Café stratégique - le 16 mai 2013 à 19h - Community policing et lutte contre le jihadisme

Partager cet article :

La stratégie américaine pour le cyberespace dévoilée le 14 juillet

Le Pentagone a publié ce 14 juillet sa stratégie relative au cyberespace. Le document est en ligne et met en avant cinq initiatives :

• Considérer le cyberespace comme un domaine opérationnel à part entière (au même tire que la terre, l'air ou la mer) nécessitant une organisation, un entraînement et un équipement spécifique, afin que le Department of Defense (DoD) en retire tout le potentiel
• Développer de nouveaux concepts opérationnels pour mieux protéger les réseaux et systèmes du DoD (appui notamment sur les ressources humaines, prise en compte de la mobilité, du cloud computing, capacités de défense dynamique basée sur des logiciels, capteurs et autres senseurs...)
• S'appuyer sur des partenariats avec d'autres administrations US et le secteur privé (IT au sens large, éditeurs, constructeurs et intégrateurs) pour la mise en place d'une approche réellement globale
• Construire des relations solides avec les alliés des Etats-Unis pour l'émergence de réelles coalitions internationales (bizarement, l'OTAN n'est mentionné que dans la légende d'une photo et non directement dans le corps du document. On se souvient pourtant des déclarations de William Lynn, sous-secrétaire d'Etat à la défense : Lynn veut un bouclier triple action pour l'OTAN)
• Tirer profit de et catalyser les compétences et les efforts de R&D étatsuniens dans le cyberespace, avec une volonté de réduire le time-to-delivery

Tout ceci dans un contexte, précise le rapport, sans grande surprise, où la dépendance du DoD au cyberespace n'est pas appuyée par une politique de cybersécurité adéquate. Des puissances étrangères (non nommées) s'efforcent d'accéder à de l'information classifiée ou de perturber les infrastructures américaines. Mais elles ne sont pas les seules, car des organisations non-étatiques se font également menaçantes, avec un impact potentiel sans commune mesure avec leur propre taille ni leurs moyens financiers. Pour certains, cette publication ne fait qu'entériner ce que d'aucuns affirment depuis longtemps : la cyberguerre est bien là.

Transparaît également dans le document la menace posée par la fabrication à l'étranger (i.e. en Asie) de matériels et systèmes conçus et utilisés aux Etats-Unis. C'est donc le boomerang de la délocalisation qui revient dans la figure des Occidentaux sur ce dossier.

En termes de coopérations, le rapport fait du Department of Homeland Security le responsable de la coordination inter-agences pour tout ce qui touche à l'identification et la maîtrise des menaces contre les cyber-infrastructures de la Nation. On se souvient que nombre d'experts critiquent la potentielle emprise du DoD et des militaires sur la cybersécurité intérieure (voir par exemple La cyberguerre aura-t-elle lieu ?).

Concernant la coopération avec le privé, il est intéressant de noter que le Pentagone est conscient de la compétition qui se joue pour l'attraction des talents, notamment dans un contexte de tensions budgétaires pour le secteur public. Par ailleurs, l'accent est mis sur la collaboration avec le tissu de PME, qui aux Etats-Unis est au coeur de l'innovation IT.

Pour le moment, peu de réactions à ce rapport se sont fait entendre. mais il est vrai que le sujet est moins polémique ou polarisant aux Etats-Unis que d'autres, comme la défense anti-missile.

Partager cet article :

Citation de la semaine : Eric Delbecque et Gérard Pardini

La citation de la semaine est issue de l'ouvrage Les politiques d'intelligence économique (PUF, collection Que sais-je ?) d'Eric Delbecque (ancien directeur de l'IERSE, chef du département Sécurité économique de l'INHEJS, professeur à l'EGE) et Gérard Pardini (ancien dircab du préfet Bonnet, chef du département Risques et Crises de l'INHEJS).

Si les concurrents sont les cibles principales de la veille, certains acteurs de l'environnement global [...] peuvent devenir des enjeux de veille dans la mesure où ils exercent une influence (négative) sur le développement d'une entreprise : États, ONG, think tanks, associations...

J'ai mis en gras ce terme "négative" qui m'interpelle : oui la veille est souvent d'importance stratégique, mais je ne comprends pas cette propension des tenants de l'intelligence économique et de la guerre économique à n'envisager le tiers que comme un acteur néfaste pour ses propres intérêts. La veille se fait aussi dans un but positif, pour identifier des opportunités de nouveaux débouchés, de partenariats, d'ancrage social et sociétal, d'évolution règlementaire/législative, de politique industrielle plus favorable, d'amélioration du fonctionnement interne, de diffusion de valeurs permettant un meilleur développement...

Entre les extrêmes du monde des Bisounours et du jeu à somme nulle (où tout stakeholder est un joueur), la vérité est certainement plus nuancée.

Partager cet article :

[Le B.A.-BA] : le brouillage

En lien avec le thème du mois de l'Alliance Géostratégique (Le renseignement), je republie un petit article introductif consacré au brouillage, datant d'avril 2009

***

Le brouillage, à quoi ça sert ?

Le brouillage est un élément important, à la fois offensif et défensif, de la guerre électronique. Il consiste à empêcher ou perturber les émissions électromagnétiques ennemies. Il existe quasiment depuis les débuts de l'utilisation humaine des ondes. Il vise les radars, des systèmes de navigation et de guidage, ainsi que les communications radio et la télédiffusion.

En général, il est un préambule à d'autres actions. Quelques exemples :

• le brouillage de radars de DCA permet de dégager des couloirs pour les chasseurs bombardiers
• le brouillage des autodirecteurs des missiles permet de protéger l'aéronef brouilleur (tous les avions militaires disposent aujourd'hui d'un système d'autoprotection miniaturisé et intégré) et ainsi d'améliorer sa pénétration et sa persistance
• le brouillage d'obus qui les fait exploser avant qu'ils aient atteint leur cible les rend moins meurtriers, et est notamment utilisé pour protéger les fantassins sur le champ de bataille
• le brouillage des émissions des satellites GPS perturbe la navigation des véhicules qui les utilisent
• le brouillage de stations de télévision (son inaudible, images brouillées) a des visées politiques et psychologiques (propagande), et est souvent couplé à des actions d'infiltration
• le brouillage est également autorisé dans un contexte civil, notamment dans les cinémas et théâtres, pour empêcher l'usage intempestifs des téléphones portables

On le voit ici, le brouillage peut intervenir dans un contexte tactique comme stratégique, voire dans un contexte de déstabilisation.

Le brouillage, comment ça marche ?

Rassurez-vous, je n'ai pas l'intention de donner ici un cours d'électromagnétisme. Il y a basiquement deux types de brouillages, mais les deux sont du ressort de la guerre électronique "active" car ils impliquent des émissions électromagnétiques.

1 - Brouillage par bruit

Il s'agit tout simplement d'émettre un signal assez puissant en continu ("bruit blanc") qui va masquer les signaux utiles en les saturant. L'opérateur du radar brouillé obtiendra un signal inexploitable. Ce type de brouillage ne présuppose pas une connaissance fine des émissions que l'on souhaite perturber, mais il faut quand même que les fréquences émises soit calées sur celles attendues par les récepteurs que l'on souhaite aveugler.

2 - Brouillage par déception

Plus subtil que le brouillage par bruit, il consiste non pas à aveugler les récepteurs ennemis mais à insérer de fausses informations de façon indétectable aux signaux électromagnétiques. Ceci nécessite bien évidemment de connaître précisément les émissions que l'on attaque, afin d'y introduire de légères modifications. Ceci est possible soit parce qu'on le connaît par avance (suite à des opérations d'écoute par exemple), soit en utilisant de façon combinée un récepteur qui va capter le signal et un brouilleur qui va le re-émettre après l'avoir altéré.

Le brouilleur SLQ-32 de Raytheon qui équipe l'US Navy

Crédits : Raytheon

Quelques remarques pour terminer

• l'opportunité de brouiller doit être étudiée à l'aune du fait que si elle est efficace, et qu'elle empêche effectivement les émissions ennemies, cela signifie potentiellement la perte d'une source d'information importante
• une action de brouillage, parce qu'elle implique des émissions électromagnétiques, peut être dangereuse, car le brouilleur peut être détecté au moyen d'écoutes. Il faut donc veiller à garder un matériel à la page, et surtout éviter de brouiller inutilement (notamment trop tôt)
• il n'y a pas d'absolue garantie qu'un brouillage assure une protection complète, même avec des moyens très supérieurs à l'adversaire. L'exemple du F-117 abattu par les Serbes pendant la guerre du Kosovo en est un exemple frappant
• il ne faut jamais se reposer sur ses lauriers et croire qu'une réussite se reproduira éternellement. L'ennemi s'adapte, même avec des faibles moyens : il change de fréquence d'écoute, il émet moins longtemps, il met en oeuvre lui aussi des actions de contre-information...

La destruction (au moyen de missiles, de LASER...) est un autre moyen d'interdire l'utilisation du spectre électromagnétique à l'ennemi. Je l'aborderai certainement dans un prochain article, de mêmes que les contremesures possibles face à un brouillage.

Partager cet article :

Cyberdéfense : Lynn veut un bouclier triple action pour l'OTAN

Alors que le cyberespace est décidément de plus en plus dangereux, le sous-secrétaire d'état à la défense américain, William Lynn, a annoncé en ce mois d'octobre qu'il souhaitait que l'OTAN se dote d'un cyberbouclier composé de "trois couches" (ça réchauffe en hiver). D'ailleurs le SG de l'OTAN n'en parlait-il pas récemment ?

Il s'agit ni plus ni moins de sécuriser les infrastructures informatiques de l'organisation, qui comme celles des Etats-Unis (et de toutes les autres grandes organisations dans le monde) sont régulièrement soumises à des "attaques" (comprendre : un mix de vraies attaques plus ou moins ciblées, de fichiers douteux téléchargés imprudemment, d'exploitation de failles dans Windows ou autres logiciels...). En quoi consistent donc ces couches ?

La première relève juste de la bonne mise à jour des logiciels afin de pallier les failles détectées au fil de l'eau, ainsi que du bon fonctionnement des pare-feux, censés autoriser ou refuser la circulation de certains types de communications au sein du réseau. Ok rien de transcendant mais on se rappelle que la Marine a morflé à cause de Conficker notamment parce qu'elle avait oublié de patcher Windows.

La deuxième couche doit permettre la détection d'intrusions et la surveillance du réseau. Ouais ouais... rien de bien original.

Enfin, il faut une troisième couche un peu plus active, qui va faire le guet à l'entrée des zones sensibles et tenter de bloquer tout malware avant qu'il n'entre en action, ou qui, si cela n'est pas possible, va devoir mener une véritable chasse au virus/ver/... à l'intérieur du réseau otanien.

Même si de nombreuses technologies existantes couvrent une grande part des exigences requises (certes imparfaitement, mais c'est l'essence d'un système de défense de ne pas être inviolable), de grands progrès doivent être faits sur ce qui touchent au "zero day threats", c'est-à-dire les menaces qui apparaissent comme ça un jour, et pour lesquelles aucun test de dépistage (et a fortiori vaccin) n'est encore connu. J'avais déjà évoqué le sujet (Souris, mouches, araignées, chats et pots de miel), mais Charles Bwele en a également parlé (Invincea virtualise votre sécurité en ligne) : une solution peut consister en l'utilisation de "faux" environnements (soit un système complet, soit un navigateur Web), qui vont détecter et encaisser les attaques sans danger pour les "vrais".

Bien évidemment, ce bouclier doit aussi protéger des mauvaises actions, intentionnelles ou non, des insiders, affaire Wikileaks oblige : impossibilité de copier des fichiers vers et d'exécuter un programme depuis une clé USB, etc... Mais il doit aussi "sentir" les menaces montantes par l'envoi de sondes à l'extérieur du réseau de l'OTAN.

Intéressant à noter, tous les exemples donnés par l'article de Defense News cité ci-dessus concernent exclusivement les Etats-Unis, qu'il s'agisse des attaques ou des projets de cybersécurité. Certes, ils se sont mis à la cybersécurité avant la plupart de leurs alliés de l'OTAN, mais il eut été plus enrichissant d'expliquer en quoi la proposition de Lynn ne consistait pas uniquement en une promotion des technologies (voire plus) américaines au sein de l'alliance...

Partager cet article :

La cyberguerre aura-t-elle lieu ?

Un petit article écrit dans le cadre du thème du mois de l'AGS sur le cyberespace et déjà publié sur le site de l'Alliance.

***

Le terme de "cyberguerre" s'impose de plus en plus dans le débat stratégique et les médias. Face aux nombreux messages alarmistes sur la vulnérabilité de nos infrastructures, nos dirigeants politiques placent la cybersécurité en haut de la liste de leurs priorités. Mais, alors qu'aucune occurrence de cyberguerre ne s'est encore produite, la situation est-elle si cataclysmique que certains la présentent ?

Tremblez devant le Cyber Monstre !

Depuis 1993 et le « Cyberwar is coming! » de John Arquilla et David Ronfeldt, le cyberdésastre semble nous pendre au nez. Pensez donc ! Grâce à Internet et au micro-ordinateur, tout un chacun, et notamment les états, mafias et autres terroristes mal-intentionnés, peut se muer en cyberpirate et mettre à bas la réputation ou les infrastructures numériques d'organisations situées à l'autre bout du monde ; et ce, en toute impunité ou presque, puisque si le réseau des réseaux abolit les frontières pour les trafiquants, criminels ou autres malfrats, la coopération internationale en termes de cyber-réponse (pour des raisons techniques, juridiques et politiques) est en revanche très lacunaire.

Virus, chevaux de Troie, vers, phishing, spams, contrefaçon, déni de service... la liste des menaces, plus ou moins intentionnelles, semble sans fin. L'accumulation d'exemples donnés par Nicolas Arpagian dans La Cyberguerre en donne le tournis. Et les ONG (particuliers, lobbys, activistes, mafias, groupes terroristes ou même entreprises) ne sont pas les seules à faire apparemment usage de l' « arme » numérique de façon offensive. L'Estonie en 2007, la Géorgie en 2008, Stuxnet en 2010 ou même le ghostnet chinois (La Chine au coeur d'une affaire de cyberespionnage de masse ?) sont autant d'affaires dans lesquelles les soupçons se portent sur une instigation étatique, avec plus ou moins de proxies pour brouiller les pistes ; un état de fait facilité par le manque de traçabilité qui existe sur Internet. La Clickskrieg nous guette :

The question isn't will there be a cyberwar -- the question is when will there be one?

La cyberguerre est déjà en train d'être perdue par les États-Unis, c'est ce que dit Mike McConnell, ancien directeur de la NSA :

The United States is fighting a cyber-war today, and we are losing.

Pas de quoi être optimiste, même si dans ce maelström on perçoit un certain amalgame entre menaces de diverses natures et de niveaux de dangerosité inégaux. D'autant que la sémantique est loin d'être innocente.

Cyber priorité et budget du cyber

Nos dirigeants semblent avoir pris le problème à bras le corps, donnant ainsi écho aux annonces alarmistes qui font de la quatrième dimension le terrain de la prochaine Guerre Mondiale. Il faut agir vite, car nos ennemis fourbissent déjà leurs claviers et nos infrastructures vitales sont vulnérables, du fait des failles de sécurité existant dans les systèmes SCADA ou DCS (Infrastructures vitales et cybersécurité). D'ailleurs, un hacker n'a-t-il pas récemment montré qu'il pouvait prendre à distance le contrôle d'une centrale nucléaire ? Kevin Mitnick, célèbre pirate informatique et ancien homme le plus recherché des Etats-Unis, ne pouvait-il d'ailleurs pas lancer l'apocalypse atomique en sifflant dans un téléphone ? Bref, les gouvernements font depuis quelques années de la cybersécurité une priorité de leur agenda et des dépenses militaro-sécuritaires. Et ce, à la fois sur les dimensions défensives et offensives. La création de l'US Cyber Command, la LOPPSI 2 ou la Canada's Cyber Security Strategy sont là pour en témoigner, sur des aspects divers. Au niveau international, marqué par un grand cloisonnement national, Hamadoun Touré, secrétaire général de l'Union Internationale des Télécommunications, agence spécialisée de l'ONU, réclame des traités internationaux et s'inquiètent de nouvelles formes de conflits (Nouvel Ordre Mondial Cybernétique et Clickskrieg) :

When I see Google and China fight, not China and the U.S., but a company and a country, it’s a new world order. Something new is happening around us. What do we do about it?

Même si, il faut bien le dire, un certain désaccord existe sur la définition d'une cyberarme. Là où nous Occidentaux voyons une menace sur les infrastructures (énergie, transport, systèmes financiers ou militaires...), les Russes et les Chinois mettent au premier plan la « guerre des idées », terrain de jeu du « terrorisme informationnel », coupable de déstabiliser les régimes en place à coup d'ingérence numérique (Cyberguerre, un désaccord dans les termes).

Quoi qu'il en soit les industriels de l'armement, toujours à la recherche de leviers de croissance, ont senti le bon filon, alors que la « Transformation » des décennies passées ne semble pas être allée au bout de ses promesses financières. Il faut dire que des analystes estiment que les États-Unis vont dépenser près de 50 milliards de dollars sur le sujet d'ici à 2015. En conséquence, les EADS, Boeing, Northrop Grumman, Lockheed Martin ou L-3 Communications cherchent à multiplier les acquisitions d'acteurs spécialisés, afin de combler leur retard sur les pure players du secteur. On voit bien leur intérêt à ce que le niveau de la cybermenace ne soit pas sous-estimé.

Cyber prudence

Sans nier que la sécurité dans le cyberespace est un enjeu majeur du XXIème siècle, du fait de la réseau-dépendance de nos sociétés, il faut cependant raison garder. Il est vrai que le numérique et l'Internet sont propices aux fantasmes les plus fous, du fait des possibles, qu'il s'agisse de l'abolition des distances (on peut être dévalisé par un escroc nigérian sans qu'il n'ait à franchir ses frontières !), du nombre d' « attaques » (le Pentagone est « attaqué » plus de 100 fois par jour !), de l’anonymat ou de l'asymétrie (quelques individus entraînés peuvent faire tomber une centrale nucléaire à l'autre bout du monde). Et Hollywood n'y est sans doute pas pour rien, en nourrissant l'imaginaire qui va favoriser les emballements médiatiques.

« Emballement médiatique », voilà qui sied bien à l’affaire Stuxnet, un virus en circulation depuis plus d’un an mais qui a eu l’honneur des spotlights quand l’hypothèse d’une attaque israélo-américaine sur l’Iran a été évoquée. Pour le moment, cette histoire a surtout montré l’importance de la guerre médiatique et psychologique, en l’absence de preuve quant à son origine et ses effets réels.

Il est également de bon ton, et le thème du mois de l'AGS le montre, d'utiliser le préfixe « cyber » devant tout un tas de termes pour en tirer des buzzwords aux connotations effrayantes : cyberterrorisme, cybercriminalité, cyber Pearl Harbor, Cyber Armageddon voire Cybarmageddon ou Cybergeddon...

Comme le rappelle SD dans son article Cyberguerre : halte à la bataille d'ordinateurs, il n'y a cependant pas encore eu de cyberguerre au sens politique du terme :

Des actions limitées de lutte informatique ne peuvent être assimilées à une guerre mais tout au plus à un combat dont nous ne savons rien ou presque.

Il est donc important de garder la tête froide, et de remettre les choses en perspective. On compare souvent Internet à un autre réseau de communications, le réseau routier. A titre indicatif, il y a sur les routes environ 1, 3 million de morts chaque année dans le monde. Il y a une certaine marge avant que la « cyberguerre » (encore à venir) n'atteigne ce niveau. D'aucuns disent même, ce avec quoi je ne suis pas d'accord (ne serait-ce que parce que le monde virtuel peut influer sur des éléments bien matériels), qu'une cyberguerre ne ferait que des cybermorts.

Alors certes, sur la route, l'écrasante majorité des accidents n'est pas due à des attaques volontaires, mais plutôt à des comportements irresponsables ou à de l'imprudence. Mais j'y vois là aussi un parallèle, toute proportion gardée, avec les dangers du cyberespace : une grande part du succès des malware provient directement du maillon humain, qui en toute innocence, va télécharger un fichier douteux depuis le Web ou brancher une clé USB sur le réseau de l'Intranet de la Marine Nationale.

Ce qui, par ailleurs, augmente sensiblement le risque d’effet indésirable d’une attaque, et ses coûts collatéraux, par un possible effet boomerang sur ses propres infrastructures, et qui doit inviter à réfléchir des décideurs politiques désireux de lancer des offensives à première vue peu onéreuses.

D’autant qu’il ne faut pas sous-estimer la résilience du réseau dans son ensemble. Si l’on revient aux origines d’Internet, on se rappelle que son ancêtre, Arpanet, a été conçu pour permettre le maintien de communications entre centres névralgiques américains à la suite d’une attaque nucléaire. De fait, les attaques enregistrées jusqu’à ce jour ont paralysé momentanément quelques sites Web ou ont perturbé le fonctionnement de quelques usines. Il n’a pas fallu longtemps à l’Estonie ou la Géorgie pour se relever des attaques subies en 2007 et 2008. Autre exemple, moins glorieux : des serveurs de messagerie par lesquels sont transitent de grandes quantités de spams sont régulièrement éteints par décision de justice, occasionnant des chutes énormes immédiates du volume de pourriels perceptibles au niveau mondial ; qui reprend de plus belle à peine quelques jours plus tard…

Pour certains, comme Jean-Marc Manach, animateur du blog Bug Brother, la cause est entendue : après le terrorisme islamiste, la « cyberguerre » est le nouvel instrument de peur au profit de mesures sécuritaires et de contrôle de la population :

Je ne sais ce qu’il en sera dans 2, 5 ou 10 ans. Je n’en constate pas moins que, jusqu’à ce jour, et depuis des années, le “cyberterrorisme” relève surtout de la (cyber)propagande, et qu’il sert essentiellement à “nous” préparer à l’éventualité d’une “cyberguerre”, et donc à en financer les préparatifs et contre-mesures militaires, et policières.

D’autres, comme l’expert Bruce Schneier, sont plus mesurés : tout en reconnaissant l’emballement excessif autour du cyber, ils invitent à mettre l’emphase sur la cybersécurité menée par le civil, pensée en temps de paix, au détriment de la cyberguerre, qui serait par essence militaire :

We surely need to improve our cybersecurity. But words have meaning, and metaphors matter. There's a power struggle going on for control of our nation's cybersecurity strategy, and the NSA and DoD are winning. If we frame the debate in terms of war, if we accept the military's expansive cyberspace definition of "war," we feed our fears.

We reinforce the notion that we're helpless -- what person or organization can defend itself in a war? -- and others need to protect us. We invite the military to take over security, and to ignore the limits on power that often get jettisoned during wartime.

If, on the other hand, we use the more measured language of cybercrime, we change the debate. Crime fighting requires both resolve and resources, but it's done within the context of normal life. We willingly give our police extraordinary powers of investigation and arrest, but we temper these powers with a judicial system and legal protections for citizens.

Il s'agit donc de penser une "cyber-défense" permanente, couvrant l'ensemble des infrastructures et réactive en cas d'attaque, sans toutefois qu'elle soit uniquement militaire.

Le débat risque de rester vif dans les prochaines années, d’autant que comme nous l’avons déjà évoqué, le flou (proxy, false flag, astroturfing…) régnant sur l’origine des attaques dans le cyberespace et leur impact réel ne joue pas en faveur de la transparence, et pourrait favoriser l’emballement... ou la dissimulation. Il reste toutefois à espérer que les prophéties les plus pessimistes, encourageant la course aux cyberarmements défensifs et offensifs, ne deviennent pas autoréalisatrices.

Partager cet article :

Quelques ouvrages relatifs à la cyberguerre

Pour approfondir la réflexion en cours sur l'Alliance Géostratégique, voici une petite liste d'ouvrage relatifs à la cyberguerre ou à des thématiques connexes (sécurité dans le cyberespace, guerre de l'information, guerre électronique...).

Il ne s'agit bien évidemment pas d'une bibliographie exhaustive, d'ailleurs je vous remercie d'avance pour toutes vos suggestions additionnelles.

***

Cyberguerre et guerre de l'information. Stratégie, règles et enjeux

Ouvrage collectif, sous la direction de Daniel Ventre, Lavoisier, 2010

Une exploration du concept de cyberguerre et des rapports de force dans le cyberespace. A signaler, l'article "Intelligence, the first defence ? La guerre de l'information dans son rapport à la surprise stratégique" de Jospeh Henrotin

La guerre de l'information

Daniel Ventre, Lavoisier, 2007

Une analyse en profondeur du concept de guerre de l'information, avec des descriptions très poussées de la situation aux États-Unis, en Chine, en Inde, en Russie, au Japon et à Singapour.

La cybersécurité

Nicolas Arpagian, PUF, 2010

Une introduction dans le format "Que sais-je ?" aux tenants et aboutissants de la cybersécurité, avec parfois quelques raccourcis (notamment sur les aspects techniques) et un manque de liant entre les différents chapitres

La cyberguerre. La guerre numérique a commencé

Nicolas Arpagian, Vuibert, 2009

Une analyse des récents évènements en Estonie, en Géorgie ou en Chine ainsi que des différentes parties prenantes étatiques, internationales ou privées qui se disputent la gouvernance du cyberespace, depuis l'apparition d'ARPANET en 1969.

Surveillance électronique planétaire

Duncan Campbell, Allia, 2003

Le rapport rédigé pour le Parlement européen sur Echelon, le système de surveillance électronique mis en place par les Etats-Unis, permettant d'espionner conversations téléphoniques, fax ou emails à l'échelle du globe.

War 2.0. Irregular Warfare in the Information Age

Thomas Rid et Marc Hecker, Praeger Security International, 2009

Le titre est autoporteur, mais voir également l'article de Stéphane Taillat consacré à l'ouvrage sur Alliance Géostratégique (L'internet social et la guerre 2.0).

Cyberwar: the next threat to national security and what to do about it

Richard A. Clarke, ECCO Press, 2010

Les cyberarmes sont légion, les USA sont vulnérables, le Pentagone est pénétré par des espions étrangers... un appel d'un expert américain au lancement du débat public sur les risques de cyberguerre.

Inside Cyber Warfare. Mapping the Cyber Underworld

Jeffrey Carr, O'Reilly, 2009

Des informations assez fouillées sur la cybercriminalité et notamment le marché aux logiciels malveillants, aux cyberdonnées volées, ou la géographie des pirates informatiques des Etats-Unis à la Russie. Ce livre décrit notamment le processus de développement d'un malware ou de planification d'une cyberattaque.

La France dans la guerre de l'information. Information, désinformation et géostratégie

Jacques Myard, L'Harmattan, 2006

Rapport parlementaire, principalement focalisé sur les stratégies de désinformation médiatique à l'ère de l'Internet (avec des gros morceaux de offline), développant notamment les exemples du Rwanda et des préparatifs et du début de l'opération Iraqi Freedom.

La guerre électronique. Maître des ondes, maître du monde...

Général Jean-Paul Sifre, Lavauzelle, 2005

Ouvrage posthume d'un des pionniers de la guerrélec en France. Assez technique, mais offrant un panorama assez complet du champ de bataille électromagnétique, complément essentiel du cyberespace.

Terroristes et Internet

Limore Yagil, Trait d'Union, 2002

Un essai assez intéressant, vu son âge (huit ans, soit une éternité dans le cyberespace), sur les enjeux et les dangers de la rencontre du terrorisme et du réseau des réseaux.

Halting State

Charles Stross, Orbit, 2008

Un roman, pas facile d'accès pour les non-initiés, qui fait le trait d'union parfait entre le thème du mois consacré aux stratégies dans le cyberespace et celui d'août sur les jeux stratégiques.

Partager cet article :

Quelques fondamentaux de la sécurité de l'information

Puisque le thème du mois d'octobre d'AGS est lié au cyberespace (Stratégies dans le cyberespace), quoi de plus normal, avant les développements sur la cyberstratégie, la dissuasion cybernétique ou la gouvernance de l'Internet que de commencer par quelques fondamentaux sur la sécurité de l'information ? Let's get back to basics!

Une information est une collection organisée de données qui a un sens et qui a donc une valeur (pas nécessairement pour tout le monde). Mon objectif est à la fois de m'assurer que je protège mon information, tout en tentant de compromettre celle de mes adversaires. Ceci est d'autant plus important en ce début de XXIème siècle alors que l'Internet représente un médium de plus en plus utilisé à l'échelle planétaire, et que parallèlement les forces armées s'appuient de façon croissante sur la quatrième dimension, la mise en réseau et l'échange d'informations.

Les trois (voire quatre) piliers de la sécurité de l'information

La sécurité de l'information repose sur trois piliers qui constituent le fameux acronyme anglophone CIA :

Confidentiality : l'accès à l'information n'est possible qu'aux personnes autorisées. Différents niveaux de confidentialité peuvent être définis, donnant des accès différentiés en fonction de la sensibilité de l'information. Il s'agit donc de protéger la lecture et la diffusion de l'information (coordonnées bancaires, informations personnelles, plan de bataille, liste d'agents infiltrés...).

Integrity : l'information ne doit pas être altérée par quelqu'un qui n'en a pas l'autorisation, volontairement ou accidentellement. Il s'agit donc de protéger l'écriture de l'information. L'intégrité doit être assurée d'un bout à l'autre de la chaîne, et ne concerne pas uniquement des attaques mais aussi les erreurs pouvant être commises par des opérateurs humains ou des dysfonctionnements d'origine matérielle/logicielle.

Availability (Disponibilité) : l'information doit être disponible et pouvoir être accessible pour les entités qui en ont besoin, au moment où elles en ont besoin. La disponibilité concerne à la fois les bases de stockage de l'information, les processeurs qui traitent l'information mais également l'ensemble du réseau qui la transmet. Il s'agit de lutter contre les interruptions de service, qu'elles soient causées par des évènements d'ordre

• physique : catastrophes naturelles, bombardements, coupures d'électricité, pannes diverses...

• numérique ou électromagnétique : attaques de type Déni de Service (DoS, usuellement par envoi de très nombreuses requêtes depuis des ordinateurs piratés qui saturent une machine et la rendent HS) ou brouillage

Il est clair, comme l'affaire Stuxnet l'a montré, que des actions offensives dans le cyberespace visant à corrompre l'intégrité du fonctionnement d'un logiciel peuvent mettre en péril la disponibilité d'un équipement industriel (ou autre) bien physique.

On peut également ajouter un quatrième élément, Accountability (Responsabilité), qui permet de tracer toutes les modifications de l'information et donc notamment d'assurer la non-répudiation (ne pas pouvoir nier avoir accompli une action). Un exemple trivial en est la signature : si un document porte ma signature, en principe j'aurai du mal à contester l'avoir émis. Le concept de signature électronique, s'appuyant sur la cryptographie, étend cette idée dans le cyberespace.

En synthèse, la sécurité doit pouvoir prévenir et faire face autant que possible non seulement à des attaques volontaires, mais également des accidents, des pannes et plus prosaïquement à des erreurs humaines.

Différents moyens permettent de contribuer à la sécurité de l'information

Le C peut être atteint à l'aide de

• dispositifs physiques : portes, cadenas, barrières, systèmes de surveillance, détecteurs de mouvement, gardiennage, coffres...

• cryptographie : consiste à protéger une information secrète au moyen de clés de chiffrement/déchiffrement, et répond à la cryptanalyse, dont l'objectif est de percer ses défenses

• pare-feus (permettant de laisser passer ou de bloquer les flux d'information et de découper un réseau en zones contingentées) et anti-virus, logiciels de supervision...

• maîtrise du spectre électromagnétique : cages de Faraday, compression des émissions, évasion de fréquence, protection TEMPEST

• évidemment, le respect de procédures et de bonnes pratiques par tous les maillons de la chaîne. On touche là à l'humain, probablement le maillon le plus incontrôlable de cette chaîne de confidentialité.

Court développement sur la cryptographie

La cryptographie permet à un émetteur de transformer un message lisible en un ensemble de données illisibles pour ceux qui n'ont pas l'autorisation (chiffrement), mais également, à l'autre bout de la chaîne, de retransformer un message pour que son récepteur puisse le lire (déchiffrement).

Pour simplifier à l'extrême, elle repose sur deux éléments : l'algorithme, qui est la méthode de transformation de l'information, et la clé, qui est un paramètre (mot, nombre...) donné en entrée du chiffrement et du déchiffrement. Le niveau de sécurité dépend de la complexité de l'algorithme et de la longueur de la clé. Sans rentrer dans les détails, il existe des méthodes dites

• symétriques : la clé est tenue secrète (partagée par l'émetteur et le récepteur) et est la même pour le chiffrement et le déchiffrement

• asymétriques : il existe deux clés, une pour le chiffrement et une autre pour le déchiffrement, la première étant publique, la deuxième secrète et uniquement connue pour le récepteur. Ces méthodes sont très largement utilisées dans le civil pour tout ce qui touche à l'authentification, notamment pour le commerce électronique et la distribution de certificats numériques.

La cryptographie est une discipline très ancienne, l'exemple le plus simple et le premier enseigné aux étudiants étant le code Jules César, utilisé par son créateur sur les champs de bataille dans l'Antiquité. L'algorithme est simple : il s'agit d'un simple décalage des lettres de l'alphabet, la clé étant l'amplitude du décalage. Par exemple, avec une clé de 2, A devient C et Z devient B.

Cette méthode permet d'exposer un concept très important de la sécurité de l'information : la péremption. Bien sûr, le code Jules César, qui sert à transmettre les ordres de mouvements, est extrêmement "trivial", et les ennemis de l'Empire Romain peuvent, avec un peu de jugeote et de travail, le casser. Mais l'important n'est pas là pour ses utilisateurs : il s'agit uniquement de s'assurer que l'adversaire ne puisse déchiffrer les messages à temps.

Aujourd'hui, la cryptographie est au coeur de la sécurisation de la plupart des télécommunications militaires et civiles (notamment grâce à l'essor d'Internet).

Concernant le I, la sécurité physique et la cryptographie peuvent également jouer un rôle : cette dernière permet notamment d'affirmer si un message a été altéré à réception, souvent grâce à des algorithmes asymétriques. Elle ne permet cependant pas de remédier à cette altération, ni de savoir d'où elle provient.

Dans le domaine des télécommunications, il existe également des méthodes de contrôle de l'intégrité des données échangées et de correction des erreurs.

Enfin, le A est assuré (plus ou moins bien) par des dispositifs de type redondance, mise en place de systèmes tolérants aux pannes (i.e. capables de continuer à fonctionner, éventuellement en mode dégradé, quand un ou plusieurs de leurs composants tombent en panne), une surveillance régulière des bases d'informations, l'utilisation de logiciels anti-virus, ou la mise en place de honey pots servant à leurrer les cyberattaquants, qui s'acharnent sur eux pendant que les systèmes utiles continuent tranquillement à fonctionner...

De l'authentification

L'accès à l'information protégée se fait par des processus d'authentification, c'est-à-dire de vérification de l'identité (contribuant à la confidentialité, l'intégrité, la disponibilité et la non-répudiation). Celle-ci peut reposer sur trois grands types d'éléments :

• ce que je possède : une clé, un badge...

• ce que je suis : l'empreinte de mon pouce ou de ma rétine, ma voix ou les veines de ma main (biométrie)

• ce que je sais : un mot de passe, un code PIN

Souvent plusieurs de ces éléments sont utilisés en conjonction : un code PIN n'est utile que si on l'applique à la puce adéquate. Pour des exemples plus exotiques, se référer à n'importe quel film d'espionnage hollywoodien.

Quelques remarques en vrac pour finir

• Attention à ce que le dispositif de sécurisation ne soit pas plus coûteux que les conséquences les plus dramatiques de la non-confidentialité, non-intégrité ou indisponibilité

• Une chaîne est aussi forte que le plus faible de ses maillons : ce n'est pas la peine de construire une porte blindée avec des verrous de sécurité si les murs autour sont épais comme du papier, pour parler de façon imagée

• Le maillon humain est souvent le plus faible : inutile d'imaginer des dispositifs ultra sophistiqués si les hommes et femmes ne respectent pas les règles les plus élémentaires de discrétion et de prudence (sans parler de la corruption et des agents doubles). On se rappelle notamment de la mise à genou de l'Intranet de la Marine à cause d'une clé USB infectée (Virus informatique et négligence humaine au menu de la Marine) ou du haut responsable de Scotland Yard photographié avec des documents confidentiels sous le bras (The Weakest Link puissance 100)

• D'une manière générale, il est illusoire de penser que le simple fait de cacher l'existence d'un secret (la dissimulation) suffit à le protéger. Autrement dit, la stéganographie pure (i.e. sans complication de "type cryptographique") est à éviter en général.

• Parfois, il n'est pas nécessaire d'avoir accès au contenu exact d'un message (et donc de le décrypter) pour en tirer des informations. Par exemple, le simple fait de détecter un signal et de localiser sa provenance peut être signifiant : ainsi, pendant la Première Guerre Mondiale, l'écoute de l'activité électromagnétique des stations Zeppelin en Allemagne ont permis de prévoir les bombardements à venir sur Paris. Autre exemple, les "parasites" d'un signal émis depuis un appareil volant permettent de savoir s'il s'agit d'un avion ou d'un hélicoptère.

• En guise de conclusion : il n'existe pas de système inviolable, infalsifiable et éternellement fiable

***

Courte bibliographie :

• La sécurité des systèmes d'information, un enjeu majeur pour la France (Rapport parlementaire)

• Computer Security de Dieter Gollmann : notamment pour sa première partie, qui reprend tous les fondamentaux exposés ci-dessus en profondeur (et développe en particulier la notion de niveaux de sécurité), sans trop rentrer dans les détails techniques

• La cryptographie décryptée de Doris Baker et H.X. Mel : pour s'initier aux principaux concepts liés à la cryptographie, en retraçant en particulier de façon synthétique l'historique de la discipline

Partager cet article :

Cyberguerre, un désaccord dans les termes

J'ai évoqué récemment (Nouvel Ordre Mondial Cybernétique et Clickskrieg) la volonté d'Hamadoun Touré, secrétaire général de l'Union International des Télécommunications, de mettre en oeuvre des traités internationaux dans le domaine de la cyberguerre (une réalité restant encore à observer), comme il peut en exister autour du nucléaire, des armes chimiques ou bactériologiques.

Et il ne faut pas croire que les pays industrialisés occidentaux sont à la pointe des demandes de régulation internationale. En effet, le champion en la matière est, de façon assez surprenante, la Russie, soupçonnée par ailleurs de différentes attaques, notamment celle contre l'Estonie en 2007. Depuis plus de 10 ans, l'ancien empire soviétique pousse auprès de l'ONU une résolution visant au contrôle des armes cybernétiques. Des pays comme la Chine, l'Inde et le Brésil sont également en faveur d'un renforcement du rôle des états dans la gouvernance d'Internet, ainsi que d'un partage des responsabilités ; et donc de l'attribution explicite de souveraineté qui en découle.

Cependant, il existe un vrai fossé sur le vocabulaire et le périmètre de ce que l'on appellle une "arme cybernétique" ou la "cyberguerre". En effet, si pour les Occidentaux la cyberguerre recouvre principalement ce qui va porter atteinte aux infrastructures (énergie, télécoms / médias, secteur financier, transports, systèmes militaires...) d'un pays par le biais des réseaux informatiques (un peu comme ce qui est arrivé à l'Iran), au travers d'attaques malveillantes, la Russie, pour ne citer qu'elle, voit beaucoup plus les choses en termes politiques et sociaux.

C'est donc logiquement qu'elle promeut plutôt le concept général de "guerre de l'information", amenant le sujet sur le terrain de la "guerre des idées" où sévit le "terrorisme informationnel". Lors de la conférence sur le désarmement de l'ONU en avril 2008, un représentant du ministère de la défense russe a ainsi exprimé le fait qu'il fallait qualifier d'agression la promotion d'idées sur Internet par un acteur étatique visant à déstabiliser un autre État. A l'occasion du sommet de l'OCS, toujours en 2008, un accord signé entre les états membres érige au rang de menace pour la sécurité nationale la diffusion d'informations heurtant la sphère culturelle, morale ou spirituelle d'un pays.

Un plaidoyer contre l'ingérence, fut-elle idéologique, dont les USA sont coutumiers ou accusés de l'être. Et qui rappelle l'époque de l'URSS et de Radio Free Europe. Mais également ce qui existe dans le domaine de la concurrence entre entreprises, régie par un code de bonne conduite qui condamne le dénigrement des petits copains.

Ceci dit, quand on voit que des pays comme la Chine ou la Russie sont eux-mêmes des pros de l'astroturfing (50 Cent Army contre Netizens), on peut se demander comment et qui sera en mesure de démêler d'éventuels plats de spaghettis des cyber proxy wars ! Et inutile de rappeler que le cyberespace est très propice au false flag.

Voilà qui pousse la question de la "cyberpaix" vers le contrôle des contenus et des opinions, et non pas seulement sur le piratage ou le déni de service. Ce qui en un sens est naturel, car la "guerre de l'information" (particulièrement prégnante dans le champ actuel des guerres irrégulières, mais également quand les nationalismes sont exacerbés) trouve évidemment sur la toile un champ de bataille privilégié. Officiellement, les États-Unis sont attachés à la structure ouverte de l'Internet. Mais ils en tiennent une partie des rênes. Et puis la NSA n'a-t-elle pas affirmé récemment qu'en tant qu'Etat ils se devaient de s'assurer de la sécurité du cyberespace (Les industriels de l'armement se tournent vers la cyberguerre) ? En tout état de cause, de telles résolutions impliqueraient des changements drastiques dans la gouvernance du réseau des réseaux, aujourd'hui très privatisé et très US-centric.

Partager cet article :

Nouvel Ordre Mondial Cybernétique et Clickskrieg

C'est Hamadoun Touré, le secrétaire général de l'Union Internationale des Télécommunications (UIT), dépendante de l'ONU qui le dit : nous sommes entrés dans un nouvel ordre mondial. Un ordre mondial dans lequel des Etats et des parties prenantes privées s'affrontent à grande échelle non pas sur un champ de bataille réel (ça c'est pas vraiment nouveau), mais dans le cyberespace :

When I see Google and China fight, not China and the U.S., but a company and a country, it’s a new world order
Something new is happening around us. What do we do about it?

Bien sûr, le fait que les grandes entreprises (elles-mêmes souvent soutenues par un ou plusieurs Etats) et les Etats rentrent en conflit n'est pas intrinsèquement dû à l'existence d'Internet, mais il est évident que celui-ci joue un sérieux tour aux garde-frontières, quand ce qu'il met à disposition d'un internaute lambda contredit directement la législation (plus ou moins légitime) du pays où se trouve ledit internaute.



Hamadoun Touré est inquiet, et il le fait savoir. Il a ainsi déclaré qu'une cyberguerre serait pire qu'un tsunami. Le seul remède pour lui est la mise en place de traités internationaux de cybersécurité. Il met en avant le fait que malgré les intérêts divergents et les escarmouches (voire plus !) qui ont déjà eu lieu, personne n'est vraiment en sécurité et tout le monde pourrait subir une attaque de grande ampleur. Il faut donc définir un cadre légal ainsi que des plans de "continuité" intercontinentaux, précisant également les rôles et responsabilités de chacun dans le cyberespace.

Il est vrai qu'on peut se poser des questions sur la validité des traités internationaux existants dans le monde numérique : Charte des Nations Unies, Traité de l'OTAN, voire Convention de Genève...

Et malgré les déclarations assez unilatérales des Etats-Unis (voir Les industriels de l'armement se tournent vers la cyberguerre), Hamadoun Touré est catégorique :

There is no online superpower

Il convient ici de rappeler que face au budget annuel de la défense américain de près de 700 milliards de dollars, des analystes estiment qu'il suffirait d'environ 50 millions de dollars et quelques centaines de personnes travaillant pendant deux ans pour paralyser les infrastructures de la première puissance mondiale. De quoi reléguer la menace du terrorisme islamiste au rang de pétard mouillé ?

Certes, d'autres Etats (Russie et Chine pour ne pas les nommer) sont fortement suspectés d'avoir mené et de mener des opérations offensives à l'étranger. Nous ne citerons que le fameux GhostNet chinois (La Chine au coeur d'une affaire de cyberespionnage de masse ?) ou la Clickskrieg qui a quaisment mis à genou l'économie estonienne pendant une courte période en 2007. Mais évidemment, il est assez difficile de remonter jusqu'aux réels instigateurs de telles forfaitures (la question "qui a commencé ?" étant encore moins soluble que dans la "réalité"), voire de faire le lien entre acteurs privés agissant de leur propre chef et donneurs d'ordres gouvernementaux. Et tout le monde en joue. A la fois les coupables, ravis de ne pas se faire prendre, mais également les Etats visés, qui ne souhaitent pas forcément trop faire monter la pression diplomatico-économique (voire militaire), à tort ou à raison. On peut aussi voir ce flou comme une petite soupape de sécurité permettant justement d'éviter des conflits beaucoup plus "physiques".

A côté de ces assauts massifs, Internet se révèle comme un champ d'expression privilégié des opérations de false flag destinées à propager de fausses rumeurs et à exacerber les tensions de toutes sortes (éconmiques, sociales, diplomatiques). Bien sûr, pour que cela devienne une arme décisive, il faudra un peu plus de subtilité que les hackers du compte Twitter du Quai d'Orsay la semaine dernière.

Evidemment, il faut savoir faire la part des choses :

• éviter de propager des peurs irrationnelles (à la "bug de l'An 2000")
• se garder de flatter les élans xénophobes et nationalistes toujours prêts à s'enflammer
  
• ne pas suivre sans réfléchir les directions que veulent faire prendre les industriels de l'armement et de la sécurité (mais également d'autres, dualités des TIC aidant) à leurs clients étatiques

Partager cet article :