Café Stratégique n°14 - Le journalisme de Défense : enjeux et défis

L'Alliance Géostratégique organise un nouveau Café Stratégique le jeudi 8 mars de 19h à 21h. Celui-ci aura pour thème les enjeux et les défis du journalisme de Défense. 

L'invité de marque sera Philippe Chapleau, journaliste à Ouest France et responsable du blog Lignes de Défense.

Une bonne occasion pour, par exemple, préciser les relations complexes entre les différentes parties (journalistes, militaires, politiques, agents économiques, ...). Ou pour essayer de mieux comprendre les évolutions profondes qu'a nécessairement subi la profession depuis l'écroulement du système soviétique, il y a maintenant 2 décennies.

Le débat se tiendra comme toujours au Café le Concorde, 239 boulevard St Germain, dans le 7ème arrondissement de Paris (métro Assemblée Nationale). L'entrée est  libre, venez nombreux !

Cyberdéfense : le Brésil continue sa montée en puissance

Opérationnel depuis la fin 2011, le CDCiber (Centro de Defesa Cibernética) est une structure militaire interarmées chargée par le gouvernement brésilien de défendre les réseaux et les systèmes d'information militaires et gouvernementaux contre les tentatives de cyber-attaques.

Le CDCiber est la pierre angulaire du dispositif de montée en puissance des forces armées et gouvernementales brésiliennes afin de traiter conséquemment les risques et les menaces liées au cyberespace. Si le Brésil est devenu la puissance majeure du continent sud-américain, l'une des puissances agricoles mondiales et une future puissance exportatrice de pétrole, il faut également souligner que c'est l'un des acteurs majeurs de la cybercriminalité mondiale (2ème au classement Atlas/Arbor). 

Celle-ci ne se contente pas d'être "exportée" puisqu'elle est aussi devenue une menace grandissante au sein de ses propres frontières. La cybercriminalité, à l'origine financière, a débordé du secteur bancaire et de plus en plus d'attaques ont lieu envers des sites ou des systèmes d'information militaires ou gouvernementaux mais aussi en lien avec les infrastructures vitales : énergie, communication ou transports.

C'est dans ce cadre qu'en janvier, le CCOMGEX (Centro de Comunicações e Guerra Eletrônica do Exército - Centre des Communications et de guerre électronique de l'Armée de terre) a signé un contrat avec des sociétés brésiliennes pour le développement d'un simulateur de cyber-attaques et d'un dispositif anti-virus spécifique. Ces développements doivent permettre de renforcer le réseau interne d'information et de communication de l'Armée brésilienne (EBnet) qui, selon le général Antonino Santos Guerra, commandant le CCOMGEX, pourrait comporter des vulnérabilités exploitables.

On observera donc avec intérêt la façon dont l'une des puissances mondiales (le Brésil a doublé le Royaume-Uni en 2011), non-alignée de surcroît, appréhende et répond à la menace cyber sur ses systèmes militaires, gouvernementaux et vitaux (même si opérés par des entreprises du privé). Plus encore que ses récents achats (et futurs proches ?) de matériels militaires pour lesquels des transferts technologiques complets si ce n'est entiers deviennent la norme, il faut souligner la volonté de Brasilia de se reposer sur ses ressources nationales pour renforcer et développer de nouvelles compétences. La façon de traiter les menaces dans le cyberespace pose en filigrane le degré d'indépendance technologique mais aussi (et peut-être surtout) nationale.

Source (portugais) + traduction en français

La Sécurité de l’Information est-elle un échec ? Spaghettis et “complicités” internes !

Le quatrième volet de la chronique écrite en collaboration avec le blog allié CIDRIS - Cyberwarfare, également membre de l'Alliance Géostratégique, vient d'être publié.

Après avoir établi le constat d'un échec relativement patent de la sécurité de l'information dans l'entreprise, dénoncé certains effets de mode (équipements, logiciels, procédures) entièrement inadaptés au contexte dans lesquels ils sont mis en œuvre puis nous être attachés sur l'essence même de la problématique c'est à dire les biens informationnels ou "assets" qu'il faut identifier, classifier et protéger, nous vous convions à de "l'archéologie informatique" !

Le saut temporel que nous faisons conduit à mettre en exergue une partie des causes du mal qui frappent encore de (trop) nombreux Systèmes d'Information. Alors que la gastronomie italienne est fine et ensoleillée, on verra que le "plat de spaghettis" peut être aussi un plat bien peu digeste et à cause duquel se développent de nombreuses "maladies chroniques". Lorsque des faiblesses techniques mais aussi des "complicités" internes bien naïves sont présentées sur un plateau, l'attaquant n'a plus tout bonnement qu'à se servir. Bonne lecture !

Cybersécurité : la question controversée des règles mondiales

C'est sous ce titre un peu mystérieux et, de prime abord, presque anodin qu'un think-tank sis à Bruxelles, le Security and Defence Agenda (SDA) vient de récemment publier un rapport d'une centaine de pages plutôt ambitieux (en français ou en anglais). 

Qu'on en juge plutôt : plus de 250 experts et décideurs mondiaux (spécialistes du secteur privé, directeurs d'agences gouvernementales, responsables d'organisations internationales, chercheurs, etc.) au travers de plus de 80 interviews ont été interrogés afin de produire une synthèse de l'état des réflexions actuelles en matière de cybersécurité et des problématiques de sécurité liées au cyberespace.

En première lecture, discussions et réflexions projettent parfaitement le bouillonnement intense qui agite la cyber-sphère et ses interdépendances (praticiens, responsables politiques, secteur de la Défense et de la sécurité, recherche académique, média). Ce rapport propose aussi une initiative que je trouve foncièrement intéressante, même si elle est assurément sujette à discussion : un classement de l'état de préparation des principaux pays en matière de cyber-défense.

La méthodologie et ses résultats reposent sur un modèle élaboré par Robert Lentz. Appelé Cyber Security Maturity Model (sur le principe du CMMI pour les développements logiciels), celui-ci permet de donner une note jusqu'à 5 étoiles en terme de résilience, que M. Lentz estime être la capacité ultime recherchée par les États ou les entreprises en cas de cyber-attaque(s) majeure(s).  Au-delà du choix des critères, pertinents tout en étant critiquables, on relèvera que la France obtient 4 étoiles, tout comme les USA. Seuls Israël, la Suède et la Finlande obtiennent la note la plus élevée de 4,5 étoiles.

Cependant, si l'on tient compte des différents choix politiques et stratégiques récemment faits parmi les grandes nations, sur les tendances que l'on peut projeter dans les mois et les quelques années qui viennent et si l'on ajoute la LIO, c'est à dire l'ensemble des capacités offensives vraisemblables, on risquerait sans doute d'obtenir un classement différent. En réalité, cela importe peu pour le moment : ce rapport possède de réelles qualités mais également des défauts (sa vision atlantico-atlantiste, par exemple). Reconnaissons le travail important ici réalisé, le brassage d'idées, les pistes et les solutions proposées qui permettent d'alimenter et d'enrichir un débat qui ne fait que commencer.

Décès de M. Pascal Lointier, Président du CLUSIF

C'est avec une certaine émotion que ce blog s'associe à la peine de la famille, des proches et des collègues de Pascal Lointier qui était le président du CLUSIF (CLUb de la Sécurité de l'Information Français). Il disparait soudainement à 50 ans.

Des années durant Pascal aura participé au développement puis au rayonnement de la Sécurité (SSI ou de l'Information) en France et, sans doute aucun, au-delà des frontières de l'Hexagone.

Un livre de condoléances est ouvert afin de recueillir témoignages et messages de sympathie qui seront transmis à sa famille.

Edit : un hommage lui sera rendu lundi 27 février 2012 à 12h30 au cimetière parisien du Père-Lachaise.

Piratage d'or : Nortel à l'ouest durant 10 ans !

Nortel Networks Corporation (ou Nortel) est l'un des principaux fournisseurs mondiaux en matière d'équipements de réseaux et de télécommunications. Jusqu'à ces dernières heures, c'était aussi l'une des entreprises de haute-technologie parmi les plus innovantes. Et ce, malgré ses déboires en 2008 et 2009 : une mise sous protection de la loi nord-américaine sur les faillites et une restructuration de sa dette.

En 2004, un employé (probablement un administrateur réseau compétent et curieux) remarque que des téléchargements inhabituels de documents se sont produits. L'auteur de ces étranges faits, l'un des dirigeants de l'entreprise, est interrogé mais répond qu'il n'a jamais téléchargé ces documents. Une enquête soi-disant approfondie est conduite avec pour résultat majeur de faire changer le mot de passe de ce responsable !

La contradiction entre une action (le téléchargement) et la négation sincère de celle-ci par son auteur aurait sans doute dû mettre la puce à l'oreille à tout responsable de la sécurité digne de ce nom (et de ses fonctions) qui, cela est bien connu, en bon paranoïaque se serait sans doute montré aussi tenace qu'un épagneul breton en période de chasse ! C'est (presque) à prendre au second degré mais pour qui a déjà été confronté à ce genre de situation, je ne connais personnellement pas une intervention qui ne se soit achevée sans qu'il n'y ait résolution complète de l'incident. Quitte à y passer la soirée voire la nuit ! Ou des jours entiers...

En réalité, le ver était déjà dans le fruit depuis le début des années 2000 et il semblerait que les comptes et les mots de passe associés des 7 principaux dirigeants (y compris le PDG) combinés avec des spywares sur de nombreuses machines au sein du système d'information de l'entreprise ont permis l'extraction d'innombrables données et informations vers une adresse IP à Shangaï, en Chine.

Documents techniques, financiers, rapports de R&D, mails, etc. la moisson est colossale et les pirates n'ont eu qu'à choisir durant près de 10 ans !! La légèreté avec laquelle Nortel semble avoir traité cette affaire révèle une incroyable incompétence et l'excuse selon laquelle les techniques employées étaient peu connues à l'époque ou ciblaient essentiellement le secteur bancaire sont la preuve d'une irresponsabilité qui relève autant de la mauvaise foi, que d'un manque évident de professionnalisme et assurément d'une lourde culpabilité qui n'est pas assumée.

On relèvera cependant que cette affaire, révélée par le Wall Street Journal dont je recommande la lecture de l'excellent article, tombe bien à propos tandis que Xi Jinping, donné comme le futur n°1 chinois est en tournée aux USA. Entre cyber-espionnage mutuel et montée en puissance aux États-Unis du lobby politico-industriel de la cybersécurité, il serait surprenant que cet effort de communication et de transparence n'ait que valeur de simple mea culpa.

Cyberespace : la zone de conflits où les USA seraient en train de perdre ?

Le titre plutôt provocateur de cet article n'est pas de mon fait, exception faite que d'une quasi-affirmation, j'ai préféré la forme interrogative comme hypothèse de travail. L'article qui alimente ma réflexion "Cyber Warfare : The War America is Losing" est intéressant puisqu'il met en perspective la problématique globale des conflits dans le cyberespace. Cependant en total désaccord avec les justifications employées, il me parait important d'apporter la contradiction à une vision ethno-centrée (les USA vs le reste de la planète) en démontrant que si l'analyse est biaisée, la conclusion, elle, est entièrement erronée !

S'il y a bien des enjeux dans le cyberespace et le développement de stratégies afférentes, ceux-ci ont une origine et des motivations qui lui sont bien supérieures.  Afin de préciser le cadre de cette analyse, précisons que l'on traite ici de "conflits dans le cyberespace" et pas de "cyber-guerre" où la dimension cyber n'apparaitrait que comme la composante non-cinétique (mais complémentaire) d'actions elles cinétiques, c'est à dire plus conventionnelles (fantassins, artillerie/missilerie, navires et aéronefs de combat, etc.).

L'agressivité et la permanence des attaques dirigées ces dernières années, en augmentation constante et ce d'où qu'elles puissent provenir, sont essentiellement liées à la  virulente compétition géopolitique entre le Calife (les USA; oui c'est une forme d'humour ! :) et des potentats qui aimeraient lui ravir sa place de première puissance mondiale. La Chine n'est pas nommée mais c'est bien évidemment à elle que l'on pense en premier lieu. Tensions périphériques entretenues, jeux dans l'ombre pour asseoir la puissance,  pratiques d'infodominance pour conserver (ou tenter de ravir) un leadership mondial remis en cause, la pratique du cyber-espionnage est devenue une arme redoutable car puissante tout en étant discrète et, suprême qualité, qui n'a pas (encore) fait de morts. 

Ce dernier point renforce d'ailleurs ma certitude que la problématique cyber aura mis énormément de temps à être appréhendée dans sa réalité et, finalement, sa dangerosité du fait de ses caractéristiques dématérialisées et majoritairement virtuelles. Peut-être aussi  parce qu'elle semblait bien plus proche du dernier concept à la mode ou d'une expérience de laboratoire ?!

Pénétrer une enceinte physique sensible (civile ou militaire) à fins d'espionnage, c'est délicat, le plus souvent dangereux avec une probabilité de réussite au demeurant incertaine. Pénétrer un réseau et des ordinateurs distants physiquement de plusieurs milliers de kilomètres, c'est simple (quand on dispose de l'expertise), généralement efficace car la plupart du temps, la victime ne s'en rend compte que bien plus/trop tard. Quand elle s'en rend compte !

Si quelques affaires médiatiques (hacking du PSN de Sony, Anonymous, etc.) font ponctuellement les unes de certains média institutionnels depuis l'année dernière, tous n'ont pas encore pris conscience que l'économie numérique et globalisée devient le cœur, les artères et le sang de la société humaine dans son ensemble. Que dire alors des milliers de tentatives de pénétration de systèmes (au sens large) qui ont lieu chaque heure si ce n'est chaque minute ? Les réactions oscillent sans doute entre un haussement d'épaule pacifique et, au mieux, à la référence d'un auteur (ou d'un film) d'action ou science-fiction (Die Hard 4, Terminator, Minority Report, ...).

Pour revenir à l'article de Stéphanie Dreyer, il faut considérer la situation actuelle : les USA possèdent le plus grand nombre de réseaux, d'équipements et de machines gouvernementales et militaires, la plupart étant atteignables, même indirectement, via Internet. De fait, et statistiquement c'est imparable, ils sont donc le pays qui subit aussi le plus d'attaques ! Farce humoristique et/ou "chinoiserie", relevons cependant que les USA sont le premier pays d'où proviennent le plus d'attaques au monde (ici ou là) !

Tant qu'Internet n'était pas très développé et que les concurrents en étaient encore au stade de pays émergents, le danger n'était pas très élevé. Seulement, la donne stratégique et géopolitique a changé, les Systèmes d'Information ont continué à empiler* composants, couches et...vulnérabilités et les outils pour préparer et réaliser des attaques se sont démocratisés en même temps que le nombre d'utilisateurs potentiels explosait. Sans compter qu'il faut reconnaître que la Chine a eu le mérite d'identifier très tôt (dès les années 80 !) l'importance de l'Information Warfare. En conséquence de quoi elle a élaboré une doctrine et a développé ses capacités, probablement respectables.

(Source)

Que ce soit sous Obama, Bush ou même Clinton, l'administration américaine a très tôt été informée de ce fait stratégique en devenir mais il aura fallu attendre une diminution de la tension dans la lutte contre le terrorisme salafiste, engagée depuis plus d'une décennie, pour faire émerger la problématique cyber, la consacrer comme une dimension stratégique (de sécurité nationale) à part entière et lui allouer des moyens conséquents. Force est de constater cependant qu'elle n'a pas attendu l'année 2011 pour se préparer à lutter dans le cyberespace (NSA, U.S. Air Force, U.S. Cyber Command). Indiquant par ailleurs une attention vigilante illustrée par le développement discret de moyens défensifs mais aussi offensifs.

La vision étasunienne s'est éclaircie puis affermie du point de vue politique, permettant l'émergence d'un cadre cohérent : législatif (c'est en cours) et patriotique, stratégique (une doctrine et des moyens pour la satisfaire) et opératif (ce dernier monte en puissance). La forte incitation depuis des mois pour faire adopter et mettre en œuvre un Cloud Défense (Pentagone + partenaires industriels) et ensuite faire migrer le plus rapidement possible applications, ressources et utilisateurs doit permettre à terme une division significative du nombre de réseaux à opérer (~15 000 !). Autant dire que du point de vue économique le calcul est gagnant. 

Le bénéfice est aussi vrai techniquement pour la lutte contre les tentatives et les actes malveillants puisque le périmètre sous maîtrise devient moins étendu donc plus facile à surveiller. D'autant plus qu'apparaissent des systèmes automatisés de défense très élaborés (Einstein 3 du DHS et son équivalent du DoD), apparemment efficaces. Sans parler des travaux de recherche multiples au sein de la DARPA dont l'une des missions actuelles et prioritaires est d'élaborer des systèmes sophistiqués aux effets directs pour empêcher, neutraliser ou détruire (cyber-armes offensives). Auxquels on ajoutera  le déploiement opérationnel de vecteurs cinétiques embarquant des capacités non-cinétiques. 

Non, décidément, il n'est pas sérieux de penser que les USA sont en train de perdre la lutte dans le cyberespace. On peut même projeter l'hypothèse à moyen-terme que ce dernier sera préempté si ce n'est partiellement maîtrisé par l'Oncle Sam.

* ce sera l'un des thèmes centraux du prochain article de la chronique écrite sur AGS avec CIDRIS.
---
Cet article est paru sur l'Alliance Géostratégique

Cybersécurité USA : patriotisme et opportunisme

L'audition avant-hier de personnalités de la sécurité et de la cybersécurité par le sous-groupe "Communications et Technologie" du Comité de l'Energie et du Commerce (U.S. Committee of Energy and Commerce) avait pour triple objectif d'examiner les menaces pouvant peser sur les réseaux de communication, les réponses du secteur privé et le rôle du gouvernement fédéral.

Les différents intervenants, à une exception près (CSIS), sont des acteurs majeurs spécialisés dans le secteur de la sécurité : Entrust, Juniper Networks, Internet Security Alliance et McAfee. L'idée que l'on peut se faire des enjeux liés à une telle rencontre me semble parfaitement résumée par le président de la sous-commission, le sénateur Greg Walden :

- Il y a un problème et la plupart des personnes ne savent pas qu'il y a un problème ;

- La cybersécurité est devenue une question pressante ;

- La cybercriminalité a un coût financier et génère des pertes d'emplois;

- Un risque pèse sur la sécurité nationale.

Pour toute personne qui lit régulièrement ce blog :) et/ou suit l'actualité cybersécurité, il n'y a là aucune surprise. Là où l'information devient cependant intéressante, c'est de constater que les différents intervenants semblent avoir convaincu le sénateur Walden que :

- Le secteur privé est en première ligne face aux différentes menaces : il doit donc être traité avec certains "égards";

- Le gouvernement fédéral devrait plutôt inciter plutôt que légiférer : il y a clairement des zones où il n'a pas à interférer;

- Il est temps que le partage de données classifiées entre le secteur public et privé, en discussion depuis des mois, devienne effectif; cette initiative a pour objectif d'alerter plus tôt les entreprises d'un risque ou d'une attaque majeure imminente.

L'audition était évidemment une forme de lobbying qui semble avoir partiellement porté ses fruits. Le sénateur Walden a déclaré vouloir déposer un amendement afin d'inciter le secteur privé à faire preuve excellence en matière de cybersécurité. Cet amendement viendrait s'ajouter à ceux actuellement en préparation et discutés par les représentants républicains et démocrates. Parmi les mesures envisagées, en échange de l'établissement de bonnes pratiques en matière de cybersécurité, on trouve des baisses d'impôts, une protection juridique contre des poursuites civiles ou criminelles, des prêts et des crédits préférentiels et un système de labellisation.

Ce nouvel épisode illustre la vivacité du débat et la dynamique des actions engagées ces derniers mois aux États-Unis entre les politiques et les acteurs touchés par les problématiques de sécurité (industriels et agences fédérales). Le sujet est devenu une sorte de "grande cause" nationale et chaque "camp" fait montre de bonne volonté mais aussi d'opportunisme. Il y a en effet un double intérêt pour les industriels : participer à l'effort national (les Américains sont connus pour être très patriotes, à juste titre) et renforcer ou essayer de capter un marché en forte croissance. Alors que des coupes budgétaires importantes ont lieu dans tous les secteurs de la Défense, seules les forces spéciales, les drones et la cybersécurité voient croître leurs budgets.

La tendance lourde (et irréversible) du BYOD

La problématique du BYOD (Bring Your Own Device) dans l'entreprise n'est pas nouvelle mais elle a réellement commencé à décoller l'année dernière, en parallèle de l'explosion des ventes de smartphones et autres tablettes. Les récents chiffres sur le phénomène, du moins en ce qui concerne la France, montrent que la tendance est devenue réalité dans l'entreprise.

Les 2/3 des salariés interrogés utilisent dorénavant leur smartphone (et/ou tablette) pour se connecter au S.I. de l'entreprise. Prioritairement, c'est la messagerie et la synchronisation de l'agenda qui sont les deux fonctions les plus utilisées. Ces usages sont appelés à se développer de plus en plus mais surtout à s'installer durablement. Le problème des divers responsables du S.I. (DSI, RSSI) et de leurs responsables est double : tous n'ont pas encore pris conscience de l'ampleur du phénomène et, lorsque c'est le cas, ils demeurent partagés sur la conduite à tenir. 

Malheureusement, le temps n'est plus aux réunions le plus souvent stériles ou aux études pour décider si l'on fait quelque chose ! Aux USA, la problématique du BYOD a été appréhendée très tôt et bien en amont, dans les entreprises comme dans l'administration : le ministère de l'Intérieur (qui n'a pas les mêmes missions que celui en France) vient de déployer un portail accessible par ses employés depuis tout équipement BYOD. 

Au-delà des économies que peut engendrer une telle convergence, la sécurité est évidemment traitée : l'identification individuelle est un pré-requis et certaines informations, plus sensibles, nécessitent que le navigateur supporte du chiffrement. De plus, les responsables du projet encouragent la discussion avec les utilisateurs afin d'améliorer le service, tout en étant en forte interaction avec la "communauté sécurité IT". Ce dernier point achève de convaincre que le ministère de l'Intérieur a sûrement été choisi comme pilote avant un déploiement bien plus important. Et qu'il ne faudra peut-être pas attendre un cadre réglementaire spécifique en France pour accompagner une tendance lourde et irréversible !

Café Stratégique n°13 : au-delà de la Syrie, le Grand jeu

Activité brûlante s'il en est, les enjeux autour des événements actuels en Syrie seront l'objet du prochain Café Stratégique organisé par l'Alliance Géostratégique. L'invité de marque en sera M. Joseph Bahout, enseignant à Sciences Po et chercheur à l'Académie diplomatique internationale.

Ce débat convivial se tiendra au Café le Concorde, 239 boulevard St Germain, dans le 7ème arrondissement de Paris (métro Assemblée Nationale). Venez nombreux !

Gestion des incidents de sécurité : l'exemplarité récente de l'AFNIC

Comme il est précisé sur son site, l'AFNIC est "une association à but non lucratif qui gère le registre des noms de domaine .fr (France) et .re (La Réunion) et est l'office d'enregistrement désigné par l'État pour le .fr". L'équipe qui la compose est resserrée mais extrêmement compétente du fait, essentiellement, de la sensibilité technique, juridique et commerciale de la gestion des noms de domaine. On y trouve des personnalités relativement médiatiques comme Stéphane Bortzmeyer.

Cette sensibilité oblige l'AFNIC à être en pointe sur les problématiques de réseaux, de protocoles et de normes, d'équipements et d'évolutions majeures (cas d'IPv6, par exemple). La composante sécurité (de l'information) est évidemment majeure et c'est pourquoi il est rare que l'on apprenne les tentatives d'actes malveillants dont ils peuvent être victimes. Sauf si cela touche à leur "cœur de métier".

C'est donc ce qui s'est produit le 12 janvier 2012, même si les circonvolutions syntaxiques qualifient l'acte "d'incident réseau". Logiquement, le communiqué publié le 16 janvier ne donne aucun détail si ce n'est qu'un "audit de sécurité [...] a révélé un risque potentiel d'exposition de certaines données d'authentification". En conséquence de quoi, une procédure d'escalade a été déclenchée, conduisant au renouvellement des identifiants des bureaux d'enregistrement. Entre la détection du problème, la mise en place de mesures correctives et la résolution de l'incident, 3 heures auront été nécessaires. Exceptionnellement, le support est resté disponible durant toute la nuit. 

Ce que cette histoire nous apprend c'est qu'une structure adaptée (moyens et personnel compétent), disposant des processus de contrôle (de sécurité) réguliers et de systèmes d'alerte performants, adossés à des procédures d'escalades et de résolution d'incidents (et/ou de crises) permettent généralement d'empêcher (ou du moins de contenir) qu'un incident de ce type passe du statut "sérieux" à "grave" ou "majeur". Après cela, qui osera encore penser que la sécurité est un coût avant d'être un investissement ?