Quel est le seuil pour invoquer l'article 5 de l'OTAN en cas de cyberattaque ?

Crise en Ukraine, "instabilité croissante au voisinage mériodional de l'Alliance, du Moyen-Orient à l'Afrique du Nord, menaces transnationales et multidimensionnnelles" (1). C'est manier la litote et enfoncer une porte grande ouverte d'affirmer que le dernier sommet de l'OTAN qui vient d'avoir lieu au Pays de Galles était attendu. Alors que l'édition révisée de "l'OTAN au 21ème siècle" rédigée par l'allié et ami Olivier Kempf (2) est une heureuse coïncidence, cet article se focalise sur la déclaration (3) du communiqué final qui autorise dorénavant l'invocation de l'article 5 à la suite d'une cyberattaque de l'un de ses membres.

Cyberespionnage : la Belgique a fait appel à l'U.S. Cyber Command

D'après le responsable du Service général du Renseignement et de la Sécurité (SGRS), un logiciel malveillant (sans plus de détails) aurait été découvert dans les systèmes d'informations de la défense belge. Devant sa complexité et les difficultés d'analyse de ses capacités (rétro-ingénierie, mécanismes, cibles, ...), les services belges ont fait appel au "grand frère américain". Les articles reprenant les éléments de langage (1)(2) évoquent l'U.S Cyber Command et la NSA. Là aussi et avec les réserves d'usage, un lien indirect en rapport avec l'affaire PRISM peut être interrogé.

Cybersécurité : signature d'un pacte OTAN - Australie

Le Secrétaire Général de l'OTAN, Andres Fogh Rasmunssen, vient d'achever une visite de 3 jours en Australie qui aura permis de souligner l'importance de la contribution australienne à l'ISAF en Afghanistan (1550 personnes dont un nombre important de Forces Spéciales) tout en préparant l'avenir.

Le retrait du guêpier afghan ayant commencé et avec une cible de retrait effectif en 2014, il est intéressant de noter la volonté des deux partenaires d'approfondir leurs liens. Ce renforcement se traduit par la signature d'une déclaration politique commune en vue de jeter les fondations d'un partenariat stratégique dans les prochaines années. L'accord porte sur une coopération renforcée dans la gestion des crises et des conflits, les situations post-conflictuelle, de reconstruction, d'assistance humanitaire et d'aide face aux catastrophes naturelles.

Pour lutter efficacement contre les cyber-attaques, commençons par virer les décideurs actuels !

C'est d'un surprenant direct du droit tout en faisant d'une pierre deux coups (au moins !) que Rose Gottemoeller fait une entrée remarquée sur la (de plus en plus) grande scène cybersécurité ! Elle assure depuis deux mois l'intérim du Under Secretary for Arms Control and International Security dont la mission est d'importance. Elle officie en effet en tant que conseillère spéciale du président Obama et de sa ministre de tutelle et des Affaires étrangères, Hillary Clinton, en matière de contrôle, de non-prolifération et de démantèlement des armements.

Elle vient d'achever une mini-tournée européenne d'une dizaine de jour qui l'aura conduite de Vienne à Moscou en passant par Londres et surtout Tallinn. La capitale de l'Estonie est devenue en quelques années l'une des places fortes mondiales en matière de cyberdéfense puisque y est localisé le Centre d'excellence cyber de l'OTAN (le CCDCOE). On y trouve aussi plusieurs établissements d'enseignement spécialisés en sciences des technologies et de l'information comme l'Estonian IT College. 

C'est lors d'une présentation à ce dernier que R. Gottemoeller a expliqué que "la stagnation pour contrer la menace croissante des cyber-attaques peut être imputée à la génération de décideurs en perte totale de contact avec les changements technologiques rapides" ! Elle a également ajouté que "la vérité est qu'il y a beaucoup de hauts-fonctionnaires dans de nombreux pays qui savent à peine utiliser un email ! Le changement viendra avec la nouvelle génération".

Son approche est de considérer que les technologies IT, open source ou les réseaux sociaux peuvent amplement permettre d'améliorer la surveillance, la vérification et l'expertise en ce qui concerne le contrôle des armements, qui est sa mission première. Des mots forts qui permettent à ce personnage de, peut-être, transformer son intérim en future titularisation tout en lançant plusieurs messages à différents destinataires. La résultante, en somme, d'un esprit brillant, spécialiste de la Russie*, coutumière des négociations de haut-niveau (donc des jeux politiques) et plutôt à l'aise avec les technologies de l'information. Au moins sur Twitter.

* le message délivré à Tallinn n'est évidemment pas le fruit du hasard mais relève bien d'une stratégie probablement plus générale dont R. Gottemoeller est l'un des nombreux rouages

Source : http://www.defensenews.com/article/20120402/DEFREG01/304020003/Cyber-Defence-Slow-Due-Generation-Gap-U-S-Official?odyssey=tab|topnews|text|FRONTPAGE

Exercice OTAN Cyber Coalition 2011 : quels enseignements ?

L'OTAN semble prendre l'habitude depuis 2008 d'organiser un exercice majeur dit de cyber-défense. Appelée Cyber Coalition, la version 2011 s'est tenue la semaine dernière (13-15 décembre) et hormis le communiqué officiel, rien n'a vraiment filtré. Face à un scénario d'attaques multiples sur des infrastructures critiques, l'exercice semble n'avoir été que procédural et organisationnel et avait pour objectif principal d'améliorer la gestion de crise et de tester les procédures de prises de décision.

Malgré le nombre important de pays participants (23) et de nations partenaires (6), l'on pourra s'étonner par le faible nombre des effectifs mobilisés au  QG du Shape à Mons et au QG de Bruxelles (une petite centaine de personnes) ainsi que dans les pays associés à l'exercice (une centaine de personnes également). On notera la présence d'un représentant de l'Union européenne en tant qu'observateur, "symbolique", probablement. Cette faible mobilisation du point de vue des effectifs est somme tout "logique" si l'on s'en réfère aux décisions prises depuis le sommet de Lisbonne en ce qui concerne l'approche Otanienne du cyberespace. C'est peut-être ainsi qu'il faut interpréter les décisions de juin 2011, consécutives à Lisbonne, et ayant permis d'élaborer une "politique claire" ? 

De manière plus discrète, et comme je l'envisage déjà depuis plusieurs mois, c'est bien le NCIRC qui devient le bouclier et aussi,  malgré les dénégations, le glaive actif de l'Alliance dans le cyberespace, d'autant plus qu'il sera sérieusement renforcé d'ici la fin 2012. Doté de nouvelles capacités, il deviendra alors le NCIRC-FOC (Full Operational Capability).

Cybersécurité en Europe : c'est maintenant ou jamais !

"Peu de hasard, beaucoup de nécessité"

J'ai toujours aimé cette phrase, tirée d'un essai de Jean d'Ormesson "Presque tout sur presque rien", livre foutraque traversé de fulgurances et de profondeurs métaphysiques qui soulignent l'esprit agile, passionné  et toujours jeune de cet Académicien presque "quadragénaire" !

Peu de hasard donc et assurément beaucoup de nécessité puisque d'un week-end studieux où j'ai pu préparer plusieurs articles, une idée tenace n'a cessé de m'accompagner, celle d'approfondir une question que je soulève par moments : quid de la cybersécurité sur le "Vieux Continent" ? Car à force d'observer, d'analyser et de communiquer régulièrement sur les avancées massives dans le domaine CyberSec aux États-Unis, ne se dessine plus un fossé mais bien un gouffre ! 

La crise ? Des enjeux mais surtout des opportunités !

En cette période de crise majeure  et protéiforme (financière, économique, politique , sociale, sociétale, etc.), la discipline budgétaire donc de gouvernance économique de la zone euro (les 17 + 9 ou les 27 - 1, au choix), associée à une convergence fiscale à moyen terme entre, au moins l'Allemagne et la France, peuvent être qualifiés d'un début de dynamique vers un fédéralisme, abhorré ou souhaité. 

Mon propos ici n'est pas de traiter cet aspect complexe et souvent passionnel pour lequel, d'ailleurs, je n'ai qu'un avis de citoyen trivial voire manichéen (pour ou contre). Je souhaite simplement souligner une opportunité parmi de multiples autres, peut-être unique, car une crise, quelles que soient ses dimensions et son ampleur, est aussi un moment unique d'entreprendre, d'innover et de créer pour s'adapter (voire inventer) aux nouvelles règles en gestation  d'un environnement décomposé qui se recompose. 

Tâchons donc de relever si parmi la multiplicité des enjeux la problématique cybersécurité apparaît aux yeux des politiques comme un enjeu stratégique (à l'instar des USA) pour lequel se joue aussi une partie du destin commun et d'une certaine idée de l'Europe ? Si ces initiatives en cybersécurité existent, quelles sont-elles ? A l'inverse, une véritable volonté politique ne pourrait-elle (devrait ?) pas servir de levier pour de nombreux autres domaines (l'industrie la recherche, etc.) ? S'interroger c'est déjà y répondre mais si une certitude existe c'est que l'Europe doit dès à présent investir et développer sa puissance en unissant ses multiples ressources afin de protéger efficacement les citoyens d'aujourd'hui et les générations à venir.

De la vitrine crétoise au No Man's Land : la cybersécurité en Europe

Reconnaissons tout d'abord que des structures, adossées à un mandat (ou une stratégie),  existent mais qu'elles sont essentiellement nationales, avec une apparente  volonté politique plutôt faible de converger à un niveau supérieur (européen au sens large, communautaire, autre). 
Au niveau communautaire existe l'ENISA depuis 2004, une belle vitrine le plus souvent silencieuse dont 99,95% des Euro-citoyens ne connaissent même pas l'existence. Cet organisme n'a qu'un mandat limité, et ne produit le plus souvent que des analyses techniques, des avis sur les vulnérabilités (il dispose d'un CERT connecté aux CERTs de ses membres) et des recommandations que ses membres sont chargés de décliner ou d'appliquer au niveau national...ou pas.
Passons rapidement sur le processus de Tallinn, censé organiser et développer la thématique "Infrastructures critiques" au sein de l'Union, et qui semble mort-né. Enfin, il y a la création annoncée à la fin de cet été d'une  super Agence IT européenne pour la "Justice, les libertés et la sécurité" localisée à...Tallinn, près du centre cybersécurité de...l'OTAN. 

Malheureusement, en l'absence de volonté au plus haut niveau, que ce soit à la Commission européenne, au Conseil de l'Union européenne (gouvernements) ou au Conseil européen (les Premiers ministres et Président(s)), il est à craindre qu'il faudra un incident, un accident ou une crise majeure pour faire bouger les choses.

Arrêtons les postures et les créations mort-nées : fédérons l'existant !

Pourtant nul besoin d'inventer ou de créer quelque chose ex nihilo car existent déjà l'essentiel des structures, des acteurs et des moyens. Seule manque une volonté traduite en initiatives suffisantes pour amorcer une véritable dynamique. On pourrait, par exemple, créer des pôles transverses à l'image de l'initiative CASED en Allemagne, dans le Länder de Hesse. Réunis autour de trois pôles technologiques universitaires, étudiants, chercheurs, ingénieurs, criminologues et experts sont réunis dans ce pôle d'excellence "à l'allemande". Le modèle de pôle d'ailleurs, va plus loin que les pôles de compétitivité " à la française" qui malgré d'indéniables réussites possèdent, à mon sens, deux handicaps sérieux : la collaboration hors des frontières est timide et peu encouragée et le ministère de l'Éducation n'est pas directement associé aux travaux  (essaimage, création de filières ad hoc dès le lycée, etc.). A l'inverse, CASED s'appuie sur un réseau d'expertise international extrêmement sérieux et développé.

Sans présager des annonces, de leurs effets, de la réalité et des postures, que l'on ne se méprenne pas sur ma critique : elle n'a pour seul objet que d'encourager une initiative  à l'échelle européenne forte, viable et réelle sans s'interdire des coopérations internationales. Il est encore temps d'agir sans attendre de devoir réagir et, surtout, sans laisser une structure militaire (OTAN) conduire les débats qui doivent rester cantonnés au niveau civil et citoyen. Malgré de telles tentatives aux USA (j'y reviendrai très bientôt), le politique a tranché en séparant explicitement périmètres opérationnels et juridictions : les réseaux militaires au Pentagone, les réseaux fédéraux et gouvernementaux au DHS. 

Prenons garde que le gouffre auquel je faisais allusion en introduction ne devienne pas la fosse des Mariannes au-dessus de laquelle nous n'aurons d'autres choix que de faire appel à des moyens et des ressources extracommunautaires.

Note : vous pouvez également retrouver cet article sur le site de l'Alliance Géostratégique.

Cybersécurité européenne : oui mais non !

Sans annonce excessive et dans une relative discrétion, l'Alliance atlantique est en train de franchir une étape supplémentaire dans la mission qui lui a été confiée dans le cyberespace. C'est sous l'impulsion du NC3A, l'une des agences les plus importantes de l'OTAN, que la MN Cyber Defence
Capability Development Initative (Initiative de Développement d'une Capacité Multinationale de Cyberdéfense) vient d'être lancée.

Une présentation détaillée est disponible ici mais, avant de revenir une prochaine fois sur le contenu de ce document, c'est un tout autre rapprochement que cette information provoque. Il s'agit d'une interrogation, dont ce blog se fait l'écho depuis le sommet de Lisbonne en novembre 2010, quant aux initiatives concernant la cybersécurité en Europe.

Une information, relayée par Cidris, concerne la création d'une nouvelle agence européenne, en complément de l'ENISA. Cette nouvelle agence, qui sera chargée de la gestion opérationnelle des Systèmes d'Information, devrait traiter en particulier du volet stratégique lié aux infrastructures critiques.

Il me semble que la tendance que j'anticipe depuis un moment soit en train de se confirmer puisque le siège de cette nouvelle agence se trouve à Tallinn. C'est aussi dans la capitale  de l'Estonie que se trouve, entre autre, le NCIRC qui n'est autre que le CERT de l'OTAN. Ou plutôt une sorte de CERT++ puisque doté de capacités offensives renforcées.

Faut-il y voir une incroyable coïncidence ? Évidemment non. Il va sans dire que la responsabilité de chacun des pays de l'Union européenne en matière de cybersécurité est en train de devenir discrètement consubstantielle à l'OTAN. Ce n'est pas forcément ni tout noir ni tout blanc puisque chaque gouvernement est parfaitement informé des enjeux et des implications d'un tel mouvement.

On peut cependant se poser trois questions simples :

1) Est-ce que chaque citoyen européen est (au moins) informé de ces évolutions avant  d'être entièrement mis devant le fait accompli ?

2) La nouvelle agence européenne disposera-t-elle de réels pouvoirs (voire contre-pouvoirs) ou sera-t-elle une simple chambre d'enregistrement ?

2) Est-il normal que les États-Unis disposent quasi-directement des leviers de défense et peut-être d'attaque concernant la cybersécurité européenne ? Autrement dit, n'y-a-t-il  pas un risque majeur d'une certaine perte de souveraineté ?

Si le non est majoritaire à ces trois questions, c'est qu'il y a comme un problème...

Opérer dans le cyberespace : la stratégie du Pentagone

Une partie de la sphère connectée, attentive aux problématiques de cybersécurité, attendait avec une certaine impatience la déclinaison par le Pentagone de l'Executive Order du président Obama de mai dernier. C'est le 14 juillet, jour de fête Nationale en France, que le document de 13 pages a été publié. Il faut d'ailleurs noter qu'il s'agit d'une version "Tout public" et que le document complet n'est pas accessible au commun des mortels. On peut raisonnablement penser qu'il y aura quelques fuites, savamment orchestrées, dans les semaines et mois qui viennent.

La lecture de ce document sobrement intitulé "Department of Defense Strategy for Operating in Cyberspace" (Stratégie du Ministère de la Défense pour opérer dans le cyberespace) a suscité des commentaires et des analyses et j'aimerai y aller de mon couplet (l'analyse viendra dans un prochain billet, en cours de rédaction).

On relèvera, pour le moment, que la stratégie du Pentagone s'appuie sur cinq piliers, appelés "Initiatives Stratégiques", qui peuvent être traités indépendamment les uns des autres : 

- Initiative Stratégique n°1 : le cyberespace devient un domaine opérationnel à part entière au même titre que la terre, les océans, le ciel et l'espace. Il doit dorénavant être traité comme tel ("organisé, entraîné et équipé"). Je reviendrai ultérieurement sur ce point puisque, contradiction ou non, le secrétaire adjoint à la Défense (William J. Lynn III) nous explique le plus sérieusement du monde que la stratégie n'a pas pour but de militariser le cyberespace !

- Initiative Stratégique n°2 : employer (donc concevoir) de nouveaux concepts opératifs pour protéger les réseaux et systèmes de la Défense.

- Initiative Stratégique n°3 : établir des partenariats inter-agences (fédérales), avec les autres ministères et le secteur privé.
- Initiative Stratégique n°4 : Développer de solides relations avec les Alliés (OTAN et au-delà : Russie, Inde, Brésil ?) et des partenaires internationaux pour renforcer la cybersécurité collectivement. 
- Initiative Stratégique n°5 : utiliser la créativité et encourager la recherche pour développer rapidement des nouvelles technologies (la Silicon Valley est particulièrement évoquée). 

OTAN : Cyber Security Strategic (le livre)

Sans surprise aucune, l'OTAN vient de publier un livre intitulé "Cyber Security Strategic" qui risque de se révéler aussi que décevant que passionnant.

Décevant parce que le premier survol que je viens de faire du document confirme les craintes que ce blog souligne depuis plusieurs mois : la cybersécurité au niveau de l'Union européenne relève plus d'une douce utopie que d'une volonté politique (inexistante par ailleurs, sur ce sujet...comme tant d'autres ?) et c'est l'OTAN qui est chargée de donner la cadence, ce qui tombe bien, pour une organisation militaire ! Et qui dit OTAN dit les...USA*!

L'auteur, Kenneth Geers, est le représentant américain auprès du CCDCOE de Tallinn. Détaché du NCIS (qui n'est pas qu'une série américaine mais bel et bien l'organisme chargé des enquêtes criminelles de la Navy !), son livre transpire la vision américaine, dont la doctrine se matérialise depuis le mois de mai. Les exemples pris traitent des thématiques et des problématiques récurrentes du point de vue américain : l'Arabie saoudite qui a élaboré un Firewall national à finalité religieuse (conformité avec les règles de l'Islam), des agents de la NSA qui jouent les attaquants lors d'un cyber-exercice en se faisant passer pour des...Nord-coréens. Puis enfin Moscou, la Chine, l'Iran (et Stuxnet) et la Corée du...Nord, encore ! Ces mots-clés revenant beaucoup tout au long de la première partie du livre.

Venons-en, tout de même, aux aspects intéressants voire passionnants de ce livre qui portent sur les stratégies possibles de mitigation des risques, pouvant se résumer ainsi : 

- IPv6 comme solution technique ? Réponse : le protocole solutionne bien une partie de la problématique mais soulève aussi de nouveaux problèmes.

- La cyber-dissuasion peut-elle empêcher ou interdire les cyber-attaques ?

- Le cyber-contrôle (comme pour les armes chimiques) avec les délicates notions de prohibition et d'inspections.

- Enfin, une tentative intéressante de transposition des principes de l'Art de la guerre de Sun Tzu au cyber-espace. Certains des principes peuvent s'appliquer, d'autres comportent des limitations, enfin une partie ne le sont pas du fait des spécificités de l'Internet comme champ de bataille (rapidement évolutif, topologie mouvante, innovations techniques, etc.).

La dernière partie du livre porte sur l'utilisation de la méthodologie DEMATEL qui a pour objet d'évaluer la pertinence des mitigations face aux risques relevés. La méthode permet la réduction des risques en terme d'influence directe et indirecte, avec une échelle de calcul assez simple. Grâce à cette méthodologie, la conclusion de ce livre est que la dissuasion, le contrôle ou l'Art de la guerre appliqués au cyber-espace ont une portée limitée. Seul le protocole IPv6 semble trouver grâce aux yeux de l'auteur puisque, d'après lui, il permet de réduire assez fortement l'anonymat qui est, pour le moment, le vrai talon d'Achille de la cyber-défense. N'étant pas spécialiste de l'IPv6, j'aimerai un avis d'expert sur le sujet : n'hésitez-pas à réagir et partager toute connaissance avérée sur le sujet !

Que dire de plus si ce n'est qu'il est dommage de constater ce "laisser-faire, laisser-aller" vers une cyber-défense européenne à la mode OTAN. Mais il est vrai qu'à force de construire des réponses nationales** à coup de déclarations d'intention "pressantes" ou de vagues coordinations, mêmes sincères, la cybersécurité made in Europe risque de n'être qu'une chimère de plus.

* "[...] l'impression que l'OTAN, au moins en cybersécurité, est une simple courroie de transmission des USA", déjà le mois dernier ou en novembre 2010 !

** derniers en date, les Pays-Bas (après le Royaume-Uni, la France ou l'Allemagne).

Cyber-espionnage "temps de paix" ?!

Les USA, grands communicants devant l’Éternel, ont beau maîtriser l'art et la manière de peindre la toile qui illustrera au mieux le storytelling choisi, il semble cependant assez évident que le cyber-espace et les enjeux liés à se conflictualité sont un sujet pour le moins...délicat !

Tandis que je tentais, imparfaitement, vendredi dernier d'analyser l'Executive Order signé le mois dernier par le président Obama, des éléments de réflexion supplémentaires sont apparus durant le week-end. Un article de TheAtlanticWire résume parfaitement les 3 points clés qu'il faut (faudrait ?) retenir pour le moment. Pour le moment, puisque le Pentagone doit prochainement publier la déclinaison de l'Executive Order en règles d'engagement opérationnelles et que l'été apportera peut-être un autre lot de "fuites" savamment orchestrées.

Les 3 points clés sont les suivants :

- S'assurer régulièrement que les routes (vers les réseaux gouvernementaux et militaires) du pays-cible (je ne vois pas d'autre traduction contextuelle à "another country") sont "praticables" à tout moment via l'envoi de requêtes non-malveillantes. Ceci en vue de lancer une contre-attaque éclair. L'article parle d'espionnage en temps de paix (Peacetime Espionage) pour cette activité.

- L'autorisation de mesures de rétorsion en lançant des attaques ou des contre-attaques avec la particularité que les USA s'arrogent le droit de poursuivre virtuellement les attaquants, même (et surtout) à l'intérieur du pays d'où proviendrait l'attaque.

- Enfin, le fait de ne pas lancer d'attaque ou de contre-attaque via les réseaux, systèmes et serveurs d'un "pays neutre" c'est à dire qui n'aurait pas donné son autorisation à ce type d'action.

La partie "rétorsions" est la moins surprenante puisque nombre de spécialistes se sont focalisés sur ce point alors, qu'à mon avis, les autres parties sont tout aussi intéressantes, si ce n'est plus. On remarquera d'ailleurs la belle hypocrisie de langage qu'il y aurait à distinguer un cyber-espionnage "en temps de paix" et un cyber-espionnage "en temps de guerre". Il s'agit bel et bien de la même activité qui est de reconnaître les chemins d'attaque vers les pays-cibles et de s'assurer que l'ensemble des informations dont disposent les USA sont à jour "au cas où".

Enfin, la partie sur les "pays neutres" est soit un non-sens soit, là aussi, une belle hypocrisie pseudo-légaliste : le Pentagone, via l'U.S. Cyber Command, voire le DHS (le périmètre "géographique" du DHS semble, en fait, assez fluctuant) ne sera pas autorisé à lancer une cyber-attaque via un pays qui ne l'aurait pas autorisé. Le Pentagone ou le DHS non, mais la CIA ?
 

On atteint là les limites d'un exercice, certes délicat, de communication tout azimuts alors que la stratégie générale n'apparait pas vraiment finalisée* ou reste encore perfectible. A moins, évidemment, que tout ceci ne soit qu'un immense iceberg où la partie immergée reste invisible aux yeux du commun des mortels ?


* on lira avec intérêt (en anglais) les auditions effectuées par la sous-commission "Cybersécurité" du Sénat. Des critiques, émises par Mélissa Hathaway, soulignent le flou que j'évoquais plus haut. En particulier sur le rôle du DHS. Je veillerai, si mon agenda le permet, à produire une courte analyse sur ces auditions.

Cybersécurité USA : les règles (officielles) d'engagement signées

Le mois dernier, le gouvernement Obama annonçait une série de mesures dans le domaine de la cybersécurité. Les mesures étant déclinées sur le plan défensif et offensif, c'est ce dernier point qui avait surtout retenu l'attention de certains média (traditionnels et Internet).

La riposte à coups de missiles, pas seulement conventionnels (?!), en réponse à une attaque sur l'infrastructure de production et de transport de l'électricité avait choqué plus d'un commentateur avisé. Je demeure toujours convaincu que cette image est avant tout l'interprétation de "toute cyber-attaque d'origine étatique pourra être considérée comme un acte de guerre".

Il semblerait que des fuites savamment organisées (forcément) épaississent un peu plus le brouillard* puisque l'on en apprend un peu plus sur l'Executive order, portant sur la cybersécurité, et signé le mois dernier par le président Obama. En lieu et place de missiles, il y est surtout question des réactions militaires autorisées en fonction de certaines cyber-attaques : celles-ci vont de l'emploi des capacités cyber-offensives à la conduite de missions de renseignement (espionnage = usage CIA).

Dans tous les cas, toute réaction devra avoir reçu une autorisation présidentielle et, même si l'ensemble des règles ne sont pas encore connues, une cyber contre-attaque américaine passant par un autre pays devra avoir l'aval de celui-ci. Sur le principe de ce qui se fait du point de vue de l'aviation militaire américaine qui doit, normalement*, obtenir l'autorisation de passage dans l'espace aérien du pays survolé.

Ce dernier point me plonge dans une grande perplexité puisque les attaques peuvent être menées très rapidement et qu'un pays comme les USA, inventeur - entre autre - de l'Internet, possède les outils les plus pointus pour camoufler de possibles attaques de son territoire. Disons que dans ce cadre, on est plus dans une réponse de type "communication officielle" avec, optionnellement, l'implication des alliés (au hasard : l'OTAN).

Étrangement*, les règles d'engagement de la CIA n'apparaissent nulle part. Sachant que cette dernière possède les propres siennes (également sous Executive order mais de niveau...secret !) dans le cyber-espace et qu'elles sont moins contraignantes que celles qui s'appliquent aux militaires. Alors peut-être qu'un jour, oui, en réponse à une cyber-attaque, l'un des (nombreux) drones employé par "l'Agence" balancera son ou ses missiles sur un data-center militaire. Ou, en tout cas, sur une cible de valeur militaire voire politique.

* on notera avec une certaine gourmandise que la discrétion induite par le brouillard n'empêche aucunement de jouer à "ma main droite ne voit pas ce que ma main gauche fait" ! Mais qu'aussi, Tom Clancy est un visionnaire ! ;)

Cyber-espace : la prochaine "War on Terror(ism)" ?

Pour un peu, on pourrait croire que l'OTAN me lit ! Ce qui est, en fait, sûrement vrai à travers l'une ou l'autre de ses cellules de veille :) Quoiqu'il en soit, un nouveau communiqué à l'issue de la réunion des ministres de la Défense de l'Alliance la semaine dernière, a été publié vendredi 10 juin (le lendemain donc de mon billet précédent, ci-dessous).

Dans le fond, ce communiqué n'apporte pas grand chose de plus puisqu'il ne fait que reprendre les différentes étapes ayant eu lieu depuis le sommet de Lisbonne, en novembre 2010. Je relève néanmoins deux éléments significatifs : le premier répond à l'une de mes interrogations, à savoir si une nouvelle structure allait être créée pour centraliser la protection des différentes entités otaniennes. La réponse est négative. Ce qui sous-tend qu'il faudra faire avec l'existant. Une conséquence des multiples opérations en cours (d'un coût financier exceptionnel) dans un contexte de réductions budgétaires drastiques ?

Le second point qui m'interpelle et qui interpellera, je le pense, les membres d'AGS (Alliance GéoStratégique) qui me lisent, concerne la place de la "brique" cyber dans l'organisation (et les concepts d'emploi) de l'OTAN. Les cyber-attaques sont désormais considérées comme une forme permanente d'opérations de guerre de basse-intensité ! Et cette "classification" n'est pas anodine, loin s'en faut. Car qui dit opérations de guerre dit ennemi(s) !

Dans le fond, peut-on dorénavant considérer que le terrorisme (d'essence extrémiste et religieuse) est sous-maîtrise ? Ou du moins, réduit à un périmètre géographique et spatial limité ? Et que les formidables moyens (financiers puis technologiques et enfin humains) développés puis mis en œuvre, depuis bientôt une décennie, portent leurs fruits ? J'ai tendance à le penser et je ne suis sûrement pas le seul. 

Dans ce cas, quelle sera la nouvelle frontière, le prochain "ennemi" ? Le cyber-espace et sa cohorte d'attaques incessantes et permanentes, lieu de beaucoup de fantasmes mais aussi de manœuvres réelles et dilatoires, me semble être le bon candidat, avec un dossier solide et de sérieuses références  !

Trackback : OTAN et Cyber Défense sur le blog ami Cidris-Cyberwarfare

OTAN : une nouvelle politique de cyber-défense ?

L'OTAN, qui sait parfaitement communiquer sur ses opérations en cours (Afghanistan ou Libye), devient beaucoup moins prolixe lorsqu'il s'agit d'évoquer le cyber-espace. Pour celles et ceux qui suivent régulièrement ce blog, j'essaie tant bien que mal de suivre les évolutions otaniennes en regard de cette thématique. Hormis la dernière communication au mois de mars où j'estimais les choses avancer enfin (un cadre précis et des intentions explicites), je suis beaucoup plus sceptique sur les annonces faites hier.

Hier et aujourd'hui à Bruxelles, les ministres de la Défense des membres de l'OTAN ont eu, entre autres sujets, à faire un point sur les actions en cours dans le domaine de la cybersécurité. Ceux-ci ont adopté la révision de la politique en terme de cyber-défense qui, dorénavant, "apporte une vision claire quant aux efforts que l'OTAN doit fournir dans ce cadre". Passons le fait qu'on pourrait l'entendre comme n'étant pas le cas jusqu'à présent (indice 1), on y apprend que cette nouvelle politique offrira "une approche coordonnée en cyber-défense avec un focus sur la prévention des cyber-menaces et la résilience" (des infrastructures de transport et de communication IP - ou autres - ? Celles-ci me semblent en être la cible).

Chaque structure de l'OTAN sera sous protection centralisée (entité à créer ?) et de nouvelles exigences en terme de cyber-défense seront appliqués.La nouvelle politique "clarifie les mécanismes politiques et opérationnels en termes de réponse en cas de cyber-attaques" (ce qui ressemble furieusement au décret de février 2011 portant sur les attributions élargies de l'ANSSI et la clarification juridique du "qui fait quoi").

Enfin, la politique établit les principes de coopération avec les partenaires nationaux respectifs (donc type ANSSI, GCHQ, etc.) mais aussi avec les organisations internationales (lesquelles ?), le secteur privé et académique. (Indice 2 : cela ressemble là aussi furieusement aux récentes orientations américaines dans le domaine). En parallèle à cette politique, un plan d'action a été adopté. Il servira d'outil afin d'assurer la mise en œuvre effective et dans les temps de la politique.

Pour conclure, et même si mes "indices" sont plus de l'ordre du ressenti, ce communiqué donne l'impression que l'OTAN s'est accordée a minima sur la cybersécurité (qui, remarquez-le, est appelé cyber-défense, on est chez les militaires, après tout ! :). Les annonces me semblent très (trop) politiques et bien moins "concrètes" (c'est certes relatif) qu'en mars dernier. Quid, par exemple, de l'appel d'offres qui devait être publié le mois dernier ? Si quelqu'un me le trouve ou a des informations, merci de le faire suivre : je réviserai l'impression que l'OTAN, au moins en cybersécurité, est une simple courroie de transmission des USA et qu'hormis la protection des infrastructures (de nature critiques), le concept et la doctrine définies depuis l'année dernière ont beaucoup de mal à être déclinés opérationnellement. Tout cela sent les effets d'annonce et le saupoudrage cosmétique !

Trackback : IPv6 et OTAN chez Cidris-Cyberwarfare

ENISA : les pieds dans le tapis (de la souris)

On ne peut que se réjouir lorsqu'une agence comme l'ENISA souligne ses inquiétudes quant aux multiples faiblesses de l'Internet en général ("la jungle" de son infrastructure) et de ses défauts "génétiques" d'origine ("le gruyère" de ses multiples vulnérabilités - exploitables - de conception).

On se sent également moins seul dans la forêt :) lorsque le réseau des réseaux est abordé sous l'angle d'un moyen de communication devenu essentiel au commerce et, plus généralement aux activités humaines, et qu'il est de plus en plus soumis à une insécurité permanente et criminelle. Réseau dont il est salutaire de se préoccuper de sa capacité de résistance à fonctionner de manière dégradée (la fameuse résilience) afin de fournir les besoins essentiels de l'énergie, des transports, de l'économie et enfin du système de santé.

Il est bon, cependant, de s'interroger sans fausse naïveté sur ces dites inquiétudes lorsqu'elles portent aussi (et peut-être surtout ?) sur le déficit d'informations de la topologie (c'est ma traduction incertaine de "size and shape") d'Internet et de sa complexité technique liée à la multiplicité de ses couches (modèle ISO) et de ses protocoles.

Il devient peut-être également essentiel de se préoccuper de savoir pourquoi il faudrait un "centre d'opérations réseau central" qui lutterait contre les cyber-attaques et chercherait à établir des bonnes pratiques ? Surtout quand est souligné le côté décentralisé et ouvert ayant conduit à la création et au succès d'Internet ?!

L'ENISA recommande donc des mesures techniques (R&D dans les domaines de l'inter-routage, l'ingénierie du trafic et des flux, la redirection et la prioritisation), une réflexion sur les aspects légaux et juridiques et, bien-sûr, une amélioration des échanges internes à l'Union européenne et avec...les USA ("transatlantic relations") !

Enfin, l'agence européenne recommande de prendre comme socle commun le concept stratégique de cybersécurité en cours de développement au sein de l'OTAN. Ce qui, au passage, semble donner corps à mes interrogations et hypothèses ces derniers mois.

Que penser de tout cela ?

Primo que l'Union européenne confirme sa prise de conscience plutôt ancienne de la problématique insécurité dans le cyberespace et de ses possibles impacts dramatiques/désastreux dans la "vie réelle" en cas de crise ou de sinistre majeur. Il est d'ailleurs possible que des dissensions politiques internes à l'UE ou que de bien tristes considérations budgétaires n'en ont pas fait un sujet à traiter en priorité. Maintenant que l'actualité cybersécurité des derniers mois donne corps à un scénario prospectif de plus en plus anxiogène, il me semble que l'ENISA tente de donner le change (ou fait diversion ?) puisque l'OTAN s'est déjà emparée du sujet et le fait avancer dans la pénombre.

Secundo qu'il ne faut pas être nécessairement paranoïaque pour deviner qu'un contrôle total de l'Internet, via une surveillance efficace, séduit de nombreux décideurs. Qui, pensent-ils/elles à tort, régleraient du même coup cette problématique croissante.

Tertio, on nage de fait dans ces eaux troubles et orwelliennes qui me confortent dans une autre hypothèse prospective : dans une dizaine d'années, l'Internet que nous connaissons n'existera plus sous sa forme actuelle. Un ensemble de réseaux possiblement propriétaires  et à l'échelle "régionale" (au niveau planétaire s'entend) se sera développé. L'Internet initial redeviendra alors la Terra Incognita de ses débuts, ce gigantesque Far-West en devenir avec ses bons, ses brutes et ses méchants. Mais au moins, veaux, vaches et cochons seront bien gardés !

PS : un hommage appuyé et dans la même tonalité à ce billet de Sid et à cet article, point de départ de mes réflexions.
Edit : on lira avec intérêt le billet sur le même sujet de Rénald Boulestin sur ITExpresso.

Cyber-défense de l'OTAN : ça progresse

Les ministres de la Défense des pays membres de l'OTAN se sont réunis les jeudi 10 et vendredi 11 mars à Bruxelles. Ont été confirmées la poursuite des discussions quant à la défense anti-missiles (balistiques) et la volonté réaffirmée de quitter l'Afghanistan à l'horizon 2014.
 

Le plus intéressant, de mon point de vue, ne se trouve  cependant pas là et découle directement du sommet de Lisbonne en novembre 2010. Les ministres  réunis à Bruxelles  semblent avoir principalement travaillé sur les capacités de l'Alliance en terme de cyber-défense en approuvant les points suivants :

- Protection des réseaux et des systèmes d'information de l'Alliance en tant qu'élément fondamental de la cyber-défense;

- Mise à jour du concept et de la politique afférente datant de  janvier 2008; établissement d'une stratégie, ces deux points devant être approuvés en juin lors de la prochaine réunion des ministres de la Défense;

- Prise de conscience de la rapidité d'évolution des menaces et de ses dangers croissants;

- Importance de la coopération entre membres et avec les organisations internationales spécialisées;

- Nécessite d'intégrer les cyber-menaces à l'ensemble des projets de l'OTAN.

Alors que le sommet de Lisbonne m'avait laissé sur ma faim en raison des intentions affichées plus que des décisions réelles, il faut croire que les cyber attaques incessantes (et médiatisées) menées contre les Etats-Unis, le Canada, la France, le Royaume-Uni ou la Corée du Sud (la liste n'est évidemment pas exhaustive) font que l'insécurité globale  et les risques encourus nécessitent un traitement adapté et une accélération des mesures de défense.

Concrètement, des actions à court et moyen terme  ont été décidées : publication d'un appel d'offres de 30 millions €, dont on ne connaît pas encore le contenu, mais qui devrait sortir début mai et sera dédié à la cyber-défense. Enfin à l'horizon 2012, l'OTAN sera dotée d'un centre opérationnel de type CERT, probablement  basé sur le NCIRC mais doté de moyens et de capacités bien plus importants.

http://www.nato.int/cps/en/natolive/news_71432.htm?

http://www.defensenews.com/story.php?i=5936029&c=EUR&s=TOP

La cybersécurité en France et en Europe : déclassement ou opportunité(s) ?

Alors que sur le Vieux Continent on cherche tant bien que mal à se positionner dans la lutte contre les cyber-menaces, les États-Unis et plus singulièrement le "DoD" (Department of Defense / Ministère de la Défense), communiquent à un autre niveau mais surtout progressent rapidement. J'y reviendrai dans un prochain billet.

Une première parenthèse : on peut même penser que les évolutions de la "Sainte Trinité" (doctrine / moyens / capacités) devancent la communication car aussi grands communicants soient-ils, l'avance technologique et/ou capacitaire et la protection du secret demeurent aussi l'une de leurs forces.

Une seconde parenthèse concerne une précision, liée à l'un des mes précédents billets abruptement (mais justement, je maintiens ma position !) intitulé "Oui-Oui et les cyber-menaces". Je me moquais gentiment de l'agence européenne pour la sécurité des réseaux et de l'information (ENISA) et de son homologue française, l'ANSSI. Ces deux entités, aux missions assez différentes mais complémentaires, souffrent de handicaps majeurs : pour l'ENISA c'est d'être une agence intégrée européenne avec ce que cela induit en terme de stratégie(s) et de décision(s). Depuis sa création, l'ambition initiale a vite été confrontée à la réalité : légitimité des agences nationales et des CERT, budgets modestes, objectifs vite revus à la baisse. Comme d'autres agences en leur temps, celle-ci devra à l'avenir trouver sa place parmi les dispositifs nationaux, sous peine de n'être qu'un nouveau "machin".

Pour l'ANSSI, c'est plus compliqué : feue la DCSSI possède une légitimité sur la scène nationale et au-delà, une expertise reconnue mais l'inconvénient majeur de n'avoir pas une taille critique. Les budgets sont certes en hausse et le nombre de postes ouverts a sensiblement augmenté ces dernières années mais tout cela n'en fait pas le fer de lance que la France, "cinquième puissance économique mondiale", est en droit d'attendre. D'autant plus qu'en Europe, elle est un acteur mais aussi une cible pour des menaces allant du terrorisme en passant par le renseignement économique et industriel. Et que les réseaux et les systèmes d'information sont au cœur de ces problématiques.

Est-ce que pour autant les dès sont jetés ? Nous pouvons le craindre, malheureusement. En particulier quand on sait que l'OTAN, lors de son dernier sommet, a placé la cybersécurité comme l'un des domaines d'importance que l'Alliance va devoir adresser.

Alors d'un côté, on peut laisser aller et se dire que conserver une petite agence au niveau national, intégrée dans un système otanien doté de moyens et de ressources plus importantes, est du bon sens. Surtout à l'heure où les économies sont partout annoncées.

D'un autre côté, certains décideurs (et leurs conseillers) ont-ils bien mesuré l'intérêt que la France (et certains de ses voisins européens) aurai(en)t à se lancer dans le train de la lutte contre les cyber menaces ? Car derrière ce qui peut paraître abscons et extrêmement virtuel, des emplois de haute-technicité et des nouveaux outils (concepts, méthodologies, technologies) sont à intégrer et à créer. Et ce savoir-faire pourrait être, en partie, exporté (donc vendu) par la suite.

A croire que l'adage "la sécurité est un coût, pas un investissement" demeurera inscrit encore longtemps dans le marbre !

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...

Cyber intentions au sommet de l'OTAN à Lisbonne

Le prochain sommet de l’OTAN aura lieu à Lisbonne les 19 et 20 novembre et accueillera un invité de marque : la Russie. Certains spécialistes se font l’écho depuis des années des avantages voire de l’expression naturelle qu’il y aurait d’intégrer la Russie à l’OTAN. Géographiquement et historiquement cette hypothèse est pleine de bon sens tandis que du point de vue politique et culturel, des réserves se font jour.

Mon propos du jour est cependant tout autre puisque ce sommet essaiera, parmi les autres thèmes, d’unifier à travers un accord le besoin de coordonner la lutte dans le cyberespace. 

C'est en tout cas ce que laisse entrevoir William Lynn dans l'interview plus qu'intéressante donnée à Foreign Affairs.

Là où le bât blesse gravement, c’est que bien peu de choses empêcheraient qu'un tel accord soit conclu mais qu’en serait-t-il des moyens traduisant ces bonnes intentions ? On peut maintenant parfaitement mesurer le chemin parcouru ces dernières années par le sponsor principal de l’Alliance, les Etats-Unis : celui-ci s’est doté d’un commandement militaire unifié, s'appuie déjà depuis des années sur le DHS pour la collaboration inter-agences, a élaboré une doctrine d'emploi (si ce n’est plusieurs) et abonde un budget qui, s’il n’est pas encore monstrueux, est tout à fait respectable. 

De deux choses l’une : soit l’on risque d'assister à une dépendance complète de l’Europe vis-à-vis des moyens technologiques et financiers, sans compter la possible (dés)information quant aux cybermenaces et à leurs propriétaires avérés, désignés ou supposés. Autre hypothèse, il est encore possible de construire une force autonome, adossée à une hypothétique défense européenne, force qui travaillerait en coopération avec les américains (et pourquoi pas les russes ?) tout en conservant le regard critique et en développant ses moyens techniques et surtout en conservant une autonomie de décision ?

Il va sans dire que les restrictions budgétaires actuelles, particulièrement les budgets de la défense au niveau de l'UE, et le silence assourdissant de l'hôtel de Brienne ou du Quai d'Orsay ne semblent pas plaider pas pour une telle hypothèse !

Edit : Wired évoque ce jour-même l'existence d'un rapport fédéral (draft = avant-projet, brouillon) qui annoncerait une diminution importante des cyber attaques contre le département de la Défense U.S. Il s'agirait de la première année de la décennie où les "incidents liés à la de la cyber-activité malveillante" seraient en baisse. Paradoxe apparent à l'heure où la mobilisation se déchaîne depuis plusieurs mois. Je retiens l'hypothèse  évoquée en conclusion de l'article d'attaques moins nombreuses mais potentiellement plus sophistiquées et ciblées.