Les scandales des écoutes électroniques par les Etats-Unis, le Royaume-Uni ou encore la France mettent au premier plan les rivalités entre Etats en matière d'espionnage et de conflits "en ligne", pour lesquels les gouvernements préparent leurs armes. "Prism est la partie émergée de l’iceberg", expliquait Jarno Limnéll, directeur de la sécurité de l'éditeur finlandais de solutions réseaux Stonesoft, lors d'un atelier à l'ambassade de Finlande en France le 20 juin.
Les attaques informatiques impliquant un Etat ou une infrastructure vitale à un pays sont régulièrement décrites comme tenant de la "cyberguerre". Cette dernière consisterait en "des opérations militaires menées pour interdire à l’ennemi l’utilisation efficace des systèmes du cyberespace et des armes au cours d’un conflit. Cela inclut les cyberattaques, la cyberdéfense et les 'actions cyber'" selon le Département américain de la défense, comme l'a relevé l'officier de l'armée de terre Michel Baud dans un document pour l'Institut français des relations internationales (Ifri), daté de mai.
"En France, on n’a pas vraiment de définition car on se cherche un peu, on ne sait pas quoi mettre derrière. Ce terme de cyberguerre est un peu fourre-tout. Il y a besoin de clarification. Ca peut à la fois être un conflit symétrique (d’Etat à Etat) ou asymétrique (un Etat contre un acteur non-étatique)", explique Michel Baud. "Je ne pense pas qu'on verra une cyberguerre pure, mais que les prochaines guerres auront toutes une dimension 'cyber'. Comme nous demandons aujourd'hui un bombardement de positions, nous pourrons demander un bombardement 'cyber' pour mettre hors service l'équipement ennemi", estime pour sa part Jarno Limnéll de Stonesoft.
DES ARMES DISCRÈTES, MAIS EFFICACES ?
Contrairement aux armes conventionnelles, les "cyberarmes" - les logiciels malveillants - peuvent agir longtemps sans être repérés. "Nous avons perdu notre 'cyberinnocence' avec Stuxnet", estime Jarno Limnéll. Développé par les Etats-Unis et Israël, ce malware leur a permis de saboter pendant de longs mois les installations nucléaires iraniennes, ralentissant le programme de plusieurs années. Un autre programme visant l'Iran, Flame, a lui permis aux deux pays de collecter de nombreuses données silencieusement. Ces découvertes avaient été suivies d'attaques informatiques contre des installations pétrolières de pays du Golfe, attribuées à l'Iran.
Depuis, les exemples d'attaques au long cours, notamment dans le cadre d'affaires d'espionnage industriel, se sont multipliées, entre autres contre la France. "On peut vraiment parler d’une course aux cyberarmes", estime Stonesoft, pour qui "les cyberattaques amènent à revoir les concepts de guerre et de paix". "Les capacités de cyberattaques peuvent être cachées. Contrairement aux défilés militaires classiques, il n'y a pas de parades de nerds (spécialistes de l'informatique). Il s'agit plus d'une question de talent que de nombre. En ligne, une personne talentueuse peut faire ce qu'elle veut. La suspicion [liée au pouvoir de chaque cybersoldat et le flou autour de leur nombre] est l'une des raisons de la course aux cyberarmes", poursuit l'expert finlandais.
L'armée américaine se prépare à multiplier le nombre de membres de sa chaine de commandement "cyber" par 5, de 900 à 4 900 personnes. Les forces chinoises seraient de 20 000 personnes, autour du "troisième département de l’armée populaire de libération [estimé à 2 000 personnes] renforcé par une nébuleuse des services de renseignement, de centres de recherches et d’universités", indique Michel Baud. Les pays mesurent désormais la vulnérabilité de leurs infrastructures critiques, fortement informatisées, comme les centrales nucléaires ou les réseaux de distribution d'eau. Ces cibles seraient aisément atteignables, pour des effets potentiellement graves, menant des éditeurs de sécurité à en faire un nouveau terrain commercial. Surtout, ces armes numériques coûteraient globalement des centaines ou milliers de fois moins cher que les armes classiques.
IDENTIFIER ET LUTTER CONTRE LES ATTAQUES
Les cyberattaques peuvent prendre plusieurs formes, avec des impacts différents, allant d'une tentative individuelle à une action majeure, coordonnée. "Il existe trois pays capables de créer des malwares qui peuvent mettre à mal l’existence d’un pays : les Etats-Unis, la Chine et la Russie", estime Stonesoft. Les services de cyberdéfense américain et russe préparent la réouverture d'une ligne téléphonique directe, quand le président Barack Obama a rencontré le président chinois Xi Jinping, après avoir accusé à plusieurs reprises ses deux rivaux de cyberespionnage, pour un coût chiffré en centaines de milliards de dollars.
L'un des principaux défis en matière de "cyberguerre" est savoir qui attaque et ne pas se tromper de cible pour d'éventuelles représailles. "Le projet numéro un de l'Agence pour les projets de recherche avancée de la défense (Darpa) - au Pentagone - est de pouvoir trouver la source de l'attaque", explique Jarno Limnéll.
Ce qui demande de résoudre de nombreuses difficultés techniques, et cette identification peut aussi avoir des freins légaux. "En France, nous n'avons pas le droit de mener une action offensive dans un cadre défensif. Remonter une attaque est considéré comme de l'offensif. Très clairement, les Etats-Unis se permettent ce genre d'actions", explique le français Michel Baud. Les USA se réservent ainsi le droit d'attaquer préventivement ou de bombarder de centres d'opérations cyber en cas d'attaque. "Si on attaque un million de fois et qu'une attaque passe, l'assaillant a gagné. Pour réussir, un défenseur devra bloquer toutes les attaques", estime Stonesoft, comparant la course entre cyberattaque et cyberdéfense à l'amélioration des chars et des armes anti-char.
"En dehors des grandes menaces, la sécurité serait grandement améliorée en sécurisant mieux certaines choses simples. Il faut déjà que chacun comprenne les règles 'd'hygiène'", explique l'entreprise finlandaise. La plupart des attaques exploitent des failles connues dans des logiciels anodins ou la négligence des personnes. Cette 'hygiène' est l'un des combats de l’Agence nationale de la sécurité des systèmes d’information (Anssi) française, qui a publié un guide pour entreprises en octobre.
PEU DE COORDINATION EUROPÉENNE, LA FRANCE SE POSITIONNE
Le paysage européen, lui, ne serait pas au beau fixe. "Il n'y a pas de pays précurseur en Europe sur les questions de cybersécurité. Il devrait y avoir de plus en plus de coopération entre les pays, qui est minimale aujourd'hui. Dans l'OTAN, les pays ont compris qu'ils doivent partager, la coopération a beaucoup augmenté ces dernières années", déplore le responsable de Stonesoft.
"Le volet offensif de la cyberstratégie est en France aux mains des services secrets. Elle reste la chasse gardée de l’Etat. Les Etats européens ne délimitent pas non plus tous de la même manière la cyberdéfense. Nous nous limitons au défensif, quand d’autres Etats peuvent parler d’offensif", justifie Michel Baud. "Est-ce qu’il y a une réponse européenne sur la cyberdéfense ? Il faudrait l’avis des 28 Etats. Si on a pu aller au Mali, c’est que la France était 'toute seule' dans un premier temps", déclare l'officier de l'armée de terre.
La situation française a grandement évolué ces dernières années. "On assiste à une bascule. En deux ans, les deux premières chaires de recherche 'cyber' [dont une à l'école de Saint-Cyr Coëtquidan, soutenue par Thalès] ont été créées. La prise de conscience a clairement pris de l'ampleur dans le dernier livre blanc de la Défense, il faut que ce soit suivi d’effets", estime le spécialiste français. L'Anssi, au coeur de la cyberdéfense française et dotée de 300 personnes en 2012, devrait passer à 400 personnes cette année.
"La chaine de commandement se met en place. Il y a vraiment beaucoup de choses à faire, malgré les baisses d'effectifs actées par les deux derniers livres blancs. Il y a très clairement un problème pour conserver ces spécialistes compétents au sein des armées, notamment en terme de salaire par rapport aux sociétés de défense, dans le civil. Avoir suffisamment de spécialistes est problématique... Ce qui est le cas aussi pour toutes les institutions européennes, les Américains ou les Britanniques", tempère Michel Baud. "La France est très dépendante de ses infrastructures. Le Royaume-Uni a très bien compris le problème et parle de cyber-résilience. Il y a des difficultés à la coopération public-privé en France. Plus de 80 % des infrastructures critiques françaises sont pourtant privées", note enfin Jarno Liméll.
Voir les contributions
Réutiliser ce contenu
