mercredi 30 novembre 2011

La pensée stratégique au défi du hacking et de la cyberguerre

L'impossible cyberespace

À l'ère de l'Internet et de la téléphonie mobile, la pensée stratégique éprouve de sérieuses difficultés à intérioriser le cyberespace comme elle le fait pour l'environnement terrestre, maritime ou aérien, ensemble ou séparément.

D'ores et déjà, nos rêves nocturnes se déroulent sur terre, dans les airs, dans les eaux, peut-être dans l'espace pour les plus oniriques, mais très rarement voire jamais dans le cyberespace. Cet environnement crée, recrée, exploité et nourri chaque jour par l'Homme constitue un défi d'un tout nouveau genre pour la pensée stratégique.

Jules César, Sun Tse, Clausewitz, Gengis Khan, Napoléon, Rommel, Patton et les stratèges contemporains ont toujours forgé des stratégies de guerre reposant sur trois facteurs : le mouvement, le projectile et le feu. Jusqu'ici, la conduite de la guerre a toujours impliqué la notion de mouvement des troupes et des véhicules de toutes sortes (terrestres, maritimes, aériens), armées de divers projectiles (flèches, lances, boulets, balles, obus, missiles) causant le chaos ou la destruction par des effets cinétiques et/ou par le feu, le tout dans un environnement physique aisément perceptible ou imaginable par le décideur stratégique.

Dans le cyberespace, il n'y a ni environnement physique, ni mouvement, ni projectile, ni feu. C'est un environnement virtuel qui, grâce aux vitesses électroniques prodiguées par les réseaux numériques et par le spectre électromagnétique, permet de téléporter quasi instantanément l'action malveillante et les effets souhaitées au coeur du dispositif ennemi. À de telles vitesses, la guerre devient un enjeu dans lequel le temps l'emporte largement sur l'espace. Malheureusement, la pensée stratégique n'a jamais été confrontée à des vitesses d'opérations aussi rapides et doit, dans une certaine mesure, se réinventer complètement.

L'improbable cyberguerre

Étrangement, les débats portant sur la nature, la définition et l'étymologie du mot « cyberguerre » m'ennuient ou m'exaspèrent profondément. Pourquoi diable ne peut-on pas s'accomoder sur ce terme tacitement consenti par quasiment tous et se consacrer à des enjeux plus profonds ? Faute de mieux, je m'en tiendrais à ce terme, n'en plaise aux intégristes de la langue technologique.

Une cyberguerre, une vraie cyberguerre impliquant uniquement des armes cybernétiques, n'a pas encore eu lieu. Pas plus qu'il n'y a eu de guerre chimique malgré la fabrication et l'usage d'armes chimiques de 1914-1918 à aujourd'hui. Même dans le cas de la Première Guerre mondiale, les armes chimiques furent utilisées parmi tant d'autres et se révèlerent au final très peu décisives. L'existence de « cyber-armes » et la récurrence de cyberattaques ne font pas pour autant une cyberguerre. On peut carrément se réjouir que la cyberguerre relève à ce jour de la prospective, de la science-fiction, de la spéculation, de la paranoïa, de la polémique ou du débat stratégique.

Toutefois, à l'image des armes chimiques, des cyber-armes savamment utilisées peuvent causer du chaos ou de la destruction dans le champ réel.

Au fait, qu'est ce qu'une cyber-arme ? Qu'elle soit entre les mains d'une armée ou d'un hacker, une cyber-arme n'est ni plus ni moins qu'un programme informatique visant à prendre le contrôle, à paralyser ou à détruire un système informatique. En bref, une cyber-arme est une compilation d'algorithmes. Plusieurs logiciels (commerciaux ou libres) dédiés à la sécurité des réseaux peuvent être aisément dérivés en cyber-armes.

Point besoin de matériaux spécifiques ou interdits, d'usine de production ou d'enrichissement, de logistique complexe, de moyens financiers colossaux ou de compétences rares pour fabriquer une cyber-arme.

Une cyber-arme peut être conçue ou utilisée n'importe où, par n'importe qui, avec ou sans motif quelconque : hacktiviste, extrémiste politique ou religieux, terroriste, cybercriminel, ex-salarié en colère, concurrent sur un appel d'offres, états en conflit, esprit dérangé, etc.

Une cyber-arme ne nécessite guère de site particulier de lancement : un ordinateur fixe ou portable, un téléphone mobile, un site internet, un réseau social, un serveur physique ou virtuel ou « un nuage de données » constituent autant de vecteurs ou de plates-formes de déclenchement.

Nous n'aurons jamais un char d'assaut, un avion de chasse ou un missile balistique dans notre garage ou dans notre cave. Mais un nombre croissant d'humains disposent de merveilleuses petites machines soumises à la fameuse loi de Moore et donc de vecteurs potentiels d'armes cybernétiques. D'une certaine façon, nous sommes tous des hackers dotés d'une puissance de calcul qui double tous les six mois.

Cette simple réalité immédiate redistribue nécessairement les cartes dans les domaines technologiques, stratégiques et politiques.

Avant de clarifier certaines dimensions opérationnelles de la cyberguerre, ll me semble important de rappeler ces évidences invisibles trop souvent oubliées, et de démontrer à quel point une révolution technologique induit forcément une rupture cognitive.

En réalité, nos contemporains sont victimes des lois de la disruption décrites par l'analyste technologique Larry Downes. Selon ce dernier, les technologies évoluent exponentiellement tandis que les mentalités et les réglementations évoluent par incrémentations. En lisant cet excellent ouvrage, j'ai acquis la certitude qu'il en est exactement de même pour les stratégies de cybersécurité (ou de cyberguerre ?) a fortiori lorsqu'elles sont le fait de générations d'hommes politiques et d'officiers plus migrants que natifs du numérique.

L'incorrigible hacking

Dans l'univers du hacking, l'opération idéale est celle où l'on trouve simultanément la cible, le vecteur et la charge utile qu'il faut afin de faire mouche à chaque coup... sans attirer la moindre attention.

Le hacking ne consiste point à recourir à la force de brute mais à exploiter toutes les ressources disponibles dans le cyberespace afin de réaliser un tour de force qui provoquera un effet domino, exploitera une faille critique ou implantera un risque systémique au coeur de la forteresse numérique visée.

Par bien des aspects, le hacking procure des sensations comparables à celles d'un jeu d'échecs et d'un jeu vidéo, et donc une énergie positive aussi porteuse qu'inépuisable. Fort d'un taux élevé d'adrénaline, d'une grosse dose de patience et d'un opportunisme à tout crin, le bon hacker réussira à produire X effet domino ou à dénicher Y faille critique à défaut d'implanter Z risque systémique dans le dispositif visé.

Le bon hacker est en quête permanente de voies et moyens lui permettant de détourner la technologie ennemie de son fonctionnement normal, et ce, en amoindrissant sa traçabilité électronique ou sa signature numérique.

Le bon hacker ne pense pas « contre un système » mais « à côté, au-dessus, en-dessous, au-dedans ou derrière un système ».

Le bon hacker n'étudie pas seulement les faisabilités, il imagine et exploite aussi les impossibilités grâce à des outils de son cru.

Le bon hacker subvertit et pervertit perpétuellement l'information car c'est un esprit déviant , audacieux et parfois brillant.

Une bonne équipe de hackers préfère de loin les marges de manoeuvre inhérentes à une hiérarchie horizontale. En outre, elle partage de nombreux points communs avec une force spéciale qui, une fois en mission, sera éloignée ou coupée de son commandement et disposera d'un degré élevé d'autonomie lui permettant de mener à bien ses tâches.

Toutes ces particularités m'incitent à penser qu'un état et son armée ne seront que très rarement et directement impliqués dans une cyberguerre. Motif : la lettre et l'esprit du hacking sont très mal adaptés au canevas militaire dans lequel une hiérarchie verticale recherche un but précis ou veut obtenir un effet particulier sur une période donnée en respectant des procédures ou des règles préétablies.

L'insolente école du Far-East

Les modèles russes et chinois de « cyberguerre open source » reposant à la fois sur les universités, sur le cybercrime organisé, sur l'hacktivisme, sur l'armée et sur les services de sécurité démontrent également que la guerre informationnelle est autant une affaire d'individus que d'états, et qu'elle se révèle d'autant plus efficace lorsqu'elle est menée par des entreprises virtuelles agiles préférant de loin des hiérarchies horizontales à celles verticales.

La Russie et la Chine auraient-elles élaboré des méthodes rustiques et pragmatiques (très peu séduisantes ou élégantes pour les belles et puissantes armées occidentales) d'adaptation de leurs stratégies de guerre à la chose « cyber » ? Côté Amérique et Europe, n'est-on pas trop à cheval sur une éventuelle adaptation de la chose cyber aux stratégies de guerre ?

Leurs modèles de cyberguerre ouverte et participative engendrent-ils pour autant des masses critiques intellectuelles plus créatives en matières de lutte informatique offensive/défensive ? L'avenir nous le dira...

Aujourd'hui, l'immense majorité des actes de hacking relèvent de l'exploit personnel, du crime, de l'espionnage, de l'activisme politique et ou de « la reconnaissance en profondeur. Ces activités illégales, secrètes ou clandestines s'accomodent mieux d'une totale liberté dans l'ombre et ne seront point soumises à des traités multilatéraux de cybersécurité ou à des règles d'engagement.

Chaque jour, des montagnes de rapports dénoncent et analysent la conduite de ces activités illégales, clandestines ou secrètes par des acteurs irréguliers ou à la solde d'acteurs étatiques sans que cela change quoique ce soit. Motifs : les risques et les couts sont moindres, et les gains économiques, militaires ou politiques sont énormes.

Si le jeu en veut autant la chandelle, à quoi bon changer les règles ?

En complément : Les règles d'engagement au défi des réseaux informatiques


Aucun commentaire: