Transcription
[Musique] [Musique] Bienvenue dans notre entreprise spécialisée dans l'ouverture de porte. Un verre ? Vous voulez humilier quelqu'un, saboter un État, obtenir la recette secrète de votre concurrent, ou savoir ce que fait votre voisin la nuit devant sa webcam ? Tout est possible. Il nous faut juste les bons outils. Je vous laisse réfléchir.
Est-ce vraiment aussi simple ? Les hackers sont-ils capables de paralyser un État ? Et qui sont les acteurs de cette guerre invisible ? Quand on découvre ce qui a été publié, on est envahi par un sentiment indescriptible. Au début, on essaie de rester rationnel, de comprendre ce qui s'est passé. Qui tourne ? On se sent violé dans son intimité.
En 2018, des hackers font main basse sur les données de plus de 1500 personnalités allemandes, notamment politiques. Un compte Twitter publie des conversations privées, des adresses, des numéros de carte bancaire et autres informations sensibles. Parmi les victimes, le militant écologiste Jürgen R. : "Des choses que je ne tenais pas forcément à raconter ont ainsi été rendues publiques."
Les enquêteurs interpellent l'auteur des faits dans une chambre d'enfant : un lycéen qui s'était abonné à un site web lui fournissant les mots de passe de quelque 12 milliards de comptes internet pour 2 euros par jour. Extrait du rapport du procureur : "C'est donc un très jeune homme, hacker débutant, qui aurait commis l'une des pires affaires de vol de données de ces dernières années."
Le milieu des hackers est surveillé de près par la police judiciaire allemande. On observe depuis au moins 2015 la formation d'un véritable écosystème criminel, avec des prestataires qui proposent leurs services de façon très professionnelle et qui pratiquent la division des tâches. En clair, les hackers peuvent faire leur marché auprès de plusieurs vendeurs.
[Musique] Il existe même des offres d'emploi en ligne. Il faut bien se dire que ça se passe sur le Darknet, mais aussi sur le clearweb, l'Internet traditionnel. Ces services sont proposés au grand jour. Quelqu'un sera sur un forum dont il sait qu'il est fréquenté par des cyber délinquants et il fait une offre en disant, par exemple : "J'ai un code que vous pouvez utiliser pour un test d'intrusion." On comprend alors qu'il s'agit d'un programme malveillant destiné à compromettre la sécurité des systèmes d'information. Pas besoin de savoir hacker pour lancer une cyberattaque, il suffit de frapper à la bonne porte.
Lors de l'affaire de 2018, ce sont les mots de passe de 1500 personnes qui ont été proposées à la vente. Mais comment leurs données c'était-elle retrouvée sur un site web et où se situe la faille ? Les hackers ont plusieurs moyens de pénétrer dans un système informatique. Ce dernier peut être comparé à une maison : les fondations, c'est le matériel, tandis que la cryptographie représente le codage des données. Les murs et le toit, ce sont les logiciels. Ils offrent plus ou moins de points d'entrée ou interface. Ils sont protégés par des verrous : les mots de passe. Plus ou moins difficiles à forcer.
Choisir un mot de passe trop simple, négliger les mises à jour ou cliquer sur une pièce jointe infectée revient donc à sortir de chez soi en laissant la porte au grand ouverte. La plupart des attaques informatiques ciblent les utilisateurs comme étant ce genre d'erreurs. Les hackers ne laissent pratiquement aucune trace. Une fois dans la place, ils avancent toujours plus loin, jusque dans les zones les plus secrètes de notre intimité. Plus ils en sauront sur leur victime, et plus il leur sera facile de monnayer les données. La notion de se faire privée n'a aucun sens pour eux. La principale faille de tout système, c'est son utilisateur, celui qui clique sur une pièce jointe infectée, par exemple.
Le hacker a alors plusieurs options. Les attaques par rançongiciel consistent à chiffrer l'ensemble des données du disque dur. Si elle n'a pas fait de sauvegarde de sécurité, la victime devra payer pour les récupérer. Les logiciels malveillants, eux, permettent d'espionner un système, voire d'en prendre les commandes à distance. Plus simple encore : un courrier électronique qui renvoie vers un faux site, ressemblant à s'y méprendre à celui de votre banque. Si vous cherchez à vous y connecter, les frappes de votre clavier seront enregistrées par les hackers qui auront ainsi accès à votre compte.
Un Français sur trois aurait déjà fait les frais d'une intrusion informatique. Les chiffres sont similaires en Allemagne. Le plus souvent, les victimes sont piratées à leur insu. Les entreprises, elles aussi, voient les attaques se multiplier. On estime que les dommages liés à la cybercriminalité leur coûte déjà plus cher que les catastrophes naturelles. Les acteurs de cette guerre invisible ont désormais les moyens de les pousser à la ruine.
Une société de sécurité informatique basée à Cologne nous met en garde contre un outil d'un nouveau genre qui pourrait faire augmenter le nombre des attaques : l'intelligence artificielle, ou IA. Serait-elle capable de concevoir des courriers électroniques si bien imités qu'il nous pousserait aux clics fatals en toute confiance ? En temps normal, le vol de données est un processus laborieux pour les hackers. L'IA va-t-elle leur simplifier la tâche ?
Ces experts ont fait le test. Ils chargent une IA de cibler un responsable informatique fictif. Le programme rassemble automatiquement toutes les données le concernant, disponibles en accès public sur un portail professionnel. Elles vont servir à rédiger un courrier électronique sur mesure. L'IA envoie ainsi une candidature spontanée pour un poste de programmeur. La victime ciblée recrute justement plusieurs développeurs dans le domaine de la cybersécurité. En cliquant sur le lien contenu dans la candidature, le responsable informatique est redirigé vers la page de connexion du site LinkedIn. Seul un coup d'œil à la barre d'adresse permet de s'apercevoir que c'est un faux. Dès qu'il s'est connecté, le site transmet ses identifiants aux hackers. Le tour est joué.
Il ne s'agissait ici que d'obtenir un mot de passe, mais l'intelligence artificielle a des ressources insoupçonnées. Elle pourrait tout aussi bien être déployée pour renforcer la cybersécurité. C'est en tout cas le pari que fait une société de Nancy avec une suite d'outils baptisée Scuba. Cette technologie identifie les failles d'un système et les classe en fonction du risque encouru. Elle évite aussi qu'une attaque se propage à tous les appareils du système.
[Musique] Tout simplement, vous allez avoir Internet qui est là. Vous allez avoir le routeur d'une entreprise, et ensuite, vous allez avoir le système d'information de l'entreprise. Dans le système d'information de l'entreprise, vous allez voir un certain nombre d'équipements, d'outils et d'IoT qui permettent à l'entreprise de fonctionner. Chaque équipement va pouvoir avoir des vulnérabilités présentes qui vont permettre à un attaquant depuis Internet de mener des cyberattaques en rebondissant sur chacune des vulnérabilités qui sont présentes sur les équipements. Typiquement, je vous l'illustre de cette manière-là. Donc, ce Scuba va détecter automatiquement les points de convergence et va vous dire comment les traiter par ordre de priorité, typiquement numéro 1, numéro 2, numéro 3. Et ensuite, ce Scuba va permettre de casser les chemins d'attaque automatiquement pour empêcher les attaquants de rentrer dans le système d'information.
Il est donc essentiel de sécuriser tous les objets connectés, même les plus discrets, afin qu'ils ne servent pas de porte d'entrée à un code malveillant capable de paralyser tout un système. Les petits appareils tels que cette caméra de surveillance sont dangereux à double titre. Ils peuvent non seulement constituer une faille, mais aussi se transformer eux-mêmes en agresseur.
La Finlande : une attaque informatique provoque une panne de chauffage en plein hiver. Norvège : près d'un million de clients de Deutsche Telekom sont privés d'Internet et de téléphone pendant plusieurs heures. Strasbourg : le site du Parlement européen est attaqué juste après l'adoption d'une résolution hostile à la Russie. Estonie : une série de cyberattaques anonymes paralyse le pays pendant trois semaines. Tous ces incidents ont produit le même effet : la mise hors-service des organisations ciblées. Et pourtant, ce ne sont pas les systèmes informatiques qui ont servi de porte d'entrée.
[Musique] Ce sont les objets de notre quotidien qui ont été hackés. Des appareils familiers présents au salon ou dans la cuisine, et qui nous simplifient la vie, mais qui sont aussi des outils à double tranchant. L'enceinte connectée peut faire autre chose que jouer vos morceaux préférés. Le four intelligent doit s'y connaître en cookies, et même le réfrigérateur peut se faire le complice des cybers. Les hackers l'ont bien compris : nos lave-vaisselles, aspirateurs robots, cafetières automatiques, thermostats et ampoules connectées ne sont ni plus ni moins que de petits systèmes informatiques, et ni leurs fabricants, ni leurs utilisateurs ne savent les sécuriser.
Les objets de la domotique sont ainsi des cibles de premier choix pour les hackers. Il suffit de relier entre eux leurs processeurs, et donc leur puissance de calcul. L'innocente machine à café devient alors un redoutable soldat aux ordres, capable de s'attaquer à beaucoup plus grand qu'elle : une ligne de production, par exemple. Les chercheurs de Cologne simulent une attaque par des objets connectés. En quelques secondes, l'usine est paralysée. Ces systèmes d'information sont complètement submergés, la production est à l'arrêt.
François : "Ce que nous montre cet exemple, c'est qu'il n'est pas indispensable d'attaquer frontalement une cible pour entraver son fonctionnement. Il suffit de prendre la main sur un assez grand nombre d'appareils, des objets connectés par exemple, pour que ceux-ci exercent une telle pression sur le réseau que le site est mis hors service." Cette ligne de production a été attaquée à l'aide de simples caméras de surveillance reliées à Internet. Celles-ci sont capables d'envoyer et de recevoir des données. Les informaticiens ont glissé dans ce flux d'information un code ordonnant aux caméras de télécharger un logiciel malveillant. Aussitôt celui-ci installé, les chercheurs ont pris le contrôle du système. Il ne s'agit que d'une simulation, mais qui montre bien comment l'activité de toute une entreprise peut être mise à l'arrêt à cause de quelques caméras mal sécurisées.
Ce type d'attaque est connu depuis des années. Alors pourquoi les systèmes informatiques sont-ils encore vulnérables ? C'est comme un jeu du chat et de la souris. Les attaquants adaptent leur méthode et leur tactique en permanence, ce qui contraint les défenseurs à trouver la parade. Il y a donc toujours un petit laps de temps entre l'apparition d'une nouvelle offensive et le développement d'une technique de défense. Mais il est aussi très important de réduire les vulnérabilités des systèmes autant que possible.
Lisa Cohen, spécialiste des libertés publiques, observe aussi de près les évolutions du cyberespace. "Cela fait 40 ou 50 ans que se pose le problème des cyberattaques, et depuis toutes ces années, le droit allemand s'efforce d'endiguer ce phénomène, mais cela ne s'arrête jamais. Pas un jour ne passe sans qu'on entende parler de vol de données ou d'hameçonnage, et il est incroyablement difficile de s'en prémunir, car on s'y expose de plus en plus."
C'est le cas, par exemple, des communes allemandes. La numérisation progressive des données administratives va de pair avec l'augmentation du risque d'intrusion. Les hackers l'ont bien compris. 9 juillet 2021 : l'arrondissement d'Anhalt-Bitterfeld, dans l'est de l'Allemagne, prend une mesure radicale. Il prononce l'état de catastrophe au niveau local pour cause de cyberattaque. Une intrusion informatique paralyse tous les services publics. Les fonctionnaires ne peuvent plus délivrer de permis de conduire ni verser de prestation sociale. Pour 160 000 administrés, l'État est aux abonnés absents.
En 2022, un magazine spécialisé enquête sur la sécurité informatique des services publics. Une faille dans un serveur de messagerie électronique est alors très répandue en Allemagne. Les administrations locales sont-elles menacées, sachant qu'elles consacrent souvent très peu de moyens à leur cybersécurité ? Le test des journalistes est sans appel : la vulnérabilité est présente dans une vingtaine d'institutions, alors qu'elle est déjà connue depuis un an et demi. À l'époque, il aurait pourtant suffi d'une demi-heure et d'une mise à jour gratuite, qui plus est, pour en venir à bout.
"C'est un problème assez courant. Beaucoup de communes, de services publics et de PME ont ce type de vulnérabilité. On ne sait pas toujours, et il peut très bien ne rien se passer, mais ces failles sont beaucoup plus répandues qu'on ne le croit, et ce n'est pas limité aux collectivités locales. On peut sécuriser un logiciel au maximum, mais le risque zéro n'existe pas. Ce qu'il faut absolument éviter, ce sont les attaques opportunistes. Pour employer une image, mieux vaut commencer par fermer sa porte à clé avant de se demander si on n'aurait pas besoin d'une alarme ou d'un autre outil de prévention. C'est là tout le problème que beaucoup de gens : ils laissent leur porte grande ouverte, et tout le reste, toutes les infrastructures dont ils ont pu se doter, toutes les ressources humaines qu'ils ont pu déployer, ne leur servent plus à rien."
"Donnez-moi un ordinateur connecté à Internet et en 20 minutes, je vous trouve une faille dans le domaine du contrôle industriel. Que ce soit un hôpital ou une station d'épuration accessible sans protection, et là, on peut tout faire en temps réel."
Toutes les institutions susceptibles d'être hackées en Allemagne. Une base de données en ligne leur permet de repérer des appareils reliés à Internet. Ils appliquent un filtre pour isoler ce dont un port logiciel est ouvert, ce qui est en soi une vulnérabilité. Les deux hommes regardent la liste d'un peu plus près. Certains systèmes ne sont même pas protégés par un mot de passe, et les mises à jour du logiciel n'ont pas toutes été effectuées. Du pain béni pour les hackers, et ce sur plusieurs centaines d'ordinateurs à travers l'Allemagne.
"La chose la plus gentille qu'on peut faire, c'est de couper ou d'allumer la lumière quelque part. Une farce un peu idiote. Mais si on va du côté des commandes industrielles, il serait très facile de provoquer une surchauffe ou un défaut de refroidissement sur une machine, avec de grosses dégradations à la clé, et même des jours, voire des semaines de mise à l'arrêt. Il suffit de repérer un processus lié à une plage de température spécifique. Si je continue à chercher et que je trouve une installation dont je peux prendre le contrôle des ventilateurs, je crois que je pourrais faire pas mal de dégâts."
Quand un élément vulnérable tel qu'un ventilateur fait partie d'une infrastructure critique, les cyber délinquants peuvent s'attaquer aux besoins les plus fondamentaux de notre société. Car de nos jours, presque tout dépend de l'Internet : alimentation, de la commande de marchandises jusqu'au paiement sans contact. Tout transite à travers le réseau. Banque : une coupure de connexion de quelques minutes suffirait à mettre tout le système à l'arrêt. Sécurité civile : les secours ont leur propre réseau de communication, mais lui aussi est numérisé depuis plusieurs années.
Oh, les centres de distribution sont eux aussi pilotés par l'informatique. Si l'on prend les infrastructures critiques, cela fait des années qu'elles sont intégralement gérées par des logiciels. Par exemple, la composition chimique de l'eau potable est contrôlée par un programme informatique. Un incident s'est produit aux États-Unis il y a quelques années : une personne est parvenue à s'introduire dans le système et à trafiquer cette composition chimique.
"Il y a une quantité de nouveaux points d'attaque qu'il s'agit évidemment de protéger à tout prix, et les opérateurs sont dans une situation très difficile, car ils ne savent pas toujours qu'ils ont une vulnérabilité à défendre quelque part. D'une certaine façon, les experts en informatique travaillent toujours dans le noir et à tâtons, et ce alors que les infrastructures critiques sont soumises à des règles strictes."
En Allemagne, leurs exploitants sont tenus de mettre en place des plans d'urgence et d'installer des systèmes capables d'identifier automatiquement certaines attaques. La notification de ces attaques aux autorités est également obligatoire. Pourtant, même ces infrastructures ne sont jamais tout à fait sûres. Quand on sait qu'il se crée chaque jour 270 000 variantes de logiciels malveillants et que de nouvelles failles apparaissent constamment.
Les systèmes d'information, enfin, sont par nature difficiles à sécuriser. Chaque système doit communiquer avec une quantité d'autres systèmes pour bien fonctionner. Or, plus il est connecté et d'architecture complexe, plus il est vulnérable. C'est un peu comme votre clé USB : tant qu'elle reste posée sur votre bureau, elle est inattaquable. Mais sa place est sur le port USB de votre ordinateur, et c'est là que les soucis commencent.
Ajouter à cela le fait que les structures s'empilent au fil du temps. Il y a une quantité de systèmes dont personne ne sait plus très bien ni d'où ils viennent, ni à quoi ils servent. Chaque programme, chaque matériel intégré à un système doit être surveillé par un gestionnaire informatique. Une nouvelle faille peut apparaître à tout moment. Or, le nombre de ces logiciels et de ces matériels ne fait qu'augmenter avec le temps. Par exemple, quand un employé connecte son smartphone au Wi-Fi de son entreprise ou télécharge une application sans autorisation. Difficile dans ces conditions de garder une vue d'ensemble.
Il suffit à un hacker de viser juste une seule fois, ou d'avoir de la chance, pour réussir à pénétrer dans un système. Et quand il est dans la place, il est extrêmement difficile de le déloger. À l'inverse, un défenseur doit conserver le contrôle de son système dans 100 % des cas, sans le moindre droit à l'erreur. C'est ce qui fait toute la difficulté de sa tâche. Sans compter que la sécurité n'est pas toujours prise très au sérieux par les entreprises, pas au même titre que la fonctionnalité, par exemple. On peut donc dire que même avec tout ce qu'il faut de moyens, notamment humain, la quasi-totalité des systèmes est sans doute exposée à subir une attaque, quelle qu'elle soit.
11 mai 2015 : une entreprise de sécurité informatique se manifeste auprès du Conseil constitutionnel allemand. En surveillant les serveurs utilisés pour les cyberattaques, elle a remarqué quelque chose d'étrange : l'un de ses serveurs communique avec deux ordinateurs appartenant au Parlement. L'alerte arrive malheureusement trop tard. 12 jours : ce sont déjà écoulés depuis que des hackers ont envoyé aux députés allemands un courrier électronique semblant provenir du site des Nations Unies. Il a suffi qu'un des destinataires clique sur le lien pour qu'un logiciel malveillant s'installe sur le réseau du Bundestag. Pas vu, pas pris. Les attaquants pénètrent à l'intérieur du système et se mettent à siphonner des documents. Ils ont même probablement eu accès à un ordinateur situé dans le bureau de la chancelière Angela Merkel. Les spécialistes de l'informatique parviendront à les arrêter, mais les dommages sont considérables : 20 000 ordinateurs liés au Bundestag devront être réinitialisés.
Qui se cache derrière cette attaque ? Les hackers n'ont laissé que très peu d'indices, mais ceux-ci semble mener à un collectif baptisé Fancy Bear et basé en Russie. De là à imaginer une opération commanditée par le Kremlin, il n'y a qu'un pas. Cela ne reste qu'une supposition. Pas de procédure pénale sans preuve, et les enquêteurs n'en ont aucune. Les hackers ne seront pas inquiétés.
Verser l'identité des cyber délinquants relève de la gageure, une tâche presque impossible pour un non-initié. Il faut de véritables experts en investigation numérique, capables de repérer et de faire parler les moindres éléments laissés derrière eux. Parler à cœur : l'euro d'attache des fichiers, par exemple, peut fournir un indice sur le fuseau horaire où se trouvent les attaquants. La langue du code informatique peut permettre de resserrer les soupçons, à moins bien sûr d'une opération sous couverture visant à brouiller les pistes. À moins aussi que les hackers n'aient cherché à effacer leur trace, ce qui est arrivé dans l'affaire du Bundestag.
L'année suivante, en pleine campagne électorale américaine, le compte mail de Hillary Clinton est piraté et plusieurs messages sont rendus publics. L'affaire contribuera à la victoire de son adversaire, Donald Trump. Qui sont les hackers soupçonnés de cette ingérence dans la politique américaine ? Les indices pointent une fois de plus vers le groupe Fancy Bear.
Avril 2018 : quatre hackers russes tentent d'attaquer l'Organisation pour l'interdiction des armes chimiques. Ils se rendent aux Pays-Bas pour y dérober des informations secrètes, mais la police les interpelle. Leur matériel informatique est saisi. Les enquêteurs y retrouvent des données sensibles. Le nom de Fancy Bear réapparaît, et avec lui, celui des services de renseignement russes. Un suspect est même désigné : Dimitri Badine. C'est l'un des hackers ayant pénétré dans le système du Parlement allemand. Les enquêteurs ont enfin confirmation de la présence d'un acteur étatique derrière l'intrusion.
Les collectifs de hackers tels que Fancy Bear sont appelés "groupes de menaces persistantes avancées". Certains travaillent pour le compte d'États, d'autres ont des commanditaires moins bien identifiés. Tous ont en commun de s'acharner plusieurs années sur leur cible. Leurs attaques se distinguent aussi du fait qu'ils ne demandent pas de rançon, mais cherchent plutôt à recueillir des informations ou saboter un site. Leurs compétences techniques, enfin, sont impressionnantes. Entre 2000 et 2018, la plupart des grandes cyberattaques dont les auteurs ont été identifiés ont été lancées depuis la Chine. Sur les deux autres places du podium se trouvent la Russie, puis les États-Unis.
[Musique] Sommes-nous entrés dans l'ère de la cyberguerre ? Ce mot de cyberguerre s'est répandu dans la langue courante sous l'effet des médias et sert un peu à désigner tout et n'importe quoi. La plupart des attaques que nous connaissons se trouvent en deçà du seuil d'un conflit armé, car nous sommes en deçà du recours à la force. À la différence d'une bombe ou d'un blindé, les armes informatiques ne détruisent rien. Leur action reste longtemps invisible. Aucun État ne s'est risqué à prononcer officiellement le mot de guerre.
Les États ont toujours été frileux à parler d'acte de guerre pour ce qui est commis dans le cyberespace, surtout à ne pas créer de précédents. Là, il y a une violation évidente du principe de non-recours à la force. Alors, il serait naturellement obligé de se demander de quelle capacité il dispose, même, et si la mise en œuvre de ses capacités ne relèverait pas à son tour d'une forme de recours à la force. Les États ont sans doute tout intérêt à ne pas forcer le trait. Face aux cyberattaques, Berlin n'a pas déclaré la guerre à Moscou après l'affaire du Bundestag. Et pourtant, beaucoup ont longtemps cru que la prochaine guerre serait numérique, du moins jusqu'à l'entrée des forces russes en Ukraine.
Même le Secrétaire général des Nations Unies, Antonio Guterres, l'a dit : "Le prochain conflit commencera dans le cyberespace." Et il a eu raison. On l'a vu à travers les préparatifs de la guerre contre l'Ukraine. Tout est parti de l'espace numérique. Mais on n'assiste pas pour autant à un déferlement d'actes. Et ce qui est évident, c'est que le numérique ne permet pas de s'emparer d'un territoire. S'il s'agit de prendre le pouvoir sur l'information, s'il s'agit de diffuser des fake news, de déstabiliser un régime ou une société, les cybercapacités et les cyber-armes sont naturellement redoutables. Mais dans un conflit armé traditionnel, elles ne jouent qu'un rôle de second plan. De guerre, mais très précieux en temps de paix.
Les équipements informatiques ne présentent aucun des risques liés aux conflits armés. Et quand les États ont accès à leurs fabricants, on peut imaginer qu'ils commandent l'intégration de failles de sécurité avant même la sortie d'usine. Une question hautement politique, puisqu'elle concerne les échanges internationaux. Les États-Unis ont interdit les équipements de Huawei de peur de manipulation. Ces craintes s'expriment aussi en Europe. Si les fabricants chinois intégraient des failles de sécurité à leurs produits, il leur deviendrait possible de s'introduire dans le nouveau réseau 5G, qui compte parmi les infrastructures critiques. La Lituanie affirme avoir trouvé des programmes espions, ainsi que des applications censurant les messages, dans des smartphones produits en Chine.
Mais la faille pourrait être cachée plus profondément encore, à savoir enfouie au cœur du microprocesseur. C'est tout l'objet des recherches de Horst Gieser et Christophe Par, qui auscultent les minuscules processeurs ayant envahi la plupart de nos appareils modernes. Serait-il possible d'y intégrer une vulnérabilité ? Les soupçons s'accumulent. S'ils étaient avérés, cela voudrait dire que ces appareils peuvent être hackés non pas par le biais d'un programme malveillant externe, mais de l'intérieur, par leur composant même.
De nombreux scientifiques estiment que les équipements les plus sensibles, comme les puces qui protègent les communications militaires, sont des cibles de choix pour une puissance ennemie. Malheureusement, il faut bien dire qu'on a très peu de cas de manipulation concrets et documentés. Ce qui est sûr, c'est que ces manipulations sont techniquement réalisables. Elles ouvrent aux cybercriminels d'infinies possibilités : espionner un téléphone portable, prendre les commandes d'un véhicule automatique. Tout est permis.
Les chercheurs sont donc sous pression pour analyser ces microprocesseurs. Encore faut-il trouver la manipulation éventuelle. Chaque composant est-il bien à sa place ? Y a-t-il une modification qui passe inaperçue ? "Sans fait manipulation, c'est assez simple à vérifier. Si on a le code sous les yeux, on voit tout de suite à quoi sert chaque ligne. Mais quand on parle de processeur, on entre dans le domaine du nanomètre, soit quelques millièmes de l'épaisseur d'un cheveu. Malveillante a été apportée à ce niveau de la structure, dans l'infiniment petit, cela peut être très difficile à mettre en évidence. C'est ce qui fait que les manipulations de matériel peuvent être très, très dangereuses."
Les plans des fabricants de puces sont naturellement gardés secrets. La première mission de ces chercheurs consiste donc à cartographier la meule de foin avant de se mettre en quête d'une éventuelle aiguille. Pour s'entraîner, ils ont modifié quelques pistes d'un circuit électronique. Ils analysent les structures élément après élément, et un tir de pression enseignement. "Comment fait-on pour concevoir un processeur de façon si intrigée que personne n'arrive plus à le décrypter ?"
Les microprocesseurs "Made in Europe" seront bientôt de plus en plus nombreux. Le quasi-monopole détenu par la Chine et Taïwan posait problème à plus d'un titre. Bruxelles a donc décidé de développer sa propre filière. Prendre les choses en main pour éviter toute manipulation des matériels informatiques. Les équipements chinois sont persona non grata au cœur des infrastructures européennes. Ils ne sont plus admis qu'à la périphérie des systèmes.
[Musique] Une simple suspicion a ainsi débouché sur des interdictions de commerce avec la Chine au niveau mondial. Cela montre bien qu'en matière de cybersécurité, le maître mot est toujours la confiance. L'érosion de la confiance est un point essentiel. Après une attaque informatique, on l'a déjà vu dans plusieurs affaires très médiatisées, les gens ont perdu confiance dans des services où cette notion était pourtant fondamentale. Le secteur financier, par exemple. La confiance recule et la peur prend le dessus. En 2022, 72 % des Allemands disaient redouter une cyberattaque sur les infrastructures critiques de leur pays. Les chiffres sont similaires en France.
Les intrusions menées à bien, comme celles qui ont visé le Bundestag, donnent l'impression que les hackers sont tout-puissants. Mais est-ce bien le cas ? 10 % du trafic Internet mondial transite par les réseaux du prestataire allemand Deutsche Telekom. Le niveau d'activité des hackers a de quoi donner le tournis. Le nombre d'attaques aussi : entre 30 000 et 70 000 par minute. Et l'on ne parle ici que de celles qui ciblent les honeypots, ces ordinateurs ou systèmes qui servent d'appât. Ils permettent aux informaticiens de voir quand, où et comment les cyber délinquants sont à l'œuvre.
"À un moment donné, on effectue globalement un suivi de plusieurs aspects du réseau qui s'écartent de la norme, par exemple une très forte augmentation du trafic, l'apparition d'adresses IP inconnues ou tout autre anomalie. On sait qu'il faut aller voir d'un peu plus près, car bien souvent, c'est le signe d'une attaque en cours. On lance alors aussitôt une analyse plus approfondie afin de prendre les mesures correctives qui s'imposent."
"Ce qui est très marqué chez nous, c'est la circulation des botnets. Tous les jours, nos clients sont des milliers à télécharger un logiciel malveillant qui fait que leur ordinateur rejoint un réseau de robots. Il faut alors les empêcher de communiquer avec le serveur de commande et de contrôle." Reste qu'au regard du nombre de tentatives, le taux de réussite des hackers est infime. Les spécialistes parviennent à déjouer l'immense majorité des attaques.
Mais qui sont les acteurs de notre sécurité informatique ? Les choses sont très claires : c'est à l'opérateur d'un système, mais aussi à son fabricant, qu'il revient de tout mettre en œuvre pour que celui-ci soit conforme aux normes de sécurité informatique. Mais l'État est également tenu de fournir un cadre légal qui permette d'assurer cette sécurité. La France s'est dotée d'une autorité compétente en la matière : l'Agence Nationale de la Sécurité des Systèmes d'Information, ou ANSSI. Son homologue en Allemagne est le BSI.
Dans ce centre de veille, des experts scrutent jour et nuit tout ce qui relève de la cybersécurité. Centre de veille du BSI. Scheffer à l'appareil, j'écoute. Si une infrastructure critique est ciblée, le BSI en est le premier informé. Le centre organise aujourd'hui une simulation d'incident grave. "C'est un domaine où nous avons beaucoup à faire à la criminalité organisée. En Pologne, on part du principe que les malfaiteurs vont essayer au total de s'en prendre à un établissement allemand. Tous les pays européens ont des centres de veille avec lesquels nous collaborons. Nous avons des interlocuteurs au niveau de l'Union Européenne, ainsi bien sûr que dans le reste du monde pour évoquer les tendances du moment, qu'elles soient à moyen ou à court terme. Nous avons aussi des groupes de messagerie instantanée qui nous permettent d'échanger des informations sur les vecteurs d'attaque identifiés dans tel ou tel pays, dans des délais très brefs, aux autres le résultat de nos observations et de leur faire part des contre-mesures efficaces."
Les experts de l'équipe d'intervention mobile du BSI viennent de prendre une décision commune : l'incidence simulée est suffisamment grave pour qu'ils entrent en jeu. Cette équipe fournit un soutien sur place aux victimes d'attaques informatiques. Dans les cas les plus épineux, les experts commencent par sauvegarder l'intégralité des données, au cas où les hackers tenteraient d'effacer leur trace. Puis, il cherche à comprendre ce qui s'est passé, comment les attaquants ont réussi à pénétrer dans le système, et comment les en déloger. Une fois l'analyse terminée, les employés les aident à rétablir le fonctionnement du site, ce qui peut prendre du temps en fonction de la gravité de l'attaque. Il faut souvent plusieurs mois avant un retour complet à la normale.
"Vous pouvez nous envoyer les logs du serveur ? On ne les a pas encore reçus." En Allemagne, la cybersécurité est prise en charge par un vaste réseau composé d'acteurs au niveau international, fédéral, régional et communal. Une expertise riche et variée, mais parfois difficile à coordonner. Le ministère allemand de l'Intérieur est donc favorable à une plus grande centralisation de la sécurité informatique, un peu sur le modèle français.
Jean-Yves Marion, chercheur en sécurité informatique : "La cybersécurité, en particulier à la cybersécurité, la partie recherche a été restructurée grâce au programme France Relance 2030 avec le PER, ce qui veut dire Programme et Équipements Prioritaires en Recherche. Donc, le CyberCampus est une initiative du gouvernement français d'avoir un bâtiment totem où on va retrouver l'ensemble des acteurs, c'est-à-dire les organismes d'État tels que l'ANSSI ou la gendarmerie, mais également les entreprises et la recherche. Il y a des contacts au niveau, par exemple, d'Europol, où les différentes polices européennes travaillent ensemble. Nous avons de nombreux projets européens avec nos collègues européens, en particulier avec l'Allemagne. Notre point de vue, c'est que la cybersécurité en France, c'est la cybersécurité aussi en Europe, et que la problématique est la même, et qu'on partage les mêmes bases, les mêmes valeurs, et donc il faut défendre une certaine façon de vivre."
Le 26 janvier 2021, une coalition internationale s'apprête à frapper un grand coup. Elle rassemble de nombreux pays, dont le couple franco-allemand. Sa cible : un botnet particulièrement perfide baptisé Emotet, qui a été surnommé le roi des logiciels malveillants. C'est un cheval de Troie très dangereux, à l'origine d'un grand nombre d'attaques en Allemagne et dans tout le monde occidental. Les enquêteurs sont bien décidés.
"Au début, c'est très difficile. Vous tombez sur un serveur quelque part, et si vous constatez une infrastructure criminelle, vous devez remonter aux adresses IP. Mais ces adresses IP sont à l'étranger. Il faut alors poursuivre en collaborant avec les collègues des pays concernés. Tout cela est compliqué, prend beaucoup de temps." Les informaticiens localisent un serveur qui communique avec l'ordinateur d'une personne bien réelle. "Nous sommes parvenus, depuis l'Allemagne, à identifier l'administrateur système de tout ce réseau criminel qui se trouvait en Ukraine, ce qui nous a permis de passer à l'action." Ils introduisent un programme qui redirige les connexions vers leur propre serveur. Les hackers perdent le contrôle du réseau. Un seul des instigateurs sera appréhendé, et le triomphe sera de courte durée : Emotet est revenu de plus belle.
Statistiques de la police judiciaire : le taux d'élucidation des affaires de cybercriminalité est d'environ 30 %. C'est beaucoup moins que pour le reste des crimes et délits, preuve, s'il en est, qu'il est très difficile d'enquêter dans l'espace numérique. Montez qu'un nouvel adversaire se profile à l'horizon : l'ordinateur quantique. Sera-t-il venir à bout de notre cryptographie, pierre angulaire de toute la sécurité informatique ? L'Institut américain des normes et de la technologie a lancé en 2016 un concours international pour élaborer une cryptographie post-quantique. Une véritable course contre la montre a commencé. L'ordinateur quantique n'a pas encore été construit, mais il fait déjà planer une menace sur les systèmes actuels.
C'est le principe du décryptage rétrospectif. Vous avez des données et elles sont chiffrées, et donc protégées. C'est parfait. Mais supposez que votre ennemi ou votre adversaire arrive à se procurer une copie de ces données et la mettre de côté. Dans l'immédiat, il ne peut rien en faire, car il est incapable de casser votre code. Mais il peut tout à fait attendre 10 ou 15 ans et l'arrivée de l'ordinateur quantique pour parvenir à le déchiffrer, et ainsi accéder rétrospectivement à vos informations.
C'est précisément pour lutter contre cette menace que Peter Schwabe et Aik Schaelz rendent visite à leurs confrères de Zurich. Les deux informaticiens se sont spécialisés dans les techniques de chiffrement. "Quand deux parties cherchent à communiquer de façon secrète, depuis la fin des années 1970, on les appelle par convention Alice et Bob. Alice veut donc envoyer un message à Bob. Que fait-elle ? Elle s'achète un gros cadenas à clé, voire plein de gros cadenas qui s'ouvrent tous avec la même clé, et cette clé, elle la garde précieusement sur elle. Elle expédie son message bien verrouillé à Bob. Question : qui n'a plus qu'à glisser sa réponse dans une petite boîte avec le même cadenas avant de l'envoyer à Alice ? Si quelqu'un arrive à mettre la main sur le cadenas, il ne pourra pas ouvrir la boîte ni lire le message puisqu'il n'aura pas la clé."
Les algorithmes de chiffrement asymétrique sont l'une des techniques de cryptographie les plus utilisées. Le principe mathématique qui les sous-tend, c'est qu'il est relativement facile de multiplier deux nombres entre eux, mais beaucoup plus difficile de faire l'opération en sens inverse, c'est-à-dire de trouver les facteurs premiers à partir d'un produit. Mais c'est justement le genre de problème que l'ordinateur quantique devrait être capable de résoudre beaucoup plus rapidement. En clair, l'ordinateur du futur n'aura besoin que de quelques minutes, voire quelques secondes, pour casser les clés de chiffrement sur lesquelles reposent aujourd'hui la confidentialité de nos données. Les chercheurs estiment que la cryptographie telle que nous la connaissons sera ainsi devenue inopérante, d'où la nécessité d'inventer de nouveaux algorithmes résistant à l'informatique quantique.
[Musique] Ces nouveaux algorithmes n'étaient pas encore standardisés au niveau mondial. C'est à cela que travaillaient Peter Schwabe et son équipe, qui ont répondu au concours organisé par les États-Unis. Leur méthode, baptisée Kyber, fait partie des quatre solutions finalistes. Elle pourrait bien devenir la norme cryptographique de demain, car elle répond à toutes les attentes.
[Musique] "Si l'on examine les critères d'évaluation des systèmes de chiffrement, le tout premier, c'est la sécurité. L'algorithme sera-t-il capable de nous protéger des ordinateurs traditionnels et des ordinateurs quantiques ? Le second, c'est la performance. Comment cet algorithme se comporte-t-il quand il est déployé dans un logiciel et un matériel, quel que soit sa catégorie ? Il y a d'autres caractéristiques : est-il suffisamment simple à comprendre et analyser ? Y a-t-il des facteurs qui entraveraient la migration ? Nous avons toute une liste de critères, mais les deux principaux sont la protection et la performance."
[Musique] L'algorithme doit donc reposer sur un problème mathématique que l'ordinateur quantique ne pourra pas résoudre, en tout cas pas facilement. On utilise la mathématique des réseaux, et un réseau peut se représenter dans un espace à deux dimensions sous forme de grillage, comme ceci. Je prends les points d'intersection de ces droites, j'obtiens un réseau. Ce sont ces points-ci. Et si je sélectionne un de ces points et que j'en dessine un autre juste à côté, cela reste encore assez facile à calculer. Voilà. Mais si j'essaie de déduire la position du point rouge le plus proche, ça, c'est plus difficile. Pas dans un réseau à deux dimensions, bien sûr, on voit tout de suite où il se trouve. Mais souvenez-vous, il est facile de dire que 15 est égal à 3 x 5, mais c'est beaucoup moins évident avec un nombre à rallonge. De la même façon, notre problème de points devient beaucoup plus ardu quand on passe à un réseau à 500, voire à 1000 dimensions.
[Musique] L'algorithme a été présenté par ses créateurs en 2017. Or, depuis, la technologie a beaucoup évolué. Des chercheurs du monde entier ont donc rendez-vous aujourd'hui pour finaliser cette méthode de chiffrement.
[Musique] Les nouvelles normes sont censées remplacer les méthodes actuelles au cours des deux prochaines années. Elles sont déjà utilisées par certaines entreprises, dont une grande enseigne de commerce en ligne. "On ne cryptographie sans cryptographie, il est impossible d'imaginer non seulement l'informatique actuelle, mais aussi toute notre vie hyperconnectée qui est la nôtre aujourd'hui. Mais même un simple retrait d'espèces au distributeur, tout cela présuppose un chiffrement en arrière-plan. Tout est sécurisé par la cryptographie de type WhatsApp ou Signal, et nos transactions bancaires en ligne ne seraient pas sécurisées. Les mots de passe que nous utilisons sur Internet n'auraient plus aucun intérêt, ils seraient lisibles par n'importe qui. On vivrait vraiment sur une autre planète."
La sécurité informatique dépend donc du travail des chercheurs et des experts, mais elle est aussi entre les mains de chaque utilisateur. Quatre gestes simples permettent de se protéger. Le premier est de choisir de bons mots de passe, et de préférence un pour chaque application. Le deuxième : ne jamais cliquer sur un lien, ni ouvrir la pièce jointe d'un courrier électronique suspect. Le troisième : sauvegarder régulièrement ses données, car la question n'est pas de savoir si, mais plutôt quand un hacker essaiera de s'en emparer. Enfin, installez les mises à jour, si possible dès leur publication. Elles servent à corriger les failles de sécurité à mesure que celles-ci sont identifiées. Plus on attend, et plus on laisse de marge aux cyber délinquants.
Appliquez ces quatre gestes barrières sur ces principaux appareils et comptes numériques, confère à l'utilisateur un haut degré de protection. Les hackers sont certes très puissants, mais nous ne sommes pas complètement désarmés. Chacun de nous peut veiller à ne pas laisser sa maison grande ouverte. Cela prend naturellement un peu de temps et représente un certain budget, mais on pourrait en dire autant d'une porte blindée ou d'une fenêtre anti-effraction.
[Musique]