Des avis contradictoire sur la Chine

Des récents éléments d'un rapport sur la Chine, paru aux Etats-Unis, impute des attaques survenus sur des satellites américains aux techno-guerriers de l'Empire du Milieu.

Les éléments en question semblent issus d'un rapport préparatoire rédigé pour une commission as hoc du Sénat américain dont le pouvoir n'est plus à démontrer. Cette commission, dénommée "UU.S.-China Economic and Security Review Commission.S.-China Economic and Security Review; Commission" se concentre comme son nom l'indique sur des questions de sécurité

Ces éléments affirment donc que deux satellites, à vocation géologique et d'observation, auraient subi des problématiques de transmission et de parasites à plusieurs reprises en 2007 et 2008. L'affaire fut suffisamment importante pour susciter des enquêtes.

S'il semble que les problèmes rencontrés par les satellites aient été confirmés par plusieurs sources, leur attribution à la Chine est encore une fois le réflexe premier. A nouveau, en l'absence de preuves concrètes, l'on est amené à douter de ces assertions et à se demander si une forme, avouée ou non, de théorie du complot ne permet pas aux Etats-Unis de diaboliser un adversaire afin notamment de se persuader d'un danger, sur lequel ce blog ne se prononce pas, afin de démontrer l'utilité de certaines branches de l'administration. Rappelons aussi que les négociations budgétaires sont tendues outre- atlantique et les coupes franches dans le budget du Pentagone font l'objet de tractations intenses.

Pas d'angélisme non plus pour autant, la Chine est très certainement un acteur dont l'importance est croissante ces dernières années et qui prend une place prépondérante. Un ami disait ainsi, il se reconnaîtra, que le 21ème siècle débuta réellement lorsque l'Europe fit appel aux pays émergents dont la Chine (sic) pour sauver sa structure monétaire. Doté d'un appétit féroce qui s'explique aussi par un retard technologique et des pressions démographiques fortes, il n'est pas étonnant de constater une réelle forme d'agressivité du pays...

Pour autant, il est important de relativiser, ce que fait, semble-t-il, intelligemment, un rapport publié par un auteur australien qui apporte un œil neuf sur la Chine.

Ainsi, ce document relève plusieurs points dont la portée dans la réflexion semble notable.Selon lui, la Chine peut avoir mener des opérations informatiques offensives : cela n'en fait pas pourtant un adversaire extraordinairement talentueux. Au contraire, c'est plus une position défavorable, c'est-à-dire des connaissances et compétences encore inférieures à celles de l'occident qui semble pousser à une stratégique préventive d'attaques dissimulées dans le but de s'évaluer, d'évaluer les capacités des autres et de s'améliorer. Une application du principe voulant que la meilleure défense soit l'attaque...mais que celle-ci n'est pas forcément frontale ! Après tout, le but est de survivre, pas de briller.

De plus ajoute le rapport, les systèmes chinois ne sont pas moins vulnérables et les dirigeants semblent en avoir conscience. L'auteur semble ici indiquer la véracité des allégations de ces dirigeants sur les attaques et vulnérabilités dont sont victimes les chinois : elles constituent une des raisons majeurs pour lesquelles ceux-ci sont si proactifs en matière d'offensive.

On me répondra pourtant que les attaques sont monnaie courantes et que certaines semble avoir été profondes ou complexes ou encore très réussies. A cela, on pourrait répondre, comme le fait le rapport, que les attaquants exploitent tout d'abord une vraie dépendance des pays avancés à ces technologies.

Pour aussi avancés qu'ils soient, nos pays maîtrisent pourtant mal la sécurisation de leurs systèmes comme le montre nos récents articles ainsi que toutes les récentes attaques. Ainsi, la plupart des experts demeurent consternés par la médiocrité des attaques qui utilisent des "trucs" connus depuis longtemps et des vulnérabilité dont la persistance pourrait valoir nombre de licenciements à ces responsables...

Pour résumer, selon le rapport, les chinois sont encore en retard pour plusieurs années dans le domaine de l'information warfare. Pour autant, ils ne sont pas dénués de toute capacité mais celles-ci, relatives, fonctionnent mieux dans un mode préventif que réactif ou de grande ampleur (cas d'un conflit à composante informatique forte). C'est surtout nos défaillances et nos faiblesses, associées à notre très forte dépendance, qui leur permet de faire fonctionner leurs outils et de leur donner un tel retentissement/efficacité.

Cette opinion discordante dans le bruit ambiant fournit matière à une réflexion intéressante. Elle a le mérite de fournir un point de vue équilibré et une vision particulière que cet article a tenté d'expliquer. Enfin, elle a le mérite d'être global et d'intégrer l'ensemble des composantes et questions : elle nous invite à mieux réfléchir et à repenser nos modèles d'actions et d'informations.

Sources :

http://www.nextgov.com/nextgov/ng_20111031_9543.php

http://www.computerworld.com.au/article/405767/china_minimal_cyber_security_threat_paper/?fp=16&fpid=1

Le rapport en question : http://www.securitychallenges.org.au/ArticlePDFs/vol7no2Ball.pdf

Des signes d'offensive dans le cyber ? Finlande et DHS

Quelques éléments nous conduisent à interroger la notion d'offensive dans le cyberespace. En particulier deux :

- la publication par la Finlande d'une stratégie de lutte informatique aux relents offensifs

- un discours orienté de la secrétaire d'Etat du DHS, Janet Napolitano.

Dans le cas de la Finlande, il s'agit d'un document proposé par le Ministère de la Défense. Ce point peut-être intéressant car, par exemple, aux USA, il existe des documents de très haut niveau stratégique en complément de document publié par les armées. Ici, on est donc à un niveau "intermédiaire" : ce n'est pas une doctrine d'emploi mais pas non plus une stratégie nationale.

Or, ici, la Finlande ne fait pas mystère du développement de capacités offensives afin d'offrir une "Plateforme de Réponse crédible". Si l'on reprend les mots d'un officiel, celui-ci considère que la "meilleure défense demeure l'attaque" et qu'on ne peut être ni crédible ni efficace sans capacité offensive.

Il est à noter que ce document demeure un "draft" et non encore une position officielle, celle-ci étant espérée pour 2012 par les autorités. Il semble aussi intéressant de retenir que ce cheminement de pensée semble être inspiré par la Suède qui a subi en 2009 des attaques informatiques relativement importantes. Par ailleurs, la Finlande semble collaborer largement avec le CCD COE de l'OTAN situé en Estonie.

Lors d'un évènement officiel, Janet Napolitano a présenté une vision très "punchy" du futur de la défense informatique des Etats-Unis en insistant particulièrement sur le recrutement de personnalités dites de type "hackers" connaissant tout ensemble les ressorts de l'attaque et celle de la sécurisation.

Les qualifiant de "cyber geeks" (sid), elle a évoqué la problématique accrue du recrutement et des difficultés afférentes. Il n'en demeure pas moins qu'il semble que pour ces personnalités officielles, la possession de capacités offensives demeurent un pré-requis. Un ancien directeur de la NSA a d'ailleurs ajouté que selon lui, cette agence devrait se voir confier plus des responsabilités en matière de protection - notez qu'elle en possède déjà beaucoup.

Il semble ainsi que quelques indices tendent à confondre cette vision actuellement très duale de l'attaquant et du défenseur. S'il demeure vrai qu'un à un niveau très personnel, le professionnel en SSI sait la nécessité de bien connaître les modalités des attaques afin d'adapter sa défense, cela est différent pour un gouvernement.

Ainsi, le caractère spécifique des attaques, souvent dissimulées, et que l'on pourrait presque qualifier de "clandestines" renvoie à des méthodologies d'action de l'Etat souvent discrètes et que l'on ne reconnait surtout pas officiellement. Pour moi, il s'agirait d'une évolution intéressante que ces évènements matérialisent : cela peut demeurer cependant juste un épiphénomène.

Source : dans le texte

L'AFNIC formalise ses relations avec l'ICANN

L'AFNIC est l'entité française chargée de la gestion du ".fr" et de quelques autres domaines. Son domaine de compétence est donc une frange particulière du cyberespace au sein duquel les autorités françaises, le gouvernement, disposent de capacités de régulation et d'intervention.

Il existe donc une forme de souveraineté appliquée à cet espace défini de manière particulière (les noms de domaines ne sont qu'une partie du Net). Etant une forme d'attribut de souveraineté, les noms de domaines dits "nationaux" ou ccTLD ("country code Top Level Domains) ne collaborent que sous une forme de participation volontaire non contraignante à l'ICANN et au système de gouvernance.

A l'inverse, les gTLD, les domaines dits "génériques" comme le .com ou le .org sont gérés par des entités disposant d'une forme de délégation attribuée par l'ICANN. En revanche, la gestion opérationnelle diffère des processus de gouvernance et d'évolution du système de nommage : une structure de coopération existe au sein de l'ICANN mais les membres (des représentants des Etats) n'ont pas vocation à adhérer à tout de manière général. Autrement dit, si les pays sont obligés de collaborer avec IANA/ICANN pour des raisons de fonctionnement, rien ne les oblige à le faire pour le reste.

Aussi, il a été mis en place un principe d'adhésion ou de partenariat spécifique pour les pays qui, au cas par cas, décident, par l'intermédiaire de leur représentant de signer des accords de coopération avec l'ICANN. Ces accords prennent différentes formes et l'ICANN et l'AFNIC viennent d'en signer un. On notera que cet accord intervient relativement tardivement par rapport à d'autres pays et dans les processus de gouvernance internet.

Source : http://www.icann.org/en/news/releases/release-26oct11-en.pdf

ONU & OTAN : Lutte informatique et sécurité du cyber-espace

Le mois d'octobre est riche en informations liées aux problématiques de lutte informatique et de sécurité dans le "cyberespace". Ce billet se consacrera notamment à quelques-unes des dernières actions et décisions prises par l'OTAN et l'ONU dans ces matières. Ces informations sont en effet, particulièrement riche en données sous-jacentes.

Ainsi, l'OTAN a annoncé le 19 et 20 septembre plusieurs initiatives d'envergure concernant la cyber-défense. Toutes deux menées par le NC3A, une des agences de l'OTAN chargées des questions de télécommunications et informatiques (NATO Consultation, Command and Control Agency), la première vise à s'assurer le concours des industriels.

Dénommée "2012 cyber defence procurement", cette première initiative vise à répondre aux objectifs définis dans le dernier concept stratégique. Pour cela, elle s'appuie non seulement sur les besoins définis dans le document mais également sur les investissements réalisés par les Etats depuis (28 millions d'euros au moins). Ces investissements sont destinés à financer des travaux menés par les industriels de défense des membres de l'alliance dans les sujets retenus. Ceux-ci ont en effet 90 jours pour réaliser des propositions qui permettront à l'OTAN de développer les compétences attendues.

Le second projet se rapporte à un ensemble de décisions renforçant les capacités de collaboration des membres de l'alliance sur ce sujet. A cet égard, je vous conseille la lecture du document présentant la nouvelle organisation qui pourra faire l'objet d'une analyse plus poussée. Bien que moins visible à l'extérieure de l'agence, il semble que cette décision concertée des membres de l'OTAN soit de nature à profondément reformer l'organisation de cyber-défense de l'Alliance. Par ailleurs, il est notoire que l'OTAN est une entité qui produit notamment des normes de comportements et qui permet de faire cohabiter des militaires de nombreuses cultures et origines. Peut-être un "mieux" pour la "cyber-défense" ?

Plus récemment, l'Assemblée Générale de l'ONU s'attaquait à un ensemble de problèmes épineux et la première commission se penchait sur "TRAITÉ SUR LE COMMERCE DES ARMES, TEXTES TRAITANT DES ARMES À SOUS-MUNITIONS, SÉCURITÉ DU CYBERESPACE AU CŒUR DES DÉBATS DE LA PREMIÈRE COMMISSION".

Comme souvent en matière d'organisations internationales et en diplomatie, c'est au détour des lignes que l'on trouve le "croustillant"...que je propos de restituer ici (au moins celui que j'ai perçu).

Ainsi, le traitement des "armes, armes à sous-munitions" avec la sécurité du cyberespace est de nature à interroger. Mal à l'aise depuis le début avec la notion d'armes informatiques, force est de considérer que nos représentants à l'ONU semblent moins frileux...De même, la notion de "désarmement" abordée dans le texte semble tout à fait utopique dans ce contexte.

D'autres déclarations sont également intéressantes :

- celle de l'Australie, soutenue par les USA, sur l'effectivité de l'application du droit humanitaire constituant une base de départ dans les négociations de normes régissant le cyberespace. Par ailleurs, les USA ont souligné leur participation dans le cadre d'un groupe d'experts à constituer en 2012. Le représentant australien insiste d'ailleurs sur la nécessité de s'accorder sur des acceptions communes et sur la nécessité de négocier sur les différents aspects du cyberespace. Pour autant, il note que la structure actuelle de la gouvernance internet est légitime car les gouvernements ne sauraient contrôler Internet. On rappellera tout de même que les USA disposent d'un peu plus de contrôle en la matière que les autres.

- celle de la Chine qui rappelle en premier lieu qu'elle est victime de nombreuses cyber-attaques et soi-disant une des principales victimes. Dans un second temps, elle revient sur le code de conduite international relatif à la sécurité de l'information proposée avec la "Fédération de Russie, le Tadjikistan et l’Ouzbékistan".

On se rappellera que ce respect de la sécurité de l'information comporte notamment un volet relatif à l'usage de la "propagande"...Le sujet et son domaine d'application sont assez différents comme ce blog a pu déjà le montrer.

Ces quelques informations semblent bien montrer que l'activisme diplomatique demeure constant au sein des instances concernées. De même, les évolutions de l'OTAN démontrent une prise en compte croissante de ces problématiques...A voir pour l'avenir !

Source :

http://www.un.org/News/fr-press/docs//2011/AGDSI3442.doc.htm

Café Stratégique 10 - Stratégies dans le cyberespace

A l'appui de la récente publication du cahier n°2 d'AGS portant sur les stratégies dans le cyberespace, un café stratégique, formule désormais bien connue, est organisée afin de rencontrer un des auteurs, M. C. Bwele.

Co-fondateur de l'Alliance, passionné d'informatique, de nouvelles technologies, il est également titulaire du prix Marcel Duval pour un de ses articles sur la dissuasion dans le cyberespace.

Toutes les informations ci-dessous :

Nouvel ouvrage - D. Ventre - Surveillance et contrôle dans le cyberespace

Les questions de contrôle d'Internet et de la surveillance des télécommunications sont désormais incontournables. Où que l'on se tourne, les sujets fleurissent qui précipitent les débats :

- Au niveau national : HADOPI, LOPPSI2,

- Au niveau européen : Paquet télécom, neutralité du Net

- Au niveau mondial : main-mise des Etats-Unis sur Internet, neutralité, pouvoirs de la NSA, Gouvernance Internet

et les crises ne manquent pas non plus : Wikileaks, Anonymous, les ventes par des sociétés occidentales de matériels informatiques utilisés à des fins de contrôles dans les pays du "printemps arabe"...

C'est donc sur un sujet difficile où la polémique est reine et les avis tranchés que se sont penchés Ms. Ventre et Ocqueteau. Nul doute que l'approche claire et dénuée de facilités à laquelle nous a habitué M. Ventre saura éclairer un débat qui vire parfois à l'aigre...

J'espère vous en dire plus lorsque je l'aurai lu mais en attendant : http://www.amazon.fr/Contr%C3%B4les-surveillances-cyberespace-N-988-Septembre/dp/B004MDG8VG/ref=sr_1_4?s=books&ie=UTF8&qid=1319465801&sr=1-4

Retour Francopol 2011

Un billet publié par M. PAGET qui travaille en tant qu'expert en sécurité informatique chez McAFEE nous propose quelques informations intéressantes.

De retour de FRANCOPOL, colloque consacré aux questions de cybercriminalité au Canada, il retranscrit certains éléments extraits des conférences. Si le sujet de la cybercriminalité est abondamment traité et fait l'objet de nombreux ouvrages, l'impression, très personnelle, que j'en retire est que l'on se consacre beaucoup à la cybercriminalité "Net-to-Net"...

Cette notation, encore une fois qui m'appartient, se réfère aux activités mettant en avant les actions criminelles perpétrées directement sur Internet : vol d'identifiants bancaires, arnaques et extorsions, ventes mensongères...Toutefois, s'il existe de nombreuses catégories de "cybercriminels", demeure la sensation que l'usage du net par la criminalité plus "classique" et pré-existante est moins bien connue...Du moins, par l'auteur de ces lignes.

M. PAGET reproduit donc, avec l'autorisation de l'auteur David Décary-Hétu, un résumé de certaines de ses recherches portant sur cet aspect de l'usage criminel du Net.

En particulier :

Pour les novices en matière de criminalité, je vous conseille quelques recherches sur les premiers noms qui sont effectivement des groupes criminels organisés connus et de dimensions importantes.

Par ailleurs, n'hésitez pas à consulter les articles et publications de cet auteur qui semble bien connaître son sujet.

Source : dans le texte