Sujet: Bouclier cybernétique Dim 19 Sep 2010 - 18:21
Le Pentagone plaide pour une cyberdéfense internationale
Le Monde, avec AFP - jeudi 16 septembre 2010
Citation :
L’Otan doit se doter d’un "bouclier cybernétique" comme elle s’est dotée d’un bouclier nucléaire, afin de protéger ses économies et ses armées de toute déstabilisation informatique via Internet : c’est le message délivré mercredi par le ministre adjoint de la défense des Etats-Unis, William Lynn.
M. Lynn, qui venait de discuter de ce dossier au siège bruxellois de l’Otan avec les représentants des alliés, s’est dit impressionné par l’"unité de vue" de "la plupart" en faveur d’une défense informatique. "L’alliance a un rôle vital à jouer en installant un filet de sécurité autour de nos réseaux", a ajouté M. Lynn, plaidant en faveur de l’organisation d’une "défense collective" comme au temps de la guerre froide, par le biais de l’interconnexion des systèmes de défense informatique des pays alliés.
ANALOGIE AVEC LA GUERRE FROIDE
"L’Otan a un bouclier nucléaire, elle construit un bouclier antimissile de plus en plus puissant, elle a besoin aussi d’un bouclier cybernétique", a estimé M. Lynn pendant un colloque organisé par un club de réflexion, le SDA.
Selon le numéro deux du Pentagone, "plus de 100 services de renseignement ou gouvernements étrangers essayent quotidiennement de pénétrer les systèmes informatiques américains". L’Estonie, pays de l’Otan, a été victime en 2007 d’une vaste attaque informatique qui paralysa les réseaux de ses entreprises et de son gouvernement des jours durant. Le Pentagone lui-même a dû en 2008 revoir le dispositif de défense de ses propres réseaux numériques à la suite d’un brouillage de l’informatique militaire américaine via une clé USB insérée dans un ordinateur portable au Moyen-Orient.
Sujet: Re: Bouclier cybernétique Dim 19 Sep 2010 - 18:25
Le fantasme du bouclier cybernétique
septembre 18th, 2010
Secrétaire adjoint américain à la défense et « lobbyiste-en-chef » de la firme Raytheon, William Lynn III a le ton juste lorsqu’il plaide pour une cybersécurité conjointe entre pays membres de l’OTAN. Mais lorsqu’il suggère de forger un « bouclier cybernétique » à l’image du bouclier anti-missile ou de concevoir un « filet de sécurité » autour des réseaux de l’Alliance, il fonce tout droit dans l’ineptie… ou dans le marketing.
Citation :
Cette approche chaudement inspirée de la guerre froide et de la dissuasion nucléaire n’a strictement aucun sens dans l’univers « pluri-connecté » et multi-dimensionnel des réseaux. En fait, elle est le pur produit d’une huile stratégique certainement calée en matière de défense mais embourbée dans sa zone de confort intellectuel lorsqu’il s’agit de cyberdéfense.
Quelle forme prendrait ce bouclier cybernétique ou ce filet de cybersécurité ? Consisterait-t-il à isoler les réseaux informatiques - toutefois interconnectés - des pays membres de l’OTAN ? S’agit-il d’un pare-feu particulièrement original ou d’une version atlantique de la « cybemuraille de Chine » censée protéger les réseaux OTAN des maléfices du Net ? Les réseaux civils hautement stratégiques (eau, électricité, gaz, carburants, télécommunications, transports, finance, médias, industries) sont-il également concernés ?
Le blog ami CIDRIS-Cyberwarfare fait valoir à juste titre ceci : « bien que moyennement capable de protéger nos propres réseaux, il faudrait encore s’interconnecter le plus possible. Comme cela, on est certain de faire encore plus de dégâts. Rappelons que la chaine n’est jamais plus solide que son maillon le plus faible ! »
Qu’en sera-t-il des failles critiques inhérentes aux machines et aux applications interconnectant les réseaux OTAN et les alimentant en données ? Un méchant effet domino (accidentel ou volontaire) et tout s’écroule. Le No 2 du Pentagone a certainement connaissance du cyber-espionnage faisant fureur au sein même de l’OTAN grâce à la nécéssaire introduction / exploitation de vulnérabilités dans les architectures informatiques alliées : troyens, backdoors, botnets, rootkits, etc. L’usage massif des réseaux numériques a prodigué une extraordinaire santé au renseignement entre alliés. Par ailleurs, les membres de l’Alliance pourront-ils tranquillement cyber-espionner d’autres nations sans se faire « e…der par ce truc », pour peu qu’il soit une quelconque faisabilité / utilité ?
Le bouclier cybernétique et le filet de cybersécurité relèvent du fantasme trop souvent répandu d’une défense automatisée en ligne. Or, une cyberdéfense automatique offre la possibilité à un intrus / un attaquant de tester indéfiniment ses modes opératoires et de trouver tôt ou tard une sournoiserie aussi furtive qu’efficace. D’une certaine façon, le hacking s’apparente plus à du judo ou à de l’aïkido qu’à du karaté ou à de la boxe thaï : utiliser la force ou détourner l’intelligence de l’adversaire pour le mettre au tapis. La preuve par les fameuses failles Zero Day dont l’existence n’est connue qu’après exploitation par des esprits malveillants.
Alléchés, tous les hackers en uniforme et tous les geek curieux se feront les dents sur cette « cybermuraille atlantique » jusqu’à l’inéluctable découverte d’une ou de plusieurs vulnérabilités. Pare-feux, antivirus, détecteurs de malwares n’ont point fait preuve de leur efficacité contre de savantes intrusions et attaques en ligne. Idem pour la cybermuraille de Chine. En effet, sur le champ de bataille numérique, l’Empire du Milieu est autant un agresseur qu’une victime… parmi tant d’autres.
Compte tenu des lois de la physique et de l’électronique, le seul réseau invulnérable est celui dans lequel aucune donnée ne circule. Les réseaux OTAN devront nécessairement échanger avec « ceux extérieurs » et donc abaisser peu ou prou leur bouclier tel l’Enterprise ouvrant ses défenses électromagnétiques afin de communiquer avec un vaisseau klingon ou romulien. Refuseront-ils les connexions même sécurisées avec les réseaux civils et avec les camarades russe, chinois, indien, pakistanais, brésilien, égyptien, sud-africain, israélien et saoudien ? Et si un petit malin dissimulait un code venimeux dans une connexion cryptée ?
Le blog allié Mon Blog Défense faisait récemment part de la ruée vers l’or cybersécuritaire. Mr Lynn aurait-il aperçu outre-Atlantique une aubaine pour quelque produit made by Raytheon ? Personnellement, je conseille vivement au No 2 du Pentagone d’acquérir cet ouvrage et d’offrir plusieurs exemplaires à ses homologues européens
Sujet: Re: Bouclier cybernétique Dim 19 Sep 2010 - 18:32
Amalgames et dérives : du nucléaire au cyber !
vendredi 17 septembre 2010
Citation :
Étant volontiers critique des approches en vogue de la "cyberdéfense", je ne peux m'empêcher de réagir aux propos de M. Lynn, le sous-secrétaire d'État à la défense des États-Unis, venus en Europe prêcher la bonne "cyber-parole"...
Entrons dans le vif su sujet : mon reproche porte essentiellement sur cette analogie persistante et déplacée avec le monde nucléaire...
Si je devais tracer à grands traits l'histoire récente de la stratégie militaire, je dirais que deux doctrines sont aujourd'hui particulièrement présentes : la dissuasion nucléaire, toujours d'actualité, et la contre-insurrection.
Or, la contre-insurrection semble s'appliquer à des problématiques "terrains" avec une empreinte technique relativement faible. En revanche, la doctrine nucléaire est, par essence, une doctrine qui s'attache à intégrer dans un concept militaire, un ensemble technologique très pointu.
De là à dire qu'en absence de pensée construite, on se contente de ressortir les vieilles recettes, il n'y a qu'un pas ! J'avoue que je pense réellement que cette solution de facilité permet aux discours de se servir de l'analogie nucléaire justifiée par une forme de base technologique commune.
J'ai déjà, dans plusieurs articles, esquissé, ce qui pour moi, cristallise le manque de pertinence de cette analogie.
Soyons pragmatique et précisons les reproches :
- "Bouclier cybernétique". Que vive la défense périmétrique ! Personnellement, ce discours a quelque chose de drôle au vu des dernières mésaventures de nos alliés outre-atlantiques à cause d'une clé USB.
Ce concept de défense périmétrique, tel que décrit ici, renvoie donc à une solution surannée et contestable qui aujourd'hui trouve ses limites. Elle est de plus en plus souvent accompagnée par d'autres mesures et approches : risques/menaces, sécurité dans un monde interconnecté etc etc...
- "l'organisation d'une "défense collective" comme au temps de la guerre froide, par le biais de l'interconnexion des systèmes de défense informatique des pays alliés."/...Alors là, je trouve qu'on touche le fond !
Bien que moyennement capable de protéger nos propres réseaux, il faudrait encore s'interconnecter le plus possible. Comme cela, on est certain de faire encore plus de dégâts. Rappelons que la chaine n'est jamais plus solide que son maillon le plus faible !
En revanche, je ne peux que me montrer en accord avec la notion de défense commune : en effet, le partage d'informations en temps réel, la capacité à détecter des attaques (analyse des signaux faibles + renseignement sur Internet) sont des facteurs d'amélioration de la sécurité de ces systèmes.
Cependant, il me parait également important de sortir des concepts pré-conçus pour en inventer de plus adaptés. C'est notamment la proposition que je faisais dans un précédent article de "réduction des fenêtres d'action" par la corrélation de différents moyens.
En revanche, je crois fermement que ces efforts de conceptualisation ne pourront s'affranchir d'une profonde période de recherche, d'analyse et de compréhension des mécanismes d'affrontement. En cela, la diversité des méthodes d'analyses déjà existantes paraissent tout à fait adaptées à l'objet d'étude. On pense à l'analyse stratégique par exemple mais également aux différentes théories de l'information.
De ces discours politiques, on retient ainsi un profond manque d'ancrage dans la réalité et l'opérationnel. Or, dans le cas de la "cyber-défense", le concept porte en lui de vrais problèmes qui auront un impact direct sur l'efficacité et les effets collatéraux.
Sujet: Re: Bouclier cybernétique Dim 19 Sep 2010 - 18:38
Les industriels de l'armement se tournent vers la cyberguerre
vendredi 17 septembre 2010
Dans un contexte marqué par des tensions budgétaires, EADS et Boeing ont annoncé qu'ils cherchaient activement des acquisitions potentielles, particulièrement pour réequilibrer leur portefeuille et maintenir leur chiffre d'affaires. Leur attention se porte notamment sur la "cybersécurité" ou l'informatique (d'ailleurs, Boeing a déjà racheté Argon ST un peu plus tôt cette année) et tout ce qui touche au renseignement et à la surveillance, domaines en forte croissance.
Citation :
Pendant ce temps, L-3 Communications fait aussi preuve d'un appétit d'ogre :
Defense contractor L-3 Communications Holdings is looking at intelligence, services and cybersecurity areas for potential deals and could spend much of its $1 billion cash on hand for acquisitions, its chief executive said on Thursday.
Bien évidemment, Northrop Grumman et Lockheed Martin, qui avec Boeing forment le podium des fournisseurs du pentagone, sont également de la partie.
Il faut dire que les propos de Barack Obama depuis 2009 indiquent clairement que la cybersécurité figure désormais bien au rang des priorités du plus gros budget mondial de défense, avec notamment la création de l'US Cyber Command. Et que, même si certains en doutent, le "cyberespace" deviendra peut-être un champ de bataille important dans un futur plus ou moins proche, à la fois pour les états et pour les entreprises.
Toujours est-il que la structure du marché est assez différente de celle que connaissent les principaux defense contractors : il s'agit d'un secteur très fragmenté, constitué de nombreuses niches avec des entreprises de tailles très variables, souvent très spécialisées et possédant des lignes de produits/services très réduites. D'où, s'il on ajoute la nécessité de mise à four très fréquente des cyberdéfenses (les nouvelles menaces ayant un "time-to-market" très réduit), le risque réel de tomber sur un mauvais cheval, à bout de souffle peu de temps après son acquisition. Ce qui change radicalement des aéronefs, tanks et autres systèmes de communications militaires (dont la conception, la fabrication et la commercialisation comportent bien évidemment d'autres écueils très importants).
Alors que les analystes estiment à plus de 50 milliards de dollars les dépenses des Etats-Unis sur le sujet d'ici à 2015, nul doute que la lutte sera rude. D'autant que pour le général Keith Alexander, directeur de la NSA, le pays a le devoir de "sécuriser" Internet :
We made the Internet and it seems to me that we ought to be the first folks to get out there and protect it. The challenge before us is large and daunting. But we have an obligation to meet it head-on
On ne sait pas précisément comment il compte s'y prendre, mais en tout cas la fin du monde semble nous pendre au nez :
The Internet is fragile. Our economic and national security, privacy and civil liberties are fully dependent on the Internet. It is critical we improve our security posture. The threats are real. Malicious actors a continent away can exploit our networks. They're becoming better organized and sophisticated at exploiting weaknesses in our technologies
septembre 18th, 2010 - Charles Bwele/Électrosphère, Sécurité, Technologie
Secrétaire adjoint américain à la défense et « lobbyiste-en-chef » de la firme Raytheon, William Lynn III a le ton juste lorsqu’il plaide pour une cybersécurité conjointe entre pays membres de l’OTAN. Mais lorsqu’il suggère de forger un « bouclier cybernétique » à l’image du bouclier anti-missile ou de concevoir un « filet de sécurité » autour des réseaux de l’Alliance, il fonce tout droit dans l’ineptie… ou dans le marketing.
Citation :
Cette approche chaudement inspirée de la guerre froide et de la dissuasion nucléaire n’a strictement aucun sens dans l’univers « pluri-connecté » et multi-dimensionnel des réseaux. En fait, elle est le pur produit d’une huile stratégique certainement calée en matière de défense mais embourbée dans sa zone de confort intellectuel lorsqu’il s’agit de cyberdéfense.
Quelle forme prendrait ce bouclier cybernétique ou ce filet de cybersécurité ? Consisterait-t-il à isoler les réseaux informatiques - toutefois interconnectés - des pays membres de l’OTAN ? S’agit-il d’un pare-feu particulièrement original ou d’une version atlantique de la « cybemuraille de Chine » censée protéger les réseaux OTAN des maléfices du Net ? Les réseaux civils hautement stratégiques (eau, électricité, gaz, carburants, télécommunications, urgences, transports, finance, médias, industries) sont-il également concernés ?
Le blog ami CIDRIS-Cyberwarfare fait valoir à juste titre ceci : « bien que moyennement capable de protéger nos propres réseaux, il faudrait encore s’interconnecter le plus possible. Comme cela, on est certain de faire encore plus de dégâts. Rappelons que la chaine n’est jamais plus solide que son maillon le plus faible ! »
Qu’en sera-t-il des failles critiques inhérentes aux machines et aux applications interconnectant les réseaux OTAN et les alimentant en données ? Un méchant effet domino (accidentel ou volontaire) et tout s’écroule. Le No 2 du Pentagone a certainement connaissance du cyber-espionnage faisant fureur au sein même de l’OTAN grâce à la nécéssaire introduction / exploitation de vulnérabilités dans les architectures informatiques alliées : troyens, backdoors, botnets, rootkits, etc. L’usage massif des réseaux numériques a prodigué une extraordinaire santé au renseignement entre alliés. Par ailleurs, les membres de l’Alliance pourront-ils tranquillement cyber-espionner d’autres nations sans se faire « e…der par ce truc », pour peu qu’il soit une quelconque faisabilité / utilité ?
Le bouclier cybernétique et le filet de cybersécurité relèvent du fantasme trop souvent répandu d’une défense automatisée en ligne. Or, une cyberdéfense automatique offre la possibilité à un intrus / un attaquant de tester indéfiniment ses modes opératoires et de trouver tôt ou tard une sournoiserie aussi furtive qu’efficace. D’une certaine façon, le hacking s’apparente plus à du judo ou à de l’aïkido qu’à du karaté ou à de la boxe thaï : utiliser la force ou détourner l’intelligence de l’adversaire pour le mettre au tapis. La preuve par les fameuses failles Zero Day dont l’existence n’est connue qu’après exploitation par des esprits malveillants.
Alléchés, tous les hackers en uniforme et tous les geek curieux se feront les dents sur cette « cybermuraille atlantique » jusqu’à l’inéluctable découverte d’une ou de plusieurs vulnérabilités. Pare-feux, antivirus, détecteurs de malwares n’ont point fait preuve de leur efficacité contre de savantes intrusions et attaques en ligne. Idem pour la cybermuraille de Chine. En effet, sur le champ de bataille numérique, l’Empire du Milieu est autant un agresseur qu’une victime… parmi tant d’autres.
Compte tenu des lois de la physique et de l’électronique, le seul réseau invulnérable est celui dans lequel aucune donnée ne circule. Les réseaux OTAN devront nécessairement échanger avec « ceux extérieurs » et donc abaisser peu ou prou leur bouclier tel l’Enterprise ouvrant ses défenses électromagnétiques afin de communiquer avec un vaisseau klingon ou romulien. Refuseront-ils les connexions même sécurisées avec les réseaux civils et avec les camarades russe, chinois, indien, pakistanais, brésilien, égyptien, sud-africain, israélien et saoudien ? Et si un petit malin dissimulait un code venimeux dans une connexion cryptée ?
Le blog allié Mon Blog Défense faisait récemment part de la ruée vers l’or cybersécuritaire. Mr Lynn aurait-il aperçu outre-Atlantique une aubaine pour quelque produit made by Raytheon ? Personnellement, je conseille vivement au No 2 du Pentagone d’acquérir cet ouvrage et d’offrir plusieurs exemplaires à ses homologues européens
