Renforcement des capacités cyber de l'Iran : l'échec Stuxnet

Si l'hypothèse, jamais confirmée jusqu'à présent [1], que l'opération Olympic games [2], menée de concert par la NSA, la CIA et quelques autres agences tant étasuniennes qu'étrangères se révélait étonnamment confirmée, quelle a pu en être l'analyse des résultats par ses géniteurs : quasi-succès ? semi-échec ? [3] Historiens et stratégistes tenteront bien d'y répondre un jour mais, s'il y a bien une certitude d'échec, elle concerne en premier lieu l'effet collatéral de l'emploi de Stuxnet, assurément mal voire non estimé : la volonté politique du pouvoir iranien de réduire sa vulnérabilité aux cyberattaques sophistiquées ET la nécessité de se doter de capacités offensives - dignes de ce nom - dans le cyberespace.

Cyberattaque SCADA Ukraine : attribution, piège à ... ?

L'actualité cyber depuis la période des fêtes de Noël 2015 est principalement marquée par une cyberattaque coordonnée qui se serait produite sur de multiples sites distribuant l'électricité en Ukraine. Avec pour conséquence de ne plus pouvoir fournir de l'électricité à quelques milliers de civils et durant plusieurs heures. En dépit de nombreux articles parus ces derniers jours, beaucoup qualifiant d'ailleurs la cyberattaque comme étant d'origine russe, il parait nécessaire, une fois encore, de raison garder et de faire preuve de la plus grande prudence quant à la réalité et, bien sûr, l'origine de cette possible cyberattaque.

Quel est le seuil pour invoquer l'article 5 de l'OTAN en cas de cyberattaque ?

Crise en Ukraine, "instabilité croissante au voisinage mériodional de l'Alliance, du Moyen-Orient à l'Afrique du Nord, menaces transnationales et multidimensionnnelles" (1). C'est manier la litote et enfoncer une porte grande ouverte d'affirmer que le dernier sommet de l'OTAN qui vient d'avoir lieu au Pays de Galles était attendu. Alors que l'édition révisée de "l'OTAN au 21ème siècle" rédigée par l'allié et ami Olivier Kempf (2) est une heureuse coïncidence, cet article se focalise sur la déclaration (3) du communiqué final qui autorise dorénavant l'invocation de l'article 5 à la suite d'une cyberattaque de l'un de ses membres.

Tensions en Corée : terre, air, mer, cyber !

Afghanistan, Syrie, Mali et maintenant Corée(s), les conflictualités conventionnelles se prolongent de plus en plus dans et par ce "nouveau" milieu, le cyberespace. Qu'elles soient à de strictes fins de communication (désinformation, manipulation), d'opérations défensives et, évidemment, offensives, rares voire iconoclastes seront les prochains conflits n'ayant aucun prolongement cybernétique.

Stuxnet : dommages collatéraux à la Maison-Blanche ?

Le 1er juin 2012, le New York Times sous la plume de David Sanger, publiait un scoop sur l'affaire Stuxnet. Ce code malveillant considéré comme la première "cyberarme" par de nombreux commentateurs aurait bien été développé par les USA et Israël dans le cadre d'un programme secret appelé "Olympic Games".

Une semaine après ce scoop retentissant, le procureur général des États-Unis, Eric Holder Jr, autrement dit le ministre de la Justice, nommait deux procureurs généraux en vue de conduire les investigations sur de possibles fuites d'informations classifiées. Des fuites possiblement orchestrées de la Maison-Blanche vers les journalistes et ce malgré que le président Obama ait défendu son administration.

Votre cyberguerre : avec ou sans tarte à la crème ?

D'un côté on se félicite de commencer à prendre la problématique SSI/cybersécurité en compte. De l'autre, on nous annonce entre six années et demi (c'est précis...mais justifiable !) et dix années de retard. Entre les deux, les tartes à la crème volent et il vaut mieux être bien caché pour éviter les projections ou doté d'un énorme canon à chantilly pour pouvoir riposter ! La plus grosse de ces tartes à la crème, et qui révèle tout de suite les gourmands, c'est celle de la "cyberguerre".

OWNI vient de publier sur le sujet un article de bonne facture, abordant le sujet en interrogeant des spécialistes juridiques et politiques. Se retranchant prudemment derrière les diverses analyses, l'article ne tranche cependant pas. J'aurais tendance à confirmer ce que j'en pense et écris depuis un certain temps : je préfère largement l'usage des termes "actions offensives dans le cyberespace", "opérations non-cinétiques" voire éventuellement et avec la réserve nécessaire "cyber-conflits". Parce qu'ils me paraissent correspondre réellement aux opérations actuelles et à venir.

Barack, François, Jean-Marc, le cyber et...nous !

La blogosphère et, sans doute, nombre d'organismes d’État et de cellules d’État-major sur l'ensemble du globe, bruissent, transpirent et analysent la menace Flame ainsi que les "révélations" (forcément un peu téléguidées quand même) quant à un programme baptisé "Jeux Olympiques" autorisé et supervisé par le président Obama. Ce programme est donné comme celui du développement et de l'emploi de moyens non-cinétiques en vue d'espionnage, de sabotage et de destruction. Ce blog y reviendra calmement lorsque le soufflé sera retombé.

Opérations offensives dans le cyberespace : une offre d'emploi et quelques réflexions

L'annonce, unique dans son genre et parue au début de la semaine, a de quoi provoquer quelques interrogations assorties d'hypothèses voire de quelques certitudes. Northrop Grumman Company (NGC), entreprise américaine de défense et de sécurité d'envergure mondiale, recherche un ingénieur logiciel et cyber. Il(1) intégrera un projet R&D dont l'objet sera d'évaluer, de planifier mais surtout d'exécuter des opérations offensives dans le cyberespace ! L'annonce a le mérite de la clarté et conduit à s'interroger à différents niveaux.

Cyber-opérations et stratégie : quelle(s) doctrine(s), quel(s) concept(s) ?

Il n'y a pas qu'en France et, en particulier au sein des alliés de l'Alliance Géostratégique, que les pensées, les réflexions, les concepts et les échanges autour du cyberespace ont lieu. Les États-Unis, dont ce blog se fait souvent l'écho des progrès et avancées en observateur parfois fasciné mais toujours vigilant, semblent être dans une position étonnamment similaire. 

Développant depuis des mois et à marche forcée une panoplie complète d'outils, de moyens, de structures hautement spécialisées, en gréant d'autres avec un personnel de plus en plus nombreux qui, d'ici une décennie sera (presque) recruté et formé au berceau, un cyber-arsenal de lutte dans le cyberespace est en train de se créer. Avec souvent une tendance à la posture ou à l'exagération (des capacités adverses). Mais sans véritable doctrine ni concept d'emploi précis. On peut même dire que celles-ci se construisent dynamiquement autant chez les militaires que chez les sénateurs.

Dans un avenir proche, l'influence grandissante d'opérations non-cinétiques dans le cyberespace en soutien, en complément ou en préalable d'opérations cinétiques se verra confirmer.  Leur prépondérance à devenir centrales dans la conduite de futures opérations militaires (ou de sécurité extérieure) font l'objet de réflexions et d'échanges parfois passionnés et souvent passionnants.

L'une des questions majeures, soulevant de nombreuses difficultés et qui sont, pour le moment insolubles, est l'intégration de l'utilisation de l'arme* cybernétique et de ses effets capacitaires et non-cinétiques au niveau stratégique. Une interrogation soulevée à différentes reprises par le blog allié Egea (ici et là) qu'il convient pour le moment de relayer. Il conviendra aussi d'y contribuer dans un avenir (très) proche. Opinions et commentaires sont donc les bienvenus en attendant.

* arme au sens Armée de terre, de l'air ou Marine...les trois autres dimensions

Sur les sentiers de la cyberguerre

Stuxnet, DuQu, Areva, Sony, etc. L'actualité cybersécurité se fait bruyamment entendre depuis plusieurs mois et sitôt les disciples de Guy Fawkes un peu moins présents, c'est la Chine et ses hordes de hackers qui ressurgissent, à tort ou à raison. 

La Chine donc, dont on ne sait si son cyberarmement relève davantage de la posture et du subterfuge ou s'il faut plutôt y voir LA menace actuelle et des années à venir ? Les avis sont tranchés, les rideaux de fumée nombreux, les multiples bluffs possibles, et l'on passera "au résultat" lorsque l'état des forces en présence aura été révélé, s'il doit l'être du fait de confrontations possibles impliquant des actions offensives dans le cyberespace. 

Par ailleurs, il ne faudrait pas occulter que désigner la Chine pour des actes dont elle n'a rien à voir, revient à masquer les nombreux autres acteurs (Etats, organisations criminelles, exploits individuels). A l'inverse, il peut y avoir un intérêt de grignoter par la périphérie le soft power dans lequel la Chine investit depuis des années.

A faire fi de ces éléments, il est à craindre que l'on restera cantonné à du monologue débat d'experts qui n'intéresse qu'eux seuls (par opposition aux thèmes de société, accessibles au plus grand nombre). Pour autant, et si l'on doit parler de cyberguerre ou, du moins, de cyber-conflits et de cyberarmes, autant considérer qui est en réalité le possible metteur en scène de cette pièce digne du théâtre Nô : les États-Unis !

Intéressons-nous seulement quelques minutes au 1er colloque de la DARPA sur la cybersécurité qui s'est tenu avant-hier (j'y reviendrai) pour comprendre qui mène la danse. Ce qui, d'ailleurs, est à mettre en perspective avec la stratégie américaine dans le cyberespace : techniquement innovante, richement dotée (dans un contexte budgétaire pourtant contraint), opérée principalement par le Pentagone avec le DHS en appoint, il n'y a pas, à ma connaissance, d'autre nation au monde dont l'effort, les ressources et les moyens sont équivalents.  

En fin de compte, ne serait-ce donc pas une excellente raison pour s'inventer des menaces bien supérieures à ce qu'elles sont en réalité et ainsi justifier de respectables budgets ? Le débat mérite certainement d'être posé et les avis, d'où qu'ils viennent, à considérer. A vos plumes ! :)

Chinois et satellites : aveugler, hacker ou détruire ?

Doit-on vraiment s'étonner des "révélations" effectuées la semaine dernière par la fameuse commission U.S.-China Economic and Security Review ? Après tout, quel degré de surprise devrait nous agiter puisque n'importe quelle interface devient potentiellement "piratable" à partir du moment où elle se trouve connectée directement ou indirectement au web ? 

Ce ne sont pas les dénégations d'un porte-parole du ministère des Affaires étrangères chinoises qui viendront modifier la perception puis l'idée martelées depuis plusieurs années que la Chine est devenue la principale menace dans le cyberespace ! Et ce, à tort ou à raison ! Autrement dit, pourquoi seules certaines nations "occidentales" auraient le droit et les capacités techniques à pénétrer, par exemple, des systèmes satellitaires (sol/bord) ou, soyons fous, de retarder efficacement un programme nucléaire en développement ? 

D'un côté la dotation en moyens cyber-offensifs serait légitime, de l'autre il s'agirait de capacités illégitimes confinant potentiellement à une escalade vers de futures cyber-guerres ?! Il faut raison garder en la matière et ce blog, comme d'autres (1, 2), continuera modestement à essayer de démêler l'écheveau et le brouillard qui noient trop souvent les problématiques de sécurité dans le cybersepace. 

En attendant, n'oublions pas que les chinois sont les seuls avec les USA à pouvoir détruire un satellite à partir des couches basses de l'atmosphère. C'est à dire à partir d'un système d'armes aéroporté autrement appelé avion de chasse. Ils peuvent aussi aveugler un satellite par laser. C'est dire s'ils peuvent aussi hacker !

Dans le brouillard (entretenu) de la cyberguerre ?

Charles Bwele, éminent spécialiste francophone de la technosphère est aussi l'un des membres créateurs d'AGS (Alliance GéoStratégique) et accessoirement l'administrateur du site web qui héberge les publications de ce collectif. Charles est également le propriétaire (très) actif de l'excellent site Electrosphère et intervient de temps à autre sur Agoravox.

Je ne pouvais pas faire autrement que réagir à l'article, pertinent et parfois savant (dans l'approche des concepts et les effets systémiques induits) qui vient d'être publié sur AGS. Celui-ci s'intéresse aux annonces de l'administration Obama en matière de cybersécurité, en particulier l'un des points les plus discutés sur le web : les mesures de rétorsion militaires (conventionnelles voire nucléaires !) en cas de cyber-attaques destructrices sur les infrastructures vitales des USA. Ce que d'aucun appellent le "Cyber Pearl Harbour" depuis plus d'une décennie.

Charles souligne habilement mais aussi à juste titre, les paradoxes voire les contradictions d'une telle annonce. La métaphore à la fin de son article pourrait résumer l'essence même du propos : "D’une certaine façon, un État face aux hackers est aujourd’hui comme un boxeur poids lourd face à un essaim d’abeilles : complètement désemparé et très peu dissuasif".

C'est tout à fait cela. Et j'ajouterai même "plus c'est gros plus ça passe" !

A part reproduire une manœuvre de désinformation/manipulation (osée mais réussie) comme celle ayant conduit à l'entrée en guerre des USA en Irak en mars 2003, les traces numériques et autres preuves dématérialisées seront, elles, beaucoup plus difficiles à produire de manière absolue et indéniable en cas de cyber-attaque "chinoise" ou "nord-coréenne" ! J'aimerai d'ailleurs connaître le type de réaction "militaire" face à une attaque concertée des Anonymous sur une ou plusieurs infrastructures vitales américaines ? Le président Obama ira-t-il jusqu'à autoriser le tir d'une bombe guidée laser sur l'habitation du "dangereux terroriste" ?

On le voit, tout ceci n'est pas très sérieux, et c'est pourquoi je n'y avais pas attaché plus d'importance que cela dans mon billet du mois de mai sur le sujet, évoqué par Charles Bwele. J'aurais sans doute dû être plus explicite, car c'est ainsi qu'il fallait comprendre ma première phrase : "Attendues depuis des semaines, les propositions de la Maison Blanche en matière de cybersécurité n’apportent pas de réelles nouveautés à un arsenal déjà bien fourni". Mais je n'ai pas vu l'intérêt de "montrer les crocs" ou de distiller mon "venin" ;) considérant que ce blog cherche avant tout à transmettre de l'information en la commentant le moins possible et/ou de manière pertinente : charge au lecteur/trice de se faire sa propre opinion et, le cas échéant, d'engager une discussion avec moi ou les autres spécialistes du domaine. Eux aussi accessibles via la Toile (voir la partie Liens, colonne de droite de ce blog).

Au fil des siècles, les puissances dominantes successives ont souvent eu tendance à vouloir montrer leur supériorité du moment, quelle soit de nature politique, économique et/ou militaire. Les USA, qui ne font pas exception à la règle, auraient sans doute dû faire plus acte de pédagogie, en traitant la cybersécurité (qui va devenir un vrai problème stratégique dans les mois/années qui viennent) avec davantage de cervelle que de muscle. Pour autant, il faut sans doute y lire une concession aux tenants d'une ligne dure et agressive (les fameux "faucons") qui entourent le président américain. Qui y a sans doute également vu l'occasion de faire phosphorer ceux "du camp d'en face". De manière quasi inutile. Ce qui est aussi l'art de continuer à entretenir le brouillard de la cyberguerre...

Cybersécurité USA : les propositions du CNAS

Ah ! L'Amérique. Ou plutôt les États-Unis d'Amérique. Ses hamburgers, Hollywood, Apple et ses...think-tanks ! Les USA, donc, possèdent le plus grand nombre mondial de ces "laboratoires d'idées" avec cette particularité toute pragmatique qu'ils ne "pondent" pas que du papier et de belles idées mais que celles-ci sont souvent déployées dans la vie politique, économique et sociale du pays.

L'un de ces think-tank, le CNAS (the Center for a New American Security) vient de publier deux tomes concentrant un panorama complet et à jour des enjeux et des problématiques en cybersécurité. Ce panorama s'adresse avant tout aux décideurs politiques américains : le législatif donc la chambre des représentants à travers ses sénateurs/sénatrices mais surtout l'exécutif actuel, le président Obama et son administration.

Il va m'être très compliqué d'en faire un résumé puisque je viens tout juste de commencer à survoler l'un des deux tomes publiés (plusieurs centaines de pages) mais quelques idées fortes peuvent ici être résumées :

- La cyber-insécurité est en train de devenir l'une des menaces principales pour le gouvernement fédéral et la sécurité nationale;

- Les entreprises américaines en général et celles de défense en particulier sont des cibles de choix qu'il faut protéger en priorité;

- Le CNAS recense 1,8 milliards d'attaques par mois sur les réseaux fédéraux (!);

Le CNAS salue les mesures annoncées par l'administration Obama le mois dernier mais considère qu'elles n'apportent principalement que des réponses à finalité "militaires" (comprendre guerrières). En complément, il propose d'adresser également les problématiques de protection de la propriété intellectuelle (dont le vol "sape la puissance américaine"), et de développer les moyens d'assurer un cyberespace ouvert et interopérable.

Il propose enfin de créer une nouvelle agence chargée de coordonner les efforts en terme de protection du cyberespace, de la rattacher directement au bureau exécutif (la présidence) sous l'égide d'un conseiller spécial reconnu également par le Sénat. Cette agence devra rester de petite taille, réactive et maintenir un lien proche avec le Conseil National de Sécurité et le Conseil National Économique et devra éviter une duplication des fonctions déjà existantes.  

Pour ce dernier point, il serait vain de penser que le DHS n'est pas visé : ministère à part entière, il lui est également conseillé d'augmenter ses capacités en matière d'évaluation des risques et de traitement des incidents. Ce qui est plutôt cocasse quand on sait les moyens dont dispose le DHS avec, en particulier, l'ICS-CERT dont l'objectif premier, justement, est de réagir préventivement ou curativement aux incidents et/ou attaques.

Ces éléments me semblent confirmer une tendance qui se dessine depuis le début de l'année 2011 : la cybersécurité est devenue un sujet "à la mode" du côté de Washington. Un sujet politique également puisque le CNAS ne sera pas le seul think-tank à publier son étude mais surtout à essayer d'influencer les arcanes du pouvoir. Enfin, rappelons-le si besoin est : les budgets consacrés, déjà importants, vont probablement encore augmenter dans les mois et les années qui viennent. Le sujet devient donc également économique. Ah ! L'Amérique. Ses dollars, son business, etc.

Une guerre (ou une bataille) de l'information de retard ?

Saluons le dernier avis d'expert de Christian Harbulot sur 01net.entreprises. Deux raisons à cette opinion : la première, relativement évidente, puisque mon analyse en mars dernier quant au rôle réel et non fantasmé de l'ANSSI, à ce qu'elle parait être en train de devenir mais surtout ce qu'elle n'est pas (encore ?), n'est pas passée inaperçue et devait sûrement comporter quelques idées pertinentes.

La seconde, plus évidente encore, puisque l'analyse de C. Harbulot ne fait que renforcer l'urgence qu'il y a/aurait impérativement à traiter les problématiques de "Cyberwarfare" ou d'actions offensives dans le Cyberespace.

En particulier dans  cette dichotomie qu'il y a à laisser traiter les problèmes par des entités à vocation uniquement techniques dans l'espoir que des problématiques qui ,pour le coup,  possèdent une finalité technique seront dès lors réglées. Ce scénario ne tient pas  face à la réalité, sauf  à ne considérer que des attaques de type "Bercy", ponctuelles et en apparence complexes donc "rares".

Là où C. Harbulot, moi et tant d'autres voulons humblement mais fermement venir est qu'il est vain mais surtout dangereux de se recouvrir les yeux de la main en considérant que, de fait, les menaces n'existent plus !

C'est oublier dans quelle perspective "Clausewitzienne" se positionne la composante informationnelle, défensive et offensive : un levier supplémentaire dans la lutte inamicale que se livrent l'ensemble des acteurs majeurs et étatiques de la mondialisation. Et que sur le "Vieux Continent " une volonté politique, que dis-je, une certaine vision prospective devrait sans coup férir reprendre la main et éviter tout suivisme. Sauf à vouloir, évidemment, confier les clés de la "boutique" à d'autres nations bien plus promptes à conserver mais surtout à accroître leurs parts de marché, quel que soit celui-ci !

Il n'est pas encore trop tard même si, les mouvements actuels sur l'appréhension politique des problématiques de cybersécurité et leur traduction par des actions techniques,  organisationnelles et législatives, semblent être bien plus sérieusement traitées sur notre flanc occidental (USA) ou oriental (Chine, Inde, Israël voire Iran).