Plan X, le programme de la DARPA pour dominer le cyberespace (de bataille) !

La DARPA, agence de recherche militaire américaine, doit annoncer et présenter à la fin septembre 2012 "Plan X", un ambitieux programme à vocation offensive dans le cyberespace. L'objectif est de créer de nouvelles technologies révolutionnaires pour comprendre, planifier et gérer des opérations non-cinétiques dans le cyberespace en temps-réel, sur une large échelle et dans des environnements réseaux dynamiques.

Quand CINDER nous sidère

Plusieurs mois après, l'onde de choc Wikileaks et les actions de rétorsion menées dans ce cadre par les Anonymous continuent de se propager. C'est en particulier les révélations d'après l'affaire HBGary qui alimentent presque chaque semaine les (bonnes) chroniques autour de la cybersécurité.

C'est au détour de cet article sur Wired que je me suis rappelé avoir déjà lu le nom de Cinder l'année dernière. Ce qui finalement était plutôt normal puisque l'appel d'offre de la DARPA avait été publié en août 2010. Là où la machine s'emballe un peu c'est quand on retrouve Cinder, la DARPA et...HBGary ensemble (dans la même galère ? :).

Ce qui est plutôt fascinant c'est, une fois de plus, de mesurer combien les forces armées américaines sont en train de se créer une expertise unique au monde dans le cyber espace. "On" aura beau mettre en avant la Chine et son armée de "millions" de pirates :) , ne nous leurrons cependant pas sur une réalité probable face à une réalité subtilement orientée.

En clair, les USA avancent plus ou moins masqués à travers les écrans de fumée qu'eux et d'autres propagent mais ils possèdent probablement une avance de plusieurs années dans le domaine. Et même si leurs réseaux étatiques (militaires comme civils) se font attaquer quelques millions de fois par jour (!), et même si la Chine a des ambitions qu'elle peut difficilement nier, et même si quelques pays entretiennent ou développent des moyens cyber-offensifs qu'il va de plus en plus falloir intégrer dans la balance des forces.

Au fait, me direz-vous, c'est quoi ce programme Cinder ? Rien d'autre qu'un programme de surveillance automatisé chargé de débusquer les méchants de l'intérieur. C'est à dire toute personne civile ou militaire travaillant pour la Défense et dont le comportement pourrait s'apparenter à Bradley Manning. Sauf que là, le système aura pour objectif de détecter tout comportement numérique anormal avant qu'une fuite éventuelle ou une trahison n'ait lieue !

A côté de cela, le filtrage des salariés dans l'entreprise me paraît gravement laxiste et libertaire !

Oui-Oui et les cyber menaces

En septembre 2010, j'évoquais la montée en puissance de l'US CYBERCOM, l'unité interarmes américaine chargée de fédérer ses homologues distribuées au sein de l'Armée de terre ("Army Cyber Command"), de la Marine ("Fleet Cyber Command"), de l'Armée de l'air ("Air Forces Cyber Command") et enfin du corps des Marines ("USMC Cyber Forces Cyberspace Command").

Ces entités militaires sont chargées de la lutte contre les menaces dans le cyberespace et sont dotées de moyens offensifs et non-cinétiques. Elles ne sont néanmoins pas les seules puisque le DHS, le FBI ou la NSA possèdent également leurs propres forces. On sait évidemment que les Etats-Unis disposent d'un budget militaire et de sécurité intérieure sans équivalent dans le monde mais j'aimerai souligner l'intérêt qu'il y a d'entretenir une "saine" émulation entre toutes ses agences et entités : au final, elles luttent contre les mêmes menaces mêmes si celles-ci ont des origines et des motivations différentes, tout en développant leurs propres spécificités. C'est une richesse incomparable qui illustre le principe de "la somme de mes entités/individualités est légèrement supérieure aux quantités prises individuellement".

Je reste donc très respectueux voire même légèrement fasciné quand l'une ou l'autre de ses entités publie sa propre doctrine d'emploi. D'autant plus fasciné, par exemple, lorsque l'on mesure le degré de difficultés pour une agence intégrée européenne (ENISA*) ou même "locale" (ANSSI*) pour publier de tels documents. Par respect dépit, je ne parlerai même pas des moyens qui y sont (ou devraient être) associés !

PS : il est vrai que j'abuse quand même. L'ENISA a publié un guide de gestion des cyber incidents le mois dernier, grande avancée s'il en est ! Et l'ANSSI vient, d'hériter pas un décret "tout chaud" de vendredi dernier, d'une nouvelle fonction "en cas d’attaque informatique majeure contre la Nation, [afin] d’organiser la réponse et de décider des premières mesures urgentes à faire mettre en œuvre notamment par les administrations et à terme par les opérateurs de communications électroniques". Nous voilà rassurés !

Complexité et beauté de Stuxnet

Wired a publié vendredi 11 février un article bien documenté sur la typologie d'introduction de Stuxnet avant qu'il ne s'active et ne cause des dommages, difficilement quantifiés depuis, au sein du programme nucléaire iranien. La méthodologie retenue est somme toute "logique" puisque ne pouvant utiliser l'internet, seuls restent des vecteurs physiques de type support amovible (clé USB) afin de contaminer l'un des réseaux locaux (mais isolé) du programme nucléaire.

Cinq Six organisations/groupes, dont on ne sait rien pour le moment mais dont on peut supposer un lien direct ou indirect avec le programme nucléaire, ont été ciblées et ont fait l'objet d'attaques temporelles successives. Les deux premières vagues ont eu lieu en juin et en juillet 2009 puis il y a eu neuf mois d'inactivité complète avant que trois autres vagues n'aient lieu (mars, avril et mai 2010).

Symantec, qui a mené ces analyses, est capable de dire que c'est l'attaque conduite en mars 2010 qui a obtenu le taux de réussite le plus important (69%). Deux autres informations intéressantes émergent du rapport : il n'a fallu qu'une douzaine d'heures entre l'introduction réussie de Stuxnet et que sa charge devienne active (du point de vue logiciel). Enfin, Stuxnet semble avoir été conçu pour être uniquement "LAN-based" ("réseau local") afin de ne pas s'échapper into the wild (dans l'Internet).

Si ces informations viennent à être confirmées, on peut de nouveau souligner la grande complexité  opératoire de ce code malveillant high-tech. Enfin, je signale qu'une partie du code décompilé de Stuxnet est disponible ici. A projeter le samedi soir en soirée, pour faire son geek ! :)

D'ailleurs, en parlant de geek, la toile bruisse ces dernières heures d'une rumeur insistante : les Anonymous auraient déclaré être entrés en possession de Stuxnet. On imagine aisément la vision d'Apocalypse relayée par certains média. La bonne question à se poser serait : qui a intérêt à quoi ? Je pense que l'on assiste à de la désinformation voire de l'intoxication informationnelle. Cet article, sérieux et étayé, semble confirmer mon sentiment.