"Cyber war will not take place" : la conférence de Thomas Rid à Paris

Comme la semaine précédente avec David E. Sanger, la Chaire Castex de Cyberstratégie organisait une nouvelle conférence avec un invité de renom, même si un peu moins médiatique. Le Dr Thomas Rid est un chercheur que tous ceux qui s'intéressent aux conflictualités dans le cyberespace connaissent, au moins de réputation. Son dernier ouvrage, "Cyber war will not take place" (1), était l'occasion de venir échanger, le mercredi 24 avril 2013 à l’École militaire, devant un public clairsemé mais attentif.

T. Rid débute son intervention en rappelant ce qu'est la définition d'un acte de guerre : l'utilisation de la force et de la violence comme l'expression légale d'un instrument politique. Le concept de cyberguerre lui parait exagéré et mal adapté car les cyberattaques, générant peu de violence et aucune escalade, peuvent être circonscrites à trois grandes fonctions : le sabotage, l'espionnage et la subversion.


Après un rappel d'opérations a posteriori réussies au travers de l'usage de moyens cybernétiques (opération Orchard, Stuxnet et Aramco), il considère que cet usage implique une moindre violence mais possède des "vertus" surestimées. Les affaires emblématiques précédemment citées démontrent, d'après T. Rid, qu'il est possible de faire du sabotage violent et du sabotage non-violent.

Concernant le sabotage, Stuxnet lui parait emblématique de l'hypothèse d'une surestimation : techniquement très complexe, conçu à partir d'un long travail de renseignement, développé "sur mesure" comme un "missile spécial devant toucher un seul et unique bâtiment", le résultat politique est plutôt faible. Hormis le fait de ne pas faire de dommages collatéraux, autrement dit des victimes, l'intérêt de Stuxnet semble uniquement d'avoir permis le ralentissement du programme nucléaire iranien durant quelques mois.

La répétition d'un tel code logiciel (sur la même cible) lui parait improbable. Le rapport coût/efficacité lui semble relativement modeste même si l'intérêt de créer un "robot sans corps", entièrement autonome, capable d'apprendre et de s'adapter en fonction des vulnérabilités découvertes dans le système cible lui parait être la prochaine étape.

Vient ensuite le tour de l'espionnage qui est un "véritable défi pour les agences de renseignement". Pour T. Rid, les services dont le rôle est le "traitement" des données (illégalement) recueillies seraient confrontés à des difficultés du fait des volumes très importants à analyser (3). Le cyberespionnage serait d'ailleurs en phase transitoire et les processus mis en œuvre devraient être mis à jour.

A noter que si les grandes sociétés spécialisées en sécurité comme Mandiant, Symantec ou Mc Afee communiquent pleinement, le silence est de rigueur du côté des agences gouvernementales. La raison en serait que l'attribution des attaques serait bien meilleure qu'on ne le croit (ou le laisse croire), expliquant l'assourdissant silence en la matière ! T. Rid croit que cette situation devra nécessairement évoluer dans les deux ans qui viennent, crise économique et sanctuarisation des budgets ayant trait au cyber obligent.

Enfin, la subversion n'entraîne pas nécessairement de la violence même si elle peut l'être. T. Rid distingue d'ailleurs les Anonymous des djihadistes se réclamant d'Al Qaïda. Les Anonymous  seraient majoritairement progressistes, seule une minorité serait contre-productive. Plus étonnant, la Chine et la Russie seraient engagées dans une forme de subversion, à la différence des "Occidentaux" (4) !

Pour conclure, saluons tout d'abord l'intérêt réel de ce type de conférences d'intervenants d'envergure internationale. Ensuite, retenons quels faits saillants de cette brillante intervention, en particulier :
- la cyberguerre est en fait la "forme" du futur d'internet : chinois, américain, autre ?
- le domaine cybernétique est partie intégrante de la stratégie militaire.
- une cyberattaque comme acte de guerre ? A l'appréciation du pouvoir politique !
- les USA dominent donc appauvrissent le débat et les réflexions liées au cyber.
- une raison pour laquelle les agences de cyber(sécurité / défense) européennes doivent devenir plus visibles (et encourager la dimension recherche : chaires, fondations, think-tank, etc.).
 

(1) "La cyberguerre n'aura pas lieu"
(2) T. Rid souligne qu'un chapitre complet de son dernier livre est entièrement consacré au concept de violence
(3) un argument qui parait étrange à l'heure des (très impressionnantes) capacités de calcul et de traitements automatisés à fins d'analyses dont disposent certains États...
(4) assurément du second degré !