocratique. Elle permet aujourd’hui de reformuler des intérêts stratégiques et économiques impérieux dans le langage séduisant des droits humains universels. «Liberté d’Internet », «liberté de se connecter» : ces expressions, ressassées par la secrétaire d’Etat Hillary Clinton et les dirigeants de Google à la veille des négociations, constituent la version modernisée de l’ode à la « libre circulation ».

A Dubaï, les débats couvraient une myriade de domaines transversaux. Au programme, notamment, la question des rapports commerciaux entre les divers services Internet, comme Google, et les grands réseaux de télécommunication, tels Verizon, Deutsche Telekom ou Orange, qui transportent ces volumineux flux de données. Crucial par ses enjeux économiques, le sujet l’est aussi par les menaces qu’il fait peser sur la neutralité du Net, c’est-à-dire sur le principe d’égalité de traitement de tous les échanges sur la Toile, indépendamment des sources, des destinataires et des contenus. Le geste de M. Xavier Niel, le patron de Free, décidant début janvier 2013 de s’attaquer aux revenus publicitaires de Google en bloquant ses publicités, illustre les risques de dérive. Une déclaration générale qui imposerait aux fournisseurs de contenus de payer les opérateurs de réseaux aurait de graves conséquences sur la neutralité d’Internet, qui est une garantie vitale pour les libertés de l’internaute.

Mais l’affrontement qui a marqué la conférence portait sur une question tout autre : à qui revient le pouvoir de contrôler l’intégration continue d’Internet dans l’économie capitaliste transnationale (5) ?

Jusqu’à présent, ce pouvoir incombe pour l’essentiel à Washington. Dès les années 1990, quand le réseau explosait à l’échelle planétaire, les Etats-Unis ont déployé des efforts intenses pour institutionnaliser leur domination. Il faut en effet que les noms de domaine (du type « .com»), les adresses numériques et les identifiants de réseaux soient attribués de manière distinctive et cohérente. Ce qui suppose l’existence d’un pouvoir institutionnel capable d’assurer ces attributions, et dont les prérogatives s’étendent par conséquent à l’ensemble d’un système pourtant extraterritorial par nature.

Profitant de cette ambiguïté originelle, les Etats-Unis ont confié la gestion des domaines à une agence créée par leurs soins, l’Internet Assigned Numbers Authority (IANA). Liée par contrat au ministère du commerce, l’IANA opère en qualité de membre d’une association californienne de droit privé, l’Internet Corporation for Assigned Names and Numbers (Icann), dont l amission consiste à « préserver la stabilité opérationnelle d’Internet ». Quant aux standards techniques, ils sont établis par deux autres agences américaines, l’Internet Engineering Task Force (IETF) et l’Internet Architecture Board (IAB), ellesmêmes intégrées à une autre association à but non lucratif, l’Internet Society. Au vu de leur composition et de leur financement, on ne s’étonnera pas que ces organisations prêtent une oreille plus attentive aux intérêts des Etats-Unis qu’aux demandes des utilisateurs (6).

Les sites commerciaux les plus prospères de la planète n’appartiennent pas à des capitaux kényans ou mexicains, ni même russes ou chinois. La transition actuelle vers l’« informatique en nuages » (cloud computing), dont les principaux acteurs sont américains, devrait encore accroître la dépendance du réseau envers les Etats-Unis. Le déséquilibre structurel du contrôle d’Internet garantit la suprématie américaine dans le cyberespace, à la fois sur le plan commercial et militaire, laissant peu de marge aux autres pays pour réguler, verrouiller ou assouplir le système en fonction de leurs propres intérêts. Par le biais de diverses mesures techniques et législatives, chaque Etat est certes à même d’exercer une part de souveraineté sur la branche «nationale » du réseau, mais sous la surveillance rapprochée du gendarme planétaire. De ce point de vue, comme le note l’universitaire Milton Mueller, Internet est un outil au service de la «politique américaine de globalisme unilatéral (7) ».

Leur fonction de gestionnaires a permis aux Etats-Unis de propager le dogme de la propriété privée au coeur même du développement d’Internet. Quoique dotée, en principe, d’une relative autonomie, l’Icann s’est illustrée par les faveurs extraterritoriales accordées aux détenteurs de marques commerciales déposées. En dépit de leurs protestations, plusieurs organisations non commerciales, bien que représentées au sein de l’institution, n’ont pas fait le poids face à des sociétés comme Coca-Cola ou Procter & Gamble.

L’Icann invoque le droit des affaires pour imposer ses règles aux organismes qui administrent les domaines de premier niveau (tels que « .org », « .info »). Si des fournisseurs nationaux d’applications contrôlent le marché intérieur dans plusieurs pays, notamment en Russie, en Chine ou en Corée du Sud, les services transnationaux – à la fois les plus profitables et les plus stratégiques dans ce système extraterritorial – restent, d’Amazon à PayPal en passant par Apple, des citadelles américaines, bâties sur du capital américain et adossées à l’administration américaine.

Dès les débuts d’Internet, plusieurs pays se sont rebiffés contre leur statut de subordonnés. La multiplication des indices signalant que les Etats-Unis n’avaient aucune intention de relâcher leur étreinte a progressivement élargi le front du mécontentement. Ces tensions ont fini par provoquer une série de rencontres au plus haut niveau, notamment dans le cadre du Sommet mondial sur la société de l’information (SMSI), organisé par l’UIT à Genève et à Tunis entre 2003 et 2005.

En offrant une tribune aux Etats frustrés de n’avoir pas leur mot à dire, ces réunions préfiguraient le clash de Dubaï. Rassemblés en un Comité consultatif gouvernemental (Governmental Advisory Com mittee, GAC), une trentaine de pays espéraient convaincre l’Icann de partager une partie de ses prérogatives. Un espoir vite déçu, d’autant que leur statut au sein du GAC les mettait au même niveau que les sociétés commerciales et les organisations de la société civile. Certains Etats auraient pu s’accommoder de cette bizarrerie si, malgré les discours lénifiants sur la diversité et le pluralisme, l’évidence ne s’était imposée à tous : la gouvernance mondiale d’Internet est tout sauf égalitaire et pluraliste, et le pouvoir exécutif américain n’entend rien lâcher de son monopole.


Revirement de l’Inde et du Kenya

La fin de l’ère unipolaire et la crise financière ont encore attisé le conflit interétatique au sujet de l’économie politique du cyberespace. Les gouvernements cherchent toujours des points de levier pour introduire une amorce de coordination dans la gestion du réseau. En 2010 et 2011, à l’occasion du renouvellement du contrat passé entre l’IANA et le ministère du commerce américain, plusieurs Etats en ont appelé directement à Washington. Le gouvernement kényan a plaidé pour une «transition » de la tutelle américaine vers un régime de coopération multilatérale, au moyen d’une « globalisation » des contrats régissant la superstructure institutionnelle qui encadre les noms de domaine et les adresses IP (Internet Protocol). L’Inde, le Mexique, l’Egypte et la Chine ont fait des propositions dans le même sens.

Les Etats-Unis ont réagi à cette fronde en surenchérissant dans la rhétorique de la « liberté d’Internet ». Nul doute qu’ils ont aussi intensifié leur lobbying bilatéral en vue de ramener au bercail certains pays désalignés. A preuve, le coup de théâtre de la conférence de Dubaï : l’Inde et le Kenya se sont prudemment ralliés au coup de force de Washington.

Quelle sera la prochaine étape ?

Les agences gouvernementales américaines et les gros commanditaires du cyber-capitalisme tels que Google continueront vraisemblablement d’employer toute leur puissance pour renforcer la position centrale des Etats-Unis et discréditer leurs détracteurs. Mais l’opposition politique au « globalisme unilatéral » des Etats- Unis est et restera ouverte. Au point qu’un éditorialiste du Wall Street Journal n’a pas hésité, après Dubaï, à évoquer la «première grande défaite numérique de l’Amérique (8) ».


NOTES :

(1) Eric Pfanner, « Message, if murky, from US to the world », The New York Times, 15 décembre 2012.
(2) Rachel Sanderson et Daniel Thomas, «US under fire after telecoms treaty talks fail », Financial Times, Londres, 17 décembre 2012.
(3) James Bamford, «The NSA is building the country’s biggest spy center », Wired, San Francisco, avril 2012.
(4) Herbert I. Schiller, «Libre circulation de l’information et domination mondiale », Le Monde diplomatique, septembre 1975.
(5) Dwayne Winseck, «Big new global threat to the Internet or paper tiger : The ITU and global Internet regulation », 10 juin 2012, http://dwmw.wordpress.com
(6) Harold Kwalwasser, « Internet governance », dans Franklin D. Kramer, Stuart H. Starr et Larry Wentz (sous la dir. de), Cyberpower and National Security, National Defense University Press - Potomac Press, Washington-Dulles (Virginie), 2009.
(7) Milton L. Mueller, Networks and States : The Global Politics of Internet Governance, The MIT Press, Cambridge (Massachusetts), 2010.
(8) L. Gordon Crovitz, «America’s first big digital defeat », The Wall Street Journal, New York, 17 décembre 2012.

Dan Schiller

Professeur de sciences de l’information et des bibliothèques à l’université de l’Illinois à Urbana-Champaign.

Le cyberespace est-il « espace » ? Des approches changeantes…

 Par Cidris
 17/10/2012
Source : http://alliancegeostrategique.org

english version

 

(l’image renvoie à un blog dont l’article est : Le cyberespace est-il infini ?)

L’observateur aguerri des moeurs et des modes d’affrontements sur Internet ou dans le cyberespace ne peut ignorer qu’ il semble se produire récemment des évolutions notables. Ce que l’on appelle parfois des « signaux faibles » semblent apparaître ça et là et nous donnent l’occasion de tracer un panorama de quelques modifications conceptuelles marquantes.


Le discours de Léon Panetta prononcé récemment est ainsi instructif : celui-ci évoque de manière directe à la fois le besoins de maîtriser les aspects offensifs pour mieux les comprendre mais également le fait de disposer d’une capacité déjà fortement structurée. Comme si tout cela concourrait à la mise en place d’une forme de « dissuasion », le patron de la NSA et du Cyber-Command, le Général Keith Alexander évoquait tout aussi récemment le développement de ces capacités.

On retiendra ainsi 3 points qui me paraissent essentiels :

- le discours désormais dénué de « langue de bois » qui décrit l’existence de capacités offensives. Rappelons le contexte législatif problématique du moment où les acteurs sont en attente d’arbitrages au sein des institutions parlementaires avant la nouvelle loi relative à la « cyber-sécurité. Celui-ci n’est pas sans lien car l’avenir et la sécurité des Etats-Unis reposeraient sur ce texte : de tels discours peuvent donc être interprétés comme une forme de « motivation » ;

- bien que généralement l’on repousse la dissuasion comme une forme de stratégie applicable au cyberespace, il est bon de se souvenir que dissuader un acteur de commettre une action ne passe pas forcément par un missile nucléaire. Avertir ou montrer ses muscles est également une partie du processus : chaque enfant dans une cour d’école pourra vous le démontrer. La concomitance de ces discours n’est pas sans lien avec l’affirmation d’une forme de puissance dans ce domaine ;

- enfin, un aspect interpelle dans le discours de M. Panetta : sa confiance dans la capacité des Etats-Unis à localiser les acteurs d’attaques informatiques et de leur appliquer les traitements et punitions liés à leurs actions. Ceci a de quoi interpeller car jusqu’ici, la notion d’invisibilité sur Internet et l’impossibilité d’imputer formellement constituait une donnée structurante. Cette information participe également à la construction d’un discours dissuasif  : « nous savons frapper fort et nous savons qui frapper » ;

Bien évidemment, l’on sait depuis longtemps qu’il est possible de retrouver des responsables d’actes délictueux ou des attaquants informatiques, surtout lorsque les flux sont surveillés. De plus, les moyens utilisés n’étaient pas forcément liées à une quelconque capacité informatique mais aux bonnes vieilles méthodes d’investigation : après tout, le hacker de génie peut être assez démuni et maladroit une fois en possession de son butin. Il demeurait toutefois relativement acquis qu’un attaquant motivé, intelligent et disposant de quelques moyens pouvait assez facilement demeurer dans l’ombre.

C’est pourquoi l’on peut comprendre le discours de plusieurs manière : soit les Etats-Unis disposent d’une capacité révolutionnaire de détection et de localisation qui techniquement laisse un peu dubitatif. Ou bien, et c’est plus crédible, une intense mobilisation des acteurs ayant la capacité à acquérir, traiter et utiliser l’information a été mise en oeuvre. Cette capacité pourra être à la fois humaine et électronique et fournir justement des moyens croisés pour identifier des attaquants. Ce que n’évoque pas le discours, c’est l’échelle de temps : les « représailles » pourraient alors avoir lieu bien plus tard.

Mais l’évolution ne s’arrête pas là. Après avoir insisté sur la nature « géographique » et spatiale du..cyberespace, il semble que cela ne suffise plus. On ne compte plus aujourd’hui les articles, mémoires et autres opinions faisant d’Internet un nouvel espace de bataille, à l’égal des autres (sans doute aussi sur ce blog).

On prédisait même une évolution du domaine comme on a pu le voir sur mer puis dans les airs. C’était oublier une donnée fondamentale : air, mer ou terre sont des données fortement exogènes à l’homme. Les propriétés physique des espaces aériens et maritimes sont des données constantes et stables , pré-existantes à l’humain.

A contrario, Internet ou le « cyberespace » est un espace construit, non seulement physiquement et techniquement par l’homme. Il est également construit car on a souhaité lui donner du sens et des particularisme, le qualifier et identifier des caractéristiques. Il demeure pourtant un « espace » instable, mouvant et très évolutif sous les pressions conjuguées des technologies et des usages.

Ainsi, le très célèbre M. Libicki produit-il un récent article dont le titre suffit : « Cyberspace Is Not a Warfighting Domain » !…et l’on trouve dans la citation d’introduction des réflexions parallèles à celles évoquées plus haut.

Autre élément : une publication évoquait dernièrement les difficultés rencontrées par l’Air Force dans l’usage de la définition du cyberespace. Pour les non-familiers, il est bon de rappeler que cette composante de l’armée américaine avait rajouté le cyberespace dans sa devise qui incluait l’air, l’espace et bientôt le cyber ! C’est dire si la confusion jouait déjà à plein.

Aujourd’hui, cette approche, matérialisée dans une doctrine semble poser de nombreux problèmes notamment au niveau des moyens à mettre en oeuvre obligeant ainsi les responsables à faire évoluer leur vision.

C’est ainsi : le cyberespace qui était autrefois Internet se modifie. Il n’est pas constant, il n’est pas « fini » et peut évoluer de mille manières. Sa compréhension technique est un atout indispensable à l’analyste qui devra aussi saisir la notion d’usage et l’inter-pénétration avec la société. En matière stratégique, il doit visiblement être redéfini : c’est un besoin qui semble impératif à plusieurs acteurs et qui devra être attentivement suivi.


Source :
dans le texte

Les guerriers du web (Documentaire)

Par http://www.radio-canada.ca
Année de production : 2008

Réalisateur à l'adaptation: Jean-Luc Paquette; producteur: Edward Peill; scénario et réalisation: Jay Dahl.


La cyberguerre est un risque dont plus personne ne peut se prémunir. Aucun individu, aucune organisation, aucune entreprise et aucun pays n'est à l'abri.

Ses formes sont multiples et se renouvellent sans cesse: usurpation d'identité, vol de données sensibles, prise de contrôle à distance d'ordinateurs personnels, attaque des réseaux informatiques...
Cette guerre met en scène des pirates informatiques professionnels et parfois très jeunes, comme Mafia Boy, cet étudiant montréalais qui a réussi à faire vaciller des géants comme Yahoo ou Dell.

Enquête livre des témoignages recueillis auprès du ministère de la Défense nationale américaine, de l'OTAN et des gouvernements qui ont subi ce type d'attaques.

L'émission s'intéresse également à ceux qui sont prêts à tout pour obtenir des informations sensibles, que ce soit des données personnelles de cartes de crédit ou des renseignements sur le Pentagone.
En raisons des droits d'auteur, ce reportage n'est pas disponible sur Internet.


DIRECT LINK ou DIRECT LINK

Les guerriers du web (Documentaire)

Par http://www.radio-canada.ca
Année de production : 2008

Réalisateur à l'adaptation: Jean-Luc Paquette; producteur: Edward Peill; scénario et réalisation: Jay Dahl.


La cyberguerre est un risque dont plus personne ne peut se prémunir. Aucun individu, aucune organisation, aucune entreprise et aucun pays n'est à l'abri.

Ses formes sont multiples et se renouvellent sans cesse: usurpation d'identité, vol de données sensibles, prise de contrôle à distance d'ordinateurs personnels, attaque des réseaux informatiques...
Cette guerre met en scène des pirates informatiques professionnels et parfois très jeunes, comme Mafia Boy, cet étudiant montréalais qui a réussi à faire vaciller des géants comme Yahoo ou Dell.

Enquête livre des témoignages recueillis auprès du ministère de la Défense nationale américaine, de l'OTAN et des gouvernements qui ont subi ce type d'attaques.

L'émission s'intéresse également à ceux qui sont prêts à tout pour obtenir des informations sensibles, que ce soit des données personnelles de cartes de crédit ou des renseignements sur le Pentagone.
En raisons des droits d'auteur, ce reportage n'est pas disponible sur Internet.


DIRECT LINK ou DIRECT LINK

Hackers : ni dieu, ni maître (Documentaire)

Par http://videos.arte.tv
(France, 2011, 26mn)
ARTE F

D'un côté, il y a les "black hats" (chapeaux noirs), les délinquants virtuels mus par l'appât du gain ; de l'autre, les "white hats" (chapeaux blancs) ou pirates bienveillants. Les hackers forment une vaste communauté aux profils diversifiés. Capables de modifier la une d'un journal sur le Net ou de piéger le ministre de l'Intérieur, ils sont aussi les seuls à savoir protéger les entreprises des menaces informatiques. Inventeurs des logiciels libres - permettant d'échapper à la toute-puissance de Bill Gates ou de Steve Jobs -, ils sont aussi, grâce à l'exploration des failles informatiques, à l'origine de la sécurisation des achats en ligne. Beaucoup n'ont qu'un bac en poche mais les services secrets et les responsables politiques se disputent leurs faveurs... À contre-courant des idées reçues, ce film raconte la génération hackers, entrée dans l'arène politique et médiatique à l'occasion du débat sur Hadopi.


DIRECT LINK

Hackers : ni dieu, ni maître (Documentaire)

Par http://videos.arte.tv
(France, 2011, 26mn)
ARTE F

D'un côté, il y a les "black hats" (chapeaux noirs), les délinquants virtuels mus par l'appât du gain ; de l'autre, les "white hats" (chapeaux blancs) ou pirates bienveillants. Les hackers forment une vaste communauté aux profils diversifiés. Capables de modifier la une d'un journal sur le Net ou de piéger le ministre de l'Intérieur, ils sont aussi les seuls à savoir protéger les entreprises des menaces informatiques. Inventeurs des logiciels libres - permettant d'échapper à la toute-puissance de Bill Gates ou de Steve Jobs -, ils sont aussi, grâce à l'exploration des failles informatiques, à l'origine de la sécurisation des achats en ligne. Beaucoup n'ont qu'un bac en poche mais les services secrets et les responsables politiques se disputent leurs faveurs... À contre-courant des idées reçues, ce film raconte la génération hackers, entrée dans l'arène politique et médiatique à l'occasion du débat sur Hadopi.


DIRECT LINK

La guerre invisible (Documentaire)

Par http://videos.arte.tv
(France, 2011, 46mn)
ARTE F

Finie l'époque des hackers solitaires. L'heure est aux équipes d'ingénieurs, parfois d'anciens pirates informatiques, et de militaires, recrutés par les États, qui leur allouent des moyens colossaux. À travers le monde, ils façonnent la guerre de demain, un conflit invisible et lourd de menaces, dont le terrain d'affrontement est le cyberespace. Menée aux États-Unis, en Russie et en France, cette enquête captivante raconte les dessous de cette guerre souterraine. Elle revient sur le premier conflit en ligne, mené contre l'Estonie en 2001, et raconte la cyberguerre froide entre les États-Unis et la Chine, dans laquelle Internet sert à espionner mais aussi à nuire. Le Web est en effet devenu une redoutable arme de sabotage, la distribution de l'eau ou les transports en dépendant. Des opérations malveillantes, parties de simples ordinateurs, pourraient dès lors fragiliser les économies modernes voire les conduire à l'effondrement.

DIRECT LINK

La guerre invisible (Documentaire)

Par http://videos.arte.tv
(France, 2011, 46mn)
ARTE F

Finie l'époque des hackers solitaires. L'heure est aux équipes d'ingénieurs, parfois d'anciens pirates informatiques, et de militaires, recrutés par les États, qui leur allouent des moyens colossaux. À travers le monde, ils façonnent la guerre de demain, un conflit invisible et lourd de menaces, dont le terrain d'affrontement est le cyberespace. Menée aux États-Unis, en Russie et en France, cette enquête captivante raconte les dessous de cette guerre souterraine. Elle revient sur le premier conflit en ligne, mené contre l'Estonie en 2001, et raconte la cyberguerre froide entre les États-Unis et la Chine, dans laquelle Internet sert à espionner mais aussi à nuire. Le Web est en effet devenu une redoutable arme de sabotage, la distribution de l'eau ou les transports en dépendant. Des opérations malveillantes, parties de simples ordinateurs, pourraient dès lors fragiliser les économies modernes voire les conduire à l'effondrement.

DIRECT LINK

Le temps des cyber-commandants (2)

« L’usage généralisé des technologies de l’information et de la communication ainsi que l’utilisation croissante des réseaux dans le fonctionnement de la société font de la prévention et de la réaction face aux attaques informatiques une priorité majeure de nos dispositifs de sécurité nationale », explique le gouvernement français, pour annoncer la création par décret publié le 7 juillet dernier, de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Le Livre blanc sur la défense et la sécurité nationale publié en juin 2008 retenait les attaques informatiques parmi les menaces principales pesant sur le territoire national. Le président Nicolas Sarkozy, en présentant ce plan-cadre pour les quinze prochaines années, avait annoncé que la France se doterait de « capacités défensives et offensives » dans le domaine de la sécurité informatique...

Extrait du Livre blanc : « Les moyens d’information et de communication sont devenus les systèmes nerveux de nos sociétés, sans lesquels elles ne peuvent plus fonctionner. Or le “cyberespace”, constitué par le maillage de l’ensemble des réseaux, est radicalement différent de l’espace physique : sans frontière, évolutif, anonyme, l’identification certaine d’un agresseur y est délicate. »

« La menace est multiforme : blocage malveillant, destruction matérielle (par exemple, de satellites ou d’infrastructures de réseau névralgiques), neutralisation informatique, vol ou altération de données, voire prise de contrôle d’un dispositif à des fins hostiles.

Dans les quinze ans à venir, la multiplication des tentatives d’attaques menées par des acteurs non étatiques, pirates informatiques, activistes ou organisations criminelles, est une certitude. Certaines d’entre elles pourront être de grande ampleur… »

Le Livre blanc recommandait d’étendre les moyens et pouvoirs de l’ancienne direction chargée de la sécurité informatique (DCSSI), créée en 2001, décrite par le rapport du sénateur Roger Romani (« Cyberdéfense : un nouvel enjeu de sécurité nationale », juillet 2008) comme manquant de crédibilité. La nouvelle agence, dont les effectifs atteindront 250 agents en trois ans, commencerait à être opérationnelle à partir d’octobre prochain, avec une montée en puissance sur plusieurs années.

Placée comme l’ancienne direction, sous l’autorité du Secrétariat général de la défense nationale (Sgdn), qui dépend du premier ministre – ce qui n’est pas, selon le rapport Romani, un gage suffisant d’autorité – la nouvelle agence aura notamment pour mission de :

détecter et réagir au plus tôt en cas d’attaque informatique, grâce à un centre de détection chargé de la surveillance permanente des réseaux sensibles et de la mise en œuvre de mécanismes de défense adaptés aux attaques ;
prévenir la menace : l’agence contribuera au développement d’une offre de produits de très haute sécurité ainsi que de produits et services de confiance pour les administrations et les acteurs économiques ;
jouer un rôle de conseil et de soutien aux administrations et aux opérateurs d’importance vitale ;
informer régulièrement le public sur les menaces : le site Internet gouvernemental de la sécurité informatique étant appelé à devenir le portail de référence en matière de sécurité des systèmes d’informations.

L’ANSII s’appuiera principalement sur les outils existants : le centre opérationnel de sécurité des systèmes d’information (COSSI) , dont les analyses – à partir d’un grand nombre de cas réels – « mettent en évidence le professionnalisme et le savoir-faire croissant des concepteurs de ces attaques ; et une accélération de la production de codes malveillants exploitant les vulnérabilités découvertes sur les systèmes ». Et le Centre d’expertise gouvernemental de réponse et de traitement des attaques informatiques (CERTA), chargé d’une veille 24 heures sur 24, et d’une prestation d’analyse portant sur les attaques identifiées, ainsi que sur les méthodes pour les contrer.

Perquisitions informatiques

Il pourrait y avoir du grain à moudre … Exemple : selon la lettre Intelligence On Line, des réseaux informatiques du ministère français de la Défense avaient été infectés en janvier par un virus dénommé Conficker, au point d’immobiliser certains systèmes d’armes, notamment les Rafale de l’aéronavale. Ce que JPG commente en ces termes dans son blog : « Point de complot ourdi spécialement contre l’Armée Française : Conficker s’est tout simplement introduit sur Intramar au moyen d’une clé USB infectée. C’est donc directement une imprudence d’origine humaine qui est à l’origine de cette “attaque”. Mais on peut s’étonner que l’Armée Française soit aussi dépendante de Windows de Microsoft pour ses systèmes d’information, alors que des alternatives Open Source crédibles existent (et que les initiatives du Ministère de la Défense en ce sens se font de plus en plus nombreuses)… Tout ceci pose de sérieuses questions sur le niveau réel de sécurité des réseaux informatiques militaires français, et leur capacité à faire face à des attaques autrement plus malveillantes ».

Ce qu’un autre observateur traduisait un peu plus brutalement : « Comment est-il possible qu’une fonction aussi critique que le réseau informatique de la Marine nationale dépende d’un système d’exploitation propriétaire fourni par une firme étrangère ? Et qu’on ait choisi un système d’exploitation à la réputation sécuritaire plus que douteuse, et dont il est impossible de relire le code source pour le vérifier ou l’améliorer ? ». A quoi certains répondent que, si le système Windows est si attaqué, c’est parce qu’il fait tourner les neuf dixièmes du parc ordinateur mondial ; et qu’au moins, il assure une grande interopérabilité entre les réseaux. Les amateurs pourront suivre le débat surgi à la suite de cet incident sur le blog d’un confrère.

Le rapport Romani de juillet 2008 concluait que la France « ne dispose pas de véritable capacité de surveillance et de détection des attaques informatiques », et recommandait la définition d’un cadre juridique et d’une doctrine d’emploi pour l’utilisation future d’outils offensifs, comme les « perquisitions informatiques », les « armes numériques de réseaux », ou les « laboratoires technico-opérationnels ». Roger Romani estimait que la nouvelle agence devrait être en mesure :

d’imposer aux administrations une réduction du nombre de leurs passerelles vers l’internet ;
de désigner les produits de haute sécurité que les administrations devront obligatoirement utiliser pour les réseaux les plus sensibles ;
de rendre obligatoire l’adoption par les administrations, pour leurs réseaux sensibles, ainsi que par les opérateurs d’importance vitale, de dispositifs garantissant la continuité du service en cas d’attaque majeure, sous la forme par exemple de systèmes redondants ...

Systèmes interconnectés

De son côté, la commission européenne a esquissé en mars 2009 les grandes lignes d’une stratégie de prévention et de lutte contre les cyber-attaques. Relevant que les infrastructures de communication sous-tendent le fonctionnement de secteurs essentiels, qui vont de la distribution d’énergie et de la fourniture d’eau aux transports, à la finance et à d’autres services d’importance cruciale ; que 93 % des entreprises de l’union et 51 % des citoyens européens ont utilisé l’internet de manière active en 2007, et que des cyber-attaques de grande envergure lancées récemment contre l’Estonie [1], la Lituanie ou la Géorgie ont bien montré que les services et réseaux de communications électroniques essentiels étaient constamment menacés, la commission plaide pour une meilleure coordination inter-Etats : les systèmes numériques vitaux étant souvent interconnectés, la sécurité des infrastructures d’un pays dépend largement des niveaux de protection adoptés hors de ses frontières, explique-t-elle.

Mais, à la lecture en creux de ses recommandations, on comprend que tout, ou presque, reste à faire :

Préparation et prévention : favoriser la coopération, les échanges d’informations et le transfert de bonnes pratiques entre États membres dans le cadre d’un forum européen et établir un Partenariat public privé européen pour la résilience, qui aidera les entreprises et le secteur public à mettre en commun leur expérience et leurs informations.
Détection et réaction : soutenir le développement d’un système européen de partage d’information et d’alerte.
Atténuation et récupération : renforcer la coopération entre États membres grâce à des plans nationaux et multinationaux en cas d’urgence et organiser régulièrement des exercices.
Coopération internationale : susciter un débat de dimension européenne pour définir les priorités de l’UE en ce qui concerne la stabilité et la résilience à long terme de l’internet..
Établissement de critères pour les infrastructures critiques européennes dans le secteur des TIC, les critères et les approches variant actuellement selon les États membres.

Guerre froide sur le Web

Depuis le sommet de Prague ( 2002), et encore plus depuis l’attaque par saturation des systèmes estoniens, l’Otan est sensible au thème de la cyberdéfense, à commencer par la protection de ses propres systèmes d’information et de communication, comme nous avons pu le constater lors d’une visite en février au siège de l’organisation, à Bruxelles-Evere.

Des agents de surveillance, qui appartiennent pour la plupart à des prestataires privés, procèdent périodiquement au « nettoyage » des locaux sensibles, grâce à des contre-mesures : balayages de fréquences pour localiser des dispositifs d’écoute illégaux dans les meubles, murs ou plafonds ; détection des sources infrarouges, contrôle des ondes wi-fi, test des installations électriques, utilisation de générateurs de bruits pour le brouillage de microphones non autorisés. Les téléphones mobiles sont interdits dans les salles de conférences où l’on débat des informations classifiées. Dans la zone dite « de sécurité », la plus protégée, les portables doivent être déclarés et régulièrement contrôlés, de même que les ordinateurs.

La « Branche sécurité de protection » demande aux agents de l’Otan de s’assurer que le logiciel antivirus sur leur ordinateur est activé et actualisé, de n’utiliser que les supports informatiques officiels du siège, avec un encodage couleur pour les divers niveaux de classification des dossiers, fichiers ou boîtes aux lettres, et des droits d’accès correspondants. Il est recommandé de n’utiliser la messagerie électronique ou l’intranet que dans des cas limités, et de recourir à des mots de passe « forts », à la fois difficiles à deviner et faciles à retenir : préférer par exemple « E12&J’af » à « Il est midi et j’ai faim »…

Il est surtout demandé de signaler sans délai tout incident « infosec » au Bureau de sécurité (Nos) ou à l’officier de sécurité de division, « y compris tout signe d’utilisation frauduleuse d’un ordinateur ou d’infraction de sécurité, ainsi que tout comportement inhabituel ou inattendu ». Autre recommandation, valable surtout à domicile : ne pas laisser l’ordinateur connecté s’il n’est pas utilisé, et soigneusement verrouiller son réseau sans fil pour éviter tout piratage.

Très à cheval sur la question de la sécurité informatique, l’Otan – entièrement dépendante de l’architecture logicielle Microsoft – pourrait contraindre prochainement l’armée française, pleinement réintégrée depuis cette année au commandement militaire de l’organisation, à renoncer à l’utilisation du système « libre » Linux, en usage notamment dans la gendarmerie …

Assistance rapide

Dans sa recommandation n° 831, adoptée en juin dernier, l’ assemblée de l’Union de l’Europe occidentale (UEO) souhaite que l’Union européenne « mette en œuvre le concept de l’Otan de cyberdéfense, et encourage l’échange d’information entre EU et Otan, ainsi que la mise en place de mécanismes d’assistance rapide entre Etats en cas de cuberattaques systémiques multisectorielles sur un ou plusieurs Etats alliés ».

Il y a quelques semaines, selon RIA Novosti, le chef adjoint de l’état-major général des forces armées russes, le gal. Anatoli Nogovitsyne, déclarait que « les pays les plus développés du monde auront d’ici deux ou trois ans la possibilité de mener de véritables guerres de l’information », avec pour principaux objectifs de « perturber le fonctionnement des systèmes de défense, industriels et administratifs clefs de l’ennemi », et d’obtenir « un impact info-psychologique sur sa population, ses troupes et sa direction, avec recours aux technologies de l’information modernes ».

En Grande-Bretagne, racontait la BBC, un fonctionnaire du cabinet du premier ministre perdait en juin 2008 dans un train des dossiers contenant des rapports de services de renseignement, avec des données ultra-sensibles, relatives notamment au réseau Al Quaeda.

Plus récemment, commente « gardony » sur ce blog (7 juillet), « la Sécurité Sociale britannique égare les données personnelles de 200 000 usagers, puis un ministre se fait photographier avec un dossier sensible sous le bras, puis un autre dossier est retrouvé sur le trottoir, puis le futur patron du MI6, etc. Sans compter Javier Solana reconnaissant avoir été espionné une dizaine de fois via son PC. Je veux bien qu’il y ait menace, mais tout de même, il faudrait aussi que les dirigeants soient un peu moins ingénus avec les nouvelles technologies », relève notre internaute. Le gouvernement britannique vient d’ailleurs de décider, lui aussi, de se doter d’une agence de sécurité informatique.

Notes

[1] En 2007, après des cyber-attaques de grande envergure, le Parlement estonien avait dû mettre son système de courrier électronique à l’arrêt pendant 12 heures, et les deux plus grandes banques d’Estonie avaient été contraintes d’interrompre leurs services en ligne.

mercredi 15 juillet 2009, par Philippe Leymarie

permalink

Le temps des cyber-commandants (2)

« L’usage généralisé des technologies de l’information et de la communication ainsi que l’utilisation croissante des réseaux dans le fonctionnement de la société font de la prévention et de la réaction face aux attaques informatiques une priorité majeure de nos dispositifs de sécurité nationale », explique le gouvernement français, pour annoncer la création par décret publié le 7 juillet dernier, de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Le Livre blanc sur la défense et la sécurité nationale publié en juin 2008 retenait les attaques informatiques parmi les menaces principales pesant sur le territoire national. Le président Nicolas Sarkozy, en présentant ce plan-cadre pour les quinze prochaines années, avait annoncé que la France se doterait de « capacités défensives et offensives » dans le domaine de la sécurité informatique...

Extrait du Livre blanc : « Les moyens d’information et de communication sont devenus les systèmes nerveux de nos sociétés, sans lesquels elles ne peuvent plus fonctionner. Or le “cyberespace”, constitué par le maillage de l’ensemble des réseaux, est radicalement différent de l’espace physique : sans frontière, évolutif, anonyme, l’identification certaine d’un agresseur y est délicate. »

« La menace est multiforme : blocage malveillant, destruction matérielle (par exemple, de satellites ou d’infrastructures de réseau névralgiques), neutralisation informatique, vol ou altération de données, voire prise de contrôle d’un dispositif à des fins hostiles.

Dans les quinze ans à venir, la multiplication des tentatives d’attaques menées par des acteurs non étatiques, pirates informatiques, activistes ou organisations criminelles, est une certitude. Certaines d’entre elles pourront être de grande ampleur… »

Le Livre blanc recommandait d’étendre les moyens et pouvoirs de l’ancienne direction chargée de la sécurité informatique (DCSSI), créée en 2001, décrite par le rapport du sénateur Roger Romani (« Cyberdéfense : un nouvel enjeu de sécurité nationale », juillet 2008) comme manquant de crédibilité. La nouvelle agence, dont les effectifs atteindront 250 agents en trois ans, commencerait à être opérationnelle à partir d’octobre prochain, avec une montée en puissance sur plusieurs années.

Placée comme l’ancienne direction, sous l’autorité du Secrétariat général de la défense nationale (Sgdn), qui dépend du premier ministre – ce qui n’est pas, selon le rapport Romani, un gage suffisant d’autorité – la nouvelle agence aura notamment pour mission de :

détecter et réagir au plus tôt en cas d’attaque informatique, grâce à un centre de détection chargé de la surveillance permanente des réseaux sensibles et de la mise en œuvre de mécanismes de défense adaptés aux attaques ;
prévenir la menace : l’agence contribuera au développement d’une offre de produits de très haute sécurité ainsi que de produits et services de confiance pour les administrations et les acteurs économiques ;
jouer un rôle de conseil et de soutien aux administrations et aux opérateurs d’importance vitale ;
informer régulièrement le public sur les menaces : le site Internet gouvernemental de la sécurité informatique étant appelé à devenir le portail de référence en matière de sécurité des systèmes d’informations.

L’ANSII s’appuiera principalement sur les outils existants : le centre opérationnel de sécurité des systèmes d’information (COSSI) , dont les analyses – à partir d’un grand nombre de cas réels – « mettent en évidence le professionnalisme et le savoir-faire croissant des concepteurs de ces attaques ; et une accélération de la production de codes malveillants exploitant les vulnérabilités découvertes sur les systèmes ». Et le Centre d’expertise gouvernemental de réponse et de traitement des attaques informatiques (CERTA), chargé d’une veille 24 heures sur 24, et d’une prestation d’analyse portant sur les attaques identifiées, ainsi que sur les méthodes pour les contrer.

Perquisitions informatiques

Il pourrait y avoir du grain à moudre … Exemple : selon la lettre Intelligence On Line, des réseaux informatiques du ministère français de la Défense avaient été infectés en janvier par un virus dénommé Conficker, au point d’immobiliser certains systèmes d’armes, notamment les Rafale de l’aéronavale. Ce que JPG commente en ces termes dans son blog : « Point de complot ourdi spécialement contre l’Armée Française : Conficker s’est tout simplement introduit sur Intramar au moyen d’une clé USB infectée. C’est donc directement une imprudence d’origine humaine qui est à l’origine de cette “attaque”. Mais on peut s’étonner que l’Armée Française soit aussi dépendante de Windows de Microsoft pour ses systèmes d’information, alors que des alternatives Open Source crédibles existent (et que les initiatives du Ministère de la Défense en ce sens se font de plus en plus nombreuses)… Tout ceci pose de sérieuses questions sur le niveau réel de sécurité des réseaux informatiques militaires français, et leur capacité à faire face à des attaques autrement plus malveillantes ».

Ce qu’un autre observateur traduisait un peu plus brutalement : « Comment est-il possible qu’une fonction aussi critique que le réseau informatique de la Marine nationale dépende d’un système d’exploitation propriétaire fourni par une firme étrangère ? Et qu’on ait choisi un système d’exploitation à la réputation sécuritaire plus que douteuse, et dont il est impossible de relire le code source pour le vérifier ou l’améliorer ? ». A quoi certains répondent que, si le système Windows est si attaqué, c’est parce qu’il fait tourner les neuf dixièmes du parc ordinateur mondial ; et qu’au moins, il assure une grande interopérabilité entre les réseaux. Les amateurs pourront suivre le débat surgi à la suite de cet incident sur le blog d’un confrère.

Le rapport Romani de juillet 2008 concluait que la France « ne dispose pas de véritable capacité de surveillance et de détection des attaques informatiques », et recommandait la définition d’un cadre juridique et d’une doctrine d’emploi pour l’utilisation future d’outils offensifs, comme les « perquisitions informatiques », les « armes numériques de réseaux », ou les « laboratoires technico-opérationnels ». Roger Romani estimait que la nouvelle agence devrait être en mesure :

d’imposer aux administrations une réduction du nombre de leurs passerelles vers l’internet ;
de désigner les produits de haute sécurité que les administrations devront obligatoirement utiliser pour les réseaux les plus sensibles ;
de rendre obligatoire l’adoption par les administrations, pour leurs réseaux sensibles, ainsi que par les opérateurs d’importance vitale, de dispositifs garantissant la continuité du service en cas d’attaque majeure, sous la forme par exemple de systèmes redondants ...

Systèmes interconnectés

De son côté, la commission européenne a esquissé en mars 2009 les grandes lignes d’une stratégie de prévention et de lutte contre les cyber-attaques. Relevant que les infrastructures de communication sous-tendent le fonctionnement de secteurs essentiels, qui vont de la distribution d’énergie et de la fourniture d’eau aux transports, à la finance et à d’autres services d’importance cruciale ; que 93 % des entreprises de l’union et 51 % des citoyens européens ont utilisé l’internet de manière active en 2007, et que des cyber-attaques de grande envergure lancées récemment contre l’Estonie [1], la Lituanie ou la Géorgie ont bien montré que les services et réseaux de communications électroniques essentiels étaient constamment menacés, la commission plaide pour une meilleure coordination inter-Etats : les systèmes numériques vitaux étant souvent interconnectés, la sécurité des infrastructures d’un pays dépend largement des niveaux de protection adoptés hors de ses frontières, explique-t-elle.

Mais, à la lecture en creux de ses recommandations, on comprend que tout, ou presque, reste à faire :

Préparation et prévention : favoriser la coopération, les échanges d’informations et le transfert de bonnes pratiques entre États membres dans le cadre d’un forum européen et établir un Partenariat public privé européen pour la résilience, qui aidera les entreprises et le secteur public à mettre en commun leur expérience et leurs informations.
Détection et réaction : soutenir le développement d’un système européen de partage d’information et d’alerte.
Atténuation et récupération : renforcer la coopération entre États membres grâce à des plans nationaux et multinationaux en cas d’urgence et organiser régulièrement des exercices.
Coopération internationale : susciter un débat de dimension européenne pour définir les priorités de l’UE en ce qui concerne la stabilité et la résilience à long terme de l’internet..
Établissement de critères pour les infrastructures critiques européennes dans le secteur des TIC, les critères et les approches variant actuellement selon les États membres.

Guerre froide sur le Web

Depuis le sommet de Prague ( 2002), et encore plus depuis l’attaque par saturation des systèmes estoniens, l’Otan est sensible au thème de la cyberdéfense, à commencer par la protection de ses propres systèmes d’information et de communication, comme nous avons pu le constater lors d’une visite en février au siège de l’organisation, à Bruxelles-Evere.

Des agents de surveillance, qui appartiennent pour la plupart à des prestataires privés, procèdent périodiquement au « nettoyage » des locaux sensibles, grâce à des contre-mesures : balayages de fréquences pour localiser des dispositifs d’écoute illégaux dans les meubles, murs ou plafonds ; détection des sources infrarouges, contrôle des ondes wi-fi, test des installations électriques, utilisation de générateurs de bruits pour le brouillage de microphones non autorisés. Les téléphones mobiles sont interdits dans les salles de conférences où l’on débat des informations classifiées. Dans la zone dite « de sécurité », la plus protégée, les portables doivent être déclarés et régulièrement contrôlés, de même que les ordinateurs.

La « Branche sécurité de protection » demande aux agents de l’Otan de s’assurer que le logiciel antivirus sur leur ordinateur est activé et actualisé, de n’utiliser que les supports informatiques officiels du siège, avec un encodage couleur pour les divers niveaux de classification des dossiers, fichiers ou boîtes aux lettres, et des droits d’accès correspondants. Il est recommandé de n’utiliser la messagerie électronique ou l’intranet que dans des cas limités, et de recourir à des mots de passe « forts », à la fois difficiles à deviner et faciles à retenir : préférer par exemple « E12&J’af » à « Il est midi et j’ai faim »…

Il est surtout demandé de signaler sans délai tout incident « infosec » au Bureau de sécurité (Nos) ou à l’officier de sécurité de division, « y compris tout signe d’utilisation frauduleuse d’un ordinateur ou d’infraction de sécurité, ainsi que tout comportement inhabituel ou inattendu ». Autre recommandation, valable surtout à domicile : ne pas laisser l’ordinateur connecté s’il n’est pas utilisé, et soigneusement verrouiller son réseau sans fil pour éviter tout piratage.

Très à cheval sur la question de la sécurité informatique, l’Otan – entièrement dépendante de l’architecture logicielle Microsoft – pourrait contraindre prochainement l’armée française, pleinement réintégrée depuis cette année au commandement militaire de l’organisation, à renoncer à l’utilisation du système « libre » Linux, en usage notamment dans la gendarmerie …

Assistance rapide

Dans sa recommandation n° 831, adoptée en juin dernier, l’ assemblée de l’Union de l’Europe occidentale (UEO) souhaite que l’Union européenne « mette en œuvre le concept de l’Otan de cyberdéfense, et encourage l’échange d’information entre EU et Otan, ainsi que la mise en place de mécanismes d’assistance rapide entre Etats en cas de cuberattaques systémiques multisectorielles sur un ou plusieurs Etats alliés ».

Il y a quelques semaines, selon RIA Novosti, le chef adjoint de l’état-major général des forces armées russes, le gal. Anatoli Nogovitsyne, déclarait que « les pays les plus développés du monde auront d’ici deux ou trois ans la possibilité de mener de véritables guerres de l’information », avec pour principaux objectifs de « perturber le fonctionnement des systèmes de défense, industriels et administratifs clefs de l’ennemi », et d’obtenir « un impact info-psychologique sur sa population, ses troupes et sa direction, avec recours aux technologies de l’information modernes ».

En Grande-Bretagne, racontait la BBC, un fonctionnaire du cabinet du premier ministre perdait en juin 2008 dans un train des dossiers contenant des rapports de services de renseignement, avec des données ultra-sensibles, relatives notamment au réseau Al Quaeda.

Plus récemment, commente « gardony » sur ce blog (7 juillet), « la Sécurité Sociale britannique égare les données personnelles de 200 000 usagers, puis un ministre se fait photographier avec un dossier sensible sous le bras, puis un autre dossier est retrouvé sur le trottoir, puis le futur patron du MI6, etc. Sans compter Javier Solana reconnaissant avoir été espionné une dizaine de fois via son PC. Je veux bien qu’il y ait menace, mais tout de même, il faudrait aussi que les dirigeants soient un peu moins ingénus avec les nouvelles technologies », relève notre internaute. Le gouvernement britannique vient d’ailleurs de décider, lui aussi, de se doter d’une agence de sécurité informatique.

Notes

[1] En 2007, après des cyber-attaques de grande envergure, le Parlement estonien avait dû mettre son système de courrier électronique à l’arrêt pendant 12 heures, et les deux plus grandes banques d’Estonie avaient été contraintes d’interrompre leurs services en ligne.

mercredi 15 juillet 2009, par Philippe Leymarie

permalink

Nébuleuse et dangereuse cybersécurité nationale

par Charles Bwele
(son site)

vendredi 13 mars 2009

Mêlant justice, sécurité intérieure, défense et renseignement dans un flou artistique, l’enjeu cybersécuritaire exacerbe les rivalités entre administrations fédérales américaines et menace les libertés électroniques.

Électrodollars

De 2007 à 2008, les réseaux informatiques gouvernementaux et industriels des États-Unis ont été victimes respectivement de 38 000 à 72 000 incidents : attaques, intrusions, pertes, vols et piratages de données. Dans son évaluation des niveaux de sécurité et de résilience des systèmes informatiques pour l’année fiscale 2007, le Congrès avait attribué un « C » à l’ensemble des administrations fédérales, « F » à l’Office de Régulation Nucléaire et au Département du Trésor, « D » au Pentagone, « A » au Département de la Justice...

D’où un plan de cybersécurité nationale - initié par l’ex-président George W Bush et renforcé par son technoïde successeur Barack Obama - portant sur cinq grands axes :

• la recherche & développement orientée cybersécurité imbriquant secteur informatique, industrie militaire et laboratoires universitaires,

• la protection et la résilience des infrastructures réseautiques vitales (administrations fédérales, électricité, transports, information & médias, finance, etc)

• le contre-espionnage industriel en réseaux,

• le développement de stratégies anti-cybercriminelles globales,

• l’élaboration de standards pour la protection physique et numérique des données personnelles, administratives et industrielles.

L’administration Obama, le Pentagone, les milieux académiques et ceux industriels ont également été fortement séduits et convaincus par les pertinentes recommandations du Center for Strategic and International Studies dans Securing Cyberspace for the 44th Presidency, document empreint d’une profondeur voire d’une vision « cyberstratégique ».

D’ores et déjà, le secteur de la cybersécurité enregistre une croissance annuelle de 7 à 8% depuis 2003 soit deux fois mieux que le secteur des TIC dans sa globalité. Selon le cabinet de prévisions INPUT, les investissements cumulés de l’état fédéral dans ce masterplan cybersécuritaire passeront de 7,4 milliards en 2008 à 10,7 milliards de dollars en 2013 (+44%). Des acteurs traditionnels de la cybersécurité comme McAfee et Symantec sont désormais confrontés aux grands noms de l’industrie militaire : Boeing (Cyber Solutions), Lockheed Martin (Information Systems & Global Services), Raytheon (Information Security Solutions) et L3 Communications (Cybersecurity Units), pour ne citer qu’eux. BAE Systems, General Dynamics, l’Université John Hopkins, Lockheed Martin, Northrop Grumman, Science Application International et Sparta - tous généreusement subventionnés - rivaliseront chacun d’imagination par cycles semestriels au sein du Cyber Range Startup, laboratoire cybersécuritaire et incubateur d’innovations crée et supervisé par le DARPA, le fameux centre de recherches du Pentagone.

De nombreux analystes technologiques ou militaires évoquent passablement un « cyberplan Marshall » ou quelque keynésianisme électronique censé amortir les effets de l’actuelle dépression économique. En fait, la cybersécurité est aussi le nouvel eldorado de l’intelligence économique d’Oncle Sam : à défaut de circonscrire et d’intercepter efficacement les démons de la toile, les synergies technologiques entre recherches universitaires, privées et militaires seront hautement bénéfiques pour les applications civiles hardware, software et netware et boosteront d’autant une industrie informatique américaine déjà en pointe.

Côté européen, chaque nation concocte ses lotions cybersécuritaires en solitaire face à une menace qui n’a pour seule limite que la pervasivité des protocoles. Dépourvue d’une industrie informatique matérielle et logicielle digne de ce nom et a fortiori d’une réelle volonté politique dédiée à l’enjeu cybersécuritaire, le Vieux Continent peinera longtemps à produire une masse critique intellectuelle en matières d’infosécurité et de cyberstratégie. Cependant, ne nous leurrons pas : côté américain, le diable sommeille également dans la Matrice...

Le code et le texte

Déclenchée à dix milles lieux d’ici, une sournoise cyberattaque paralyse puis infecte sévèrement les réseaux militaires ou gouvernementaux (comme ce fut réellement le cas pour le ministère britannique de la défense en janvier 2009), les administrateurs systèmes mettent aussitôt en oeuvre des parades conformes aux procédures en vigueur et découvrent trop tard que la cyberattaque a été indéfiniment reroutée via plusieurs ordinateurs situés sur le territoire national et dans plusieurs pays étrangers grâce aux merveilles des botnets.

Dans un tel scénario, quelle autorité est chargée de l’enquête consécutive et/ou de l’élaboration d’un cadre cybersécuritaire légal : une cyberdivision du ministère de la justice, de la sécurité intérieure, de la défense ou d’une agence de renseignement ? Toutes ensemble ? Vive le chaos administratif ! Inerties bureaucratiques et rivalités internes en sus.

Quand un ordinateur ou un PDAphone devient une arme, les distinctions entre menace intérieure (impliquant police et justice) et menace extérieure (impliquant défense et renseignement), entre cybercriminalité, cyberterrorisme et cyberguerre (usant très souvent des mêmes modes opératoires), s’effacent promptement. Dès lors, les attributions intra-gouvernementales et les cadres légaux afférents devront être rapidement et drastiquement revus afin de mieux adapter la bureaucratie à l’enjeu cybersécuritaire. Méfions-nous du sempiternel discours ministériel jurant par tous les alinéas « qu’un dispositif approprié est déjà en place », la ligne de code Maginot du fonctionnaire ne dissuade point le hacker.

Quand bien même les services de renseignement seraient parfaitement informés de l’imminence d’un attentat, il leur est quasiment impossible de déterminer où, quand et comment il se produira. Motifs : le nombre de cibles est potentiellement infini et le coût d’un changement de cible est tout simplement négligeable pour l’action terroriste. Quelques mois ont suffi aux Panzer et aux Stuka pour défaire toute l’Europe pourtant très au fait du mode opératoire de l’armée allemande. L’expérience sécuritaire et l’histoire de la guerre nous ont amplement démontré à quel point des techniques, tactiques et stratégies totalement novatrices surprennent voire « hypnotisent » littéralement les appareils sécuritaires ou militaires visés. À leurs façons, cybercriminalité, cyberterrorisme et cyberguerre - concepts variants, poreux et connexes - nous réserveront aussi leurs sournoises embuscades et leurs déflagrantes malices durant les prochaines décénnies.

À quand une cyberattaque brutale aux effets prolongés des réseaux Bloomberg et Reuters afin de priver médias et places financières de leurs incontournables pourvoyeurs d’informations ? Imaginons les répercussions tous azimuts à l’échelle intercontinentale de plusieurs cyberattaques de précision contre Silicon Triangle (Bangalore, Chennai et Hyderabad), aujourd’hui considéré comme le gardien des infrastructures informatiques mondiales mais décrit par de nombreux spécialistes indiens en cybersécurité comme « un tigre édenté »...

Ennemi d’état

Dans maintes nations démocratiques - notamment celles occidentales - les armées et les agences de renseignement (CIA, MI-6, DST, etc) sont sollicités sur le territoire national lors d’exceptionnelles circonstances (désastres naturels, lutte anti-drogue, veille anti-terroriste, contre-espionnage, etc) et selon des conditions strictement définies par les constitutions ou par les gouvernements. De part et d’autre de l’Atlantique, le fétichisme sécuritaire de l’après-11 Septembre a effectivement conféré plus de pouvoir aux militaires et aux services de renseignement dans la sphère intérieure et suscité, à juste titre, de multiples interrogations et protestations.

Néanmoins, quoiqu’en disent plusieurs Cassandre, l’état prétorien n’a pas cours en Amérique du nord et en Europe. En guise d’exemple, la Turquie fait figure d’état prétorien moderne qui « se caractérise par un système politique dont l’armée occupe le coeur et assume potentiellement la direction », selon Levent Ünsaldi, docteur en sociologie à l’université de Paris I ; d’autres caractéristiques socioculturelles et politiques propres à la nation ottomane expliquent largement cet état de fait. Une patrouille militaire dans une aérogare, l’écoute téléphonique d’un caïd de la drogue et la surveillance électronique d’un attaché diplomatique ne font pas de la France, des États-Unis, du Royaume-Uni, du Canada ou de l’Allemagne un état prétorien... Du moins, pas encore.

Sous l’administration W. Bush, le plan de cybersécurité nationale était supervisé par le Homeland Security (le DHS ou département de la sécurité nationale), idem pour le National CyberSecurity Center (NCSC) placé sous son autorité et fraîchement crée par l’administration Obama. Savamment positionnée au croisement des agences de renseignement (CIA, NSA), du FBI et des départements de la justice et de la défense, la tutelle du DHS fournirait au NCSC un rôle fédérateur et coordinateur en matière de cybersécurité.

Début mars 2009, coup de théâtre : le tout nouveau directeur Rod Beckström de cette toute nouvelle agence démissionne brutalement de son poste et avance les deux raisons ayant conduit à cette décision : « la première est que les financements nécessaires à sa mission n’ont pas suivi. La seconde tient au fait que le NCSC, jusque-là rattaché au département de la sécurité nationale devrait rejoindre prochainement celui de la défense, et être placé sous la tutelle de la NSA, l’organe de renseignement électronique qui suscite la polémique avec le réseau Echelon ». En outre, Beckström estime que « les deux missions, l’une qui concerne la protection et l’autre, le renseignement, seraient incompatibles car ce sont deux métiers différents et leur rapprochement serait de nature à porter atteinte à la démocratie étant donné qu’un seul et même organisme aurait ainsi la charge de veiller sur les réseaux gouvernementaux » (cf. Zone Militaire). En effet, son administration n’avait obtenu en tout et pour tout que cinq semaines de financement du DHS durant toute l’année 2008 !

Comme son ex-homologue du NCSC, l’Amiral Dennis Blair du National Intelligence Council (NIC : organe rattaché à la Maison Blanche qui synthétise et analyse les informations provenant de toutes les divisions et agences américaines de renseignement électronique et du GCHQ britannique) a admis devant le Comité d’Intelligence du Congrès que seule la sulfureuse National Security Agency dispose de la puissance électronique et des compétences informationnelles nécéssaires à la sécurisation du cyberespace américain, mais qu’elle souffre d’un sérieux handicap de notoriété auprès du public et devrait donc impérativement renverser la vapeur grâce un travail de publicité et de relations publiques. Courage et bonne chance ! Aux yeux du FBI, du département de la justice et même d’une bonne partie du DHS et du Pentagone, la « No Such Agency » incarne également le mal absolu. Ses abus en matières de surveillance électronique et d’écoute téléphonique, sa culture très poussée du secret et son futur rôle central dans le domaine cybersécuritaire ne font qu’exacerber l’opprobe et la hantise dont elle est l’objet.

Toutefois, les craintes majeures de diverses administrations fédérales vis-à-vis de la NSA tiennent en deux mots : « Red Teams ». Considérées comme la crème des hackers fédéraux, ces cyber-unités spéciales de la NSA sont mandatées par le Pentagone pour analyser et évaluer ses propres réseaux informatiques et ceux de ses contractants privés en les soumettant à de très ingénieuses attaques cybernétiques (DDoS, troyens, virus, botnets, etc). Régulièrement, une Red Team sauvegardera d’ostentatoires fichiers-signatures inoffensifs dans des zones ultra-sécurisées des réseaux afin de démontrer « aux clients » leurs plus infimes failles critiques.

NB : Le réseau infaillible est celui par lequel aucune donnée n’est transmissible. Conclusion : le réseau infaillible n’existe pas. D’où l’importance accordée à la résilience des infrastructures réseautiques vitales dans le plan de cybersécurité nationale.

Dans le cadre du plan de cybersécurité nationale désormais supervisé par la NSA, tous les départements gouvernementaux seront inéluctablement soumis à ces audits cybernétiques certes très particuliers mais hautement indispensables. Pour le FBI, le DHS et le département de la justice, la NSA disposera de toutes les attributions légales pour « fourrer son nez dans leurs affaires y compris les plus confidentielles ». De quoi hérisser les cheveux de l’agent Clarisse Starling et du procureur Jack McCoy hurlant déjà à une violation progressive de la Constitution - et au viol réglementaire de leurs cachotteries ? - sous couvert de l’impératif cybersécuritaire. Les multiples associations américaines pour les droits civiques et pour les libertés électroniques ont vite levé leurs drapeaux rouges : selon elles, le département de la défense fixera peu ou prou (par le biais de la NSA) les normes cybersécuritaires et aura librement et surtout légalement accès à toute l’information gouvernementale et donc à toutes les données administratives personnelles.

On le voit, l’enjeu cybersécuritaire surpasse voire outrepasse peu à peu le cadre constitutionnel et légal, bouleverse complètement les schémas organisationnels au sein du gouvernement et de facto les rapports entre gouvernement, armée, renseignement et citoyens. Les théoriciens du droit constitutionnel et les experts en droit numérique ont un immense champ à défricher devant eux. À l’image de l’état prétorien moderne défini par Levent Üsaldi, l’état cyberprétorien se caractérise-t-il par « un super-système d’informations gouvernemental dont l’armée et les services de renseignement occupent le coeur et assume effectivement la direction » ?

Enfin, on ne peut qu’espérer que cette multitude d’acteurs se souvienne constamment des quatre principes de base de la cyberguerre énoncés par le Dr Lani Kass du Cyberspace Task Force (US Air Force) :

1. Le cyberespace fournit d’emblée un point d’appui à des attaques physiques parasitant/retardant/entravant votre réaction.

2. Tout ce que vous pouvez faire dans le cyberespace peut également vous être infligé beaucoup plus vite et pour beaucoup moins cher.

3. Les vulnérabilités sont disponibles à ciel ouvert, n’importe où et à n’importe qui ayant la capacité et l’intention de les exploiter.

4. Le cyberespace procure les voies et moyens à des attaques distantes organisées contre votre infrastructure à la vitesse de la lumière.

Il ne reste plus à la NSA qu’à débusquer l’algorithme incendiaire derrière toutes ces pages e-publicitaires évoquant les turpitudes de Britney Spears ou de Rihanna...

Articles liés :

1. The Register : Obama unfurls master plan for US cybersecurity

2. Center for Strategic and International Studies : Securing Cyberspace for the 44th Presidency (PDF)

3. Électrosphère : Déclaration de cyberguerre

4. Bloomberg : Lockheed, Boeing Tap $11 Billion Cybersecurity Market

5. Aviation Week : DARPA To Fund National Cyber Range Startup

6. Électrosphère : La perfide Albion cyberattaquée

7. Security Focus : Spy agency gains support for key cyber role

8. Zone Militaire : Démission du responsable de la cybersécurité américaine

Bibliograhie : Le militaire et la politique en Turquie, par Levent Ünsaldi, (éditions L’harmattan, 2005)

PERMALINK

Nébuleuse et dangereuse cybersécurité nationale

par Charles Bwele
(son site)

vendredi 13 mars 2009

Mêlant justice, sécurité intérieure, défense et renseignement dans un flou artistique, l’enjeu cybersécuritaire exacerbe les rivalités entre administrations fédérales américaines et menace les libertés électroniques.

Électrodollars

De 2007 à 2008, les réseaux informatiques gouvernementaux et industriels des États-Unis ont été victimes respectivement de 38 000 à 72 000 incidents : attaques, intrusions, pertes, vols et piratages de données. Dans son évaluation des niveaux de sécurité et de résilience des systèmes informatiques pour l’année fiscale 2007, le Congrès avait attribué un « C » à l’ensemble des administrations fédérales, « F » à l’Office de Régulation Nucléaire et au Département du Trésor, « D » au Pentagone, « A » au Département de la Justice...

D’où un plan de cybersécurité nationale - initié par l’ex-président George W Bush et renforcé par son technoïde successeur Barack Obama - portant sur cinq grands axes :

• la recherche & développement orientée cybersécurité imbriquant secteur informatique, industrie militaire et laboratoires universitaires,

• la protection et la résilience des infrastructures réseautiques vitales (administrations fédérales, électricité, transports, information & médias, finance, etc)

• le contre-espionnage industriel en réseaux,

• le développement de stratégies anti-cybercriminelles globales,

• l’élaboration de standards pour la protection physique et numérique des données personnelles, administratives et industrielles.

L’administration Obama, le Pentagone, les milieux académiques et ceux industriels ont également été fortement séduits et convaincus par les pertinentes recommandations du Center for Strategic and International Studies dans Securing Cyberspace for the 44th Presidency, document empreint d’une profondeur voire d’une vision « cyberstratégique ».

D’ores et déjà, le secteur de la cybersécurité enregistre une croissance annuelle de 7 à 8% depuis 2003 soit deux fois mieux que le secteur des TIC dans sa globalité. Selon le cabinet de prévisions INPUT, les investissements cumulés de l’état fédéral dans ce masterplan cybersécuritaire passeront de 7,4 milliards en 2008 à 10,7 milliards de dollars en 2013 (+44%). Des acteurs traditionnels de la cybersécurité comme McAfee et Symantec sont désormais confrontés aux grands noms de l’industrie militaire : Boeing (Cyber Solutions), Lockheed Martin (Information Systems & Global Services), Raytheon (Information Security Solutions) et L3 Communications (Cybersecurity Units), pour ne citer qu’eux. BAE Systems, General Dynamics, l’Université John Hopkins, Lockheed Martin, Northrop Grumman, Science Application International et Sparta - tous généreusement subventionnés - rivaliseront chacun d’imagination par cycles semestriels au sein du Cyber Range Startup, laboratoire cybersécuritaire et incubateur d’innovations crée et supervisé par le DARPA, le fameux centre de recherches du Pentagone.

De nombreux analystes technologiques ou militaires évoquent passablement un « cyberplan Marshall » ou quelque keynésianisme électronique censé amortir les effets de l’actuelle dépression économique. En fait, la cybersécurité est aussi le nouvel eldorado de l’intelligence économique d’Oncle Sam : à défaut de circonscrire et d’intercepter efficacement les démons de la toile, les synergies technologiques entre recherches universitaires, privées et militaires seront hautement bénéfiques pour les applications civiles hardware, software et netware et boosteront d’autant une industrie informatique américaine déjà en pointe.

Côté européen, chaque nation concocte ses lotions cybersécuritaires en solitaire face à une menace qui n’a pour seule limite que la pervasivité des protocoles. Dépourvue d’une industrie informatique matérielle et logicielle digne de ce nom et a fortiori d’une réelle volonté politique dédiée à l’enjeu cybersécuritaire, le Vieux Continent peinera longtemps à produire une masse critique intellectuelle en matières d’infosécurité et de cyberstratégie. Cependant, ne nous leurrons pas : côté américain, le diable sommeille également dans la Matrice...

Le code et le texte

Déclenchée à dix milles lieux d’ici, une sournoise cyberattaque paralyse puis infecte sévèrement les réseaux militaires ou gouvernementaux (comme ce fut réellement le cas pour le ministère britannique de la défense en janvier 2009), les administrateurs systèmes mettent aussitôt en oeuvre des parades conformes aux procédures en vigueur et découvrent trop tard que la cyberattaque a été indéfiniment reroutée via plusieurs ordinateurs situés sur le territoire national et dans plusieurs pays étrangers grâce aux merveilles des botnets.

Dans un tel scénario, quelle autorité est chargée de l’enquête consécutive et/ou de l’élaboration d’un cadre cybersécuritaire légal : une cyberdivision du ministère de la justice, de la sécurité intérieure, de la défense ou d’une agence de renseignement ? Toutes ensemble ? Vive le chaos administratif ! Inerties bureaucratiques et rivalités internes en sus.

Quand un ordinateur ou un PDAphone devient une arme, les distinctions entre menace intérieure (impliquant police et justice) et menace extérieure (impliquant défense et renseignement), entre cybercriminalité, cyberterrorisme et cyberguerre (usant très souvent des mêmes modes opératoires), s’effacent promptement. Dès lors, les attributions intra-gouvernementales et les cadres légaux afférents devront être rapidement et drastiquement revus afin de mieux adapter la bureaucratie à l’enjeu cybersécuritaire. Méfions-nous du sempiternel discours ministériel jurant par tous les alinéas « qu’un dispositif approprié est déjà en place », la ligne de code Maginot du fonctionnaire ne dissuade point le hacker.

Quand bien même les services de renseignement seraient parfaitement informés de l’imminence d’un attentat, il leur est quasiment impossible de déterminer où, quand et comment il se produira. Motifs : le nombre de cibles est potentiellement infini et le coût d’un changement de cible est tout simplement négligeable pour l’action terroriste. Quelques mois ont suffi aux Panzer et aux Stuka pour défaire toute l’Europe pourtant très au fait du mode opératoire de l’armée allemande. L’expérience sécuritaire et l’histoire de la guerre nous ont amplement démontré à quel point des techniques, tactiques et stratégies totalement novatrices surprennent voire « hypnotisent » littéralement les appareils sécuritaires ou militaires visés. À leurs façons, cybercriminalité, cyberterrorisme et cyberguerre - concepts variants, poreux et connexes - nous réserveront aussi leurs sournoises embuscades et leurs déflagrantes malices durant les prochaines décénnies.

À quand une cyberattaque brutale aux effets prolongés des réseaux Bloomberg et Reuters afin de priver médias et places financières de leurs incontournables pourvoyeurs d’informations ? Imaginons les répercussions tous azimuts à l’échelle intercontinentale de plusieurs cyberattaques de précision contre Silicon Triangle (Bangalore, Chennai et Hyderabad), aujourd’hui considéré comme le gardien des infrastructures informatiques mondiales mais décrit par de nombreux spécialistes indiens en cybersécurité comme « un tigre édenté »...

Ennemi d’état

Dans maintes nations démocratiques - notamment celles occidentales - les armées et les agences de renseignement (CIA, MI-6, DST, etc) sont sollicités sur le territoire national lors d’exceptionnelles circonstances (désastres naturels, lutte anti-drogue, veille anti-terroriste, contre-espionnage, etc) et selon des conditions strictement définies par les constitutions ou par les gouvernements. De part et d’autre de l’Atlantique, le fétichisme sécuritaire de l’après-11 Septembre a effectivement conféré plus de pouvoir aux militaires et aux services de renseignement dans la sphère intérieure et suscité, à juste titre, de multiples interrogations et protestations.

Néanmoins, quoiqu’en disent plusieurs Cassandre, l’état prétorien n’a pas cours en Amérique du nord et en Europe. En guise d’exemple, la Turquie fait figure d’état prétorien moderne qui « se caractérise par un système politique dont l’armée occupe le coeur et assume potentiellement la direction », selon Levent Ünsaldi, docteur en sociologie à l’université de Paris I ; d’autres caractéristiques socioculturelles et politiques propres à la nation ottomane expliquent largement cet état de fait. Une patrouille militaire dans une aérogare, l’écoute téléphonique d’un caïd de la drogue et la surveillance électronique d’un attaché diplomatique ne font pas de la France, des États-Unis, du Royaume-Uni, du Canada ou de l’Allemagne un état prétorien... Du moins, pas encore.

Sous l’administration W. Bush, le plan de cybersécurité nationale était supervisé par le Homeland Security (le DHS ou département de la sécurité nationale), idem pour le National CyberSecurity Center (NCSC) placé sous son autorité et fraîchement crée par l’administration Obama. Savamment positionnée au croisement des agences de renseignement (CIA, NSA), du FBI et des départements de la justice et de la défense, la tutelle du DHS fournirait au NCSC un rôle fédérateur et coordinateur en matière de cybersécurité.

Début mars 2009, coup de théâtre : le tout nouveau directeur Rod Beckström de cette toute nouvelle agence démissionne brutalement de son poste et avance les deux raisons ayant conduit à cette décision : « la première est que les financements nécessaires à sa mission n’ont pas suivi. La seconde tient au fait que le NCSC, jusque-là rattaché au département de la sécurité nationale devrait rejoindre prochainement celui de la défense, et être placé sous la tutelle de la NSA, l’organe de renseignement électronique qui suscite la polémique avec le réseau Echelon ». En outre, Beckström estime que « les deux missions, l’une qui concerne la protection et l’autre, le renseignement, seraient incompatibles car ce sont deux métiers différents et leur rapprochement serait de nature à porter atteinte à la démocratie étant donné qu’un seul et même organisme aurait ainsi la charge de veiller sur les réseaux gouvernementaux » (cf. Zone Militaire). En effet, son administration n’avait obtenu en tout et pour tout que cinq semaines de financement du DHS durant toute l’année 2008 !

Comme son ex-homologue du NCSC, l’Amiral Dennis Blair du National Intelligence Council (NIC : organe rattaché à la Maison Blanche qui synthétise et analyse les informations provenant de toutes les divisions et agences américaines de renseignement électronique et du GCHQ britannique) a admis devant le Comité d’Intelligence du Congrès que seule la sulfureuse National Security Agency dispose de la puissance électronique et des compétences informationnelles nécéssaires à la sécurisation du cyberespace américain, mais qu’elle souffre d’un sérieux handicap de notoriété auprès du public et devrait donc impérativement renverser la vapeur grâce un travail de publicité et de relations publiques. Courage et bonne chance ! Aux yeux du FBI, du département de la justice et même d’une bonne partie du DHS et du Pentagone, la « No Such Agency » incarne également le mal absolu. Ses abus en matières de surveillance électronique et d’écoute téléphonique, sa culture très poussée du secret et son futur rôle central dans le domaine cybersécuritaire ne font qu’exacerber l’opprobe et la hantise dont elle est l’objet.

Toutefois, les craintes majeures de diverses administrations fédérales vis-à-vis de la NSA tiennent en deux mots : « Red Teams ». Considérées comme la crème des hackers fédéraux, ces cyber-unités spéciales de la NSA sont mandatées par le Pentagone pour analyser et évaluer ses propres réseaux informatiques et ceux de ses contractants privés en les soumettant à de très ingénieuses attaques cybernétiques (DDoS, troyens, virus, botnets, etc). Régulièrement, une Red Team sauvegardera d’ostentatoires fichiers-signatures inoffensifs dans des zones ultra-sécurisées des réseaux afin de démontrer « aux clients » leurs plus infimes failles critiques.

NB : Le réseau infaillible est celui par lequel aucune donnée n’est transmissible. Conclusion : le réseau infaillible n’existe pas. D’où l’importance accordée à la résilience des infrastructures réseautiques vitales dans le plan de cybersécurité nationale.

Dans le cadre du plan de cybersécurité nationale désormais supervisé par la NSA, tous les départements gouvernementaux seront inéluctablement soumis à ces audits cybernétiques certes très particuliers mais hautement indispensables. Pour le FBI, le DHS et le département de la justice, la NSA disposera de toutes les attributions légales pour « fourrer son nez dans leurs affaires y compris les plus confidentielles ». De quoi hérisser les cheveux de l’agent Clarisse Starling et du procureur Jack McCoy hurlant déjà à une violation progressive de la Constitution - et au viol réglementaire de leurs cachotteries ? - sous couvert de l’impératif cybersécuritaire. Les multiples associations américaines pour les droits civiques et pour les libertés électroniques ont vite levé leurs drapeaux rouges : selon elles, le département de la défense fixera peu ou prou (par le biais de la NSA) les normes cybersécuritaires et aura librement et surtout légalement accès à toute l’information gouvernementale et donc à toutes les données administratives personnelles.

On le voit, l’enjeu cybersécuritaire surpasse voire outrepasse peu à peu le cadre constitutionnel et légal, bouleverse complètement les schémas organisationnels au sein du gouvernement et de facto les rapports entre gouvernement, armée, renseignement et citoyens. Les théoriciens du droit constitutionnel et les experts en droit numérique ont un immense champ à défricher devant eux. À l’image de l’état prétorien moderne défini par Levent Üsaldi, l’état cyberprétorien se caractérise-t-il par « un super-système d’informations gouvernemental dont l’armée et les services de renseignement occupent le coeur et assume effectivement la direction » ?

Enfin, on ne peut qu’espérer que cette multitude d’acteurs se souvienne constamment des quatre principes de base de la cyberguerre énoncés par le Dr Lani Kass du Cyberspace Task Force (US Air Force) :

1. Le cyberespace fournit d’emblée un point d’appui à des attaques physiques parasitant/retardant/entravant votre réaction.

2. Tout ce que vous pouvez faire dans le cyberespace peut également vous être infligé beaucoup plus vite et pour beaucoup moins cher.

3. Les vulnérabilités sont disponibles à ciel ouvert, n’importe où et à n’importe qui ayant la capacité et l’intention de les exploiter.

4. Le cyberespace procure les voies et moyens à des attaques distantes organisées contre votre infrastructure à la vitesse de la lumière.

Il ne reste plus à la NSA qu’à débusquer l’algorithme incendiaire derrière toutes ces pages e-publicitaires évoquant les turpitudes de Britney Spears ou de Rihanna...

Articles liés :

1. The Register : Obama unfurls master plan for US cybersecurity

2. Center for Strategic and International Studies : Securing Cyberspace for the 44th Presidency (PDF)

3. Électrosphère : Déclaration de cyberguerre

4. Bloomberg : Lockheed, Boeing Tap $11 Billion Cybersecurity Market

5. Aviation Week : DARPA To Fund National Cyber Range Startup

6. Électrosphère : La perfide Albion cyberattaquée

7. Security Focus : Spy agency gains support for key cyber role

8. Zone Militaire : Démission du responsable de la cybersécurité américaine

Bibliograhie : Le militaire et la politique en Turquie, par Levent Ünsaldi, (éditions L’harmattan, 2005)

PERMALINK