jeudi 29 mars 2012

Centre européen de lutte contre la cybercriminalité


L'Europe s'étoffe en matière de sécurité des systèmes d'informations et en particulier renforce ses capacités de lutte contre la cybercriminalité. La Commission Européenne vient en effet d'annoncer la création d'un tel centre qui devrait être actif en 2013.

Les institutions européennes font actuellement preuve d'un bel activisme en matière d'actions dans la sphère "cyber". Rappelons la publication par le Conseil de l'Europe d'une stratégie relative à la gouvernance Internet. Les lecteurs de ce blog se souviendront peut-être aussi de la mise en place d'une agence de gestion opérationnelle des systèmes d'informations au sein de l'Union Européenne.

Ce nouveau centre devrait être installé dans les locaux et intimement lié à l'agence Europol, ce qui témoigne d'une subtile intelligence d'organisation. Doté d'un budget conséquent, 388 millions de dollars par an, il pourrait ne pas être qu'un voeu pieu dans un domaine (la sécurité) où l'Europe n'est pas forcément toujours attendue.

En témoigne l'ENISA dont la place semble se marginaliser et dont on peut se demander quel sera le rôle plus tard. Souvent évoqué, sa localisation géographique, loin des centres de décision, pourrait rappeler que la politique et les centres de décisions sont plus une affaire de réseaux et d'humain qu'une question d'informatique, n'en déplaise aux technophiles.

On espère cependant qu'il leur sera donné des objectifs à la mesure des capacités et surtout des besoins car il semble demeurer un nombre conséquent de champs non couverts par ces organisations et leurs attributions.

Source :



Centre européen de lutte contre la cybercriminalité

L'Europe s'étoffe en matière de sécurité des systèmes d'informations et en particulier renforce ses capacités de lutte contre la cybercriminalité. La Commission Européenne vient en effet d'annoncer la création d'un tel centre qui devrait être actif en 2013.

Les institutions européennes font actuellement preuve d'un bel activisme en matière d'actions dans la sphère "cyber". Rappelons la publication par le Conseil de l'Europe d'une stratégie relative à la gouvernance Internet. Les lecteurs de ce blog se souviendront peut-être aussi de la mise en place d'une agence de gestion opérationnelle des systèmes d'informations au sein de l'Union Européenne.

Ce nouveau centre devrait être installé dans les locaux et intimement lié à l'agence Europol, ce qui témoigne d'une subtile intelligence d'organisation. Doté d'un budget conséquent, 388 millions de dollars par an, il pourrait ne pas être qu'un voeu pieu dans un domaine (la sécurité) où l'Europe n'est pas forcément toujours attendue.

En témoigne l'ENISA dont la place semble se marginaliser et dont on peut se demander quel sera le rôle plus tard. Souvent évoqué, sa localisation géographique, loin des centres de décision, pourrait rappeler que la politique et les centres de décisions sont plus une affaire de réseaux et d'humain qu'une question d'informatique, n'en déplaise aux technophiles.

On espère cependant qu'il leur sera donné des objectifs à la mesure des capacités et surtout des besoins car il semble demeurer un nombre conséquent de champs non couverts par ces organisations et leurs attributions.

Source :



mardi 27 mars 2012

Les 3 priorités d'Howard Schmidt pour 2012 !


Howard Schmidt, est un acteur connu désormais pour être le conseiller et le coordinateur en matière de cybersécurité du Président des Etats-Unis. Il livrait récemment ses priorités en matière de sécurité des systèmes d'informations pour les systèmes fédéraux.

Ces priorités peuvent être résumées en 3 axes :

=> Disposer de connexions internet "de confiance" présentant d'importantes fonctionnalités de sécurité et des moyens d'en mesurer l'efficacité

=> Monitoring des Systèmes d'Informations Fédéraux : derrière ce méchant américanisme peut-être compris une surveillance accrue de ces systèmes. Plus intéressant, M. Schmidt évoque le passage d'une sécurité statique à une sécurité dynamique, asssociant l'analyse des risques à des procèdures et outils permettant de diminuer le niveau de risque ou d'exposition de manière réactive.


=> Améliorer les outils et usages en matière d'authentification afin de disposer de réelles capacités d'authentification forte.

Si le choix de ces priorités relève évidemment d'un fort niveau d'abstraction, on est étonné par certaines références comme le fait de disposer d'un Internet sécurisé. Il semble demeurer l'illusion selon laquelle un système conçu dans des buts tout à faits différents pourrait remplir les besoin liés à une administration incroyablement inter-connectée.

Source :

lundi 26 mars 2012

Exercice Locked Shields 2012 - OTAN


L'OTAN, par l'intermédiaire du CCD COE, organise un exercice de lutte informatique qu'il faut ici signaler par son aspect multilatéral.

Il faut également remercier M. Ventre à qui nous devons cette information. Cet exercice opposera donc une équipe rouge (Red Team) constitué de participants estoniens et finlandais. A l'opposé, les Blue Teams seront relativement nombreuses.

On compte ainsi une équipe Suisse, Allemande, Espagnole, Finlandaise, Italienne et des équipes combinées : Austro-allemande, Danoise & Norvégienne et une équipe de l'OTAN.

Selon les communiqués, le scénario semble devoir faire appel à un ensemble de compétences et de capacités des équipes, des aspects purement techniques à l'approche communication de crise.

Source :


vendredi 23 mars 2012

Routage et Sécurité : ROVER !


L'excellent blog de S. Bortzmeyer nous fournit une information intéressante. Il semblerait que les solutions concourant à sécuriser le routage sur Internet et en particulier le protocole BGP se multiplient.

Dans une série d'article précédent, j'évoquais le développement d'une solution dont les prémisses sont déjà publiés. En effet, un important travail a été fourni permettant de formaliser une partie de la solution RPKI : elle concerne essentiellement pour le moment la validation de la légitimité de l'émetteur d'une information de routage. En simplifiant, elle permet d'avoir une assurance sur le fait qu'un opérateur annonçant détenir un ensemble d'adresses ait le droit de le faire.

Une seconde partie de la solution, très certainement plus complexe encore, consisterait à valider chaque étape. Si la première partie du protocole permet de s'assurer que l'annonceur est légitime et qu'il détient bien les adresses en question, la seconde partie doit répondre à une question plus complexe.

En effet, il faut s'assurer que les autres annonces sont légitimes et que le chemin parcouru par un paquet vers sa destination correspond bien aux accords ou aux souhaits du détenteur et des réseaux : éviter, par exemple, qu'un intermédiaire malveillant ne s'y glisse.

Cependant, cet ensemble de solution n'est pas unique et d'autres sont évoquées comme "ROVER". L'idée, assez plaisante, est d'utiliser les résolutions DNS inverses pour indiquer également le ou les AS d'origine autorisé.

Une résolution DNS donne une adresse IP lorsqu'on lui envoie un nom de domaine. Il existe pourtant une branche spécifique du DNS permettant de retrouver le nom de domaine associé à l'IP. Cette zone particulière est également attribuée aux détenteurs des IP, uniquement pour les IP les concernant.

Si vous cherchez www.cidris.fr, le DNS donnera : 183.249.191.88....En faisant une requête DNS inverse, on établit en fait une requête sur : 183.249.191.88.in-addr.arpa qui, comme vous le remarquerez, représente une adresse de type "nom de domaine" associant l'IP à un domaine très spécifique "in-addr.arpa". La réponse fournie est alors le nom de domaine associé à l'IP, par l'intermédiaire de cette formule spécifique.

En bref :

DNS : www.cidris => ? => 183.249.191.88

DNS-Inverse : 183.249.191.88 => ? => 183.249.191.88.in-addr.arpa => ? => www.cidris.fr (c'est pas tout à fait vrai avec des redirections mais c'est l'idée)

Comme vous le savez peut-être, une réponse DNS (ou inverse) possède de nombreux possibilités de vous informer. On parle parfois d'enregistrements : le premier d'entre est évidemment une adresse IP mais l'on peut également connaitre les serveurs mails ou autres.

Certains de ses enregistrements sont comme des formulaires vides et peuvent donc être utilisés pour donner les informations qui sont le coeur du projet : un AS légitime.

ROVER est une alternative à la complexité de RPKI qui ne satisfait pas tous les acteurs de la normalisation des réseaux. Notons qu'à terme, il est probable qu'une solution s'impose même si cela pourrait demander beaucoup d'efforts et de temps : la veille "routage" a encore de beaux jours devant elle !

Source : dans le texte

Cyber Conflict Competing National Perspectives - Daniel Ventre


Il s'agit ici d'un ouvrage collectif, une forme de publication déjà plébiscitée par cet auteur prolixe en matière d'études relatives à la conflictualité dans le cyberespace et à ses aspects militaire.






jeudi 22 mars 2012

Stratégie pour la Gouvernance de l'Internet - Conseil de l'Europe


Le 15 Mars 2012, le Conseil de l'Europe a publié une stratégie relative à la Gouvernance de l'Internet. Ce document fait date car il établit une prise de position politique ferme de l'entité et témoigne d'un intérêt réel pour la matière.

Cet intérêt est bien évidemment dans l'air du temps, que ce soit en raison des problématiques de criminalité, militaires ou encore stratégiques. Reste à déterminer si la manière dont l'entité s'empare du sujet correspond à une de ces logiques spécifiques.

Une bonne synthèse disponible en ligne permet effectivement de résumer ce document en quelques points. Tout d'abord, il est construit autour deux aspects principaux : la protection des droits et libertés des personnes et la lutte contre la cybercriminalité.

Aspect également remarquable, le Conseil de l'Europe ne se positionne pas ouvertement pour une révolution du système de gouvernance et donne au contraire une certaine légitimité à l'ICANN avec qui il entend maintenir des relations étroites.

Plongeons nous un peu plus dans le texte ! Quelques éléments sont ainsi passionnants.

Par exemple, le Conseil formule un certain éloge de la Convention de Budapest qu'il définit comme une référence à respecter et à partager entre états et entités afin de garantir une plus grande efficacité dans la lutte contre la cybercriminalité.

D'autres références sont intéressantes comme celles sur les données personnelles qui est au coeur d'un intense lobbying mais également du modèle de gratuité qui nous est proposée par des services comme Google.

On trouve également un engagement fort en faveur de la neutralité du réseau, sujet également très sensible. Décelable dés le début lorsque le texte parle d'un Internet "universel, ouvert et novateur", on le trouve ensuite clairement formulé à la ligne d'action 8 sur les 40 que compte la stratégie.

A cet égard, on peut interpréter le choix du Conseil de l'Europe : la neutralité du réseau serait un concept dérivé des droits de l'homme auquel il faudrait donner un contenu plus clair et surtout partagé afin d'en assurer le respect par l'ensemble des acteurs.

Proposant donc 40 lignes d'actions jusqu'en 2015, la tonalité de ce document est hautement politique et humaniste. La promotion de l'innovation et du développement ainsi que la protection des enfants et adolescents sont également un axe clé de cette stratégie.

Ainsi, la ligne d'action 8-c fonde, une fois encore sur les droits de l'homme, le principe d'une action normative inter-gouvernementale ayant pour objectif de définir les principes et mécanismes propres à éviter toute coupure ou dysfonctionnement de l'Internet. Une vision cynique pourrait voir en cela des modalités de préservation du net dans les "révolutions" comme celle du "printemps arabe" mais aussi une forme accrue de participation des gouvernements dans les décisions liées à la résilience du net, pour le moment cantonnées aux seuls pouvoirs des USA.

Pour autant, le document, notamment au point 12, se donne une vision claire des problématiques de criminalité sur Internet en insistant sur les liens avec le financement des activités criminelles ou terroristes diverses. A cet égard, la stratégie propose de manière assez remarquable des liens avec différents textes pré-existant comme la Convention sur la prévention du Terrorisme ainsi que l'établissement des relations, dans ce cadre spécifique, avec des institutions comme l'OSCE.

Enfin, de manière remarquable, le Conseil de l'Europe construit une forme de réseau des entités de gouvernance susceptible d'avoir une action politique dans les sujets qui sont au coeur de cette stratégique : Droits de l'homme et Protection, Lutte contre la criminalité et Développement économique et culturel.

Ne reniant pas, pour d'évidentes raisons diplomatiques, une approche très pragmatique, cette stratégie place le Conseil de l'Europe comme un acteur pré-éminent des entités de la gouvernance. Ainsi, la liste des entités identifiées comme partenaires pour la conduite de la stratégie et de la gouvernance comporte :

- l’Union européenne ; l’Organisation pour la sécurité et la coopération en Europe (OSCE) ; l’Organisation de coopération et de développement économiques (OCDE)

- les Nations Unies, et en particulier l’Organisation des Nations Unies pour l’éducation, la science et la culture (UNESCO), l’Alliance des civilisations, le Département des affaires économiques et sociales de l’ONU (UNDAES), l’Office des Nations Unies contre la drogue et le crime et l’Union internationale des télécommunications (UIT)

- les organisations, réseaux et initiatives oeuvrant contre la cybercriminalité et pour la cybersécurité comme Europol, Interpol, la Virtual Global Task Force, le Commonwealth, etc.

- la Banque mondiale

- les réseaux de gouvernance de l’Internet, et en particulier les groupes impliqués dans le Dialogue européen sur la gouvernance de l’Internet (EuroDIG), le Forum sur la gouvernance de l’Internet (FGI), les initiatives nationales du FGI et la Société pour l’attribution des noms de domaine et des numéros sur Internet (ICANN)

- les acteurs du secteur privé (notamment les fournisseurs de services et de technologies Internet)

- les réseaux professionnels, y compris les organes du secteur privé comme l’Association européenne des fournisseurs d'accès à l'Internet, la Chambre de commerce internationale et Business for Social Responsibility ;- les réseaux de la société civile ;

En gras, vous sont indiqués certaines des entités les plus connues mais parfois également les plus contestées.

Ce faisant, le Conseil de l'Europe dresse un panorama des acteurs pertinents de la Gouvernance et les reconnaissant, leur donne une certaine forme de légitimité. Si ce paysage semble intéressant, on pourrait craindre une dispersion des efforts auprès d'acteurs aux pouvoirs décisionnaires limités ou aux agendas contestables. Il demeure néanmoins particulièrement intéressant que le Conseil de l'Europe se penche enfin sur cette question essentielle.

Source :