Allemagne et Autriche construisent leur capacité

L'Allemagne a depuis plusieurs mois procédé à la construction d'une capacité de cyberdéfense. Une stratégie a été définie et un centre dédié aux problématiques de sécurité également.

Quelques éléments nouveaux apportent des précisions sur la construction de ce centre qui a été lancé il y quelques jours. Vraisemblablement, le Cyber-Abwehrzentrum sera localisé à Bonn dans les locaux du Département chargé des questions de sécurité de l'information.

Il est également intéressant de noter que celui-ci regroupera des membres d'origine très diverses : protection des infrastructures critiques, sécurité civile, police et militaires. Ce qui semble correspondre à la transversalité des questions de cyberdéfense.

A côté de cela, l'Autriche semble également avoir lancé une telle initiative, fort discrètement initialement mais qui aurait "fuité". A priori "armée" de 1600 soldats, la structure semble exclusivement militaire et très proche des services secrets ou de sécurité.

Source :

http://www.tomsguide.com/us/austria-cyber-crime-cyber-defense-secret-service,news-11077.html

http://www.theregister.co.uk/2011/06/16/germany_cyber_defence_to_defend_infrastructure/

Une piqure de rappel...

A tous ceux qui lisent sans souhaiter réagir...

J'ai en effet, pu constater, avec bonheur, que mon blog était suivi par un certains nombres de gens. Parfois même, il provoque la discussion et l'échange, ce dont je suis encore plus heureux. Plus rarement, j'espère, il provoque l'ire de certains de mes lecteurs...

Voilà pourquoi, je souhaite réaffirmer mes objectifs et principes :

=> ce blog a pour objectif de partager mes lectures et découvertes, analyses et réflexions

=> ce blog a pour second objectif d'échanger et que chacun, y compris moi, puisse apprendre...

Pour ce second objectif, il est nécessaire que chacun puisse réagir et partager sa vision. Aujourd'hui, certains publient des commentaires ou me les adressent directement par mail et je les remercie.

Ce blog propose aujourd'hui de mettre des commentaires anonymes. Il existe aussi un moyen de me contacter directement. Enfin, google et autres fournissent des mails gratuits sans obligation de s'identifier.

Je vous demande donc, de ne pas hésiter à communiquer soit de manière directe (commentaires), soit de manière indirecte (mail, commentaires anonymes...) pour partager vos réflexions. De même si vous souhaitiez publier un article ou que je publie une forme de "droit de réponse"...

Car, enfin, si l'on publie, c'est aussi pour le plaisir de partager et d'apprendre de chacun...pas pour satisfaire un égo (enfin, je crois ^^)

En espérant vous lire plus nombreux...

OTAN et Cyber Défense

Dans un précédent article, ce blog relatait la prise de décision par l'OTAN d'une nouvelle politique dédiée à la Cyber défense. Un nouveau communiqué de presse donne quelques informations supplémentaires.

Les travaux effectués au sein de l'organisation ont abouti à la création d'une nouvelle politique mais également d'un plan d'action permettant notamment d'implémenter cette politique. Le coeur de cette politique semble avoir un impact sur la sécurité collective mais pas forcément dans un sens strictement militaire puisqu'il s'agit aussi de prévention, de gestion des attaques et de capacité de récupération/reconstruction.

Au niveau de l'organisation, il semble s'agir essentiellement d'une ré-organisation alors que, au contraire, d'autres pays semblent avoir choisi la voie de la création d'entités supplémentaires. Le développement de la capacité de cyberdéfense semble être intégrée dans le processus de gestion des plans de l'OTAN.

On notera enfin la déclaration sans équivoque du secrétaire général de l'organsation : "It is no exaggeration to state that cyber attacks have become a new form of permanent, low-level warfare" ...Il faut en comprendre que les attaques informatiques sont devenus une forme d'attaque que l'on qualifie volontiers d'asymétrique en France.

Il est vrai que l'on trouve une satisfaction intellectuelle à cette classification et à cette approche car elle semble cohérente avec la pratique. Elle évacue également la question de l'identité de l'assaillant et sa nature (état, hacktiviste...). Toutefois, elle se limite également car elle ne parait pas envisager le déroulement d'opérations offensives actives de type Computer Network Operations dans le cadre de conflit pré-existant.

On pourra en lire une analyse complémentaire sur le blog ami Si-Vis.

Source :

http://www.nato.int/cps/en/natolive/news_75358.htm

Marine Cyber Command !

L'US Marine Corps est une unité "mythique" à plus d'un titre et rendu célèbre par de nombreux films. Seule entité militaire protégée par la loi, le Corps des Marines est le fer de lance des forces expéditionnaires américaines.

Dépendant du "Department of Navy" mais pas directement de la Navy, il pourrait s'apparenter, en France aux Fusiliers-Marins (qui dépendent de la Marine Nationale) ou des "Marsouins", c'est à dire les Troupes de Marine (dépendant elle de l'armée de Terre) dont les récentes missions les rapprochent plus. En France, l'histoire montre toutefois une forte parenté entre ces deux unités.

Ce billet, cependant, est consacré à l'entrée en fonctionnement de l'US Marine Cyber Command, composante "USMC" du développement de la force "cyber" aux Etats-Unis sous la houlette de l'US Cyber Command.

Des informations complémentaires nous apprennent que ce centre est en gestation depuis Juin 2010. Il sera "armé" par des membres formés à Twentynine Palms en Californie.

Parmi les activités spécifiques, l'on pourra trouver notamment le développement de capacités de communication et échange adaptés à l'infanterie et à son environnement spécifique. Le cas du "FELIN" en France illustre, pour partie, ces aspects.

Source :

http://defensesystems.com/articles/2011/06/10/naval-it-day-marine-cyber-command.aspx

http://www.federalnewsradio.com/?nid=17&sid=2418173

Daily News ...IPv6 et OTAN

Quelques informations intéressantes aujourd'hui..

Tout d'abord, rappelons que c'est l'IPv6 Day aujourd'hui comme le rappelent nombre d'acteurs. Pour mes lecteurs les moins techniques, rappelons que le protocole IPv6 doit remplacer l'actuel protocole d'adressage IPv4 utilisé actuellement sur Internet. Pour autant, il existe de sérieuses différences entre ces protocoles nécessitant une approche contrôlée et prudente de la période de transition. Tout cela n'étant pas, bien sur, sans poser quelques questions politiques.

En particulier, les fournisseurs d'accès et de services pourront proposer leurs services en IPv6 pendant une durée de 24h. En théorie, on ne devrait observer que peu de différences dans "l'expérience Internet" de la plupart des utilisateurs. Eu égard cependant à la diversité des technologies de passerelles et d'échanges, cette journée est également l'occasion pour les fournisseurs d'accès et de services de se tester et d'obtenir des retour d'expériences probant sur les difficultés afin d'améliorer la transition définitive. Une expérience intéressante donc !

A cette nouvelle intéressante s'ajoute la publication d'une information en provenance de l'OTAN selon laquelle les Ministres de la Défense des pays membres de l'OTAN aurait validé une nouvelle politique de cyber-défense pour l'organisation dans la lignée du Concept Stratégique. Cette politique serait associée à un plan d'action permettant de démarrer les évolutions. On espère en fournir une analyse plus profonde sous peu.

Autres éléments à : http://si-vis.blogspot.com/2011/06/otan-une-nouvelle-politique-de-cyber.html

Quelques questions inutiles sur la dissuasion ?

La publication récente par les Etats-Unis d'une nouvelle doctrine dédiée au cyberespace nous conduit à quelques interrogations de natures plus conceptuelles que pratiques. En effet, l'auteur de ces lignes a tendance à penser que les Etats-Unis ont su donner un vrai contenu à la notion de "dissuasion" appliqué au cyberespace.

Notons toutefois que la notion de dissuasion demeure très connotée, en particulier avec son aspect nucléaire. Or, la dissuasion nucléaire est une solution qui présente un aspect "définitif" qui ne cadre pas avec les composantes connues de la lutte informatique. La doctrine "MAD - Mutual Assured Destruction" en fournit un exemple.

Bien sur, les doctrines nucléaires des Etats ont évolué comme le montre l'option "ultime avertissement" avant le déclenchement de frappes plus intenses.

De tout cela, l'auteur aurait tendance à conclure que l'usage de ce terme est inadapté. Pour être plus précis, l'application de la dissuasion "type nucléaire" au domaine du cyberespace est inconcevable (pour moi et pour le moment).

En revanche, proposer un ensemble de mesures dissuadant ou plutôt Intimidant un adversaire pour tenter de limiter son action me parait être le fondement de la sécurité...En effet, suite à une analyse de risque, on dispose d'une information de probabilité et d'impact. S'ensuit alors la possibilité de mettre en place diverses mesures de réduction du risque (parmi d'autres solutions) qui ont pour objectif de limiter les impacts ou la probabilité du risque.

Si le risque provient d'une intention humaine malveillante, on peut imaginer qu'un niveau de sécurité atteint par le déploiement de différentes mesures dissuade un attaquant de poursuivre son attaque. Il peut être ainsi "intimidé" par les possibilités de représailles ou encore mis en difficulté par les barrières techniques mises en place. C'est notamment l'approche développée, telle que je la comprends, par les USA et mise en valeur par Electrosphère au profit du collectif Alliance Géostratégique.

Or, si l'on observe bien la récente publication des Etats-Unis, ceux-ci réaffirment non seulement le besoin de se protéger, soi-même et entre alliés. C'est donc la partie "élévation de la sécurité".

Mais ils se proposent également d'intervenir également suite à des attaques informatiques. Et le spectre de ces interventions se veut large puisque potentiellement militaire (mais pas forcément) et usant également, au besoin, de l'ensemble des moyens à sa dispositions (c'est à dire "réel" et/ou "cyber")...

Force nous est donc de constater qu'en dépit de nombreuses critiques et échanges, les Etats-Unis ont bel et bien créé un modèle de "dissuasion" ou, d'unemanière qui me semble plus proche de la réalité, "cyber-intimidation"...

Un brin provocateur, l'auteur de ces lignes n'oublie cependant pas la "réalité" de la physionomie des attaques informatiques. Si le modèle parait, en théorie, plus viable que la "cyber-dissuasion" tel que conçu précédemment, il n'en demeure pas moins que de nombreux scénarios en rendent l'application plus complexe. A cet égard, je vous propose la lecture du récent article de M. Ventre qui en liste quelques uns.

Quelques autres sources :

http://cidris-news.blogspot.com/2011/02/les-usa-aussi.html

http://cidris-news.blogspot.com/2010/02/consecration-de-la-cyber-dissuasion-ou.html

Café Stratégique - Démographie Française et Géopolitique