Cours dangers du cyber

      • Introduction
Le long passé de la cybersécurité

La thématique des possibilités et des dangers de la combinaison du numérique (qui l’information plus riche, plus accessible à chacun, modifiable ou reproductible à volonté)

plus réseaux (permettant la circulation de ladite information de n’importe quel point à n’importe quel autre, de tous vers tous) date des années 90 voire d’avant.

  • En attendant les barbares
    L’attente de la grande attaque (Pearl Harbour, Cybergeddon…) ou du grand accident qui provoquerait le chaos dans des sociétés dépendantes de leurs prothèses électroniques est tout sauf nouvelle. Comme deux mythes concurrents – Big Brother qui surveillera tout ou l’Agora électronique où aucun pouvoir central ne contrôlera plus l’expression démocratique – celui-ci date plus de vingt ans. À certains égards, nous ressemblons au lieutenant Drago dans le Désert des Tartares de Dino Buzatti : nous attendons sur la muraille (fut-elle un firewall) que surgisse le danger ultime du fond de l’horizon.
  • Quand la cybersécurité devient globale
    Seconde tendance lourde, la pensée stratégique – aux USA et en Europe en tout cas – tend de plus en plus à fusionner tous les dangers – guerre, terrorisme, catastrophes écologiques et, bien sûr, informatiques – dans la catégorie d’une sécurité « globale » qui minimise les différences entre l’interne et l’externe, le militaire, l’économique et le politique, etc… Donc à penser en termes de « menaces » globales, vitales, cruciales…et de système dont le mauvis fonctionnement compromettrait notre souveraineté.
  • Que craignons-nous ?
  • La perte de nos secrets
    Nouvelle version de l’espionnage : la cybersécurité repose sur la protection du secret (données précieuses ou voies d’accès aux systèmes de contrôle) par le secret (mot de passe, technologie de confidentialité, p.e.) et contre des attaques clandestines de par leur principe (à l’insu du propriétaire légitime). De fait, toute cyberattaque comporte « un peu » d’espionnage puisqu’il faut biens commencer par tromper un acteur (spear phishing), par deviner un mot de passe, par tromper un système de vérification pour lancer ensuite une attaque généralement clandestine surtout en ses débuts.
    • Espionnage
  • La paralysie du système
    Nouvelle version du sabotage : l’attaque informatique vise à la perturbation d’un système, à la perte de contrôle ou éventuellement à la contagion du chaos.

    Priver de moyens de gestion, d’énergie, de communications… Bref, paralyser.

    • La question des infrastructures vitales et de leur rôle stratégique Le sabotage prend une nouvelle dimension
  • L’impact de l’opinion

    Nouvelle version de la désinformation : l’attaque informatique vise souvent soit à provoquer des comportements erronés des dirigeants, soit à les disqualifier auprès de l’opinion. Nous touchons ici la très fragile frontière entre une attaque informatique « pure » de nature technique et une action par ou sur l’opinion publique (donc aux problématiques de cyberdissidence, liberté d’opinion, technologies de contrôle ou de libération, etc.).

    Par ailleurs la dimension symbolique de l’attaque (humiliation, démonstration de force, menace, punition) est très importante, et, comme un attentat terroriste, une attaque informatique peut servir autant à délivrer un message qu’à provoquer un ravage.

    • Subversion
  • L’ennemi, l’adversaire ?
    Le premier problème de la cyberstratégie est de nommer l’ennemi et de comprendre ses buts. On a souvent constaté la difficulté de distinguer cybercrime pur (perpétré par des individus recherchant un profit, une vengeance, un exploit…), cyberterrorisme (mené par des groupes et qui viserait à menacer ou perturber une population ou un gouvernement pour exercer une contrainte) et, enfin, véritables actes de guerre dans le cyberespace
    • But politique de l’attaque : la puissance
      Contraindre la volonté politique d’un adversaire ou simplement lui enlever un avantage compétitif ?
      • Cas Stuxnet
    • Intérêt économique : le gain
      L’attaque est-elle destinée à gagner un avantage en termes de performance (voler une technologie ou des données précieuses, handicaper un rival) dans une perspective de concurrence et non d’hostilité ?

      Exemple Stuxnet

      • Rivalité Chine USA
    • Motivation idéologique : l’influence
      L’attaque a-t-elle pour but de proclamer une idée, d’humilier ou de punir un « coupable », d’attenter à son prestige ou à sa crédibilité ? En ce cas, il faut s’interroger sur les motivations idéologiques d’une action symbolique.
      • Ambiguïté du message Qui est qui ?
  • Dimensions
  • Résumons : si une cyberattaque consiste globalement à utiliser une faille dans la protection d’un site ou d’un système informationnel pour y prendre un pouvoir illégitime, ce pouvoir peut consister en trois choses parfois mêlées :
    – savoir ce que l’on ne devrait pas savoir. En clair : espionner.
    – perturber ce qui devrait fonctionner. En clair saboter, même si le sabotage en question consiste le plus souvent simplement à faire perdre du temps par un dysfonctionnement (ou une saturation comme dans les Ddos) qui finira par être réparée un jour.
    – faire savoir ce que la victime de l’attaque voudrait vous empêcher de publier. Par exemple pénétrer sur le site d’un adversaire pour y faire des inscriptions le ridiculisant ou mettre sur la place publique ce qu’il dissimulait.
  • Violence
    Une contrainte ou une perte
  • Autorité
    L’attaque décrédibilise, atteinte à la confiance, à la réputation, à la légitimité
  • Secret
    Toute protection repose sur le monopole de certaines connaissances et de l’accès à certaines données ou commandes
  • Représentation
    Difficulté d’identifier l’auteur et la motivation
    Rhétorique et confusion
  • Le cas Shamoon
  • Penser une nouvelle stratégie
  • Espace : les frontières ne sont pas obsolètes
    Si les électrons circulent librement et si les réseaux offrent d’innombrables voies à l’attaque, le territoire n’a pas perdu ses droits : les terminaux et infrastructures sont quelque part, telle attaque porte atteinte à la souveraineté de tel État, etc.
    Des enjeux stratégiques, politiques, économiques, publics se mêlent toujours à un degré ou à un autre de enjeux de vie privée et de liberté : comment l’État peut il défendre ses entreprises contre des pirates sans recueillir des informations confidentielles ? comment peut-il prétendre lutter contre les terroristes présents sur Internet sans contrôler davantage le citoyen lambda ? comment assurer la sécurité des systèmes sans surveiller un peu les gens ?
    • Surveillance sans frontières, les révélations Snowden
  • Temps Gagner et perdre par le contrôle du temps

    La lutte informatique consiste souvent soit à gagner un avantage dans le délai d’acquisition de connaissances (espionnage) soit à faire perdre littéralement du temps à l’adversaire ou au concurrent (retarder le fonctionnement d’un système, bloquer, empêcher la résilience…).

    Pour le temps, c’est le facteur stratégique par excellence. Il est bien connu que les généraux perdent toujours les batailles par la faute de « trop tard ». Certes, dans une cyberattaque, par définition, l’agresseur a l’avantage de frapper par surprise, et a priori suivant une méthode inédite là où les failles antérieures ont été comblées. Et la vitesse de réaction (ou mieux encore : la vitesse de détection) de l’attaqué sera déterminante et, comme la méthode consiste seulement à faire perdre du temps au système cible quine fonctionne pas pendant x heures ou jours. En élargissant un peu, un bon nombre d’attaques de blocage par virus seront réparées tôt ou tard au prix d’une certaine dépense ou d’une certaine expertise, à rechercher la résilience.
    • Du retard comme enjeu crucial
  • Force L’emporter et menacer
    Dans le cybermonde, la « force » présente des caractéristiques, dont celle d’être le plus souvent anonyme. Sauf cas exceptionnels vous pouvez difficilement nier que c’est votre cavalerie ou votre char Abrams qui a détruit ce village. Dans le cybermonde, les électrons n’ont pas d’uniforme, l’attaque vient de nulle part et n’est pas signée. Et la force agressive consiste finalement en un savoir dont n’importe quel acteur, même « faible » a pu s’emparer pour frapper celui qui paraît « fort » : ce dernier n’est en réalité qu’une cible visible et étendue (avec de nombreuses infrastructures critiques exposées par exemple) qui ne sait pas vraiment d’où est venu le coup.
    • L’État protecteur et l’État agresseur
  • Victoire Quand sait-on que l’on a gagné ?
    La victoire (qui est après tout le but de la stratégie) dépend aussi de la perception du danger, des dommages subis, des capacités de rétorsion, etc.

    Un défenseur astucieux peut jouer la carte de l’opinion internationale et mettre sur le même plan du renseignement économique, des actions contre des infrastructures vitales qui pourraient produire des dégâts importants, des actes de guerre, du terrorisme cherchant à faire ravage, des démonstrations de hackers indignés par une mesure politique… Et gagner un avantage politique qui compense ses pertes techniques.

    • Rhétorique et exploitation des perceptions
  • Conclusion
  • Stratégies d’État stratégie privée
 
 

 

Publicités

À propos de François-Bernard Huyghe

François-Bernard Huyghe est directeur de recherche à l’IRIS, spécialisé sur la communication et l’intelligence économique, responsable de l'Observatoire Géostratégique de l'Information Docteur en Sciences Politiques et habilité à diriger des recherches, il enseigne la stratégie de l’information et l'intelligence économique notamment à l’IRIS Sup, à Polytechnique, au Celsa. Il est membre scientifique du Conseil Supérieur de la Formation et de la Recherche Stratégiques et mène des recherches en médiologie parallèlement à une activité de consultant. C'est aussi un blogueur influent sur huyghe.fr Ses travaux sur les rapports entre information et conflit comportent la direction de numéros de revue (Panoramiques : "L’information c’est la guerre", Cahiers de médiologie "La scène terroriste", AGIR "Puissance et influence". Revue Internationale stratégique "Stratégies dans le cyberespace"..) et les livres : "L’ennemi à l’ère numérique" (P.U.F), le livre électronique "Ecran/ennemi", "Quatrième guerre Mondiale" (Rocher). "Comprendre le pouvoir stratégique des médias" (Eyrolles) et "Maîtres du faire croire. De la propagande à l'influence" (Vuibert). Également : "Terrorismes" (Gallimard 2011) Derniers livres : "Gagner les cyberconflits" (avec O. Kempf et N. Mazzucchi) Economica 2015 "Désinformation Les armes du faux" A. Colin 2016

Publié le 14 février 2014, dans Uncategorized. Bookmarquez ce permalien. Poster un commentaire.

Laisser un commentaire

Entrez vos coordonnées ci-dessous ou cliquez sur une icône pour vous connecter:

Logo WordPress.com

Vous commentez à l'aide de votre compte WordPress.com. Déconnexion / Changer )

Image Twitter

Vous commentez à l'aide de votre compte Twitter. Déconnexion / Changer )

Photo Facebook

Vous commentez à l'aide de votre compte Facebook. Déconnexion / Changer )

Photo Google+

Vous commentez à l'aide de votre compte Google+. Déconnexion / Changer )

Connexion à %s

%d blogueurs aiment cette page :