Que penser de la "Stratégie nationale pour la sécurité du numérique" ?

Ainsi donc, la stratégie de la France pour sa "sécurité numérique" a été présentée par le Premier ministre, Manuel Valls, vendredi 16 octobre 2016 à la maison de la Chimie à Paris. Initialement prévue pour l'été, il est probable que d'ultimes arbitrages aient décalé d'environ trois mois son annonce qui devait suivre la présentation de la "stratégie numérique du Gouvernement" du 18 juin 2015 [1]. La #StratSecNum (ou SN2) est le fruit d'un long et, on l'imagine, complexe travail de concertation interministériel. Que contient cette nouvelle stratégie, quelles en sont les qualités mais aussi les faiblesses ?

Affirmation de la cyberpuissance USA et ruptures stratégiques

Si depuis juillet 2013 le tsunami de l'affaire Snowden (1) nous a habitué à des révélations régulières et parfois spectaculaires, la semaine qui vient de s'écouler marque un tournant ainsi qu'une rupture. Tournant parce que de "l'affaire délicate" Gemalto (2) à Equation Group (3), l'ampleur des moyens déployés pour espionner toutes les communications électroniques de la planète permet, à ceux qui en avaient encore, de ne plus se faire aucune illusion sur l'absolue nécessité de bien protéger les informations qui le méritent. Rupture technologique mais aussi stratégique et bien-sûr politique. Comme le relève avec acuité Eric Le Boucher dans les Échos (4), les États-Unis d'Amérique "hyperpuissance" sont devenus "cyberpuissance". Y affirmant leur hégémonie dans le cyberespace tandis que leur repli des affaires du monde "réel", annoncé depuis des années par Obama et en cours de réalisation, les place dans une position de plus en plus isolationniste.

« Forces et illusions de la francophonie », la conférence d'Erik Orsenna aux Lundis de l'IHEDN

Les Lundis de l'IHEDN (1) ont clôturé leur belle saison 2013-2014 de conférences (2) par l'intervention enlevée, lundi 23 juin 2014, pleine de finesse et teintée d'humour, d'Erik Orsenna. Conseiller d’État, académicien et bien-sûr écrivain, c'est dans un amphithéâtre Foch plein que M. Orsenna est venu présenter sa vision de la francophonie. S'appuyant sur de nombreux déplacements internationaux depuis des décennies mais également l'expérience politique de l'exercice du pouvoir, son œil d'écrivain lui donne sans doute l'acuité nécessaire pour garder la bonne distance aux événements auxquels il a participé ou assisté.

Russie : la cybersécurité et la cyberdéfense comme outils de puissance géopolitique ?

La création de deux groupes de travail, l'un concernant le secteur spatial l'autre la cyberdéfense, a été annoncée à l'occasion de la visite du ministre russe de la défense au Brésil à la mi-octobre (1). Plus complet, l'ensemble des engagements pris à l'occasion du 14ème sommet russo-indien (2) traite notamment d'échanges dans le secteur spatial et de ceux liés à la "sécurité de l'information internationale".

La pénurie de spécialistes en cybersécurité (2/2). Emplois, croissance et souveraineté

Le problème qualitatif et quantitatif semble, par exemple, de plus en plus criant aux États-Unis. Qui, au plus haut niveau, a fait des enjeux de cybersécurité et de cyberdéfense une problématique stratégique et de sécurité nationale. Pentagone, DHS, agences gouvernementales, secteur de la recherche ou entreprises de défense et de sécurité, tout ce joli monde participe à la dynamique enclenchée. Les investissements et les crédits engagés sont très importants (50 milliards de $ par an ?) et malgré l'importante population américaine et la qualité de son système de formation, les difficultés se font jour.

Café stratégique n°23 : où va la dissuasion nucléaire française ?

L'Alliance géostratégique organise ce soir, à partir de 19h, un nouveau café stratégique avec Philippe Wodka-Gallien qui viendra discuter et débattre de l'avenir de la dissuasion nucléaire française. Une occasion que je saisis pour rappeler l'article, publié sur le site d'AGS en septembre 2012, concernant les interrogations liées à la reprise des essais nucléaires français de 1995.

Comme à chaque fois rendez-vous à partir de 19h au Café le Concorde, 239 boulevard St Germain, dans le 7ème arrondissement de Paris (métro Assemblée Nationale). Comme d'habitude, l'entrée est  libre et l'ambiance conviviale. Venez nombreux !

Café Stratégique n°21 : politique spatiale Etats-Unis / Europe

Pour le premier Café Stratégique de l’année 2013, l’Alliance Géostratégique se félicite d’accueillir jeudi 10 janvier Xavier Pasco, docteur en science politique et chercheur à la Fondation pour la Recherche Stratégique (FRS).

L'occasion sera belle d'écouter cet expert reconnu en France et à l'international débattre des politiques spatiales des USA mais aussi de l'Europe et probablement des autres puissances spatiales (Russie, Japon, Chine et bientôt Inde, Corée-s ou Brésil). Le blog allié De la Terre à la Lune propose d'ailleurs des précisions supplémentaires intéressantes.

Comme à chaque fois rendez-vous à partir de 19h au Café le Concorde, 239 boulevard St Germain, dans le 7ème arrondissement de Paris (métro Assemblée Nationale). Comme d'habitude, l'entrée est  libre. Venez nombreux !

Rétrospective 2012 et cap sur 2013

Comme la dinde, les marrons ou la bûche, la fin d'année est également propice aux bilans. Ce blog sacrifie donc à ce qui devient une coutume bien établie en proposant chiffres et articles emblématiques de l'année écoulée. En vous souhaitant de profiter avec joie et sérénité des dernières heures qui nous séparent de la nouvelle année.

USA - Brésil : F-18 Super Hornet, (Rafale) et cyberdéfense au menu

Il y a deux ans jour pour jour, le ministre de la Défense américain de l'époque (Robert Gates) et son homologue brésilien (Nelson Jobim) signaient un accord militaire d'importance. Établissant une coopération inédite et à haut-niveau, l'accord couvrait de nombreux domaines. L'un d'eux concernait directement le partenariat stratégique entre la France et le Brésil et, en particulier, l'achat possible et mouvementé de 36 chasseurs multi-rôles Rafale de Dassault.

L'appel d'offres brésilien F-X2 pour l'acquisition d'une première tranche d'avions de combat modernes est éminemment politique et se joue au niveau de responsabilités le plus élevé de chacun des pays en lice. Alors que le président Sarkozy, lors de sa visite historique en 2008, pensait avoir fait le plus dur auprès du président Lula, la nouvelle présidente Dilma Roussef et la crise économique et financière mondiale modifièrent la donne. De plus, les États-Unis ont décidé de peser de tout leur poids en proposant des accords de défense renforcés tout en proposant le F-18 Super Hornet de Boeing associé à des transferts technologiques conséquents.

L'accord et la coopération signés en 2010 viennent d'être de nouveau confirmés ce lundi 9 avril 2012 lors de la visite officielle de Dilma Roussef à la Maison Blanche. Combinant un aspect (médiatiquement) positif comme la proposition de création d'une Force de Réaction Rapide des Amériques (du Nord et du Sud) en cas de catastrophe naturelle ou humanitaire majeure (faisant suite aux enseignements tirés après le tremblement de terre à Haïti en janvier 2010), la R&D, le soutien logistique et l'acquisition de produits et services de défense sont aussi intégrés à ce Defense Cooperation Dialogue (DCD).

On y trouve par ailleurs des aspects plus traditionnels de coopération militaire en termes d'exercices (Red Flag, Cruzex), d'échanges de personnels et d'informations classifiées. C'est ce dernier point qui m'a amené à rédiger cet article puisque les aspects de sécurité de l'information et de cybersécurité sont nécessairement de la partie. De là à postuler un renforcement des capacités brésiliennes en terme de cyberdéfense est une possibilité réelle qui sera à observer dans les prochains mois.

Enfin, et comme dit dans cet article, le Super Hornet et un transfert "robuste" de technologies sont inclus dans l'accord. Rendez-vous en mai ou en juin puisqu'une décision de la présidente Roussef est attendue à ce moment-là. Quelques jours (ou semaines) après le début d'un nouveau quinquennat présidentiel français...

Sources : 
http://www.whitehouse.gov/the-press-office/2012/04/09/fact-sheet-us-brazil-defense-cooperation
http://www.defesanet.com.br/br_usa/noticia/5366/Remarks-by-Secretary-Gates-and-Brazilian-Minister-of-Defense-Jobim-at-the-signing-of-the-U-S--Brazilian-Defense-Cooperation-Agreement-from-the-Pentagon

SCADA : jusqu'ici tout va bien

En quelques mois, les problématiques de sécurité liées au cyberespace auront franchi un pas médiatique "historique". Les média et les individus ayant été majoritairement bercés par les images d'Épinal de type War Games (le film) ou 24H Chrono (la série), les rapprochements vers les frontières geekiennes ont pu ponctuellement se faire avec Die Hard 4 ("Piège de Cristal n°4" avec Bruce "Moumoutte" Willis) voire en regardant un reportage techno-utile sur Arte avec Kevin Mitnick ou Bruce Schneier en guests-star !

En 2010, on aura eu droit aux divers épisodes de Stuxnet, un "code" mystérieux qui semble avoir ciblé principalement le programme nucléaire iranien. Une certaine course aux scoops s'étant déroulée, on a assisté à des analyses de départ prudentes et factuelles pour terminer par un festival de thèses non-validées (le virus fut d'abord américain, puis chinois, et enfin israélien et pourquoi pas les trois à la fois ?) où l'on annonçait même une possibilité de Tchernobyl ou un projet de variante par les Anonymous, histoire de renforcer leur arsenal offensif.

Las, il faut une fois encore raison garder. Et essayer de poser les perspectives de la problématique "infrastructures critiques" (SCADA) qui vont des unités de productions électriques (de l'hydraulique au nucléaire), en passant par les infrastructures de transport terrestre, maritime ou aérien.

Les enjeux sous-tendus sont connus depuis plus d'une décennie et quelques spécialistes et experts en sécurité ont sérieusement étudié le sujet tant en France qu'à l'étranger. Les divers gouvernements et les grandes entreprises concernées disposent d'un ensemble d'éléments significatifs pour savoir que s'il n'y a pas péril en la demeure, les mesures à prendre ne sont pas de l'ordre de simples travaux de ravalement.

Lundi 21 mars, 34 exploits (de niveau PoC) ont été publiées sur Bugtraq ! Ceux-ci concernent des applications de Siemens, Iconics, 7-Technologies, Datac et Control Microsystems, toutes SCADA. Évidemment, d'intenses débats ont (eu) lieu, la plupart à propos du péché originel du full disclosure : publish or not publish, that is the question.

Il est difficile d'avoir une opinion tranchée sur un sujet qui dépasse largement le seul cadre de la technique (psychologie, morale/éthique, sociologie, etc.) mais je me rangerai plutôt à l'opinion de Roel Schouwenberg : on peut être contre la divulgation complète de vulnérabilités mais les entreprises concernées (éditeurs comme clients) ainsi que les pouvoirs publics doivent regarder les choses en face : les systèmes SCADA deviennent un sujet de plus en plus attractif d'une perspective "malveillances". Que ce soit pour de l'argent, du seul exploit technique ou de la valorisation de l'ego (et de son "image de marque").

On sait que la France ou l'Union Européenne s'intéressent de près à la protection des infrastructures critiques. Mais le font-elles sérieusement ? Ne vont-elles pas trop lentement ? Quelles actions concrètes pour quels résultats tangibles au bout de tant d'années ? Ces questions méritent d'être posées, il ne s'agit plus d'afficher ses bonnes intentions ou de publier des décrets qui demeurent, au mieux, des suites de caractère ! Aux acteurs concernés par ce sujet de premier plan de maintenant communiquer sur le sujet pour annoncer un plan d'actions.  Dans Paris Match ou ailleurs ! ;)

Edit : complémentaires à ce billet, je recommande sans réserve l'article de ZDNet et celui de Bluetouff.

Einstein 3 : après le DHS, le DoD

Il ne faut pas compter sur le hasard ou une merveilleuse coïncidence que d'apprendre que le DoD (U.S. Department of Defense - Ministère américain de la Défense), quelques jours après le DHS, annonce l'activation d'un système de défense cybernétique analogue à celui que le DHS aimerait activer prochainement (lire mon billet sur le sujet). C'est le patron du Cyber Command (et de la NSA), le général Keith Alexander, qui est passé devant la sous-commission de la Chambre des Représentants chargée des menaces émergentes et des réponses capacitaires (Ouf !).

Au passage, on y apprend qu'un budget est aussi demandé pour faire du SaaS, en mode forcément ultra-protégé, probablement pour des histoires de coûts d'infrastructure et d'efforts portés vers d'autres activités en période de contraintes budgétaires.

Le système parent d'Einstein 3 va faire l'objet d'un test prévu sur 90 jours et, d'après ce que l'on peut extrapoler, ce système militaire (par opposition au système fédéral), s'appuie également sur des sous-traitants de la Défense et des FAI. C'est une originalité qui permet d'estimer que ce système sera bien plus puissant en terme de détection et de traitement des attaques car plus dans la profondeur et dans une philosophie typiquement réseau centrée. Les capteurs sont mathématiquement plus nombreux et l'on peut poser l'hypothèse assez sérieuse que l'on entre davantage dans un schéma de défense en profondeur avec les FAI en première ligne de défense (détection) avec, éventuellement, des dispositifs intermédiaires en coupure permettant de ralentir l'attaque ainsi détectée, le temps de protéger efficacement les systèmes critiques (en supprimant les liens indirects entre ces systèmes et l'Internet).

Cette approche collaborative entre les militaires et le secteur privé est une piste qui pourrait (devrait) être explorée en Europe et en particulier en France, sachant que du point de vue législatif, la France possède un coup d'avance depuis la parution du décret du 11 février au profit de l'ANSSI. Ce point est important puisqu'il permettrait aux Américains de légitimer juridiquement (donc de se protéger de plaintes éventuelles) une coordination entre des entités voire des juridictions extrêmement différentes (et bien séparées légalement, justement) : le ministère de la Défense, le DHS et le secteur privé. Qui ne se contenteraient plus de réagir après coup mais bien durant - ou aux premiers signes - d'une cyber-attaque.

C'est dans ce sens que la Maison Blanche semble travailler et pourrait prochainement proposer les modifications législatives adéquates. Les incidences de considérer les menaces durant leur survenance (ou les présomptions de réalisation) en termes techniques, organisationnels et juridiques sont passionnantes mais complexes. Elles mériteront une attention particulière dans le futur, sur ce blog ou ailleurs.

Edit : je souligne le billet du jour connexe au sujet sur le blog de Cidris.

DHS 2012 = Einstein 3

Le DHS (Department of Homeland Security - Ministère américain de la Sûreté intérieure) recherche 233,6 millions $ pour son budget 2012 afin de déployer son système fédéral Einstein 3.

Ce système est la 3ème génération de systèmes de détection et de prévention des intrusions réseaux de niveau fédéral (techniquement et financièrement, on n'est plus du tout au niveau de la petite sonde sur un réseau d'entreprise).  Il doit permettre de réagir automatiquement en proposant la réponse adéquate face à une tentative d'accès non autorisé dans les réseaux du gouvernement américain (ministères et agences fédérales). Il s'interface également avec l'US-CERT en automatisant le processus d'alerte aux vulnérabilités.

On notera que c'est la NSA qui a conduit les développements de cette version alors qu'Einstein 1 et Einstein 2 étaient le résultat du travail en commun de l'US-CERT et du NCSD (National Cyber Security Division - La division cybersécurité du DHS). La controverse n'a pas manqué et porte en particulier sur les craintes d'atteinte aux libertés individuelles et à la collecte d'informations personnelles pour des usages détournés.

Il faut également souligner que le DHS réclame également :

- 40,9 millions $ pour conduire 66 audits de sécurité sur les réseaux fédéraux;

- 24,5 millions $ pour les besoins de formation;

- 18 millions $ pour la partie R&D.

Pour mémoire le budget de l'ANSSI en 2012 (prévu mais pas encore validé) sera de 90 millions d'euros (un peu plus de 125 millions $) tandis que celui de son homologue au DHS sera de 328,3 millions $ (389 millions $ en 2011). Si l'on regarde les chiffres bruts, le différentiel n'a pas de quoi faire rougir les autorités françaises (1 pour 3). 

Mais cet effet en trompe l'œil occulte la réalité des choix politiques et des efforts consentis aux États-Unis : tout pour le DoD (Ministère de la Défense). Les budgets alloués à la cybersécurité se chiffrent, eux, en milliards : rien que pour 2011, le Pentagone a prévu de dépenser 1/2 milliard de $ uniquement en R&D sur les nouvelles technologies au profit de la cybersécurité. Sur un budget total supérieur à 2 Milliards $ !

Edit : je signale le billet complémentaire sur CIDRIS/Cyberwarfare.

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...

Cyber intentions au sommet de l'OTAN à Lisbonne

Le prochain sommet de l’OTAN aura lieu à Lisbonne les 19 et 20 novembre et accueillera un invité de marque : la Russie. Certains spécialistes se font l’écho depuis des années des avantages voire de l’expression naturelle qu’il y aurait d’intégrer la Russie à l’OTAN. Géographiquement et historiquement cette hypothèse est pleine de bon sens tandis que du point de vue politique et culturel, des réserves se font jour.

Mon propos du jour est cependant tout autre puisque ce sommet essaiera, parmi les autres thèmes, d’unifier à travers un accord le besoin de coordonner la lutte dans le cyberespace. 

C'est en tout cas ce que laisse entrevoir William Lynn dans l'interview plus qu'intéressante donnée à Foreign Affairs.

Là où le bât blesse gravement, c’est que bien peu de choses empêcheraient qu'un tel accord soit conclu mais qu’en serait-t-il des moyens traduisant ces bonnes intentions ? On peut maintenant parfaitement mesurer le chemin parcouru ces dernières années par le sponsor principal de l’Alliance, les Etats-Unis : celui-ci s’est doté d’un commandement militaire unifié, s'appuie déjà depuis des années sur le DHS pour la collaboration inter-agences, a élaboré une doctrine d'emploi (si ce n’est plusieurs) et abonde un budget qui, s’il n’est pas encore monstrueux, est tout à fait respectable. 

De deux choses l’une : soit l’on risque d'assister à une dépendance complète de l’Europe vis-à-vis des moyens technologiques et financiers, sans compter la possible (dés)information quant aux cybermenaces et à leurs propriétaires avérés, désignés ou supposés. Autre hypothèse, il est encore possible de construire une force autonome, adossée à une hypothétique défense européenne, force qui travaillerait en coopération avec les américains (et pourquoi pas les russes ?) tout en conservant le regard critique et en développant ses moyens techniques et surtout en conservant une autonomie de décision ?

Il va sans dire que les restrictions budgétaires actuelles, particulièrement les budgets de la défense au niveau de l'UE, et le silence assourdissant de l'hôtel de Brienne ou du Quai d'Orsay ne semblent pas plaider pas pour une telle hypothèse !

Edit : Wired évoque ce jour-même l'existence d'un rapport fédéral (draft = avant-projet, brouillon) qui annoncerait une diminution importante des cyber attaques contre le département de la Défense U.S. Il s'agirait de la première année de la décennie où les "incidents liés à la de la cyber-activité malveillante" seraient en baisse. Paradoxe apparent à l'heure où la mobilisation se déchaîne depuis plusieurs mois. Je retiens l'hypothèse  évoquée en conclusion de l'article d'attaques moins nombreuses mais potentiellement plus sophistiquées et ciblées.