lenouvelobs.com - 5.06.2011
Interview de Nicolas Arpagian(*)
En annonçant qu'ils pourraient répondre militairement à des cyberattaques, les États-Unis soulèvent plus de questions qu'ils n'apportent de réponses, estime Nicolas Arpagian, spécialiste de la cyberguerre.
Selon le Wall Street Journal, les États-Unis s’apprêtent à revoir leur doctrine militaire pour y inclure les cyberattaques comme des actes de guerre. En cas de cyberattaque, ils envisagent "toutes les options possibles", y compris une réponse militaire. C’est le signe que nous entrons bel et bien dans une nouvelle ère, celle de la cyberguerre ?
- On y est déjà. Les cyberattaques se sont multipliées dernièrement, la derrière en date étant celle du piratage de comptes Gmail. C’est surtout le signe que les Américains ont décidé de s’emparer publiquement du sujet. En prenant ainsi les devants, ce sont eux qui donnent le tempo sur la manière dont le sujet va être débattu à l'international.
Ces annoncent sont un ballon d’essai. Mais aussi une vraie démonstration de force, car au lieu de se tourner vers l'Otan et l'Onu pour discuter des modalités de la riposte, Washington a décidé d’opérer de manière unilatérale. Ce qui laisse entendre qu’ils considèrent internet comme leur territoire d'action et non comme un bien commun.
Mais aucun droit international ne régit ce type de conflit…`
- Il n'existe à ce jour qu'un seul texte sur le droit international de l'internet. C'est la Convention de Budapest, de novembre 2001, qui relève du Conseil de l'Europe. A l'origine, cette convention avait pour but de lutter contre la pédopornographie. Car c'est le sujet qui semblait être le plus petit dénominateur commun.
Du côté de l'Onu, il y a eu des tentatives pour réguler internet. En 2003, un Sommet mondial pour la société de l'information (SMSI) s’est réuni à Genève, puis en 2005… à Tunis (un choix curieux pour parler d'internet, alors qu'y sévissait la censure)… Sans grand succès.
Les États sont ambivalents : ils crient au loup, mais quand cela les arrange, ils ferment les yeux (en rejetant par exemple la responsabilité sur des internautes isolés). Le fait que ce sujet n’ait pas été traité lors de l'eG8 montre qu'il n'y a pas de consensus international sur cette question.
Car il va falloir, un jour où l’autre, désigner des coupables. C’est d’autant plus délicat que l’on peut très bien imaginer que des cyberattaques, comme celle qui a été perpétrée contre Bercy, peuvent venir d’un État allié qui peut être en même temps un concurrent. C'est la raison pour laquelle les États sont réticents à se lancer dans une véritable coopération. Si, pour l’instant, ce sont les Américains qui ont pris la tête de la réflexion, on voit que cela commence néanmoins à se réveiller ailleurs : les Anglais ont commencé à intégrer dans leur doctrine de défense un volet cyber, la France a sorti un document il y a quelques jours et l’Europe remet sur pied l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA). Mais c'est chacun dans son coin.
Y a-t-il au moins un consensus sur ce qu’est une cyberattaque ?
- Non, tout cela reste très flou. Je considère pour ma part qu’une cyberattaque a deux composantes : les tuyaux et les contenus. Pour ce qui est des tuyaux, il s’agit d’une attaque qui a pour but d’espionner, de modifier à distance votre système informatique, de l'interrompre ou de le mettre hors d'état de fonctionner. Pour ce qui est des contenus, WikiLeaks est un bon exemple.
Est-ce que les Américains considèrent WikiLeaks comme un acte de guerre ? Bradley Manning (le soldat américain qui est la source présumée de WikiLeaks dans l'affaire de la vidéo d'une "bavure" commise par les troupes américaines en Irak, ndlr.) était autorisé à avoir accès à ces informations, il n'y a pas eu de piratage informatique, il a uniquement rendu publiques des informations qui n’étaient pas destinées à l’être. Ce faisant, il a porté un coup violent à l’administration américaine.
Mais c’est loin d’être le seul problème que pose cette prise de position des Américains.
C’est-à-dire ?
- On ne peut commencer à envisager une riposte que lorsqu’on n'a pas de doute sur l'identité de l'assaillant. Or, dans le cadre des cyberattaques, il est extrêmement difficile d’identifier qui est à l’origine de l’agression. Ce n’est pas parce qu’une attaque informatique émanera apparemment de serveurs basés en Belgique – pour prendre un exemple autre que chinois ! – que ce sont des Belges ou l'État belge lui-même qui sont à l'origine du forfait.
C’est d’ailleurs ce qui avait été répondu à l’Estonie quand, victime d’une cyberattaque au printemps 2007, elle avait demandé l’aide de l'Otan : sans certitude sur l'identité de l'assaillant, pas de riposte.
A mettre également dans la liste des problèmes d’identification, le « cloud computing » (qui consiste à exporter des données informatiques sur des serveurs distants, ndlr.), qui dissémine l’information.
Ce n’est pas tout : si une attaque militaire porte sur des équipements informatiques, et que l'on veut détruire des serveurs, encore faut-il être bien certain que les serveurs en question ne font fonctionner que des équipements de mon agresseur. Car un même serveur peut être utilisé simultanément pour différentes fonctions, pour un barrage hydraulique et un hôpital par exemple. On peut donc imaginer que des régimes puissent s’en servir comme on utilise des enfants pour en faire des boucliers humains.
Les États-Unis disent envisager de recourir à l’option militaire…
- C’est encore un autre problème qui pose la question de la proportionnalité de la contre-attaque. Une cyberattaque ne tue pas forcément. Comme va-t-on proportionner la riposte ?
On a l'impression, pour l'instant, que c'est une partie qui se joue entre les Américains et les Chinois…
- C’est vrai. Il y a à l'évidence une rivalité entre eux sur le terrain d’internet. Ces deux pays ont la particularité d’avoir une économie internet qui leur est propre : la Chine a son propre ebay, avec alibaba.com, son google avec baidu... C’est un atout non négligeable. Car face aux cyberattaques, la question de la nationalité d'une entreprise et des autorités auxquelles elle estime être inféodée va de plus en plus se poser. Car vous n'aurez pas de souveraineté à partir du moment où vous serez dépendant des autres pour l'application de votre stratégie. Sur le terrain de la cyberguerre, il va falloir maintenir des opérateurs de confiance, une industrie de souveraineté.
(*) Auteur de "La cyberguerre - La guerre numérique a commencé" (2009, ed. Vuibert), par Sarah Halifa-Legrand
http://hightech.nouvelobs.com/actualites/depeche/20110604.OBS4488/cyberguerre-la-demonstration-de-force-des-etats-unis.html
Portail