Chine - USA : la cyber-partie d'échecs

La blogosphère et certains média spécialisés en Security sont traversés ces derniers mois par un véritable intérêt pour les infrastructures critiques et les SCADA. Un article paru il y a une dizaine de jours dans le Washington Times n'était pas passé sous mon radar mais je n'avais pas eu le temps de le "traiter".

De mon point de vue, cet article est un véritable avertissement à peine voilé des USA à la Chine !

L'article attaque fort puisqu'on y apprend que les barrages - on pense d'ailleurs à celui des Trois-Gorges, le plus grand au monde, dont d'ailleurs on aperçoit une photo sur la 1ère page de l'article - les pipelines (pétrole et gaz), les usines et toute infrastructure "ordi-pilotée" en Chine seraient encore plus vulnérables à des cyber-attaques que dans n'importe quel autre pays !

Sous couvert de rendre service à la communauté en signalant des vulnérabilités trouvées et en s'étonnant "naïvement" de l'absence de réponse de l'entreprise chinoise citée (WellinTech, 1er éditeur chinois d'applications SCADA), il faut comprendre que les enjeux mondiaux de cybersécurité voient s'affronter deux blocs principaux (USA/Chine ou USA+OTAN/Chine ?) et quelques blocs pas moins compétents mais avec des stratégies sensiblement différentes (Russie, Israël). J'ai malheureusement beaucoup de mal à citer l'Union Européenne (ou l'un de ses pays) du fait de son silence (coupable ?) ou plutôt de l'absence d'actions concrètes (je parle ici du concret, du réel, pas de concepts, de marketing ou d'intentions). On me rétorquera que l'OTAN travaille sérieusement sur le sujet mais je me suis déjà exprimé par ailleurs.

Pour revenir à l'opinion exprimée par des "spécialistes de la sécurité", il faut  surtout regarder du côté de ces spécialistes : le premier, Dillon Beresford, est un chercheur en sécurité de NSS Labs qui a découvert une belle vulnérabilité exploitable dans l'outil Kingview Scada. On lira plus en détail cette affaire sur NanoJV, affaire qui date déjà de quelques mois et ressort de manière fort opportune.

Le second spécialiste, James A. Lewis, est le marqueur du message (relativement) discret adressé à la Chine. Cet expert fait partie d'un des think-tank des plus discrets mais aussi des plus côtés et influents, le CSIS. On y retrouve la fine fleur de Washington, des plus grandes entreprises américaines (dont secteur de la Défense) en passant par le monde politique et des généraux du Pentagone. Évidemment, les principales agences du renseignement sont représentées par ce biais, de manière plus ou moins explicite.

Pour revenir à ce que dit M. Lewis, on pourrait sourire si l'on ne comprenait pas  LE message pas du tout subliminal : la vulnérabilité accentuée de la Chine est particulièrement due au fait que les "études" montrent que l'immense majorité des logiciels (systèmes d'exploitation et applications bureautiques) utilisés sont contrefaits. Contrefaçons dont la provenance n'est pas claire mais qui s'avère dangereuse car beaucoup de celles-ci viennent de la mafia...russe. Le risque de backdoors s'avère donc important. CQFD.

Enfin, je ne résiste pas au plaisir de traduire sa conclusion : "les Chinois n'ont pas les mêmes problèmes que nous. Mais ils ont les leurs, qui sont parfois pires". Ou pourraient l'être ?

Libye : une première cyber-offensive de Serbie ?!

A tout Seigneur, tout honneur ! Comme l'avait si justement prévu Daniel Ventre, émérite spécialiste de la guerre de l'Information, il semble que les premières cyber-offensives  d'envergure soient venues d'un groupe de pirates Serbes.

Pourquoi la Serbie, qui d'ailleurs semble disposer d'un réservoir important de soutiens virtuels (l'article évoque 50 000 personnes) ? Parce que Kadhafi dispose encore de moyens financiers importants et sait utiliser les média, quels qu'ils soient, depuis de nombreuses années. Ensuite parce qu'une partie de la population serbe doit probablement se sentir solidaire d'un pays subissant également les frappes aériennes de l'OTAN depuis maintenant 10 jours. 


Rappelons simplement qu'en 1999, Milosevic avait tenu 78 jours avant d'accepter le plan de paix pour le Kosovo.

PS : rien à voir mais je relaie l'un des derniers billets de S. Bortzmeyer, clair et net et précis. En saluant sa position courageuse tout en souhaitant qu'elle ne soit pas téméraire ?!

Cyber-guerriers : mythes ou réalités sécuritaires (conférence)

Je me permets de signaler une conférence qui aura lieu le 8 février sur le thème des Cyber-guerriers avec comme fil conducteur (à démêler si cela est possible !) et corollaire les mythes et réalités associés.

Animé et modéré par Isabelle Tisserand, l'une de mes anciennes consœurs y participeront Eric Walter (Hadopi), le Docteur Pierre Zanger (psychiatre)et Olivier Laurelli pour le Cercle Européen de la Sécurité et des Systèmes d'Information.

Présentation

Le paysage de la défense numérique se complexifie à outrance. Les cyber-guerriers s'organisent de manières privée et étatique ; le livre blanc de la sécurité -dès 2008- rappelait que nous devions désormais compter avec le développement d’une «capacité de lutte informatique offensive et défensive» ; la loi Hadopi fait son apparition en 2009, les médias ne cessent de rappeler aux internautes qu’ils sont tous potentiellement défenseurs de leurs patrimoines informatisés.Compte tenu de ces nouvelles donnes, qu'en est-il du développement formel de la Défense Digitale ? Est-elle privée, d'État, individuelle ou collective? Quels sont les changements culturels à l'origine de ces mutations ?

N'étant pas sur Paris à cette date, j'aurai plaisir d'en lire le compte-rendu et essaierai de le mettre en ligne à l'occasion.

Si tu veux la paix...ou les cyber illusions !

L’année 2010 touche à sa fin et sans vouloir concourir dans la catégorie des sacro-saints bilans de fin d’année, il y a une chose qui me semble sûre : cette année aura été l’année Stuxnet. La conséquence première veut qu’il y ait donc un  « avant » et qu’il y aura un « après ».

Au-delà du buzz mais aussi des excellentes analyses publiées de ci de là, on peut aussi penser que 2010 aura marqué l’électro- techno-sphère (hommage presque direct à Charles Bwele, tout auréolé de son récent prix) par l’apparition « grand public » du préfixe « cyber » auquel est accolée une cohorte de termes les plus effrayants les uns que les autres : insécurité, criminalité, attaque(s) et surtout guerre.

La cyberguerre ou l’émergence fascinante de concepts qui ne déplairaient pas aux colossaux auteurs prospectifs que sont Philip K. Dick, Asimov ou Franck Herbert. Pour ce dernier, j’ose même parfois penser que ces auteurs ont fait preuve de prescience ! Hormis le conflit Iran-Irak qui fut le dernier conflit conventionnel, long  et massif entre deux États, la guerre a changé de visage ces deux (ou trois) dernières décennies, dominée par des conflits dits asymétriques (la dernière guerre d’Irak et l’Afghanistan actuellement en sont un « bon » exemple) mais surtout de basse intensité.

Souhait tout personnel et ô combien utopique, j’ai beau m’intéresser à la chose militaire, à ses personnels et à ses matériels depuis ma tendre enfance, je souhaite davantage une humanité apaisée, bien plus adulte et qui saurait prendre son destin en main afin de partager les richesses équitablement afin de construire la grande œuvre qui fait cruellement défaut : tout mettre en œuvre pour assurer la sécurité des générations futures (et lointaines) en se dotant des moyens suffisants pour quitter notre berceau et pouvoir aller vivre ailleurs que sur la Terre.

Cependant et malheureusement, il est à craindre que les 20 prochaines années soient traversées de conflits qui eux ne seront pas de basses intensités. Brutaux et brefs, ils pourraient avoir pour cause des visées stratégiques d’accès ou de protection des ressources essentielles (énergies fossiles, métaux rares, eau, terres arables) et verraient l’emploi et la montée en puissance de vecteurs dématérialisés (cyber, virtuel, informationnels donc plus prosaïquement…informatiques) ayant des conséquences qui elles seront bien concrètes et physiques (systèmes de commandes pour les SCADA et les DCS, neutralisation des réseaux informatiques et de communication, désinformation massive et attaques distribuées mais entièrement décentralisées).

Ce monde fait peur et semble décrire ce que Tom Clancy illustre depuis des années à travers sa série Net Force ? Tout cela ne serait donc que de la littérature à bon compte afin que les paons-bloggeurs dont je fais partie (dans ce cas) et les journalistes spécialisés fassent la plus belle roue ? Non, cher lecteur, il est temps de se réveiller, il est temps de te réveiller : tout cela est pour demain, dans quelques heures. 

L’Apocalypse appartient encore à la Bible mais la révélation,elle, a déjà commencé !

Que ne reprochera-t-on aux états-majors (et à leurs chefs militaires et…politiques, surtout ces derniers d’ailleurs) d’avoir été imprévoyants, incompétents et de s’être crus à l’abri derrière on ne sait quelle ligne Maginot imaginaire ?! Ce ne sont pas quelques exercices cybernétiques ou de cyber stress (!) entre alliés qui vont changer la donne même si ceux-ci ont surtout vocation à rassurer la population. Qui sera encore surpris lorsque l’on apprendra l’écroulement d’un état, celui-ci fut-il « modeste » et en voie de développement (ou de déclassement !), tandis que son infanterie, ses blindés, ses hélicoptères ou ses chasseurs n’auront pas quitté leurs casernes et leurs hangars par faute d’une paralysie complète des systèmes d’information voire la neutralisation à distance de certains ou de la plupart des systèmes d’arme ? Que deviendra une nation disposant de jouets coûteux et de haute technologie si ceux-ci deviennent réellement aussi utiles que des…jouets ?

Si tu veux la paix…