Cyber Dissuasion

N 03/2012
recherches & documents

mars 2012
Cyber Dissuasion
Bruno gruselle Matre de recherche la Fondation pour la Recherche Stratgique Bruno tertrais Matre de recherche la Fondation pour la Recherche Stratgique alain esterle Chercheur associ la Fondation pour la Recherche Stratgique
w w w
f r s t r a t e g i e
o r g
C YBER D ISSUASION R ECHERCHES & D OCUMENTS
03/2012
dit et diffus par la Fondation pour la Recherche Stratgique 4 bis rue des Ptures 75016 PARIS ISSN : 1966-5156 ISBN : 978-2-911101-68-7 EAN : 9782911101687
W W W . F R S T R AT E G I E . O R G
SIRET 394 095 533 00045
4 B I S R U E D E S P T U R E S
CODE APE 7220Z
7 5 0 1 6 P AR I S
T L . 0 1 4 3 1 3 7 7 7 7 F AX 0 1 4 3 1 3 7 7 7 8
TVA FR74 394 095 533
FONDATION RECONNUE D'UTILIT PUBLIQUE DCRET DU 26 FVRIER 1993
SOMMAIRE
INTRODUCTION ....................................................................................................................... 5 LES VULNERABILITES DE LESPACE NUMERIQUE ET LES RISQUES ASSOCIES SONT DEJA IMPORTANTS ET DEVRAIENT SAGGRAVER A LHORIZON 2020 ................................................... 9 Il est ncessaire dtablir le degr de gravit des risques numriques, les vulnrabilits exploitables et les perspectives de leur dveloppement ................. 9 Les menaces pesant sur lespace numrique ont dores et dj des consquences de scurit importantes ...........................................................10 Les acteurs malveillants de lespace numrique sont nombreux et leurs motivations appartiennent des ensembles diversifis ........................................14 Plusieurs facteurs accroissent la vulnrabilit des outils ncessaires au fonctionnement de lespace numrique ..................................................................15 La dpendance grandissante des chanes dapprovisionnement envers des solutions dorigine asiatique cre des vulnrabilits spcifiques.........................15 Plusieurs pays mergents portent une attention spcifique aux questions dactions offensives dans lespace numrique ....................................................17 Les risques internes aux organisations constituent une source proccupante de vulnrabilit numrique malgr une prise de conscience gnrale des risques associs aux outils informatiques...........................................................19 La stabilit macroscopique actuelle du rseau et des systmes informatiques ne semble pas devoir tre remise en cause .......................................................20 Lvolution future des pratiques numriques et des outils associs est susceptible de modifier les enjeux et les vulnrabilits dans lespace numrique ..................................................................................................................21 Convergence des protocoles de traitement des flux de donnes et des communications vers la norme IP (Internet Protocole) .......................................21 Le dveloppement du nomadisme et de la cyber-mobilit devrait continuer sacclrer.......................................................................................................23 LInternet des objets (IoT) devrait progressivement devenir une ralit ..............24 Linformatique en nuage devrait modifier profondment les habitudes de gestion des donnes et dutilisation de logiciels ............................................28 Anonymisation des donnes, des changes et des traces laisses sur Internet .........................................................................................................33
F O N D A T I O N pour la R E C H E R C H E S T R A T G I Q U E
03/2012
DEFINITION DUN CONCEPT ET DUNE DOCTRINE EN MATIERE DE DISSUASION NUMERIQUE, COMPARAISON AVEC LA DISSUASION NUCLEAIRE ET DIFFICULTES SPECIFIQUES ........................37 Objectifs et structure gnrale dune dissuasion numrique ................................37 Dfinitions relatives au cyberespace et spcificits de cet espace ......................39 Dfinitions ..........................................................................................................39 Spcificits du cyberespace ...............................................................................41 Quelles leons peut-on tirer de lexercice de la dissuasion dans le domaine nuclaire ? .................................................................................................................43 Applicabilit des concepts de dissuasion nuclaire ............................................43 Obstacles et difficults .......................................................................................44 Rflexions sur les conditions dapplication dune dissuasion numrique ...........47 Plusieurs lments rendent difficile lexercice de la cyber-dfense.....................47 Rflexions politiques et stratgiques sur la mise en place dun concept de dissuasion dans le milieu numrique .............................................................51 Lattribution de lacte reste au cur de lapplication du concept de dissuasion dans lespace numrique ..................................................................58 Lattribution partielle dune attaque numrique est un moyen envisageable pour exercer une forme de dissuasion sur certains acteurs ................................60 bauche dune doctrine en matire de dissuasion numrique : difficults technico-oprationnelles et comparaisons internationales ...................................61 lments dorganisation dune capacit nationale initiale de cyber-dissuasion finalit dfensive .............................................................................................63 lments darchitecture pour une future capacit nationale de cyber-dissuasion (volet offensif) .........................................................................65 LES MOYENS EXISTANTS POURRAIENT PERMETTRE DETABLIR LES PREMISSES DUNE CYBERDISSUASION .................................................................................................................69 De nombreux outils, systmes, procdures et moyens ont t mis en place dans le domaine dfensif ..........................................................................69 Les tats-Unis ont progress vers une coordination des actions de cyberdfense et de cyber-scurit mme si la mise en place dune stratgie nationale cohrente de protection et de dissuasion reste encore lointaine .........81 CONCLUSION .........................................................................................................................87 ANNEXE 1 PRINCIPALES ATTAQUES NUMERIQUES RECENSEES DEPUIS 2007 .............................91 ANNEXE 2 BIBLIOGRAPHIE SOMMAIRE ...................................................................................95
Introduction
Dans un monde o prs du tiers des habitants ont accs internet et dans lequel la plupart des entreprises, des organisations et des tats dpendent dj largement des outils informatiques et des moyens de communication pour leur fonctionnement quotidien, la question de la scurit numrique est devenue une proccupation stratgique pour les tats comme pour les entreprises et, dans une moindre mesure, les citoyens. Certains incidents particulirement mdiatiss comme la paralysie dune partie des systmes informatiques estoniens en 2007, les vols de donnes effectus sur des serveurs du Pentagone cette mme anne, mais galement les dgts rels ou supposs engendrs par le ver Stuxnet en 2010 sur des machines du programme nuclaire iranien sont venus, au cours des dernires annes, renforcer lide que les cyber-attaques devaient tre places au rang des menaces majeures pour la scurit des tats, des socits et de lconomie globale. Ainsi, les responsables policiers britanniques estiment quen 2007 la seule fraude en ligne gnrait au niveau mondial environ 52 milliards de livres pour les criminels1. Si les donnes fournies sur limpact financier global de la criminalit numrique sont difficiles vrifier la fois sagissant destimations fournies par les principaux oprateurs du secteur de la scurit numrique mais galement dans la mesure o (1) les victimes omettent souvent de dclarer leur sinistre et (2) les outils statistiques des services de police savrent gnralement peu adapts2 , la dpendance du secteur priv envers le numrique semble tre tablie, ainsi que le montre les nombreuses enqutes menes auprs des principales entreprises aux niveaux national comme international. Les estimations globales des pertes gnres par le crime informatique et les vols de donnes illustrent toutefois lordre de grandeur de limpact sur lconomie des risques numriques. Ainsi, la socit de logiciels de scurit McAfee estimait en 2009 le cot pour lEconomie mondiale du vol de donnes incluant le dtournement de proprit intellectuelle 1 000 milliards de dollars par an3. Dans son tude annuelle des activits criminelles caractre numrique dans le monde, la socit Norton estime que celles-ci causent des pertes slevant 338 milliards de dollars dont 114 seraient obtenus de faon directe4. Le chiffre avanc par McAfee provient dune enqute mene auprs de plusieurs centaines dentreprises caractre transnational et implantes aux tats-Unis, en Europe et en Asie. Celle-ci conclut que chaque multinationale perd en moyenne, travers le vol
Association of Chief Police Officer of England, Wales and Northern Ireland, ACPO e-Crime Strategy , August 2009, p. 2. Thierry Breton, Chantier sur la lutte contre la cybercriminalit , rapport remis monsieur le ministre de lIntrieur, de la scurit intrieure et des liberts locales, 25 fvrier 2005, p. 6. http://information-security-resources.com/2009/02/14/businesses-lose-1-trillion-to-cyber-crime/ Norton, Global cybercrime costs USD 114 billion annually study , September 8th, 2011.
3 4
03/2012
de donnes, lquivalent de 4,6 millions de dollars par an5. Ce qui reprsente un montant comparable au chiffre daffaires mondial du crime organis6 et qui savre suprieur celui du trafic de stupfiants tel quil est estim par lOffice des Nations Unies contre la Drogue et le Crime (UNODC)7. Au-del des incidents ayant eu un impact sur lconomie mondiale en entranant des pertes, notamment financires, qui savrent colossales, les tats se montrent de plus en plus proccups par les risques de voir des attaques numriques atteindre leurs intrts vitaux. Aux tats-Unis, les intrusions sur les rseaux classifis du Pentagone en 20088 ou encore les actions despionnage conduites contre des programmes majeurs darmement, y compris le Joint Strike Fighter, ou contre des gouvernements allis ont montr aux responsables amricains la gravit du risque et les possibilits de voir exploites des vulnrabilits au sein de systmes considrs comme vitaux pour les oprations militaires. Globalement, les services amricains considrent que les rseaux gouvernementaux et les systmes critiques font lobjet de plus de 1,8 milliard dattaques mensuelles de sophistication plus ou moins importante9. En 2011, les rvlations concernant la conduite par la Chine dune campagne despionnage lchelle mondiale ont nouveau illustr aprs la mise jour du rseau Ghostnet opr par lArme Populaire de Libration la ralit des craintes amricaines. Lampleur de la campagne chinoise et la varit des cibles quil sagisse dentreprises, de gouvernements ou dorganisations internationales ainsi que les moyens qui y ont t consacrs en font en effet une opration sans prcdent en termes de quantit dinformation obtenue10. Or, face aux risques informatiques connus, fonder sa scurit numrique sur des solutions uniquement dfensives savre de plus en plus inadapt. Dune part, lasymtrie intrinsque entre lefficience des armes numriques et les moyens de protection et de dfense savre fournir aux agresseurs un avantage de plus en plus important alors que les investissements de scurit ne font que crotre pour traiter un spectre finalement limit de menaces. Dautre part, les agresseurs potentiels ne se trouvent pas soumis des risques suffisants pour les dissuader de conduire des actes dont les consquences sont susceptibles dtre de plus en plus significatives. Au contraire, les vulnrabilits existantes et la sensation dimpunit semblent inciter les acteurs malveillants multiplier leurs oprations des chelles et avec des objectifs souvent trs ambitieux.
McAfee, Unsecured Economies: protecting vital information, The first global study highlighting the vulnerability of the worlds intellectual property and sensitive information , 21 January 2009, p. 3.
6
United Nations Office on Drugs and Crime, Estimating illicit financial flows resulting from drug trafficking and other transnational organized crimes , October 2011, p. 7. Le rapport de lUNODC estime que largent gnr par les activits criminelles transnationales reprsente 1 600 milliards de dollars par an soit 2,7 % du PIB mondial. http://www.unodc.org/ William Lynn III, Defending a New Domain , Foreign Affairs, Sep/Oct2010, Vol. 89, Issue 5.
7 8 9
Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information Age , June 2011, p. 7. Dmitri Alperovitch, Revealed: Operation Shady RAT , McAfee, August 2011, p. 2.
10
03/2012
En ltat, lexploitation grandissante des failles des systmes informatiques et des rseaux numriques et laggravation des consquences qui peuvent en dcouler quil sagisse dinfrastructures critiques, militaires ou gouvernementales conduisent sinterroger sur le fait que certaines actions malveillantes peuvent sapparenter des actes de guerre et ds lors ncessiter des reprsailles, ces dernires pouvant tre numriques voire mme physiques. De fait, dans le rcent document de stratgie internationale pour le cyberespace, la Maison Blanche a soulign le droit lautodfense face des actions se droulant dans le domaine numrique11. Ces lments conduisent sinterroger sur la possibilit de mettre en place, dans le contexte plus large dune rvision des stratgies de cyber-dfense, les outils, les moyens et les organisations dont la finalit serait de dissuader les agresseurs potentiels de causer des disruptions massives aux socits numriques. Lobjectif devrait tre finalement de passer dune stratgie de dfense statique fonde sur des lignes Maginot numriques pour crer une approche comprenant un spectre plus large de solutions de scurit. Ainsi, de nombreux pays ont annonc plus ou moins ouvertement leur volont de faire voluer leurs capacits de cyber-dfense (en se dotant de commandement ad hoc et de moyens de riposte), afin de rpondre aux attaques, do quelles viennent, qui pourraient menaces les infrastructures indispensables au bon fonctionnement de leurs secteurs dactivit dimportance vitale. Parmi les volutions envisageables, la possibilit de conduire des oprations offensives contre des personnes ou des organisations susceptibles de commettre des actions malveillantes mrite donc dtre explore. Il sagirait en particulier de faire peser sur les attaquants potentiels la menace de reprsailles suffisamment significatives pour influer sur leur calcul stratgique et ainsi peut tre les dissuader dengager les actions les plus destructrices. Llaboration dune telle stratgie de cyber-dissuasion sinscrit en dfinitive dans le besoin de redfinir les stratgies des pays occidentaux en matire de scurit numrique. Elle passe donc par une rflexion sur les moyens qui doivent tre dvelopps pour rpondre aux enjeux de scurit actuels et futurs dans le domaine cyber. Elle ncessite galement de rebtir la philosophie qui sous-tend les approches des problmatiques de scurit numrique de faon notamment rpondre au besoin de coordination oprationnelle entre les diverses parties prenantes : acteurs privs, administrations, forces de scurit et public au sens large. Cette tude propose ainsi des pistes permettant de dfinir une stratgie de cyberdissuasion en sintressant la fois aux aspects doctrinaux mais galement aux problmatiques fonctionnelles, organisationnelles et techniques. Dans ce cadre, elle vise prciser les outils qui pourraient tre utiliss pour permettre le fonctionnement dun systme de cyber-dissuasion.
White House, International Strategy for Cyberspace Prosperity, Security and Openness in a Networked World , May 2011, p. 10.
11
Les vulnrabilits de lespace numrique et les risques associs sont dj importants et devraient saggraver lhorizon 2020
Il est ncessaire dtablir le degr de gravit des risques numriques, les vulnrabilits exploitables et les perspectives de leur dveloppement Le degr de dpendance de notre socit en termes conomiques, sociaux ou de scurit envers les outils informatiques et de communication et, singulirement, envers internet en tant que fdrateur des solutions numriques et comme colonne vertbrale dchange entre les divers objets connects et les personnes physiques ou morales, est dores et dj important et il va aller en augmentant. Mme si les problmatiques de scurit sont prises en compte dans le dveloppement des futurs systmes et solutions numriques et dans celui de lInternet du futur, ces derniers resteront vulnrables face des acteurs malveillants cherchant exploiter les failles de ces outils complexes pour leur bnfice, pour neutraliser durablement des processus ou des oprations, pour drober des donnes ou encore, pour causer des dgts aux personnes ou aux biens. Si lon considre souvent que les attaques informatiques sont avant tout un risque pour le secteur priv dans la mesure o les services ou les moyens de ltat sont finalement peu attaqus en comparaison des acteurs privs cette logique cesse dtre applicable quand lon considre la multitude de rseaux et moyens vitaux oprs par des acteurs non tatiques (eau, lectricit, transports) ou encore le cot pour lconomie des activits criminelles dans le domaine numrique12. Ainsi, si les risques numriques nont pas forcment de consquences existentielles pour le pays, ils sont toutefois de nature crer des perturbations graves qui peuvent tre ponctuelles ou davantage discrtes/distribues dans le temps. A plus long terme, avec le dveloppement de lInternet des objets et la monte en puissance du cloud computing et des nouveaux usages dInternet par exemple, certains actes malveillants peuvent venir menacer la socit de faon plus gnrale en affectant de manire simultane une part plus importante de la population ou des aspects plus vitaux du fonctionnement de la Nation. Parmi les intrts qui pourraient tre couverts par une posture de cyber-dissuasion, il faudrait vraisemblablement inclure : Les moyens dinfrastructure et les applications critiques pour le fonctionnement dInternet : la fiabilit du rseau mondial au niveau national, dj ncessaire aujourdhui, devrait devenir indispensable moyen et long termes au fur et mesure de lintgration de nouvelles applications ; au moins court terme, lInternet des objets et linformatique en nuage. Les systmes informatiques permettant le fonctionnement, la maintenance et la gestion des infrastructures critiques du pays : grille lectrique (distribution, transport, gestion), rseaux de transport de personne et de biens, rseaux de distribution
12
Eric Sterner, Retaliatory Deterrence in Cyberspace , Strategic Studies Quarterly, Spring 2011, p. 64.
03/2012
de biens de premire ncessit (en particulier eau), tlcommunications gouvernementales (y compris les systmes de commandements, de communication et de contrle vocation militaire), etc. La scurit, la protection et la rsilience de ces systmes sont dores et dj considres par les instances nationales de planification de scurit et de dfense comme un impratif. Certaines donnes ou informations dont la divulgation ou lutilisation seraient de nature compromettre la scurit de nos ressortissants, celle de nos forces ou du territoire national. Sur ce point, il convient dtre extrmement prudent sur la nature des informations dont le pillage serait couvert par la manuvre de dissuasion. En effet, le vol de donnes savre tre lun des crimes les plus banals dans le domaine numrique. Les menaces pesant sur lespace numrique ont dores et dj des consquences de scurit importantes Pourtant, force est de constater que les risques associs lemploi dInternet naffectent en rien son taux de croissance. Laccroissement simultan des vulnrabilits et des menaces est analys par les autorits responsables des politiques de cyberscurit et les grandes entreprises fournisseuses doutils et services de scurit. Tous les systmes dchanges dinformations lectroniques sont vulnrables et ils sont soumis des attaques partir du moment o leur march se dveloppe : les logiciels malveillants se diversifient et un nouveau march des outils dattaques comme par exemple, la location de rseau dordinateurs zombis se dveloppe pour exploiter les failles dtectes de ce systme.
Figure 1 : Croissance du nombre dusagers dInternet (source : Internet World Stats)
10
03/2012
La figure suivante offre un bilan graphique rcent du paysage des cyber-menaces. Il apparat clairement que lensemble des menaces connat un dveloppement significatif qui correspond a priori avec laccroissement du degr de pntration des technologies de linformation au niveau global. Le cot des incidents et attaques affectant les systmes dinformation est bien sr difficile valuer, faute dune mthodologie uniforme et du fait dune forte incertitude sur le taux des incidents dclars par rapport aux incidents reconnus. Il existe aussi des attaques qui passent inaperues ou qui ne sont pas dtectes ou identifies comme telle par ngligence ou du fait de labsence de comptences scurit au sein de lorganisation concerne. Il est donc impossible dtablir une valeur absolue des pertes financires rsultant des cyber-attaques, mme si lestimation la plus couramment admise est que le cot des dommages affectant les systmes dinformation est comparable au chiffre daffaires mondial du crime organis13 et vraisemblablement du mme ordre de grandeur, comme nous lavons vu, que les bnfices provenant du trafic de stupfiants.
13
http://www.fbi.gov/about-us/investigate/organizedcrime/overview
11
03/2012
Figure 2 : Les principales menaces en 2010 en chiffres (source : Symantec)
12
03/2012
Il est nanmoins intressant de suivre lvolution dans le temps des pertes financires associes un mme corpus. Les plaintes dposes aux tats-Unis et ayant conduit une poursuite judicaire fournissent, dans cette perspective, des donnes utiles. Elles suggrent en effet une croissance dun ordre de grandeur par dcennie, grosso modo comparable au taux de croissance de la pntration mondial dInternet.
Figure 3 : Yearly Dollar Loss (in millions) of Referred Complaints in the US (source : Internet Crime Complaint Center 2009 Report14)
A la lumire des donnes disponibles, il existe donc apparemment une corrlation entre la monte en puissance des usages des technologies de linformation, en particulier dInternet, laccroissement des actes malveillants et les pertes financires associes. En creux, cette corrlation suggre que les bnfices conomiques, sociaux, culturels... qui sont tirs de lutilisation grandissante des systmes numriques sont considrs par les utilisateurs comme suprieurs aux pertes causes par les risques et vulnrabilits qui leur sont intrinsquement lis. Ce constat amne finalement sinterroger sur le besoin de mettre en place une dissuasion numrique. Comme nous lavons voqu, la volont affiche de gouvernements de plus en plus nombreux de dvelopper des capacits tatiques offensives cre les conditions dun changement profond du niveau (et de la nature) de la menace. Cest bien ce problme spcifique et nouveau qui appelle une rponse sous la forme de llaboration dun dialogue dissuasif la fois avec les acteurs tatiques mais, ventuellement, avec les groupes ou les personnes qui commettent pour leur propre profit ou, ventuellement, au profit dtats tiers, des actes numriques malveillants.
14
http://www.ic3.gov/media/annualreports.aspx
13
03/2012
Les acteurs malveillants de lespace numrique sont nombreux et leurs motivations appartiennent des ensembles diversifis On peut distinguer grossirement trois catgories dacteurs qui dans le domaine numrique exploitent les failles et les vulnrabilits des systmes pour en tirer un profit, crer des effets nfastes pour les utilisateurs ou, dans certains cas, faire valoir leur position ou leur point de vue. Aux cyber-attaquants classiquement rpartis en fonction de leurs motivations (performance technique, financement, idologie, pression sur autrui), il convient maintenant de rajouter le personnel militaire entran pour pouvoir mener des actions offensives dans le cyberespace.
Encadr 1 : Catgorisation des acteurs Les cyber-activistes utilisent internet pour faire valoir leurs positions idologiques quelles soient politiques, religieuses ou thiques. Leurs modes daction restent souvent toute fait lgaux (blogs, forums publics ou privs...), mais peuvent aussi inclure des campagnes de dnonciation utilisant des moyens illgaux (dfiguration de sites, dnis de services). Depuis 2010, Wikileaks a dvelopp un nouveau mode dintervention avec la mise en ligne systmatique de documents protgs, voire classifis, et le groupe Anonymous a engag des campagnes de hacking de sites officiels ; Les cybercriminels exploitent les rseaux et les systmes informatiques pour en tirer un gain financier direct ou indirect : vols de donnes, espionnage industriel, sabotage, contrefaon de matriel lectronique ou de logiciels15. Le dveloppement de ce type dactivit donne lieu une division du travail avec des mcanismes bien rods de blanchiment dargent16 ; Les cyber-terroristes utilisent le rseau pour recruter, prparer des actions spcifiques ou encore communiquer des fins oprationnelles et ceci de faon relativement discrte, mme si on ne peut carter la possibilit, non encore avre, de les voir viser les outils informatiques des entreprises afin, par exemple, de mener une action de sabotage avec des effets de grande ampleur (systme financier, rseaux critiques/vitaux ; Les cyber-guerriers sont les membres des services mis en place par des tats pour conduire des actions offensives (espionnage, sabotage, neutralisation de systmes informatiques) contre des cibles dsignes par leur gouvernement mais qui travailleraient galement de faon continue espionner la fois les acteurs publics et privs pour obtenir des informations et des savoir-faire protgs par le secret.
15 16
Club de la Scurit de lInformation Franais, Panorama 2008 de la cybercriminalit , pp. 76-94. Voir notamment Les marchs noirs de la cybercriminalit , CEIS, juin 2011
14
03/2012
Cette classification doit cependant tre utilise avec prcaution car, dans la pratique, un vnement spcifique peut trs bien impliquer des groupes et acteurs de catgories et motivations diffrentes qui se trouvent mobiliss autour dun objectif commun. Comme de nombreux indices le laissent penser, ce fut, par exemple, le cas lors des attaques contre lEstonie et la Gorgie17 en 2007 et 2008. La collusion, en Chine et en Russie, entre des structures gouvernementales voire militaires et des groupes militants pour mener des attaques lencontre de pays trangers a t rcemment analyse en dtail par Alexandre Klimburg18. Plusieurs facteurs accroissent la vulnrabilit des outils ncessaires au fonctionnement de lespace numrique La dpendance grandissante des chanes dapprovisionnement envers des solutions dorigine asiatique cre des vulnrabilits spcifiques La fabrication doutils logiciels, de matriels et de composants informatiques est devenue depuis plusieurs annes la responsabilit quasi-exclusive de socits et dentreprises implantes en Asie. Il convient notamment de souligner que les plus grands fondeurs de semi-conducteurs sont chinois et tawanais19. Hors dun cadre soigneusement contrl de bout en bout c'est--dire depuis le composant de base, jusquau systme assembl et linstallation des logiciels , il ny a pas de mthode permettant de vrifier coup sr quun logiciel ou un composant na pas t pig au moment de son dveloppement. Or, sil existe, un tel pige pourra dans des conditions prdfinies dclencher une attaque, ventuellement de grande ampleur, sans que lauteur de lagression nest besoin de donner dinstructions complmentaires. En 2006, le FBI a dtect la production par la Chine de routeurs CISCO contrefaits et vendus sur le march amricain sous lappellation CISCO. Outre les consquences de la fraude conomique, cet vnement montre lexistence dune menace spcifique lie la fiabilit des chanes dapprovisionnement. La possibilit dimplanter des chevaux de Troie ds la phase de production des composants de base des systmes dinformation montre que les grands fournisseurs occidentaux de solutions numriques sont dores et dj vulnrables dans ce domaine. La prise de contrle en 2005 par la socit chinoise Lenovo de la division personal computer/PC dIBM20 illustre galement le fait que le niveau de dpendance global des utilisateurs de solutions numriques envers des solutions qui seraient uniquement dorigine asiatique et singulirement chinoises risque de continuer saggraver.
17
US Cyber Consequences Unit, Overview of the Cybercampaign against Georgia in August of 2008 , August 2009, p. 3. Alexandre Klimburg, Mobilizing Cyber-Power , Survival, Volume 53, Issue 1, January 2011. http://fr.wikipedia.org/wiki/Fonderie_ %28 %C3 %A9lectronique %29 http://www.presence-pc.com/actualite/Lenovo-rachete-IBM-9669/
18 19 20
15
03/2012
A - Concentration du march Lvolution du march des tlcommunications est marque depuis plusieurs annes par des oprations de concentration verticale (e.g. rachat de Skype par Microsoft). En effet, les grands industriels du secteur cherchent prsenter leurs utilisateurs une offre globale de communication, daccs des contenus et des services cls-en-mains . Le dveloppement de linformatique en nuage devrait confirmer cette tendance moyen terme. In fine, lindustrie informatique pourrait de rassembler en un nombre rduit de ples industriels (Google, Microsoft, Apple...), chacun tant mme de fournir une palette de produits et services, qui devront vraisemblablement faire lobjet dune certification maison pour fonctionner avec les divers systmes dexploitation21. Une telle rorganisation du march avec un effet de silos pourrait faire obstacle des migrations ventuelles et rduire la flexibilit de lapprovisionnement. Elle renforcerait aussi les problmes de dpendance et les risques inhrents toute chane dapprovisionnement non contrle. B - Dveloppement des capacits numriques de la Chine Le paysage industriel est aussi marqu par la croissance spectaculaire des capacits de recherche et dindustrialisation chinoises : rachat de la production dordinateurs IBM par Lenovo, mise au point du deuxime superordinateur au monde en termes de capacits de calcul Milky Way One, 1 000 milliards doprations la seconde , couverture de 60 % de lactivit nationale par le navigateur chinois Baidu, concurrent de Google, etc. Lquipementier des tlcommunications grand public Huawei affiche aussi une croissance soutenue de lordre de 20 % par an, avec un chiffre daffaires de 16 milliards deuros et un rsultat net de 2 milliards en 2009. La stratgie du groupe est largement tourne vers lexportation et la coopration internationale. Il a effectivement nou des partenariats avec 45 des 50 plus grands oprateurs mondiaux. Il a galement cr une filiale commune avec Symantec et port un projet de centre de R&D qui serait implant en France. Selon certaines sources, Huawei soriente vers une forte rationalisation technique. Il sengage dans les services dinformatique en nuage, mais en se librant des lourdeurs inhrentes aux systmes en concentrant dans un mme rack lensemble des fonctions et sous-ensembles de gestion de rseau (routeur, switch, hbergeur). Ce mode all-in-one se traduit par une dcroissance de la production de hardware et le transfert de nombreuses fonctions vers des solutions logicielles, plus souples configurer et faire voluer. La mme approche prvaut pour le passage dune gnration lautre dans le domaine des tlcommunications civiles (3G et 4G utilisant le mme hardware). Ceci nempche pas des industriels europens de continuer pntrer le march chinois linstar dAlcatel-Lucent (ou plutt sa filiale Alcatel-Lucent Shanghai Bells) qui a remport en juin 2011 le contrat de China Telecom, premier oprateur mondial avec 120 millions dabonns, pour le transfert du rseau commut au rseau IP dans 6 provinces.
21
Voir par exemple la politique dApple Inc. en matire de dissmination dapplications.
16
03/2012
Cette volution des tlcommunications grand public saccompagne dune volution semblable pour les produits de scurit et les quipements scuriss. Les propositions chinoises qui, il y a quelques annes encore, taient gnralement 50 % moins chres que les produits europens mais de qualit mdiocre, prsentent aujourdhui une qualit comparable tout en demeurant 10 % en dessous du prix du march. Elles deviennent ds lors davantage comptitives sur les marchs en Europe22.
Au total, les mutations industrielles laissent envisager une concentration des acteurs, une concentration de loffre et un transfert vers la Chine de ples majeurs dactivits. Ceci devrait accentuer les enjeux en matire de contrle des chanes dapprovisionnement avec le besoin dune politique incitative et cible pour prserver un minimum de produits fiables sur lensemble du champ souverain.
Plusieurs pays mergents portent une attention spcifique aux questions dactions offensives dans lespace numrique Les puissances mergentes considrent dabord le cyberespace comme un champ de croissance conomique exceptionnel et un acclrateur industriel et technique dans de multiples secteurs. Mais certains le peroivent galement comme un risque pour les rgimes politiques en place. Ceci se traduit gnralement par la mise en place de contrles et de barrires visant contrler laccs et les utilisations dInternet (Iran, Chine). Ils y voient aussi un enjeu gopolitique majeur pour lvolution des relations internationales. Cest sans doute dans cette perspective quil faut apprcier la dcision rcente des BRICS23 de construire un rseau fibr sous-marin contournant les tats-Unis. Certains de ces pays pratiquent ainsi des politiques visant contrler les points daccs Internet en tablissant une passerelle unique. Cette approche est bien sr en contradiction directe avec le schma dun Internet ouvert mais peut avoir un double avantage de politique interne (contrle du contenu des informations transfrontires) et de politique externe (dfense avance vis--vis dventuelles attaques logiques, dans le cadre dun schma de dfense en profondeur). Au-del de la surveillance et du contrle dInternet, la politique de lArme Populaire de Libration chinoise en matire numrique se dveloppe autour de capacits offensives destines des activits de cyber-espionnage comme, vraisemblablement, des actions visant neutraliser ou paralyser temporairement les moyens informatiques adverses. Depuis 2006, plusieurs vnements ont montr limplication des services chinois dans plusieurs affaires despionnage visant des systmes occidentaux : tatsUnis, Allemagne24, Organisations des Nations Unies... Les analyses effectues par les
22 23 24
Discussion personnelle avec des responsables de la DGA (note dAlain Esterle). Brsil, Russie, Inde, Chine, Afrique du Sud, troisime runion Sanya (Chine) le 14 avril 2011.
Au point de conduire des ractions de la Chancelire et du gouvernement vis--vis des autorits chinoises. http://news.softpedia.com/news/Germany-Attacks-China-For-Starting-The-Cyber-War-68994.shtml
17
03/2012
entreprises de scurit numrique semblent indiquer lexistence dune voire de plusieurs opration globale despionnage informatique visant les gouvernements trangers, les multinationales ainsi que certaines organisations globales25.
Figure 4 : Les oprations despionnage chinoises auraient atteint 72 cibles depuis 2006 permettant de voler des milliards doctets de donnes (Source : McAfee)
La politique numrique de la Chine mise sur lappropriation des technologies de linformation et des communications la fois dans une logique de gain conomique mais galement pour fonder une stratgie de guerre de linformation dans laquelle les moyens mis disposition de larme populaire sont utiliss pour infiltrer les systmes informatiques connects Internet et ainsi faire peser sur les tats en particulier occidentaux et les utilisateurs une menace permanente pour la scurit de leurs infrastructures, la confidentialit de leurs changes et la suret des donnes stockes26. De ce point de vue, la Chine dispose dores et dj dun outil de cyber-dissuasion qui savre tre galement un moyen de pratiquer des activits despionnage une chelle globale.
25 26
Dmitri Alperovitch, Revealed: Operation Shady Rat , McAfee White Paper, July 2011.
Magnus Hjortdal, Chinas Use of Cyber Warfare: Espionnage meets Strategic Deterrence , Journal of Strategic Security, Volume IV Issue 2 2011, pp. 1-24.
18
03/2012
Les risques internes aux organisations constituent une source proccupante de vulnrabilit numrique malgr une prise de conscience gnrale des risques associs aux outils informatiques Sans quil soit possible dtablir en la matire une statistique rigoureuse, il est couramment admis quune proportion non ngligeable des attaques proviendrait de personnes internes lorganisme en charge ou connect au rseau infect. Quil sagisse dactions intentionnelles ou de ngligences, elles constituent une forme de vulnrabilit permanente qui est renforce par la faiblesse de la culture en scurit des systmes dinformation au sein de la plupart des entreprises et des organisations gouvernementales. Bien que limportance du risque numrique pour le fonctionnement des entreprises et des organisations soit gnralement reconnue, les budgets consacrs la scurit informatique sont souvent inadapts pour faire face au niveau de risque encouru. Au sein du budget consacr par les entreprises aux systmes dinformation, la scurit numrique reprsente une part htrogne allant de 1 % plus de 6 %27. De faon gnrale, 56 % des chefs dentreprise interrogs lors dune enqute mene en 2009 indiquent que la part du chiffre daffaires consacre la scurit informatique est infrieure ou gale 1 % du chiffre daffaires. Seuls 10 % affirment consacrer plus de 2 % de leur chiffre daffaires la scurit numrique. Enfin, une forte proportion na pas une vision claire sur les investissements en la matire : 34 % des interrogs concdent ne pas connatre la part du chiffre daffaires consacre cette activit28. Pourtant, la quasi-totalit des chefs dentreprise considrent que les dispositifs de scurit informatique constituent une prcaution indispensable. Plus de 80 % estiment que ceux-ci ne constituent pas un frein la productivit29. Ces proportions sont peu prs les mmes en ce qui concernent les salaris30. Pourtant les investissements rels en matire de scurit numrique sont loin de reflter cette prise de conscience apparente. Mais la prise en compte de la nature des risques est encore inadquate au regard de lvolution rapide des vulnrabilits. La scurit des ordinateurs de bureau et des rseaux dentreprise est dailleurs souvent limite au dploiement de solutions basiques qui sapparentent des lignes Maginot numriques. Ainsi, lusage dantivirus, de pare-feux et de logiciels anti-spam sest largement gnralis dans lunivers conomique tout comme dans le monde institutionnel. Mais les organisations prives comme publiques peinent encore adopter des mesures de scurisation spcifiques, davantage contraignantes chiffrement des donnes, authentification, contrle daccs qui permettent de mieux grer les risques dincidents provenant de lintrieur du rseau.
27 28 29 30
CLUSIF, Menaces informatiques et pratiques de scurit en France, Edition 2008 , 2008, p. 13. TNS-SOFRES, linscurit numrique des entreprises synthse , novembre 2009. TNS-SOFRES, Linscurit numrique des entreprises volet chefs dentreprises , novembre 2009, p. 47. TNS-SOFRES, Linscurit numrique des entreprises volet salaris , novembre 2009, p. 45.
19
03/2012
Le besoin de scurit est galement encore largement sous-estim pour certains quipements nomades smartphones, ordinateurs portables et tablettes, clefs USB qui ne sont que trs rarement quips de solutions de scurit propres et constituent des points dentre vulnrables dans les systmes dinformation des socits31. De la mme faon, les donnes prsentes sur les postes individuels sont rarement chiffres alors mme que lenqute du CLUSIF montre que ces informations font souvent lobjet de pertes ou de vols32. Les salaris considrent que lutilisation de clefs USB personnelles ou de leur messagerie personnelle constitue des pratiques risques pour lentreprise, comme la montr le mode de propagation du code malveillant qui avait infect les rseaux du Pentagone en 2008. Pourtant, la plupart indiquent que le niveau de protection informatique dont ils disposent est suffisant pour les protger de la plupart des menaces33. La possibilit daccder en permanence leurs donnes personnelles comme professionnelles avec des outils et des logiciels similaires si ce nest identiques constitue pour les salaris et les fonctionnaires une attente vis--vis de leurs employeurs. Les politiques de scurit prennent encore mal en compte le fait que les volutions des usages des technologies de linformation ont conduit multiplier les vulnrabilits internes. Elles se sont dailleurs notamment accrues pour les rseaux qui ne sont pas directement connects Internet et o une intervention humaine est ncessaire pour introduire au sein du rseau un logiciel malveillant. La stabilit macroscopique actuelle du rseau et des systmes informatiques ne semble pas devoir tre remise en cause De nombreux experts34 considrent comme peu probable quune cyber-attaque puisse elle seule se propager grande chelle dans lInternet et provoquer son effondrement35. Actuellement, lInternet est dot de suffisamment de nuds de haute connectivit pour quen cas de rupture dun nombre quelconque de nuds distribus de faon alatoire, le rseau mondial reste oprationnel. En revanche, une attaque ciblant spcifiquement 5 % des nuds haute connectivit pourrait provoquer un effondrement de lInternet en une srie dlots, chacun interconnectant un maximum dune centaine de calculateurs entre eux36.
31
En 2006 et 2007, il semble que les campagnes de piratage organises contre des machines du DoD (et de la NDU), vraisemblablement par les services Chinois, ait t rendu possible par lintroduction dun cheval de Troie plac sur une clef USB dans le rseau militaire amricain.
La compromission de donnes par des personnes appartenant aux entreprises, de faon volontaire ou pas, constituent lune des proccupations majeures des grands oprateurs du monde numrique. Entretiens, novembre 2009.
33 34
32
TNS-SOFRES, Linscurit numrique des entreprises : synthse , novembre 2009.
Michel Riguidel, Les technologies numriques du futur : Nouvelles menaces, nouvelles vulnrabilits , Cahiers de la scurit No. 6, Institut dEtudes Politiques de Lyon, 2008.
35
Lattaque de 2003 contre les 13 serveurs DNS racine et la mise hors jeu momentane de 8 dentre eux, en rduisant localement lactivit mais sans empcher un rtablissement rapide. Future Global Shocks , OECD Review of Risk Management Policies, OECD, 2011
36
20
03/2012
Lvolution future des pratiques numriques et des outils associs est susceptible de modifier les enjeux et les vulnrabilits dans lespace numrique Trois facteurs sont de nature influencer les conditions dlaboration et de mise en uvre de doctrines en cyber-dissuasion moyen terme : innovations technologiques, stratgies industrielles, orientations gopolitiques. Si le futur de lenvironnement numrique ne peut prcisment tre dfini moyen terme, du fait notamment du rythme lev de linnovation dans ce domaine, plusieurs tendances technologiques lies ont dj merg qui devraient se confirmer. Elles sont notamment lies la croissance du nombre dobjets connects internet ou grs au travers du rseau et aux phnomnes de nomadisation et de recherche de mobilit. Le dveloppement de linformatique en nuage rpond galement des impratifs conomiques et se dveloppe en parallle dune externalisation croissante des services informatiques des entreprises. En outre, la mise en commun et la distribution (donc lachat) via Internet des capacits de calcul et de traitement de machines (ou de rseau de machines) distantes ont t rendues possibles par laccroissement des performances du rseau. Elles pourraient permettre terme dagrger les capacits de calcul de plusieurs dizaines de machines pour parvenir des niveaux compatibles voire suprieurs ceux de supercalculateurs. Enfin, la convergence des moyens de gestion des flux de communication vers une norme unique base sur les protocoles internet est de nature crer de nouvelles vulnrabilits dans des systmes jusqualors isols du rseau mondial. Le dveloppement de ces tendances aura des consquences en termes de scurit et au niveau des besoins de protection des infrastructures, des personnes et des biens. En particulier, laccroissement du nombre et du type des objets (intelligents) connects entre eux, aux personnes et au(x) rseau(x) devrait conduire augmenter les risques de dtournement et contribuer aggraver les consquences potentielles dactes malveillants. Convergence des protocoles de traitement des flux de donnes et des communications vers la norme IP (Internet Protocole) La convergence vers la norme Internet Protocol37 pour lensemble des rseaux de communication est une opration dj largement engage. Cela ne va pas sans risques : lemploi dun mme protocole pouvant par exemple gnraliser la prsence dune vulnrabilit donne lensemble des systmes connects et donc accrotre les effets dune attaque fonde sur son exploitation.
37
http://en.wikipedia.org/wiki/Internet_Protocol
21
03/2012
Une tude rcente sur le sujet a abouti une srie de conclusions intressantes, notamment en matire de rsilience des rseaux IP, dorganisation de la scurit et de gestion du changement38.
Encadr 2 : Conclusions sur limpact de la convergence IP en matire de scurit La migration des protocoles de communication vers la norme IP est en cours et probablement irrversible ; Le rythme de migration est variable dun oprateur lautre mais est en gnral plutt lent, les rseaux existants ( legacy networks ) continuant fonctionner tant quils restent conomiquement rentables ; Les technologies utilises pour cette migration sont connues et il y a un consensus sur les moyens utiliser ; Les rseaux IP sont plus ouverts aux attaques extrieures, mais les mthodes et mesures de scurit sont beaucoup plus puissantes que celles utilises pour les rseaux existants ; Les rseaux IP sont intrinsquement plus rsilients aux surcharges de trafic, aux dysfonctionnements de sous-systmes et aux dsastres naturels, pourvu quils aient t construits selon les mthodes standards prvues cet effet ; Un dveloppement rapide de lcosystme de tlcommunication va faire apparatre de nouveaux dfis, et lindustrie devra les rsoudre avant de dployer tous les services sur un mme rseau ; Lorganisation interne des oprateurs ne changera pas considrablement avec lintroduction de structures IP et la dpendance ces dernires, mais le point principal sera de maintenir une scurit physique de tout premier ordre pour ces structures, une fourniture dnergie permanente et une rponse aux incidents prcise et rapide ; Dun point de vue organisationnel, un personnel qualifi moins nombreux et travaillant dans un plus petit nombre de lieux sera ncessaire pour grer ces rseaux futurs ; Les choix politiques lis cette migration devront tablir une coordination entre des parties-prenantes, tracer un chemin parmi des intrts contradictoires, et rsoudre des contradictions entre certaines priorits. Ces activits sont et seront dans tout lavenir prvisible principalement bases sur les politiques des tats, bien que des cooprations transnationales doivent tre recherches autant que possible.
Analysis of the security and resilience challenges brought about by the convergence of previously separate and distinct communication networks towards IP networks , IDC, 2010, tude commandite par la Commission europenne.
38
22
03/2012
Une action au niveau de lUnion europenne peut aider coordonner les politiques nationales et les efforts de standardisation, crer des plates-formes pour un dialogue industriel lchelle europenne et favoriser la coopration internationale pour les ractions aux cas durgence.
Il faut aussi noter que la convergence IP devrait avoir terme un impact sur les tlcommunications spatiales en remettant lordre du jour, aprs lchec des projets de constellations en orbites basses et moyennes des annes 1990, la question des liaisons Internet satellitaires. Une telle volution pourrait sappuyer sur le prcdent du satellite Ka-Sat dEutelsat (la bande Ka permet une liaison haut dbit avec une antenne de petite dimension) mis en orbite en 2010. Ces nouvelles perspectives dans le domaine des satellites devront tre prises en compte pour les questions dlaboration de capacits offensives futures (neutralisation de satellites) mais aussi pour les collectes massives de donnes permettant une attribution plus rapide des attaques.
Au total, la poursuite de la convergence IP pourrait conduire une meilleure rsilience gnrale des rseaux, tout en les laissant plus ouverts des attaques extrieures. Un regain des liaisons Internet par satellite pourrait voir le jour, avec des implications en matire de capacits offensives et dattribution des attaques Le dveloppement du nomadisme et de la cyber-mobilit devrait continuer sacclrer Le nomadisme devrait sacclrer en parallle de la convergence des protocoles de communication vers la norme IP. Dores et dj, les tlphones mobiles et les terminaux mobiles (tablettes ou netbooks par exemple) savrent tre des outils indispensables pour les cadres des entreprises du secteur priv ainsi que pour la plupart des hauts-fonctionnaires. Avec le dveloppement de nouveaux protocoles de communication, qui devraient permettre daccrotre les dbits des communications sans fil pour les faire converger vers des niveaux proches de la fibre optique (autour de 80-100 Mo/s en dbit montant), le spectre des services qui pourront tre fournis via les terminaux portables devrait continuer augmenter. De la mme faon, le nombre de personnes connectes et utilisant des services dmatrialiss devrait galement crotre plus rapidement que ce nest le cas aujourdhui. La banalisation des logiciels de pilotage de production, permise notamment par une dynamique de convergence des formats numriques, rpond une logique conomique de rduction des cots de dveloppement et de maintenance des systmes informatiques et de communication. Cette volution conduit une gnralisation de linformatisation dans le monde industriel pour la tlmaintenance ou la gestion distance de systmes de production ou dquipement, alors mme que celle-ci se limitait dans les annes 1990 certaines infrastructures clefs de distribution (eau, lectricit, gaz et ptrole).
23
03/2012
Cest en particulier dans la gestion distance des processus industriels et des infrastructures que les entreprises ont pu profiter de linteroprabilit des systmes et du dveloppement doffres logicielles commerciales. Ainsi, les systmes de commande et dacquisition de donnes de surveillance SCADA39 sappuient massivement sur des technologies publiques en particulier pour communiquer au sein dun rseau commun et parfois changer des donnes via internet afin de rduire les cots qui seraient gnrs par lutilisation dun rseau ddi : protocoles internet de communication, bluetooth et wi-fi (et plus long terme des protocoles de type Wi-MAX). En parallle, les interconnexions entre les systmes dinformation caractre administratif des entreprises et les infrastructures physiques de production, largement automatises, ont tendance se dvelopper en accroissant de fait les points dentre possibles pour linjection de logiciels malveillants. Ils se trouvent ainsi de plus en plus exposs des logiciels malveillants exploitant les failles existantes ou anciennes souvent connues par les fabricants de logiciels, mme si, dans la plupart des cas, les systmes dexploitation informatiques embarqus ( embedded ) des SCADA font lobjet de clauses particulires interdisant la mise en place distance de mises jour de scurit40.
La nomadisation croissante devrait conduire de nouvelles vulnrabilits et une exposition accrue des infrastructures vitales des attaques distance, demandant un renforcement spcifique des capacits de cyber-dfense de la part des oprateurs concerns. Une meilleure intgration des infrastructures critiques dans le domaine de la protection des activits dites de souverainet devrait devenir indispensable pour btir une cyber-dissuasion crdible.
LInternet des objets (IoT) devrait progressivement devenir une ralit Ce domaine rassemble en ralit un spectre assez large daxes de dveloppement dont la concrtisation devrait seffectuer progressivement. Il sagit en effet de permettre la connexion de lensemble des objets du quotidien Internet pour favoriser la fois lautomatisation de leur gestion et de leur fonctionnement mais galement une interaction permanente et contextuelle avec eux pour tous les utilisateurs, quil sagisse de personnes ou dautres objets physiques ou virtuels. Les outils qui permettront cette volution sont lindispensable migration vers le protocole IPv641 indispensable pour connecter des dizaines de milliards de systmes Internet et le dveloppement des puces de Radio Frequency IDentification (RFID). En 2010, peine 1 % des utilisateurs dInternet pouvaient oprer en IPv6 et, malgr un programme incitatif de la Commission europenne, le changement risque dtre long du
39 40 41
http://en.wikipedia.org/wiki/SCADA Entretiens de Bruno Gruselle, octobre 2009.
Passant dun adressage IPv4 en 32 bits des adresses sur 128 bits beaucoup plus nombreuses ce qui rsout moyen terme le problme du nombre limit dadresses disponibles.
24
03/2012
fait du besoin de fonctionner en bi-mode pendant plusieurs annes. Quant aux RFID, lvolution attendue est rgulire mais plutt modre.
Figure 5 : Accroissement du march des moyens utilisant des puces Radio Frequency IDentification (source : Agence Nationale de la Recherche)
De nombreux programmes europens prparent ds maintenant la gnralisation des puces RFID pour interconnecter les individus avec les objets et systmes de la vie courante. A titre dexemple, le vhicule du futur devra la fois offrir des informations aux conducteurs et passagers sur la route et sur son environnement42. Il devra galement pouvoir sinsrer dans la circulation en interagissant avec les autres utilisateurs et les autres objets proches (vhicules, signalisation). A terme, linternet des objets devrait stendre beaucoup dautres domaines, en particulier la mdecine, la domotique et la gestion de la distribution des services. Ladossement de linternet des objets des services de cartographie numrique offrant lutilisateur un niveau important dinteractivit et laccs aux donnes locales devrait galement voir le jour comme en tmoigne la monte en puissance des outils de go-localisation et lmergence du marquage gographique numrique (geo-tagging)43.
http://lexpansion.lexpress.fr/high-tech/microsoft-va-equiper-les-voitures-toyota-de-servicesInternet_251989.html
43
42
Sur ce point voir : Cartographie numrique et dveloppement des territoires , Etude thmatique rdige par ITEMS International et Auber Olivier publi le 26 mars 2008. http://www.oten.fr/?article4031
25
03/2012
Figure 6 : Schma de principe dintgration dobjets dans un rseau de communication (source : European Digital Rights)
Le besoin dassurer la scurit et lintgrit physiques et logicielles du rseau et des capteurs/objets associs ou connects contre des accs malveillants (sabotage) ou des tentatives dintrusion au sein dun systme44 sera dautant plus important que le fonctionnement des (sous)ensembles connects aura un impact sur des applications critiques pour les personnes et les infrastructures clefs (gestion dactes mdicaux, des rseaux de transport, des flux de personnes ou de matriaux sensibles/polluants...). Or, la complexit intrinsque dun futur internet des objets trs fort besoin dinteroprabilit entre des normes de fonctionnement diffrentes, compatibilit des formats, communications rapides devrait aller de pair avec le dveloppement de protocoles et de logiciels techniquement complexes et qui prsenteront vraisemblablement de nombreuses failles et vulnrabilits. Comme pour la convergence vers la norme IP, les protocoles utiliss devraient prsenter au minimum de fortes similarits voire employer une norme unique pour atteindre le niveau souhaitable/utile dinterconnexion et de compatibilit entre les systmes. Le risque associ la perte de donnes saggravera vraisemblablement du fait de laccroissement du volume des donnes personnelles ou confidentielles (par exemple mdicale) transitant sur le rseau pour des applications de type IoT. Si lon peut difficilement prvoir prcisment les effets de ces actions sur les entreprises et les tats, on peut estimer la lumire des donnes disponibles que, en termes financiers et au niveau mondial, les pertes quivalentes se chiffreront en centaines de milliards de dollars concernant notamment : le vol de donnes confidentielles, le dtournement didentit ou dusage des fins de falsification ou de contrefaon, le
European Commission Staff Working Document, Early Challenges regarding the Internet of Things , 29 septembre 2008.
44
26
03/2012
sabotage de production (dont le dni massif de service, la perturbation des systmes informatiques critiques, la prise de contrle distance...).
Figure 7 : Classification des incidents rapports aux CERT amricains entre 2006 et 2008 (source : Government Accountability Office)
La seule partie concernant la perte de donnes qui semble tre la part la plus importante des malversations numriques reprsente vraisemblablement lheure actuelle un total compris entre 200 250 milliards de dollars de perte de chiffres daffaires pour les principales multinationales45. Ce chiffre devrait continuer augmenter avec en parallle une monte en puissance des risques physiques accompagnant le dveloppement de linternet des objets et des difficults de scurisation des systmes de gestion des processus et des infrastructures. Pour autant, il convient de souligner que ces risques caractre industriel qui sont rels si lon regarde le cas Stuxnet ne se matrialisent que dans des conditions trs prcises : llaboration de systmes malveillants comme Stuxnet ncessite des travaux de recherche importants, lutilisation de plusieurs 0 day exploits 46 et lcriture de plusieurs logiciels complexes.
Les infrastructrures vitales et des donnes ayant un caractre stratgique seront directement concernes par de nouveaux types de vulnrabilits gnres par le dveloppement de lInternet des objets. Ces risques particuliers devront tre pris en compte pour la conception et la mise en uvre de capacits dfensives crdibles au sein dune dmarche de cyber-dissuasion.
45
Il sagit-l dune estimation base sur les donnes de McAfee ainsi que sur celles publies par le Royaume Uni qui est lun des pays ayant lun des outils statistiques les plus performants en matire de crimes numriques. C'est--dire des failles de scurit non dtectes ou connues des concepteurs des plates-formes logicielles attaques. Peter Sonner & Ian Brown, Reducing Systemic Cybersecurity Risk , OECD/IFP Project on Future Global Shocks , 14 January 2011, p. 44.
46
27
03/2012
Linformatique en nuage devrait modifier profondment les habitudes de gestion des donnes et dutilisation de logiciels Linformatique en nuage est appele devenir une sorte de pendant immatriel de lInternet des objets, en ce sens quil constitue une tendance lourde dagrgation des moyens et processus informatiques. L'informatique dans les nuages ou en nuage, de langlais : cloud computing est un concept faisant rfrence l'utilisation de la mmoire et des capacits de calcul dordinateurs et de serveurs ou de fermes de serveurs rpartis gographiquement et lis par un rseau de communication global, quil sagisse quinternet ou de rseaux privs.
Figure 8 : Schma de principe du Cloud Computing (source : Think-securitys blog47)
En principe, toute fonction, systme ou outil informatique peut tre ainsi mis en nuage tout en restant accessible distance. Ces fonctions, systmes ou outils sont couramment regroups en trois grands types de service48 : Software as a service (SaaS) : Fourniture de logiciels ou dapplications aux clients (le fournisseur offre un environnement au travers duquel le client a accs ces applications).
47 48
http://saboursecurity.files.wordpress.com/
Voir la page Wikipedia sur le cloud computing. Il existe galement dautres services de type cloud qui drive du SaaS : stockage de donnes (Data as a Service), fourniture ou gestion de rseaux privs (Network as a Service) ou encore scurisation des accs numriques (Identity and Policy Management as a Service).
28
03/2012
Platform as a service (PaaS) : Fourniture de ressources matrielles mais galement dune plate-forme logicielle permettant lexcution des applications appartenant aux clients. Infrastructure as a Service (IaaS) : Fourniture de ressources matrielles c'est-dire de puissance de calcul et despace de stockage ddies lutilisation des clients.
Figure 9 : tat des parts du march (en M) des diverses offres de Cloud Computing (source : IDC49)
Pour les prestataires, lintrt de linformatique en nuage est doptimiser lemploi de ses infrastructures matrielles (hardware) entre ses clients. Un serveur dhbergement pouvant ainsi tre occup jusqu 60 % en moyenne alors que loccupation courante ne dpasse pas quelques pour cents. Pour lutilisateur, lintrt conomique existe aussi : la sous-traitance de la gestion des outils informatique diminue les investissements (remplacs par des frais de fonctionnement), avec un fort gain de flexibilit en cas de rduction ou daugmentation brutale dactivit et un transfert des problmes de maintenance (e.g. mises jour de logiciels). Par contre linformatique en nuage peut crer des problmes de contrle sur la scurit des donnes et outils ainsi transfrs. Les principales entreprises du secteur de linformatique et des tlcommunications ont dores et dj lourdement investi pour proposer des solutions dinformatique en nuage, notamment ct amricain (Microsoft, Google, Amazon, Apple, IBM) et dans une moindre mesure ct franais (Bull, Atos, Cap Gemini et Orange).
49
David Bradshaw, Western European Software-as-a-Service Forecast, 20092013 , Apr 2009 Doc # LT02R9, 2009. Cit par lEuropean Network and Information Security Agency.
29
03/2012
Il sensuit lmergence dun march global dsquilibr marqu par une prdominance amricaine, due (1) la rticence des entreprises et administrations europennes transfrer leurs moyens informatiques hors dEurope et (2) la raret des fermes de serveurs (data-centers) implantes en Europe. Enfin, labsence doprateurs europens majeurs est aggrave par une rglementation europenne requrant que les donnes des entreprises europennes restent hberges sur le continent. Bien que de nombreux travaux aient t mens sur les politiques de scurit efficaces applicables linformatique en nuage50, la rsilience des fermes de serveurs face des accidents ou des pannes provoques par des attaques numriques continue savrer problmatique. Les incidents connus laissent penser que la disponibilit des donnes, les capacits de calcul et les processus logiques abrits dans le nuage peuvent tre remis en cause ponctuellement avec des consquences plus ou moins importantes pour les clients51. En termes de scurit, la monte en puissance du cloud computing constitue la fois une source daccroissement des risques mais galement un gisement de progrs pour un meilleur contrle des vulnrabilits intrinsques au dveloppement du rle des rseaux informatiques, notamment internet52. De fait, les caractristiques des architectures dinformatique dans les nuages engendrent cette dualit en termes de scurit : Lutilisation de plates-formes matrielles appartenant un fournisseur externe, en particulier pour les SaaS, transfre les problmatiques de gouvernance (dont la scurit) des infrastructures, des logiciels et des donnes un ou des tiers. Les questions relatives la sgrgation des donnes par les fournisseurs de service, c'est-dire de la sparation des informations appartenant aux diffrents clients, mais galement la confidentialit des traitements de donnes, se posent galement la fois pour les entreprises et pour les particuliers53. Les interfaces de gestion des services du nuage pour les architectures publiques ou hybrides sont accessibles via internet et peuvent donc faire lobjet de piratage ou de dtournement. Plus spcifiquement pour les services de type SaaS, les failles et les vulnrabilits inhrentes aux interfaces utilisateurs (navigateurs commerciaux ou interfaces spcifiques) viennent accrotre les risques daccs par des pirates ou des acteurs malveillants. Le piratage des interfaces clients par un acteur tiers peut conduire la compromission de donnes stockes sur les serveurs dlocaliss ou la perte de contrle des processus grs au travers du nuage54. Les risques de compromission des processus dans le cas de service de type IaaS sont dautant plus
50
Voir notamment, European Network and Information Security Agency, Cloud Computing: Benefits, risks and recommendations for information security , November 2009. Sur ce point voir notamment le rapport annuel 2009 du CLUSIF sur la cybercriminalit. http://www.clusif.asso.fr/ fr/production/ouvrages/pdf/PanoCrim2k9-fr.pdf
51
52
European Network and Information Security Agency, Cloud Computing: Benefits, Risks and Recommandations for Information Security , November 2009. Syntec Numrique, Livre Blanc sur la scurit du Cloud Computing : analyse des risques, rponses et bonnes pratiques , 2010. Ibid, p. 8.
53
54
30
03/2012
grands que les machines fournies peuvent tre virtuelles55 et donc faire tourner en parallle plusieurs applications provenant de plusieurs sources. La question de localisations des donnes se pose pour les architectures publiques adosses internet : la problmatique est en effet de savoir si les pays accueillant des fermes de serveurs peuvent accder dans le cadre de leur lgislation, aux donnes conserves sur leur territoire, par exemple des fins denqute56. A lheure actuelle, de nombreux fournisseurs de service (type SaaS) ne prennent pas dengagement sur le lieu de stockage des donnes et implantent leurs fermes de serveurs dans des pays mergents pour des raisons conomiques57.
Tableau 1 : Rpartition gographique des parts de march dans linformatique en nuage (source 451 Group58, avril 2010)
tats-Unis Cloud Computing en gnral IaaS 57 % 93 %
Union europenne 31 % 6%
Asie 12 % 1%
La virtualisation des donnes et des processus logiciels qui sous-tend la gnralisation du cloud computing ainsi que la dlocalisation physique des serveurs les accueillant constituent galement un facteur de complexification pour toute investigation qui ferait suite un acte (ou une srie dactes) malveillant. La question de lattribution dun acte numrique savre dj complexe ; la dlocalisation gographique ne devrait quaccrotre les difficults, avec notamment le besoin de prendre en compte les aspects lgaux locaux. De fait, la gnralisation de linformatique en nuage de la mme faon que les autres phnomnes qui lui sont lis comme la tendance une externalisation des processus et des outils informatiques ou encore le partage des capacits de calcul (grid computing) ne cre pas proprement parler de nouvelles vulnrabilits en matire numrique. En revanche, elle vient exacerber des risques qui existent dores et dj. Cest le cas, en particulier, pour les problmatiques de scurit des donnes confidentielles et de gestion des informations personnelles y compris les donnes relatives lidentit des personnes physiques ou morales qui seront stockes au moins pour
55
C'est--dire en ralit une partie de la capacit dun ou de plusieurs serveurs qui ne sont pas ddis aux seules applications du client mais sont partags entre plusieurs clients. Syntec Numrique, Livre Blanc sur la scurit du Cloud Computing : analyse des risques, rponses et bonnes pratiques , 2010, p. 21. Entretiens de lauteur. http://www.presence-pc.com/actualite/cloud-computing-europe-US-38844/
56
57 58
31
03/2012
partie sur des serveurs dlocaliss. Laccroissement des oprations ralises en ligne, notamment des services administratifs caractre personnel comme aujourdhui les dclarations de revenus ou les demandes dactes dtat civil, devrait acclrer le dveloppement dune identit en ligne (ou numrique) quil faudra authentifier pour conduire de faon scurise les interactions avec les administrations59. La criminalit numrique sintresse dores et dj aux bnfices quelle pourrait tirer du dtournement didentit ou du vol de coordonnes scurises notamment bancaires. Lenjeu est de taille, valu 32 milliards d'euros pour les tats-Unis et 2,15 milliards d'euros au Royaume-Uni en 200760. La progression du commerce lectronique et des transactions en ligne qui pesaient 31 milliards deuros en France en 2010 selon le secrtariat dtat lconomie numrique61 rend ce secteur particulirement attractif pour les criminels. Cet intrt prfigure sans doute la monte en puissance dagressions numriques conduites des fins de sabotage ou despionnage par une varit plus large dacteurs contre les futurs systmes permettant le fonctionnement de linformatique en nuage. En outre, lusurpation didentit ne sert pas seulement conduire des oprations commerciales frauduleuses, elle peut aussi tre utilise comme cl afin de dverrouiller des accs numriques protgs dans le rseau en vue de raliser des actes malveillants : espionnage, attaques de rseaux, extorsion, chantage. Lusurpation didentit des utilisateurs des rseaux sociaux permet aussi certains cybercriminels de cerner des cibles (profiling numrique) afin de commettre des actes malveillants. Outre lessor de la problmatique de la gestion de lidentit numrique, le dveloppement du cloud computing soulve le problme de la rsilience dinternet, qui constitue plus que jamais la colonne vertbrale du fonctionnement du monde numrique, face des actes malveillants et certaines catastrophes naturelles. Si internet a t conu comme un systme robuste possdant de multiples redondances qui interdisent finalement une rupture complte de service, son fonctionnement peut tre fortement perturb voire interrompu des niveaux locaux ou rgionaux. Les vulnrabilits des serveurs racines62, de linfrastructure physique63 ou encore du systme dadressage (les Domain Name Server ou DNS64) constituent autant de failles qui pourraient tre exploites pour
Guillaume Desgens-Pasanau, Eric Freyssinet, Lidentit lre numrique , collection Presaje, Editions Dalloz, 2009, pp. 9-12. Brigitte Acoca, analyste l'OCDE, dans un rapport remis aux ministres runis Soul cit dans ldition du Monde du 18 juin 2008.
61 62 60
59
http://www.fevad.com/etudes-et-chiffres/bilan-e-commerce-en-2010#topContent
Il en existe 13 au niveau mondial dont 7 utilisent dores et dj le protocole dadressage IPv6. Avec celui-ci le nombre dadresses internet disponibles devrait passer de 232 2128 et ainsi permettre de rpondre aux besoins mergents en termes dadressage, en particulier pour le cloud et lIoT. Ainsi la rupture de cbles peut dconnecter des secteurs gographiques insuffisamment desservis comme en 2007 lorsquun cble sous-marin a t sectionn, provoquant linterruption des communications avec la Guyane le jour mme du premier tour de llection prsidentielle. Domain Name Server Serveur de nom de domaine, qui ont pour fonction de transformer une adresse internet (ex : www.defense.gouv.fr) en son adresse technique (par exemple 240.34.340.34) afin de pouvoir tablir un dialogue entre les ordinateurs sur le rseau.
64 63
32
03/2012
intercepter des flux de donnes, ou pour neutraliser temporairement et localement le rseau65. La rsilience des fermes de serveurs face des accidents ou des pannes provoques par des attaques numriques mrite galement dtre prise en compte. Les incidents connus laissent penser que la disponibilit des donnes, des capacits de calcul et des processus logiques abrits dans le nuage peut tre remise en cause ponctuellement avec des consquences plus ou moins importantes pour les clients66. La virtualisation des donnes et des processus logiciels ainsi que la dlocalisation physique des serveurs les accueillant est galement un facteur de complexification pour toutes les actions policires et rpressives faisant suite un acte (ou une srie dactes) malveillant. A lheure actuelle, la problmatique de lattribution dun acte numrique savre dj complexe mme sil existe des moyens de dtecter les origines numriques dune action donne. Les enqutes et la rcupration de donnes et de preuves aprs des actes malveillants ou criminels peuvent se heurter aux lgislations locales des pays abritant les serveurs ou les machines utilises.
Linformatique en nuage est un modle conomiquement attractif de gestion des moyens informatiques. Dans le cas des systmes dinformation sensibles, les risques associs restent toutefois importants. Ils devront tre pris en compte dans llaboration des capacits de dfense et de riposte.
Anonymisation des donnes, des changes et des traces laisses sur Internet Le dveloppement dInternet et des outils de communication et dinteraction qui lui sont lis ont conduit engager de nombreuses rflexions sur la gestion des donnes personnelles des utilisateurs et la protection de leur identit numrique. En effet, les donnes dissmines sur les rseaux informatiques et en particulier Internet, seront de plus en plus nombreuses, prcises et varies. Elles pourraient terme comprendre des informations mdicales ou physiologiques sur les personnes, des donnes techniques concernant les btiments ou les infrastructures, etc. La diversification des outils et moyens de communication interconnects est de nature intensifier le nomadisme des salaris, en particulier des cadres, et le besoin de disposer en permanence des outils et des donnes ncessaires la ralisation de leur emploi. Le besoin de scurit pourrait devenir secondaire au regard des gains de productivit lis la mobilit des cadres et au dveloppement de nouveaux outils de travail connects aux rseaux de lentreprise et internet. La question se pose in fine de savoir sil sera pris en compte dans le processus de dveloppement des rseaux futurs ou ajout a posteriori. En effet, les dfis techniques qui doivent tre relevs pour assurer la plus grande efficacit des logiciels interoprabilit des applications entre elles, facilit demploi et ergonomie, rapidit et fluidit dexcution peuvent clipser lintgration de dispositifs
65
Sur ce point voir notamment le rapport annuel 2009 du CLUSIF sur la cybercriminalit : Ibid.
http://www.clusif.asso.fr/fr/production/ouvrages/pdf/PanoCrim2k9-fr.pdf
66
33
03/2012
de scurit permettant, entre autres, dassurer la protection des donnes personnelles des utilisateurs. A la problmatique de la gestion de lidentit numrique, il convient dajouter celles qui concernent le droit loubli et de scurisation des donnes gres en ligne. Il parat assez peu concevable de dtruire systmatiquement les donnes prsentes sur internet au bout dun dlai donn, de contraindre des tats trangers ne disposant pas dune lgislation dans ce domaine et de tracer linformation litigieuse compte tenu de sa probable dissmination sur dautres sites et blogs, notamment cause des mthodes propres lespace numrique. En revanche il pourrait tre envisag de crer la possibilit pour les particuliers et les entreprises de demander le retrait dinformations les concernant si elles savrent inexactes, fausses ou dates ou la rectification de telles informations67. Outre la destruction des pages et informations concernes, une telle dmarche implique le retrait des donnes des indexations des moteurs de recherche, ce qui parat techniquement et politiquement complexe. En ltat, le lgislateur, franais comme europen, reste assez vague sur les dures de stockage des donnes. Il fixe, par exemple, pour les fournisseurs daccs un droit de stockage dinformations personnelles pendant un an. Les conditions de conservation des donnes et leur scurisation constitue un enjeu spcifique notamment dans le contexte du droit des affaires et du droit pnal. En la matire, le cadre juridique existant mriterait dtre clairci et complt pour tablir les conditions indispensables au dveloppement de lconomie numrique (Business-toBusiness ou Business-to-Consumer)68. Une proposition de loi des snateurs Yves Dtraigne (MoDem) et Anne-Marie Escoffier (PRG) prcise, outre des actions de formation lattention des jeunes, que ladresse IP devienne, par exemple, une donne caractre personnel69. Or, quil sagisse didentit numrique ou de donnes personnelles, la principale difficult vient du fait que coexistent dans le domaine deux besoins contradictoires. En premier lieu, la gnralisation dinternet a contribu anonymiser les utilisateurs qui cherchent autant que possible intervenir sur internet, en tant que diffuseurs ou consommateurs de contenu, en conservant autant de libert possible. Les problmatiques lies au droit loubli, au silence des puces ou la capacit de dconnexion des individus et, dans une certaine mesure, des personnes morales traduisent en partie ce besoin. De la mme faon, lutilisation de pseudonymes ou le recours grandissant des avatars illustrent la volont dviter de rvler sa vritable identit. A contrario, le besoin de scurit savre galement tre le pilier des changes numriques entre les personnes, par exemple pour ce qui concerne les transactions conomiques, et de faon plus gnrale comme la base de lensemble de ldifice numrique. Les tats doivent jouer le rle de tiers de confiance pour protger et garantir lintgrit de lidentit des personnes mais se faisant, ils acquirent la capacit nouvelle/sup-
67
http://wiki.univ-paris5.fr/wiki/Informatique,_libert %C3 %A9s_et_vie_priv %C3 %A9e#Droit_.C3.A0_l.27 oubli Guillaume Desgens-Pasanau et Eric Freyssinet, Lidentit lre numrique , Dalloz/Presaj, 2009, p. 153. http://www.senat.fr/noticerap/2008/r08-441-notice.html
68 69
34
03/2012
plmentaire dinvestigation quils devront utiliser pour identifier les malfaiteurs au moins au niveau national. La complexit de la collecte et de lanalyse de donnes grande chelle reprsente toutefois une mdiocre garantie danonymat. Par contre, le recours des applications spcifiques permet de dissimuler la localisation dun utilisateur et de masquer les liaisons tablies avec un interlocuteur ou un site70. Conue par le Naval Research Laboratory des tats-Unis sur le principe du routage en oignon, le systme TOR le plus connu des moyens danonymisation est maintenant disponible en logiciel libre et accessible tous. Mme sil est difficile de prsager si ce logiciel ou ses drivs vont garantir dans la dure lanonymat sur Internet, il convient de souligner que Wikileaks est rput avoir protg ses bases de donnes et lidentit de ses informateurs en utilisant des techniques drives de TOR. Une approche diffrente a t engage par le gouvernement amricain au travers du dveloppement dun kit anti-censure destin aux oppositions certains rgimes hostiles Washington. Cet outil doit permettre lutilisateur de disposer de moyens pour diffuser en toute scurit et hors des circuits Internet surveills des informations recueillies sur place grce des rseaux parallles (Internet et mobiles), des ordinateurs portables, des antennes et en utilisant des logiciels de cryptage. Il doit galement permettre aux utilisateurs daccder Internet sans utiliser les fournisseurs de service surveills71.
Les outils et procdures danonymisation qui se dveloppent peuvent rendre de plus en plus difficile lattribution des attaques des auteurs clairement et rapidement identifis, au dtriment de la crdibilit des moyens de cyber-dissuasion.
70 71
La plus connue des solutions danonymisation est le logiciel TOR. https://www.torproject.org/ http://arstechnica.com/tech-policy/news/2011/01/uncle-sam-has-30m-to-bypass-chinese-iranian-net-filters.ars
35
Dfinition dun concept et dune doctrine en matire de dissuasion numrique, comparaison avec la dissuasion nuclaire et difficults spcifiques
Objectifs et structure gnrale dune dissuasion numrique Le dbat sur les stratgies de dissuasion numrique volue autour de plusieurs questions, en particulier celle de savoir si limportance des dgts que peut potentiellement causer une attaque numrique (ou une srie dattaques) peut justifier la mise en place dun systme complexe oprer et mettre en uvre. Ce dbat est difficile trancher dans la mesure o les donnes disponibles sont trop parcellaires ou proviennent (souvent) de sources dont lobjectivit est sujette caution. De fait, il parat difficile dtablir dfinitivement lintensit relle du risque numrique qui prend la forme de ce que lon pourrait appeler un bruit de fond constant , c'est--dire des actions ngatives permanentes qui affectent les systmes informatiques mondiaux. A contrario, on ne peut que constater au travers des exemples disponibles que plusieurs attaques importantes y compris des intrusions de grande ampleur finalit despionnage72 ont t constates depuis 200773. Ces vnements tmoignent sans doute de lexistence de vulnrabilits numriques de plus en plus exploites par des acteurs malveillants ou, de faon plus prosaque, la consquence du fait que les systmes informatiques et de communication tiennent une place de plus en plus critique dans nos activits quotidiennes la fois pour des oprations physiques et matrielles, le stockage de donnes confidentielles ou personnelles ou encore, lchange dinformation entre des acteurs distants. Face une gamme tendue dactes malveillants, la premire question qui se pose est de savoir le rle gnrique quaurait une dissuasion numrique. A ce stade, on peut estimer quelle pourrait poursuivre deux principales finalits dclares74 : Dfendre des intrts numriques spcifiques ils comprennent a minima les infrastructures nationales critiques mais qui pourraient stendre dautres intrts nationaux face aux menaces que les acteurs malveillants (dorigine tatique ou pas) peuvent gnrer ; Eviter un enchanement dactions par des acteurs malveillants ou les organisations qui les emploient qui amneraient accrotre les effets ngatifs sur les intrts numriques dfendus (escalade). Il est important de souligner que lon se place ici dlibrment dans une situation o lasymtrie existante entre attaque et dfense pourrait tre rduite par lintensit possible dun conflit entre deux acteurs tatiques75.
72 73
http://news.softpedia.com/news/Germany-Attacks-China-For-Starting-The-Cyber-War-68994.shtml
Thrse Delpech, La guerre informatique a commenc , Politique Internationale, N130, Hiver 2010-2011, pp. 219-232. Martin C. Libicki, Cyberdeterrence and Cyberwarfare , RAND, 2009, p. 7. Ibid, p. 33.
74 75
37
03/2012
Figure 10 : Extrait du rapport du CSIS sur la cyberscurit pour la 44me prsidence des tats-Unis (CSIS 2008)
Pour atteindre ces objectifs, au moins deux fonctions complmentaires sont indispensables : Une fonction dfensive qui viserait amliorer les capacits de protection des intrts critiques dfendus jusqu un niveau tel que le rapport cot/efficacit pour un attaquant devient trop lev pour que lagression prsente un quelconque intrt. En dautres termes, il sagit de rendre les attaques si coteuses raliser pour des gains tellement limits que les acteurs malveillants seront amens y renoncer. Pour tre fonctionnelle, cette option suppose que quelques conditions initiales soient runies : Les moyens de dfense et de protection doivent tre fiables et leur efficacit doit tre dmontre, au moins en partie, aux acteurs externes. La capacit des systmes dfendus redevenir rapidement fonctionnels en cas dattaque (leur rsilience) participe galement la crdibilit de la dfense et donc la manuvre de dissuasion. Il y a un quilibre (conomique et oprationnel) trouver entre la protection des systmes et les outils et processus de rcupration aprs un incident. La dfense numrique ne doit pas se limiter aux outils techniques et aux protocoles systmiques protgeant les outils, logiciels et infrastructures jugs critiques mais doit inclure llaboration des processus de rcupration et de gestion des incidents visant rduire autant que possible les consquences dune attaque et la dure de linterruption des oprations (notion de rcupration/rsilience). La fonction de rcupration comme complment aux moyens et systmes de dfense met un accent particulier sur la capacit des individus concerns et des organisations ragir de faon efficace face des attaques ou incidents : les exercices et entranements constituent par consquent un des outils clefs de la cyber-dfense et de la dissuasion numrique. Le cot de cette dfense doit rester cohrent avec la valeur (conomique ou stratgique) des cibles protger et le cot des dgts engendrs par leur neutralisation (pendant des dures donnes). Le dimensionnement et lorganiF O N D A T I O N pour la R E C H E R C H E S T R A T G I Q U E
38
03/2012
sation du systme de dfense stratgique sont des dcisions prendre la fois sur des bases financires mais galement aprs une phase dvaluation technique et politique des vulnrabilits. Il sagit en effet de dterminer quels systmes ncessitent quel niveau de protection sachant que les moyens de dfense les plus efficaces sont dans les faits les plus coteux. Les choix en matire de scurit doivent reposer sur le cot relatif pour combler telle ou telle vulnrabilit par rapport celui engendr par son exploitation. Une fonction offensive qui pourrait permettre de menacer un attaquant (i.e. : ses possessions, son territoire, ses outils/rseaux numriques ou de communication...) de reprsailles telles que les gains attendus dune attaque savreraient trs infrieurs aux dgts qui rsulteraient des actions de rtorsion. La question se pose in fine de savoir si la capacit de reprsailles, qui sous-tend la validit de ce concept, est effectivement crdible dans lenvironnement cyber . Cette fonction comprend une sous-fonction spcifique portant sur lattribution des actes malveillants et lidentification des responsables. Dfinitions relatives au cyberespace et spcificits de cet espace Dfinitions Lun des problmes lis aux tudes et recherches portant sur le cyberespace vient de labsence de dfinitions stabilises et reconnues par lensemble des experts et acteurs du domaine. Cette difficult concerne en particulier les incidents, attaques ou conflits affectant ou mettant en jeu des systmes dinformation. A titre dexemple, lEast-West Institute (EWI) a publi en avril 2011 un document proposant des dfinitions portant sur des situations, actions et procdures relatives aux systmes dinformation76. En particulier, ce document, sans dfinir la cyber-dissuasion au sens propre, mentionne lexistence d lments dissuasifs dans le cyberespace (the cyber-deterrents). Un lment cyber-dissuasif est un mcanisme dclar, prsum efficace pour dcourager un cyber-conflit ou une action menaante dans le cyberespace. Deux types dlments dissuasifs peuvent tre envisags : Une cyber-capacit dfensive est une capacit permettant de se protger efficacement contre une exploitation du cyberespace77 ou des cyber-attaques78 et de les repousser. Une cyber-capacit offensive est une capacit propre dclencher une cyberattaque
76 77
Russia-US Bilateral on Security Critical Terminology Foundations , EWI, April 2011.
Une exploitation du cyberspace consiste exploiter une occasion ou une vulnrabilit numrique pour atteindre un objectif. Une cyber-attaque consiste utiliser une cyber-arme afin dendommager une cible dsigne.
78
39
03/2012
Plus gnralement, la cyber-dfense est dfinie comme un ensemble de capacits organises pour se protger contre des cyber-attaques, en attnuer les effets et revenir ltat antrieur. Ces dfinitions prsentent lavantage mais aussi linconvnient de rester trs gnrales. De fait, elles couvrent des situations trs varies qui peuvent concerner de nombreux systmes ou cibles. A ce titre, elles ne permettent pas dobtenir le niveau de diffrenciation indispensable pour laborer finement un concept dissuasif adapt lespace numrique. Ainsi, le document de lEWI qualifie de cyber-guerre des cyberattaques autorises par des acteurs tatiques contre des infrastructures dans le cyberespace, en conjonction avec une campagne gouvernementale , quelle que soit lintensit des oprations et leur impact rel sur les systmes viss. Une telle dfinition peut conduire considrer nimporte quelle cyber-attaque comme un acte de guerre79. Sans carter dfinitivement les dfinitions proposes par lEWI, nous prfrons dans le cadre de cette tude utiliser celles, plus prcises, proposes par le SGDSN80 pour le cyberespace, la cyber-dfense, la cyber-scurit et la cybercriminalit (cf. infra).
Encadr 3 : Dfinitions dans le domaine cyber (Dfense et scurit des systmes dinformation Stratgie de la France SGDSN 2011) Cyberespace : Espace de communication constitu par linterconnexion mondiale dquipements de traitement automatis de donnes numriques. Cyber-scurit : tat recherch pour un systme dinformation lui permettant de rsister des vnements issus du cyberespace susceptibles de compromettre la disponibilit, lintgrit ou la confidentialit des donnes stockes, traites ou transmises et des services connexes que ces systmes offrent ou quils rendent accessibles. La cyber-scurit fait appel des techniques de scurit des systmes dinformation et sappuie sur la lutte contre la cybercriminalit et sur la mise en place dune cyber-dfense. Cybercriminalit : Actes contrevenants aux traits internationaux ou aux lois nationales, utilisant les rseaux ou les systmes dinformation comme moyens de ralisation dun dlit ou dun crime, ou les ayant pour cible. Cyber-dfense : Ensemble des mesures techniques et non techniques permettant un tat de dfendre dans le cyberespace les systmes dinformation jugs essentiels.
79
http://online.wsj.com/article/SB10001424052702304563104576355623135782718.html?mod=WSJ_hp_ LEFTTopStories Dfense et scurit des systmes dinformation : La stratgie de la France , SGDSN, Fvrier 2011.
80
40
03/2012
Selon ces dfinitions, la cyber-dissuasion devrait appartenir au champ de la cyberdfense, cest--dire comprendre lensemble spcifique des mesures techniques et non techniques propres dissuader les acteurs potentiels de chercher porter atteint la scurit des systmes dinformation et de communication jugs essentiels. Spcificits du cyberespace Le cyberespace se distingue des autres milieux (terre, air, mer, espace) par plusieurs spcificits qui doivent tre prises en compte afin de conduire une rflexion sur llaboration dun concept de dissuasion qui lui serait propre. A. Extensivit et pervasivit de lespace numrique Les milieux habituels dans lesquels se droulent les conflits arms (terre, air, mer et espace) ont leurs propres limites gographiques et sont gnralement soumis des rgles et lments de droit international. A linverse, le cyberespace na pas de dlimitation gographique, mme si son fonctionnement et son existence dpendent de systmes physiques rpartis sur lensemble du globe (routeurs, servers, cbles sousmarins..). En outre, il imprgne progressivement lensemble des activits humaines, mme si de fortes disparits persistent entre les utilisateurs selon leur appartenance sociale, leurs secteurs dactivit ou encore leurs pays de rsidence. Enfin, il convient de souligner que le droit gouvernant les activits dans le cyberespace reste embryonnaire au regard de ceux rgissant les activits dans les autres milieux, ou mme le droit des conflits, et la ncessit de le dvelopper demeure un sujet de dbat81. B. Convergence des systmes de communication de donnes vers des protocoles uniques Les protocoles utiliss pour grer les flux de donnes numriques convergent rapidement vers la norme Internet Protocol qui tend homogniser linfo-sphre et intgrer progressivement lensemble des activits numriques dans Internet82. Cette homognisation est de nature accrotre les risques en matire de scurit numrique83. Elle rsulte toutefois dune forte pression conomique visant rduire les cots dinvestissement aussi bien que ceux de fonctionnement. Il sensuit une interconnexion croissante des rseaux, des systmes appartenant des architectures numriques en particulier les outils industriels ou des grands rseaux publics et des acteurs privs ou publics qui les oprent.
81
Perspectives for Cyber Strategists on law for cyberwar , Charles J. Dunlap Jr., Major General, USAF, Retired, voir aussi Colloque INSEM IDEST Les enjeux juridiques de la cyber-guerre , 16 juin 2011. http://en.wikipedia.org/wiki/Internet_Protocol Les risques rsultant de la convergence sont dtaills plus loin.
82 83
41
03/2012
C. Absence de seuil technologique/oprationnel ncessaire lutilisation du cyberespace Alors que la plupart des domaines technologiques ncessitent un certain degr dexpertise scientifique et la matrise doutils techniques parfois complexes pour tre utiliss des fins offensives, lespace numrique se distingue par la simplicit apparente de son utilisation. Il suffit a priori dacheter un ordinateur quelques centaines deuros, voire daller dans un cybercaf, pour accder au cyberespace et y mener des actions potentiellement trs agressives. Il nest mme pas ncessaire de savoir coder pour lancer un acte malveillant dans la mesure o de nombreux outils logiciels destins mener des actions offensives peuvent tre acquis sur le march noir li la criminalit numrique. Ainsi, certains groupes criminels se sont spcialiss dans le dveloppement et la vente de logiciels ou doutils destins accder et pirater des rseaux distants voire conduire des attaques massives contre des systmes connects Internet. Ce march noir, constitu au fil des annes, est rgi par la loi de loffre et de la demande. Par exemple, une concurrence forte oppose les acteurs pour la matrise de rseaux de machines zombies. Selon le bulletin de juin 2009 sur la cyberdlinquance de la socit Finjan84, le cot d achat de mille machines franaises infectes serait de 20 dollars. Cette tude dtaille de faon didactique le march des machines zombies en analysant une plate-forme existante : Golden Cash. Le prix de mille machines zombies varierait sur cette plate-forme de 5 dollars 100 dollars en fonction du pays abritant les ordinateurs concerns. Des prix plus levs peuvent, cependant, tre pratiqus dans le cadre doprations cibles et montes par des intermdiaires ayant achet les machines au prix de gros. Labsence de seuil technologique dans le domaine numrique a une consquence majeure : il existe une unicit des moyens et outils techniques employs dans le cyberespace qui se traduit par une interoprabilit quasi-totale entre les systmes. Ainsi, quil sagisse des logiciels ou des systmes physiques les plus lmentaires ou des plus performants, il apparait difficile si ce nest impossible de sparer (sgrger) les activits numriques sur la base des niveaux technologiques, des utilisateurs concerns ou des modes opratoires. D. Les changes de logiciels et moyens informatiques sont relativement mal encadrs par les accords et outils de contrle des matriels sensibles Alors quil existe de nombreux accords visant matriser la dissmination des technologies, des composants et des matriels militaires, de ceux caractre sensible ou ayant une application duale, les normes de non-prolifration et de contrle des armements ne sont pas conues pour contrler la diffusion des moyens qui peuvent tre employs pour des oprations offensives ou dfensives dans lespace numrique. Il convient par exemple de noter que laccord de Wassenaar ne prend pas en compte les logiciels du domaine public85. De fait, il revient chaque tat de dfinir les rgles
84 85
http://www.finjan.com/Pressrelease.aspx?id=2280&PressLan=2139&lan=3 Arrangement de Wassenaar, Note gnrale sur les logiciels .
42
03/2012
limitant lacquisition ou la vente des logiciels et moyens informatiques quil considre comme sensible. Par ailleurs, lexemple des outils de cryptologie (cryptage et cryptanalyse) montre quil nexiste pas en la matire de consensus international sur le contrle des technologies numriques. Ainsi, pour ce qui concerne la France, ces moyens ont t largement libraliss la fin des annes 1990 et retirs de la liste des armes de guerre et des matriels assimils. Cette situation sexplique assez bien si lon considre le caractre extrmement dual des systmes et logiciels concerns ainsi que le fait que, pour lessentiel, les finalits dutilisation sont pacifiques. De la mme manire que lespace extra-atmosphrique, les difficults en termes de contrle sont galement lies au fait que le cyberespace est profondment transnational et que les mesures restrictives le concernant auraient des consquences conomiques majeures. Pour autant, comme en matire de gouvernance des activits numriques, il convient sans doute pour faciliter la lutte contre les risques numriques les plus graves de dfinir des rgles internationales qui permettraient de responsabiliser les tats et les principaux acteurs. Quelles leons peut-on tirer de lexercice de la dissuasion dans le domaine nuclaire ? Applicabilit des concepts de dissuasion nuclaire La plupart des concepts de la dissuasion nuclaire sont thoriquement applicables au domaine cyberntique, parce que ce ne sont pas des concepts propres au domaine nuclaire. En effet, il existe au fond assez peu de concepts spcifiques la dissuasion nuclaire. La plupart de ces concepts sont en effet des adaptations au domaine nuclaire de concepts issus de la stratgie classique. Les notions de dissuasion , de reprsailles , dinterdiction font partie du vocabulaire stratgique depuis des sicles. Il en est de mme pour certains des principaux concepts tels que par exemple le tir davertissement (le coup de semonce86), la notion descalade et ses drivs (seuils et coupe-feux, matrise de lescalade, etc.), lide de frappe vocation dsarmante , et les divers raffinements qui ont t apports aux politiques de ciblage (contre-C3, centres de pouvoir, etc.). Les concepts sous-jacents aux expressions reprsailles [ou riposte] massive[s] et riposte gradue ne sont pas non plus fondamentalement des innovations de la stratgie nuclaire.87 Dans le premier cas, il sagit dexercer contrer ladversaire des reprsailles sans commune mesure avec lenjeu du conflit ce qui nest aucunement une innovation historique.88 Dans le second cas, il sagit, dans son sens originel (document
Lexpression shot-across-the-bow , qui provient de la stratgie navale, tait frquemment employe au temps de la Guerre froide pour voquer lide dune frappe de dmonstration ou davertissement.
87 86
Dans une logique de dissuasion, lexpression riposte massive est une meilleure traduction de massive retaliation que celle de reprsailles massives .
Mme la notion de reprsailles massives contre les populations adverses ne date pas de lre nuclaire : le premier bombardement de Tokyo (18 avril 1942) relevait dj dune forme de reprsailles contre-cites ralise
88
43
03/2012
MC 14/3, 1968), de choisir, face une agression, entre trois modes daction possibles : soit de riposter au niveau de violence choisi par ladversaire, soit de procder une escalade graduelle et contrle, soit de riposter massivement. La dissuasion largie applique au domaine nuclaire lide selon laquelle il est possible de dcourager un agresseur de sen prendre un tat faible en faisant savoir quil dispose dun puissant protecteur logique aussi ancienne que les alliances militaires. Mme lexpression intrts vitaux peut tre assimile celle des uvres vives dun navire (cette dernire expression tait dailleurs frquemment employe dans la rflexion stratgique franaise des annes 1970).89 La dissuasion nuclaire a bien entendu innov, en donnant une rsonance beaucoup plus forte certains de ces concepts : cest le cas notamment de la notion de seuil nuclaire, dont limportance du franchissement a donn naissance au non-emploi en premier 90 ; et cest galement le cas des reprsailles massives, assimiles la capacit de destruction quasi-instantane des villes adverses, ou encore de la dissuasion du faible au fort , qui na rellement de sens que dans le domaine nuclaire. Mais ces concepts sont thoriquement applicables dautres domaines, dont, pourquoi pas, celui du cyberespace. Obstacles et difficults Dans les faits, il existe de nombreux obstacles lapplication au domaine cyberntique des concepts de la dissuasion nuclaire comme pour lapplication dautres concepts stratgiques. A. La question du dialogue dissuasif et de la menace de reprsailles La dissuasion par menace de reprsailles est a priori difficilement applicable au domaine informatique. Les principales raisons sont bien connues et prcises dans le corps de cette tude. Elles tiennent pour lessentiel cinq facteurs : (1) La difficult didentifier ladversaire avec certitude, qui lvidence pose problme pour la conduite mme dun dialogue dissuasif .91 Elle rend particulirement difficile une dissuasion informatique largie : quel tat sengagerait pour un autre prendre la responsabilit de la riposte sans certitude quant lorigine de lattaque ?
avec des moyens ariens. Les autres bombardements urbains de la Seconde Guerre mondiale (Londres, Dresde, Berlin, Tokyo) relevaient de la coercition et non des reprsailles.
89 90
De mme lexpression tous azimuts provient-elle du vocabulaire des artilleurs.
Mme si lon pouvait avoir un non-emploi en premier de fait (exemple des armes chimiques au cours de la Seconde Guerre mondiale). Selon un expert estonien, en 2011 les spcialistes occidentaux navaient toujours pas achev la cartographie des attaques de 2007.
91
44
03/2012
(2) La difficult de matriser les effets des reprsailles. Loprateur ne peut non plus avoir de certitude quant la russite de sa frappe , ni au demeurant tre certain que ses effets ont atteint ses objectifs. (3) Linvisibilit des agents et labsence deffets physiques (au moins immdiats), qui empchent, dans la plupart des cas, de confrer larme informatique un caractre effrayant . (4) Le trs grand nombre des acteurs susceptibles dtre concerns, qui empche denvisager par avance une dissuasion sur mesure .92 (5) Le besoin de conserver une grande confidentialit sur lexistence mme de certains des outils la disposition du dfenseur.93 De ce fait, lexercice dune menace crdible de reprsailles, de nature tre dissuasive, reste, sans tre totalement impossible, trs problmatique. B. La question de lescalade et de sa matrise La dfinition dun ventuel seuil cyberntique pose videmment problme. Les moyens informatiques tant utiliss dans toutes les activits humaines, et a fortiori guerrires, il est impossible dimaginer quun tel seuil puisse tre aussi facilement identifiable et avoir la mme valeur que le seuil nuclaire (ou que lemploi dautres moyens tels que les armes chimiques). Une norme de non-emploi en premier naurait donc gure de sens. Tout au plus peut-on imaginer un accord implicite ou explicite entre deux adversaires pour ne pas avoir recours en premier la lutte informatique offensive (mme si lun des deux protagonistes pourrait facilement rompre cet engagement en utilisant des intermdiaires ou des acteurs non tatiques). De mme peut-on imaginer un accord sur le nonciblage par des moyens informatiques de certaines installations civiles dont la perte de contrle serait susceptible doccasionner de nombreuses victimes ou des dommages importants au fonctionnement de ltat barrages, contrle arien, centrales nuclaires, etc.94 La mme logique est applicable par exemple dans le cas sino-amricain au domaine financier.95 Par ailleurs, linvisibilit des agents (et de leurs effets dans de nombreux cas) rend peu crdible lide dune escalade matrise dans laquelle les intentions des protagonistes sont clairement comprhensibles. Cest pour cela, entre autres raisons (on peut y ajouter
92
Sur ce dernier point voir Patrick Morgan, Applicability of Traditional Deterrence Concepts and Theory to the Cyber Realm , National Academies of Science, Computer Science and Telecoms Board, Proceedings of a Workshop on Deterring Cyberattacks: Informing Strategies and Developing Options for US Policies, 2010.
Ceci peut galement faire hsiter employer certains moyens en riposte, de peur que leur utilisation ne compromette ensuite les capacits de renseignement du dfenseur. Sur ce point voir Eric Sterner, Deterrence in Cyberspace: Yes, No, Maybe? , in Returning to Fundamentals: Deterrence and US National Security in the 21st Century, The George C. Marshall Institute, 2011.
94
93
Un parallle pourrait tre laccord indo-pakistanais sur la sanctuarisation des installations nuclaires des deux pays. Aux dires de Richard Clarke, M. Bush avait dailleurs interdit le ciblage du systme bancaire et financier, en raison du risque de perte de confiance des acteurs.
95
45
03/2012
la grande rapidit de conception et de ralisation des agents, contrairement ce qui se passe dans le domaine militaire), quil apparat a priori difficile denvisager une dissuasion purement symtrique . Enfin, la distribution trs large des comptences et des agents rend inapplicable un concept de frappe contre-forces vocation dsarmante. Notons que ceci implique, ipso facto, que tout tat ayant des capacits importantes dans ce domaine disposerait par dfinition dune aptitude la frappe en second . C. La question de lascension aux extrmes et de la riposte massive La menace dune ascension aux extrmes a-t-elle un sens dans le domaine informatique ? Pour que ce soit le cas, il faut pouvoir imaginer quil est possible dexercer des dommages inacceptables un tat laide de tels moyens96. Or ceci ne semble pas crdible aujourdhui.97
Encadr 4 : Dissuasion spatiale Autre exemple de tentative dapplication des concepts de dissuasion un milieu spcifique, lEspace se caractrise par le fait quil sagit dun domaine de souverainet partage entre les tats. Il en dcoule que la seule reproduction des principes et schmas mis en place dans le domaine nuclaire nest ni souhaitable, ni efficace. Ainsi, Washington a articul pour lEspace un concept et une politique dans le domaine qui reposent sur quatre composantes1 : Le dveloppement de normes applicables aux actions responsables ; Le dveloppement de partenariats internationaux conduisant des accords de dfense collective (une attaque contre un membre de laccord sera interprte comme une attaque contre lensemble des signataires) ; Laccroissement des niveaux de rsilience (capacit de fonctionnement en mode dgrad et de retour au fonctionnement normal dans un dlai raisonnable) ; Le maintien en tat de prparation des ripostes rapides en cas dattaque contre les systmes spatiaux, la riposte ntant pas ncessairement limite au domaine spatial.
La mise hors dtat de fonctionner des infrastructures et des rseaux jugs critiques pourrait relever des dommages inacceptables , en ce quelle affecterait sans doute gravement la souverainet de ltat, qui fait traditionnellement partie des intrts vitaux. Une autre hypothse serait une srie dattaques massives sur des installations civiles occasionnant un trs grand nombre de victimes civiles, supposer quune telle option soit techniquement accessible (cf. infra.).
97
96
Il existe peu dexemples de piratage russi dinfrastructures civiles majeures, ayant caus des dommages significatifs : outre Stuxnet, on peut mentionner le cas de la destruction dun pipeline sovitique par une bombe logique (1982). Lun des cas les plus frquemment cits est celui du barrage dItaipu (2009), mais outre le fait que cet incident na pas caus de victimes, il est loin dtre certain quil ait t d des attaques informatiques (Marcelo Soares, Brazil Blackout Traced to Sooty Insulators, Not Hackers , Wired, 9 novembre 2009).
46
03/2012
Rflexions sur les conditions dapplication dune dissuasion numrique Plusieurs lments rendent difficile lexercice de la cyber-dfense Comme nous lavons vu, lespace numrique y compris les moyens, systmes et logiciels qui lui sont associs se distingue des autres milieux par sa pervasivit98, les difficults lies son contrle, la facilit demploi des outils qui le composent et son caractre profondment transnational. Si lon considre lactivit de dfense dans cet espace et sa possible extension des actions dissuasives caractre offensif quelques lments viennent rendre plus difficile le traitement des incidents ou des attaques menes depuis ou vers le cyberespace. A. Difficults lies lidentification des auteurs et des acteurs impliqus Alors que face une action offensive sur terre, sur mer, dans lair ou dans lespace en particulier dans le cas du tir dun missile balistique , les moyens dobservation et les capteurs de renseignement peuvent permettre de localiser presque immdiatement lorigine gographique de laction et assez rapidement, dans la mesure o les capteurs de renseignement sont efficaces, dtablir lidentit des acteurs, ce processus est rendu complexe par la nature mme de lespace numrique. En effet, lidentification permise par les capteurs techniques porte sur les ordinateurs do sont issus les donnes incrimines. Or, de multiples rebonds dune machine une autre peuvent tre mis en place pour dissimuler lorigine relle dune agression. Au-del du deuxime rebond, il devient trs difficile de remonter jusqu lordinateur source. Le dlai ncessaire lidentification constitue galement un facteur important, surtout lorsque les attaques sont transfrontires et ncessitent le concours des autorits locales pour mener lenqute sur la ou les personnes responsables. Mme dans le cas dvnements analyss en dtail dans la dure, il reste parfois difficile de dmontrer le rle prcis de certains acteurs alors quil existe de fortes prsomptions sur leur implication. Ce ft, par exemple, le cas du groupe de hackers russes Nashi dans le cas de lattaque contre lEstonie en 2007. Enfin, il est frquent que des groupes dorigines diffrentes et situs dans des zones gographiques distantes participent de faon coordonne ou pas une mme opration. Cela peut inclure des militants politiques, des spcialistes travaillant pour des organisations criminelles ou des groupes paragouvernementaux, comme dans le conflit Gorgie-Russie en 200899.
98
Sa prsence est permanente dans tous les domaines de lactivit humaine. http://fr.wiktionary.org/wiki/pervasif
99
Voir aussi Alexandre Klimburg, Mobilizing Cyber Power , Survival, January 2011, sur le rle de groupes de hackers russes et chinois dans des actions de soutien la politique de leur gouvernement.
47
03/2012
B. Les consquences relles et de long terme dun acte malveillant sont devenues complexes estimer, tout comme il est difficile dtablir prcisment a posteriori le mcanisme dune attaque et sa finalit Leffet immdiat mais galement les consquences long terme dune action hostile dans le cyberespace sont souvent difficiles valuer. De nombreux logiciels malveillants sont spcifiquement conus pour ne pas tre dcels (chevaux de Troie, keyloggers, spywares). Leur fonctionnement consiste mettre en place des mcanismes qui auront un effet dcal dans le temps ou des moyens destins capter et transmettre vers le pirate des donnes transitant ou stockes sur la machine concerne. La compromission dun systme pour lintgrer dans un rseau dordinateurs zombies (botnet) se fait le plus souvent linsu de son propritaire. Lemploi de ces ordinateurs zombies dans des actions offensives ou pour participer des oprations de type phishing peut dailleurs ne pas tre dtect par ce dernier. Dune manire gnrale, dans le cyberespace, la furtivit est devenue la rgle alors que laction immdiatement destructrice savre tre une exception. Mme lorsquelles sont volontairement cibles, les cyber-attaques utilisant une faille donne peuvent induire des effets collatraux partout o cette vulnrabilit est prsente. Ce ft, par exemple, le cas de Stuxnet et de ses consquences sur le fonctionnement des machines-outils Siemens en Chine. La compromission de quelques ordinateurs dans un parc informatique oblige vrifier toutes les machines du parc avant de pouvoir procder une valuation gnrale dimpact. Une ambigit existe aussi souvent dans lapprciation de lvolution des moyens utiliss pour les attaques numriques. Bien que les types doutils malveillants (ver, virus, spyware, keylogger, chevaux de Troie) soient en nombre limit ils ne se renouvellent dailleurs que peu depuis une dizaine dannes la connaissance des chemins dattaque utiliss et des moyens employs pour permettre la diffusion de ces logiciels demande la plupart du temps une enqute pousse, complexe techniquement et lente. Les rsultats de ces efforts techniques sont incertains et ne permettent parfois pas de dmonter totalement le mcanisme dattaque. Une attaque russie ne laisse souvent pas suffisamment de traces numriques pour, si elles sont exploites, permettre de reconstituer fidlement lenchanement des vnements. La finalit dune action hostile se dduit le plus souvent de lidentification des auteurs et de lvaluation des consquences. Dans certains cas, les attaques font lobjet de revendications explicites. Les deux premiers lments tant le plus souvent difficiles tablir, il reste la revendication, qui peut parfois avoir t conue pour brouiller les pistes menant aux malfaiteurs. Dans le cas de la compromission de systmes informatiques du ministre franais de lconomie et des finances fin 2010, les investigations navaient, par exemple, pas permis de dterminer la finalit de lattaque. C. Dautres obstacles techniques et oprationnels propre au cyberespace sont susceptibles de rduire la crdibilit dune dissuasion numrique Dans un dialogue dissuasif, non seulement il faut disposer de capacits dfensives, offensives et dattribution, mais il faut galement tablir leur ralit et leur fiabilit. Il sagit en somme dtablir une crdibilit dissuasive .
48
03/2012
Problme particulirement complexe dans le cyberespace marqu par lambigit et par le doute sur lorigine et la finalit des attaques, quand celles-ci sont avres. Le virus Conficker en est un bon exemple : de 2008 2009, il a dmontr une remarquable capacit de dissmination (changement de configuration) au point daffecter plusieurs millions dordinateurs. Mais sa source na pas t identifie et aucun pays (mais tait-ce un pays ?) ne peut se prvaloir davoir acquis cette capacit particulire. La structure actuelle de lInternet et des systmes dinformation fait obstacle toute espce de dmonstration en grandeur relle dune capacit offensive. Lancer ouvertement une attaque contre un systme dinformation particulier un systme propritaire par exemple des fins de dmonstration permet a priori dapporter des preuves convaincantes de lefficacit des capacits offensives et dfensives de celui qui conduit un tel exercice mais peut entraner des dommages collatraux importants dont il faudra assumer la responsabilit. Une dmonstration en rseau ferm nest pas de nature convaincre de la mme efficacit en rseau ouvert. En outre, alors que revendiquer une capacit dattaque sans apporter de preuve nuirait la crdibilit dun outil vocation dissuasif, apporter des preuves prcises et dtailles de la crdibilit de cette capacit dvoile le savoir-faire utilis avec la possibilit pour les acteurs concerns dlaborer des moyens de protection et fait courir le risque dtre suspect si des attaques du mme type son perptres. Dans le cas du ver Stuxnet, par exemple, lanalyse dtaille du code et des traces laisses par lattaque dmontre le haut niveau de technicit et suggre des auteurs potentiels100, mais ne fournit pas de preuve dfinitive de limplication de tel ou tel acteur. Et mme une dclaration personnelle101 allant dans le mme sens ne constitue pas une preuve suffisamment solide pour justifier des reprsailles. Le cas de Stuxnet soulve dautres questions : pourquoi le mme niveau de technicit na-t-il pas t utilis pour dissimuler les traces, voire pour dtruire le ver (son code) une fois lattaque excute afin dempcher la prolifration du savoir-faire utilis ? Mais en supprimant les traces, lauteur rduit les possibilits de pouvoir sattribuer le bnfice de cette capacit offensive. Ce qui sest pass avec Stuxnet participe peut-tre de la recherche dune solution mdiane : dmontrer sa technicit quitte la laisser dissminer (ce qui peut suggrer quon en a bien plus en rserve) et fournir des indices suffisamment nombreux et concordants pour que les personnes averties sachent quoi sen tenir Un autre volet de llaboration de cette crdibilit dissuasive tient la fiabilit des dclarations que lon peut faire : il faut prendre garde dans un espace caractris par un fort degr de transparence et une vitesse importante de circulation des informations ne pas tre dmenti par les faits, car alors non seulement la dissuasion na pas fonctionn mais la crdibilit de lauteur peut tre durablement remise en cause. La perte de rputation dans lespace numrique est de nature rduire les bnfices potentiels dune posture dissuasive.
100
Discussion personnelle avec des responsables de la DGA en matire de Lutte informatique (note dAlain Esterle). Le gnral isralien Gabi Ashkenazi a affirm, lors de son dpart la retraite, tre le pre du ver Stuxnet.
101
49
03/2012
La socit amricaine HBGary de technologie en logiciels scurit a, par exemple, indiqu en 2010 pouvoir identifier des pirates grce ses outils danalyse des informations vhicules par les rseaux sociaux. Dbut 2011, elle annonce en outre avoir infiltr le groupe Anonymous et disposer dune liste de ses membres quelle sapprte fournir au FBI. En rponse, le groupe Anonymous attaque le site dHBGary et met en ligne des dizaines de milliers de mails changs entre HBGary et ses clients, notamment des banques, montrant leurs intentions de mener une sale campagne contre Wikileaks sur la base de faux documents, de campagnes de dsinformation, et dactions despionnage. Simultanment, Anonymous indique que les personnes dsignes par HBGary ne sont pas membres du groupe et que les mthodes didentification utilises par HBGary savrent techniquement douteuses. A la suite de ces rvlations, les clients dHBGary prennent leurs distances vis--vis de la socit et le gouvernement amricain engage des enqutes sur lensemble des contrats passs entre cette entreprise et les services amricains de la dfense. Une situation analogue a mis aux prises lOTAN et le mme groupe Anonymous. Au printemps 2011, lOTAN publie un rapport dcrivant les enjeux des volutions rcentes en matire de cyber-activisme, et portant notamment sur les oprations de Wikileaks et sur celles du groupe de hackers Anonymous102. Le rapport suppose que, confront de nouvelles parades et des oprations de police le visant, le groupe Anonymous ne pourra pas poursuivre ses activits long terme, et que ces membres seront poursuivis. En rponse, Anonymous a accentu ses attaques contre des sites officiels, notamment le FBI. Fin juillet 2011, le groupe a fait savoir quil avait pntr les sites de lOTAN et subtilis lquivalent d1 gigaoctet de documents dont quelques uns ont t mis en ligne titre de preuve, accompagns un message tournant lAlliance en ridicule103. On peut remarquer que cette action, sans sintgrer dans le cadre dune dmarche dissuasive, peut sans doute tre assimile une tentative descalade dans le contexte dun conflit de longue dure entre les tats et un groupe pratiquant des activits illgales104. De fait, si le milieu concern est spcifique (le cyberespace plutt que le milieu terrestre), ce type de confrontation et les mthodes employes ne sont pas sans rappeler la lutte contre les organisations criminelles transnationales ou nationales. Labsence dexemple document de confrontation entre tats dans le cyberespace ne signifie pas que ce type de conflit nexiste pas. En revanche, il montre que les actions offensives intertatiques restent, pour un certain nombre de raisons on peut citer en vrac la volont de ne pas dvoiler ses capacits, celle dviter des reprsailles physiques ou conomiques ou encore dentretenir le doute sur les auteurs , discrtes. Plus sans doute que dans les autres milieux, les actions des spcialistes du renseignement et des agents des services despionnage prennent une place prpondrante ds lors quil sagit dactions offensives dans le cyberespace. Cette ralit doit tre prise en compte dans la perspective de la mise en place dun discours et dune posture de dissuasion.
http://www.nato-pa.int/default.asp?CAT2=2391&CAT1=16&CAT0=2&COM=2443&MOD=0&SMD=0&SS MD =0& STA=&ID=0&PAR=0&LNG=1
103 102
Yes, we haz more of your delicious data. You wonder where from. No hints, your turn. You call it war; we laugh at your battleships. Fin juillet la FBI a aussi dclar avoir arrt 14 membres dAnonymous responsables de lattaque contre le site de paiement en ligne PayPal en Dcembre 2010. Ce qui, supposer que la culpabilit des auteurs soit confirme, donne une ide du dlai ncessaire lattribution dune attaque ayant un caractre purement national.
104
50
03/2012
Elle a des consquences notamment en matire dorganisation dans le registre dfensif comme dans celui des moyens offensifs. Deux principales alternatives se dgagent en la matire : Conformment au Livre Blanc sur la Dfense et la Scurit Nationale105, la France a choisi de sparer les deux fonctions : lAgence Nationale de la Scurit des Systmes dInformation pour la partie dfensive, et le ministre de la Dfense et la DGSE pour la partie offensive. A linverse, les tats-Unis ont prfr confier les deux fonctions au mme organisme (c'est--dire la National Security Agency). Notons enfin que les interdpendances industrielles existantes dans le domaine informatique ainsi que le fait que des cooprations internationales paraissent indispensables afin de rendre plus efficaces les fonctions dalerte, dattribution et de riposte des attaques devraient galement avoir des consquences pour la construction du discours dissuasif et la mise en place dune posture correspondante. Rflexions politiques et stratgiques sur la mise en place dun concept de dissuasion dans le milieu numrique Le principe de dissuasion, dans la mesure o il peut concerner un spectre large de menaces, sapplique aussi bien au domaine judiciaire qu celui des affaires militaires ou stratgiques. De fait, dans le domaine numrique, il ne peut tre propos que dans la mesure o les risques qui peuvent se concrtiser sont susceptibles davoir un impact important sur la scurit voire sur la survie de la Nation. Il doit donc lever, dune faon ou dune autre, les difficults identifies prcdemment. Les problmes qui existent pour identifier lauteur (ou les auteurs) dune attaque, valuer les impacts subis, reconstituer en dtail les vnements et en tablir les finalits sous-jacentes, le tout dans un contexte dinterconnexion gnrale des rseaux et des acteurs, distinguent le cyberespace des autres milieux dans lesquels des dmarches de dissuasion ont pu tre labores. La dmarche dissuasive dans le cyberespace, si elle est possible, ne peut se construire uniquement par rfrence des dmarches existantes106 : elle doit se btir sui generis. Ainsi en va-t-il de lexercice de la domination et du pouvoir dans le cyberespace. En suivant Daniel T. Kuel, on peut dire que le pouvoir se fonde ici sur la capacit utiliser le cyberespace pour prendre un avantage et influencer les vnements dans dautres environnements oprationnels et travers des instruments de pouvoir 107. Le point important est que le seuil dentre dans le cyberespace est si bas que, contrairement aux autres domaines classiques (terre, mer, air, espace), nimporte quel pays, organisation, groupe social ou mme individu peut prtendre venir y jouer un rle non ngligeable. Dans les domaines classiques, les conflits sarrtent souvent par puisement des ressources de lun des adversaires, alors que la plupart des actions hostiles
105 106
Dfense et Scurit Nationale Le Livre Blanc , Ed. Odile Jacob, juin 2008, pp. 182 et 207.
Comme le dit Martin C. Libicki dans le rapport de la Rand Cyberdeterrence and cyberwar : Attemps to transfer policy constructs from other forms of warfare will not only fail but also hinder policy and planning. Daniel T. Kuehl, From cyberspace to cyberpower: Defining the problem , in Franklin D. Kramer, Stuart Starr & Larry K. Wentz, Cyuberpower and National Security (Washington, D.C.: National Defense UP, 2009).
107
51
03/2012
dans le cyberespace sont cot quasiment nul. Il sensuit que, selon Joseph S. Nye Jr., le pouvoir dans le cyberespace est par nature diffus, partag entre de multiples acteurs108. A. Quelles options possibles La dfinition dune doctrine de dissuasion informatique peut sinspirer des rponses apportes de telles difficults dans dautres domaines. En effet, la dissuasion vis--vis dune agression cyberntique prsente les mmes difficults que dautres formes de dissuasion. Le caractre particulirement problmatique de la question de lidentification rappelle la difficult de dissuader le terrorisme nuclaire. Et celui de la matrise des effets nest pas sans analogie avec lutilisation des armes biologiques (ce nest pas pour rien que lon parle de virus et dinfection ). Linvisibilit, dans de nombreux cas, des armes informatiques, est une autre analogie possible avec le domaine biologique.109 On peut donc imaginer de sinspirer des rponses qui ont t apportes face aux difficults mthodologiques de la dissuasion dans ces domaines : face la menace terroriste, la dissuasion par interdiction et la dissuasion indirecte ; face la menace biologique, la dissuasion asymtrique . La dissuasion par interdiction semble assez bien adapte la menace cyberntique. Elle consiste faire savoir ladversaire (en lespce, qui de droit ) que le pays cible dispose de moyens de dfenses actives et passives de nature lempcher datteindre ses objectifs. Si la communication de ltat de ces dfenses nirait pas de soi, on peut imaginer que ladversaire serait renseign sur cet tat du fait dventuelles tentatives dintrusion de sa part. Une dissuasion indirecte consisterait menacer ltat qui aurait organis, sponsoris ou facilit une attaque informatique, condition bien sr de pouvoir retracer lorigine de lattaque. Cest ici que, comme dans le domaine du terrorisme nuclaire, la mise en avant dventuels progrs dans le domaine de lattribution peut tre un lment significatif de la dissuasion. Elle serait complte par lexercice dune dissuasion envers les excutants ou relais de lattaque ( condition que ceux-ci soient accessibles ce qui ne serait videmment pas toujours le cas).110 Contrairement au cas du terrorisme extrmiste, on suppose que la peur des reprsailles (judiciaires ou autres) pourrait tre efficace envers un individu ou un groupe excutant une attaque informatique massive. Comme face la menace biologique, une dissuasion asymtrique est envisageable : dans lhypothse dune attaque massive dont lagresseur serait bien identi-
108 109
Joseph S. Nye Jr, CyberPower , Harvard Kennedy School, May 2010.
Outre le fait, bien sr, qui nest pas pertinent ici, que larme biologique soit interdite par une convention internationale, ce qui interdit un mode dexercice symtrique de la dissuasion. On sinspire ici de ce que les tats-Unis avaient fait en 2003, pour des raisons diffrentes, face lhypothse dune menace chimique ou biologique irakienne.
110
52
03/2012
fi, et afin de matriser au mieux les effets de la riposte, il serait logique denvisager une rponse cintique (reprsailles conventionnelles).111 A lextrme, si lon veut bien admettre que les intrts vitaux dun pays pourraient tre mis en cause par des moyens informatiques, la dissuasion nuclaire elle-mme pourrait tre pertinente.112 Il faut pour cela admettre quil est possible soit de causer des dommages massifs des infrastructures civiles (avec des consquences majeures pour les populations), soit de paralyser des infrastructures tatiques (avec des consquences majeures pour le fonctionnement de ltat et lexercice de sa souverainet). Ceci reste dmontrer. Dans les cas o la dissuasion symtrique (arme informatique contre arme informatique) pourrait fonctionner, il pourrait tre fcond de sinspirer de ce qui reste aujourdhui lun des concepts stratgiques les plus aboutis : le MC 14/3 de lOTAN (1968), qui comme il a t rappel plus haut comprend trois niveaux possibles de riposte : (a) la dfense directe au niveau choisi par ladversaire, (b) lescalade dlibre, et (c) la riposte massive. En dautres termes, il sagirait pour un tat disposant de capacits reconnues dans le domaine cyberntique de faire savoir, tout comme lOTAN le faisait dans les annes 1970 et 1980, quen cas dattaque informatique, il se rserverait la possibilit, soit de riposter au niveau choisi par lagresseur, soit au vu des enjeux du conflit et des intentions prsumes de ladversaire de procder une escalade dlibre (symtrique ou asymtrique), soit dexercer demble des dommages majeurs lagresseur. B. Il parat essentiel de supposer que la cyber-dissuasion sappuie a priori sur des mesures de rtorsion de mme nature que les actes malveillants contre lesquels elle est cense agir de faon mieux contrler les risques descalade Dans lexercice de la dissuasion numrique, il parat ncessaire dcarter a priori lutilisation physique de la force comme rponse approprie un acte numrique malveillant113. Ceci est dautant plus important que le spectre des acteurs qui pourraient subir les mesures de rtorsion est extrmement vari allant dtat jusqu des individus plus ou moins isols. En effet, il apparat vident que des mesures de rtorsion qui seraient adaptes pour punir un tat responsable dun acte numrique malveillant contre un des groupes dintrts jugs critiques, pourraient tre disproportionnes voire, dans certaines circonstances114, inadquates pour rpondre aux actions dune personne, dun groupe criminel ou dune organisation terroriste et, ainsi, viter une nouvelle attaque ou des actes de reprsailles conduisant une escalade.
111 112
Cest dailleurs, comme on le sait, ce quenvisagent dsormais les tats-Unis.
A cet gard, le concept franais dans sa formulation traditionnelle (riposte nuclaire si les intrts vitaux sont atteints quels que soient les moyens adopts par ladversaire) apparat particulirement bien adapt. En dernier ressort toutefois, il faut considrer que certaines atteintes aux intrts vitaux peuvent conduire une riposte disproportionne . Cf. 1.2.3.
113
Par exemple, si le groupe concern ne possde pas de structures vulnrables ou dont la perte aurait des consquences existentielles.
114
53
03/2012
La symtrie complte des moyens utiliss et des effets recherchs est envisageable conceptuellement si lon considre que les dveloppements dInternet et des outils numriques et de communication se poursuivront de faon relativement homogne au niveau mondial et, a fortiori, au sein des administrations et des entreprises du secteur priv. En effet, cette hypothse semble globalement devoir se vrifier, dans la mesure o : Les bnfices (au moins conomiques) du dveloppement des technologies numriques sont largement suprieurs aux risques encourus par leur utilisation. En particulier, dans une conomie mondialise lextrme, la dconnexion volontaire aura un coup lev en termes daccs aux marchs, de facilit financire, dchanges commerciaux, scientifiques ou mme culturels De nombreux outils/objets (y compris des moyens lourds de production ou de transport) devraient lavenir fonctionner soit sur la base dune connexion fonctionnelle avec un rseau de communication adosse internet, soit, a minima, avec des systmes dexploitation commerciaux. Le cas des machines-outils infectes par Stuxnet montre que la numrisation des processus industriels laisse peu de place la libert de dtenir des moyens autonomes utilisant des systmes numriques uniques de conception locale. Toutefois, si la dpendance des tats envers les outils numriques semble tablie, il nen va pas de mme de celle des autres acteurs susceptibles dutiliser des moyens malveillants contre des systmes numriques et, ce titre, justiciables de lemploi des moyens de dissuasion numrique. Les groupes de hackers qui louent/vendent leur savoir-faire et/ou leurs rseaux de machines infectes pour conduire des attaques de type dni de service, pour programmer des malwares ou des spywares ou encore pour dcouvrir des failles de scurit dans des systmes dexploitation, nont le plus souvent besoin que de quelques ordinateurs (puissants) et dune connexion internet. Il se pose donc la question de savoir sil est seulement possible de les dissuader par la menace de rtorsion uniquement numrique. La ncessit dobtenir une forme de proportionnalit entre lacte et la rponse et dtablir lefficacit de cette dernire soulve finalement la question de la capacit garantir leffet des reprsailles et rpter celui-ci autant de fois que ncessaire. Comme le soulignent certains auteurs, la diffrence de mesures de rtorsion (physiques) qui neutralisent (plus ou moins) dfinitivement ladversaire, la cyber-dissuasion peut perturber celui-ci ou temporairement lui ter la capacit de nuire mais aucun moyen numrique ne peut obtenir la neutralisation dfinitive de la menace115. Dans ces circonstances, la dissuasion numrique ne peut pas carter totalement lemploi ponctuel de reprsailles asymtriques 116. Le recours des rponses policires/judiciaires y compris des actions visant les ressources financires des auteurs doit par exemple tre considr contre des groupes criminels pour lesquels la recherche
115 116
Martin C. Libicki, Cyberdeterrence and Cyberwar , RAND Project Air Force, 2009, p. 31.
Le Wall Street Journal confirmait le 31 mai 2011 que le Pentagone avait dcid de considrer les cyberattaques comme des actes de guerre, ouvrant la voie lapplication de la force physique comme reprsailles une attaque numrique. http://online.wsj.com/article/SB10001424052702304563104576355623135782718. html?mod=WSJ_hp_ LEFTTopStories
54
03/2012
du profit est un intrt caractre existentiel117. De la mme faon, lutilisation de reprsailles militaires contre des acteurs malveillants pourrait senvisager dans le cas o ces derniers ont un niveau faible de dpendance envers les technologies de linformation.
Figure 11 : chelle des rponses possibles un acte malveillant ou une agression (source : RAND)
C. Il faut dterminer avec prcision le degr de transparence qui doit tre appliqu lengagement de mesures de rtorsion contre un acteur qui serait tenu pour responsable dun acte ou dune srie dactes malveillants Il sagit in fine de dfinir la posture publique quil convient dadopter en matire de dissuasion numrique. Dans cette perspective, plusieurs facteurs doivent tre pris en compte : La fonction de communication fait intgralement partie de la manuvre de dissuasion : elle a pour rle a minima de convaincre les agresseurs potentiels quils prennent des risques dmesurs sils sont pris en train dattaquer les intrts couverts par la dissuasion118. Lide de conduire lensemble de la manuvre de dissuasion numrique de faon secrte ou confidentielle parat absurde au regard du rle prventif que doit jouer le systme. Dans cette perspective, il convient de souligner que les actions de rtorsion doivent tre visibles/ perceptibles au moins pour ltat, lorganisation ou la personne vise. Si possible les effets dune action de rtorsion doivent avoir une visibilit publique suffisante (et des effets assez impressionnants) pour dissuader dautres agresseurs de conduire leurs oprations.
117
Le FBI estime que le chiffre daffaires global des organisations criminelles slve un trillion de dollars soit schmatiquement 10 % du volume financier reprsent par les changes conomiques mondiaux.
Matthew D. Crosston, How Mutually Assured Debilitation Is the Best Hope for Cyber Deterrence , Strategic Studies Quaterly, Spring 2011, p. 111.
118
55
03/2012
Dans la mesure o lattaque est attribue un ou plusieurs acteurs, il peut savrer ncessaire de fournir la communaut internationale des lments pour justifier lemploi de moyens de rtorsion. Sur ce point, il nest pas forcment indispensable damener publiquement la preuve juridique de la responsabilit mais il semble ncessaire de chercher obtenir un minimum de soutien pour des actions de rtorsion dont les consquences seraient visibles et pourraient tre exploites diplomatiquement et publiquement pour envoyer un message (sur lefficacit des moyens utiliss par exemple) aux futurs agresseurs. Il est ncessaire de conserver un niveau de confidentialit suffisant sur les moyens pour limiter les possibilits de voir se dvelopper des parades. Il est galement indispensable, pour les mmes raisons, de protger les informations portant sur les cibles potentielles. Cela est dautant plus ncessaire que les cibles possibles peuvent voluer assez rapidement en fonction des dcouvertes techniques ou logicielles sur les failles informatiques ou les vulnrabilits des systmes. De la mme faon, les cibles qui ont dj t attaques seront souvent beaucoup plus difficiles atteindre une deuxime fois dans la mesure o les vulnrabilits ou les failles exploites pour y parvenir devraient tre prises en compte et couvertes par les administrateurs systmes concerns. Comme corollaire, la prparation oprationnelle et technique des attaques doit faire lobjet de mesures de confidentialit trs marques pour viter dalerter les dfenseurs ou de fournir des informations critiques sur les vulnrabilits exploites (en particulier sil sagit de 0 day exploit , mais mme pour lutilisation de virus trs performants119). La problmatique du degr de transparence qui doit tre appliqu aux oprations de rtorsion se complique au-del du seul aspect politique si lon considre la spcificit de la dimension numrique. Il existe en effet des cas de figure dans lesquels les incertitudes sur lagresseur ou encore le risque de publicit sur des vulnrabilits critiques sont tellement importants que les actions de rtorsion ne feront pas lobjet de communication publique.120 Lopration de rtorsion doit toutefois apparatre suffisamment transparente aux yeux de lagresseur pour que celui-ci comprenne quil a t dtect et ainsi que sapplique un effet dissuasif. De la mme faon, il ne peut tre question dagir systmatiquement de faon secrte au risque de rduire nant la finalit des reprsailles. Le fonctionnement de cet difice de communication, qui doit finalement tre trs flexible afin de prendre en compte le contexte de lattaque et la difficult spcifique de lattribution (cf. infra), repose dune certaine manire sur une certaine forme de dialectique entre les acteurs impliqus. La stratgie de communication doit galement prendre en compte le risque de dgts collatraux si la cible des actions de reprsailles nest pas le responsable de lattaque initiale. En la matire, il est difficile de proposer une formule qui sapplique tous les cas de figure, toutefois quelques lignes directrices peuvent tre imagines :
119
Martin C. Libicki, Cyberdeterrence and Cyberwar , RAND Project Air Force, 2009, pp. 57-58. Ibid, pp. 94-96.
120
56
03/2012
Si les effets dune attaque sont ressentis par la population ou si les mdias apprennent lexistence dune agression, il apparat ncessaire de communiquer sur les mesures prises pour y rpondre. Il peut sagir dans un premier temps dindiquer que les services comptents cherchent trouver le ou les responsables et dinformer le public sur les mesures correctives prises pour le protger et viter une reproduction de lattaque. Selon les rsultats obtenus dans la phase dattribution, la communication publique doit couvrir les initiatives prises pour punir les responsables et leurs rsultats, ne serait-ce que pour faire passer un message dissuasif vers dautres acteurs qui seraient susceptibles de mener des actions similaires. La communication publique peut galement permettre de rduire le prestige numrique de ladversaire et par l mme sa propre capacit communiquer positivement sur ses actions. Dans le cas dtats, lexposition de leurs actions malveillantes prsente un intrt pour ventuellement les conduire ngocier les conditions dune sortie de crise ou dune cessation des attaques. Si les informations recueillies permettent didentifier lagresseur avec un niveau de confiance lev121, les reprsailles doivent faire lobjet dactions de communication la fois vers le ou les responsables identifis (ou leur commanditaires). La difficult peut venir alors du choix des canaux employs pour faire passer les messages en particulier si les acteurs directement concerns ne sont pas des tats. On peut imaginer des cas de figure dans lesquels il est ncessaire de communiquer la fois vers les agresseurs identifis mais galement vers les pays depuis lesquels ils agissent122. Il peut exister des scnarios dans lesquels les reprsailles ne sont pas souhaitables par exemple parce quelles viennent trop tard aprs lattaque ou quelles sont irralisables ou trop complexes mettre en uvre mais pour lesquels ltat concern peut avoir intrt communiquer vers lagresseur dans une logique dissuasive. Cela peut consister simplement faire savoir ce dernier quil a t identifi et ainsi le prvenir des consquences qui pourraient dcouler dune nouvelle attaque. Enfin, il faut prendre en compte dans la construction dune stratgie de communication qui sappliquerait de faon gnrale la cyber-dfense et plus spcifiquement la cyber-dissuasion le fait que plusieurs lments rendent le dialogue avec les agresseurs relativement compliqu par rapport ce que lon connait dans les autres milieux. Le simple fait que certains agresseurs peuvent ne pas tre des tats implique de disposer dune gamme doutils relativement large pour faire passer des messages. Il faut galement prendre en compte la possibilit que les auteurs agissent pour le compte de commanditaires. Dans ce cas, la stratgie de communication pour contribuer dissuader tous les acteurs impliqus doit stendre des voix diplomatiques des solutions plus artisanales ou cratives.
Il est difficile de dfinir prcisment ce que ce niveau doit tre. On peut toutefois imaginer quil dpendra dun choix effectu par les responsables politiques prenant en compte : le contexte, la discussion avec les services et ventuellement celle avec les allis.
122
121
Ces derniers pouvant tre des commanditaires ou alors des tats ne disposant pas des outils juridiques et policiers capables de dissuader des auteurs criminels de commettre des attaques numriques. Cf. infra.
57
03/2012
Lattribution de lacte reste au cur de lapplication du concept de dissuasion dans lespace numrique Si lattribution dun acte (ou dune srie dactes) malveillant un acteur spcifique parat ex nihilo complique du fait de la nature mme de lespace numrique, plusieurs lments doivent cependant permettre lexercice de la cyber-dissuasion123 : Le contexte gostratgique mais galement celui qui prvaut en termes techniques peut faciliter lattribution dune srie dactes malveillants : pour prendre un exemple, dans le cas estonien, il apparat que la Russie porte une part importante de responsabilit mme si les services officiels russes nont pas forcment mens directement les oprations visant neutraliser les serveurs estoniens. Pour autant, cela ne peut pas tre le seul facteur dterminant pour attribuer une attaque, ce dautant que dans certaines circonstances plusieurs acteurs peuvent avoir intrt la commettre et il peut arriver que des acteurs conduisent des attaques numriques en cherchant en rendre responsable un tiers124. Il faut toutefois considrer que les tats pourraient vouloir prendre la responsabilit dattaques numriques menes contre leurs adversaires, par exemple dans une logique de dissuasion. La responsabilit de ltat abritant les infrastructures et les moyens techniques utiliss pour conduire laction malveillante pourrait tre engage dans certaines circonstances125. Ainsi, dans les pays ne disposant daucun cadre juridique ou de lgislations peu contraignantes visant les acteurs numriques malveillants ou criminalisant, certains comportements pourraient tre considrs comme (co)-responsables dune action manant de machines situes sur leur territoire. La responsabilisation des tats, tout comme dailleurs celle des fournisseurs de service abritant des pirates ou facilitant leurs oprations126, est imaginable. De la mme faon, les tats refusant de cooprer dans le cadre denqutes criminelles concernant des actes commis depuis leur territoire pourraient tre tenus comme partiellement responsables dune attaque mene depuis leur territoire. Le recours des individus ou des organismes comme proxy naltre pas le fait que, sans la participation, le soutien ou mme seulement laccord tacite ou encore labsence de mesures correctives/dissuasives mises en place par les tats, certains actes malveillants ne pourraient avoir lieu. Comme le souligne dailleurs quelques auteurs, les groupes de pirates capables de produire les effets les plus importants en termes de dure comme de consquences donc ceux considrs comme vitaux qui seraient pris en compte par le systme de dissuasion numrique disposent vraisemblablement dune assistance technique assez importante de la part dtats : mme sils ne sont
123 124 125
Eric Sterner, Retaliatory Deterrence in Cyberspace , Strategic Studies Quarterly, Spring 2011, pp. 73-75. Martin C. Libicki, Cyberdeterrence and Cyberwar , RAND Project Air Force, 2009, p. 44.
Les tats restent responsables physiquement des infrastructures quils abritent comme juridiquement des organisations qui agissent sur leurs territoires. Voir Joseph S. Nye Jr, CyberPower , Harvard Kennedy School, May 2010, p. 11. Voir sur cette question, Noah Schchtman, Pirates of the ISPs: Tactics for Turning Online Crooks Into International Pariahs , Brookings China Center, Cyber Security #1, July 2011.
126
58
03/2012
pas institutionnaliss, leurs actes peuvent donc lgitimement tre considrs comme manant des pays qui les soutiennent127. On pourrait ds lors avancer en premire analyse dans le cadre de ce raisonnement que seuls les tats sont les acteurs susceptibles de soutenir et de conduire des cyber-attaques qui savreraient justiciables de lemploi de reprsailles. A ce titre ils se qualifient galement pour des mesures de rtorsion symtriques visant leurs infrastructures ou leurs systmes informatiques critiques. Cependant, ces arguments restent difficiles manier du fait de labsence dune convention contraignante en matire de cybercriminalit sappliquant de faon universelle128. Par ailleurs, les diffrences entre les approches juridiques nationales par exemple, lexistence de lois protgeant les donnes numriques des citoyens peuvent conduire certains tats refuser de cooprer au nom de la protection de leurs citoyens. Enfin, on ne peut pas carter totalement la possibilit de fausses alarmes : quil sagisse de disfonctionnements (logiciels notamment) produisant des effets comparables une attaque ou pannes mcaniques ou logiques. On ne peut pas plus ignorer le fait que certains hackers particulirement dous, gniaux ou chanceux pourraient tre en mesure de produire des effets allant au-del de leurs esprances ou de leur niveau de savoir-faire. Lvolution et le dveloppement des outils techniques pourraient faciliter le travail denqute et dinvestigation suivant une attaque. Les capacits des tats tracer ventuellement en temps rel les points dorigine, cerner (et ventuellement recopier) les modes opratoires, dcortiquer les codes et logiciels utiliss pour une action ou une srie dactes devraient continuer augmenter tout comme la disponibilit de ressources humaines et techniques plus importantes (notamment en termes de puissance de calcul disponible ou de savoir-faire technologique). Mme si lon peut craindre que les groupes de pirates voient galement leur potentiel de nuisance augmenter au fur et mesure du dveloppement des technologies, lavantage technique et humain appartient potentiellement aux puissances publiques que sont les tats129. A condition que ces derniers parviennent exploiter cet avantage, il pourrait devenir de plus en plus difficile pour une partie des acteurs malveillants de conduire des attaques (dampleur) sans risque dattribution.
Dans une logique comparable de celle qui prvaut pour les organisations terroristes en gardant lesprit que certains actes techniques (la cration de logiciels, la dcouverte de 0 day exploit c'est--dire de vulnrabilits qui nont jamais t exploites) demandent des moyens techniques et de recherche plus importants que ceux minimaux dont disposent certains rseaux de hackers (en anglais ring c'est--dire des organisations informelles).
128
127
La convention sur la cybercriminalit de novembre 2001 na t ratifie que par 14 tats, dont la France. Elle prvoit toutefois la mise en place de cooprations internationales spcifiques pour rpondre des crimes numriques. http://fr.wikipedia.org/wiki/Cybercrime Lide quune agression dtecte puisse conduire une riposte immdiate et automatique contre les machines qui en sont lorigine pourrait tre envisage. Joseph S. Nye Jr, Cyber Power , Harvard Kennedy School, May 2010, p. 16.
129
59
03/2012
Lattribution partielle dune attaque numrique est un moyen envisageable pour exercer une forme de dissuasion sur certains acteurs Mme lorsquil est possible de rassembler beaucoup dindices sur limplication de certains acteurs, il reste gnralement trs difficile dapporter suffisamment de preuves pour tablir formellement quils sont les auteurs dune attaque. Cette incertitude rend finalement dlicat le recours des reprsailles de destruction dans le cadre dune logique dissuasive. La mise en place dun systme de raction multinational peut suppler cette difficult. Il sagirait alors : Daccrotre les capacits danalyses et denqute en exploitant les synergies entre les moyens techniques des tats et les cooprations judiciaires et policires ; Dobtenir une condamnation commune dun acte et de son auteur prsum quil sagisse dun tat ou de groupes non tatiques en tablissant une conviction partage reposant sur des donnes analyses en commun dfaut de preuves. Cette solution peut offrir un certain niveau de dissuasion contre des attaques numriques aux tats et aux organisations impliques dans un systme multinational caractre coopratif. Son aspect dissuasif pourrait tre renforc si ce systme tait investi par les participants de lautorit ncessaire pour prendre des mesures coercitives ou punitives dpassant la seule condamnation de lacte. Cette dimension particulire de la dissuasion numrique a t identifie dans son tude sur le Cyber Power 130 par Joseph S. Nye Jr : Finally, to the extent that false flags are imperfect, and rumors of the source of an attack are widely deemed credible (though not probative in a court of law) reputational damage to an attackers soft power may contribute to deterrence.. Il est vrai que dans lespace numrique, la rputation dun acteur possde une valeur spcifique bien plus importante que dans les autres milieux. De fait, de nombreux acteurs du rseau mondial sont lus et suivis par les internautes du fait de leur rputation : intgrit, comptence, accs des informations fiables, indpendance, etc. Les opinions quils formulent, les analyses quils dispensent ou les informations quils fournissent sont dautant plus ou moins crdibles quils disposent dune bonne ou dune mauvaise rputation. La rputation sur internet des personnes physiques, des tats, comme des personnes morales constitue une vritable identit numrique, diffrente de celle qui rsulte des interactions classiques. la rputation numrique des organisations est de nature plus dynamique et volatile quelle ne lest dans lespace rel. Les entreprises, par exemple, se trouvent confrontes des acteurs souvent mal identifis qui peuvent produire du contenu, diffus de faon universelle, concernant leur marque, leurs produits, leurs collaborateurs, au moyen doutils simples131.
130
Joseph S. Nye, Jr, Cyber Power , Harvard Kennedy School, Belfer Center for Science and International Affairs, may 2010, p. 17. Digimind, White paper: Rputation internet , juin 2008, p. 5.
131
60
03/2012
De fait, la mise en cause de la rputation numrique est une problmatique srieuse pour les acteurs concerns. Ds lors, sa remise en cause potentielle peut devenir un outil dissuasif important de participer une action malveillante, dautant que cette dernire sera contraire limage que lacteur concern souhaite donner de lui-mme. bauche dune doctrine en matire de dissuasion numrique : difficults technico-oprationnelles et comparaisons internationales Le besoin de dvelopper une posture dissuasive parat tabli : du fait de lvolution des technologies informatiques et de communications, de la gnralisation de lusage dInternet pour un nombre grandissant dapplications quotidiennes, il parat ncessaire de complter la posture dfensive en matire numrique, qui se trouve confronte lasymtrie grandissante entre lattaque et la dfense, pour considrer lensemble des options disponibles. La question du seuil de dclenchement de la riposte numrique se pose lgitimement si lon considre que les mesures de rtorsion peuvent avoir des consquences graves (mme si elles ne sont pas forcment existentielles) sur la cible concerne. Lanalyse des diffrents lments et capacits qui se rattachent au concept gnral de dissuasion a mis en lumire certaines spcificits particulires du cyberespace : Le caractre asymtrique des capacits dfensive/offensive, les moyens de protection sont plus coteux et long dvelopper et mettre en uvre que les systmes permettant de conduire des attaques logiques ou physiques contre des systmes dinformation. La difficult attribuer rapidement une action offensive malveillante un pays ou un groupe dacteurs particulier. Nous avons toutefois mis en lumire le fait que les tats-Unis disposent de moyens techniques qui pourraient tre suffisants pour y parvenir. Il en dcoule un besoin dtablir une coopration technique et oprationnelle avec nos allis et nos partenaires pour renforcer nos capacits de dfense et de protection. Les problmes inhrents la dmonstration de la crdibilit des capacits dfensives et offensives dont on dispose : le risque existe de provoquer des effets collatraux sur des systmes amis et/ou de rendre accessible aux adversaires potentiels des informations clefs sur les moyens utiliss. En 1998, un texte de quelques pages de Joseph S. Nye Jr indiquait que la matrise totale de linformation ( information dominance ) tait susceptible de devenir le nouvel axe de la politique internationale des tats-Unis en lieu et place de la capacit nuclaire militaire132. Il sappuyait sur un parallle trs simple : une matrise totale de linformation devrait permettre de connatre les actions prpares par un adversaire et de le dissuader de les entreprendre en lui faisant savoir que les dfenses et les reprsailles taient prtes ; de leur ct, les allis, quels quils soient, auraient besoin de recueillir auprs des tats-Unis les confirmations ou complments dinformations ncessaires la ralisation de leurs objectifs de scurit.
132
Document de travail fourni dans le cadre de la formation de responsable senior en scurit nationale et internationale ; texte non publi.
61
03/2012
Le concept d information dominance a t remplac par ceux de cyber-scurit, de cyber-dfense ou encore de cyber-dissuasion. Pour autant, aucun texte officiel amricain spcifique ne dcrit lapplication par les tats-Unis dune doctrine de cyber-dissuasion mais le concept est expos ou voqu dans plusieurs documents rcents. Le texte amricain le plus explicite en la matire a t publi par la Maison blanche en 2010. Il sagit de la Stratgie internationale pour le cyberespace 133. Ce document sappuie sur une vision future du cyberespace qui serait ouvert et interoprable, sr et fiable mais surtout stabilis par des normes de comportement fondes sur des principes reconnus par tous : liberts fondamentales, respect de la proprit, valeur de la vie prive, protection contre le crime et droit lautodfense. Il sagit l dun enjeu collectif qui suppose un comportement acceptable et responsable des diffrents pays conformment ces normes. Pour parvenir ltablissement de telles normes, les tatsUnis envisagent de combiner des outils diplomatiques et des moyens de dfense afin de dvelopper un contexte prospre et scuris bnficiant lensemble des utilisateurs des technologies de linformation. Cest au sein de la composante dfense que sont avances les deux ides de dissuasion et deterrence : Dissuasion par une capacit de rsister des attaques, tant au plan national qu ltranger, sur la base de cooprations troites en matire dalerte, de rponse et de rcupration. Deterrence vue comme une capacit de rponse, en application du principe dautodfense reconnue par la Charte des Nations Unies, des actions malveillantes diriges contre les intrts numriques amricains. Laccent est mis l encore sur la ncessit de coopration avec le plus grand nombre possible de partenaires trangers, mme si les tats-Unis se rservent le droit de rpondre des actes hostiles dans le cyberespace de la mme manire quils le feraient vis--vis de tout autre type de menace contre le pays . Parmi les priorits politiques amricaines, le dveloppement dun volet militaire offensif est propos pour prparer les tats-Unis aux dfis de la scurit du XXIme sicle. Outre le besoin de disposer de rseaux militaires srs et fiables, et de cooprer avec les allis et autres partenaires internationaux et nationaux pour accrotre la scurit collective, le document propose de renforcer les alliances militaires pour faire face aux menaces potentielles dans le cyberespace . Cest dans ce cadre que les tats-Unis continueront travailler avec les contreparties militaires et civiles de leurs allis dvelopper les moyens et les mthodes dune autodfense collective dans le cyberespace. De tels partenariats et alliances militaires renforceront nos capacits de dissuasion collective et de dfendre les tats-Unis contre des acteurs tatiques ou non tatiques . Les menaces numriques dorigine tatique sont donc bien prises en compte et les tatsUnis se prparent y rpondre. Lapproche ne semble toutefois pas procder dune vision unilatrale, comme elle aurait pu ltre sous les administrations prcdentes, alors mme que les capacits amricaines actuelles sont uniques, notamment en matire
White House, International Strategy for Cyberspace Prosperity, Security and Openness in a Networked World , May 2011.
133
62
03/2012
dattribution dactes malveillants et de moyens offensifs. Au contraire, le discours des tats-Unis sur la cyber-dissuasion insiste sur sa nature collective et sur le besoin de coopration troite avec leurs allis. Cette dmarche est confirme dans le rapport publi par le Pentagone sur sa stratgie pour oprer dans le cyberespace. Linitiative stratgique n 4 (construire des relations robustes avec les allis des tats-Unis) prvoit en effet que le Dpartement de la Dfense tendra ses cooprations formelles et informelles dans le cyberespace un ensemble largi dallis et de partenaires militaires pour dvelopper une autodfense collective et accrotre une dissuasion collective 134. lments dorganisation dune capacit nationale initiale de cyber-dissuasion finalit dfensive Des responsables amricains ont rcemment indiqu leurs homologues franais135 quil serait souhaitable que la France amliore son niveau de scurit des systmes dinformation136. Outre le fait que cette dclaration met en lumire les vulnrabilits connues par les services amricains des dispositifs de chiffrement utiliss par la France, elle montre que les tats-Unis attendent de leurs allis un certain niveau de comptences et de capacits autonomes en matire de cyber-dfense. Ainsi, le schma amricain de dissuasion collective dcrit dans la Stratgie internationale pour le cyberespace classe les tats dans trois catgories distinctes : Ceux ayant un comportement inacceptable ou irresponsable (adversaires potentiels) avec qui il nest pas possible de cooprer ; Les tats ayant un comportement acceptable et responsable mais ne possdant ni comptences ni moyens efficaces en matire de dfense numrique, avec lesquels il est possible dentretenir de bonnes relations mais qui seront une charge en termes de scurit pour les tats-Unis ; Les tats ayant un comportement acceptable et responsable , capables dassurer par eux-mmes la scurit de leurs systmes dinformation et avec qui il est possible de pleinement cooprer. Paris devra vraisemblablement poursuivre ses investissements en matire de scurit numrique pour parvenir disposer dun systme autonome permettant de conduire seul des oprations de reprsailles dans lespace numrique. Par contre le schma amricain, tel quinterprt prcdemment, offrirait une rponse au dilemme souverainet/dpendance en permettant la France dengager et de conduire les rformes et programmes ncessaires llaboration progressive dune cyber-
134 135
Department of Defense Strategy for Operating in Cyberspace , July 2011, p. 10.
Discussion personnelle avec des responsables de la DGA en matire de Lutte informatique (note dAlain Esterle).
On peut rappeler quil a fallu trois ans de discussions et damnagements pour faire valider lOTAN le chiffreur gouvernemental franais Echinops.
136
63
03/2012
dissuasion. En saffirmant comme une nation majeure en termes de scurit des systmes dinformation et de cyber-dfense, la France peut tre un partenaire respect dans le cadre dune cyber-dissuasion collective, condition de concder aux tats-Unis la direction de cet outil commun. La doctrine franaise pourrait alors sappuyer sur trois piliers : tre exemplaire en matire de SSI, avec une dfinition claire et une application rigoureuse de politiques en SSI, tant pour les actions de sensibilisation que pour la mise en uvre et la maintenance des outils de scurit classiques (anti-virus, chiffreurs, pare-feux) ; tablir et maintenir les bases dune cyber-dfense efficace et lappliquer un champ englobant : les rseaux trs sensibles ; lagrment des produits de scurit ( renouveler rgulirement) ; lanalyse dattaques numriques ; les procdures et moyens permettant de garantir la continuit dactivit en modes dgrads et le retour la normale ; Dvelopper des cooprations avec les partenaires trangers en matire dchange de donnes, dalerte, danalyse des attaques, dexercices et dactions oprationnelles destines rpondre des attaques plus ou moins grande chelle. De fait, ces lments savrent tre cohrents avec les objectifs stratgiques en scurit des systmes dinformation tels que rcemment fixs par le SGDSN137. Ils ne constituent pas en soi une doctrine de cyber-dissuasion mais, en y adjoignant une capacit offensive autonome, ils peuvent permettre de participer une cyber-dissuasion collective en tant que partenaire de premier plan, c'est--dire participant la dcision et la mise en uvre dactions ventuelles de reprsailles suite une attaque. Deux obstacles majeurs se prsentent nanmoins dans la mise en uvre du schma propos du point de vue des capacits industrielles et des partenariats avec les oprateurs privs : Les chanes dapprovisionnement fiables en France sont limites quelques produits de scurit dvelopps pour des industriels de confiance souvent du domaine de la dfense et agrs par lANSSI pour couvrir les besoins des activits dites de souverainet (dfense/armement, diplomatie). Or, le champ de la cyberdfense doit englober lensemble des systmes dinformation jugs essentiels , au-del de ces seules activits, en particulier les infrastructures et rseaux critiques (production/distribution deau ou dlectricit, communications, transports...). Il faut donc prvoir dtendre les procdures dagrment aux produits destins de plus
137
Dfense et scurit des systmes dinformation Stratgie de la France , ANSSI, fvrier 2011.
64
03/2012
nombreux secteurs dactivits, ce qui reprsente une contrainte forte en matire de gestion des appels doffres138. En ralit, une telle volution doit conduire progressivement lintgration des oprateurs dinfrastructures vitales dans le champ des activits de souverainet en matire de scurit numrique. Une telle opration suppose non seulement la fiabilisation des produits utiliss par ces acteurs mais galement lextension ces derniers des procdures en matire dhabilitation et dorganisation. Il sagit galement de les associer aux exercices conduits en matire de cyber-scurit. Une refonte complte du schma actuel de partenariat public-priv et de la Directive Nationale de Scurit (DNS) parat ncessaire pour y parvenir. lments darchitecture pour une future capacit nationale de cyber-dissuasion (volet offensif) A la lumire des lments exposs prcdemment, quelques principes semblent devoir guider llaboration dune ventuelle future capacit offensive dans le domaine numrique : Les reprsailles numriques devront tre gnralement symtriques et proportionnelles, mais il ne faut pas exclure lemploi dans certaines circonstances de moyens asymtriques : la dissuasion numrique sapplique uniquement dans la mesure o les agresseurs prsentent des dpendances importantes envers des systmes ou des rseaux informatiques. Les tats ou les entreprises lgales, dont on considre quils auront dvelopp un niveau de dpendance globalement comparables, sont donc les plus mme dtre sensibles une manuvre dissuasive dans le domaine numrique. A contrario, les organisations criminelles ou terroristes et les personnes physiques sont assez peu susceptibles dtre dissuads par la menace de rtorsion symtrique. Sur ce point, les actions caractre lgal (poursuites criminelles) ou encore les sanctions conomiques ou financires pourraient savrer plus dissuasives. En dernire extrmit, le recours des reprsailles physiques peut tre envisag si (1) les consquences de lattaque sont suffisamment graves et les effets durables et (2) lacte peut tre attribu au-del du doute raisonnable. Nous avons enfin montr que les tats peuvent tre tenus en partie responsables des activits criminelles qui se dveloppent sur leur territoire en exploitant les failles lgales nationales dans la mesure o celles-ci ont t officiellement dnonces comme facilitant les activits hostiles. Il sera indispensable de suivre un processus dattribution avant toute utilisation des outils de reprsailles : lattribution dun acte numrique malveillant (ou dune srie dactions) savre complexe : cest un processus la fois long et dont lissue est incertaine. De fait, il parait possible de prendre des mesures de rtorsion sur la base des informations de contexte, des donnes techniques recueillies lors des attaques et en se fondant sur la politique des tats ou des entreprises en matire de guerre numrique. Dans certains cas, les responsables (et leurs sponsors) peuvent mme ouvertement revendiquer leurs actions pour des raisons politiques daffichage. Les risques derreur tant importants, le maniement de la rtorsion mrite un
138
A noter que mme dans le cadre de lapprovisionnement des forces, le choix de produits agrs nest pas vident pour les forces franaises depuis la rintgration complte dans lOTAN.
65
03/2012
examen politique de fond. En tout tat de cause, il est difficile dimaginer de renoncer leffort dattribution qui savre consubstantiel de la manuvre de dissuasion et qui doit prendre une forme publique (ou diplomatique) suffisante pour renforcer la posture de ltat qui lexerce. La manuvre de dissuasion numrique ncessitera une communication matrise et pourrait sappuyer sur une coopration internationale renforce : comme pour lattribution, la manuvre de dissuasion ne peut soprer sans un minimum de communication vers lextrieur comme vers lintrieur : cette dernire doit concerner les agresseurs potentiels, les allis et partenaires internationaux mais galement les parties prenantes au niveau national. Cette communication doit tre matrise, c'est--dire que la confidentialit de certaines informations, systmes et donnes doit tre assure pour viter de rduire lefficacit des mesures de rtorsion. En matire de coopration, il semble ncessaire de reconnatre quil est urgent de mettre en uvre un cadre juridique international qui fixerait quelques rgles de comportement, notamment en matire de crime numrique afin de permettre, par exemple, de dvelopper lentraide judiciaire sur les actes les plus graves139. Une ventuelle dissuasion numrique devra sappuyer sur trois fonctions oprationnelles et organisationnelles : commandement, dveloppement des moyens et outils, mise en uvre. Chaque fonction peut son tour se dcomposer en sous-fonctions qui participent pleinement lexercice de la dissuasion ou la conduite des oprations offensives engages pour rpondre une attaque dampleur suffisante. La dissuasion numrique doit de plus sintgrer dans un systme complet de cyber-dfense qui englobe les activits de protection, de surveillance et dalerte et daction offensive. La figure suivante offre des lments de structuration de ces fonctions et sous-fonctions.
Joseph S. Nye Jr, Cyber Power , Harvard Kennedy School, May 2010, pp. 17-18. Il faut galement considrer plus long terme la possibilit de voir merger un modle de rgulation des conflits numriques qui ne serait pas sans lien avec les conventions sur le droit de la Guerre et la protection des populations civiles (Genve et La Haye).
139
66
03/2012
Figure 12 : Organisation gnrale possible dune architecture de cyber-dissuasion
Pour fonctionner, cette organisation devra vraisemblablement sadosser larchitecture de scurit des systmes dinformation et de cyber-dfense. Elle doit en effet pouvoir capitaliser autant que possible sur les mesures de protection et de dfense dj mises en place. En particulier, lorganisation devrait utiliser lensemble des moyens de dtection et de traage des actes malveillants. Elle doit galement pouvoir mobiliser les ressources techniques et humaines permettant de connatre intimement la composante technique des menaces et ltat de lart en matire de logiciels malveillants. Mais ces ressources techniques et humaines devront tre enrichies pour faciliter la dcouverte et lexploitation de vulnrabilits et de failles de scurit dans les principaux systmes informatiques. Ce pilier technique serait charg de llaboration de logiciels ou de codes et participerait la dfinition de dossiers dobjectifs complets sur les principaux acteurs malveillants connus140 et susceptibles dtre sensibles la manuvre de dissuasion. Enfin, il aura pour tche de fournir les donnes dalerte et de conduire les efforts destins permettre lidentification dventuels agresseurs. La mise en uvre des armes logiques et la gestion de la bataille numrique reviendraient une structure de forces qui pourrait sappuyer sur un tat-major141.
Dans ce domaine, il sera probablement ncessaire de prendre en compte le fait que la neutralisation ou la disruption des systmes viss auront des consquences sur lenvironnement de la cible et pas seulement uniquement sur cette dernire. Karl Frederick Rauscher & Andrey Korotkov, Working Towards Rules for Governing Cyber Conflict , East-West Institute, January 2011, p. 18. Cest du reste la solution retenue par les tats-Unis au travers de la cration dun US CyberCom sous lautorit de STRATCOM , et charg dunifier les approches des diffrents services du DoD en matire de lutte informatique offensive et dfensive. Voir Department of Defense, Strategy for Operating in Cyberspace , July 2011, p. 11.
141 140
67
03/2012
galement autorit de commandement, ce dernier pourrait tre charg dune part des travaux prparatoires des oprations (dfinir les besoins oprationnels, les concepts demploi, laborer les dossiers dobjectifs, planifier et prparer les oprations) et dautre part de missions caractre oprationnel (veille et alerte, renseignement, articulation C2 avec lchelon politique). Lautre composante de la force numrique consisterait en units oprationnelles charges de la mise en uvre des moyens de rtorsion y compris si ncessaire, lintroduction physique de logiciels dans des systmes isols , de la gestion des engagements (coordination des actions, valuation des effets) et des phases de formation/entranement y compris les exercices de retour sur exprience. Cette force oprationnelle pourrait galement tre responsable de la coordination des mesures de dfense et de protection numriques aux niveaux national et international, y compris dans le domaine de la rsilience lensemble de ces mesures et des plans associs participant pleinement la manuvre dissuasive142. Dans ce cadre, elle devrait tre en mesure de renforcer le lien avec le secteur priv, en particulier les oprateurs dinfrastructures sensibles ou critiques. Enfin, troisime pilier de cette triade, une organisation vocation politico-militaire pourrait tre mise en place. Son rle serait de participer lexercice de la diplomatie (publique et entre tats) et de la communication dans le cadre de la capacit de cyberdfense (y compris les aspects lis la protection et la veille). Parmi ses principales missions, devrait apparatre la fonction de renseignement, et ce en complment des travaux de la composante technico-industrielle sur les aspects techniques de la menace. Enfin, elle pourrait tre charge des aspects internationaux et juridiques : cooprations, dialogues stratgiques, ngociations internationales, volutions du cadre juridique national (tude des options, rdaction de propositions de textes, etc.).
142
Harry D. Raduege, Fighting Weapons of Mass Disruption: Why America Needs a Cyber Triad , EastWest Institute, Global Cyber Deterrence, April 2010.
68
Les moyens existants pourraient permettre dtablir les prmisses dune cyberdissuasion
De nombreux outils, systmes, procdures et moyens ont t mis en place dans le domaine dfensif Mettre en place des mesures techniques et non techniques permettant dassurer la scurit des systmes dinformation est au cur mme de la cyber-scurit depuis que le concept existe. Mais pour tre efficaces, ces mesures doivent concerner toutes les menaces et vulnrabilits possibles, alors quune seule faille correctement exploite peut suffire assurer le succs dune attaque. Limpossibilit tablir un registre exhaustif et dtaill des menaces et vulnrabilits, en particulier compte tenu du facteur humain, rend le schma attaque/dfense dans le cyberespace fondamentalement asymtrique, mme si certains chercheurs envisagent qu partir dun certain niveau dengagement, et donc de capacit de dfense, limpact marginal des attaques flchisse ou, ce qui est quivalent, que leur cot pour en conserver lefficacit augmente considrablement.
Figure 13 : Il pourrait exister des situations de conflit dans lesquelles lasymtrie entre attaque numrique et dfense sestompe (source RAND 2009)
Dune manire gnrale, les capacits dfensives sappuient sur une combinaison de mthodes de gestion des risques, de produits fiables, de comptences et dorganisation. Leur apport au volet protection dun systme de dissuasion numrique mrite dtre mis en lumire afin de dterminer les marges de progrs existantes. Mthodes et procdures Lanalyse et la gestion des risques sont au cur de la dmarche de scurit des systmes dinformation. Il nexiste en effet aucune dfense efficace qui ne parte dune analyse complte des risques encourus et dun choix des priorits accorder telle ou telle mesure dfensive. Il existe maintenant des standards ISO en matire de gestion des risques en gnral (ISO-IEC 31000-2009) et de gestion des risques numriques en particulier (ISO-IEC
69
03/2012
27005-2008). Les diffrentes mthodes et outils proposs sappuient sur une approche squentielle143 : Expression des besoins de scurit ; Analyse des vulnrabilits et des menaces ; Analyse des contraintes environnementales (juridiques, budgtaires, oprationnelles) ; Analyse et valuation des risques (taux doccurrence, impact et consquences) ; Identification et valuation des choix dans le traitement des risques (y compris identification des risques rsiduels) ; tablissement dun plan de traitement des risques avec conditions de mise en uvre. Le plan de traitement des risques combine lacquisition et lentretien dquipements particuliers (produits de scurit) et de comptences (sensibilisation, formation, exercices) ainsi que la mise en place dun schma organisationnel et dun cycle rcurent dvaluation et de correction de lefficacit de ces traitements (audits, mesures correctives). Les risques numriques peuvent faire lobjet de plusieurs approches diffrentes : Llimination des vulnrabilits ou des failles connues via la mise jour des logiciels concerns et la correction des failles qui peuvent tre exploites. La rduction des risques par lutilisation de logiciels tiers capables de dtecter et dempcher des intrusions, des accs non autoriss, ou des tentatives de modifications de programmes protgs (pare-feu, antivirus, etc.). Le transfert du risque un tiers, par exemple par le biais dune police dassurance. Lacceptation des risques considrs comme rsiduels144. A ce jour, les mthodes de gestion des risques nincluent pas un mode de traitement fond sur des actes de reprsailles visant dissuader un attaquant potentiel. Cela est comprhensible dans la mesure o la gestion des risques se concentre sur le volet dfensif sans vraiment aborder les questions didentification dagresseurs ventuels et de capacit de riposte. Nanmoins, si une dmarche dissuasive devait tre envisage, il faudrait prvoir dinclure la dissuasion dans les mesures de traitement des risques, notamment pour les systmes dinformation jugs sensibles tels que, par exemple, les infrastructures critiques.
Voir par exemple la mthode EBIOS mise au point et promue par lANSSI http://www.ssi.gouv.fr/fr/bonnespratiques/outils-methodologiques/ebios-2010-expression-des-besoins-et-identification-des-objectifs-desecurite.html
144
143
Tous les experts saccordent considrer que la rduction totale du risque est impossible. Ds lors, les responsables de scurit des systmes dinformation peuvent tre amens accepter des risques pour lesquels les solutions de protection sont soit trop coteuses, soit reconnues comme inefficaces.
70
03/2012
Produits de scurit En matire de cyber-scurit, il existe trois types de produits : les produits commerciaux sans garantie particulire, les produits bnficiant dune certification (par exemple selon les critres europens communs) et les produits dvelopps sous contrle (en France les produits agrs par lANSSI aprs une valuation technique complte). Les pays avancs en matire de scurit des systmes dinformation disposent de ces trois types de produits, y compris la troisime catgorie dveloppe par des industriels accrdits. En France, les produits agrs quipent les rseaux de la dfense et les rseaux de communication des hautes autorits. Plus onreux et moins diffuss que les autres, ce sont les seuls qui proviennent dune chane dapprovisionnement contrle et fiable. Afin de btir un dialogue dissuasif crdible, les capacits dfensives doivent couvrir lensemble des rseaux et infrastructures qui ont t inclus dans le champ de cette dissuasion. Or, ce nest pas le cas pour les infrastructures critiques dont les politiques de scurit sont valides par le SGDSN mais dont les oprateurs ne sont pas tenus de squiper en produits agrs par les laboratoires de lagence nationale de scurit des systmes dinformation145. Pour tre certain que la capacit dfensive soit pleinement crdible, il faut aussi sassurer que les industriels accrdits sont mme de garantir un approvisionnement stable et sr de lensemble des produits et des composants ncessaires lquipement des rseaux concerns146. Le dveloppement en Europe et en France des comptences dans le domaine de la scurit numrique est indispensable dans une perspective dtablissement dune politique de cyber-dissuasion Le renforcement des capacits dfensives suppose galement la mise en place defforts spcifiques destins sensibiliser les responsables de ladministration et de lusage des rseaux, au niveau national et, si possible, europen. Il savre effectivement indispensable dentraner et de former le personnel qui serait amen intervenir en cas dincident numrique comme les personnes dont la mission est dassurer la protection des infrastructures et des systmes critiques pour le fonctionnement des rseaux numriques. Pour la gestion des incidents, surtout dans le cas dattaques de grande ampleur, lexprience a en effet montr limportance de la coordination entre les quipes impliques, notamment limplication des Computer Emergency Reponse Teams (CERTs) et des cellules de gestion de crise. Depuis 2007 date de lattaque contre lEstonie et anne de cration du centre dexcellence de lOTAN Tallin , la coopration europenne et transatlantique sest intensifie. Elle a conduit notamment la mise en uvre dexercices communs et de travaux
145
A lheure actuelle, le Rfrentiel Gnral de Scurit (RGS) produit par ANSSI identifie des produits qualifis (1, 2 ou 3 toiles) et ne sadresse quaux administrations. Avec les difficults que nous avons voques prcdemment.
146
71
03/2012
dordre juridique entre experts permettant de rpondre plus efficacement des attaques de grande ampleur. Ainsi, la cration dun CERT institutionnel europen, dcide en juin 2011, doit permettre lUnion de disposer dune quipe dexperts capables dintervenir en soutien dune institution ou agence europenne qui serait confronte un incident de scurit majeur147. Lanne 2011 sera galement marque par la tenue de trois exercices de rponse des cyber-attaques lchelle europenne : Eurocybex impliquant la France, la Hongrie et lEspagne sous supervision ENISA, (une vingtaine dtats membres ont souhait tre observateurs) ; Cyber Europe impliquant lensemble des pays europens (pilotage ENISA) ; Un exercice de coordination impliquant lUE et les tats-Unis. Il est prvu que tous ces exercices contribuent la mise au point de protocoles communs dchange de donnes et de coordination. Il faut cependant noter que, bien que les promoteurs soient daccord sur le principe, ces exercices nimpliquent pas encore le secteur priv, notamment les oprateurs dinfrastructure critiques. Ce point devra tre corrig si lambition est de dmontrer une capacit ragir rapidement, efficacement et de faon coordonne des cyber-attaques dans le cadre dune capacit de dfense propre consolider une dmarche dissuasive crdible pour protger ces cibles essentielles en termes de scurit. Lvolution des partenariats public-priv constitue une priorit en matire de scurit numrique Les problmatiques lies la scurit numrique pas seulement la scurit physique des rseaux, mais aussi les questions de rputation numrique, de protection des informations prives comme publiques, la protection des futures infrastructures ddies par exemple la gestion de linternet des objets reoivent une attention grandissante de la part des autorits nationales, transnationales148 mais galement des grands groupes industriels ou de service. Ainsi, les principaux acteurs de lconomie numrique qui ont investi lourdement pour le dveloppement de leurs offres de Cloud Computing ou de solutions dexternalisation et/ou de virtualisation cest le cas de Google, de Microsoft ou encore dIBM de mme que les industries qui sont conduites engager des cooprations internationales pour leur dveloppement cas, par exemple, dAREVA , dveloppent de plus en plus la dimension "scurit numrique" de leur activit. Microsoft dite bi-annuellement un rapport sur la scurit numrique de ses outils mais galement de programmes tiers qui comprend, notamment, une analyse des risques149 par pays.
Commission europenne, Cyberscurit : lUE se prpare mettre en place une quipe dintervention pour les institutions europennes , 10 juin 2011. Voir, par exemple, le rapport de lENISA sur la scurit dans linformatique en nuage. ENISA, Cloud Computing: Benefits, Risks and Recommandations for Information Security , November 2009.
149 148
147
Microsoft, Microsoft Security Intelligence Report Volume 8 (July through December 2009) , December 2009.
72
03/2012
Des travaux ont galement t raliss par certaines agences ou organismes officiels amricains ainsi que dans le cadre de think-tanks sur la question de la cyber-scurit. Ainsi, fin 2008, le CSIS publie un rapport issu de la commission runie par ses soins sur cette question, qui appelle notamment rinventer le partenariat public-priv et, de faon gnrale, la relation entre les agences et les socits en matire oprationnelle150. Enfin, la question de la gouvernance et de la scurit de lespace numrique spcifique que constitue Internet fait galement lobjet dintenses rflexions, aux tats-Unis comme en Europe, comme en tmoigne le rcent rapport du Government Accountability Office (GAO)151. De fait, avec 90 % des infrastructures critiques du secteur de la scurit nationale (dfense, agences...) sous la responsabilit doprateurs privs, les tats-Unis se trouvent en pointe dans les rflexions sur cette question152. Limplication du secteur priv des grandes entreprises aux plus petites socits y est considre comme lune des conditions clefs du succs de lensemble des dmarches dans ce domaine autant que dans celui de la scurit des systmes dinformation. En particulier, les responsables amricains considrent quil reste beaucoup faire en matire de connaissance commune des menaces et de dtection dincident ou dattaque. Ainsi dans le document de stratgie publi en juillet 2011, le Pentagone souligne la ncessit de renforcer les partenariats public-priv dans cette perspective.
Extrait du Department of Defense Strategy for Operating in Cyberspace, July 2011
Du point de vue de la mise en place dune capacit dfensive crdible lchelle nationale, lanalyse a galement montr que la participation des oprateurs dinfrastructures critiques pche au moins sur quatre plans : Labsence daccs aux informations concernant les menaces dorigine tatique ; Le manque de choix coordonn en matire de traitement des risques, notamment pour le choix des risques rsiduels et des mesures qui contribueraient une dmarche dissuasive ; Labsence dune dmarche dacquisition de produits agrs ; Pas de participation des exercices organiss par les tats en matire de rponse des attaques sur Internet.
Center for Strategic and International Studies, Securing Cyberspace for the 44th Presidency , A Report of the CSIS Commission on Cybersecurity for the 44th Presidency, December 2008, p. 2. Le rapport appelle galement la mise en place aux tats-Unis de capacits offensives dans le domaine numrique.
151 152
150
GAO, United States Faces Challenges in Addressing Global Cybersecurity and Governance , July 2010.
The Hague Center for Strategic Studies & TNO, The future of cybersecurity , Strategy and Change, Paper No 201104, p. 19.
73
03/2012
Dans les pays avancs dans le domaine de la scurit numrique, la question de la protection des infrastructures vitales est gre dans le cadre de Partenariats Public-Priv (PPP). Ces PPP ont des structures variables selon les pays : organiss de faon plutt pyramidale en France (tradition/culture de pouvoir centralis), ils prennent une forme de concertation plus quilibre entre partenaires dans les pays anglo-saxons. Toutefois, si ces derniers considrent que lamlioration des capacits de scurit du secteur priv en particulier pour ce qui concerne les oprateurs dinfrastructures critiques passe par une dmarche volontaire des entreprises concernes, ils reconnaissent quil peut exister un besoin les inciter entreprendre des mesures de scurit, y compris par ltablissement dun cadre juridique contraignant. La notion de partenariat public-priv dans le domaine de la scurit numrique soulve cet gard un problme pineux au niveau national comme ltranger. En effet, les attentes du secteur priv vis--vis des services publics sont la fois dobtenir plus dimplication notamment au niveau technique comme par exemple sur la qualification du software et du firmware en matire de scurit mais galement de ne pas accrotre outre-mesure les contraintes, en particulier lgales ou rglementaires, pesant sur le dveloppement de leurs produits et la conduite de leurs oprations. Par ailleurs, les divers acteurs du monde numrique sont confronts des contraintes de plus en plus pesantes en matire de recueil et de conservation des donnes personnelles, de protection de lidentit numrique et de gestion/scurisation de linformation. Ces contraintes sappliquent notamment aux changes qui peuvent avoir lieu entre les sphres publique et prive dans le cadre de partenariats de scurit. Elles ne feront que saggraver au fur et mesure de la gnralisation des solutions numriques pour des applications de la vie quotidienne153. Ds lors, la convergence public-priv nest pas une vidence sur le fond et les solutions adopter mritent galement une analyse objective et dtaille. Quoi quil en soit, une capacit dfensive crdible ne pourra pas tre btie sans revenir en profondeur sur les schmas de partenariat public-priv en place. Certaines capacits offensives pourraient tre utilises dans le cadre dun systme de dissuasion numrique Il parat ncessaire de considrer que les attaques les plus courantes qui conduisent des perturbations, voire des interruptions momentanes de trafic quil sagisse de dnis de service, de dfigurations de pages web, doprations de phishing154 ou de dtournements dadresses , ne sont pas susceptibles de faire partie dun dialogue dissuasif au niveau des tats. Pour quune capacit offensive puisse participer dune dissuasion tatique, elle doit effectivement pouvoir affecter profondment et, dans la mesure du possible, dans la dure, le fonctionnement des rseaux jugs sensibles voire critiques de ladversaire.
153
Voir, par exemple, Guillaume Desgens-Pasanau et Eric Freyssinet, Lidentit lre numrique , Dalloz/Presaj, 2009. http://en.wikipedia.org/wiki/Phishing
154
74
03/2012
Deux types de capacits semblent pouvoir rpondre ces critres : les attaques informatiques par malware (attaques dites logiques) et les attaques physiques sur des rseaux ou des machines assurant les communications entre les tats, les continents ou les rgions (e.g. cbles sous-marins). Attaques logiques Les logiciels malveillants conus pour attaquer des serveurs ou des applications comprennent couramment deux lments : un vecteur servant pntrer un rseau, sy implanter, se dupliquer et se propager ; une charge utile porteuse de la partie rellement offensive capable par exemple de copier, modifier ou dtruire de linformation ou une fonctionnalit. Les malwares les plus efficaces utilisent gnralement un zero-day exploit , c'est-dire une vulnrabilit qui na pas t pralablement identifie et pour laquelle aucun correctif na encore pu tre publi. Le vecteur doit en outre tre cod de faon suffisamment originale pour ne pas tre reconnu par les dfenses en place (anti-virus par exemple). Lutilisation de zero day exploit savre extrmement rare : sur plusieurs millions de nouveaux malwares dtects annuellement, une dizaine exploitent ce type de vulnrabilit155. En effet, la dtection/dcouverte de failles nouvelles dans la programmation de systmes dexploitation exige des comptences informatiques pointues : il faut tre capable danalyser des millions de lignes de code pour y parvenir. A titre dexemple, Confiker est un malware de type virus qui a affect de trs nombreux ordinateurs travers le monde en 2008-2009 mais sans crer de dommage notable. Tout sest pass comme sil sagissait dun vecteur sans charge utile. A ce titre, ce virus sapparenterait selon certains experts une dmonstration dune capacit ou la qualification dun nouveau systme156. Lextrme complexit du logiciel semble montrer que sa conception dpasse largement les comptences des principaux pirates oprant cette priode et serait le rsultat dune coopration entre des spcialistes de divers horizons. A linverse, le malware Stuxnet de type ver, qui a frapp des installations nuclaires iraniennes lt 2010, tait quip lui seul de quatre zero-day exploit pour assurer une efficacit maximum, l o Conficker nen utilisait quun. En termes offensifs, il tait dot de deux charges utiles trs sophistiques : la premire pour drgler la vitesse de rotation des centrifugeuses et ainsi progressivement causer leur dtrioration, lautre pour neutraliser les systmes numriques dalerte, daffichage et darrt qui contrlent les centrifugeuses. Ainsi, le niveau de sophistication de Stuxnet le classe au-dessus des malwares vus jusque-l, y compris Conficker. Il tait le produit de comptences de trs haut niveau et est vraisemblablement le prcurseur dune nouvelle catgorie de capacits offensives. Pourtant de telles capacits, aussi sophistiques soient-elles, ont aussi leurs inconvnients.
Kim Zetter, How Digital Detectives Deciphered Stuxnet, the Most Menacing Malware in History , Wired, 11 July 2011.
156
155
Entretiens B. Gruselle, 2009.
75
03/2012
Dune part, lanalyse de lattaque permet de connatre les vulnrabilits utilises et dtablir (en gnral rapidement) des correctifs : ces vulnrabilits ne pourront donc plus tre utilises pour une attaque ultrieure. Plus gnralement, lanalyse du code rvle les lments originaux du codage conduisant une sorte de prolifration de facto ; le code de Stuxnet a t aujourdhui mis en ligne et peut maintenant tre utilis tel quel ou, ventuellement, amlior. Dautre part, si les vulnrabilits employes sont choisies pour atteindre certaines fonctions de la cible vise logiciels Siemens dans le cas de Stuxnet , elles peuvent tre aussi prsentes dans des systmes a priori sans rapport direct avec lobjectif tous les quipements Siemens en Chine dans le cas de Stuxnet , voire chez lutilisateur de la capacit offensive. Pour parvenir un ciblage prcis des attaques permettant de mieux diriger les effets, il faudrait pour le moins disposer dune cartographie dtaille et temps rel des rseaux constamment remise jour grce des robots fureteurs . La mondialisation croissante du march des technologies de linformation devrait rendre cette tche de plus en plus difficile. Attaques physiques contre des systmes informatiques ou de communication Les tlcommunications entre les tats dpendent physiquement de supports satellitaires (segments spatial et sol) et terrestres (cbles sous-marins en fibre optiques). A lheure actuelle, 99 % du trafic Internet entre les pays circule via des cbles sousmarins, et une attaque physique les ciblant serait de nature perturber durablement le trafic Internet des pays connects. A titre dexemple, fin mars 2008, quatre coupures de cbles sous-marins ont eu lieu dans la rgion du Moyen-Orient157 causant la perte de 70 % des connexions gyptiennes et de prs de 30 % des services fournis par son industrie de centres dappels158. Or, de telles concordances temporelle et spatiale sont rares et une des coupures est intervenue dans une zone stratgique (le goulot au nord dAlexandrie o convergent les lignes de Mditerrane) interdite la navigation... Il existe une grande disparit mondiale dans la distribution des cbles sous-marins. Les liaisons cbles transatlantiques et travers le Pacifique sont trs denses et offrent beaucoup de redondances. Il sensuit que lEurope et les tats-Unis sont, de loin, moins vulnrables des ruptures que la rgion du Moyen-Orient qui ne dispose que de trois cbles majeurs, ou lAfrique qui est encore desservie par un seul (cf. infra).
Deux coupures intervinrent en Mditerrane, prs dAlexandrie et prs de Marseille, et touchrent les rseaux indiens, pakistanais, gyptiens, qataris, saoudiens, bahreinis et des mirats Arabes Unis. Les deux autres affectrent le cble reliant Oman aux mirats et celui reliant le Qatar aux mirats Arabes Unis.
158
157
Mais avec un impact minime en Iran, au cas o ce pays aurait t la cible de cet acte malveillant.
76
03/2012
Figure 14 : Rseau des cbles sous-marins fibres optiques
Selon John Borland, une premire coupure peut limiter les connexions, tandis quune seconde les paralyseraient compltement159. Si une coupure accidentelle peut avoir des effets dsastreux lchelle dun pays, cest uniquement parce quil tait situ en bout de chane du rseau de fibres optiques160. En revanche, les risques sont infimes en France dans la mesure o le pays bnficie dune irrigation trs dense et de nombreuses lignes secondaires qui seraient amenes palier la coupure de certains cbles. Le sabotage de cbles sous-marins serait donc une arme sappuyant sur les diffrences de dveloppement dans le domaine des technologies de communication entre les rgions. Au-del des considrations de dveloppement, les pays gographiquement contraints une localisation en bout de chane sont galement vulnrables : Islande, Nouvelle Zlande, les du Pacifique, Madagascar Ce type de capacit offensive savre donc la plus efficace vis--vis de pays cbls de manire particulire. Ds lors, laugmentation des dessertes devrait conduire rduire lintrt dexploiter ce type de solution des fins offensives (cf. infra). On peut aussi noter que les liaisons satellites pourraient tre une cible possible, surtout si les liaisons Internet satellitaires se dveloppent. Toutefois, dans la mesure o les
159
John Borland, Analyzing the Internet Collapse: Multiple fiber cuts to undersea cables show the fragility of the Internet at its choke points , Technology review, February 5, 2008. http://www.technologyreview.com/Infotech/ 20152/?nlid=854&a=f
160
Benjamin Ferran, Comment une grand-mre a pu couper l'Internet d'un pays , Le Figaro, 8 avril 2011. Peut tre trouv http://www.lefigaro.fr/hightech/2011/04/08/01007-20110408ARTFIG00418-comment-une-grandmere-a-pu-couper-l-Internet-d-un-pays.php
77
03/2012
satellites ddis ce genre demploi sont majoritairement grs par des oprateurs privs qui optimisent leur emploi selon les demandes des clients, leur neutralisation aurait vraisemblablement des consquences au-del de la cible vise. Ainsi, neutraliser un satellite (ou ses rpteurs) pourrait crer plus deffets collatraux sur des pays tiers que de dgts la cible. Il existe des moyens et des procdures qui pourraient tre utilises pour faciliter lattribution dattaques numriques Une fois une attaque informatique reconnue comme telle, lidentification des auteurs, commencer par les adresses Internet161 lorigine des flux de donnes ayant contribu lagression, peut tre dune grande complexit. Labondance des donnes qui peuvent tre lorigine de linfection et les possibilits de rebond dans ladressage brouillent efficacement les pistes qui permettraient de remonter un auteur spcifique. De plus, mme si les adresses dorigine ont pu tre identifies sans ambigit, ltablissement de lidentit des personnes et de leurs intentions requiert la capacit danalyser dautres sources dinformation grande chelle (ex : communications tlphoniques), voire celle denquter physiquement sur lutilisation des ordinateurs concerns. La capacit dattribution dpend donc (1) de la capacit collecter massivement les messages circulant sur les rseaux et analyser rapidement un volume colossal de donnes collectes et (2) de la possibilit de complter le traitement numrique par dautres actions de recueil de renseignement ou denqute. Collecte des donnes Il sagit dintercepter l o circule le plus grand nombre de messages, cest--dire sur les rseaux plus haut dbit possible. L encore les systmes satellitaires et les cbles sous-marins sont des cibles de choix. Ct spatial, la collecte peut se faire par des satellites de renseignement (COMINT, ELINT) ou des systmes dcoute installs dans des satellites civils de communication dvelopps par lindustrie. Les tats-Unis sont particulirement bien placs dans ce domaine, tant pour ce qui est de la flotte de satellites dcoute en orbite, que pour les capacits industrielles de construction de satellites lexportation. En matire dcoute, ils sappuient physiquement sur le programme Echelon et son rseau mondial de stations dcoute implantes dans le cadre de la coopration dans le domaine du renseignement avec le Royaume-Uni, le Canada, lAustralie et la Nouvelle Zlande. Ct sous-marin, le problme est plus complexe car les fibres-optiques nmettent pas de radiation lectromagntique.
161
Le protocole IP fixe chaque ordinateur/serveur connect Internet une srie unique de chiffres qui constitue son adresse. http://en.wikipedia.org/wiki/Internet_Protocol
78
03/2012
Figure 15 : Rseau de stations sol Echelon
Encadr 5 : Interception de donnes dans les fibres optiques162

En supposant rsolu laccs au cble dans des conditions suffisantes de scurit et de discrtion, les donnes lumineuses peuvent tre rcupres de trois manires. La premire mise sur la perte de signal et la ncessit de le r-amplifier. Un branchement par induction (grce un pod ou cloche dcoute tel que celui prsent sur la photo) est donc possible au niveau de ces amplificateurs ou rpteurs intermdiaires qui transforment le signal optique en signal lectrique, lamplifient et le retransforment en signal optique. Ces amplificateurs schelonnent tous les 100 km environ. Cette solution est rendue partiellement obsolte par le dveloppement en 1995 de la technique EDFA (amliore en 2000) qui permet lamplification optique par un dopage lerbium et, par voie de consquence, rendrait les amplificateurs tout fait inutiles ; pour autant, des amplificateurs sont toujours prsents bien que plus rares. Les deux autres solutions recommandent soit de plier la fibre pour laisser chapper quelques rayons de lumire qui sont alors rcuprs pour reconstituer le message complet, soit dimplanter une drivation. La dernire solution semble la plus facile raliser, mais elle implique une coupure momentane (voire une altration) du signal, ce qui nchappera en aucune faon aux instruments de tlmesure des cbles oprateurs ( moins dobtenir sa complicit), si brve soit-elle. Des incidents rcents intervenus sur des cbles sous-marins montrent que, dans le meilleur des cas, les flux sont re-routs vers des routes secondaires ventuellement contrles , cest--dire mises pralablement sous coute.
162
Contribution de Sbastien Urbieta-Martin en Master de Scurit Internationale, thme Conflits et cooprations dans le cyberespace , Sciences Po Paris, 2011.
79
03/2012
Quoi quil en soit, les interceptions sur les cbles sont relativement plus faciles effectuer sur terre, notamment dans les stations dtes d atterrissement , surtout sil est possible dtablir une coopration avec loprateur propritaire du cble. La carte des cbles sous-marins rvle que la plupart de ceux situs dans lAtlantique et dans le Pacifique sont accessibles via les stations datterrissement situes sur des territoires membres du rseau Echelon. A linverse, les cbles qui alimentent lAsie en connectant le Japon, la Chine, Singapour, lIndonsie, lInde et les Pays du Golfe, ainsi que le rseau reliant lEurope au Maghreb et au Moyen-Orient sont physiquement isols des moyens dcoute du rseau Echelon. Les tats-Unis ont dmontr durant la Guerre froide leur capacit pratiquer des interceptions sur cble, notamment grce au sous-marin Halibut charg de lopration Ivy Bells pour intercepter les donnes transitant en mer dOkhotsk, puis lUSS Parche pour lcoute des communications au large de Mourmansk. Par la suite les oprations se sont tendues aux cbles reliant lEurope lAfrique de lOuest. Comme le rapporte le site officiel du rseau Echelon, les interceptions sous-marines se sont poursuivies aprs la Guerre froide : Nor has the end of the Cold War led to the termination of ship-based signals intelligence collection or submarine reconnaissance operations including operations to tap undersea cables 163. Au cours de la dernire dcennie, le sous-marin Jimmy Carter a inaugur, entre autres, de nouvelles techniques dinterception grce une chambre sous-marine similaire celles utilises par les entreprises rparant les cbles sous-marins, dtachable du sous-marin et alimente par lui en oxygne et en lectricit. Tri et analyse des donnes recueillies Plus le volume de donnes recueillies est important, plus il est difficile de les trier et analyser pour identifier rapidement les informations pertinentes, par exemple relatives une attaque informatique donne. La fouille de donnes se fait par tapes en rduisant progressivement le volume de messages potentiellement intressants. Sans une bonne caractrisation pralable de lincident malgr une monte en puissance des outils de traitement automatique des paquets de donnes164 , le tri ne peut qutre grossier, la quantit de messages traiter importante et lanalyse fine longue. Les donnes issues des diffrentes capacits de collecte des tats-Unis convergent vers les fermes de serveurs de la National Security Agency (NSA) Fort Meade (Maryland) et au Texas. Les messages crypts on estime que 10 20 % des messages mondiaux sont chiffrs sont dchiffrs, quils soient commerciaux avec un niveau de cryptage moindre ou bnficiant de moyens de chiffrement plus puissants. Il est difficile de savoir dans quelle mesure la masse dinformation systmatiquement collecte et les capacits de traitement informatique de la National Security Agency permettent didentifier lorigine informatique des cyber-attaques portes la connaissance des responsables amricains. Le 7 juillet 2001, le Wall Street Journal a rapport
163 164
Desperately seeking signals by Jeffrey Richelson : http://echelononline.free.fr/documents/bulletin.htm
Les logiciels de Deep Packet Inspection (DPI) permettent de filtrer et de traiter automatiquement des paquets de donnes intercepts en identifiant des lments selon des critres dalerte prdfinis (un mot, un protocole..). http://en.wikipedia.org/wiki/Deep_packet_inspection
80
03/2012
que la NSA tait parvenue percer et extraire des informations des cbles fibres optiques165. Au cours de linterview donne au quotidien, le lieutenant gnral Michael Hayden, directeur de la NSA, suggre toutefois que ce nest pas laccs au cble qui reprsente le problme majeur, mais plutt la diversit, la vitesse et le volume incommensurable dinformations qui transitent : There's simply too much out there, and it's too hard to understand . Plus rcemment, il faut noter que les services amricains nont pas t en mesure, au moins ce jour, didentifier tous les informateurs de Wikileaks. Malgr les succs limits et les obstacles un traitement systmatique lchelle mondiale de lensemble des communications numriques, les tats-Unis savrent tre le pays le plus avanc en matire de capacits dinterception de traitement de donnes. Les tats-Unis ont progress vers une coordination des actions de cyberdfense et de cyber-scurit mme si la mise en place dune stratgie nationale cohrente de protection et de dissuasion reste encore lointaine En plaant ds son lection la scurit numrique au cur des priorits de son administration, le Prsident Obama a engag une rforme historique des efforts amricains dans les domaines de la cyber-scurit et de la cyber-dfense. Il a pu capitaliser sur les efforts des gouvernements prcdents qui ont galement lanc des programmes et des initiatives visant renforcer les capacits des services et des agences dans ces deux domaines. La premire brique pose par le gouvernement actuel afin de renforcer lorganisation en matire de scurit numrique correspond au lancement puis la publication ds 2009 dune revue stratgique sur le cyberespace. Dautres documents portant sur des aspects spcifiques du dveloppement du domaine informatique en particulier sur la question de la protection des identits ou du dveloppement de linformatique en nuage ont t publis depuis mais cest cette initiative qui a abouti quelques conclusions clefs qui ont structur les projets amricains depuis : Plusieurs services et agences au sein des divers ministres sont impliqus pour leurs sphres respectives de comptences et des degrs divers en matire de scurit et de dfense numrique. Ds 2003, ladministration prcdente, ayant constat le morcellement des efforts, avait donn au directeur du Department of Homeland Security (DHS) la responsabilit de superviser toutes les activits de cyber-scurit et de coordonner les efforts de toutes les agences pour la protection des infrastructures gouvernementales et publiques166. En janvier 2008, la Comprehensive National Cybersecurity Initiative (CNCI) entreprend dlargir le spectre de coordination des efforts en incluant les aspects relevant du renseignement et la dimension offensive. Fin 2009, le DHS est charg dtablir un centre commun national de suivi et de surveillance des activits numriques gouvernementales (le National Cybersecurity and Communication
165
G. Fouchard, Blind Manss Bluff ou le piratage des cbles en 1975, Bulletin de lAssociation des Amis des Cbles Sous-marins, n26, Le N/C Ampere dans les glaces de Terre Neuve, Juin 2004. The White House, The Cyberspace Policy Review , January 2009, p. 4. Le DHS est directement charg de ladministration et de la protection des passerelles internet avec des noms de domaine en .gov .
166
81
03/2012
Integration Center) qui doit fournir une image oprationnelle commune de ltat du cyberespace lensemble des services fdraux. Lensemble des parties prenantes, y compris le Pentagone, la National Security Agency (NSA) ou encore le Federal Bureau of Investigation (FBI), participe larmement de ce centre oprationnel permanent. Sa mise en place a galement t rendue possible par la signature dun Memorandum of Agreement entre le DHS et le DoD qui permet lintgration dune quipe de la NSA dans lorganisation. Aprs la publication de la revue stratgique de 2009, le Prsident nomme un coordinateur national plac au niveau de lexcutif et dont la tche consiste la fois faciliter le dveloppement dune stratgie cohrente au niveau des ministres, des agences et des services mais galement renforcer les partenariats avec le secteur priv en matire de scurit numrique. Les aspects internationaux font partie des priorits mises en avant par ladministration Obama dans le domaine de la cyberscurit. La revue de 2009 propose ainsi la mise en place dune stratgie internationale visant la fois au dveloppement dun cadre juridique et au renforcement des cooprations avec les allis. Elle avance galement le besoin damliorer le dialogue avec les Economies mergentes afin de dvelopper une norme multilatrale et des moyens de rpondre la nature souvent transnationale des risques numriques. LInternational Strategy for Cyberspace, publie en mai 2011, distingue plusieurs axes concernant la mise en place de rgles qui pourraient permettre de rgir lattitude des tats dans le cadre de conflit dans le cyberespace. Deux mritent en particulier que lon sy attarde. Conformment la Charte des Nations Unies, Washington considre que les tats doivent pouvoir exercer leur droit lautodfense. Par ailleurs, les tats-Unis indiquent que les gouvernements doivent tre tenus pour responsables de la scurit des infrastructures cyber en tant que bien commun mais galement de la scurisation des systmes nationaux face aux risques de mauvais usages167. La question se pose toutefois de savoir quelles agressions tant en termes de nature, dintensit, de frquence et de cible peuvent tre qualifies en tant quactes de guerre. Le risque relev par certains experts serait de rduire la crdibilit dune posture dissuasive en fixant des lignes rouges qui pourraient tre franchies de faon trop frquente ou trop facilement168. Une telle situation abaissant le seuil de riposte une agression crerait en particulier le risque de rendre difficile la gestion de lescalade avec les attaquants potentiels. La coopration avec lensemble des acteurs nationaux du domaine est essentielle mais elle nexonre pas lAdministration de ses responsabilits en matire de scurit. De fait, si la revue de 2009 souligne sans rserve le besoin de dvelopper de nouveaux liens avec le secteur priv et associatif, elle rappelle galement quen cas dincident significatif, cest la Maison Blanche que revient la responsabilit de coordonner et de conduire la rponse.169 Au sein du dpartement de la Dfense, des travaux destins mieux coordonner les initiatives des armes et des services et mettre en place un cadre stratgique pour les
The White House, International Strategy for Cyberspace: Prosperity, Security and Openness in a Networked World , May 2011, pp. 9-10.
168 169 167
Entretiens de lauteur, Washington, octobre 2011. The White House, The Cyberspace Policy Review , January 2009, p. 23.
82
03/2012
oprations militaires dans le cyberespace ont accompagn les rflexions nationales. Ainsi, en 2008, STRATCOM publie un concept dopration consacr au domaine numrique170. La revue de dfense de 2010 (QDR2010) inscrit finalement la capacit oprer dans lespace numrique comme priorit du dpartement et des forces, quil sagisse de protger les moyens et les systmes appartenant la Dfense ou de surclasser un adversaire dans ce domaine spcifique.171 La mise en place du commandement cyber des forces, partir de mai 2010, doit permettre au Pentagone dunifier les efforts des services dans le domaine. Elle rpond une attaque de grande ampleur conduite en 2008 contre le rseau protg du dpartement de la Dfense et qui aurait permis un service tranger de voler des milliards doctets de donnes, y compris des informations confidentielles portant sur des programmes darmement en cours de dveloppement172. CYBERCOM intgre les units cres par les armes173 pour grer la fois les aspects de protection des infrastructures numriques et notamment la surveillance des rseaux de la Dfense et des passerelles existantes avec internet, c'est--dire les domaines en .mil dont la gestion revient au Pentagone mais galement les aspects de guerre numrique ( netwar ). Le commandement doit en effet dvelopper la gestion du domaine numrique afin den faire la cinquime dimension des oprations militaires amricaines. CYBERCOM se trouve sous le commandement du directeur de la National Security Agency174 qui savre tre lun des services du Pentagone les plus avancs dans le domaine de la scurit et de la dfense numriques.
170 171 172
Government Accountability Office, Defense Department Cyber Efforts , July 2011, p. 11. Department of Defense, Quadrennial Defense Review, 2010 , February 2010, p. 38.
http://www.lemondeinformatique.fr/actualites/lire-les-systemes-informatiques-du-pentagone-attaques-parune-clef-usb-31468.html LAir Force, la Marine, les Marines et lArmy ont centralis au sein de leurs commandements leurs efforts en matire cyber depuis 2010. Voir Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information Age , Edited by Kirstin Lord & Travis Sharp, June 2011, pp. 32-33.
174 173
Actuellement le Gnral Keith Alexander (US Army).
83
03/2012
Figure 16 : Organisation du DoD en matire de cyberscurit et de cyberdfense
Malgr lexistence de cette organisation, les responsabilits en matire de dfense dans le domaine numrique savrent encore trs atomises au sein du Pentagone. En matire de dfinition des aspects stratgiques et politiques, plusieurs acteurs au sein de lOffice of the Secretary of Defense sont chargs de superviser les divers aspects relatifs la lutte informatique dfensive comme offensive et des programmes darmement lis175. Dans le domaine oprationnel galement dautres acteurs au sein de ltat-major travaillent la fois sur les aspects stratgiques et sur les questions de doctrine et de concept demploi. Ainsi, il apparat encore trop tt pour juger des bnfices rels que le dpartement de la Dfense tirera de leffort de rorganisation quil a engag partir de 2009, mme si le rattachement des commandements interarmes (JFCC Network Warfare et JTF Global Network Operation) CYBERCOM parat offrir quelques garanties dun meilleur fonctionnement densemble. A contrario, le renforcement des capacits et de la cohrence densemble du volet militaire met en exergue les faiblesses qui existent encore sur la partie civile en matire de scurit numrique. Le dpartement de la Scurit du territoire (DHS) semble en effet souffrir la fois dun certain retard dexpertise vis--vis de la dfense mais galement de difficults spcifiques dorganisation qui nont pas encore t surmontes. En outre, la concurrence qui existe entre DHS et DoD auxquels il faut sans doute ajouter le dpartement de la Justice et plus particulirement le FBI qui se trouve en premire ligne pour la gestion de la criminalit sur les questions de scurit numrique sont de nature renforcer les difficults de coordination alors mme quil semble subsister un manque de direction politique/stratgique au niveau de lexcutif176. Dun point de vue budgtaire, les tats-Unis investissent lourdement en matire de scurit numrique. En 2010, 12 milliards de dollars auraient t dpenss par lensemble des services et agences dans le domaine177. En flux annuel, environ 15 % des budgets ddis aux technologies de linformation seraient consacrs la scurit. Le dpartement de la Dfense reprsente le plus fort investissement avec un montant moyen de 3 milliards de dollars (3,2 milliards prvus pour 2012) qui couvre la fois les investissements matriels mais galement la formation et lentranement des personnes intervenant dans le domaine178. Le DHS est le deuxime plus gros investisseur avec des budgets compris entre 500 millions et 1 milliard de dollars par an (936 millions demands en 2012). Une partie importante de cette somme est consacre au CERT amricain (391 millions de dollars pour 2012179).
175 176
Government Accountability Office, Defense Department Cyber Efforts , July 2011, pp. 19-20.
David Hollis, USCYBERCOM: The Need for a Combatant Command versus a Subunified Command , National Defense University, Joint Force Quaterly, issue 58, 3rd Quarter 2010, p. 51. Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information Age , Edited by Kirstin Lord & Travis Sharp, June 2011, p. 34.
178 179 177
Hors black programs. Ibid.
84
03/2012
Parmi les projets financs par le budget du Pentagone, le programme de cration dun cyber-polygone de tir (National Cyber Range NCR) mrite dtre prsent tant il est susceptible de jouer un rle clef pour permettre lessai des armes numriques qui pourraient tre utilises dans le cadre de la monte en puissance dune dissuasion numrique. Le programme pilot par la DARPA et confi Lockheed Martin pour le dveloppement comme pour la gestion a dbut en 2009 afin de crer un systme capable de simuler le fonctionnement dun rseau informatique de type Internet et de permettre dessayer en grandeur relle et de mesurer les effets de lutilisation de logiciels180. Le projet qui doit aboutir en 2012, a un budget estim de 130 millions de dollars181. Malgr les coupes qui devraient affecter pour la dcennie venir les budgets des principaux ministres et agences amricains, la scurit numrique semble lheure actuelle non seulement pargne mais sera vraisemblablement un des seuls axes de la politique amricaine qui fera lobjet dun financement en hausse182. Mme si les montants investis ne peuvent pas conduire supposer que lorganisation amricaine de cyberscurit et de cyberdfense se montre efficace, ils donnent toutefois quelques lments dclairage sur le dcalage qui semble exister aujourdhui entre les tats-Unis et les autres pays occidentaux dans ces domaines. Ainsi, le budget de lANSSI devrait atteindre environ 100 millions deuros en 2012183. Ct britannique, le General Communication Headquarters (GCHQ en charge des aspects dfensifs) devrait obtenir, sur une priode de quatre ans, 650 millions de livres supplmentaires184 pour le financement du dveloppement dune capacit offensive185.
180
DARPA, The National Cyber Range: A National Testbed for Critical Security Research . Consult http://www.whitehouse.gov/files/documents/cyber/DARPA%20-%20NationalCyberRange_FactSheet.pdf Julius Motal, Pentagon to Prep for Battle Via 'National Cyber Range' , PCMag.com, June 20, 2011. Seung Min Kim, Leon Panetta: Dont Gut our Defense , Politico, 1 November, 2011. http://www.itespresso.fr/la-france-se-dote-dune-vraie-agence-gouvernementale-de-cyber-securite-30404.html Pour un budget total de cyberscurit de 1 milliard de livres sur cette priode.
181 182 183 184 185
Nick Hopkins, UK developing cyber-weapons programme to counter cyber war threat , The Guardian, 30 May 2011.
85
Conclusion
La mise en place dune dissuasion numrique pourrait constituer lune des solutions pour rpondre laggravation des risques crs par la monte en puissance dacteurs malveillants utilisant les outils du cyberespace pour leur profit personnel ou pour conduire des attaques finalit destructrice contre des infrastructures importantes pour les tats et les populations. Avec lapparition dapplications numriques de plus en plus omniprsentes dans la vie sociale, conomique et, de faon gnrale, dans la plupart des activits humaines, les vulnrabilits informatiques devraient se multiplier moyen et long termes. Ainsi, les derniers cas de tentative dintrusion connus en particulier les rvlations sur ltendue et la nature du programme chinois despionnage Shady RAT visant plusieurs dizaines dentreprises, de services gouvernementaux et dorganisations internationales186 montrent que le cyberespace est devenu le champ de conflits dune ampleur suffisamment importante pour soulever la problmatique de lutilisation dactions offensives fondes sur la logique de lgitime dfense. Dans cette perspective, il semble utile de considrer les moyens dune dissuasion numrique visant exercer sur les acteurs malveillants une menace de reprsailles suffisamment crdible pour rduire leur intrt conduire les actes affectant de faon significative le fonctionnement et lintgrit des systmes dinformation et des rseaux jugs comme les plus sensibles non seulement pour la scurit nationale mais, ventuellement, pour le fonctionnement de la socit et de lconomie. Il ressort de ltude que le concept de dissuasion pourrait tre utilis dans le cyberespace mais que son application nest envisageable que sous des formes et dans des conditions diffrentes de celles de la dissuasion nuclaire. De fait, on ne peut que constater que les spcificits du cyberespace, des systmes dinformation et des attaques qui sont menes contre eux doivent conduire proposer des solutions spcifiques. Plusieurs problmatiques particulires se posent particulirement pour la mise en uvre dune dissuasion numrique : En premier lieu, lidentification des responsables dune attaque significative ou dune campagne comprenant plusieurs agressions savre en gnral difficile et longue. Dans certaines circonstances, il peut mme savrer impossible de dterminer avec un niveau de certitude lev187 la responsabilit et limplication de certains acteurs. De fait, la possibilit dagir par procuration et lutilisation des moyens techniques existants afin de cacher ses traces rendent dans les faits lattribution incertaine pour les attaques qui ne sont pas revendiques. Pour autant, il parat dans certains cas possible, en utilisant lensemble des sources dinformation et de renseignement disponibles, en analysant le contexte et la cible de lattaque ainsi que les moyens utiliss, de finalement identifier le responsable. En outre, il convient de souligner que la question de la responsabilit des tats dans le cas dattaques menes depuis leur territoire et grce leurs infrastructures numriques semble aujourdhui pose par certains pays occidentaux, en particulier les tatsUnis. Ainsi, le document de stratgie internationale pour le cyberespace, publi par
186 187
http://blogs.mcafee.com/mcafee-labs/revealed-operation-shady-rat En tout cas suffisamment important pour permettre de publiquement accuser lauteur prsum.
87
03/2012
la Maison Blanche en mai 2011, souligne que la mise en place de normes internationales en matire de scurit numrique doit inclure la reconnaissance de la responsabilit des tats188. Par ailleurs, alors que lon doit supposer que lexercice de la force dans une logique de reprsailles doit se faire avec des moyens de mme nature que les attaques, la mise au point de logiciels susceptibles daffecter suffisamment les adversaires pour permettre de les dissuader, mais galement la dmonstration de leur efficacit peuvent savrer problmatiques. Ainsi, si des capacits offensives peuvent tre dveloppes par les tats, la structure dInternet, au moins sous sa forme actuelle, rend dlicate toute forme de dmonstration en vraie grandeur. Or, de telles dmonstrations doivent tre effectues pour tablir la crdibilit des moyens et des effets attendus. Des capacits dfensives et dattribution efficaces, donc crdibles, devraient tre conues dans le cadre dune coopration troite avec les pays partageant la mme vision des rseaux informatiques et, singulirement, dInternet. Ces cooprations doivent inclure le respect de normes (standards et bonnes pratiques), des changes dinformations, la coordination de systmes dalerte et didentification des auteurs dagressions, des exercices de rponses des attaques, etc. Elles doivent in fine garantir que les tats entreprennent en commun les dmarches informatiques et physiques permettant dtablir lidentit des auteurs ou de leurs commanditaires. Pour tre fonctionnelles, ces cooprations doivent galement intgrer les oprateurs dinfrastructures juges sensibles, quils soient privs ou publics. En particulier, il parat indispensable et vraisemblablement urgent au vu de la monte en puissance des fournisseurs chinois de traiter la question des chanes dapprovisionnement pour les produits et services destins aux systmes dinformation. Lidal serait de recourir des capacits industrielles si possible franaises ou europennes ayant fait lobjet dune expertise de validation conduite par les autorits nationales. Les stratgies de communication qui doivent accompagner la manuvre dissuasive dans lespace numrique soulvent des difficults qui sont directement lies celles de lidentification des agresseurs et de lattribution des attaques. Il faut faire preuve de flexibilit dans la politique de communication afin de prendre en compte les diffrents niveaux de visibilit des attaques au niveau du public ainsi que la diversit des agresseurs potentiels. Ainsi, certains peuvent ne pas tre directement accessibles des dmarches diplomatiques ou conduites par des reprsentants officiels. En revanche, lutilisation de lensemble du spectre des outils de communication existants doit tre envisage. Si de faon gnrale, les moyens offensifs permettant dorganiser des reprsailles contre un acteur malveillant identifi doivent rester dans le registre numrique et leurs effets doivent demeurer proportionns lattaque subie, il ne faut pas exclure lemploi de moyens asymtriques pour rpondre certaines agressions. En particulier face aux acteurs dont les intrts numriques sont limits, le recours des mesures de rtorsion physiques, financires ou des actions juridiques doit tre envisag.
The White House, International Strategy for Cyberspace: Prosperity, Security and Openness in a Networked World , May 2011, p. 10.
188
88
03/2012
La prise en compte des spcificits de lespace numrique appelle une dmarche de restructuration des efforts afin de permettre lmergence dune stratgie de dissuasion fonde la fois sur des mesures dfensives crdibles et sur des moyens permettant de faire peser sur les agresseurs potentiels une menace caractre dissuasif. En premier lieu, il convient sans doute de mettre en place au niveau de lexcutif des moyens permettant de coordonner lensemble des initiatives et des programmes conduits par les administrations en matire de scurit et de dfense numriques. Il sagit galement dassurer le pilotage stratgique et lautorit politique ncessaire sur lensemble des outils dfensifs et offensifs. Cet chelon doit participer la dfinition des rgles dengagement et des conditions demploi des armes numriques et coordonner les activits de veille et dalerte. Larchitecture de dissuasion numrique qui devrait intgrer les services et moyens dj consacrs la scurit informatique au sein des ministres y compris ceux de lANSSI, devrait galement comprendre une division oprationnelle charge, pour la partie offensive, dlaborer les dossiers dobjectif, de grer lengagement des armes numriques (y compris le choix des moyens utiliser), mais galement dvaluer et de caractriser les effets. Au niveau de lexpertise technique, une division aurait pour fonction de dvelopper les armes et didentifier les vulnrabilits des systmes des agresseurs potentiels. Elle serait galement charge, avec les services de renseignement comptents, de participer aux efforts destins attribuer les attaques significatives des acteurs malveillants et, le cas chant, leurs commanditaires. En termes techniques justement, le dveloppement darmes numriques ayant des effets significatifs sur les systmes ou les rseaux adverses exige des efforts de recherche permettant didentifier des failles de scurit (si possible nouvelles de type 0 day exploit ) dans les codes utiliss, les logiciels dploys et les protocoles employs par les adversaires potentiels. Ainsi, la dissuasion devra disposer dun spectre d armes (chevaux de Troie, vers, virus) assez large pour affecter une gamme dacteurs trs large mais suffisamment spcifiques pour causer des dgts significatifs des agresseurs particuliers. Cette ncessit pose quelques difficults. En premier lieu, la dmonstration de leur efficacit de faon publique savre pratiquement infaisable : de fait, lutilisation de ces armes permet en thorie lidentification des vulnrabilits et des failles quelles exploitent, ce qui par consquent les rend caduques189. Par ailleurs, il existe un risque de voir une arme affecter un nombre plus important de systmes ou de rseaux que celui cibl initialement. Le dveloppement dun mcanisme permettant de faciliter lattribution des actes malveillants repose sur (1) la capacit collecter massivement les messages circulant sur les rseaux et analyser rapidement un volume colossal de donnes collectes et (2) la possibilit de complter le traitement numrique par dautres actions de recueil de renseignement ou denqute. En ltat, seuls les tats-Unis disposent des moyens et des comptences permettant de dtecter et, ventuellement, dattribuer une attaque. La National Security Agency (NSA) qui supervise le commandement des oprations
A son tour, cette situation rend plus coteuses et complexes les campagnes permettant dessayer les armes numriques mises au point.
189
89
03/2012
cyber du Pentagone CYBERCOM cre en 2010 , grce son rseau dinterception Echelon et ses capacits de traitement de donnes, savre tre lun des seuls organismes au monde capable danalyser les donnes numriques transitant par le rseau lchelle mondial et donc de rapidement identifier lensemble des machines impliques dans une attaque. En dfinitive, alors que llaboration dune dissuasion dans lespace numrique parat ncessaire pour rpondre lvolution rapide des menaces, les difficults lies sa mise en place effective demeurent nombreuses. A lheure actuelle, seuls les tats-Unis paraissent disposer des moyens et des structures qui leur permettraient dy parvenir. Toutefois, Washington ne peut pas esprer faire fonctionner un tel systme totalement seul et souhaite dvelopper des partenariats renforcs avec ses allis afin, dune part, de faciliter les efforts visant identifier les responsables dune attaque significative en capitalisant sur les moyens denqute des autres tats et, dautre part, de renforcer les mesures dissuasives que ses allis peuvent prendre.
90
Annexe 1 Principales attaques numriques recenses depuis 2007
Mai 2007 : les sites du gouvernement estonien font lobjet dune attaque en dni de service revendique par une organisation non gouvernementale russe ( Nashi ). En rendant les services publics numriss inaccessibles pour les utilisateurs, le groupe russe parvient dsorganiser lensemble de la socit estonienne extrmement dpendante des systmes dinformation en ligne. Septembre 2007 : des rseaux informatiques gouvernementaux en France, au Royaume Uni, aux tats-Unis et en Allemagne font lobjet dune attaque qui aurait t mene depuis des machines situes en Chine. LAllemagne accuse les autorits chinoises davoir commandit cette opration190. Octobre 2007 : le gouvernement chinois indique que les rseaux gouvernementaux, dont certains appartenant la deuxime acadmie chinoise, ont fait lobjet dune campagne dintrusion191. Il accuse les tats-Unis et Taiwan davoir commandit ces oprations. Mars 2008 : des responsables amricains indiquent que de nombreuses socits amricaines, europennes et japonaises sont victimes de vols de proprit intellectuelle et despionnage effectus depuis le cyberespace. Mai 2008 (?) : le Pentagone est infect par un code malveillant (vraisemblablement un cheval de Troie) introduit sur le rseau protg par le biais dune clef USB et qui se serait rpandu lors de lutilisation de supports de ce type192. Le secrtaire adjoint la Dfense, William Lynn, rvle en 2010 que ce logiciel espion pourrait avoir permis une agence trangre daccder plusieurs milliards doctets dinformation, y compris des donnes classifies193. Cette attaque, longtemps passe sous silence par les tats-Unis, aurait acclr la cration du CYBERCOM. Il convient de souligner que trois ans aprs cette attaque, le Pentagone continu nettoyer son systme dinformation. Mai 2008 : selon la DCRI, environ 3 000 socits franaises auraient t victimes dattaques numriques des fins despionnage, de sabotage ou de dstabilisation entre 2006 et 2008194.
http://www.generation-nt.com/commenter/pentagone-piratage-chine-usa-etats-unis-attaque-informatiqueactualite-44779.html
191
190
http://www.generation-nt.com/commenter/espionnage-chine-gouvernement-attaques-informatiques-actualite45084.html
Security and Defense Agenda, A conversation on Cybersecurity with William J. Lynn III , September 15th, 2010. http://www.lemondeinformatique.fr/actualites/lire-les-systemes-informatiques-du-pentagone-attaques-parune-clef-usb-31468.html http://www.latribune.fr/actualites/economie/france/20090625trib000392170/exclusif-3.000-entreprisesfrancaises-victimes-d-espionnage-economique-en-trois-ans.html
194 193
192
91
03/2012
Aot 2008 : alors que les forces russes sapprtent envahir la Gorgie, les rseaux numriques du pays, en particulier les sites gouvernementaux, subissent plusieurs attaques (intrusions et dni de service). Janvier 2009 : le ver Conficker infecte plusieurs rseaux numriques bass sur des systmes dexploitation Microsoft (dont Windows XP). La Marine nationale voit son rseau informatique mis en quarantaine aprs avoir t infect, causant des difficults pour laccs aux plans de vol des missions aronavales195. Mars 2009 : une tude canadienne met au jour lexistence dun rseau de cyberespionnage opr depuis la Chine et qui accderait rgulirement des milliers de machines infectes par des logiciels espions, y compris au sein de systmes gouvernementaux. Le rseau Ghostnet deviendra le premier exemple document des efforts despionnage numrique de la RPC196. Avril 2009 : des pirates obtiennent laccs au rseau de donnes utilis pour le dveloppement du Joint Strike Fighter (F-35 JSF). Le Pentagone ne fournit aucune information sur la quantit ou la nature des donnes drobes197. Juin 2009 : dans un rapport publi sur la scurit en 2008, le ministre allemand de lIntrieur accuse la Chine et la Russie de conduire des actions rptes despionnage industriel via lutilisation de lespace cyber198. Aot 2009 : Albert Gonzales est arrt par la police fdrale amricaine pour avoir, avec plusieurs complices entre 2006 et 2008, contrefait 130 millions de cartes de crdit aprs avoir vol les donnes didentit ncessaires et pour stre introduit dans les rseaux dinformation de plusieurs entreprises amricaines199. Il sagit du crime numrique le plus grave (en volume) jamais poursuivi par les tribunaux. Janvier 2010 : Google indique que les services chinois ont tent de pntrer sur ses rseaux informatiques dentreprise. 34 autres socits de hautes technologies auraient galement fait lobjet de tentatives labores de pntration200. Les attaques auraient particulirement vis les comptes Gmail dactivistes chinois. Avril 2010 : un rapport de lUniversit de Toronto fait tat de lexistence dun programme chinois dnomm Shadow Network destin pntrer dans les rseaux du ministre de la Dfense indien et en voler des donnes, en particulier sur des projets darmement201.
195 196 197 198
http://en.wikipedia.org/wiki/Conficker http://www.scribd.com/doc/13731776/Tracking-GhostNet-Investigating-a-Cyber-Espionage-Network http://online.wsj.com/article/SB124027491029837401.html Le rapport 2010 insiste nouveau sur ce problme pour lanne 2009 : http://www.wired.com/threatlevel/2009/08/tjx-hacker-charged-with-heartland/ http://www.nytimes.com/2010/01/13/world/asia/13beijing.html?pagewanted=all
http://www.jamestown.org/single/?no_cache=1&tx_ttnews[tt_news]=36556
199 200 201
http://articles.timesofindia.indiatimes.com/2010-04-06/china/28132106_1_hacking-activities-chinesehackers-china
92
03/2012
Octobre 2010 : dcouverte dans plusieurs machines utilisant un systme de contrle industriel fabriqu par Siemens du ver Stuxnet. Il infecte notamment lensemble des centrifugeuses du programme iranien tout en transmettant des donnes errones aux oprateurs. Janvier 2011 : des pirates parviennent obtenir plus de 200 000 crdits carbone europens pour une somme estim 4 millions de dollars. Pour ce faire, ils ont hameonn des employs de nombreuses socits et utiliss leurs donnes personnelles pour mettre des faux au nom de six socits202. Mars 2011 : plusieurs systmes dinformation appartenant des ministres conomiques et financiers sont infects par un cheval de Troie dorigine inconnue. LANSSI indique que lobjectif de lattaque aurait t de voler des donnes conomiques concernant la France203. Juin 2011 : le FMI fait lobjet dune attaque de son rseau informatique rendu vraisemblablement possible par des vols didentit raliss au moyen doprations cibles dhameonnage204. Aot 2011 : McAfee publie un rapport dcrivant lorganisation dun rseau despionnage global par la Chine. Celui-ci aurait permis de voler des donnes plusieurs dizaines de gouvernements, dentreprises et dorganisations internationales205. Septembre 2011 : une attaque qui permet dmettre plusieurs centaines de certificats de scurit frauduleux pour des liaisons scurises frappe une entreprise nerlandaise de certification DigiNotar. Lopration aurait t conduite pour piger des centaines de milliers dutilisateurs dinternet et, en particulier, dintercepter des messages lectroniques de la messagerie de Google Gmail206, Octobre 2011 : le systme dinformation permettant le fonctionnement de la flotte de drones amricains est infect par un keylogger, c'est--dire un programme permettant denregistrer les lments taps au clavier et de les envoyer des machines distantes207. Octobre 2011 : lentreprise japonaise Mitsubishi Heavy indique que son rseau informatique a fait lobjet dune attaque visant obtenir des donnes sur ses projets de recherche et de dveloppement. Des informations concernant la conception et la tenue aux tremblements de terre des centrales nuclaires de sa fabrication auraient notamment t voles208.
202 203
http://www.wired.com/threatlevel/2010/02/hackers-steal-carbon-credits#ixzz0eafFpvUR
http://www.ssi.gouv.fr/fr/anssi/publications/communiques-de-presse/attaque-informatique-contre-lesministeres- economique-et-financier.html http://www.pcworld.com/article/230157/imf_hacked_no_end_in_sight_to_security_horror_shows.html http://blogs.mcafee.com/mcafee-labs/revealed-operation-shady-rat
204 205 206
http://www.lemonde.fr/technologies/article/2011/09/06/internet-nous-accordons-une-confiance-totale-auxcertificats-de-securite_1568541_651865.html
http://www.wired.com/dangerroom/2011/10/virus-hits-drone-fleet/
207
208
Agence France Presse, Japan cyber attackers may have military info, 24 October 2011.
93
03/2012
Novembre 2011 : Duqu, un cheval de Troie prsentant de nombreuses similarits (lignes de code) avec Stuxnet, est dcouvert par une universit de Budapest. Comme Stuxnet, il infecte essentiellement des systmes dexploitation de machines mais sa finalit est avant tout de rassembler des informations et de les transmettre vers des machines distantes209. Selon le quotidien isralien Haaretz, le virus aurait infect de nombreuses machines iraniennes.
209
http://www.computerworld.com/s/article/9221817/FAQ_What_s_the_big_deal_about_Duqu_? taxonomyId=17
94
03/2012
Annexe 2 Bibliographie Sommaire
Travaux sur la dissuasion numrique ou sur lexercice de la puissance numrique Martin C. Libicki, Cyberdeterrence and Cyberwarfare , RAND Project Air Force, RAND, 2009. Perspectives for Cyber Strategists on law for cyberwar , Charles J. Dunlap Jr., Major General, USAF, Retired, 2011. Patrick Morgan, Applicability of Traditional Deterrence Concepts and Theory to the Cyber Realm , National Academies of Science, Computer Science and Telecoms Board, Proceedings of a Workshop on Deterring Cyberattacks: Informing Strategies and Developing Options for US Policies, 2010. Eric Sterner, Deterrence in Cyberspace: Yes, No, Maybe? , in Returning to Fundamentals: Deterrence and US National Security in the 21st Century, The George C. Marshall Institute, 2011. Matthew D. Crosston, How Mutually Assured Debilitation Is the Best Hope for Cyber Deterrence , Strategic Studies Quaterly, Spring 2011. Eric Sterner, Retaliatory Deterrence in Cyberspace , Strategic Studies Quarterly, Spring 2011. Harry D. Raduege, Fighting Weapons of Mass Disruption: Why America Needs a Cyber Triad , East-West Institute, Global Cyber Deterrence, April 2010. Daniel T. Kuehl, From cyberspace to cyberpower: Defining the problem , in Franklin D. Kramer, Stuart Starr & Larry K. Wentz, Cyberpower and National Security (Washington, D.C.: National Defense UP, 2009). Joseph S. Nye Jr, CyberPower , Harvard Kennedy School, May 2010.
Stratgie en matire de cyber-espace et scurit numrique. Dfense et Scurit Nationale Le Livre Blanc , Ed. Odile Jacob, juin 2008. Dfense et scurit des systmes dinformation : La stratgie de la France , SGDSN, Fvrier 2011. The White House, International Strategy for Cyberspace Prosperity, Security and Openness in a Networked World , May 2011. The White House, The Cyberspace Policy Review , January 2009.
95
03/2012
Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information Age , June 2011. Center for Strategic and International Studies, Securing Cyberspace for the 44th Presidency , A Report of the CSIS Commission on Cybersecurity for the 44th Presidency, December 2008. GAO, United States Faces Challenges in Addressing Global Cybersecurity and Governance , July 2010. Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information Age , Edited by Kirstin Lord & Travis Sharp, June 2011.
Programmes et travaux du Dpartement de la Dfense amricain. William Lynn III, Defending a New Domain , Foreign Affairs, Sep/Oct2010, Vol. 89, Issue 5. Alexandre Klimburg, Mobilizing Cyber-Power , Survival, Volume 53, Issue 1, January 2011. Department of Defense, Department of Defense Strategy for Operating in Cyberspace , July 2011. Karl Frederick Rauscher & Andrey Korotkov, Working Towards Rules for Governing Cyber Conflict , East-West Institute, January 2011. David Hollis, USCYBERCOM: The Need for a Combatant Command versus a Subunified Command , National Defense University, Joint Force Quaterly, issue 58, 3rd Quarter 2010. Government Accountability Office, Defense Department Cyber Efforts , July 2011. DARPA, The National Cyber Range: A National Testbed for Critical Security Research . Consult http://www.whitehouse.gov/files/documents/cyber/ DARPA%20-%20NationalCyberRange_FactSheet.pdf Julius Motal, Pentagon to Prep for Battle Via 'National Cyber Range' , PCMag.com, June 20, 2011.
Dveloppement de la menace dans le cyberespace. Dmitri Alperovitch, Revealed: Operation Shady RAT , McAfee, August 2011. US Cyber Consequences Unit, Overview of the Cybercampaign against Georgia in August of 2008 , August 2009. Magnus Hjortdal, Chinas Use of Cyber Warfare: Espionnage meets Strategic Deterrence , Journal of Strategic Security, Volume IV Issue 2 2011.
96
03/2012
Thrse Delpech, La guerre informatique a commenc , Politique Internationale, N130, Hiver 2010-2011. Kim Zetter, How Digital Detectives Deciphered Stuxnet, the Most Menacing Malware in History , Wired, 11 July 2011. Noah Schchtman, Pirates of the ISPs: Tactics for Turning Online Crooks Into International Pariahs , Brookings China Center, Cyber Security #1, July 2011. European Commission Staff Working Document, Early Challenges regarding the Internet of Things , 29 septembre 2008. David Bradshaw, Western European Software-as-a-Service Forecast, 20092013 , Apr 2009 Doc # LT02R9, 2009. Cit par lEuropean Network and Information Security Agency. European Network and Information Security Agency, Cloud Computing: Benefits, risks and recommendations for information security , November 2009. Syntec Numrique, Livre Blanc sur la scurit du Cloud Computing : analyse des risques, rponses et bonnes pratiques , 2010. Digimind, White paper: Rputation internet , juin 2008, p. 5.
97

Cyber Dissuasion

Загружено:

Сведения о документе

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Cyber Dissuasion

Загружено:

Авторское право:

Доступные форматы

N 03/2012

recherches & documents

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

TVA FR74 394 095 533

FONDATION RECONNUE D'UTILIT PUBLIQUE DCRET DU 26 FVRIER 1993

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Figure 1 : Croissance du nombre dusagers dInternet (source : Internet World Stats)

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Figure 2 : Les principales menaces en 2010 en chiffres (source : Symantec)

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Voir par exemple la politique dApple Inc. en matire de dissmination dapplications.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

TNS-SOFRES, Linscurit numrique des entreprises : synthse , novembre 2009.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

http://en.wikipedia.org/wiki/SCADA Entretiens de Bruno Gruselle, octobre 2009.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Figure 8 : Schma de principe du Cloud Computing (source : Think-securitys blog47)

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

tats-Unis Cloud Computing en gnral IaaS 57 % 93 %

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Russia-US Bilateral on Security Critical Terminology Foundations , EWI, April 2011.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

http://www.finjan.com/Pressrelease.aspx?id=2280&PressLan=2139&lan=3 Arrangement de Wassenaar, Note gnrale sur les logiciels .

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

De mme lexpression tous azimuts provient-elle du vocabulaire des artilleurs.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Joseph S. Nye Jr, CyberPower , Harvard Kennedy School, May 2010.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

Cest dailleurs, comme on le sait, ce quenvisagent dsormais les tats-Unis.

C YBER D ISSUASION R ECHERCHES & D OCUMENTS

C YBER D ISSUASION R ECHERCHES & D OCUMENTS