Le Canada se dote d'une stratégie de cyber-sécurité

Récemment publiée, la Canada’s Cyber Securit y Strategy fait entrer le pays dans un club encore assez restreint des pays mettant en avant une stratégie indépendante vis à vis du cyberespace.

Quoique relativement courte, un peu plus de 15 pages, cette vision est intéressante car elle définit une position officielle et autonome du Canada que l'on évoquait, jusqu'ici, plus comme partenaire des USA que comme pays autonome en matière de cyber-sécurité.

Ce document, dont ce blog annonçait la venue il y a quelques mois, concrétise donc des efforts de réflexion attendus.

Quels en sont les points saillants ?

=> Une définition du cyberespace intéressante mais restrictive. Elle se focalise sur l'espace créé par l'interconnexion des réseaux et les informations qui y circulent. Cette définition prend en compte la dimension du cyberespace en prenant en compte les 1,7 milliards d'internautes, le fait que 60% des Canadiens déclarent leurs impôts en ligne ou encore que 67% d'entre eux l'utilisent pour les services bancaires.

=> Quelques données chiffrées : le chiffre d'affaires des ventes en lignes représente 62,7 milliards de dollars canadiens et près de 90% de l'activité commerciale se feraient en utilisant en partie Internet.

=> On apprend également l'existence du Canadian Cyber Incident Response Centre, sans doute le CERT-Canadien.

=> Le Canada considère avec justesse l'évolution de la menace dans la stratégie, ce qui n'est pas si commun. Ainsi, le vol d'identité est très largement pris en compte par la stratégie qui lui donne une place inédite jusqu'ici.

Très justement, la stratégie analyse les 4 facteurs-clés de succès des attaques informatiques à l'heure actuelle : peu chères, assez facile, efficiente, peu risquées.

A cela, il faut ajouter une prise de position forte : les attaques ciblées et les plus pernicieuses ne peuvent relever que des états. Or, cela n'a pas été prouvé car il existe de nombreux groupes criminels ou plus inclassables possédant aujourd'hui des capacités extensives de nuisances par la création de malwares de qualité. Le malware "Zeus" en est un des exemples!

Cependant, si cette stratégie met en avant le poids important de l'aspect militaire ou stratégique des attaques informatiques, elle n'est pas une doctrine militaire. Celle-ci sera visiblement publiée par la suite (ou conservée secrète) et sera le fruit d'une réflexion des autorités militaires canadiennes.

L'analyse de la menace se conclut par une approche équilibrée qui prend garde à ne pas oublier les très grandes capacités des groupes cybercriminels ou les terroristes. Concernant ce dernier sujet, le document se montre prudent en évoquant les utilisations traditionnelles (propagande, organisation, recrutement) mais évoque également l'utilisation d'internet à des fins de perturbations plus profondes (ex. : des OIV comme cibles).

=> La stratégie retenue est tripartie : protéger les systèmes gouvernementaux, inciter et collaborer pour assurer la protection des systèmes non gouvernementaux mais critiques, aider les citoyens à se protéger.

1/ La protection des systèmes gouvernementaux passe par une définition claire des rôles et responsabilités de chacun. La plupart des grands ministères se voit désigné pour une ou des tâches précises.

- des lieux communs : le Treasury Board aura ainsi une responsabilité globale de mise à niveau de la sécurité. La Police Montée assumera une fonction d'investigation en ce qui concerne la cybercriminalité...

- des nouveautés : le ministère des affaires étrangères aura pour rôle de coordonner une "cyber security foreign policy" ce qui reste relativement rare dans les expressions publiques des stratégiques "cyber" tout comme la référence directe aux rôles endossés par les services de renseignement.


2/ La protection des infrastructures critiques sous-entend des formes de partenariats publics-privés. Il est intéressant de constater que le diagnostic reste identique : après tout, le Canada aurait pu conclure que cette protection doit relever uniquement du secteur public par exemple.

En revanche, le Canada semble se focaliser sur les aspects économiques alors que les approches récentes, en France par exemple, intègrent les infrastructures vitales (eau, énergie, transports...) et leur dépendance à l'informatique ainsi que l'interpénétration des réseaux. Cette dimension semble moins perceptible dans l'approche canadienne.

3/ La protection des individus est mis en avant comme renforçant la sécurité globale du pays. A cet effet, le Canada se met en ordre de bataille pour ratifier la Convention de Budapest sur la cybercriminalité.

Par ailleurs, la Police Montée aura la possibilité de créer un Integrated Cyber Crime Fusion Centre permettant la prise en compte des spécificités de la lutte contre la cybercriminalité.

Conclusion : cette stratégie dont la concision et la clarté sont étonnantes au premier abord révèle toutefois un équilibre et une rare complétude. Parmi ses idiosyncrasies, la volonté d'avoir une approche interne/international intégrée et la notion de "communauté de sécurité" où la responsabilité appartient à tous, simple utilisateur, entreprises et gouvernements. D'un autre côté, l'aspect militaire parait très léger alors qu'il est bien plus prégnant ailleurs (comme en France) ainsi que la dimension informatique des infrastructures critiques.

Cette stratégie n'est pas sans rappeler le document "National Strategy To Secure Cyberspace" publié aux Etats-Unis en 2003.

Source :


http://isc.sans.edu/diary.html?storyid=9661&rss

http://www.publicsafety.gc.ca/prg/em/cbr/ccss-scc-eng.aspx

Rumeurs et réalité du NET : stop !

Edit : Je trouve qu'on verse dans la comique :

Selon un article, la responsabilité du ver serait américaine ou israélienne mais peu importe car les supers services secrets/de police/militaire/... iraniens auraient arrêtés les responsables de la dissémination du ver !

Ils sont forts hein ! http://www.spyworld-actu.com/spip.php?article13920


Ah mais non ! Maintenant, ce serait les russes ! Encore les russes ? N'en doutons pas, la Russie reste un coupable idéal et un objet de fantasme.

http://blogs.jta.org/politics/article/2010/10/04/2741119/stuxnet-a-russian-worm

==========================================================================

Une légère réaction épidermique aujourd'hui vis-à-vis de quelques news : Stuxnet notamment et l'autre grande victime des déclarations péremptoires : le DNS !

Il est vrai que le DNS est une infrastructure et un système au coeur d'Internet. Il est vrai que le mythe des 13 serveurs racines est ancré dans les esprits mais parfois, il faut pousser plus loin la recherche. Aujourd'hui, environ 200 serveurs, répartis géographiquement sur le globe assurent ce service essentiel et si certains sont "plus" importants que d'autre, des perturbations limitées dans le temps n'ont pas forcément des effets désastreux sur Internet...

Mais les esprits chagrins ont, semble-t-il, la plume acérée et l'oeil brillant devant le scandale : une absence de réponse temporaire devient une catastrophe.

Comme le raconte si bien M. Bortzmeyer, une tempête assortie de coupures d'électricité ont conduit à l'arrêt du serveur, sans cependant que des perturbations importantes soient ressenties par les utilisateurs, que le service soit arrêté ou que cela dure longtemps.

Plus encore, rappelons que même si TOUS les serveurs tombaient au même moment, le service DNS ne s'arrêterait pour autant de suite : les utilisateurs continueraient à recevoir les informations pendant quelques temps.

Autre réaction gênante, Stuxnet !

Rappelons quelques FAITS :

=> La Chine est plus affecté que l'Iran

=> Stuxnet n'a pas encore provoqué de dégâts industriels, surtout de l'espèce de ceux prédits

=> Stuxnet est effectivement un ver relativement complexe car il a mis en oeuvre des systèmes de protection poussés (chiffrement, corruption des certificats numériques..) et il intègre des éléments visant des produits liés à l'informatique industriel.

Quelques rumeurs et autres FUD :

=> Stuxnet visait l'IRAN pour empêcher la continuité du programme nucléaire : oui mais pourquoi la Chine est plus atteinte ? Pourquoi le ver n'a-t-il encore eu aucun effet "en propre" hormis les perturbations liées à l'exploitation des vulnérabilités et à sa dissémination ?

=> la France ne risque rien : on n'utilise pas Windows ? Il me semble que si. On n'utilise pas Siemens : je ne pourrai en être certain notamment car le secret est relativement bien protégé dans certains milieux...Mais Siemens a des usines en France et ça m'étonnerait franchement qu'AUCUN produit ne traîne dans nos usines/industries.

=> Israël est responsable ! Encore ? Une référence sibylline à l'ancien testament semble prouver sa responsabilité. Ou le contraire selon que l'on souhaite impliquer Israël ou non : (cynique) mais il est vrai que personne ne souhaite raviver les tensions dans cette partie du monde (/cynique).

Vous remarquerez que je n'avais, jusqu'ici, publié aucun article sur ce ver considérant qu'il y avait déjà beaucoup d'informations intéressantes. Je trouve cependant qu'il est intéressant parfois de se transformer en "Grincheux" pour tenter d'apporter une vision moins liée à l'aspect dramatique de l'information quotidienne.

Cyber Storm III

Nous annoncions il y a quelques mois la tenue d'un prochain exercice de lutte informatique grandeur nature aux USA intitulé Cyber Storm III.

Ce nouvel exercice a donc débuté pour une durée de plusieurs jours et se caractérise par la participation de nouveaux pays aux côtés des USA et de leurs alliés les plus proches, déjà présents dans Cyber Storm II.

Rappelons que la France organise également des exercices de crise informatique appelé Piranet, qui demeure cependant bien plus discret, culture oblige, que ceux qui se déroulent outre-atlantique.

Quelques éléments de contexte :

=> Cet exercice est organisé par le DHS, Departement of Homeland Security, ministère relativement récent malgré tout qui a pris une importance cruciale ces dernières années. Il est le pendant, côté civil, du ministère de la défense et gére toute la sécurité dite civile.

=> Cet exercice, d'une durée estimée à 3/4 jours, se déroule à Arlington, en Virginie au sein du Centre national d’intégration de la cybersécurité et des communications.

=> Il comprend le tests d'environ 1500 scénarios d'attaques informatiques concoctés notamment par la NSA et le Pentagone et se concentre sur les infrastructures critiques.

=> 7 Ministères américains (Commerce, Défense, Energie, Justice, Transports, Finance, la Maison Blanche et des représentants de la communauté du renseignement) 11 Etats fédérés (California, Delaware, Illinois, Iowa, Michigan, Minnesota, North Carolina, New York, Pennsylvania, Texas et Washington), 60 entreprises privées y participent appartenant au secteur de la défense, banque, industrie chimique, communications, nucléaires, transports et traitement de l'eau).

=> 12 pays ont été invités : le Canada, l’Australie, la Grande-Bretagne, la France, l’Allemagne, la Hongrie, le Japon, l’Italie, les Pays-Bas, la Nouvelle-Zélande, la Suède et la Suisse.

A suivre donc, pour en connaître un peu plus sur les scénarios testés et les résultats obtenus.

Source :

http://www.spyworld-actu.com/spip.php?article13891

http://fcw.com/articles/2010/09/28/dhs-testing-new-cyber-response-plan-in-global-drill.aspx

Comment contrôler les "armes du net" ?

Question provocante s'il en est ! Une petite touche d'approche journalistique n'est pas sans effet parfois mais ne laissons pas l'enthousiasme nous emporter. Il s'agit ici d'évoquer les derniers développements de l'initiative russe, supportée par l'ONU et notamment l'IUT, mettant en avant un traité de contrôle des "cyber-armes". Nous évoquions, avec force critiques, dans des articles précédents.

Un récent article nous apporte quelques éléments dont le plus intéressant reste celui-ci :



Il s'agit de la liste des pays ayant approuvé l'initiative russe que nous évoquions précédemment. Cette initiative reste un relatif succès diplomatique russe car si le pays a clairement une position de leader ici, les pays l'ayant suivi ne sont pas forcément parmi les forces diplomatiques majeures à l'exception notable de l'Inde, de la Chine et du Brésil...Qui a dit BRIC ?

Aucun pays européen ne l'a effet encore soutenu et les Etats-Unis se font encore "tirer" l'oreille bien qu'ils aient accepté la version russe de contrôle des armements opposée à la leur, plus orientée coopération policière contre la cybercriminalité.

On apprend également quelques éléments intéressants :

=> l'approche choisi par la Russie est celle de "Guerre de l'Information" se référant aussi bien aux aspects techniques qu'à la guerre des idées

=> depuis 1998 et chaque année, le gouvernement russe dépose une motion tendant à proposer une négociation sur "l'information terrorism", c'est-à-dire les pratiques de manipulations, largement facilitées par Internet, permettant de manipuler des populations et provoquer des conflits sociaux de forte intensité

=> en 2008, Sergei Korotkov du ministère de la défense russe, lors d'une conférence de désarmement de l'ONU souhaitait que puisse être qualifié "d'agression" tout comportement imputable à un état, visant à effectuer des manœuvres de subversion par Internet

=> Lors du Sommet de l'Organisation de Coopération de Shangaï, la Russie avait réussi à proposé une version plus dure encore de cet accord de "désarmement" aux pays de l'OCS, version notamment plébiscité par la...Chine. L'accord définit une "guerre de l'information" visant à amoindrir les capacités d'un pays à remplir ses rôles politiques, sociaux et culturels.

=> On connait également la propension de l'IUT à souhaiter un tel traité, proposition relayée par son secrétaire général Amadoun Touré.

Il est intéressant de constater que toutes ces manœuvres reposent sur deux problèmes :

- le manque de définition communément acceptée des attaques informatiques, guerre de l'information...

- une problématique de gouvernance : alors que l'IUT tente d'y retrouver son rang, certains pays (Inde, Chine, Brésil, Russie), peu ou mal représentés, utilisent des voies détournées pour reprendre un ascendant sur ces problématiques.

Tout cela est bien beau et bien gentil mais n'oublions pas les réalités techniques notamment à commencer par le contrôle de programmes à haut potentiel de destruction. Un programme, c'est de la donnée numérique relativement simple : du texte dans un langage donné...

Le coût et la complexité de la reproduction de la donnée numérique sont NULS ! Un programme est bien plus léger qu'une vidéo. On le modifie, on le dissimule avec une grande facilité et on voudrait nous faire croire que l'on peut en limiter l'expansion ???

Les enjeux de l'activisme diplomatique russe apparaissent donc un peu plus clair grâce à ces informations : la problématique centrale semble demeurer la reconquête de leur rang diplomatique associée à plus grande maitrise de ce qui semble demeurer une faiblesse inhérente aux régimes en délicatesse avec les droits de l'homme à l'heure de l'information sans frontières.

Ce qui pose une question presque métaphysique, quelle est aujourd'hui la capacité réelle des États sur Internet ?

Source : http://www.npr.org/templates/story/story.php?storyId=130052701

Une dérive dangereuse...

En tant qu'observateur attentif du cyberespace, je dois dire que les derniers jours ont fait remonter des informations qui révèlent un potentiel de destruction relativement important.

Il faut se l'avouer : le Déni de Service, en particulier lorsqu'il est distribué (DDoS) devient une activité lucrative, un moyen de pression et un moyen de revendication. Devenu l'outil à tout faire, il est la réponse première et primale à tout acte sur Internet, ou dans la vie réelle, ayant choqué tout ou partie d'un groupe d'individus, une population ou encore une nation.

Cette tendance me parait dangereuse car elle est potentiellement auto-destructrice et, à mon sens, possède un potentiel énorme en matière dégâts, presque plus qu'une "cyber-guerre"...sauf à considérer qu'une propagande et une manipulation bien orchestrée puisse "exciter" lesdits hacktivistes, ce qui semble une hypothèse assez probable.

Revenons à nos moutons :

=> DDoS comme activité lucrative: je vous renvoie ici à l'étude faite par les consultants sécurité d'Orange Business Services qui ont étudié les réponses d'une société tout à fait visible sur le net dont l'activité est de lancer des dénis de service.

Help-Desk de IMMDOS

=> DDoS comme moyen de pression : en Inde, les ayants-droits de l'industrie culturelle feraient désormais appel à des spécialistes de l'attaque informatique pour rendre indisponible les sites proposant des fichiers piratés notamment.

Commanditer des attaques DDoS

=> DDoS comme moyen de revendication : cette méthode là est classique mais elle devient quelque peu trop répandue et n'est pas sans causer des craintes sur les capacités d'absorption de nos réseaux.

On sait ainsi avec une quasi-certitude que les hacktivistes affûtent leurs logiciels pour la mise en place du site de l'HADOPI afin d'être prêt rapidement, dés sa mise en ligne, à le rendre indisponible.

De la même manière, d'autres ayants-droits sont attaqués, en représailles, pour leur politique agressive de protection de leurs richesses.

Hacktivisme contre les ayants-droits et leurs représentants.

Alors que le Parti Pirate français a pu faire remarquer que :« alors que des attaques par DDOS contre les serveurs de hadopi.fr et TMG se préparent, nous appelons leurs futurs auteurs à la raison et à l'engagement citoyen et/ou politique. Nous ne cautionnons pas ces attaques vaines et contre-productives, qui amènent de l'eau au moulin de nos adversaires, qui stigmatisent déjà les internautes et les criminalisent », cela ne s'arrête pas là.

Cette forte d'hacktivisme pourrait ainsi présager d'une forme de guerre civile entre internautes, quel que soit leurs origines et métiers par exemple. Le partage temporaire d'une opinion ou l'appartenance idéologique à un groupe pourrait ainsi décider de telles actions qui, bien que brèves pour l'individu, peuvent avoir des conséquences néfastes sur la viabilité du Net.

Internet reste un patrimoine commun et je ne suis pas sur qu'il survivrait à une vraie "bataille" à coups de DDoS de revendicateurs assoiffés de "sang numérique"...Au-delà de ces quelques métaphores douteuses, la crainte reste pour moi, réelle !

Capacités de lutte informatique d'Israël

Edit : Un ami d'un autre blog, Electrosphère, me renvoie à un de ses articles détaillant plus précisément les techniques utilisées pour paralyser les radars syriens : http://electrosphere.blogspot.com/2007/12/le-raid-cyber-de-isral-en-syrie.html

=====================================================================================

Un article intéressant fait le point sur les capacités d'Israël en matière de lutte informatique. A priori, les Forces de Défense Israéliennes auraient ici moins de complexe qu'en matière nucléaire.

Alors que certaines informations étaient restée relativement discrètes, l'article confirme qu'Israël aurait bien utilisé de telles capacités pour mettre hors d'état de nuire certains composant du système de radar et de surveillance aérienne syriens alors que des aéronefs allaient bombarder de récentes installations suspectées de participer à un éventuel effort de nucléarisation.

C'est cependant des problématiques d'intrusions qui auraient décidé le pays à s'engager sans plus de réserve dans le domaine de la lutte informatique notamment après des déboires rencontrés pendant l'opération "Plomb Durci" en 2009.

Plus exactement, deux attaques se seraient produites :

- Une tentative de piratage des systèmes de gestion de satellite audiovisuels pour remplacer les flux légitimes par de la propagande

- des piratages orchestrés par le Hezbollah pour obtenir des accès aux communications militaires.

La première attaque aurait été contrée mais pas la seconde, précipitant la réaction du pays en matière de sécurité informatique.

Suspecté de n'être pas naïf en la matière, Israël ne s'est pourtant que rarement illustré en matière de lutte informatique.

Assisterions-nous à la naissance d'un nouvel état prépondérant dans le domaine de la lutte informatique ?

Source : http://www.military-technologies.net/2010/09/20/idf-hones-cyber-warfare-capabilities/

Amalgames et dérives : du nucléaire au cyber !

Étant volontiers critique des approches en vogue de la "cyberdéfense", je ne peux m'empêcher de réagir aux propos de M. Lynn, le sous-secrétaire d'État à la défense des États-Unis, venus en Europe prêcher la bonne "cyber-parole"...

Entrons dans le vif su sujet : mon reproche porte essentiellement sur cette analogie persistante et déplacée avec le monde nucléaire...

Si je devais tracer à grands traits l'histoire récente de la stratégie militaire, je dirais que deux doctrines sont aujourd'hui particulièrement présentes : la dissuasion nucléaire, toujours d'actualité, et la contre-insurrection.

Or, la contre-insurrection semble s'appliquer à des problématiques "terrains" avec une empreinte technique relativement faible. En revanche, la doctrine nucléaire est, par essence, une doctrine qui s'attache à intégrer dans un concept militaire, un ensemble technologique très pointu.

De là à dire qu'en absence de pensée construite, on se contente de ressortir les vieilles recettes, il n'y a qu'un pas ! J'avoue que je pense réellement que cette solution de facilité permet aux discours de se servir de l'analogie nucléaire justifiée par une forme de base technologique commune.

J'ai déjà, dans plusieurs articles, esquissé, ce qui pour moi, cristallise le manque de pertinence de cette analogie.

Soyons pragmatique et précisons les reproches :

- "Bouclier cybernétique". Que vive la défense périmétrique ! Personnellement, ce discours a quelque chose de drôle au vu des dernières mésaventures de nos alliés outre-atlantiques à cause d'une clé USB.

Ce concept de défense périmétrique, tel que décrit ici, renvoie donc à une solution surannée et contestable qui aujourd'hui trouve ses limites. Elle est de plus en plus souvent accompagnée par d'autres mesures et approches : risques/menaces, sécurité dans un monde interconnecté etc etc...

- "l'organisation d'une "défense collective" comme au temps de la guerre froide, par le biais de l'interconnexion des systèmes de défense informatique des pays alliés."/...Alors là, je trouve qu'on touche le fond !

Bien que moyennement capable de protéger nos propres réseaux, il faudrait encore s'interconnecter le plus possible. Comme cela, on est certain de faire encore plus de dégâts. Rappelons que la chaine n'est jamais plus solide que son maillon le plus faible !

En revanche, je ne peux que me montrer en accord avec la notion de défense commune : en effet, le partage d'informations en temps réel, la capacité à détecter des attaques (analyse des signaux faibles + renseignement sur Internet) sont des facteurs d'amélioration de la sécurité de ces systèmes.

Cependant, il me parait également important de sortir des concepts pré-conçus pour en inventer de plus adaptés. C'est notamment la proposition que je faisais dans un précédent article de "réduction des fenêtres d'action" par la corrélation de différents moyens.

En revanche, je crois fermement que ces efforts de conceptualisation ne pourront s'affranchir d'une profonde période de recherche, d'analyse et de compréhension des mécanismes d'affrontement. En cela, la diversité des méthodes d'analyses déjà existantes paraissent tout à fait adaptées à l'objet d'étude. On pense à l'analyse stratégique par exemple mais également aux différentes théories de l'information.

De ces discours politiques, on retient ainsi un profond manque d'ancrage dans la réalité et l'opérationnel. Or, dans le cas de la "cyber-défense", le concept porte en lui de vrais problèmes qui auront un impact direct sur l'efficacité et les effets collatéraux.

Source :

http://www.lemonde.fr/technologies/article/2010/09/16/le-pentagone-plaide-pour-une-cyberdefense-internationale_1411790_651865.html