Cyberguerre, Hacktivisme, l’informatique dans les nuages
1.3 Des menaces d’un autre horizon
1.3.1 Cyberguerre, Hacktivisme
Internet employé comme une arme incarne parfaitement le principe des conflits dit asymétriques.
Les parties prenantes n’y sont pas nécessairement de même nature juridique – il peut s’agir d’un Etat, d’une entreprise, d’un collectif de militants ou d’un individu isolé –124 Un collectif de militants a justement beaucoup fait parler de lui, notamment dans le cas des botnets volontaires que nous avons explicité auparavant.
Il s’agit des Anonymous125, des hacktivistes (contraction de hacker et activisme) connus notamment pour avoir initié l’opération payback126 (qui a consisté à lancer des attaques contre les sites ayant porté préjudice à Wikileaks, et auquel notre jeune auvergnat avait participé).
Ils ont également menacé Sony126 suite à l’attaque d’envergure qu’à connu cette plateforme, de piratage de coordonnées bancaires.
124 ARPAGIAN (Nicolas), La cybersécurité, août 2010, PUF, p24.
125 http://fr.wikipedia.org/wiki/Anonymous_(communauté)
Nouvelle conscience de la toile ou nébuleuse anarchique de cyber- activistes ? telle est la question.
Les Anonymous sont sur tous les fronts, au chevet de WikiLeaks, aux côtés des insurgés d’Egypte et de Tunisie…Jeunes geeks127 ou militants politiques, ils disent n’avoir qu’un combat: la liberté d’expression128. Mais au point de vue des systèmes informatiques, il s’agit bien entendu d’une nouvelle menace, de mise au point ou d’utilisation commune de logiciels d’attaques comme LOIC qui appellent éventuellement d’autres attaques individuelles ou collectives.
Le risque est de banaliser ces pratiques et de contribuer encore plus à l’insécurité générale d’internet, mais également de se faire condamner pénalement sans avoir pris conscience de l’acte accompli, sous prétexte de défendre une idée noble : la liberté d’expression.
Voici par exemple ce pour quoi se battent les Anonymous : (ACTA est un accord commercial anti contrefaçon129)
126 Voir annexe 7, illustration Opération Payback et Avertissement à Sony
127 http://fr.wikipedia.org/wiki/Geek
128 http://tempsreel.nouvelobs.com/actualite/vu-sur-le-web/20110223.OBS8575/enquete-planete- anonymous.html
129 http://fr.wikipedia.org/wiki/Accord_commercial_anti-contrefaçon
Dans la suite de cela, la cyberguerre est également une réalité, qui n’est que la continuité de la cybercriminalité avec l’introduction d’autres moyens130 :
En 2008, des piratages informatiques subis par la Georgie ont obligé l’aviation militaire, une flotte de 18 appareils, à rester au sol. Des raids informatiques ciblés ont opportunément infecté les réseaux locaux de commandement et de conduite des opérations aériennes131.
En 2008, Roger Romani, dans son rapport : Cyberdéfense, un nouvel enjeu de sécurité nationale132, insistait déjà sur le fait qu’il est en effet particulièrement tentant pour un agresseur, qu’il s’agisse d’un groupe non étatique ou d’un Etat, d’utiliser l’arme informatique pour perturber la vie courante, générer des troubles, accéder à des informations sensibles du point de vue politique, économique et militaire, et amoindrir nos capacités d’action.
Il soulignait également que nous ne disposons pas de véritable capacité de surveillance et de détection des attaques informatiques. L’attaque de Bercy que nous avons déjà évoqué est un exemple flagrant d’un acte possible de cyberguerre par une autre puissance étatique.
Il est essentiel de garder en tête que la cyberguerre est le fruit de solutions technologiques de pointe. Le virus Stuxnet l’illustre parfaitement.
130 Général d’armée WATIN-AUGOUARD (Marc), Revue de la Gendarmerie Nationale, Cybercriminalité, 1er trimestre 2010, p8
131 ARPAGIAN (Nicolas), op-cit, p28.
132 Rapport d’information n° 449 (2007-2008) de M. Roger ROMANI, fait au nom de la commission des affaires étrangères, déposé le 8 juillet 2008, site internet : www.senat.fr.
1.3.2 L’informatique dans les nuages : une menace ?
Le Cloud Computing133 ou informatique dans les nuages, marque la naissance d’un concept qui consiste à externaliser les ressources informatiques, numériques à l’extérieur de chez soi ou de l’entreprise.
Un particulier, une entreprise n’aura plus besoin de stocker ses données sur son ordinateur local, mais le fera à distance, en se connectant à un serveur de stockage.
Il en va de même pour l’utilisation de certaines applications comme les traitements de texte par exemple. Plus besoin de disposer sur son ordinateur du logiciel et des données. Tout sera stocké et immédiatement disponible, à distance, au moyen d’une connexion internet rapide.
Mais cette externalisation signifie t’elle également une externalisation du risque ?
Le Cloud Computing entraîne une dépendance vis-à-vis du fournisseur qui dispose ainsi d’une mainmise sur les ressources informatiques du client.
133 Selon AGHROUM (Christian), op-cit, p 54 (définition du Cloud Computing) : L’informatique dans les nuages, au-delà d’une belle image poétique, décrit l’avènement d’une nouvelle génération d’internet. Jusqu’à présent, l’ordinateur contient les logiciels qui l’aident à fonctionner et dispose du stockage nécessaire soit à ce fonctionnement, soit à la conservation des données. Le Cloud Computing : c’est l’avènement de logiciels d’accès gratuit ou loués à la demande, la conservation de données « quelque part » et dans un « quelque part » de moins en moins physique et de plus en plus immatériel…
Le risque lié à la confidentialité des données peut également être accrue, si l’on ne dispose pas de garanties sur cette confidentialité (les serveurs de stockage peuvent être physiquement à l’étranger avec une législation parfois différente).
Le Cloud Computing fait l’objet de plusieurs menaces, les deux principales concernent les données et la surveillance du réseau de l’entreprise.
Le concept de Cloud Computing peut en effet mettre en péril la confidentialité et l’intégrité des données. Quand on virtualise ses ressources, on perd l’habitude d’avoir une vue sur le contenu.
Avec le Cloud Computing, on ne sait plus où il se trouve physiquement. Or les directions n’ont pas toujours conscience de cette menace. Le recours à ce concept est une décision économique.
Ce choix est subi dans 90 % des cas par les DSI, précise Eric Domage, spécialiste de la sécurité au cabinet de recherche en technologies de l’information134.
Heureusement, nous verrons ultérieurement qu’il existe des solutions pour sécuriser le Cloud Computing car s’il peut constituer financièrement une bonne affaire, il en va tout autrement des données transférées.
Un tel transfert exige la mise en place d’une politique de sécurité informatique très rigoureuse135.
134 http://pro.01net.com/editorial/501640/le-cloud-computing-une-menace-pour-les-entreprises/
135 ARPAGIAN (Nicolas), op-cit, p41.
