lire - IPM

L A L I B R E
Opinion - INFORMATIQUE
Lacyber-insécurité
JEAN-LUC FLEMAL
M Les systèmes de contrôle informatisés utilisés par les compagnies d’électricité sont considérés comme vulnérables à des attaques, qui pourraient priver des villes et des régions de courant pendant des jours ou des semaines.
DR
w Les menaces et les guerres cybernétiques potentielles
illustrent la vulnérabilité croissante et la perte de contrôle
des sociétés contemporaines.
Joseph S. NYE, Jr
Professeur à Harvard (*)
En août 2008, les troupes russes
sont entrées en Géorgie. Alors
que les observateurs débattent
encore du fait de savoir qui a tiré
en premier, une nouvelle dimension du
conflit, qui aura des répercussions importantes
à l’avenir, est passée quasiment inaperçue.
Dans les semaines qui ont précédé le début
des hostilités, des pirates informatiques
ont attaqué les sites Web du gouvernement
géorgien. Le conflit armé entre la
Russie et la Géorgie est le premier à avoir
été précédé par des attaques de conséquence
dans le cyberespace. Bienvenue au
XXI e siècle.
Les menaces et les guerres cybernétiques
potentielles illustrent la vulnérabilité
croissante et la perte de contrôle des
sociétés contemporaines. Les gouvernements
se sont essentiellement préoccupés
des attaques de pirates informatiques contre
les infrastructures informatiques de
leur bureaucratie, mais il existe des vulnérabilités
au plan social dont l’enjeu est
bien supérieur aux ordinateurs gouvernementaux.
Dans une lettre ouverte adressée au
président américain en septembre 2007,
les spécialistes de la cyberdéfense lançaient
un signal d’alerte concernant le fait
que les “infrastructures vitales des Etats-
Unis, comme le réseau électrique, la finance,
les télécommunications, la santé, les
transports, l’eau, la défense et l’Internet
sont extrêmement vulnérables à des cyberattaques.
Il est nécessaire de prendre rapidement
et résolument des mesures pour éviter
un désastre national”. Mais dans le
monde opaque de l’Internet, il est difficile
d’identifier les attaquants.
Le monde interconnecté d’aujourd’hui
fait qu’une cyberattaque contre des infrastructures
non gouvernementales peut
avoir des conséquences catastrophiques.
Certains experts pensent par exemple que
les réseaux électriques sont particulièrement
sensibles. Les systèmes de contrôle
informatisés utilisés par les compagnies
d’électricité sont considérés comme vulnérables
à des attaques, qui pourraient priver
des villes et des régions de courant pendant
des jours ou des semaines. Des cyberattaques
sont également possibles contre
les marchés financiers et pourraient causer
des pertes astronomiques en fermant
des sites Web commerciaux.
Certains scénarios, notamment celui
d’un “Pearl Harbour informatique”, semblent
alarmistes, mais ils soulignent le déplacement
du pouvoir, des gouvernements
centraux aux individus. En 1941, la marine
japonaise a mobilisé toutes les ressources
disponibles pour infliger des dommages à
plusieurs milliers de kilomètres.
Aujourd’hui, à l’aide d’un logiciel malveillant,unpirateinformatiquepeutprovoquer
le chaos à l’autre bout du monde sans
pourautants’exposerpersonnellement.
De plus, la révolution de l’information
permet à des individus d’effectuer des cyberattaques
à une vitesse et d’une ampleur
sans précédent. Le fameux virus informatique
“Love Bug”, lancé aux Philippines
en 2000, aurait causé des dommages
estimés à plusieurs milliards de dollars.
Les terroristes peuvent également se servir
des failles du cyberespace pour lancer
une guerre asymétrique.
En 1998, lorsque les Etats-Unis ont
porté plainte contre sept adresses Internet
localisées à Moscou et à l’origine du vol de
données sensibles du Pentagone et de la
Nasa, le gouvernement russe a répondu
que les numéros de téléphone utilisés pour
les attaques informatiques étaient inopérants.L’administrationaméricainen’avait
aucun moyen de savoir si le gouvernement
russe était impliqué ou non.
Plus récemment, en 2007, la Chine a été
accusée d’avoir initié des milliers d’attaques
informatiques contre les ordinateurs
du gouvernement fédéral allemand et contre
les systèmes informatiques de la Défense
et du secteur privé aux Etats-Unis.
Mais il était difficile de prouver que le gouvernement
chinois était bien à l’origine de
ces attaques et le Pentagone a dû fermer
certains de ses réseaux informatiques.
En 2007, lorsque le gouvernement estonien
a décidé de déplacer une statue de la
Seconde Guerre mondiale commémorant
les morts soviétiques, des hackers ont
réagi par des attaques en déni de service
qui ont bloqué l’accès de l’Estonie à l’Internet.
De nouveau, il n’y avait aucun moyen
de savoir si le gouvernement russe, ou une
réaction nationaliste d’un individu, ou les
deux, était responsable
de ces attaques transnationales.
En janvier 2008,
George W. Bush a signé
deux décrets présidentiels
formalisant une
série de mesures visant
à protéger les systèmes
d’information gouvernementaux
contre les
attaques informatiques,
pour un montant
de 6 milliards de dollars
au budget 2009. Il
DU POUVOIR
est probable que le président
élu Barack Obama poursuivra dans
cette voie. Au cours de la campagne présidentielle,
Obama a appelé à l’adoption de
nouvelles normes plus strictes de sécurité
informatique et de résistance physique des
infrastructures critiques, et a promis de
nommer un conseiller en informatique,
chargé du développement d’une politique
nationale et de la coordination des agences
fédérales, qui lui rendrait compte directement.
Cette tâche ne sera pas aisée, parce
qu’une grande partie des infrastructures
concernées ne sont pas sous contrôle direct
du gouvernement. Très récemment, le premier
directeur adjoint du renseignement
américain, Donald Kerr, a affirmé que “les
CERTAINS SCÉNARIOS,
NOTAMMENT CELUI
D’UN “PEARL HARBOUR
INFORMATIQUE”,
SEMBLENT ALARMISTES,
MAIS ILS SOULIGNENT
LE DÉPLACEMENT
principales pertes de données sensibles
dans nos programmes gouvernementaux
ne sont en général pas le fait d’espions… En
fait, l’une de mes plus grandes préoccupations
est qu’une partie tellement importante
des nouvelles capacités dont nous dépendrons
tous ne sera plus développée par
des laboratoires gouvernementaux sous
contrat avec l’administration”.
Kerr a décrit ce qu’il appelle des “attaques
de la chaîne d’approvisionnement” au
cours desquelles les pirates informatiques
ne se contentent pas de dérober des informations
confidentielles, mais insèrent en
plus de fausses données et des logiciels –
des chevaux de Troie qui permettent de
prendre à distance le contrôle d’un ordinateur
ou de bloquer les systèmes informatiques.
Tous les gouvernements se trouvent
confrontés à ce nouveau genre de menaces
qui sont difficiles à contrer.
Les gouvernements peuvent tenter de
se protéger des attaques informatiques de
la manière qu’ils se protègent des attaques
nucléaires ou d’autres
formes d’agression.
Mais la dissuasion doit
s’accompagner de mesures
crédibles de représailles,
ce qui devient
plus compliqué
dans un monde où les
gouvernements ne savent
pas si les attaques
sont le fait d’un Etat
hostile ou d’un groupe
de criminels se faisant
passer pour un pays
étranger.
Bien qu’un arsenal
juridique international définissant clairement
les cyberattaques, accompagné
d’une coopération concernant les mesures
préventives, pourrait être un pas dans la
bonne direction, il est probable qu’il ne soit
pas suffisant. La mise en place de systèmes
pare-feu et la redondance des systèmes
sensibles ne constitueront pas non
plus une protection satisfaisante.
Compte tenu des énormes incertitudes
en jeu, les nouvelles dimensions cybernétiques
de la sécurité devraient être placées
au premier rang des préoccupations gouvernementales.
n
w (*) Dernier ouvrage : “The Powers to Lead”
w © Project Syndicate, 2008.www.project-syndicate.org.
Traduit de l’anglais par Julia Gallin
L A L I B R E B E L G I Q U E VENDREDI 26 DÉCEMBRE 2008 41
© S.A. IPM 2008. Toute représentation ou reproduction, même partielle, de la présente publication, sous quelque forme que ce soit, est interdite sans autorisation préalable et écrite de l'éditeur ou de ses ayants droit.