À lire également en
Que sais-je ?

COLLECTION FONDÉE PAR PAUL ANGOULVENT

Solange Ghernaouti, Arnaud Dufour, Internet, no 3073.

Xavier Niel, Dominique Roux, Les 100 mots de l’Internet, no 3809.

Stéphane Bodier, Tiphaine Guerout, Le Web marketing, no 3905.

Pierre Delort, Le Big Data, no 4027.

Jean-Baptiste Legavre, Rémy Rieffel (dir.), Les 100 mots des sciences de l’information et de la communication, no 4071.

Primavera De Filippi, Blockchain et cryptomonnaies, no 4141.

ISBN 978-2-7154-1122-7

ISSN 0768-0066

Dépôt légal – 1re édition : 2010
4e édition mise à jour : 2022, mai

© Presses Universitaires de France / Humensis, 2022

170 bis, boulevard du Montparnasse, 75014 Paris

Ce document numérique a été réalisé par Nord Compo.

« La prospérité de l’Amérique passera par la cybersécurité. »

Barack Obama, président des États-Unis,
discours à la Maison-Blanche, 29 mai 2009.

« La confiance est à la base de la paix et de l’amitié entre les peuples. A fortiori entre des nations alliées. Si nous procédons comme si la fin justifiait les moyens, si nous faisons tout ce qui est techniquement possible, nous entamons la confiance. Et semons la méfiance. En définitive, il y aura moins, et certainement pas plus, de sécurité. »

Angela Merkel, chancelière d’Allemagne,
discours au Bundestag, 29 janvier 2014.

« Le petit Xavier aurait-il envie de pirater l’homme que vous êtes aujourd’hui ?

– Sûrement. Autant ça ne m’énerve pas de pirater. Autant je serais comme un fou si je me faisais pirater […]. Vous avez trouvé mon cauchemar. »

Xavier Niel, fondateur de Free,
interview dans Society, 27 mai 2016.

Introduction

L’écrivain George Orwell annonçait dès 1949 dans son roman 19841 l’instauration à venir de la société de surveillance. C’est le 7 juin 2013 que l’opinion publique mondiale a saisi l’actualité de ce récit d’anticipation. Ce jour-là, The Guardian2 et The Washington Post3 révèlent l’existence du programme Prism : l’espionnage à grande échelle conduit depuis 2007 par une agence de renseignement des États-Unis, la National Security Agency (NSA)4. Ses agents ainsi que ceux de la police fédérale, le FBI, ont accès aux serveurs de neuf géants étatsuniens de l’Internet (AOL, Apple, Facebook, Google, Microsoft, PalTalk, Skype, Yahoo! et YouTube) pour y consulter les courriels, vidéos, fichiers informatiques et autres détails de la navigation des internautes sur la Toile. À ce stade, ce dispositif semble concerner les utilisateurs installés hors du territoire des États-Unis. Ainsi débute ce qui deviendra l’« Affaire Snowden », du nom d’Edward Snowden, qui travaillait comme informaticien au sein du cabinet Booz Allen Hamilton, un sous-traitant de la NSA. Il a fourni aux journalistes la masse des documents originaux permettant d’étayer leurs accusations d’espionnage généralisé, avec la participation des entreprises de la Silicon Valley. Le sujet devient plus critique pour Washington lorsque l’hebdomadaire allemand, Der Spiegel5, affirme le 23 octobre 2013 que le téléphone mobile personnel de la chancelière Angela Merkel est écouté en direct par les grandes oreilles étatsuniennes. En juin 2015, le site Wikileaks révélera que c’est aussi le cas de trois présidents français : Jacques Chirac, Nicolas Sarkozy et François Hollande.

Avec ces annonces, l’opinion comprend que ces services qu’elle utilise quotidiennement dans sa vie personnelle et professionnelle sont des mémoires exhaustives de ses faits et gestes. En combinant les données de localisation d’un téléphone ou d’un ordinateur, l’historique de sa circulation sur le Net, ses contacts, ses écrits dans sa messagerie et sur les réseaux sociaux (Facebook, Instagram, LinkedIn, Pinterest, Twitter, WhatsApp…) ainsi que le détail de ses transferts financiers, son existence fait l’objet d’une cartographie complète et mise à jour en continu. Dans une société globalisée où les alliés politiques peuvent être également des concurrents commerciaux, dans une géopolitique de plus en plus complexe où les alliances sont plus que jamais évolutives, la capacité à connaître l’information détenue par son interlocuteur constitue un avantage stratégique déterminant qui permet de conserver son avance ou de rattraper son retard, autant que possible à l’insu de ses partenaires diplomatiques, économiques ou militaires.

Dans ce théâtre d’ombres, les anciens clivages s’estompent : l’outil de renseignement militaire informe des comités de direction d’entreprises, des sociétés commerciales collectent des données au profit des états-majors ou de cabinets ministériels, des ordinateurs personnels sont utilisés par des employés pour se connecter aux serveurs de leur entreprise ou de leur administration au risque de les contaminer involontairement…

Captation d’informations sur la vie privée, surveillance des sites visités, maîtrise de l’intégrité des données stockées, prise de contrôle ou altération des systèmes d’information d’une organisation, usurpation d’identité, détournement des flux financiers et piratage des messageries… voici donc résumés les grands enjeux de la sécurité numérique, qui progresseront au fur et à mesure que se déploieront les usages mobiles d’Internet et que la population des internautes augmentera. De l’enfant qui fait ses premiers pas sur le Net au PDG qui utilise des serveurs informatiques pour faire fonctionner son activité en passant par les forces armées, chacun est dorénavant concerné par cette activité cybernétique qui suscite des attaques, des ripostes et des tentatives de protection technologiques. Ce champ de bataille est par essence planétaire et voit s’affronter des intérêts de puissance protéiformes. Pouvoirs politiques, acteurs économiques ou militaires sont tour à tour dans la posture de l’agresseur et de l’agressé avec – fait nouveau – la participation d’individus isolés ou de militants désireux de défendre leur cause sur cette scène mondiale.

Dans ce monde-là, les industriels du numérique ont des capacités d’action, notamment financières, comparables à celles d’un État souverain6. La cybersécurité devient alors la condition nécessaire du développement de nos sociétés modernes. Au détriment, souvent, du droit individuel à la vie privée et d’une certaine pratique de la liberté.

1. G. Orwell, 1984, trad. A. Audiberti, Paris, Gallimard, 1950.

2. G. Greenwald, E. MacAskill, « NSA prism program taps in to user data of Apple, Google and others », The Guardian, 7 juin 2013.

3. B. Gellman, L. Poitras, « U.S., British intelligence mining data from nine U.S. Internet companies in broad secret program », The Washington Post, 7 juin 2013.

4. https://www.nsa.gov/

5. J. Appelbaum, H. Stark, M. Rosenbach, J. Schindler, « Kanzler-Handy im US-Visier ? Merkel beschwert sich bei Obama », Der Spiegel, 23 octobre 2013.

6. N. Arpagian, « Quels États peuvent encore rivaliser avec les Géants du Net ? », Les Échos, 10 août 2017.

CHAPITRE PREMIER
Définition et historique de la cybersécurité

I. – Cybersécurité : de quoi parle-t-on ?

La création du mot « cybernétique » revient à un professeur au Massachusetts Institute of Technology (MIT), Norbert Wiener, qui, dans un ouvrage de 1948, désigna par ce vocable le « champ entier de la théorie de la commande et de la communication, tant dans la machine que dans l’animal »1. Il l’a construit à partir du grec kuberneïn, qui signifie « diriger ». C’est plusieurs décennies plus tard, en 1984, que l’auteur de science-fiction William Gibson utilise le terme de cyberespace dans son roman Le Neuromancien. Il s’agit d’une trilogie qui a pour personnage central un voleur de données. Celui-ci est en mesure d’établir des connexions entre son esprit et un réseau mondial reliant entre eux des ordinateurs.

Peu à peu, le préfixe cyber- va participer ainsi à la construction de nouveaux substantifs relatifs à cette société de l’information qui a vu le jour à compter de la fin du XXe siècle. La cybersécurité va donc concerner les usages défensifs et offensifs de ces systèmes d’information qui irriguent désormais nos organisations modernes. Elle prend en compte les contenants, c’est-à-dire les moyens techniques (réseaux informatiques, téléphoniques, satellitaires…) utilisés pour l’échange de données, qui peuvent faire l’objet d’opérations d’infiltration, d’altération, de suspension voire d’interruption, comme les contenus, c’est-à-dire l’ensemble des informations qui circulent ou sont stockées sur des supports numériques (informatique industrielle, site Internet, bases de données, messageries et communications électroniques, transactions dématérialisées…).

La cybersécurité porte aussi bien sur la protection et l’attaque d’équipements informatiques (la guerre pour ou contre l’information), afin de les surveiller ou d’en prendre le contrôle, que sur les renseignements disponibles sur la Toile (la guerre par l’information), avec de possibles atteintes à la réputation, le vol de données sensibles, des actions de piratage numérique et autres campagnes de dénigrement.

Ce théâtre d’opérations consacre le principe de la guerre asymétrique, où les parties prenantes n’ont plus nécessairement la même nature juridique ni a priori la même puissance : des États peuvent être attaqués par des militants isolés, des sociétés commerciales être visées par des services de renseignements gouvernementaux ou la cible de compétiteurs indélicats, des particuliers mis en cause par d’autres personnes privées. Sur ce terrain numérique, la taille des budgets de communication et de sécurité informatique ne garantit pas l’avantage.

L’imagination, la créativité et la maîtrise technique des pirates informatiques sont capables de contourner bien des systèmes de sécurité établis. La logique de guérilla joue à plein : des activistes parviennent à harceler – et finalement à mettre en difficulté – des adversaires disposant de moyens substantiels (entreprises, administrations, forces armées…). Et le champ des menaces possibles est aussi vaste que la présence grandissante des technologies de l’information et de la communication dans les structures administratives, économiques, commerciales, financières, industrielles, médicales ou militaires. Auxquelles s’ajoutent nos usages personnels qui sont de plus en plus numérisés (blogs, messageries instantanées, télédéclarations fiscales, réseaux sociaux…).

L’actuel réseau Internet puise son origine dans le souhait exprimé dès 1962 par les autorités étatsuniennes, notamment l’Advanced Research Project Agency (ARPA), l’agence gouvernementale spécialisée en R&D (Recherche & Développement) technologique, de disposer d’un système de communication qui résisterait à une attaque nucléaire massive émanant de l’Union soviétique. C’est l’université de Californie-Los Angeles (UCLA) qui élabore ainsi à partir de 1969 le réseau Arpanet, dont l’Internet contemporain n’est qu’un prolongement. Sur ce terrain de l’innovation, la France n’est pas en reste puisqu’en 1971, l’ingénieur en informatique Louis Pouzin pilote le projet Cyclades, qui relie alors 25 ordinateurs installés en France, en Italie et au Royaume-Uni afin de permettre à des chercheurs de collaborer à distance. Pour ce faire, il met au point le premier réseau mondial dit « à commutation de paquets », fondé sur la technique du datagramme, encore employée sur le Net. Intéressés par ce savoir-faire, les universitaires Vinton Cerf de l’UCLA et Robert Kahn de l’ARPA s’en servent largement pour bâtir, à la fin 1973, leur premier protocole de communication (TCP/IP).

Cyclades fonctionne jusqu’en 1979, mais ce programme n’est pas jugé prioritaire par le gouvernement français. Et faute de moyens financiers suffisants, il est finalement abandonné, laissant aux États-Unis la possibilité d’investir pleinement ce secteur d’avenir… Avec une constante depuis cette époque : sa construction sous la forme d’une toile (en anglais, web) d’araignée. Soit un maillage qui ne connaît pas de point central et permet à l’information de circuler même si le réseau est partiellement détruit.

Comme les générations d’outils de communication qui l’ont précédé, Internet a suscité et suscite encore des comportements ambivalents : d’une part, des détournements variés de la part de surdoués de l’informatique pour passer outre les sécurités ou monter des escroqueries, et d’autre part, une surveillance attentive des autorités gouvernementales qui interviennent très tôt dans l’histoire du réseau des réseaux. Rappelons ici que la France s’est dotée dès 1915 d’une Section de contrôle télégraphique afin d’inspecter les correspondances postales et télégraphiques en provenance, à destination ou transitant par son territoire. Quant aux pirates du téléphone, ils commencent à sévir dès les années 1960. Tel ce John Draper qui s’aperçoit que le sifflet offert avec les céréales Capt’ain Crunch émettait opportunément une tonalité de 2 600 mégahertz. Les centraux téléphoniques d’alors l’interprétaient comme une consigne de ne pas facturer l’appel. Les blue boxes – ces boîtiers électroniques permettant de stopper la facturation des télécommunications à l’insu des opérateurs – ont longtemps été le cauchemar des compagnies de téléphone étatsuniennes.

Avec sa diffusion croissante parmi la population, Internet ne pouvait certainement pas faire exception. Ainsi, les États ont chacun opté pour des dispositifs de contrôle ou de filtrage des communications numériques. Tant pour anticiper de possibles agressions que pour porter des coups à leurs adversaires. Fait nouveau sur cette nouvelle scène géopolitique : les entreprises y jouent un rôle comparable à celui qui était dévolu jusqu’alors à des pays. Gestion des identités des internautes, cryptomonnaies, réseaux sociaux, services mondiaux de messagerie, conditions générales d’utilisation applicables à l’échelle internationale… Avec leur puissance financière, la masse...