Sécurité informatique : le système français de cyber défense est-il un gruyère ?

Atlantico : Ce jeudi, le sénateur Jean-Marie Bockel présente à la presse son rapport sur la sécurité des réseaux. Après deux attaques informatiques contre l'Elysée ces derniers mois, certains commentateurs soulèvent l'existence de failles. La France est-elle suffisamment protégée ?

Michel Nesterenko : Est-on protégé ? Oui. Est-ce efficace ? Sans doute pas. Cela dit, que l’Elysée soit attaqué n’est pas étonnant. C’est une cible de choix. Qu’il ne puisse pas se défendre, ce n’est pas étonnant, quand on sait que les sites les plus sécurisés de l’armée américaine sont régulièrement pénétrés. Aussi, que le réseau de l’Elysée soit ″ouvert″ n’est pas extraordinaire.

Le problème est que dans la majorité des cas, on ne sait pas qu’il y a eu pénétration du réseau. C’est souvent découvert plus tard, accidentellement. Même l’armée américaine, qui a beaucoup travaillé là-dessus, ne s’en rend compte que rarement, ou seulement a posteriori. Sauf si les hackers publient vos informations confidentielles, auquel cas tout le monde est au courant que votre réseau est une passoire.

Comment expliquer les difficultés rencontrées pour repérer ces cyber attaques ? Est-ce une affaire de compétences techniques, manque-t-on de « gentils hackers », … ?

Tous ces facteurs entrent en compte. Il s’agit d’informations virtuelles, qui se déplacent à la nanoseconde sur les réseaux électroniques, qui requièrent donc une myriade d’outils spécialisés. En outre, mettre en place un système de protection informatique coûte extrêmement cher : c’est une analyse constante, des flux d’informations énormes à brasser, et une formation très qualifiée qui est très onéreuse. Il est parfois difficile de trouver ceux qui en seront capables : les bons hackers ne sont pas ceux qui sortent des grandes écoles. Et ce ne sont pas ceux qui sortent des grandes écoles qui sont de bons chasseurs de hackeurs.

En clair, la défense est un métier très difficile qui coûte très cher. Or, ni les entreprises ni les administrations n’y mettent le prix.

Quel est le risque d'une telle attaque ? Que recherchent les pirates ? 

Il y a tout d’abord les mafias, qui possèdent des laboratoires très sophistiqués, bien équipés, avec des ordinateurs très puissants. Eux cherchent l’argent. Aujourd’hui, ils peuvent en gagner bien plus avec le piratage informatique qu’avec la drogue ou le trafic d’êtres humains, pratiquement sans risque. On peut même manipuler la bourse en trafiquant les informations des systèmes boursiers. Certains ont gagné des centaines de millions, voire des milliards...

Deuxièmement, il y a les hackers qui réalisent ces attaques pour, disons, embarrasser quelqu’un. Les personnalités politiques au premier chef.

D’autres hackers font cela pour leur ego, pour le plaisir d’avoir pénétré impunément un système. Ces derniers ne se font pas forcément connaître.

Enfin, les hackers « gouvernementaux » comme les armées américaine, chinoise, russe et israélienne font une cartographie détaillée des réseaux des pays qui les intéressent, de façon à pouvoir « étouffer » ce pays au moment choisi.

Il y a donc diverses motivations, et il est difficile de savoir qui fait qui et pour quelles raisons.  

D’où viennent les cyber attaques ?

Tout d’abord des États-Unis, ensuite de la Russie, puis de la Chine. Quant aux grandes mafias, elles opèrent généralement depuis l'Ukraine et l'Europe de l’Est.

Les réseaux sont-ils plus sécurisés à l'étranger qu'en France ?

Non. La norme serait le département de la défense américaine. Or c’est, selon les études, une véritable passoire. Il est vrai que certains États ont des réseaux particulièrement protégés, comme Israël. C’est peut-être le meilleur, dans la mesure où Israël est constamment, chaque minute, chaque jour, attaquée par des professionnels – ne serait-ce que l’Iran par exemple, qui dispose de moyens informatiques phénoménaux.

L’électricité, l’eau, les communications du pays n’ont pas été visiblement perturbées. D’où on peut conclure qu’Israël est bien défendue.

L'Agence nationale de la sécurité des systèmes d'information assure et contrôle la sécurité des réseaux en France.Peut-on centraliser ce contrôle, puisque les attaques peuvent toucher à la fois les administrations et les entreprises (comme Areva en octobre 2011) ? 

Définitivement non. Le gouvernement ne peut pas centraliser la défense informatique. Les Etats-Unis s’y essaient depuis plus de dix ans – sans succès. Car les entreprises ont des informations confidentielles qu’elles ne peuvent pas partager avec le gouvernement. Le fait que des informations critiques pour l’entreprise soient aux mains des mafias ou autres signifie forcément des dommages certains pour l’entreprise au travers de la bourse.

Certaines banques ont souffert de la découverte que leur réseau avait été compromis, que nos comptes en banques étaient tombés aux mains des hackers. Elles en ont payé le prix à la bourse.

Dès lors, de penser que l’on peut centraliser la défense est une utopie que personne n’a réussi à accomplir à ce jour.

Au final, est-il possible de contrôler des pirates délocalisés et des attaques évanescentes ?

La voie juridique est inefficace dans 80% des cas. Tout d’abord, parce que les responsables sont difficiles à identifier. Ensuite, parce qu’ils ne se trouvent pas toujours dans un environnement où ils peuvent être extradés. Les quelques hackers qui ont été interpellés par les tribunaux américains étaient originaires d’Europe occidentale. Au contraire, ceux qui officient en Europe de l’Est sont rarement inquiétés sur le plan juridique.

Peut-on neutraliser les hackers ? Cela dépend... S’il s’agit de l’armée russe, de l’armée américaine ou de l’armée chinoise,  non. L’armée américaine a aujourd’hui une division offensive de hackers, et non plus défensive, qui a déjà attaqué l’Iran. La méthode de neutralisation aujourd’hui prônée par l’armée américaine est d’envoyer des tueurs sur les traces du hacker. Elle en a obtenu l’autorisation par la Maison Blanche, sous condition d’ordre de l’exécutif.

Donc oui, on peut les neutraliser. Mais est-on prêts à aller jusque là ?

Propos recueillis par Ania Nussbaum