Cyberespionnage : la Belgique a fait appel à l'U.S. Cyber Command

D'après le responsable du Service général du Renseignement et de la Sécurité (SGRS), un logiciel malveillant (sans plus de détails) aurait été découvert dans les systèmes d'informations de la défense belge. Devant sa complexité et les difficultés d'analyse de ses capacités (rétro-ingénierie, mécanismes, cibles, ...), les services belges ont fait appel au "grand frère américain". Les articles reprenant les éléments de langage (1)(2) évoquent l'U.S Cyber Command et la NSA. Là aussi et avec les réserves d'usage, un lien indirect en rapport avec l'affaire PRISM peut être interrogé.

Cybersécurité : signature d'un pacte OTAN - Australie

Le Secrétaire Général de l'OTAN, Andres Fogh Rasmunssen, vient d'achever une visite de 3 jours en Australie qui aura permis de souligner l'importance de la contribution australienne à l'ISAF en Afghanistan (1550 personnes dont un nombre important de Forces Spéciales) tout en préparant l'avenir.

Le retrait du guêpier afghan ayant commencé et avec une cible de retrait effectif en 2014, il est intéressant de noter la volonté des deux partenaires d'approfondir leurs liens. Ce renforcement se traduit par la signature d'une déclaration politique commune en vue de jeter les fondations d'un partenariat stratégique dans les prochaines années. L'accord porte sur une coopération renforcée dans la gestion des crises et des conflits, les situations post-conflictuelle, de reconstruction, d'assistance humanitaire et d'aide face aux catastrophes naturelles.

Cybersécurité européenne : oui mais non !

Sans annonce excessive et dans une relative discrétion, l'Alliance atlantique est en train de franchir une étape supplémentaire dans la mission qui lui a été confiée dans le cyberespace. C'est sous l'impulsion du NC3A, l'une des agences les plus importantes de l'OTAN, que la MN Cyber Defence
Capability Development Initative (Initiative de Développement d'une Capacité Multinationale de Cyberdéfense) vient d'être lancée.

Une présentation détaillée est disponible ici mais, avant de revenir une prochaine fois sur le contenu de ce document, c'est un tout autre rapprochement que cette information provoque. Il s'agit d'une interrogation, dont ce blog se fait l'écho depuis le sommet de Lisbonne en novembre 2010, quant aux initiatives concernant la cybersécurité en Europe.

Une information, relayée par Cidris, concerne la création d'une nouvelle agence européenne, en complément de l'ENISA. Cette nouvelle agence, qui sera chargée de la gestion opérationnelle des Systèmes d'Information, devrait traiter en particulier du volet stratégique lié aux infrastructures critiques.

Il me semble que la tendance que j'anticipe depuis un moment soit en train de se confirmer puisque le siège de cette nouvelle agence se trouve à Tallinn. C'est aussi dans la capitale  de l'Estonie que se trouve, entre autre, le NCIRC qui n'est autre que le CERT de l'OTAN. Ou plutôt une sorte de CERT++ puisque doté de capacités offensives renforcées.

Faut-il y voir une incroyable coïncidence ? Évidemment non. Il va sans dire que la responsabilité de chacun des pays de l'Union européenne en matière de cybersécurité est en train de devenir discrètement consubstantielle à l'OTAN. Ce n'est pas forcément ni tout noir ni tout blanc puisque chaque gouvernement est parfaitement informé des enjeux et des implications d'un tel mouvement.

On peut cependant se poser trois questions simples :

1) Est-ce que chaque citoyen européen est (au moins) informé de ces évolutions avant  d'être entièrement mis devant le fait accompli ?

2) La nouvelle agence européenne disposera-t-elle de réels pouvoirs (voire contre-pouvoirs) ou sera-t-elle une simple chambre d'enregistrement ?

2) Est-il normal que les États-Unis disposent quasi-directement des leviers de défense et peut-être d'attaque concernant la cybersécurité européenne ? Autrement dit, n'y-a-t-il  pas un risque majeur d'une certaine perte de souveraineté ?

Si le non est majoritaire à ces trois questions, c'est qu'il y a comme un problème...

OTAN : Cyber Security Strategic (le livre)

Sans surprise aucune, l'OTAN vient de publier un livre intitulé "Cyber Security Strategic" qui risque de se révéler aussi que décevant que passionnant.

Décevant parce que le premier survol que je viens de faire du document confirme les craintes que ce blog souligne depuis plusieurs mois : la cybersécurité au niveau de l'Union européenne relève plus d'une douce utopie que d'une volonté politique (inexistante par ailleurs, sur ce sujet...comme tant d'autres ?) et c'est l'OTAN qui est chargée de donner la cadence, ce qui tombe bien, pour une organisation militaire ! Et qui dit OTAN dit les...USA*!

L'auteur, Kenneth Geers, est le représentant américain auprès du CCDCOE de Tallinn. Détaché du NCIS (qui n'est pas qu'une série américaine mais bel et bien l'organisme chargé des enquêtes criminelles de la Navy !), son livre transpire la vision américaine, dont la doctrine se matérialise depuis le mois de mai. Les exemples pris traitent des thématiques et des problématiques récurrentes du point de vue américain : l'Arabie saoudite qui a élaboré un Firewall national à finalité religieuse (conformité avec les règles de l'Islam), des agents de la NSA qui jouent les attaquants lors d'un cyber-exercice en se faisant passer pour des...Nord-coréens. Puis enfin Moscou, la Chine, l'Iran (et Stuxnet) et la Corée du...Nord, encore ! Ces mots-clés revenant beaucoup tout au long de la première partie du livre.

Venons-en, tout de même, aux aspects intéressants voire passionnants de ce livre qui portent sur les stratégies possibles de mitigation des risques, pouvant se résumer ainsi : 

- IPv6 comme solution technique ? Réponse : le protocole solutionne bien une partie de la problématique mais soulève aussi de nouveaux problèmes.

- La cyber-dissuasion peut-elle empêcher ou interdire les cyber-attaques ?

- Le cyber-contrôle (comme pour les armes chimiques) avec les délicates notions de prohibition et d'inspections.

- Enfin, une tentative intéressante de transposition des principes de l'Art de la guerre de Sun Tzu au cyber-espace. Certains des principes peuvent s'appliquer, d'autres comportent des limitations, enfin une partie ne le sont pas du fait des spécificités de l'Internet comme champ de bataille (rapidement évolutif, topologie mouvante, innovations techniques, etc.).

La dernière partie du livre porte sur l'utilisation de la méthodologie DEMATEL qui a pour objet d'évaluer la pertinence des mitigations face aux risques relevés. La méthode permet la réduction des risques en terme d'influence directe et indirecte, avec une échelle de calcul assez simple. Grâce à cette méthodologie, la conclusion de ce livre est que la dissuasion, le contrôle ou l'Art de la guerre appliqués au cyber-espace ont une portée limitée. Seul le protocole IPv6 semble trouver grâce aux yeux de l'auteur puisque, d'après lui, il permet de réduire assez fortement l'anonymat qui est, pour le moment, le vrai talon d'Achille de la cyber-défense. N'étant pas spécialiste de l'IPv6, j'aimerai un avis d'expert sur le sujet : n'hésitez-pas à réagir et partager toute connaissance avérée sur le sujet !

Que dire de plus si ce n'est qu'il est dommage de constater ce "laisser-faire, laisser-aller" vers une cyber-défense européenne à la mode OTAN. Mais il est vrai qu'à force de construire des réponses nationales** à coup de déclarations d'intention "pressantes" ou de vagues coordinations, mêmes sincères, la cybersécurité made in Europe risque de n'être qu'une chimère de plus.

* "[...] l'impression que l'OTAN, au moins en cybersécurité, est une simple courroie de transmission des USA", déjà le mois dernier ou en novembre 2010 !

** derniers en date, les Pays-Bas (après le Royaume-Uni, la France ou l'Allemagne).

Cybersécurité USA : les règles (officielles) d'engagement signées

Le mois dernier, le gouvernement Obama annonçait une série de mesures dans le domaine de la cybersécurité. Les mesures étant déclinées sur le plan défensif et offensif, c'est ce dernier point qui avait surtout retenu l'attention de certains média (traditionnels et Internet).

La riposte à coups de missiles, pas seulement conventionnels (?!), en réponse à une attaque sur l'infrastructure de production et de transport de l'électricité avait choqué plus d'un commentateur avisé. Je demeure toujours convaincu que cette image est avant tout l'interprétation de "toute cyber-attaque d'origine étatique pourra être considérée comme un acte de guerre".

Il semblerait que des fuites savamment organisées (forcément) épaississent un peu plus le brouillard* puisque l'on en apprend un peu plus sur l'Executive order, portant sur la cybersécurité, et signé le mois dernier par le président Obama. En lieu et place de missiles, il y est surtout question des réactions militaires autorisées en fonction de certaines cyber-attaques : celles-ci vont de l'emploi des capacités cyber-offensives à la conduite de missions de renseignement (espionnage = usage CIA).

Dans tous les cas, toute réaction devra avoir reçu une autorisation présidentielle et, même si l'ensemble des règles ne sont pas encore connues, une cyber contre-attaque américaine passant par un autre pays devra avoir l'aval de celui-ci. Sur le principe de ce qui se fait du point de vue de l'aviation militaire américaine qui doit, normalement*, obtenir l'autorisation de passage dans l'espace aérien du pays survolé.

Ce dernier point me plonge dans une grande perplexité puisque les attaques peuvent être menées très rapidement et qu'un pays comme les USA, inventeur - entre autre - de l'Internet, possède les outils les plus pointus pour camoufler de possibles attaques de son territoire. Disons que dans ce cadre, on est plus dans une réponse de type "communication officielle" avec, optionnellement, l'implication des alliés (au hasard : l'OTAN).

Étrangement*, les règles d'engagement de la CIA n'apparaissent nulle part. Sachant que cette dernière possède les propres siennes (également sous Executive order mais de niveau...secret !) dans le cyber-espace et qu'elles sont moins contraignantes que celles qui s'appliquent aux militaires. Alors peut-être qu'un jour, oui, en réponse à une cyber-attaque, l'un des (nombreux) drones employé par "l'Agence" balancera son ou ses missiles sur un data-center militaire. Ou, en tout cas, sur une cible de valeur militaire voire politique.

* on notera avec une certaine gourmandise que la discrétion induite par le brouillard n'empêche aucunement de jouer à "ma main droite ne voit pas ce que ma main gauche fait" ! Mais qu'aussi, Tom Clancy est un visionnaire ! ;)

Cyber-espace : la prochaine "War on Terror(ism)" ?

Pour un peu, on pourrait croire que l'OTAN me lit ! Ce qui est, en fait, sûrement vrai à travers l'une ou l'autre de ses cellules de veille :) Quoiqu'il en soit, un nouveau communiqué à l'issue de la réunion des ministres de la Défense de l'Alliance la semaine dernière, a été publié vendredi 10 juin (le lendemain donc de mon billet précédent, ci-dessous).

Dans le fond, ce communiqué n'apporte pas grand chose de plus puisqu'il ne fait que reprendre les différentes étapes ayant eu lieu depuis le sommet de Lisbonne, en novembre 2010. Je relève néanmoins deux éléments significatifs : le premier répond à l'une de mes interrogations, à savoir si une nouvelle structure allait être créée pour centraliser la protection des différentes entités otaniennes. La réponse est négative. Ce qui sous-tend qu'il faudra faire avec l'existant. Une conséquence des multiples opérations en cours (d'un coût financier exceptionnel) dans un contexte de réductions budgétaires drastiques ?

Le second point qui m'interpelle et qui interpellera, je le pense, les membres d'AGS (Alliance GéoStratégique) qui me lisent, concerne la place de la "brique" cyber dans l'organisation (et les concepts d'emploi) de l'OTAN. Les cyber-attaques sont désormais considérées comme une forme permanente d'opérations de guerre de basse-intensité ! Et cette "classification" n'est pas anodine, loin s'en faut. Car qui dit opérations de guerre dit ennemi(s) !

Dans le fond, peut-on dorénavant considérer que le terrorisme (d'essence extrémiste et religieuse) est sous-maîtrise ? Ou du moins, réduit à un périmètre géographique et spatial limité ? Et que les formidables moyens (financiers puis technologiques et enfin humains) développés puis mis en œuvre, depuis bientôt une décennie, portent leurs fruits ? J'ai tendance à le penser et je ne suis sûrement pas le seul. 

Dans ce cas, quelle sera la nouvelle frontière, le prochain "ennemi" ? Le cyber-espace et sa cohorte d'attaques incessantes et permanentes, lieu de beaucoup de fantasmes mais aussi de manœuvres réelles et dilatoires, me semble être le bon candidat, avec un dossier solide et de sérieuses références  !

Trackback : OTAN et Cyber Défense sur le blog ami Cidris-Cyberwarfare

OTAN : une nouvelle politique de cyber-défense ?

L'OTAN, qui sait parfaitement communiquer sur ses opérations en cours (Afghanistan ou Libye), devient beaucoup moins prolixe lorsqu'il s'agit d'évoquer le cyber-espace. Pour celles et ceux qui suivent régulièrement ce blog, j'essaie tant bien que mal de suivre les évolutions otaniennes en regard de cette thématique. Hormis la dernière communication au mois de mars où j'estimais les choses avancer enfin (un cadre précis et des intentions explicites), je suis beaucoup plus sceptique sur les annonces faites hier.

Hier et aujourd'hui à Bruxelles, les ministres de la Défense des membres de l'OTAN ont eu, entre autres sujets, à faire un point sur les actions en cours dans le domaine de la cybersécurité. Ceux-ci ont adopté la révision de la politique en terme de cyber-défense qui, dorénavant, "apporte une vision claire quant aux efforts que l'OTAN doit fournir dans ce cadre". Passons le fait qu'on pourrait l'entendre comme n'étant pas le cas jusqu'à présent (indice 1), on y apprend que cette nouvelle politique offrira "une approche coordonnée en cyber-défense avec un focus sur la prévention des cyber-menaces et la résilience" (des infrastructures de transport et de communication IP - ou autres - ? Celles-ci me semblent en être la cible).

Chaque structure de l'OTAN sera sous protection centralisée (entité à créer ?) et de nouvelles exigences en terme de cyber-défense seront appliqués.La nouvelle politique "clarifie les mécanismes politiques et opérationnels en termes de réponse en cas de cyber-attaques" (ce qui ressemble furieusement au décret de février 2011 portant sur les attributions élargies de l'ANSSI et la clarification juridique du "qui fait quoi").

Enfin, la politique établit les principes de coopération avec les partenaires nationaux respectifs (donc type ANSSI, GCHQ, etc.) mais aussi avec les organisations internationales (lesquelles ?), le secteur privé et académique. (Indice 2 : cela ressemble là aussi furieusement aux récentes orientations américaines dans le domaine). En parallèle à cette politique, un plan d'action a été adopté. Il servira d'outil afin d'assurer la mise en œuvre effective et dans les temps de la politique.

Pour conclure, et même si mes "indices" sont plus de l'ordre du ressenti, ce communiqué donne l'impression que l'OTAN s'est accordée a minima sur la cybersécurité (qui, remarquez-le, est appelé cyber-défense, on est chez les militaires, après tout ! :). Les annonces me semblent très (trop) politiques et bien moins "concrètes" (c'est certes relatif) qu'en mars dernier. Quid, par exemple, de l'appel d'offres qui devait être publié le mois dernier ? Si quelqu'un me le trouve ou a des informations, merci de le faire suivre : je réviserai l'impression que l'OTAN, au moins en cybersécurité, est une simple courroie de transmission des USA et qu'hormis la protection des infrastructures (de nature critiques), le concept et la doctrine définies depuis l'année dernière ont beaucoup de mal à être déclinés opérationnellement. Tout cela sent les effets d'annonce et le saupoudrage cosmétique !

Trackback : IPv6 et OTAN chez Cidris-Cyberwarfare

Cyber-défense de l'OTAN : ça progresse

Les ministres de la Défense des pays membres de l'OTAN se sont réunis les jeudi 10 et vendredi 11 mars à Bruxelles. Ont été confirmées la poursuite des discussions quant à la défense anti-missiles (balistiques) et la volonté réaffirmée de quitter l'Afghanistan à l'horizon 2014.
 

Le plus intéressant, de mon point de vue, ne se trouve  cependant pas là et découle directement du sommet de Lisbonne en novembre 2010. Les ministres  réunis à Bruxelles  semblent avoir principalement travaillé sur les capacités de l'Alliance en terme de cyber-défense en approuvant les points suivants :

- Protection des réseaux et des systèmes d'information de l'Alliance en tant qu'élément fondamental de la cyber-défense;

- Mise à jour du concept et de la politique afférente datant de  janvier 2008; établissement d'une stratégie, ces deux points devant être approuvés en juin lors de la prochaine réunion des ministres de la Défense;

- Prise de conscience de la rapidité d'évolution des menaces et de ses dangers croissants;

- Importance de la coopération entre membres et avec les organisations internationales spécialisées;

- Nécessite d'intégrer les cyber-menaces à l'ensemble des projets de l'OTAN.

Alors que le sommet de Lisbonne m'avait laissé sur ma faim en raison des intentions affichées plus que des décisions réelles, il faut croire que les cyber attaques incessantes (et médiatisées) menées contre les Etats-Unis, le Canada, la France, le Royaume-Uni ou la Corée du Sud (la liste n'est évidemment pas exhaustive) font que l'insécurité globale  et les risques encourus nécessitent un traitement adapté et une accélération des mesures de défense.

Concrètement, des actions à court et moyen terme  ont été décidées : publication d'un appel d'offres de 30 millions €, dont on ne connaît pas encore le contenu, mais qui devrait sortir début mai et sera dédié à la cyber-défense. Enfin à l'horizon 2012, l'OTAN sera dotée d'un centre opérationnel de type CERT, probablement  basé sur le NCIRC mais doté de moyens et de capacités bien plus importants.

http://www.nato.int/cps/en/natolive/news_71432.htm?

http://www.defensenews.com/story.php?i=5936029&c=EUR&s=TOP

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...

Cyber intentions au sommet de l'OTAN à Lisbonne

Le prochain sommet de l’OTAN aura lieu à Lisbonne les 19 et 20 novembre et accueillera un invité de marque : la Russie. Certains spécialistes se font l’écho depuis des années des avantages voire de l’expression naturelle qu’il y aurait d’intégrer la Russie à l’OTAN. Géographiquement et historiquement cette hypothèse est pleine de bon sens tandis que du point de vue politique et culturel, des réserves se font jour.

Mon propos du jour est cependant tout autre puisque ce sommet essaiera, parmi les autres thèmes, d’unifier à travers un accord le besoin de coordonner la lutte dans le cyberespace. 

C'est en tout cas ce que laisse entrevoir William Lynn dans l'interview plus qu'intéressante donnée à Foreign Affairs.

Là où le bât blesse gravement, c’est que bien peu de choses empêcheraient qu'un tel accord soit conclu mais qu’en serait-t-il des moyens traduisant ces bonnes intentions ? On peut maintenant parfaitement mesurer le chemin parcouru ces dernières années par le sponsor principal de l’Alliance, les Etats-Unis : celui-ci s’est doté d’un commandement militaire unifié, s'appuie déjà depuis des années sur le DHS pour la collaboration inter-agences, a élaboré une doctrine d'emploi (si ce n’est plusieurs) et abonde un budget qui, s’il n’est pas encore monstrueux, est tout à fait respectable. 

De deux choses l’une : soit l’on risque d'assister à une dépendance complète de l’Europe vis-à-vis des moyens technologiques et financiers, sans compter la possible (dés)information quant aux cybermenaces et à leurs propriétaires avérés, désignés ou supposés. Autre hypothèse, il est encore possible de construire une force autonome, adossée à une hypothétique défense européenne, force qui travaillerait en coopération avec les américains (et pourquoi pas les russes ?) tout en conservant le regard critique et en développant ses moyens techniques et surtout en conservant une autonomie de décision ?

Il va sans dire que les restrictions budgétaires actuelles, particulièrement les budgets de la défense au niveau de l'UE, et le silence assourdissant de l'hôtel de Brienne ou du Quai d'Orsay ne semblent pas plaider pas pour une telle hypothèse !

Edit : Wired évoque ce jour-même l'existence d'un rapport fédéral (draft = avant-projet, brouillon) qui annoncerait une diminution importante des cyber attaques contre le département de la Défense U.S. Il s'agirait de la première année de la décennie où les "incidents liés à la de la cyber-activité malveillante" seraient en baisse. Paradoxe apparent à l'heure où la mobilisation se déchaîne depuis plusieurs mois. Je retiens l'hypothèse  évoquée en conclusion de l'article d'attaques moins nombreuses mais potentiellement plus sophistiquées et ciblées.