jeudi 24 décembre 2009

Travail personnel...

L'auteur de ces quelques messages souhaitait vous faire part de sa dernière publication, le mémoire de fin d'étude ou thèse professionnelle réalisée dans le cadre d'un mastère spécialisé en management des systèmes d'informations.

L'objectif du travail est de développer un modèle d'optimisation de la sécurité de l'information par la pratique (avisée ?) des différentes normes issues du monde IT avec les bonnes pratiques et apports propres à l'intelligence économique.

Cette étude tente de proposer un nouveau modèle qui d'un côté, articule les normes IT, évalue les apports de l'IE comme enrichissement de la pratique de ces normes, avance une nouvelle forme d'organisation et d'approche globale.

Présentation de la thèse : www.cidris.fr

Document : DOWNLOAD

mardi 22 décembre 2009

Le Cyberczar enfin nommé !

Le 22 Décembre de l'an de grâce 2009 fut nommé le cyberczar américain pour que l'Amérique puisse sauver le monde du péril cybernétique !

Sur ces plaisanteries douteuses, revenons à un peu d'objectivité. Annoncée depuis mai, la nomination d'un coordinateur dédié à la sécurité du cyberespace est enfin arrivée.

Howard SCHMIDT est ainsi nommé à cette position longuement commentée de toute part sur le web. Il sera ainsi membre des deux conseils rapprochés du Président : celui de l'économie mais également celui de la sécurité nationale.

M. SCHMIDT n'est pas un novice en matière de politique - il a déjà travaillé en tant que conseiller spécial sur la cybersécurité auprès du Président BUSH - ou en matière de sécurité - il a occupé des fonctions officielles en entreprise et en matière de sécurité.

Rappelons que ce poste a mis longtemps à être comblé, non pas par manque de compétences ou d'éventuels candidats mais sans doute par manque d'enthousiasme. D'aucuns craignaient en effet une fonction dépourvue de réel pouvoir et donc à ce titre, le "placard.

Gageons que cette nomination, très demandée par de très nombreux analystes, pourrait modifier la donne et la pratique des USA en la matière...Le futur s'annonce intéressant !

Pour en savoir plus : http://www.whitehouse.gov/blog/2009/12/22/introducing-new-cybersecurity-coordinator

Source : http://fcw.com/articles/2009/12/22/web-howard-schmidt-cybersecurity-coordinator.aspx

mercredi 16 décembre 2009

Vers un traité pour les cyberattaques ?

La réalité des cyberconflits prête encore parfois à confusion. Il suffit, pour cela, de reprendre les propos sur les attaques informatiques observées et la diversité des conclusions émises divers auteurs.

Cependant, pour les USA et la Russie, c'est une vraie réalité à tel point que les deux puissances se sont réunis autour d'une même table pour négocier sur les "armes" informatiques. Récemment, des représentants de l'ONU, notamment de la commission du désarmement et de la sécurité.

On retiendra cependant une totale différence d'approche : les USA préféreraient traiter cela sous l'angle économique & juridique et notamment la répression commune de la cybercriminalité. La Russie au contraire lui préfère l'approche "militaire" de la chose...

Source : http://news.hostexploit.com/index.php?option=com_content&amp%3Bview=article&amp%3Bid=2712%3Ainternet-security-us-and-russia&amp%3Bcatid=1%3Acyber-warfare&amp%3BItemid=28&utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+HostexploitNewsRss+%28Hostexploit+News+RSS%29&utm_content=Google+Reader

lundi 14 décembre 2009

Un franc succès !

Il n'est que trop tendance ces derniers temps de critiquer les Armées françaises et certainement, ce blog ne fait pas exception même si celles-ci sont souvent voilées.

Cependant, une excellente nouvelle mérite d'être mentionnée et diffusée aujourd'hui. Ainsi, on a récemment pu apprendre que l'Armée Française fait partie des contributeurs officiels de Thunderbird 3.0 au niveau, notamment de certaines couches et applications de sécurité. 10 000 postes seraient ainsi équipés de ce système jugé plus sur.

De nombreux articles ont d'ailleurs repris cette information, notamment dans le monde anglo-saxon (Cf. Sladshot).

Les vices et aléas de la standardisation des matériels et logiciels ont été de nombreuses fois relatées. De même que l'intérêt réel du logiciel libre en la matière dont certains tenants, en l'occurence Mozilla, se félicite de cette contribution..

On se souviendra également que plusieurs pays s'étaient prononcés pour de tels logiciels, évidemment retouchés pour leurs besoins, en matière de défense : Russie et Chine (Kylin). La Gendarmerie Nationale avait également expérimenté des logiciels libres et plusieurs machines dévolues à nos représentants nationaux étaient ainsi livrés avec une distribution Linux.

Car, ne l'oublions pas, la sécurité reste une souvent une externalité : l'augmentation de la sécurité individuelle concoure à l'amélioration générale de la sécurité de tous sans que cela ne soit "rémunéré" d'une façon ou d'une autre.

Bref, génial et continuez !

Source : http://www.spyworld-actu.com/spip.php?article12259

lundi 7 décembre 2009

Où l'on reparle de " Digital Pearl Harbor"

La crainte du Pearl Harbor est bien ancrée dans l'esprit des américains, l'histoire leur ayant enseigné le danger de mettre tous ses oeufs dans le même panier. Il n'est donc pas anormal de voir ressurgir aujourd'hui cette crainte mise au gout du jour, sous forme "électronique" cette fois-ci.

C'est en substance ce que retient un article que je souhaite ici diffuser intéressé par son contenu et son ton qui le différencient nettement des autres. La lecture des sources anglo-saxonnes, américaines notamment, dévoile une vision partagée, à forte tendance alarmiste voire paranoïaque.

Même Ira Wrinkler pour qui cette notion paraissait encore récemment tout à fait farfelue, s'est désormais rangé à l'avis majoritaire (dans les parutions et les médias), échaudé par la mis en place de la "Smart Grid", ce système dit "intelligent", basé sur l'informatique et censé gérer la fourniture d'électricité aux USA.

Cette article considére que bien que les menaces informatiques soient tout à fait réelles, il faut bien prendre en compte la difficulté que représente l'anéantissement d'un réseau dans son ensemble. Il affirme que si une flotte entière reste assez difficile à détruire entièrement, le cas d'un réseau informatique est encore plus problématique.

Plus encore et c'est là son point fort, il remet en perspective la notion même d'attaque informatique : celle-ci ne se conçoit que dans une phase d'attaque militaire concertée pour atteindre un niveau de type "Pearl Harbor"...Selon lui, une attaque de type cyber-terroriste, pour peu qu'elle puisse atteindre un tel niveau de dommage, aurait au final un impact limité car, par nature, les terroristes auraient du mal à profiter pleinement de l'opportunité stratégique offerte par une telle panne.

Bref...un article pondéré, au ton neutre et particulièrement instructif !

Source : http://gcn.com/Articles/2009/12/04/digital-Pearl-Harbor.aspx?Page=1

jeudi 3 décembre 2009

Un peu de gouvernance...internet

Le thème du jour est la Gouvernance Internet mais avant, une petite précision. Ce blog se dédie notamment aux questions de "cyberwarfare" comme l'indique son titre mais il se veut également une vitrine de réaction plus rapide pour CIDRIS...Or, CIDRIS veut aussi dire "Cyberespace, Internet in Défense, Relations Internationales et Sécurité"...

Pourquoi une telle précision : la Gouvernance d'Internet n'est PAS une composante de la "cyberguerre" - et ce terme mérite sans doute plus de travail de définition. L'art de la guerre informatique ou "cyberwarfare" se compose d'un ensemble d'acteur, de tactiques, de stratégiques...conçus dans une optique d'affrontement ! On ne peut pas tout mettre dans la "cyberguerre" comme on peut parfois le lire !

La Gouvernance d'Internet est ainsi un ensemble d'acteurs, d'organisations et de processus dont le but est bel et bien d'apporter une forme de régulation à certains niveaux d'Internet. Historiquement, la Gouvernance d'Internet "appartient" à l'ICANN avec toutes les limites qu'apporte un tel raccourci. Or, en matière de télécommunications, le monde disposait préalablement de l'UIT ou Union Internationale des Télécommunications, organisation inter-gouvernementale..

L'histoire veut ainsi que l'on rapporte la génèse de la gouvernance d'internet et son parcours comme un affrontement entre ces organisations. Un récent article de Milton MUELLER détaille ainsi, avec son franc-parler, cette opposition. Il les range cependant dans la même catégorie, en n'ayant sans doute pas tout à fait tort, en raison de leur incapacité à gérer correctement un modèle de gouvernance réellement multi-acteurs..Il explique ainsi les réticences de la Chine ou de la Russie devant des modèles qui, quel qu'il soit, ne sont pas satisfaisants. Chacun jugera !

Par ailleurs, la gouvernance présente tout de même des liens avec la sécurité globale et la résilience du réseau. Ainsi, l'implémentation mondiale de DNSSEC, soutenue par la vague de crainte occasionnée par la "faille" Kaminsky est une vraie question de sécurité mais aussi de moyens financiers et de problèmes techniques...

Un récent article nous donne ainsi quelques éléments financiers : l'US Air Force a récemment attribué à un prestataire un contrat de 4 millions de dollars pour la mise en place du système au coeur de son réseau. Une indication financière utile alors que les coûts de déploiement restent encore un problème et que l'on attend encore les retex des registres et organisations qui tentent actuellement de le mettre en place.

Par ailleurs, la même société est dirigée par Steve CROCKER, également chair du SSAC (un comité de l'ICANN chargé des questions de sécurité et également membre du board de l'ICANN...Bref, vous l'aurez compris, l'auteur de ces lignes a souri et apprécié les interventions de M. MUELLER qui, en incontestable trublion, nous offre ici des informations intéressantes...

Notons cependant que sa position de libérale forcené est parfois incompréhensible aux regards des enjeux : il souhaite ainsi que le standard DNSSEC puisse laisser la place à des outils de chiffrement choisis sous le régime de la concurrence. La prégnance de RSA dans la structure dévoilée par le trio ICANN-NTIA-Verisign serait néfaste pour les BRIC et leur capacité à intégrer l'internet global avec la croissance des utilisateurs.

Une fenêtre sur la gouvernance d'internet...

Source : http://blog.internetgovernance.org/blog/_archives/2009/11/20/4385849.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+IGPBlogCombined+%28IGP+Blog+Combined%29

http://blog.internetgovernance.org/blog/_archives/2009/11/10/4377271.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+IGPBlogCombined+%28IGP+Blog+Combined%29

http://blog.internetgovernance.org/blog/_archives/2009/11/7/4373694.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+IGPBlogCombined+%28IGP+Blog+Combined%29

mardi 1 décembre 2009

Plaidoyer pour une doctrine

Dans un réflexe très français, je vais un peu critiquer : un grand nombre d'articles disponibles font de la cyberguerre un évènement presque commun. Dans leurs analyses, on observe très souvent le raccourci simpliste qui consiste à dire que l'IP d'un ordinateur que l'on peut rattacher à un pays par une simple requête "whois" implique le pays..

Cette "analyse" qui n'est pas une oublie que le propre d'une atteinte informatique est de dissimuler la source exacte. Ca rend les choses plus compliquées...

Aussi, lorsqu'un article apparait qui va plus loin dans cette analyse, je fais en générale l'effort de lire jusqu'au bout. Lorsqu'en plus, l'article affirme qu'il faut des critères précisément définis pour analyser la situation de guerre informatique, alors je deviens extatique.

L'auteur livre par ailleur des conclusions selon lesquels les conflits médiatisés comme les événèments géorgiens ou estoniens ne peuvent être qualifiés de cyberguerre. Plus encore, il affirme que les états disposant de réelles capacités en la matière hésitent à les employer par peur de retour de baton..

La situation serait ainsi proche d'une sorte de Guerre Froide avec une forme de dissuasion de première génération ou MAD : Mutuelle Destruction Assurée...

Je vous laisse à votre tour profiter de cet excellent article : http://gcn.com/Articles/2009/11/30/Cybereye-cyberwar-doctrine.aspx?Page=1