QUE SAIS-JE ?

La cybersécurité

NICOLAS ARPAGIAN

Rédacteur en chef de la revue Prospective stratégique

Coordonnateur d’enseignements à l’Institut national des hautes études de la sécurité et de la justice (INHESJ)

Bibliographie thématique QUE SAIS-JE ?

Laurence Ifrah, L’Information et le renseignement sur Internet, n° 3881.

Xavier Niel, Dominique Roux, Les 100 Mots de l’Internet, n° 3809.

Patrick-Yves Badillo, Dominique Roux, Les 100 Mots des télécommunications, n° 3869.

François-Bernard Huyghe, Les Écoutes téléphoniques, n° 3874.

Éric Delbecque, Gérard Pardini, Les Politiques d’intelligence économique, n° 3807.

978-2-13-061648-1

Dépôt légal – 1re édition : 2010, août

© Presses Universitaires de France, 2010
6, avenue Reille, 75014 Paris

« La prospérité de l’Amérique passera par la cybersécurité. »

Président Barack H. Obama
Discours à la Maison Blanche, 29 mai 2009

Introduction

Le 21 avril 2010 a été la date choisie par Google pour lancer son nouveau service¹ Government requests, littéralement « requêtes gouvernementales ». Ce dispositif illustre de manière emblématique la question de la cybersécurité. En effet, il recense pour la première fois, pays par pays, les demandes d’accès aux données privées des internautes faites à Google² par les gouvernements du monde entier ainsi que le nombre des demandes de suppressions de contenus émanant de ces mêmes autorités politiques. Une sorte de palmarès permanent de la censure sur la Toile ? Pas si simple. Puisque certains pays sont exclus d’office de cette recension, telle la Chine qui estime que ces informations relèvent du secret d’État.

Pour le deuxième semestre 2009, on note ainsi que si la France occupe la cinquième place des nations qui réclament le plus souvent des données personnelles (846 requêtes) à Google, elle a sollicité moins de dix fois le retrait d’un contenu. Et a obtenu satisfaction dans 66 % des cas. De nombreux internautes ont appris à cette occasion que le célèbre moteur de recherche détenait une quantité impressionnante de données concernant ses utilisateurs : le contenu de leurs recherches sur le Net, leurs courriers électroniques, l’historique de leurs navigations sur la Toile, leurs lieux de connexion ainsi que la configuration de leurs ordinateurs… Le tout sur une période de neuf mois.

Source : Google, 2010.

Tableau 1. – Demandes des gouvernements faites à Google
(juin-décembre 2009)

Informations sur la vie privée, surveillance des contenus et éventuelle suppression de certains d’entre eux, enregistrement des sites visités sur la Toile… Voici donc résumés les grands enjeux de la sécurité numérique. Qui ne feront que progresser au fur et à mesure que se déploieront les usages mobiles d’Internet et que la population des internautes augmentera. De l’enfant qui fait ses premiers pas sur le Net, au chef d’entreprise qui utilise des serveurs informatiques pour faire fonctionner son activité en passant par les forces armées, chacun est dorénavant concerné par cette activité cybernétique. Qui suscite des attaques, des ripostes et des tentatives de protection technologiques. Ce nouveau champ de bataille est par essence planétaire et voit s’affronter des intérêts de puissance protéiformes. Pouvoirs politiques, acteurs économiques ou militaires sont tour à tour dans la posture de l’agresseur et de l’agressé. Avec – fait nouveau – la possible participation d’individus isolés ou de militants désireux de faire triompher leur cause sur le forum mondial que représente désormais Internet.

Dans ce monde-là, les industriels du numérique détiennent des capacités d’action, notamment financières, comparables à celles d’un État souverain. La cybersécurité devient alors la condition nécessaire du développement de nos sociétés modernes. Au détriment, souvent, du droit individuel à la vie privée.

Chapitre I

Définition et historique de la cybersécurité

I. – Cybersécurité : de quoi parle-t-on ?

La création du mot « cybernétique » revient à un professeur au Massachusetts Institute of Technology (MIT), Norbert Wiener, qui, dans un ouvrage³ publié en 1948, désigna par ce vocable le « champ entier de la théorie de la commande et de la communication, tant dans la machine que dans l’animal ». Il l’a construit à partir du grec kuberneïn, qui signifie « diriger ». C’est plusieurs décennies plus tard, en 1984, que l’auteur de science-fiction William Gibson utilise le terme de cyberespace dans son roman Le Neuromancien. Il s’agit d’une trilogie qui a pour personnage central un voleur de données. Celui-ci est en mesure d’établir des connexions entre son esprit et un réseau mondial reliant entre eux des ordinateurs.

Peu à peu, le préfixe cyber va participer ainsi à la construction de nouveaux substantifs relatifs à cette société de l’information qui a vu le jour à compter de la fin du XXe siècle. La cybersécurité va donc concerner les usages défensifs et offensifs de ces systèmes d’information qui irriguent désormais nos organisations modernes. Elle prend en compte les contenants, c’est-à-dire les moyens techniques (réseaux informatiques, téléphoniques, satellitaires…) utilisés pour l’échange de données, qui peuvent faire l’objet d’opérations d’infiltration, d’altération, de suspension voire d’interruption, comme les contenus, c’est-à-dire l’ensemble des informations qui circulent ou sont stockées sur des supports numériques (sites Internet, bases de données, messageries et communications électroniques, transactions dématérialisées…).

La cybersécurité porte aussi bien sur la protection et l’attaque d’équipements informatiques (la guerre pour ou contre l’information), afin de les surveiller ou d’en prendre le contrôle, que sur les renseignements disponibles sur la Toile (la guerre par l’information), avec de possibles atteintes à la réputation, le vol de données sensibles, des actions de piratage numérique et autres campagnes de dénigrement.

Ce nouveau théâtre d’ombres consacre le principe de la guerre asymétrique, où les parties prenantes n’ont plus nécessairement la même nature juridique ni a priori la même puissance : des États peuvent êtres attaqués par des militants isolés, des sociétés commerciales être visées par des services de renseignements gouvernementaux ou la cible de compétiteurs indélicats, des particuliers mis en cause par d’autres personnes privées. Sur ce terrain numérique, la taille des budgets de communication et de sécurité informatique ne garantit pas l’avantage.

L’imagination, la créativité et la maîtrise technique des pirates informatiques sont capables de contourner bien des systèmes de sécurité établis. La logique de guérilla joue à plein : des activistes parviennent à harceler – et finalement à mettre en difficulté – des adversaires disposant de moyens substantiels (entreprises, administrations, forces armées…). Et le champ des menaces possibles est aussi vaste que la présence grandissante des technologies de l’information et de la communication dans les structures administratives, économiques, commerciales, financières, industrielles, médicales ou militaires. Auxquelles s’ajoutent nos usages personnels qui sont de plus en plus numérisés (blogs, messageries instantanées, télédéclarations fiscales, réseaux sociaux…).

L’actuel réseau Internet puise son origine dans le souhait exprimé dès 1962 par les autorités états-uniennes, notamment l’Advanced Research Project Agency (ARPA), l’agence gouvernementale spécialisée en R&D (Recherche & Développement) technologique, de disposer d’un système de communication qui résisterait à une attaque nucléaire massive émanant de l’Union soviétique. C’est l’Université de Californie-Los Angeles (UCLA) qui élabore ainsi à partir de 1969 le réseau Arpanet, dont l’Internet contemporain n’est qu’un prolongement. Sur ce terrain de l’innovation, la France n’est pas en reste puisqu’en 1971, l’ingénieur en informatique Louis Pouzin pilote le projet Cyclades, qui relie alors 25 ordinateurs installés en France, en Italie et au Royaume-Uni afin de permettre à des chercheurs de collaborer à distance. Pour ce faire, il met au point le premier réseau mondial dit « à commutation de paquets », fondé sur la technique du datagramme, encore employée sur le Net. Intéressés par ce savoir-faire, les universitaires Vinton Cerf de l’UCLA et Robert Kahn de l’ARPA s’en servent largement pour bâtir, à la fin 1973, leur premier protocole de communication (TCP/IP).

Cyclades fonctionne jusqu’en 1979, mais ce programme n’est pas jugé prioritaire par le gouvernement français. Et faute de moyens financiers suffisants, il est finalement abandonné, laissant aux États-Unis la possibilité d’investir pleinement ce secteur d’avenir… Avec une constante depuis cette époque : sa construction sous la forme d’une toile (en anglais, web) d’araignée. Soit un maillage qui ne connaît pas de point central et qui permet à l’information de circuler même si le réseau est partiellement détruit.

Comme les générations d’outils de communication qui l’ont précédé, Internet a suscité et suscite encore des comportements ambivalents : d’une part, des détournements variés de la part de surdoués de l’informatique pour passer outre les sécurités ou monter des escroqueries, et d’autre part, une surveillance attentive des autorités gouvernementales qui interviennent très tôt dans l’histoire du réseau des réseaux. Rappelons ici pour mémoire que la France s’est dotée dès 1915 d’une Section de contrôle télégraphique afin d’inspecter les correspondances postales et télégraphiques en provenance, à destination ou transitant par son territoire. Quant aux pirates du téléphone, ils commencent à sévir dès les années 1960. Tel ce John Draper qui s’aperçoit que le sifflet offert avec les céréales Capt’ain Crunch émettait opportunément une tonalité de 2 600 mégahertz. Or, les centraux téléphoniques d’alors l’interprétaient comme une consigne de ne pas facturer l’appel. De même, les blue boxes – ces boîtiers électroniques permettant de stopper la facturation des télécommunications à l’insu des opérateurs ont longtemps été le cauchemar des compagnies de téléphone états-uniennes.

Avec sa diffusion croissante parmi la population et dans la vie en général, Internet ne pouvait certainement pas faire exception. Ainsi, les États ont chacun opté pour des dispositifs de contrôle ou de filtrage des communications numériques. Tant pour anticiper de possibles agressions que pour porter des coups à leurs adversaires. Fait nouveau sur cette nouvelle scène géopolitique : les entreprises y jouent un rôle comparable à celui dévolu jusqu’alors à des pays. Ainsi, la société Google a-t-elle été amenée à négocier presque d’égal à égal avec le gouvernement de Pékin, fin 2009, lors d’un contentieux sur la censure de l’information pour les internautes chinois. Il en est allé de même des géants mondiaux comme l’éditeur de logiciels Microsoft ou le portail Internet Yahoo. Leur puissance financière, la masse de leurs utilisateurs, et leur savoir-faire technologique en font des acteurs politiques à part entière.

II. – Pas de moyens de communication sans contrôle des États

Selon l’institut Forrester Research, le monde devrait compter en 2013 quelque 2,2 milliards d’internautes. Ce qui représenterait une progression de 45 % en cinq ans, puisque l’évaluation 2008 recensait 1,5 milliard d’utilisateurs du Net. Et cela, indépendamment de la crise économique ambiante. La connexion au réseau devenant une priorité, les familles préfèrent rogner sur d’autres dépenses.

Cet accès à la technologie bouleverse l’équilibre des forces en présence sur la Toile. Par exemple, l’Amérique du Nord, qui représentait 17 % de la population mondiale connectée en 2008, tombera à 13 % en 2013. L’Europe passera également de 26 % à 22 %. Tandis qu’à l’inverse, la zone Asie-Océanie grimpera de 38 % à 43 %. Autant de données factuelles que la réalité géopolitique ne pourra longtemps ignorer. Notamment en ce qui concerne la gouvernance future de l’Internet.

L’apparition de moyens modernes de communication a systématiquement été accompagnée par la mise en place d’organes étatiques de surveillance. Ainsi, les États-Unis et la Grande-Bretagne ont-ils signé, dès 1943, un accord de coopération destiné à venir à bout des mécanismes de cryptographie utilisés par les Allemands avec leur machine Enigma. Leur réussite en la matière les incite, quatre ans plus tard, à élaborer un pacte baptisé UKUSA (United Kingdom-USA) qui donne par la suite naissance au réseau Échelon. Son rôle ? Surveiller les communications téléphoniques, les télécopies et désormais les courriers électroniques. Pour couvrir l’ensemble de ces moyens de correspondance, les États membres dudit réseau (parmi lesquels, outre les deux fondateurs, se trouvent le Canada, l’Australie, la Nouvelle-Zélande, l’Allemagne ou la Turquie) emploient une large gamme d’outils technologiques : un maillage de stations satellitaires, des bretelles placées sur des câbles sous-marins de télécommunications…

Une fois ces capteurs installés, des outils ad hoc sont utilisés en fonction de chaque type de support : logiciels de reconnaissance vocale, lecteurs optiques, dispositifs d’extractions de données et d’évaluation de contenus. La règle appliquée ici est simple : on écoute tous les échanges et on tâche d’y repérer les messages intéressants. Bien évidemment, la marque d’intérêt évolue en fonction du contrôleur. Certains privilégient les informations politiques, d’autres se montrent surtout attentifs aux renseignements économiques ou commerciaux.

Qui contrôle les critères de recherche détient donc un pouvoir considérable. Dans le cas d’Échelon, des pays comme la Turquie ou la République fédérale d’Allemagne ne peuvent que formuler des requêtes auprès des États à l’origine du réseau. Ces derniers sont donc informés des sujets de préoccupation de Berlin et Ankara, et peuvent même sélectionner l’information qui leur est adressée – avantage stratégique tout à fait conséquent.

Étant donné le nombre croissant d’informations que les entreprises, les individus et les administrations placent au quotidien dans des bases de données et échangent sur la Toile, on comprend aisément que les États ne peuvent renoncer à exercer leur autorité sur ces territoires numériques. Ils doivent d’autant plus donner de la voix et se placer sur le terrain de la sécurité nationale qu’ils sont souvent des joueurs de poids moyen, voire léger, en ce qui concerne leur capacité d’intervention financière. Au 31 mars 2010, Google annonce disposer d’une réserve financière de 26,5 milliards de dollars. Une cagnotte qui, selon les chiffres transmis par Google, a donc progressé de deux milliards par rapport à fin décembre 2009.

Pour rester un interlocuteur crédible, les États démocratiques doivent par conséquent jouer la carte de la collaboration avec leurs champions nationaux.

C’est ce qu’a annoncé très clairement Barack Obama dans un discours⁴ prononcé à la Maison Blanche le 29 mai 2009, dans lequel il indique que l’infrastructure numérique du pays doit être traitée pour ce qu’elle est, c’est-à-dire un « bien stratégique national » (a strategic national asset), sa défense devant être considérée comme une priorité de sécurité nationale. Pour ce faire, sans doute davantage encore que dans les autres activités économiques, le Président Obama annonce une montée en puissance des collaborations à conduire entre acteurs publics et privés. Et donc une association de plus en plus étroite entre les sphères politiques, économiques et militaires.

En Russie, on trouve une autre illustration de cette implication de l’appareil d’État dans la sécurisation, en l’espèce la surveillance des réseaux de communication. En février 2008, Leonid Reiman, alors ministre chargé des Télécommunications, signe un décret qui oblige les fournisseurs d’accès à Internet et tous les opérateurs privés de téléphonie installés dans la Fédération de Russie ainsi que dans plusieurs pays de la Communauté des États indépendants (CEI) de connecter leurs serveurs sur la base Sorm. La gestion de celle-ci relève directement de l’organe policier héritier du KGB, le FSB. Ainsi, le service de renseignements intérieur dispose en temps réel des moyens de contrôler les communications téléphoniques et Internet qui circulent dans sa zone d’influence.

Là encore, c’est au nom de la sécurité qu’une telle surveillance est imposée aux opérateurs commerciaux… et accessoirement à leurs clients.

III. – Des pirates désintéressés aux mafias du Net

Les premiers pirates technologiques qui, à partir des années 1980, affrontèrent...