Cyber Dissuasion - FRS Mars 2012

recherches &
documents
W W W . F R S T R A T E G I E . O R G
BRUNO GRUSELLE Matre de recherche la Fondation pour la Recherche Stratgique
BRUNO TERTRAIS Matre de recherche la Fondation pour la Recherche Stratgique
ALAIN ESTERLE Chercheur associ la Fondation pour la Recherche Stratgique
Cyber Dissuasion
N 03/2012
mars 2012
CYBER DISSUASION
RECHERCHES & DOCUMENTS N 03/2012

dit et diffus par la Fondation pour la Recherche Stratgique
4 bis rue des Ptures 75016 PARIS

ISSN : 1966-5156
ISBN : 978-2-911101-68-7
EAN : 9782911101687

WWW. FRSTRATEGI E. ORG 4 BI S RUE DES PTURES 75016 PARI S TL. 01 43 13 77 77 FAX 01 43 13 77 78
SIRET 394 095 533 00045 TVA FR74 394 095 533 CODE APE 7220Z FONDATION RECONNUE D'UTILIT PUBLIQUE DCRET DU 26 FVRIER 1993

F ONDATI ON pour la RECHERCHE STRATGI QUE 3

SOMMAIRE

INTRODUCTION ....................................................................................................................... 5
LES VULNERABILITES DE LESPACE NUMERIQUE ET LES RISQUES ASSOCIES SONT DEJA
IMPORTANTS ET DEVRAIENT SAGGRAVER A LHORIZON 2020 ................................................... 9
Il est ncessaire dtablir le degr de gravit des risques numriques, les
vulnrabilits exploitables et les perspectives de leur dveloppement ................. 9
Les menaces pesant sur lespace numrique ont dores et dj
des consquences de scurit importantes ...........................................................10
Les acteurs malveillants de lespace numrique sont nombreux et leurs
motivations appartiennent des ensembles diversifis ........................................14
Plusieurs facteurs accroissent la vulnrabilit des outils ncessaires au
fonctionnement de lespace numrique ..................................................................15
La dpendance grandissante des chanes dapprovisionnement envers des
solutions dorigine asiatique cre des vulnrabilits spcifiques .........................15
Plusieurs pays mergents portent une attention spcifique aux questions
dactions offensives dans lespace numrique ....................................................17
Les risques internes aux organisations constituent une source proccupante
de vulnrabilit numrique malgr une prise de conscience gnrale des
risques associs aux outils informatiques ...........................................................19
La stabilit macroscopique actuelle du rseau et des systmes informatiques
ne semble pas devoir tre remise en cause .......................................................20
Lvolution future des pratiques numriques et des outils associs est
susceptible de modifier les enjeux et les vulnrabilits dans lespace
numrique ..................................................................................................................21
Convergence des protocoles de traitement des flux de donnes et des
communications vers la norme IP (Internet Protocole) .......................................21
Le dveloppement du nomadisme et de la cyber-mobilit devrait continuer
sacclrer .......................................................................................................23
LInternet des objets (IoT) devrait progressivement devenir une ralit ..............24
Linformatique en nuage devrait modifier profondment les habitudes
de gestion des donnes et dutilisation de logiciels ............................................28
Anonymisation des donnes, des changes et des traces laisses
sur Internet .........................................................................................................33
CYBER DISSUASION

DEFINITION DUN CONCEPT ET DUNE DOCTRINE EN MATIERE DE DISSUASION NUMERIQUE,
COMPARAISON AVEC LA DISSUASION NUCLEAIRE ET DIFFICULTES SPECIFIQUES ........................37
Objectifs et structure gnrale dune dissuasion numrique ................................37
Dfinitions relatives au cyberespace et spcificits de cet espace ......................39
Dfinitions ..........................................................................................................39
Spcificits du cyberespace ...............................................................................41
Quelles leons peut-on tirer de lexercice de la dissuasion dans le domaine
nuclaire ? .................................................................................................................43
Applicabilit des concepts de dissuasion nuclaire ............................................43
Obstacles et difficults .......................................................................................44
Rflexions sur les conditions dapplication dune dissuasion numrique ...........47
Plusieurs lments rendent difficile lexercice de la cyber-dfense .....................47
Rflexions politiques et stratgiques sur la mise en place dun concept
de dissuasion dans le milieu numrique .............................................................51
Lattribution de lacte reste au cur de lapplication du concept de
dissuasion dans lespace numrique ..................................................................58
Lattribution partielle dune attaque numrique est un moyen envisageable
pour exercer une forme de dissuasion sur certains acteurs ................................60
bauche dune doctrine en matire de dissuasion numrique : difficults
technico-oprationnelles et comparaisons internationales ...................................61
lments dorganisation dune capacit nationale initiale de cyber-dissuasion
finalit dfensive .............................................................................................63
lments darchitecture pour une future capacit nationale de
cyber-dissuasion (volet offensif) .........................................................................65
LES MOYENS EXISTANTS POURRAIENT PERMETTRE DETABLIR LES PREMISSES DUNE
CYBERDISSUASION .................................................................................................................69
De nombreux outils, systmes, procdures et moyens ont t mis
en place dans le domaine dfensif ..........................................................................69
Les tats-Unis ont progress vers une coordination des actions de cyber-
dfense et de cyber-scurit mme si la mise en place dune stratgie
nationale cohrente de protection et de dissuasion reste encore lointaine .........81
CONCLUSION .........................................................................................................................87
ANNEXE 1 PRINCIPALES ATTAQUES NUMERIQUES RECENSEES DEPUIS 2007 .............................91
ANNEXE 2 BIBLIOGRAPHIE SOMMAIRE ...................................................................................95

Introduction

Dans un monde o prs du tiers des habitants ont accs internet et dans lequel la
plupart des entreprises, des organisations et des tats dpendent dj largement des
outils informatiques et des moyens de communication pour leur fonctionnement
quotidien, la question de la scurit numrique est devenue une proccupation
stratgique pour les tats comme pour les entreprises et, dans une moindre mesure, les
citoyens.
Certains incidents particulirement mdiatiss comme la paralysie dune partie des
systmes informatiques estoniens en 2007, les vols de donnes effectus sur des
serveurs du Pentagone cette mme anne, mais galement les dgts rels ou supposs
engendrs par le ver Stuxnet en 2010 sur des machines du programme nuclaire iranien
sont venus, au cours des dernires annes, renforcer lide que les cyber-attaques
devaient tre places au rang des menaces majeures pour la scurit des tats, des
socits et de lconomie globale.
Ainsi, les responsables policiers britanniques estiment quen 2007 la seule fraude en
ligne gnrait au niveau mondial environ 52 milliards de livres pour les criminels
1
. Si
les donnes fournies sur limpact financier global de la criminalit numrique sont
difficiles vrifier la fois sagissant destimations fournies par les principaux
oprateurs du secteur de la scurit numrique mais galement dans la mesure o (1) les
victimes omettent souvent de dclarer leur sinistre et (2) les outils statistiques des
services de police savrent gnralement peu adapts
2
, la dpendance du secteur
priv envers le numrique semble tre tablie, ainsi que le montre les nombreuses
enqutes menes auprs des principales entreprises aux niveaux national comme
international.
Les estimations globales des pertes gnres par le crime informatique et les vols de
donnes illustrent toutefois lordre de grandeur de limpact sur lconomie des risques
numriques. Ainsi, la socit de logiciels de scurit McAfee estimait en 2009 le cot
pour lEconomie mondiale du vol de donnes incluant le dtournement de proprit
intellectuelle 1 000 milliards de dollars par an
3
. Dans son tude annuelle des
activits criminelles caractre numrique dans le monde, la socit Norton estime que
celles-ci causent des pertes slevant 338 milliards de dollars dont 114 seraient
obtenus de faon directe
4
.
Le chiffre avanc par McAfee provient dune enqute mene auprs de plusieurs
centaines dentreprises caractre transnational et implantes aux tats-Unis, en Europe
et en Asie. Celle-ci conclut que chaque multinationale perd en moyenne, travers le vol

1
Association of Chief Police Officer of England, Wales and Northern Ireland, ACPO e-Crime Strategy ,
August 2009, p. 2.
2
Thierry Breton, Chantier sur la lutte contre la cybercriminalit , rapport remis monsieur le ministre de
lIntrieur, de la scurit intrieure et des liberts locales, 25 fvrier 2005, p. 6.
3
http://information-security-resources.com/2009/02/14/businesses-lose-1-trillion-to-cyber-crime/
4
Norton, Global cybercrime costs USD 114 billion annually study , September 8
th
, 2011.
CYBER DISSUASION

de donnes, lquivalent de 4,6 millions de dollars par an
5
. Ce qui reprsente un
montant comparable au chiffre daffaires mondial du crime organis
6
et qui savre
suprieur celui du trafic de stupfiants tel quil est estim par lOffice des Nations
Unies contre la Drogue et le Crime (UNODC)
7
.
Au-del des incidents ayant eu un impact sur lconomie mondiale en entranant des
pertes, notamment financires, qui savrent colossales, les tats se montrent de plus en
plus proccups par les risques de voir des attaques numriques atteindre leurs intrts
vitaux. Aux tats-Unis, les intrusions sur les rseaux classifis du Pentagone en 2008
8

ou encore les actions despionnage conduites contre des programmes majeurs darme-
ment, y compris le Joint Strike Fighter, ou contre des gouvernements allis ont montr
aux responsables amricains la gravit du risque et les possibilits de voir exploites des
vulnrabilits au sein de systmes considrs comme vitaux pour les oprations mili-
taires. Globalement, les services amricains considrent que les rseaux gouvernemen-
taux et les systmes critiques font lobjet de plus de 1,8 milliard dattaques mensuelles
de sophistication plus ou moins importante
9
.
En 2011, les rvlations concernant la conduite par la Chine dune campagne despion-
nage lchelle mondiale ont nouveau illustr aprs la mise jour du rseau
Ghostnet opr par lArme Populaire de Libration la ralit des craintes amri-
caines. Lampleur de la campagne chinoise et la varit des cibles quil sagisse
dentreprises, de gouvernements ou dorganisations internationales ainsi que les
moyens qui y ont t consacrs en font en effet une opration sans prcdent en termes
de quantit dinformation obtenue
10
.
Or, face aux risques informatiques connus, fonder sa scurit numrique sur des
solutions uniquement dfensives savre de plus en plus inadapt. Dune part,
lasymtrie intrinsque entre lefficience des armes numriques et les moyens de
protection et de dfense savre fournir aux agresseurs un avantage de plus en plus
important alors que les investissements de scurit ne font que crotre pour traiter un
spectre finalement limit de menaces. Dautre part, les agresseurs potentiels ne se
trouvent pas soumis des risques suffisants pour les dissuader de conduire des actes
dont les consquences sont susceptibles dtre de plus en plus significatives. Au
contraire, les vulnrabilits existantes et la sensation dimpunit semblent inciter les
acteurs malveillants multiplier leurs oprations des chelles et avec des objectifs
souvent trs ambitieux.

5
McAfee, Unsecured Economies: protecting vital information, The first global study highlighting the
vulnerability of the worlds intellectual property and sensitive information , 21 January 2009, p. 3.
6
United Nations Office on Drugs and Crime, Estimating illicit financial flows resulting from drug trafficking and
other transnational organized crimes , October 2011, p. 7. Le rapport de lUNODC estime que largent gnr
par les activits criminelles transnationales reprsente 1 600 milliards de dollars par an soit 2,7 % du PIB
mondial.
7
http://www.unodc.org/
8
William Lynn III, Defending a New Domain , Foreign Affairs, Sep/Oct2010, Vol. 89, Issue 5.
9
Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information
Age , June 2011, p. 7.
10
Dmitri Alperovitch, Revealed: Operation Shady RAT , McAfee, August 2011, p. 2.
CYBER DISSUASION

En ltat, lexploitation grandissante des failles des systmes informatiques et des
rseaux numriques et laggravation des consquences qui peuvent en dcouler quil
sagisse dinfrastructures critiques, militaires ou gouvernementales conduisent
sinterroger sur le fait que certaines actions malveillantes peuvent sapparenter des
actes de guerre et ds lors ncessiter des reprsailles, ces dernires pouvant tre
numriques voire mme physiques. De fait, dans le rcent document de stratgie
internationale pour le cyberespace, la Maison Blanche a soulign le droit
lautodfense face des actions se droulant dans le domaine numrique
11
.
Ces lments conduisent sinterroger sur la possibilit de mettre en place, dans le
contexte plus large dune rvision des stratgies de cyber-dfense, les outils, les moyens
et les organisations dont la finalit serait de dissuader les agresseurs potentiels de
causer des disruptions massives aux socits numriques. Lobjectif devrait tre fina-
lement de passer dune stratgie de dfense statique fonde sur des lignes Maginot
numriques pour crer une approche comprenant un spectre plus large de solutions de
scurit.
Ainsi, de nombreux pays ont annonc plus ou moins ouvertement leur volont de faire
voluer leurs capacits de cyber-dfense (en se dotant de commandement ad hoc et de
moyens de riposte), afin de rpondre aux attaques, do quelles viennent, qui
pourraient menaces les infrastructures indispensables au bon fonctionnement de leurs
secteurs dactivit dimportance vitale.
Parmi les volutions envisageables, la possibilit de conduire des oprations offensives
contre des personnes ou des organisations susceptibles de commettre des actions mal-
veillantes mrite donc dtre explore. Il sagirait en particulier de faire peser sur les
attaquants potentiels la menace de reprsailles suffisamment significatives pour influer
sur leur calcul stratgique et ainsi peut tre les dissuader dengager les actions les plus
destructrices.
Llaboration dune telle stratgie de cyber-dissuasion sinscrit en dfinitive dans le
besoin de redfinir les stratgies des pays occidentaux en matire de scurit numrique.
Elle passe donc par une rflexion sur les moyens qui doivent tre dvelopps pour
rpondre aux enjeux de scurit actuels et futurs dans le domaine cyber. Elle ncessite
galement de rebtir la philosophie qui sous-tend les approches des problmatiques de
scurit numrique de faon notamment rpondre au besoin de coordination opra-
tionnelle entre les diverses parties prenantes : acteurs privs, administrations, forces de
scurit et public au sens large.
Cette tude propose ainsi des pistes permettant de dfinir une stratgie de cyber-
dissuasion en sintressant la fois aux aspects doctrinaux mais galement aux probl-
matiques fonctionnelles, organisationnelles et techniques. Dans ce cadre, elle vise
prciser les outils qui pourraient tre utiliss pour permettre le fonctionnement dun
systme de cyber-dissuasion.

11
White House, International Strategy for Cyberspace Prosperity, Security and Openness in a Networked
World , May 2011, p. 10.

Les vulnrabilits de lespace numrique et les risques
associs sont dj importants et devraient saggraver
lhorizon 2020
Il est ncessaire dtablir le degr de gravit des risques numriques,
les vulnrabilits exploitables et les perspectives de leur dveloppement
Le degr de dpendance de notre socit en termes conomiques, sociaux ou de
scurit envers les outils informatiques et de communication et, singulirement,
envers internet en tant que fdrateur des solutions numriques et comme colonne
vertbrale dchange entre les divers objets connects et les personnes physiques ou
morales, est dores et dj important et il va aller en augmentant.
Mme si les problmatiques de scurit sont prises en compte dans le dveloppement
des futurs systmes et solutions numriques et dans celui de lInternet du futur, ces
derniers resteront vulnrables face des acteurs malveillants cherchant exploiter les
failles de ces outils complexes pour leur bnfice, pour neutraliser durablement des
processus ou des oprations, pour drober des donnes ou encore, pour causer des
dgts aux personnes ou aux biens.
Si lon considre souvent que les attaques informatiques sont avant tout un risque pour
le secteur priv dans la mesure o les services ou les moyens de ltat sont finalement
peu attaqus en comparaison des acteurs privs cette logique cesse dtre applicable
quand lon considre la multitude de rseaux et moyens vitaux oprs par des acteurs
non tatiques (eau, lectricit, transports) ou encore le cot pour lconomie des
activits criminelles dans le domaine numrique
12
.
Ainsi, si les risques numriques nont pas forcment de consquences existentielles
pour le pays, ils sont toutefois de nature crer des perturbations graves qui peuvent
tre ponctuelles ou davantage discrtes/distribues dans le temps. A plus long terme,
avec le dveloppement de lInternet des objets et la monte en puissance du cloud
computing et des nouveaux usages dInternet par exemple, certains actes malveillants
peuvent venir menacer la socit de faon plus gnrale en affectant de manire
simultane une part plus importante de la population ou des aspects plus vitaux du
fonctionnement de la Nation.
Parmi les intrts qui pourraient tre couverts par une posture de cyber-dissuasion, il
faudrait vraisemblablement inclure :
Les moyens dinfrastructure et les applications critiques pour le fonctionnement
dInternet : la fiabilit du rseau mondial au niveau national, dj ncessaire
aujourdhui, devrait devenir indispensable moyen et long termes au fur et
mesure de lintgration de nouvelles applications ; au moins court terme, lInternet
des objets et linformatique en nuage.
Les systmes informatiques permettant le fonctionnement, la maintenance et la
gestion des infrastructures critiques du pays : grille lectrique (distribution, trans-
port, gestion), rseaux de transport de personne et de biens, rseaux de distribution

12
Eric Sterner, Retaliatory Deterrence in Cyberspace , Strategic Studies Quarterly, Spring 2011, p. 64.
CYBER DISSUASION

de biens de premire ncessit (en particulier eau), tlcommunications gouverne-
mentales (y compris les systmes de commandements, de communication et de
contrle vocation militaire), etc. La scurit, la protection et la rsilience de ces
systmes sont dores et dj considres par les instances nationales de planification
de scurit et de dfense comme un impratif.
Certaines donnes ou informations dont la divulgation ou lutilisation seraient de
nature compromettre la scurit de nos ressortissants, celle de nos forces ou du
territoire national. Sur ce point, il convient dtre extrmement prudent sur la nature
des informations dont le pillage serait couvert par la manuvre de dissuasion. En
effet, le vol de donnes savre tre lun des crimes les plus banals dans le domaine
numrique.
Les menaces pesant sur lespace numrique ont dores et dj des
consquences de scurit importantes
Pourtant, force est de constater que les risques associs lemploi dInternet
naffectent en rien son taux de croissance. Laccroissement simultan des vulnra-
bilits et des menaces est analys par les autorits responsables des politiques de cyber-
scurit et les grandes entreprises fournisseuses doutils et services de scurit. Tous les
systmes dchanges dinformations lectroniques sont vulnrables et ils sont soumis
des attaques partir du moment o leur march se dveloppe : les logiciels malveillants
se diversifient et un nouveau march des outils dattaques comme par exemple, la
location de rseau dordinateurs zombis se dveloppe pour exploiter les failles
dtectes de ce systme.

Figure 1 : Croissance du nombre dusagers dInternet (source : Internet World Stats)

CYBER DISSUASION


La figure suivante offre un bilan graphique rcent du paysage des cyber-menaces. Il
apparat clairement que lensemble des menaces connat un dveloppement significatif
qui correspond a priori avec laccroissement du degr de pntration des technologies
de linformation au niveau global.
Le cot des incidents et attaques affectant les systmes dinformation est bien sr
difficile valuer, faute dune mthodologie uniforme et du fait dune forte incertitude
sur le taux des incidents dclars par rapport aux incidents reconnus. Il existe aussi
des attaques qui passent inaperues ou qui ne sont pas dtectes ou identifies comme
telle par ngligence ou du fait de labsence de comptences scurit au sein de
lorganisation concerne. Il est donc impossible dtablir une valeur absolue des pertes
financires rsultant des cyber-attaques, mme si lestimation la plus couramment
admise est que le cot des dommages affectant les systmes dinformation est
comparable au chiffre daffaires mondial du crime organis
13
et vraisemblablement du
mme ordre de grandeur, comme nous lavons vu, que les bnfices provenant du trafic
de stupfiants.

13
http://www.fbi.gov/about-us/investigate/organizedcrime/overview
CYBER DISSUASION


Figure 2 : Les principales menaces en 2010 en chiffres (source : Symantec)
CYBER DISSUASION


Il est nanmoins intressant de suivre lvolution dans le temps des pertes financires
associes un mme corpus. Les plaintes dposes aux tats-Unis et ayant conduit
une poursuite judicaire fournissent, dans cette perspective, des donnes utiles. Elles
suggrent en effet une croissance dun ordre de grandeur par dcennie, grosso modo
comparable au taux de croissance de la pntration mondial dInternet.

Figure 3 : Yearly Dollar Loss (in millions) of Referred Complaints in the US
(source : Internet Crime Complaint Center 2009 Report
14
)

A la lumire des donnes disponibles, il existe donc apparemment une corrlation
entre la monte en puissance des usages des technologies de linformation, en parti-
culier dInternet, laccroissement des actes malveillants et les pertes financires
associes. En creux, cette corrlation suggre que les bnfices conomiques, sociaux,
culturels... qui sont tirs de lutilisation grandissante des systmes numriques sont
considrs par les utilisateurs comme suprieurs aux pertes causes par les risques et
vulnrabilits qui leur sont intrinsquement lis.
Ce constat amne finalement sinterroger sur le besoin de mettre en place une dissua-
sion numrique. Comme nous lavons voqu, la volont affiche de gouvernements de
plus en plus nombreux de dvelopper des capacits tatiques offensives cre les
conditions dun changement profond du niveau (et de la nature) de la menace. Cest
bien ce problme spcifique et nouveau qui appelle une rponse sous la forme de
llaboration dun dialogue dissuasif la fois avec les acteurs tatiques mais, ventuel-
lement, avec les groupes ou les personnes qui commettent pour leur propre profit ou,
ventuellement, au profit dtats tiers, des actes numriques malveillants.

14
http://www.ic3.gov/media/annualreports.aspx
CYBER DISSUASION

Les acteurs malveillants de lespace numrique sont nombreux et leurs
motivations appartiennent des ensembles diversifis
On peut distinguer grossirement trois catgories dacteurs qui dans le domaine
numrique exploitent les failles et les vulnrabilits des systmes pour en tirer un profit,
crer des effets nfastes pour les utilisateurs ou, dans certains cas, faire valoir leur
position ou leur point de vue.
Aux cyber-attaquants classiquement rpartis en fonction de leurs motivations (perfor-
mance technique, financement, idologie, pression sur autrui), il convient maintenant de
rajouter le personnel militaire entran pour pouvoir mener des actions offensives dans
le cyberespace.

Encadr 1 : Catgorisation des acteurs
Les cyber-activistes utilisent internet pour faire valoir leurs positions
idologiques quelles soient politiques, religieuses ou thiques. Leurs modes
daction restent souvent toute fait lgaux (blogs, forums publics ou privs...),
mais peuvent aussi inclure des campagnes de dnonciation utilisant des
moyens illgaux (dfiguration de sites, dnis de services). Depuis 2010,
Wikileaks a dvelopp un nouveau mode dintervention avec la mise en ligne
systmatique de documents protgs, voire classifis, et le groupe Anonymous
a engag des campagnes de hacking de sites officiels ;
Les cybercriminels exploitent les rseaux et les systmes informatiques pour
en tirer un gain financier direct ou indirect : vols de donnes, espionnage
industriel, sabotage, contrefaon de matriel lectronique ou de logiciels
15
. Le
dveloppement de ce type dactivit donne lieu une division du travail avec
des mcanismes bien rods de blanchiment dargent
16
;
Les cyber-terroristes utilisent le rseau pour recruter, prparer des actions
spcifiques ou encore communiquer des fins oprationnelles et ceci de faon
relativement discrte, mme si on ne peut carter la possibilit, non encore
avre, de les voir viser les outils informatiques des entreprises afin, par
exemple, de mener une action de sabotage avec des effets de grande ampleur
(systme financier, rseaux critiques/vitaux ;
Les cyber-guerriers sont les membres des services mis en place par des tats
pour conduire des actions offensives (espionnage, sabotage, neutralisation de
systmes informatiques) contre des cibles dsignes par leur gouvernement
mais qui travailleraient galement de faon continue espionner la fois les
acteurs publics et privs pour obtenir des informations et des savoir-faire
protgs par le secret.

15
Club de la Scurit de lInformation Franais, Panorama 2008 de la cybercriminalit , pp. 76-94.
16
Voir notamment Les marchs noirs de la cybercriminalit , CEIS, juin 2011
CYBER DISSUASION


Cette classification doit cependant tre utilise avec prcaution car, dans la pratique, un
vnement spcifique peut trs bien impliquer des groupes et acteurs de catgories et
motivations diffrentes qui se trouvent mobiliss autour dun objectif commun. Comme
de nombreux indices le laissent penser, ce fut, par exemple, le cas lors des attaques
contre lEstonie et la Gorgie
17
en 2007 et 2008. La collusion, en Chine et en Russie,
entre des structures gouvernementales voire militaires et des groupes militants pour
mener des attaques lencontre de pays trangers a t rcemment analyse en dtail
par Alexandre Klimburg
18
.
Plusieurs facteurs accroissent la vulnrabilit des outils ncessaires
au fonctionnement de lespace numrique
La dpendance grandissante des chanes dapprovisionnement
envers des solutions dorigine asiatique cre des vulnrabilits spcifiques
La fabrication doutils logiciels, de matriels et de composants informatiques est
devenue depuis plusieurs annes la responsabilit quasi-exclusive de socits et dentre-
prises implantes en Asie. Il convient notamment de souligner que les plus grands
fondeurs de semi-conducteurs sont chinois et tawanais
19
.
Hors dun cadre soigneusement contrl de bout en bout c'est--dire depuis le
composant de base, jusquau systme assembl et linstallation des logiciels , il ny a
pas de mthode permettant de vrifier coup sr quun logiciel ou un composant na
pas t pig au moment de son dveloppement. Or, sil existe, un tel pige pourra
dans des conditions prdfinies dclencher une attaque, ventuellement de grande
ampleur, sans que lauteur de lagression nest besoin de donner dinstructions
complmentaires.
En 2006, le FBI a dtect la production par la Chine de routeurs CISCO contrefaits et
vendus sur le march amricain sous lappellation CISCO. Outre les consquences de la
fraude conomique, cet vnement montre lexistence dune menace spcifique lie la
fiabilit des chanes dapprovisionnement. La possibilit dimplanter des chevaux de
Troie ds la phase de production des composants de base des systmes dinformation
montre que les grands fournisseurs occidentaux de solutions numriques sont dores et
dj vulnrables dans ce domaine.
La prise de contrle en 2005 par la socit chinoise Lenovo de la division personal
computer/PC dIBM
20
illustre galement le fait que le niveau de dpendance global
des utilisateurs de solutions numriques envers des solutions qui seraient uniquement
dorigine asiatique et singulirement chinoises risque de continuer saggraver.

17
US Cyber Consequences Unit, Overview of the Cybercampaign against Georgia in August of 2008 ,
August 2009, p. 3.
18
Alexandre Klimburg, Mobilizing Cyber-Power , Survival, Volume 53, Issue 1, January 2011.
19
http://fr.wikipedia.org/wiki/Fonderie_ %28 %C3 %A9lectronique %29
20
http://www.presence-pc.com/actualite/Lenovo-rachete-IBM-9669/
CYBER DISSUASION

A - Concentration du march
Lvolution du march des tlcommunications est marque depuis plusieurs annes par
des oprations de concentration verticale (e.g. rachat de Skype par Microsoft). En effet,
les grands industriels du secteur cherchent prsenter leurs utilisateurs une offre
globale de communication, daccs des contenus et des services cls-en-mains .
Le dveloppement de linformatique en nuage devrait confirmer cette tendance moyen
terme.
In fine, lindustrie informatique pourrait de rassembler en un nombre rduit de ples
industriels (Google, Microsoft, Apple...), chacun tant mme de fournir une palette de
produits et services, qui devront vraisemblablement faire lobjet dune certification
maison pour fonctionner avec les divers systmes dexploitation
21
.
Une telle rorganisation du march avec un effet de silos pourrait faire obstacle des
migrations ventuelles et rduire la flexibilit de lapprovisionnement. Elle renforcerait
aussi les problmes de dpendance et les risques inhrents toute chane dapprovision-
nement non contrle.
B - Dveloppement des capacits numriques de la Chine
Le paysage industriel est aussi marqu par la croissance spectaculaire des capacits de
recherche et dindustrialisation chinoises : rachat de la production dordinateurs IBM
par Lenovo, mise au point du deuxime superordinateur au monde en termes de
capacits de calcul Milky Way One, 1 000 milliards doprations la seconde ,
couverture de 60 % de lactivit nationale par le navigateur chinois Baidu, concurrent de
Google, etc.
Lquipementier des tlcommunications grand public Huawei affiche aussi une
croissance soutenue de lordre de 20 % par an, avec un chiffre daffaires de 16 milliards
deuros et un rsultat net de 2 milliards en 2009. La stratgie du groupe est largement
tourne vers lexportation et la coopration internationale. Il a effectivement nou des
partenariats avec 45 des 50 plus grands oprateurs mondiaux. Il a galement cr une
filiale commune avec Symantec et port un projet de centre de R&D qui serait implant
en France.
Selon certaines sources, Huawei soriente vers une forte rationalisation technique. Il
sengage dans les services dinformatique en nuage, mais en se librant des lourdeurs
inhrentes aux systmes en concentrant dans un mme rack lensemble des fonctions et
sous-ensembles de gestion de rseau (routeur, switch, hbergeur). Ce mode all-in-one se
traduit par une dcroissance de la production de hardware et le transfert de nombreuses
fonctions vers des solutions logicielles, plus souples configurer et faire voluer. La
mme approche prvaut pour le passage dune gnration lautre dans le domaine des
tlcommunications civiles (3G et 4G utilisant le mme hardware).
Ceci nempche pas des industriels europens de continuer pntrer le march chinois
linstar dAlcatel-Lucent (ou plutt sa filiale Alcatel-Lucent Shanghai Bells) qui a
remport en juin 2011 le contrat de China Telecom, premier oprateur mondial avec 120
millions dabonns, pour le transfert du rseau commut au rseau IP dans 6 provinces.

21
Voir par exemple la politique dApple Inc. en matire de dissmination dapplications.
CYBER DISSUASION

Cette volution des tlcommunications grand public saccompagne dune volution
semblable pour les produits de scurit et les quipements scuriss. Les propositions
chinoises qui, il y a quelques annes encore, taient gnralement 50 % moins chres
que les produits europens mais de qualit mdiocre, prsentent aujourdhui une qualit
comparable tout en demeurant 10 % en dessous du prix du march. Elles deviennent ds
lors davantage comptitives sur les marchs en Europe
22
.

Au total, les mutations industrielles laissent envisager une concentration des acteurs,
une concentration de loffre et un transfert vers la Chine de ples majeurs dactivits.
Ceci devrait accentuer les enjeux en matire de contrle des chanes dapprovision-
nement avec le besoin dune politique incitative et cible pour prserver un minimum de
produits fiables sur lensemble du champ souverain.

Plusieurs pays mergents portent une attention spcifique aux questions
dactions offensives dans lespace numrique
Les puissances mergentes considrent dabord le cyberespace comme un champ de
croissance conomique exceptionnel et un acclrateur industriel et technique dans de
multiples secteurs.
Mais certains le peroivent galement comme un risque pour les rgimes politiques en
place. Ceci se traduit gnralement par la mise en place de contrles et de barrires
visant contrler laccs et les utilisations dInternet (Iran, Chine). Ils y voient aussi un
enjeu gopolitique majeur pour lvolution des relations internationales. Cest sans
doute dans cette perspective quil faut apprcier la dcision rcente des BRICS
23
de
construire un rseau fibr sous-marin contournant les tats-Unis.
Certains de ces pays pratiquent ainsi des politiques visant contrler les points daccs
Internet en tablissant une passerelle unique. Cette approche est bien sr en
contradiction directe avec le schma dun Internet ouvert mais peut avoir un double
avantage de politique interne (contrle du contenu des informations transfrontires) et
de politique externe (dfense avance vis--vis dventuelles attaques logiques, dans le
cadre dun schma de dfense en profondeur).
Au-del de la surveillance et du contrle dInternet, la politique de lArme Populaire
de Libration chinoise en matire numrique se dveloppe autour de capacits
offensives destines des activits de cyber-espionnage comme, vraisemblablement,
des actions visant neutraliser ou paralyser temporairement les moyens informatiques
adverses. Depuis 2006, plusieurs vnements ont montr limplication des services
chinois dans plusieurs affaires despionnage visant des systmes occidentaux : tats-
Unis, Allemagne
24
, Organisations des Nations Unies... Les analyses effectues par les

22
Discussion personnelle avec des responsables de la DGA (note dAlain Esterle).
23
Brsil, Russie, Inde, Chine, Afrique du Sud, troisime runion Sanya (Chine) le 14 avril 2011.
24
Au point de conduire des ractions de la Chancelire et du gouvernement vis--vis des autorits chinoises.
http://news.softpedia.com/news/Germany-Attacks-China-For-Starting-The-Cyber-War-68994.shtml
CYBER DISSUASION

entreprises de scurit numrique semblent indiquer lexistence dune voire de
plusieurs opration globale despionnage informatique visant les gouvernements
trangers, les multinationales ainsi que certaines organisations globales
25
.

Figure 4 : Les oprations despionnage chinoises auraient atteint 72 cibles depuis 2006
permettant de voler des milliards doctets de donnes (Source : McAfee)

La politique numrique de la Chine mise sur lappropriation des technologies de
linformation et des communications la fois dans une logique de gain conomique
mais galement pour fonder une stratgie de guerre de linformation dans laquelle les
moyens mis disposition de larme populaire sont utiliss pour infiltrer les systmes
informatiques connects Internet et ainsi faire peser sur les tats en particulier
occidentaux et les utilisateurs une menace permanente pour la scurit de leurs
infrastructures, la confidentialit de leurs changes et la suret des donnes stockes
26
.
De ce point de vue, la Chine dispose dores et dj dun outil de cyber-dissuasion qui
savre tre galement un moyen de pratiquer des activits despionnage une chelle
globale.

25
Dmitri Alperovitch, Revealed: Operation Shady Rat , McAfee White Paper, July 2011.
26
Magnus Hjortdal, Chinas Use of Cyber Warfare: Espionnage meets Strategic Deterrence , Journal of
Strategic Security, Volume IV Issue 2 2011, pp. 1-24.
CYBER DISSUASION


Les risques internes aux organisations constituent une source proccupante de
vulnrabilit numrique malgr une prise de conscience gnrale des risques
associs aux outils informatiques
Sans quil soit possible dtablir en la matire une statistique rigoureuse, il est couram-
ment admis quune proportion non ngligeable des attaques proviendrait de personnes
internes lorganisme en charge ou connect au rseau infect. Quil sagisse dactions
intentionnelles ou de ngligences, elles constituent une forme de vulnrabilit perma-
nente qui est renforce par la faiblesse de la culture en scurit des systmes
dinformation au sein de la plupart des entreprises et des organisations gouverne-
mentales.
Bien que limportance du risque numrique pour le fonctionnement des entreprises et
des organisations soit gnralement reconnue, les budgets consacrs la scurit
informatique sont souvent inadapts pour faire face au niveau de risque encouru.
Au sein du budget consacr par les entreprises aux systmes dinformation, la scurit
numrique reprsente une part htrogne allant de 1 % plus de 6 %
27
. De faon
gnrale, 56 % des chefs dentreprise interrogs lors dune enqute mene en 2009
indiquent que la part du chiffre daffaires consacre la scurit informatique est
infrieure ou gale 1 % du chiffre daffaires. Seuls 10 % affirment consacrer plus de
2 % de leur chiffre daffaires la scurit numrique. Enfin, une forte proportion na
pas une vision claire sur les investissements en la matire : 34 % des interrogs
concdent ne pas connatre la part du chiffre daffaires consacre cette activit
28
.
Pourtant, la quasi-totalit des chefs dentreprise considrent que les dispositifs de
scurit informatique constituent une prcaution indispensable. Plus de 80 % estiment
que ceux-ci ne constituent pas un frein la productivit
29
. Ces proportions sont peu
prs les mmes en ce qui concernent les salaris
30
. Pourtant les investissements rels en
matire de scurit numrique sont loin de reflter cette prise de conscience apparente.
Mais la prise en compte de la nature des risques est encore inadquate au regard de
lvolution rapide des vulnrabilits. La scurit des ordinateurs de bureau et des
rseaux dentreprise est dailleurs souvent limite au dploiement de solutions basiques
qui sapparentent des lignes Maginot numriques.
Ainsi, lusage dantivirus, de pare-feux et de logiciels anti-spam sest largement
gnralis dans lunivers conomique tout comme dans le monde institutionnel. Mais
les organisations prives comme publiques peinent encore adopter des mesures de
scurisation spcifiques, davantage contraignantes chiffrement des donnes,
authentification, contrle daccs qui permettent de mieux grer les risques
dincidents provenant de lintrieur du rseau.

27
CLUSIF, Menaces informatiques et pratiques de scurit en France, Edition 2008 , 2008, p. 13.
28
TNS-SOFRES, linscurit numrique des entreprises synthse , novembre 2009.
29
TNS-SOFRES, Linscurit numrique des entreprises volet chefs dentreprises , novembre 2009, p. 47.
30
TNS-SOFRES, Linscurit numrique des entreprises volet salaris , novembre 2009, p. 45.
CYBER DISSUASION

Le besoin de scurit est galement encore largement sous-estim pour certains qui-
pements nomades smartphones, ordinateurs portables et tablettes, clefs USB qui ne
sont que trs rarement quips de solutions de scurit propres et constituent des points
dentre vulnrables dans les systmes dinformation des socits
31
. De la mme faon,
les donnes prsentes sur les postes individuels sont rarement chiffres alors mme que
lenqute du CLUSIF montre que ces informations font souvent lobjet de pertes ou de
vols
32
.
Les salaris considrent que lutilisation de clefs USB personnelles ou de leur
messagerie personnelle constitue des pratiques risques pour lentreprise, comme la
montr le mode de propagation du code malveillant qui avait infect les rseaux du
Pentagone en 2008. Pourtant, la plupart indiquent que le niveau de protection
informatique dont ils disposent est suffisant pour les protger de la plupart des
menaces
33
. La possibilit daccder en permanence leurs donnes personnelles comme
professionnelles avec des outils et des logiciels similaires si ce nest identiques
constitue pour les salaris et les fonctionnaires une attente vis--vis de leurs
employeurs. Les politiques de scurit prennent encore mal en compte le fait que les
volutions des usages des technologies de linformation ont conduit multiplier les
vulnrabilits internes. Elles se sont dailleurs notamment accrues pour les rseaux qui
ne sont pas directement connects Internet et o une intervention humaine est
ncessaire pour introduire au sein du rseau un logiciel malveillant.
La stabilit macroscopique actuelle du rseau et des systmes informatiques
ne semble pas devoir tre remise en cause
De nombreux experts
34
considrent comme peu probable quune cyber-attaque puisse
elle seule se propager grande chelle dans lInternet et provoquer son effondrement
35
.
Actuellement, lInternet est dot de suffisamment de nuds de haute connectivit pour
quen cas de rupture dun nombre quelconque de nuds distribus de faon alatoire, le
rseau mondial reste oprationnel.
En revanche, une attaque ciblant spcifiquement 5 % des nuds haute connectivit
pourrait provoquer un effondrement de lInternet en une srie dlots, chacun intercon-
nectant un maximum dune centaine de calculateurs entre eux
36
.

31
En 2006 et 2007, il semble que les campagnes de piratage organises contre des machines du DoD (et de la
NDU), vraisemblablement par les services Chinois, ait t rendu possible par lintroduction dun cheval de Troie
plac sur une clef USB dans le rseau militaire amricain.
32
La compromission de donnes par des personnes appartenant aux entreprises, de faon volontaire ou pas,
constituent lune des proccupations majeures des grands oprateurs du monde numrique. Entretiens, novembre
2009.
33
TNS-SOFRES, Linscurit numrique des entreprises : synthse , novembre 2009.
34
Michel Riguidel, Les technologies numriques du futur : Nouvelles menaces, nouvelles vulnrabilits ,
Cahiers de la scurit No. 6, Institut dEtudes Politiques de Lyon, 2008.
35
Lattaque de 2003 contre les 13 serveurs DNS racine et la mise hors jeu momentane de 8 dentre eux, en
rduisant localement lactivit mais sans empcher un rtablissement rapide.
36
Future Global Shocks , OECD Review of Risk Management Policies, OECD, 2011
CYBER DISSUASION

Lvolution future des pratiques numriques et des outils associs est
susceptible de modifier les enjeux et les vulnrabilits dans lespace
numrique
Trois facteurs sont de nature influencer les conditions dlaboration et de mise en
uvre de doctrines en cyber-dissuasion moyen terme : innovations technologiques,
stratgies industrielles, orientations gopolitiques.
Si le futur de lenvironnement numrique ne peut prcisment tre dfini moyen
terme, du fait notamment du rythme lev de linnovation dans ce domaine, plusieurs
tendances technologiques lies ont dj merg qui devraient se confirmer. Elles sont
notamment lies la croissance du nombre dobjets connects internet ou grs au
travers du rseau et aux phnomnes de nomadisation et de recherche de mobilit. Le
dveloppement de linformatique en nuage rpond galement des impratifs conomi-
ques et se dveloppe en parallle dune externalisation croissante des services informa-
tiques des entreprises.
En outre, la mise en commun et la distribution (donc lachat) via Internet des capacits
de calcul et de traitement de machines (ou de rseau de machines) distantes ont t
rendues possibles par laccroissement des performances du rseau. Elles pourraient
permettre terme dagrger les capacits de calcul de plusieurs dizaines de machines
pour parvenir des niveaux compatibles voire suprieurs ceux de supercalculateurs.
Enfin, la convergence des moyens de gestion des flux de communication vers une
norme unique base sur les protocoles internet est de nature crer de nouvelles
vulnrabilits dans des systmes jusqualors isols du rseau mondial.
Le dveloppement de ces tendances aura des consquences en termes de scurit et au
niveau des besoins de protection des infrastructures, des personnes et des biens. En
particulier, laccroissement du nombre et du type des objets (intelligents) connects
entre eux, aux personnes et au(x) rseau(x) devrait conduire augmenter les risques de
dtournement et contribuer aggraver les consquences potentielles dactes
malveillants.
Convergence des protocoles de traitement des flux de donnes et des commu-
nications vers la norme IP (Internet Protocole)
La convergence vers la norme Internet Protocol
37
pour lensemble des rseaux de
communication est une opration dj largement engage. Cela ne va pas sans risques :
lemploi dun mme protocole pouvant par exemple gnraliser la prsence dune
vulnrabilit donne lensemble des systmes connects et donc accrotre les effets
dune attaque fonde sur son exploitation.

37
http://en.wikipedia.org/wiki/Internet_Protocol
CYBER DISSUASION

Une tude rcente sur le sujet a abouti une srie de conclusions intressantes, notam-
ment en matire de rsilience des rseaux IP, dorganisation de la scurit et de gestion
du changement
38
.

Encadr 2 : Conclusions sur limpact de la convergence IP
en matire de scurit
La migration des protocoles de communication vers la norme IP est en cours
et probablement irrversible ;
Le rythme de migration est variable dun oprateur lautre mais est en
gnral plutt lent, les rseaux existants ( legacy networks ) continuant
fonctionner tant quils restent conomiquement rentables ;
Les technologies utilises pour cette migration sont connues et il y a un con-
sensus sur les moyens utiliser ;
Les rseaux IP sont plus ouverts aux attaques extrieures, mais les mthodes
et mesures de scurit sont beaucoup plus puissantes que celles utilises pour
les rseaux existants ;
Les rseaux IP sont intrinsquement plus rsilients aux surcharges de
trafic, aux dysfonctionnements de sous-systmes et aux dsastres naturels,
pourvu quils aient t construits selon les mthodes standards prvues cet
effet ;
Un dveloppement rapide de lcosystme de tlcommunication va faire
apparatre de nouveaux dfis, et lindustrie devra les rsoudre avant de
dployer tous les services sur un mme rseau ;
Lorganisation interne des oprateurs ne changera pas considrablement avec
lintroduction de structures IP et la dpendance ces dernires, mais le point
principal sera de maintenir une scurit physique de tout premier ordre pour
ces structures, une fourniture dnergie permanente et une rponse aux inci-
dents prcise et rapide ;
Dun point de vue organisationnel, un personnel qualifi moins nombreux et
travaillant dans un plus petit nombre de lieux sera ncessaire pour grer ces
rseaux futurs ;
Les choix politiques lis cette migration devront tablir une coordination
entre des parties-prenantes, tracer un chemin parmi des intrts
contradictoires, et rsoudre des contradictions entre certaines priorits. Ces
activits sont et seront dans tout lavenir prvisible principalement bases sur
les politiques des tats, bien que des cooprations transnationales doivent tre
recherches autant que possible.

38
Analysis of the security and resilience challenges brought about by the convergence of previously separate
and distinct communication networks towards IP networks , IDC, 2010, tude commandite par la Commission
europenne.
CYBER DISSUASION

Une action au niveau de lUnion europenne peut aider coordonner les
politiques nationales et les efforts de standardisation, crer des plates-formes
pour un dialogue industriel lchelle europenne et favoriser la coopration
internationale pour les ractions aux cas durgence.

Il faut aussi noter que la convergence IP devrait avoir terme un impact sur les
tlcommunications spatiales en remettant lordre du jour, aprs lchec des projets
de constellations en orbites basses et moyennes des annes 1990, la question des
liaisons Internet satellitaires. Une telle volution pourrait sappuyer sur le prcdent du
satellite Ka-Sat dEutelsat (la bande Ka permet une liaison haut dbit avec une antenne
de petite dimension) mis en orbite en 2010.
Ces nouvelles perspectives dans le domaine des satellites devront tre prises en compte
pour les questions dlaboration de capacits offensives futures (neutralisation de satel-
lites) mais aussi pour les collectes massives de donnes permettant une attribution plus
rapide des attaques.

Au total, la poursuite de la convergence IP pourrait conduire une meilleure
rsilience gnrale des rseaux, tout en les laissant plus ouverts des attaques
extrieures. Un regain des liaisons Internet par satellite pourrait voir le jour, avec
des implications en matire de capacits offensives et dattribution des attaques
Le dveloppement du nomadisme et de la cyber-mobilit devrait continuer
sacclrer
Le nomadisme devrait sacclrer en parallle de la convergence des protocoles de
communication vers la norme IP.
Dores et dj, les tlphones mobiles et les terminaux mobiles (tablettes ou netbooks
par exemple) savrent tre des outils indispensables pour les cadres des entreprises du
secteur priv ainsi que pour la plupart des hauts-fonctionnaires. Avec le dveloppement
de nouveaux protocoles de communication, qui devraient permettre daccrotre les
dbits des communications sans fil pour les faire converger vers des niveaux proches de
la fibre optique (autour de 80-100 Mo/s en dbit montant), le spectre des services qui
pourront tre fournis via les terminaux portables devrait continuer augmenter. De la
mme faon, le nombre de personnes connectes et utilisant des services dmatrialiss
devrait galement crotre plus rapidement que ce nest le cas aujourdhui.
La banalisation des logiciels de pilotage de production, permise notamment par une
dynamique de convergence des formats numriques, rpond une logique conomique
de rduction des cots de dveloppement et de maintenance des systmes informatiques
et de communication. Cette volution conduit une gnralisation de linformatisation
dans le monde industriel pour la tlmaintenance ou la gestion distance de systmes
de production ou dquipement, alors mme que celle-ci se limitait dans les annes
1990 certaines infrastructures clefs de distribution (eau, lectricit, gaz et ptrole).
CYBER DISSUASION

Cest en particulier dans la gestion distance des processus industriels et des infra-
structures que les entreprises ont pu profiter de linteroprabilit des systmes et du
dveloppement doffres logicielles commerciales. Ainsi, les systmes de commande et
dacquisition de donnes de surveillance SCADA
39
sappuient massivement sur des
technologies publiques en particulier pour communiquer au sein dun rseau commun et
parfois changer des donnes via internet afin de rduire les cots qui seraient gnrs
par lutilisation dun rseau ddi : protocoles internet de communication, bluetooth et
wi-fi (et plus long terme des protocoles de type Wi-MAX).
En parallle, les interconnexions entre les systmes dinformation caractre adminis-
tratif des entreprises et les infrastructures physiques de production, largement
automatises, ont tendance se dvelopper en accroissant de fait les points dentre
possibles pour linjection de logiciels malveillants. Ils se trouvent ainsi de plus en plus
exposs des logiciels malveillants exploitant les failles existantes ou anciennes
souvent connues par les fabricants de logiciels, mme si, dans la plupart des cas, les
systmes dexploitation informatiques embarqus ( embedded ) des SCADA font
lobjet de clauses particulires interdisant la mise en place distance de mises jour de
scurit
40
.

La nomadisation croissante devrait conduire de nouvelles vulnrabilits et une
exposition accrue des infrastructures vitales des attaques distance, demandant un
renforcement spcifique des capacits de cyber-dfense de la part des oprateurs
concerns. Une meilleure intgration des infrastructures critiques dans le domaine
de la protection des activits dites de souverainet devrait devenir indispensable
pour btir une cyber-dissuasion crdible.

LInternet des objets (IoT) devrait progressivement devenir une ralit
Ce domaine rassemble en ralit un spectre assez large daxes de dveloppement dont la
concrtisation devrait seffectuer progressivement. Il sagit en effet de permettre la
connexion de lensemble des objets du quotidien Internet pour favoriser la fois
lautomatisation de leur gestion et de leur fonctionnement mais galement une
interaction permanente et contextuelle avec eux pour tous les utilisateurs, quil sagisse
de personnes ou dautres objets physiques ou virtuels.
Les outils qui permettront cette volution sont lindispensable migration vers le
protocole IPv6
41
indispensable pour connecter des dizaines de milliards de systmes
Internet et le dveloppement des puces de Radio Frequency IDentification (RFID).
En 2010, peine 1 % des utilisateurs dInternet pouvaient oprer en IPv6 et, malgr un
programme incitatif de la Commission europenne, le changement risque dtre long du

39
http://en.wikipedia.org/wiki/SCADA
40
Entretiens de Bruno Gruselle, octobre 2009.
41
Passant dun adressage IPv4 en 32 bits des adresses sur 128 bits beaucoup plus nombreuses ce qui rsout
moyen terme le problme du nombre limit dadresses disponibles.
CYBER DISSUASION

fait du besoin de fonctionner en bi-mode pendant plusieurs annes. Quant aux RFID,
lvolution attendue est rgulire mais plutt modre.

Figure 5 : Accroissement du march des moyens utilisant des puces Radio Frequency IDentification
(source : Agence Nationale de la Recherche)

De nombreux programmes europens prparent ds maintenant la gnralisation des
puces RFID pour interconnecter les individus avec les objets et systmes de la vie
courante. A titre dexemple, le vhicule du futur devra la fois offrir des informations
aux conducteurs et passagers sur la route et sur son environnement
42
. Il devra galement
pouvoir sinsrer dans la circulation en interagissant avec les autres utilisateurs et les
autres objets proches (vhicules, signalisation). A terme, linternet des objets devrait
stendre beaucoup dautres domaines, en particulier la mdecine, la domotique et la
gestion de la distribution des services. Ladossement de linternet des objets des
services de cartographie numrique offrant lutilisateur un niveau important
dinteractivit et laccs aux donnes locales devrait galement voir le jour comme en
tmoigne la monte en puissance des outils de go-localisation et lmergence du
marquage gographique numrique (geo-tagging)
43
.

42
http://lexpansion.lexpress.fr/high-tech/microsoft-va-equiper-les-voitures-toyota-de-services-
Internet_251989.html
43
Sur ce point voir : Cartographie numrique et dveloppement des territoires , Etude thmatique rdige par
ITEMS International et Auber Olivier publi le 26 mars 2008. http://www.oten.fr/?article4031
CYBER DISSUASION


Figure 6 : Schma de principe dintgration dobjets dans un rseau de communication
(source : European Digital Rights)

Le besoin dassurer la scurit et lintgrit physiques et logicielles du rseau et des
capteurs/objets associs ou connects contre des accs malveillants (sabotage) ou des
tentatives dintrusion au sein dun systme
44
sera dautant plus important que le fonc-
tionnement des (sous)ensembles connects aura un impact sur des applications critiques
pour les personnes et les infrastructures clefs (gestion dactes mdicaux, des rseaux de
transport, des flux de personnes ou de matriaux sensibles/polluants...). Or, la
complexit intrinsque dun futur internet des objets trs fort besoin dinteroprabilit
entre des normes de fonctionnement diffrentes, compatibilit des formats,
communications rapides devrait aller de pair avec le dveloppement de protocoles et
de logiciels techniquement complexes et qui prsenteront vraisemblablement de
nombreuses failles et vulnrabilits. Comme pour la convergence vers la norme IP, les
protocoles utiliss devraient prsenter au minimum de fortes similarits voire employer
une norme unique pour atteindre le niveau souhaitable/utile dinterconnexion et de
compatibilit entre les systmes.
Le risque associ la perte de donnes saggravera vraisemblablement du fait de
laccroissement du volume des donnes personnelles ou confidentielles (par exemple
mdicale) transitant sur le rseau pour des applications de type IoT.
Si lon peut difficilement prvoir prcisment les effets de ces actions sur les entreprises
et les tats, on peut estimer la lumire des donnes disponibles que, en termes
financiers et au niveau mondial, les pertes quivalentes se chiffreront en centaines de
milliards de dollars concernant notamment : le vol de donnes confidentielles, le
dtournement didentit ou dusage des fins de falsification ou de contrefaon, le

44
European Commission Staff Working Document, Early Challenges regarding the Internet of Things ,
29 septembre 2008.
CYBER DISSUASION

sabotage de production (dont le dni massif de service, la perturbation des systmes
informatiques critiques, la prise de contrle distance...).

Figure 7 : Classification des incidents rapports aux CERT amricains entre 2006 et 2008
(source : Government Accountability Office)

La seule partie concernant la perte de donnes qui semble tre la part la plus impor-
tante des malversations numriques reprsente vraisemblablement lheure actuelle
un total compris entre 200 250 milliards de dollars de perte de chiffres daffaires
pour les principales multinationales
45
. Ce chiffre devrait continuer augmenter avec
en parallle une monte en puissance des risques physiques accompagnant le
dveloppement de linternet des objets et des difficults de scurisation des systmes de
gestion des processus et des infrastructures. Pour autant, il convient de souligner que ces
risques caractre industriel qui sont rels si lon regarde le cas Stuxnet ne se
matrialisent que dans des conditions trs prcises : llaboration de systmes malveil-
lants comme Stuxnet ncessite des travaux de recherche importants, lutilisation de
plusieurs 0 day exploits
46
et lcriture de plusieurs logiciels complexes.

Les infrastructrures vitales et des donnes ayant un caractre stratgique seront
directement concernes par de nouveaux types de vulnrabilits gnres par le
dveloppement de lInternet des objets. Ces risques particuliers devront tre pris en
compte pour la conception et la mise en uvre de capacits dfensives crdibles au
sein dune dmarche de cyber-dissuasion.

45
Il sagit-l dune estimation base sur les donnes de McAfee ainsi que sur celles publies par le Royaume Uni
qui est lun des pays ayant lun des outils statistiques les plus performants en matire de crimes numriques.
46
C'est--dire des failles de scurit non dtectes ou connues des concepteurs des plates-formes logicielles
attaques. Peter Sonner & Ian Brown, Reducing Systemic Cybersecurity Risk , OECD/IFP Project on
Future Global Shocks , 14 January 2011, p. 44.
CYBER DISSUASION


Linformatique en nuage devrait modifier profondment les habitudes de gestion
des donnes et dutilisation de logiciels
Linformatique en nuage est appele devenir une sorte de pendant immatriel de
lInternet des objets, en ce sens quil constitue une tendance lourde dagrgation des
moyens et processus informatiques. L'informatique dans les nuages ou en nuage, de
langlais : cloud computing est un concept faisant rfrence l'utilisation de la
mmoire et des capacits de calcul dordinateurs et de serveurs ou de fermes de serveurs
rpartis gographiquement et lis par un rseau de communication global, quil sagisse
quinternet ou de rseaux privs.

Figure 8 : Schma de principe du Cloud Computing
(source : Think-securitys blog
47
)

En principe, toute fonction, systme ou outil informatique peut tre ainsi mis en
nuage tout en restant accessible distance. Ces fonctions, systmes ou outils sont
couramment regroups en trois grands types de service
48
:
Software as a service (SaaS) : Fourniture de logiciels ou dapplications aux
clients (le fournisseur offre un environnement au travers duquel le client a accs
ces applications).

47
http://saboursecurity.files.wordpress.com/
48
Voir la page Wikipedia sur le cloud computing. Il existe galement dautres services de type cloud qui drive
du SaaS : stockage de donnes (Data as a Service), fourniture ou gestion de rseaux privs (Network as a
Service) ou encore scurisation des accs numriques (Identity and Policy Management as a Service).
CYBER DISSUASION

Platform as a service (PaaS) : Fourniture de ressources matrielles mais gale-
ment dune plate-forme logicielle permettant lexcution des applications
appartenant aux clients.
Infrastructure as a Service (IaaS) : Fourniture de ressources matrielles c'est--
dire de puissance de calcul et despace de stockage ddies lutilisation des
clients.

Figure 9 : tat des parts du march (en M) des diverses offres de Cloud Computing
(source : IDC
49
)

Pour les prestataires, lintrt de linformatique en nuage est doptimiser lemploi de ses
infrastructures matrielles (hardware) entre ses clients. Un serveur dhbergement
pouvant ainsi tre occup jusqu 60 % en moyenne alors que loccupation courante ne
dpasse pas quelques pour cents.
Pour lutilisateur, lintrt conomique existe aussi : la sous-traitance de la gestion des
outils informatique diminue les investissements (remplacs par des frais de fonction-
nement), avec un fort gain de flexibilit en cas de rduction ou daugmentation brutale
dactivit et un transfert des problmes de maintenance (e.g. mises jour de logiciels).
Par contre linformatique en nuage peut crer des problmes de contrle sur la scurit
des donnes et outils ainsi transfrs.
Les principales entreprises du secteur de linformatique et des tlcommunications ont
dores et dj lourdement investi pour proposer des solutions dinformatique en nuage,
notamment ct amricain (Microsoft, Google, Amazon, Apple, IBM) et dans une
moindre mesure ct franais (Bull, Atos, Cap Gemini et Orange).

49
David Bradshaw, Western European Software-as-a-Service Forecast, 20092013 , Apr 2009 Doc #
LT02R9, 2009. Cit par lEuropean Network and Information Security Agency.
CYBER DISSUASION

Il sensuit lmergence dun march global dsquilibr marqu par une prdominance
amricaine, due (1) la rticence des entreprises et administrations europennes
transfrer leurs moyens informatiques hors dEurope et (2) la raret des fermes de
serveurs (data-centers) implantes en Europe. Enfin, labsence doprateurs europens
majeurs est aggrave par une rglementation europenne requrant que les donnes des
entreprises europennes restent hberges sur le continent.
Bien que de nombreux travaux aient t mens sur les politiques de scurit efficaces
applicables linformatique en nuage
50
, la rsilience des fermes de serveurs face des
accidents ou des pannes provoques par des attaques numriques continue savrer
problmatique.
Les incidents connus laissent penser que la disponibilit des donnes, les capacits de
calcul et les processus logiques abrits dans le nuage peuvent tre remis en cause
ponctuellement avec des consquences plus ou moins importantes pour les clients
51
.
En termes de scurit, la monte en puissance du cloud computing constitue la fois
une source daccroissement des risques mais galement un gisement de progrs pour un
meilleur contrle des vulnrabilits intrinsques au dveloppement du rle des rseaux
informatiques, notamment internet
52
. De fait, les caractristiques des architectures
dinformatique dans les nuages engendrent cette dualit en termes de scurit :
Lutilisation de plates-formes matrielles appartenant un fournisseur externe, en
particulier pour les SaaS, transfre les problmatiques de gouvernance (dont la
scurit) des infrastructures, des logiciels et des donnes un ou des tiers. Les
questions relatives la sgrgation des donnes par les fournisseurs de service, c'est-
-dire de la sparation des informations appartenant aux diffrents clients, mais
galement la confidentialit des traitements de donnes, se posent galement la
fois pour les entreprises et pour les particuliers
53
.
Les interfaces de gestion des services du nuage pour les architectures publiques ou
hybrides sont accessibles via internet et peuvent donc faire lobjet de piratage ou
de dtournement. Plus spcifiquement pour les services de type SaaS, les failles et
les vulnrabilits inhrentes aux interfaces utilisateurs (navigateurs commerciaux ou
interfaces spcifiques) viennent accrotre les risques daccs par des pirates ou des
acteurs malveillants. Le piratage des interfaces clients par un acteur tiers peut
conduire la compromission de donnes stockes sur les serveurs dlocaliss ou la
perte de contrle des processus grs au travers du nuage
54
. Les risques de
compromission des processus dans le cas de service de type IaaS sont dautant plus

50
Voir notamment, European Network and Information Security Agency, Cloud Computing: Benefits, risks
and recommendations for information security , November 2009.
51
Sur ce point voir notamment le rapport annuel 2009 du CLUSIF sur la cybercriminalit.
http://www.clusif.asso.fr/ fr/production/ouvrages/pdf/PanoCrim2k9-fr.pdf
52
European Network and Information Security Agency, Cloud Computing: Benefits, Risks and
Recommandations for Information Security , November 2009.
53
Syntec Numrique, Livre Blanc sur la scurit du Cloud Computing : analyse des risques, rponses et
bonnes pratiques , 2010.
54
Ibid, p. 8.
CYBER DISSUASION

grands que les machines fournies peuvent tre virtuelles
55
et donc faire tourner en
parallle plusieurs applications provenant de plusieurs sources.
La question de localisations des donnes se pose pour les architectures publiques
adosses internet : la problmatique est en effet de savoir si les pays accueillant
des fermes de serveurs peuvent accder dans le cadre de leur lgislation, aux
donnes conserves sur leur territoire, par exemple des fins denqute
56
. A lheure
actuelle, de nombreux fournisseurs de service (type SaaS) ne prennent pas
dengagement sur le lieu de stockage des donnes et implantent leurs fermes de
serveurs dans des pays mergents pour des raisons conomiques
57
.

Tableau 1 : Rpartition gographique des parts de march dans linformatique en nuage
(source 451 Group
58
, avril 2010)

tats-Unis
Union
europenne
Asie
Cloud Computing en gnral 57 % 31 % 12 %
IaaS 93 % 6 % 1 %

La virtualisation des donnes et des processus logiciels qui sous-tend la gnra-
lisation du cloud computing ainsi que la dlocalisation physique des serveurs les
accueillant constituent galement un facteur de complexification pour toute
investigation qui ferait suite un acte (ou une srie dactes) malveillant. La
question de lattribution dun acte numrique savre dj complexe ; la dlocalisation
gographique ne devrait quaccrotre les difficults, avec notamment le besoin de
prendre en compte les aspects lgaux locaux.
De fait, la gnralisation de linformatique en nuage de la mme faon que les autres
phnomnes qui lui sont lis comme la tendance une externalisation des processus et
des outils informatiques ou encore le partage des capacits de calcul (grid computing)
ne cre pas proprement parler de nouvelles vulnrabilits en matire numrique. En
revanche, elle vient exacerber des risques qui existent dores et dj.
Cest le cas, en particulier, pour les problmatiques de scurit des donnes confiden-
tielles et de gestion des informations personnelles y compris les donnes relatives
lidentit des personnes physiques ou morales qui seront stockes au moins pour

55
C'est--dire en ralit une partie de la capacit dun ou de plusieurs serveurs qui ne sont pas ddis aux seules
applications du client mais sont partags entre plusieurs clients.
56
Syntec Numrique, Livre Blanc sur la scurit du Cloud Computing : analyse des risques, rponses et
bonnes pratiques , 2010, p. 21.
57
Entretiens de lauteur.
58
http://www.presence-pc.com/actualite/cloud-computing-europe-US-38844/
CYBER DISSUASION

partie sur des serveurs dlocaliss. Laccroissement des oprations ralises en ligne,
notamment des services administratifs caractre personnel comme aujourdhui les
dclarations de revenus ou les demandes dactes dtat civil, devrait acclrer le
dveloppement dune identit en ligne (ou numrique) quil faudra authentifier pour
conduire de faon scurise les interactions avec les administrations
59
.
La criminalit numrique sintresse dores et dj aux bnfices quelle pourrait tirer
du dtournement didentit ou du vol de coordonnes scurises notamment bancaires.
Lenjeu est de taille, valu 32 milliards d'euros pour les tats-Unis et 2,15 milliards
d'euros au Royaume-Uni en 2007
60
. La progression du commerce lectronique et des
transactions en ligne qui pesaient 31 milliards deuros en France en 2010 selon le
secrtariat dtat lconomie numrique
61
rend ce secteur particulirement attractif
pour les criminels. Cet intrt prfigure sans doute la monte en puissance dagressions
numriques conduites des fins de sabotage ou despionnage par une varit plus large
dacteurs contre les futurs systmes permettant le fonctionnement de linformatique en
nuage.
En outre, lusurpation didentit ne sert pas seulement conduire des oprations com-
merciales frauduleuses, elle peut aussi tre utilise comme cl afin de dverrouiller des
accs numriques protgs dans le rseau en vue de raliser des actes malveillants :
espionnage, attaques de rseaux, extorsion, chantage. Lusurpation didentit des utilisa-
teurs des rseaux sociaux permet aussi certains cybercriminels de cerner des cibles
(profiling numrique) afin de commettre des actes malveillants.
Outre lessor de la problmatique de la gestion de lidentit numrique, le dveloppe-
ment du cloud computing soulve le problme de la rsilience dinternet, qui constitue
plus que jamais la colonne vertbrale du fonctionnement du monde numrique, face
des actes malveillants et certaines catastrophes naturelles. Si internet a t conu
comme un systme robuste possdant de multiples redondances qui interdisent finale-
ment une rupture complte de service, son fonctionnement peut tre fortement perturb
voire interrompu des niveaux locaux ou rgionaux. Les vulnrabilits des serveurs
racines
62
, de linfrastructure physique
63
ou encore du systme dadressage (les Domain
Name Server ou DNS
64
) constituent autant de failles qui pourraient tre exploites pour

59
Guillaume Desgens-Pasanau, Eric Freyssinet, Lidentit lre numrique , collection Presaje, Editions
Dalloz, 2009, pp. 9-12.
60
Brigitte Acoca, analyste l'OCDE, dans un rapport remis aux ministres runis Soul cit dans ldition du
Monde du 18 juin 2008.
61
http://www.fevad.com/etudes-et-chiffres/bilan-e-commerce-en-2010#topContent
62
Il en existe 13 au niveau mondial dont 7 utilisent dores et dj le protocole dadressage IPv6. Avec celui-ci le
nombre dadresses internet disponibles devrait passer de 2
32
2
128
et ainsi permettre de rpondre aux besoins
mergents en termes dadressage, en particulier pour le cloud et lIoT.
63
Ainsi la rupture de cbles peut dconnecter des secteurs gographiques insuffisamment desservis comme en
2007 lorsquun cble sous-marin a t sectionn, provoquant linterruption des communications avec la Guyane
le jour mme du premier tour de llection prsidentielle.
64
Domain Name Server Serveur de nom de domaine, qui ont pour fonction de transformer une adresse internet
(ex : www.defense.gouv.fr) en son adresse technique (par exemple 240.34.340.34) afin de pouvoir tablir un
dialogue entre les ordinateurs sur le rseau.
CYBER DISSUASION

intercepter des flux de donnes, ou pour neutraliser temporairement et localement le
rseau
65
.
La rsilience des fermes de serveurs face des accidents ou des pannes provoques
par des attaques numriques mrite galement dtre prise en compte. Les incidents
connus laissent penser que la disponibilit des donnes, des capacits de calcul et des
processus logiques abrits dans le nuage peut tre remise en cause ponctuellement
avec des consquences plus ou moins importantes pour les clients
66
.
La virtualisation des donnes et des processus logiciels ainsi que la dlocalisation physi-
que des serveurs les accueillant est galement un facteur de complexification pour
toutes les actions policires et rpressives faisant suite un acte (ou une srie dactes)
malveillant. A lheure actuelle, la problmatique de lattribution dun acte numrique
savre dj complexe mme sil existe des moyens de dtecter les origines numriques
dune action donne. Les enqutes et la rcupration de donnes et de preuves aprs des
actes malveillants ou criminels peuvent se heurter aux lgislations locales des pays
abritant les serveurs ou les machines utilises.

Linformatique en nuage est un modle conomiquement attractif de gestion des
moyens informatiques. Dans le cas des systmes dinformation sensibles, les risques
associs restent toutefois importants. Ils devront tre pris en compte dans
llaboration des capacits de dfense et de riposte.

Anonymisation des donnes, des changes et des traces laisses sur Internet
Le dveloppement dInternet et des outils de communication et dinteraction qui lui sont
lis ont conduit engager de nombreuses rflexions sur la gestion des donnes person-
nelles des utilisateurs et la protection de leur identit numrique.
En effet, les donnes dissmines sur les rseaux informatiques et en particulier
Internet, seront de plus en plus nombreuses, prcises et varies. Elles pourraient
terme comprendre des informations mdicales ou physiologiques sur les personnes, des
donnes techniques concernant les btiments ou les infrastructures, etc. La diversifi-
cation des outils et moyens de communication interconnects est de nature intensifier
le nomadisme des salaris, en particulier des cadres, et le besoin de disposer en
permanence des outils et des donnes ncessaires la ralisation de leur emploi. Le
besoin de scurit pourrait devenir secondaire au regard des gains de productivit lis
la mobilit des cadres et au dveloppement de nouveaux outils de travail connects aux
rseaux de lentreprise et internet. La question se pose in fine de savoir sil sera pris en
compte dans le processus de dveloppement des rseaux futurs ou ajout a posteriori.
En effet, les dfis techniques qui doivent tre relevs pour assurer la plus grande
efficacit des logiciels interoprabilit des applications entre elles, facilit demploi et
ergonomie, rapidit et fluidit dexcution peuvent clipser lintgration de dispositifs

65
Sur ce point voir notamment le rapport annuel 2009 du CLUSIF sur la cybercriminalit :
http://www.clusif.asso.fr/fr/production/ouvrages/pdf/PanoCrim2k9-fr.pdf
66
Ibid.
CYBER DISSUASION

de scurit permettant, entre autres, dassurer la protection des donnes personnelles des
utilisateurs.
A la problmatique de la gestion de lidentit numrique, il convient dajouter celles
qui concernent le droit loubli et de scurisation des donnes gres en ligne. Il
parat assez peu concevable de dtruire systmatiquement les donnes prsentes sur
internet au bout dun dlai donn, de contraindre des tats trangers ne disposant pas
dune lgislation dans ce domaine et de tracer linformation litigieuse compte tenu de sa
probable dissmination sur dautres sites et blogs, notamment cause des mthodes
propres lespace numrique.
En revanche il pourrait tre envisag de crer la possibilit pour les particuliers et les
entreprises de demander le retrait dinformations les concernant si elles savrent
inexactes, fausses ou dates ou la rectification de telles informations
67
. Outre la
destruction des pages et informations concernes, une telle dmarche implique le retrait
des donnes des indexations des moteurs de recherche, ce qui parat techniquement et
politiquement complexe. En ltat, le lgislateur, franais comme europen, reste
assez vague sur les dures de stockage des donnes. Il fixe, par exemple, pour les
fournisseurs daccs un droit de stockage dinformations personnelles pendant un an.
Les conditions de conservation des donnes et leur scurisation constitue un enjeu
spcifique notamment dans le contexte du droit des affaires et du droit pnal. En la
matire, le cadre juridique existant mriterait dtre clairci et complt pour tablir les
conditions indispensables au dveloppement de lconomie numrique (Business-to-
Business ou Business-to-Consumer)
68
. Une proposition de loi des snateurs Yves
Dtraigne (MoDem) et Anne-Marie Escoffier (PRG) prcise, outre des actions de
formation lattention des jeunes, que ladresse IP devienne, par exemple, une donne
caractre personnel
69
.
Or, quil sagisse didentit numrique ou de donnes personnelles, la principale
difficult vient du fait que coexistent dans le domaine deux besoins contradictoires.
En premier lieu, la gnralisation dinternet a contribu anonymiser les utilisateurs
qui cherchent autant que possible intervenir sur internet, en tant que diffuseurs ou
consommateurs de contenu, en conservant autant de libert possible. Les problma-
tiques lies au droit loubli, au silence des puces ou la capacit de dconnexion des
individus et, dans une certaine mesure, des personnes morales traduisent en partie ce
besoin. De la mme faon, lutilisation de pseudonymes ou le recours grandissant des
avatars illustrent la volont dviter de rvler sa vritable identit.
A contrario, le besoin de scurit savre galement tre le pilier des changes num-
riques entre les personnes, par exemple pour ce qui concerne les transactions cono-
miques, et de faon plus gnrale comme la base de lensemble de ldifice numrique.
Les tats doivent jouer le rle de tiers de confiance pour protger et garantir lintgrit
de lidentit des personnes mais se faisant, ils acquirent la capacit nouvelle/sup-

67
http://wiki.univ-paris5.fr/wiki/Informatique,_libert %C3 %A9s_et_vie_priv %C3 %A9e#Droit_.C3.A0_l.27
oubli
68
Guillaume Desgens-Pasanau et Eric Freyssinet, Lidentit lre numrique , Dalloz/Presaj, 2009, p. 153.
69
http://www.senat.fr/noticerap/2008/r08-441-notice.html
CYBER DISSUASION

plmentaire dinvestigation quils devront utiliser pour identifier les malfaiteurs au
moins au niveau national.
La complexit de la collecte et de lanalyse de donnes grande chelle reprsente
toutefois une mdiocre garantie danonymat. Par contre, le recours des applications
spcifiques permet de dissimuler la localisation dun utilisateur et de masquer les
liaisons tablies avec un interlocuteur ou un site
70
.
Conue par le Naval Research Laboratory des tats-Unis sur le principe du routage en
oignon, le systme TOR le plus connu des moyens danonymisation est maintenant
disponible en logiciel libre et accessible tous. Mme sil est difficile de prsager si ce
logiciel ou ses drivs vont garantir dans la dure lanonymat sur Internet, il convient de
souligner que Wikileaks est rput avoir protg ses bases de donnes et lidentit de
ses informateurs en utilisant des techniques drives de TOR.
Une approche diffrente a t engage par le gouvernement amricain au travers du
dveloppement dun kit anti-censure destin aux oppositions certains rgimes hostiles
Washington. Cet outil doit permettre lutilisateur de disposer de moyens pour
diffuser en toute scurit et hors des circuits Internet surveills des informations
recueillies sur place grce des rseaux parallles (Internet et mobiles), des ordinateurs
portables, des antennes et en utilisant des logiciels de cryptage. Il doit galement
permettre aux utilisateurs daccder Internet sans utiliser les fournisseurs de service
surveills
71
.

Les outils et procdures danonymisation qui se dveloppent peuvent rendre de plus en
plus difficile lattribution des attaques des auteurs clairement et rapidement
identifis, au dtriment de la crdibilit des moyens de cyber-dissuasion.

70
La plus connue des solutions danonymisation est le logiciel TOR. https://www.torproject.org/
71
http://arstechnica.com/tech-policy/news/2011/01/uncle-sam-has-30m-to-bypass-chinese-iranian-net-filters.ars

Dfinition dun concept et dune doctrine
en matire de dissuasion numrique, comparaison
avec la dissuasion nuclaire et difficults spcifiques
Objectifs et structure gnrale dune dissuasion numrique
Le dbat sur les stratgies de dissuasion numrique volue autour de plusieurs
questions, en particulier celle de savoir si limportance des dgts que peut
potentiellement causer une attaque numrique (ou une srie dattaques) peut justifier la
mise en place dun systme complexe oprer et mettre en uvre. Ce dbat est
difficile trancher dans la mesure o les donnes disponibles sont trop parcellaires ou
proviennent (souvent) de sources dont lobjectivit est sujette caution. De fait, il parat
difficile dtablir dfinitivement lintensit relle du risque numrique qui prend la
forme de ce que lon pourrait appeler un bruit de fond constant , c'est--dire des
actions ngatives permanentes qui affectent les systmes informatiques mondiaux.
A contrario, on ne peut que constater au travers des exemples disponibles que plusieurs
attaques importantes y compris des intrusions de grande ampleur finalit despion-
nage
72
ont t constates depuis 2007
73
. Ces vnements tmoignent sans doute de
lexistence de vulnrabilits numriques de plus en plus exploites par des acteurs
malveillants ou, de faon plus prosaque, la consquence du fait que les systmes
informatiques et de communication tiennent une place de plus en plus critique dans nos
activits quotidiennes la fois pour des oprations physiques et matrielles, le stockage
de donnes confidentielles ou personnelles ou encore, lchange dinformation entre des
acteurs distants.
Face une gamme tendue dactes malveillants, la premire question qui se pose est de
savoir le rle gnrique quaurait une dissuasion numrique.
A ce stade, on peut estimer quelle pourrait poursuivre deux principales finalits
dclares
74
:
Dfendre des intrts numriques spcifiques ils comprennent a minima les
infrastructures nationales critiques mais qui pourraient stendre dautres intrts
nationaux face aux menaces que les acteurs malveillants (dorigine tatique ou
pas) peuvent gnrer ;
Eviter un enchanement dactions par des acteurs malveillants ou les organisations
qui les emploient qui amneraient accrotre les effets ngatifs sur les intrts
numriques dfendus (escalade). Il est important de souligner que lon se place ici
dlibrment dans une situation o lasymtrie existante entre attaque et dfense
pourrait tre rduite par lintensit possible dun conflit entre deux acteurs
tatiques
75
.

72
http://news.softpedia.com/news/Germany-Attacks-China-For-Starting-The-Cyber-War-68994.shtml
73
Thrse Delpech, La guerre informatique a commenc , Politique Internationale, N130, Hiver 2010-2011,
pp. 219-232.
74
Martin C. Libicki, Cyberdeterrence and Cyberwarfare , RAND, 2009, p. 7.
75
Ibid, p. 33.
CYBER DISSUASION


Figure 10 : Extrait du rapport du CSIS sur la cyberscurit
pour la 44
me
prsidence des tats-Unis (CSIS 2008)

Pour atteindre ces objectifs, au moins deux fonctions complmentaires sont indispen-
sables :
Une fonction dfensive qui viserait amliorer les capacits de protection des
intrts critiques dfendus jusqu un niveau tel que le rapport cot/efficacit pour
un attaquant devient trop lev pour que lagression prsente un quelconque intrt.
En dautres termes, il sagit de rendre les attaques si coteuses raliser pour des
gains tellement limits que les acteurs malveillants seront amens y renoncer.
Pour tre fonctionnelle, cette option suppose que quelques conditions initiales soient
runies :
Les moyens de dfense et de protection doivent tre fiables et leur efficacit
doit tre dmontre, au moins en partie, aux acteurs externes. La capacit des
systmes dfendus redevenir rapidement fonctionnels en cas dattaque (leur
rsilience) participe galement la crdibilit de la dfense et donc la
manuvre de dissuasion. Il y a un quilibre (conomique et oprationnel)
trouver entre la protection des systmes et les outils et processus de rcupration
aprs un incident.
La dfense numrique ne doit pas se limiter aux outils techniques et aux
protocoles systmiques protgeant les outils, logiciels et infrastructures jugs
critiques mais doit inclure llaboration des processus de rcupration et de
gestion des incidents visant rduire autant que possible les consquences dune
attaque et la dure de linterruption des oprations (notion de rcupra-
tion/rsilience). La fonction de rcupration comme complment aux moyens et
systmes de dfense met un accent particulier sur la capacit des individus
concerns et des organisations ragir de faon efficace face des attaques ou
incidents : les exercices et entranements constituent par consquent un des
outils clefs de la cyber-dfense et de la dissuasion numrique.
Le cot de cette dfense doit rester cohrent avec la valeur (conomique ou
stratgique) des cibles protger et le cot des dgts engendrs par leur
neutralisation (pendant des dures donnes). Le dimensionnement et lorgani-
CYBER DISSUASION

sation du systme de dfense stratgique sont des dcisions prendre la fois
sur des bases financires mais galement aprs une phase dvaluation technique
et politique des vulnrabilits. Il sagit en effet de dterminer quels systmes
ncessitent quel niveau de protection sachant que les moyens de dfense les plus
efficaces sont dans les faits les plus coteux. Les choix en matire de scurit
doivent reposer sur le cot relatif pour combler telle ou telle vulnrabilit par
rapport celui engendr par son exploitation.
Une fonction offensive qui pourrait permettre de menacer un attaquant (i.e. : ses
possessions, son territoire, ses outils/rseaux numriques ou de communication...)
de reprsailles telles que les gains attendus dune attaque savreraient trs
infrieurs aux dgts qui rsulteraient des actions de rtorsion. La question se pose
in fine de savoir si la capacit de reprsailles, qui sous-tend la validit de ce concept,
est effectivement crdible dans lenvironnement cyber . Cette fonction comprend
une sous-fonction spcifique portant sur lattribution des actes malveillants et
lidentification des responsables.
Dfinitions relatives au cyberespace et spcificits de cet espace
Dfinitions
Lun des problmes lis aux tudes et recherches portant sur le cyberespace vient de
labsence de dfinitions stabilises et reconnues par lensemble des experts et acteurs du
domaine. Cette difficult concerne en particulier les incidents, attaques ou conflits
affectant ou mettant en jeu des systmes dinformation.
A titre dexemple, lEast-West Institute (EWI) a publi en avril 2011 un document
proposant des dfinitions portant sur des situations, actions et procdures relatives aux
systmes dinformation
76
. En particulier, ce document, sans dfinir la cyber-dissuasion
au sens propre, mentionne lexistence d lments dissuasifs dans le cyberespace (the
cyber-deterrents). Un lment cyber-dissuasif est un mcanisme dclar, prsum
efficace pour dcourager un cyber-conflit ou une action menaante dans le
cyberespace.
Deux types dlments dissuasifs peuvent tre envisags :
Une cyber-capacit dfensive est une capacit permettant de se protger efficace-
ment contre une exploitation du cyberespace
77
ou des cyber-attaques
78
et de les
repousser.
Une cyber-capacit offensive est une capacit propre dclencher une cyber-
attaque

76
Russia-US Bilateral on Security Critical Terminology Foundations , EWI, April 2011.
77
Une exploitation du cyberspace consiste exploiter une occasion ou une vulnrabilit numrique pour
atteindre un objectif.
78
Une cyber-attaque consiste utiliser une cyber-arme afin dendommager une cible dsigne.
CYBER DISSUASION

Plus gnralement, la cyber-dfense est dfinie comme un ensemble de capacits
organises pour se protger contre des cyber-attaques, en attnuer les effets et revenir
ltat antrieur.
Ces dfinitions prsentent lavantage mais aussi linconvnient de rester trs
gnrales. De fait, elles couvrent des situations trs varies qui peuvent concerner de
nombreux systmes ou cibles. A ce titre, elles ne permettent pas dobtenir le niveau de
diffrenciation indispensable pour laborer finement un concept dissuasif adapt
lespace numrique. Ainsi, le document de lEWI qualifie de cyber-guerre des cyber-
attaques autorises par des acteurs tatiques contre des infrastructures dans le
cyberespace, en conjonction avec une campagne gouvernementale , quelle que soit
lintensit des oprations et leur impact rel sur les systmes viss. Une telle dfinition
peut conduire considrer nimporte quelle cyber-attaque comme un acte de guerre
79
.
Sans carter dfinitivement les dfinitions proposes par lEWI, nous prfrons dans le
cadre de cette tude utiliser celles, plus prcises, proposes par le SGDSN
80
pour le
cyberespace, la cyber-dfense, la cyber-scurit et la cybercriminalit (cf. infra).

Encadr 3 : Dfinitions dans le domaine cyber
(Dfense et scurit des systmes dinformation Stratgie de la France SGDSN 2011)
Cyberespace :
Espace de communication constitu par linterconnexion mondiale dquipements de trai-
tement automatis de donnes numriques.
Cyber-scurit :
tat recherch pour un systme dinformation lui permettant de rsister des vnements
issus du cyberespace susceptibles de compromettre la disponibilit, lintgrit ou la
confidentialit des donnes stockes, traites ou transmises et des services connexes que ces
systmes offrent ou quils rendent accessibles.
La cyber-scurit fait appel des techniques de scurit des systmes dinformation et
sappuie sur la lutte contre la cybercriminalit et sur la mise en place dune cyber-dfense.
Cybercriminalit :
Actes contrevenants aux traits internationaux ou aux lois nationales, utilisant les rseaux
ou les systmes dinformation comme moyens de ralisation dun dlit ou dun crime, ou les
ayant pour cible.
Cyber-dfense :
Ensemble des mesures techniques et non techniques permettant un tat de dfendre dans le
cyberespace les systmes dinformation jugs essentiels.

79
http://online.wsj.com/article/SB10001424052702304563104576355623135782718.html?mod=WSJ_hp_
LEFTTopStories
80
Dfense et scurit des systmes dinformation : La stratgie de la France , SGDSN, Fvrier 2011.
CYBER DISSUASION


Selon ces dfinitions, la cyber-dissuasion devrait appartenir au champ de la cyber-
dfense, cest--dire comprendre lensemble spcifique des mesures techniques et non
techniques propres dissuader les acteurs potentiels de chercher porter atteint la
scurit des systmes dinformation et de communication jugs essentiels.
Spcificits du cyberespace
Le cyberespace se distingue des autres milieux (terre, air, mer, espace) par plusieurs
spcificits qui doivent tre prises en compte afin de conduire une rflexion sur
llaboration dun concept de dissuasion qui lui serait propre.
A. Extensivit et pervasivit de lespace numrique
Les milieux habituels dans lesquels se droulent les conflits arms (terre, air, mer et
espace) ont leurs propres limites gographiques et sont gnralement soumis des
rgles et lments de droit international. A linverse, le cyberespace na pas de
dlimitation gographique, mme si son fonctionnement et son existence dpendent de
systmes physiques rpartis sur lensemble du globe (routeurs, servers, cbles sous-
marins..). En outre, il imprgne progressivement lensemble des activits humaines,
mme si de fortes disparits persistent entre les utilisateurs selon leur appartenance
sociale, leurs secteurs dactivit ou encore leurs pays de rsidence.
Enfin, il convient de souligner que le droit gouvernant les activits dans le cyberespace
reste embryonnaire au regard de ceux rgissant les activits dans les autres milieux, ou
mme le droit des conflits, et la ncessit de le dvelopper demeure un sujet de dbat
81
.
B. Convergence des systmes de communication de donnes vers des
protocoles uniques
Les protocoles utiliss pour grer les flux de donnes numriques convergent rapide-
ment vers la norme Internet Protocol qui tend homogniser linfo-sphre et
intgrer progressivement lensemble des activits numriques dans Internet
82
. Cette
homognisation est de nature accrotre les risques en matire de scurit
numrique
83
.
Elle rsulte toutefois dune forte pression conomique visant rduire les cots dinves-
tissement aussi bien que ceux de fonctionnement. Il sensuit une interconnexion
croissante des rseaux, des systmes appartenant des architectures numriques en
particulier les outils industriels ou des grands rseaux publics et des acteurs privs ou
publics qui les oprent.

81
Perspectives for Cyber Strategists on law for cyberwar , Charles J. Dunlap Jr., Major General, USAF,
Retired, voir aussi Colloque INSEM IDEST Les enjeux juridiques de la cyber-guerre , 16 juin 2011.
82
http://en.wikipedia.org/wiki/Internet_Protocol
83
Les risques rsultant de la convergence sont dtaills plus loin.
CYBER DISSUASION

C. Absence de seuil technologique/oprationnel ncessaire lutilisation
du cyberespace
Alors que la plupart des domaines technologiques ncessitent un certain degr
dexpertise scientifique et la matrise doutils techniques parfois complexes pour tre
utiliss des fins offensives, lespace numrique se distingue par la simplicit apparente
de son utilisation.
Il suffit a priori dacheter un ordinateur quelques centaines deuros, voire daller dans
un cybercaf, pour accder au cyberespace et y mener des actions potentiellement trs
agressives. Il nest mme pas ncessaire de savoir coder pour lancer un acte malveillant
dans la mesure o de nombreux outils logiciels destins mener des actions offensives
peuvent tre acquis sur le march noir li la criminalit numrique.
Ainsi, certains groupes criminels se sont spcialiss dans le dveloppement et la vente
de logiciels ou doutils destins accder et pirater des rseaux distants voire
conduire des attaques massives contre des systmes connects Internet. Ce march
noir, constitu au fil des annes, est rgi par la loi de loffre et de la demande. Par
exemple, une concurrence forte oppose les acteurs pour la matrise de rseaux de
machines zombies. Selon le bulletin de juin 2009 sur la cyberdlinquance de la socit
Finjan
84
, le cot d achat de mille machines franaises infectes serait de 20 dollars.
Cette tude dtaille de faon didactique le march des machines zombies en analysant
une plate-forme existante : Golden Cash. Le prix de mille machines zombies varierait
sur cette plate-forme de 5 dollars 100 dollars en fonction du pays abritant les
ordinateurs concerns. Des prix plus levs peuvent, cependant, tre pratiqus dans le
cadre doprations cibles et montes par des intermdiaires ayant achet les machines
au prix de gros.
Labsence de seuil technologique dans le domaine numrique a une consquence
majeure : il existe une unicit des moyens et outils techniques employs dans le
cyberespace qui se traduit par une interoprabilit quasi-totale entre les systmes. Ainsi,
quil sagisse des logiciels ou des systmes physiques les plus lmentaires ou des plus
performants, il apparait difficile si ce nest impossible de sparer (sgrger) les activits
numriques sur la base des niveaux technologiques, des utilisateurs concerns ou des
modes opratoires.
D. Les changes de logiciels et moyens informatiques sont relativement mal
encadrs par les accords et outils de contrle des matriels sensibles
Alors quil existe de nombreux accords visant matriser la dissmination des techno-
logies, des composants et des matriels militaires, de ceux caractre sensible ou ayant
une application duale, les normes de non-prolifration et de contrle des armements ne
sont pas conues pour contrler la diffusion des moyens qui peuvent tre employs pour
des oprations offensives ou dfensives dans lespace numrique.
Il convient par exemple de noter que laccord de Wassenaar ne prend pas en compte les
logiciels du domaine public
85
. De fait, il revient chaque tat de dfinir les rgles

84
http://www.finjan.com/Pressrelease.aspx?id=2280&PressLan=2139&lan=3
85
Arrangement de Wassenaar, Note gnrale sur les logiciels .
CYBER DISSUASION

limitant lacquisition ou la vente des logiciels et moyens informatiques quil considre
comme sensible.
Par ailleurs, lexemple des outils de cryptologie (cryptage et cryptanalyse) montre quil
nexiste pas en la matire de consensus international sur le contrle des technologies
numriques. Ainsi, pour ce qui concerne la France, ces moyens ont t largement
libraliss la fin des annes 1990 et retirs de la liste des armes de guerre et des
matriels assimils.
Cette situation sexplique assez bien si lon considre le caractre extrmement dual des
systmes et logiciels concerns ainsi que le fait que, pour lessentiel, les finalits
dutilisation sont pacifiques. De la mme manire que lespace extra-atmosphrique, les
difficults en termes de contrle sont galement lies au fait que le cyberespace est
profondment transnational et que les mesures restrictives le concernant auraient des
consquences conomiques majeures. Pour autant, comme en matire de gouvernance
des activits numriques, il convient sans doute pour faciliter la lutte contre les risques
numriques les plus graves de dfinir des rgles internationales qui permettraient de
responsabiliser les tats et les principaux acteurs.
Quelles leons peut-on tirer de lexercice de la dissuasion dans le
domaine nuclaire ?
Applicabilit des concepts de dissuasion nuclaire
La plupart des concepts de la dissuasion nuclaire sont thoriquement applicables au
domaine cyberntique, parce que ce ne sont pas des concepts propres au domaine
nuclaire.
En effet, il existe au fond assez peu de concepts spcifiques la dissuasion nuclaire. La
plupart de ces concepts sont en effet des adaptations au domaine nuclaire de concepts
issus de la stratgie classique. Les notions de dissuasion , de reprsailles ,
dinterdiction font partie du vocabulaire stratgique depuis des sicles. Il en est de
mme pour certains des principaux concepts tels que par exemple le tir davertissement
(le coup de semonce
86
), la notion descalade et ses drivs (seuils et coupe-feux,
matrise de lescalade, etc.), lide de frappe vocation dsarmante , et les divers
raffinements qui ont t apports aux politiques de ciblage (contre-C3, centres de
pouvoir, etc.).
Les concepts sous-jacents aux expressions reprsailles [ou riposte] massive[s] et
riposte gradue ne sont pas non plus fondamentalement des innovations de la strat-
gie nuclaire.
87
Dans le premier cas, il sagit dexercer contrer ladversaire des repr-
sailles sans commune mesure avec lenjeu du conflit ce qui nest aucunement une
innovation historique.
88
Dans le second cas, il sagit, dans son sens originel (document

86
Lexpression shot-across-the-bow , qui provient de la stratgie navale, tait frquemment employe au
temps de la Guerre froide pour voquer lide dune frappe de dmonstration ou davertissement.
87
Dans une logique de dissuasion, lexpression riposte massive est une meilleure traduction de massive
retaliation que celle de reprsailles massives .
88
Mme la notion de reprsailles massives contre les populations adverses ne date pas de lre nuclaire : le
premier bombardement de Tokyo (18 avril 1942) relevait dj dune forme de reprsailles contre-cites ralise
CYBER DISSUASION

MC 14/3, 1968), de choisir, face une agression, entre trois modes daction possibles :
soit de riposter au niveau de violence choisi par ladversaire, soit de procder une
escalade graduelle et contrle, soit de riposter massivement.
La dissuasion largie applique au domaine nuclaire lide selon laquelle il est
possible de dcourager un agresseur de sen prendre un tat faible en faisant savoir
quil dispose dun puissant protecteur logique aussi ancienne que les alliances
militaires.
Mme lexpression intrts vitaux peut tre assimile celle des uvres vives
dun navire (cette dernire expression tait dailleurs frquemment employe dans la
rflexion stratgique franaise des annes 1970).
89

La dissuasion nuclaire a bien entendu innov, en donnant une rsonance beaucoup plus
forte certains de ces concepts : cest le cas notamment de la notion de seuil
nuclaire, dont limportance du franchissement a donn naissance au non-emploi en
premier
90
; et cest galement le cas des reprsailles massives, assimiles la capacit
de destruction quasi-instantane des villes adverses, ou encore de la dissuasion du
faible au fort , qui na rellement de sens que dans le domaine nuclaire.
Mais ces concepts sont thoriquement applicables dautres domaines, dont, pourquoi
pas, celui du cyberespace.
Obstacles et difficults
Dans les faits, il existe de nombreux obstacles lapplication au domaine cyberntique
des concepts de la dissuasion nuclaire comme pour lapplication dautres concepts
stratgiques.
A. La question du dialogue dissuasif et de la menace de reprsailles
La dissuasion par menace de reprsailles est a priori difficilement applicable au
domaine informatique. Les principales raisons sont bien connues et prcises dans le
corps de cette tude.
Elles tiennent pour lessentiel cinq facteurs :
(1) La difficult didentifier ladversaire avec certitude, qui lvidence pose problme
pour la conduite mme dun dialogue dissuasif .
91
Elle rend particulirement difficile
une dissuasion informatique largie : quel tat sengagerait pour un autre prendre
la responsabilit de la riposte sans certitude quant lorigine de lattaque ?

avec des moyens ariens. Les autres bombardements urbains de la Seconde Guerre mondiale (Londres, Dresde,
Berlin, Tokyo) relevaient de la coercition et non des reprsailles.
89
De mme lexpression tous azimuts provient-elle du vocabulaire des artilleurs.
90
Mme si lon pouvait avoir un non-emploi en premier de fait (exemple des armes chimiques au cours de la
Seconde Guerre mondiale).
91
Selon un expert estonien, en 2011 les spcialistes occidentaux navaient toujours pas achev la cartographie
des attaques de 2007.
CYBER DISSUASION

(2) La difficult de matriser les effets des reprsailles. Loprateur ne peut non plus
avoir de certitude quant la russite de sa frappe , ni au demeurant tre certain que
ses effets ont atteint ses objectifs.
(3) Linvisibilit des agents et labsence deffets physiques (au moins immdiats), qui
empchent, dans la plupart des cas, de confrer larme informatique un caractre
effrayant .
(4) Le trs grand nombre des acteurs susceptibles dtre concerns, qui empche denvi-
sager par avance une dissuasion sur mesure .
92

(5) Le besoin de conserver une grande confidentialit sur lexistence mme de certains
des outils la disposition du dfenseur.
93

De ce fait, lexercice dune menace crdible de reprsailles, de nature tre dissuasive,
reste, sans tre totalement impossible, trs problmatique.
B. La question de lescalade et de sa matrise
La dfinition dun ventuel seuil cyberntique pose videmment problme. Les
moyens informatiques tant utiliss dans toutes les activits humaines, et a fortiori
guerrires, il est impossible dimaginer quun tel seuil puisse tre aussi facilement
identifiable et avoir la mme valeur que le seuil nuclaire (ou que lemploi dautres
moyens tels que les armes chimiques). Une norme de non-emploi en premier
naurait donc gure de sens.
Tout au plus peut-on imaginer un accord implicite ou explicite entre deux adversaires
pour ne pas avoir recours en premier la lutte informatique offensive (mme si lun des
deux protagonistes pourrait facilement rompre cet engagement en utilisant des interm-
diaires ou des acteurs non tatiques). De mme peut-on imaginer un accord sur le non-
ciblage par des moyens informatiques de certaines installations civiles dont la perte de
contrle serait susceptible doccasionner de nombreuses victimes ou des dommages
importants au fonctionnement de ltat barrages, contrle arien, centrales nuclaires,
etc.
94
La mme logique est applicable par exemple dans le cas sino-amricain au
domaine financier.
95

Par ailleurs, linvisibilit des agents (et de leurs effets dans de nombreux cas) rend peu
crdible lide dune escalade matrise dans laquelle les intentions des protagonistes
sont clairement comprhensibles. Cest pour cela, entre autres raisons (on peut y ajouter

92
Sur ce dernier point voir Patrick Morgan, Applicability of Traditional Deterrence Concepts and Theory to
the Cyber Realm , National Academies of Science, Computer Science and Telecoms Board, Proceedings of a
Workshop on Deterring Cyberattacks: Informing Strategies and Developing Options for US Policies, 2010.
93
Ceci peut galement faire hsiter employer certains moyens en riposte, de peur que leur utilisation ne com-
promette ensuite les capacits de renseignement du dfenseur. Sur ce point voir Eric Sterner, Deterrence in
Cyberspace: Yes, No, Maybe? , in Returning to Fundamentals: Deterrence and US National Security in the 21
st

Century, The George C. Marshall Institute, 2011.
94
Un parallle pourrait tre laccord indo-pakistanais sur la sanctuarisation des installations nuclaires des deux
pays.
95
Aux dires de Richard Clarke, M. Bush avait dailleurs interdit le ciblage du systme bancaire et financier, en
raison du risque de perte de confiance des acteurs.
CYBER DISSUASION

la grande rapidit de conception et de ralisation des agents, contrairement ce qui se
passe dans le domaine militaire), quil apparat a priori difficile denvisager une
dissuasion purement symtrique .
Enfin, la distribution trs large des comptences et des agents rend inapplicable un
concept de frappe contre-forces vocation dsarmante. Notons que ceci implique,
ipso facto, que tout tat ayant des capacits importantes dans ce domaine disposerait
par dfinition dune aptitude la frappe en second .
C. La question de lascension aux extrmes et de la riposte massive
La menace dune ascension aux extrmes a-t-elle un sens dans le domaine infor-
matique ? Pour que ce soit le cas, il faut pouvoir imaginer quil est possible dexercer
des dommages inacceptables un tat laide de tels moyens
96
. Or ceci ne semble pas
crdible aujourdhui.
97

Encadr 4 : Dissuasion spatiale
Autre exemple de tentative dapplication des concepts de dissuasion un milieu spcifique,
lEspace se caractrise par le fait quil sagit dun domaine de souverainet partage entre
les tats. Il en dcoule que la seule reproduction des principes et schmas mis en place dans
le domaine nuclaire nest ni souhaitable, ni efficace.
Ainsi, Washington a articul pour lEspace un concept et une politique dans le domaine qui
reposent sur quatre composantes
1
:
Le dveloppement de normes applicables aux actions responsables ;
Le dveloppement de partenariats internationaux conduisant des accords de
dfense collective (une attaque contre un membre de laccord sera interprte
comme une attaque contre lensemble des signataires) ;
Laccroissement des niveaux de rsilience (capacit de fonctionnement en mode
dgrad et de retour au fonctionnement normal dans un dlai raisonnable) ;
Le maintien en tat de prparation des ripostes rapides en cas dattaque contre les
systmes spatiaux, la riposte ntant pas ncessairement limite au domaine spatial.

96
La mise hors dtat de fonctionner des infrastructures et des rseaux jugs critiques pourrait relever des
dommages inacceptables , en ce quelle affecterait sans doute gravement la souverainet de ltat, qui fait
traditionnellement partie des intrts vitaux. Une autre hypothse serait une srie dattaques massives sur des
installations civiles occasionnant un trs grand nombre de victimes civiles, supposer quune telle option soit
techniquement accessible (cf. infra.).
97
Il existe peu dexemples de piratage russi dinfrastructures civiles majeures, ayant caus des dommages
significatifs : outre Stuxnet, on peut mentionner le cas de la destruction dun pipeline sovitique par une bombe
logique (1982). Lun des cas les plus frquemment cits est celui du barrage dItaipu (2009), mais outre le fait
que cet incident na pas caus de victimes, il est loin dtre certain quil ait t d des attaques informatiques
(Marcelo Soares, Brazil Blackout Traced to Sooty Insulators, Not Hackers , Wired, 9 novembre 2009).
CYBER DISSUASION

Rflexions sur les conditions dapplication dune dissuasion numrique
Plusieurs lments rendent difficile lexercice de la cyber-dfense
Comme nous lavons vu, lespace numrique y compris les moyens, systmes et
logiciels qui lui sont associs se distingue des autres milieux par sa pervasivit
98
, les
difficults lies son contrle, la facilit demploi des outils qui le composent et son
caractre profondment transnational.
Si lon considre lactivit de dfense dans cet espace et sa possible extension des
actions dissuasives caractre offensif quelques lments viennent rendre plus diffi-
cile le traitement des incidents ou des attaques menes depuis ou vers le cyberespace.
A. Difficults lies lidentification des auteurs et des acteurs impliqus
Alors que face une action offensive sur terre, sur mer, dans lair ou dans lespace en
particulier dans le cas du tir dun missile balistique , les moyens dobservation et les
capteurs de renseignement peuvent permettre de localiser presque immdiatement
lorigine gographique de laction et assez rapidement, dans la mesure o les capteurs
de renseignement sont efficaces, dtablir lidentit des acteurs, ce processus est rendu
complexe par la nature mme de lespace numrique.
En effet, lidentification permise par les capteurs techniques porte sur les ordinateurs
do sont issus les donnes incrimines. Or, de multiples rebonds dune machine une
autre peuvent tre mis en place pour dissimuler lorigine relle dune agression. Au-del
du deuxime rebond, il devient trs difficile de remonter jusqu lordinateur source. Le
dlai ncessaire lidentification constitue galement un facteur important, surtout
lorsque les attaques sont transfrontires et ncessitent le concours des autorits locales
pour mener lenqute sur la ou les personnes responsables.
Mme dans le cas dvnements analyss en dtail dans la dure, il reste parfois difficile
de dmontrer le rle prcis de certains acteurs alors quil existe de fortes prsomptions
sur leur implication. Ce ft, par exemple, le cas du groupe de hackers russes Nashi
dans le cas de lattaque contre lEstonie en 2007.
Enfin, il est frquent que des groupes dorigines diffrentes et situs dans des zones
gographiques distantes participent de faon coordonne ou pas une mme opra-
tion. Cela peut inclure des militants politiques, des spcialistes travaillant pour des
organisations criminelles ou des groupes paragouvernementaux, comme dans le conflit
Gorgie-Russie en 2008
99
.

98
Sa prsence est permanente dans tous les domaines de lactivit humaine.
http://fr.wiktionary.org/wiki/pervasif
99
Voir aussi Alexandre Klimburg, Mobilizing Cyber Power , Survival, January 2011, sur le rle de groupes
de hackers russes et chinois dans des actions de soutien la politique de leur gouvernement.
CYBER DISSUASION

B. Les consquences relles et de long terme dun acte malveillant sont
devenues complexes estimer, tout comme il est difficile dtablir
prcisment a posteriori le mcanisme dune attaque et sa finalit
Leffet immdiat mais galement les consquences long terme dune action hostile
dans le cyberespace sont souvent difficiles valuer. De nombreux logiciels mal-
veillants sont spcifiquement conus pour ne pas tre dcels (chevaux de Troie,
keyloggers, spywares). Leur fonctionnement consiste mettre en place des mcanismes
qui auront un effet dcal dans le temps ou des moyens destins capter et transmettre
vers le pirate des donnes transitant ou stockes sur la machine concerne.
La compromission dun systme pour lintgrer dans un rseau dordinateurs zombies
(botnet) se fait le plus souvent linsu de son propritaire. Lemploi de ces ordinateurs
zombies dans des actions offensives ou pour participer des oprations de type phishing
peut dailleurs ne pas tre dtect par ce dernier. Dune manire gnrale, dans le
cyberespace, la furtivit est devenue la rgle alors que laction immdiatement destruc-
trice savre tre une exception.
Mme lorsquelles sont volontairement cibles, les cyber-attaques utilisant une faille
donne peuvent induire des effets collatraux partout o cette vulnrabilit est prsente.
Ce ft, par exemple, le cas de Stuxnet et de ses consquences sur le fonctionnement des
machines-outils Siemens en Chine. La compromission de quelques ordinateurs dans un
parc informatique oblige vrifier toutes les machines du parc avant de pouvoir
procder une valuation gnrale dimpact.
Une ambigit existe aussi souvent dans lapprciation de lvolution des moyens
utiliss pour les attaques numriques. Bien que les types doutils malveillants (ver,
virus, spyware, keylogger, chevaux de Troie) soient en nombre limit ils ne se
renouvellent dailleurs que peu depuis une dizaine dannes la connaissance des
chemins dattaque utiliss et des moyens employs pour permettre la diffusion de ces
logiciels demande la plupart du temps une enqute pousse, complexe techniquement et
lente. Les rsultats de ces efforts techniques sont incertains et ne permettent parfois pas
de dmonter totalement le mcanisme dattaque. Une attaque russie ne laisse souvent
pas suffisamment de traces numriques pour, si elles sont exploites, permettre de
reconstituer fidlement lenchanement des vnements.
La finalit dune action hostile se dduit le plus souvent de lidentification des auteurs
et de lvaluation des consquences. Dans certains cas, les attaques font lobjet de
revendications explicites. Les deux premiers lments tant le plus souvent difficiles
tablir, il reste la revendication, qui peut parfois avoir t conue pour brouiller les
pistes menant aux malfaiteurs. Dans le cas de la compromission de systmes informa-
tiques du ministre franais de lconomie et des finances fin 2010, les investigations
navaient, par exemple, pas permis de dterminer la finalit de lattaque.
C. Dautres obstacles techniques et oprationnels propre au cyberespace
sont susceptibles de rduire la crdibilit dune dissuasion numrique
Dans un dialogue dissuasif, non seulement il faut disposer de capacits dfensives,
offensives et dattribution, mais il faut galement tablir leur ralit et leur fiabilit. Il
sagit en somme dtablir une crdibilit dissuasive .
CYBER DISSUASION

Problme particulirement complexe dans le cyberespace marqu par lambigit et par
le doute sur lorigine et la finalit des attaques, quand celles-ci sont avres. Le virus
Conficker en est un bon exemple : de 2008 2009, il a dmontr une remarquable
capacit de dissmination (changement de configuration) au point daffecter plusieurs
millions dordinateurs. Mais sa source na pas t identifie et aucun pays (mais tait-ce
un pays ?) ne peut se prvaloir davoir acquis cette capacit particulire.
La structure actuelle de lInternet et des systmes dinformation fait obstacle toute
espce de dmonstration en grandeur relle dune capacit offensive. Lancer ouver-
tement une attaque contre un systme dinformation particulier un systme
propritaire par exemple des fins de dmonstration permet a priori dapporter des
preuves convaincantes de lefficacit des capacits offensives et dfensives de celui qui
conduit un tel exercice mais peut entraner des dommages collatraux importants dont il
faudra assumer la responsabilit. Une dmonstration en rseau ferm nest pas de nature
convaincre de la mme efficacit en rseau ouvert.
En outre, alors que revendiquer une capacit dattaque sans apporter de preuve nuirait
la crdibilit dun outil vocation dissuasif, apporter des preuves prcises et dtailles
de la crdibilit de cette capacit dvoile le savoir-faire utilis avec la possibilit pour
les acteurs concerns dlaborer des moyens de protection et fait courir le risque dtre
suspect si des attaques du mme type son perptres.
Dans le cas du ver Stuxnet, par exemple, lanalyse dtaille du code et des traces lais-
ses par lattaque dmontre le haut niveau de technicit et suggre des auteurs
potentiels
100
, mais ne fournit pas de preuve dfinitive de limplication de tel ou tel
acteur. Et mme une dclaration personnelle
101
allant dans le mme sens ne constitue
pas une preuve suffisamment solide pour justifier des reprsailles.
Le cas de Stuxnet soulve dautres questions : pourquoi le mme niveau de technicit
na-t-il pas t utilis pour dissimuler les traces, voire pour dtruire le ver (son code)
une fois lattaque excute afin dempcher la prolifration du savoir-faire utilis ? Mais
en supprimant les traces, lauteur rduit les possibilits de pouvoir sattribuer le
bnfice de cette capacit offensive. Ce qui sest pass avec Stuxnet participe peut-tre
de la recherche dune solution mdiane : dmontrer sa technicit quitte la laisser
dissminer (ce qui peut suggrer quon en a bien plus en rserve) et fournir des indices
suffisamment nombreux et concordants pour que les personnes averties sachent quoi
sen tenir
Un autre volet de llaboration de cette crdibilit dissuasive tient la fiabilit des
dclarations que lon peut faire : il faut prendre garde dans un espace caractris par
un fort degr de transparence et une vitesse importante de circulation des informations
ne pas tre dmenti par les faits, car alors non seulement la dissuasion na pas
fonctionn mais la crdibilit de lauteur peut tre durablement remise en cause. La
perte de rputation dans lespace numrique est de nature rduire les bnfices
potentiels dune posture dissuasive.

100
Discussion personnelle avec des responsables de la DGA en matire de Lutte informatique (note dAlain
Esterle).
101
Le gnral isralien Gabi Ashkenazi a affirm, lors de son dpart la retraite, tre le pre du ver Stuxnet.
CYBER DISSUASION

La socit amricaine HBGary de technologie en logiciels scurit a, par exemple,
indiqu en 2010 pouvoir identifier des pirates grce ses outils danalyse des infor-
mations vhicules par les rseaux sociaux. Dbut 2011, elle annonce en outre avoir
infiltr le groupe Anonymous et disposer dune liste de ses membres quelle sapprte
fournir au FBI. En rponse, le groupe Anonymous attaque le site dHBGary et met en
ligne des dizaines de milliers de mails changs entre HBGary et ses clients, notamment
des banques, montrant leurs intentions de mener une sale campagne contre
Wikileaks sur la base de faux documents, de campagnes de dsinformation, et dactions
despionnage. Simultanment, Anonymous indique que les personnes dsignes par
HBGary ne sont pas membres du groupe et que les mthodes didentification utilises
par HBGary savrent techniquement douteuses. A la suite de ces rvlations, les clients
dHBGary prennent leurs distances vis--vis de la socit et le gouvernement amricain
engage des enqutes sur lensemble des contrats passs entre cette entreprise et les
services amricains de la dfense.
Une situation analogue a mis aux prises lOTAN et le mme groupe Anonymous. Au
printemps 2011, lOTAN publie un rapport dcrivant les enjeux des volutions rcentes
en matire de cyber-activisme, et portant notamment sur les oprations de Wikileaks et
sur celles du groupe de hackers Anonymous
102
. Le rapport suppose que, confront de
nouvelles parades et des oprations de police le visant, le groupe Anonymous ne
pourra pas poursuivre ses activits long terme, et que ces membres seront poursuivis.
En rponse, Anonymous a accentu ses attaques contre des sites officiels, notamment le
FBI. Fin juillet 2011, le groupe a fait savoir quil avait pntr les sites de lOTAN et
subtilis lquivalent d1 gigaoctet de documents dont quelques uns ont t mis en ligne
titre de preuve, accompagns un message tournant lAlliance en ridicule
103
.
On peut remarquer que cette action, sans sintgrer dans le cadre dune dmarche
dissuasive, peut sans doute tre assimile une tentative descalade dans le contexte
dun conflit de longue dure entre les tats et un groupe pratiquant des activits
illgales
104
. De fait, si le milieu concern est spcifique (le cyberespace plutt que le
milieu terrestre), ce type de confrontation et les mthodes employes ne sont pas
sans rappeler la lutte contre les organisations criminelles transnationales ou nationales.
Labsence dexemple document de confrontation entre tats dans le cyberespace ne
signifie pas que ce type de conflit nexiste pas. En revanche, il montre que les actions
offensives intertatiques restent, pour un certain nombre de raisons on peut citer en
vrac la volont de ne pas dvoiler ses capacits, celle dviter des reprsailles physiques
ou conomiques ou encore dentretenir le doute sur les auteurs , discrtes. Plus sans
doute que dans les autres milieux, les actions des spcialistes du renseignement et des
agents des services despionnage prennent une place prpondrante ds lors quil sagit
dactions offensives dans le cyberespace. Cette ralit doit tre prise en compte dans la
perspective de la mise en place dun discours et dune posture de dissuasion.

102
http://www.nato-pa.int/default.asp?CAT2=2391&CAT1=16&CAT0=2&COM=2443&MOD=0&SMD=0&SS
MD =0& STA=&ID=0&PAR=0&LNG=1
103
Yes, we haz more of your delicious data. You wonder where from. No hints, your turn. You call it war; we
laugh at your battleships.
104
Fin juillet la FBI a aussi dclar avoir arrt 14 membres dAnonymous responsables de lattaque contre le
site de paiement en ligne PayPal en Dcembre 2010. Ce qui, supposer que la culpabilit des auteurs soit
confirme, donne une ide du dlai ncessaire lattribution dune attaque ayant un caractre purement national.
CYBER DISSUASION

Elle a des consquences notamment en matire dorganisation dans le registre dfensif
comme dans celui des moyens offensifs. Deux principales alternatives se dgagent en la
matire :
Conformment au Livre Blanc sur la Dfense et la Scurit Nationale
105
, la France a
choisi de sparer les deux fonctions : lAgence Nationale de la Scurit des Sys-
tmes dInformation pour la partie dfensive, et le ministre de la Dfense et la
DGSE pour la partie offensive.
A linverse, les tats-Unis ont prfr confier les deux fonctions au mme orga-
nisme (c'est--dire la National Security Agency).
Notons enfin que les interdpendances industrielles existantes dans le domaine infor-
matique ainsi que le fait que des cooprations internationales paraissent indispensables
afin de rendre plus efficaces les fonctions dalerte, dattribution et de riposte des
attaques devraient galement avoir des consquences pour la construction du discours
dissuasif et la mise en place dune posture correspondante.
Rflexions politiques et stratgiques sur la mise en place dun concept de
dissuasion dans le milieu numrique
Le principe de dissuasion, dans la mesure o il peut concerner un spectre large de
menaces, sapplique aussi bien au domaine judiciaire qu celui des affaires militaires
ou stratgiques. De fait, dans le domaine numrique, il ne peut tre propos que dans la
mesure o les risques qui peuvent se concrtiser sont susceptibles davoir un impact
important sur la scurit voire sur la survie de la Nation. Il doit donc lever, dune
faon ou dune autre, les difficults identifies prcdemment.
Les problmes qui existent pour identifier lauteur (ou les auteurs) dune attaque,
valuer les impacts subis, reconstituer en dtail les vnements et en tablir les finalits
sous-jacentes, le tout dans un contexte dinterconnexion gnrale des rseaux et des
acteurs, distinguent le cyberespace des autres milieux dans lesquels des dmarches de
dissuasion ont pu tre labores. La dmarche dissuasive dans le cyberespace, si elle est
possible, ne peut se construire uniquement par rfrence des dmarches existantes
106
:
elle doit se btir sui generis.
Ainsi en va-t-il de lexercice de la domination et du pouvoir dans le cyberespace. En
suivant Daniel T. Kuel, on peut dire que le pouvoir se fonde ici sur la capacit
utiliser le cyberespace pour prendre un avantage et influencer les vnements dans
dautres environnements oprationnels et travers des instruments de pouvoir
107
. Le
point important est que le seuil dentre dans le cyberespace est si bas que, contraire-
ment aux autres domaines classiques (terre, mer, air, espace), nimporte quel pays,
organisation, groupe social ou mme individu peut prtendre venir y jouer un rle non
ngligeable. Dans les domaines classiques, les conflits sarrtent souvent par puise-
ment des ressources de lun des adversaires, alors que la plupart des actions hostiles

105
Dfense et Scurit Nationale Le Livre Blanc , Ed. Odile Jacob, juin 2008, pp. 182 et 207.
106
Comme le dit Martin C. Libicki dans le rapport de la Rand Cyberdeterrence and cyberwar : Attemps to
transfer policy constructs from other forms of warfare will not only fail but also hinder policy and planning.
107
Daniel T. Kuehl, From cyberspace to cyberpower: Defining the problem , in Franklin D. Kramer, Stuart
Starr & Larry K. Wentz, Cyuberpower and National Security (Washington, D.C.: National Defense UP, 2009).
CYBER DISSUASION

dans le cyberespace sont cot quasiment nul. Il sensuit que, selon Joseph S. Nye Jr.,
le pouvoir dans le cyberespace est par nature diffus, partag entre de multiples
acteurs
108
.
A. Quelles options possibles
La dfinition dune doctrine de dissuasion informatique peut sinspirer des rponses
apportes de telles difficults dans dautres domaines.
En effet, la dissuasion vis--vis dune agression cyberntique prsente les mmes diffi-
cults que dautres formes de dissuasion. Le caractre particulirement problmatique
de la question de lidentification rappelle la difficult de dissuader le terrorisme
nuclaire. Et celui de la matrise des effets nest pas sans analogie avec lutilisation des
armes biologiques (ce nest pas pour rien que lon parle de virus et dinfection ).
Linvisibilit, dans de nombreux cas, des armes informatiques, est une autre analogie
possible avec le domaine biologique.
109

On peut donc imaginer de sinspirer des rponses qui ont t apportes face aux diffi-
cults mthodologiques de la dissuasion dans ces domaines : face la menace terroriste,
la dissuasion par interdiction et la dissuasion indirecte ; face la menace biologique,
la dissuasion asymtrique .
La dissuasion par interdiction semble assez bien adapte la menace cyberntique.
Elle consiste faire savoir ladversaire (en lespce, qui de droit ) que le pays
cible dispose de moyens de dfenses actives et passives de nature lempcher
datteindre ses objectifs. Si la communication de ltat de ces dfenses nirait
pas de soi, on peut imaginer que ladversaire serait renseign sur cet tat du fait
dventuelles tentatives dintrusion de sa part.
Une dissuasion indirecte consisterait menacer ltat qui aurait organis, spon-
soris ou facilit une attaque informatique, condition bien sr de pouvoir retracer
lorigine de lattaque. Cest ici que, comme dans le domaine du terrorisme nuclaire,
la mise en avant dventuels progrs dans le domaine de lattribution peut tre un
lment significatif de la dissuasion.
Elle serait complte par lexercice dune dissuasion envers les excutants ou relais
de lattaque ( condition que ceux-ci soient accessibles ce qui ne serait videm-
ment pas toujours le cas).
110
Contrairement au cas du terrorisme extrmiste, on sup-
pose que la peur des reprsailles (judiciaires ou autres) pourrait tre efficace envers
un individu ou un groupe excutant une attaque informatique massive.
Comme face la menace biologique, une dissuasion asymtrique est envisa-
geable : dans lhypothse dune attaque massive dont lagresseur serait bien identi-

108
Joseph S. Nye Jr, CyberPower , Harvard Kennedy School, May 2010.
109
Outre le fait, bien sr, qui nest pas pertinent ici, que larme biologique soit interdite par une convention
internationale, ce qui interdit un mode dexercice symtrique de la dissuasion.
110
On sinspire ici de ce que les tats-Unis avaient fait en 2003, pour des raisons diffrentes, face lhypothse
dune menace chimique ou biologique irakienne.
CYBER DISSUASION

fi, et afin de matriser au mieux les effets de la riposte, il serait logique denvisager
une rponse cintique (reprsailles conventionnelles).
111

A lextrme, si lon veut bien admettre que les intrts vitaux dun pays pourraient
tre mis en cause par des moyens informatiques, la dissuasion nuclaire elle-mme
pourrait tre pertinente.
112
Il faut pour cela admettre quil est possible soit de causer
des dommages massifs des infrastructures civiles (avec des consquences majeures
pour les populations), soit de paralyser des infrastructures tatiques (avec des cons-
quences majeures pour le fonctionnement de ltat et lexercice de sa souverainet).
Ceci reste dmontrer.
Dans les cas o la dissuasion symtrique (arme informatique contre arme informati-
que) pourrait fonctionner, il pourrait tre fcond de sinspirer de ce qui reste aujourdhui
lun des concepts stratgiques les plus aboutis : le MC 14/3 de lOTAN (1968), qui
comme il a t rappel plus haut comprend trois niveaux possibles de riposte : (a) la
dfense directe au niveau choisi par ladversaire, (b) lescalade dlibre, et (c) la
riposte massive. En dautres termes, il sagirait pour un tat disposant de capacits
reconnues dans le domaine cyberntique de faire savoir, tout comme lOTAN le faisait
dans les annes 1970 et 1980, quen cas dattaque informatique, il se rserverait la
possibilit, soit de riposter au niveau choisi par lagresseur, soit au vu des enjeux du
conflit et des intentions prsumes de ladversaire de procder une escalade dli-
bre (symtrique ou asymtrique), soit dexercer demble des dommages majeurs
lagresseur.
B. Il parat essentiel de supposer que la cyber-dissuasion sappuie a priori
sur des mesures de rtorsion de mme nature que les actes malveillants
contre lesquels elle est cense agir de faon mieux contrler les risques
descalade
Dans lexercice de la dissuasion numrique, il parat ncessaire dcarter a priori
lutilisation physique de la force comme rponse approprie un acte numrique
malveillant
113
. Ceci est dautant plus important que le spectre des acteurs qui pourraient
subir les mesures de rtorsion est extrmement vari allant dtat jusqu des individus
plus ou moins isols.
En effet, il apparat vident que des mesures de rtorsion qui seraient adaptes pour
punir un tat responsable dun acte numrique malveillant contre un des groupes
dintrts jugs critiques, pourraient tre disproportionnes voire, dans certaines
circonstances
114
, inadquates pour rpondre aux actions dune personne, dun
groupe criminel ou dune organisation terroriste et, ainsi, viter une nouvelle attaque
ou des actes de reprsailles conduisant une escalade.

111
Cest dailleurs, comme on le sait, ce quenvisagent dsormais les tats-Unis.
112
A cet gard, le concept franais dans sa formulation traditionnelle (riposte nuclaire si les intrts vitaux sont
atteints quels que soient les moyens adopts par ladversaire) apparat particulirement bien adapt.
113
En dernier ressort toutefois, il faut considrer que certaines atteintes aux intrts vitaux peuvent conduire
une riposte disproportionne . Cf. 1.2.3.
114
Par exemple, si le groupe concern ne possde pas de structures vulnrables ou dont la perte aurait des
consquences existentielles.
CYBER DISSUASION

La symtrie complte des moyens utiliss et des effets recherchs est envisageable
conceptuellement si lon considre que les dveloppements dInternet et des outils
numriques et de communication se poursuivront de faon relativement homogne au
niveau mondial et, a fortiori, au sein des administrations et des entreprises du secteur
priv.
En effet, cette hypothse semble globalement devoir se vrifier, dans la mesure o :
Les bnfices (au moins conomiques) du dveloppement des technologies num-
riques sont largement suprieurs aux risques encourus par leur utilisation. En
particulier, dans une conomie mondialise lextrme, la dconnexion volontaire
aura un coup lev en termes daccs aux marchs, de facilit financire, dchanges
commerciaux, scientifiques ou mme culturels
De nombreux outils/objets (y compris des moyens lourds de production ou de
transport) devraient lavenir fonctionner soit sur la base dune connexion fonc-
tionnelle avec un rseau de communication adosse internet, soit, a minima, avec
des systmes dexploitation commerciaux. Le cas des machines-outils infectes par
Stuxnet montre que la numrisation des processus industriels laisse peu de place la
libert de dtenir des moyens autonomes utilisant des systmes numriques uniques
de conception locale.
Toutefois, si la dpendance des tats envers les outils numriques semble tablie, il
nen va pas de mme de celle des autres acteurs susceptibles dutiliser des moyens
malveillants contre des systmes numriques et, ce titre, justiciables de lemploi des
moyens de dissuasion numrique. Les groupes de hackers qui louent/vendent leur
savoir-faire et/ou leurs rseaux de machines infectes pour conduire des attaques de
type dni de service, pour programmer des malwares ou des spywares ou encore pour
dcouvrir des failles de scurit dans des systmes dexploitation, nont le plus souvent
besoin que de quelques ordinateurs (puissants) et dune connexion internet. Il se pose
donc la question de savoir sil est seulement possible de les dissuader par la menace de
rtorsion uniquement numrique.
La ncessit dobtenir une forme de proportionnalit entre lacte et la rponse et
dtablir lefficacit de cette dernire soulve finalement la question de la capacit
garantir leffet des reprsailles et rpter celui-ci autant de fois que ncessaire.
Comme le soulignent certains auteurs, la diffrence de mesures de rtorsion (physi-
ques) qui neutralisent (plus ou moins) dfinitivement ladversaire, la cyber-dissuasion
peut perturber celui-ci ou temporairement lui ter la capacit de nuire mais aucun
moyen numrique ne peut obtenir la neutralisation dfinitive de la menace
115
.
Dans ces circonstances, la dissuasion numrique ne peut pas carter totalement
lemploi ponctuel de reprsailles asymtriques
116
. Le recours des rponses poli-
cires/judiciaires y compris des actions visant les ressources financires des auteurs
doit par exemple tre considr contre des groupes criminels pour lesquels la recherche

115
Martin C. Libicki, Cyberdeterrence and Cyberwar , RAND Project Air Force, 2009, p. 31.
116
Le Wall Street Journal confirmait le 31 mai 2011 que le Pentagone avait dcid de considrer les cyber-
attaques comme des actes de guerre, ouvrant la voie lapplication de la force physique comme reprsailles
une attaque numrique. http://online.wsj.com/article/SB10001424052702304563104576355623135782718.
html?mod=WSJ_hp_ LEFTTopStories
CYBER DISSUASION

du profit est un intrt caractre existentiel
117
. De la mme faon, lutilisation de
reprsailles militaires contre des acteurs malveillants pourrait senvisager dans le cas o
ces derniers ont un niveau faible de dpendance envers les technologies de
linformation.

Figure 11 : chelle des rponses possibles un acte malveillant
ou une agression (source : RAND)
C. Il faut dterminer avec prcision le degr de transparence qui doit tre
appliqu lengagement de mesures de rtorsion contre un acteur qui
serait tenu pour responsable dun acte ou dune srie dactes malveillants
Il sagit in fine de dfinir la posture publique quil convient dadopter en matire de
dissuasion numrique. Dans cette perspective, plusieurs facteurs doivent tre pris en
compte :
La fonction de communication fait intgralement partie de la manuvre de
dissuasion : elle a pour rle a minima de convaincre les agresseurs potentiels
quils prennent des risques dmesurs sils sont pris en train dattaquer les int-
rts couverts par la dissuasion
118
. Lide de conduire lensemble de la manuvre
de dissuasion numrique de faon secrte ou confidentielle parat absurde au
regard du rle prventif que doit jouer le systme. Dans cette perspective, il
convient de souligner que les actions de rtorsion doivent tre visibles/
perceptibles au moins pour ltat, lorganisation ou la personne vise. Si
possible les effets dune action de rtorsion doivent avoir une visibilit publique
suffisante (et des effets assez impressionnants) pour dissuader dautres
agresseurs de conduire leurs oprations.

117
Le FBI estime que le chiffre daffaires global des organisations criminelles slve un trillion de dollars soit
schmatiquement 10 % du volume financier reprsent par les changes conomiques mondiaux.
118
Matthew D. Crosston, How Mutually Assured Debilitation Is the Best Hope for Cyber Deterrence ,
Strategic Studies Quaterly, Spring 2011, p. 111.
CYBER DISSUASION

Dans la mesure o lattaque est attribue un ou plusieurs acteurs, il peut
savrer ncessaire de fournir la communaut internationale des lments pour
justifier lemploi de moyens de rtorsion. Sur ce point, il nest pas forcment
indispensable damener publiquement la preuve juridique de la respon-
sabilit mais il semble ncessaire de chercher obtenir un minimum de soutien
pour des actions de rtorsion dont les consquences seraient visibles et pour-
raient tre exploites diplomatiquement et publiquement pour envoyer un
message (sur lefficacit des moyens utiliss par exemple) aux futurs agresseurs.
Il est ncessaire de conserver un niveau de confidentialit suffisant sur les
moyens pour limiter les possibilits de voir se dvelopper des parades. Il est ga-
lement indispensable, pour les mmes raisons, de protger les informations por-
tant sur les cibles potentielles. Cela est dautant plus ncessaire que les cibles
possibles peuvent voluer assez rapidement en fonction des dcouvertes techni-
ques ou logicielles sur les failles informatiques ou les vulnrabilits des
systmes.
De la mme faon, les cibles qui ont dj t attaques seront souvent beaucoup
plus difficiles atteindre une deuxime fois dans la mesure o les vulnrabilits
ou les failles exploites pour y parvenir devraient tre prises en compte et cou-
vertes par les administrateurs systmes concerns. Comme corollaire, la prpa-
ration oprationnelle et technique des attaques doit faire lobjet de mesures de
confidentialit trs marques pour viter dalerter les dfenseurs ou de fournir
des informations critiques sur les vulnrabilits exploites (en particulier sil
sagit de 0 day exploit , mais mme pour lutilisation de virus trs perfor-
mants
119
).
La problmatique du degr de transparence qui doit tre appliqu aux oprations de
rtorsion se complique au-del du seul aspect politique si lon considre la spcificit de
la dimension numrique.
Il existe en effet des cas de figure dans lesquels les incertitudes sur lagresseur ou
encore le risque de publicit sur des vulnrabilits critiques sont tellement importants
que les actions de rtorsion ne feront pas lobjet de communication publique.
120
Lop-
ration de rtorsion doit toutefois apparatre suffisamment transparente aux yeux de
lagresseur pour que celui-ci comprenne quil a t dtect et ainsi que sapplique un
effet dissuasif. De la mme faon, il ne peut tre question dagir systmatiquement de
faon secrte au risque de rduire nant la finalit des reprsailles.
Le fonctionnement de cet difice de communication, qui doit finalement tre trs flexi-
ble afin de prendre en compte le contexte de lattaque et la difficult spcifique de
lattribution (cf. infra), repose dune certaine manire sur une certaine forme de dialec-
tique entre les acteurs impliqus. La stratgie de communication doit galement prendre
en compte le risque de dgts collatraux si la cible des actions de reprsailles nest
pas le responsable de lattaque initiale. En la matire, il est difficile de proposer une
formule qui sapplique tous les cas de figure, toutefois quelques lignes directrices
peuvent tre imagines :

119
Martin C. Libicki, Cyberdeterrence and Cyberwar , RAND Project Air Force, 2009, pp. 57-58.
120
Ibid, pp. 94-96.
CYBER DISSUASION

Si les effets dune attaque sont ressentis par la population ou si les mdias appren-
nent lexistence dune agression, il apparat ncessaire de communiquer sur les
mesures prises pour y rpondre. Il peut sagir dans un premier temps dindiquer que
les services comptents cherchent trouver le ou les responsables et dinformer le
public sur les mesures correctives prises pour le protger et viter une reproduction
de lattaque. Selon les rsultats obtenus dans la phase dattribution, la communica-
tion publique doit couvrir les initiatives prises pour punir les responsables et leurs
rsultats, ne serait-ce que pour faire passer un message dissuasif vers dautres
acteurs qui seraient susceptibles de mener des actions similaires. La communication
publique peut galement permettre de rduire le prestige numrique de ladversaire
et par l mme sa propre capacit communiquer positivement sur ses actions. Dans
le cas dtats, lexposition de leurs actions malveillantes prsente un intrt pour
ventuellement les conduire ngocier les conditions dune sortie de crise ou dune
cessation des attaques.
Si les informations recueillies permettent didentifier lagresseur avec un niveau de
confiance lev
121
, les reprsailles doivent faire lobjet dactions de communication
la fois vers le ou les responsables identifis (ou leur commanditaires). La difficult
peut venir alors du choix des canaux employs pour faire passer les messages en
particulier si les acteurs directement concerns ne sont pas des tats. On peut ima-
giner des cas de figure dans lesquels il est ncessaire de communiquer la fois vers
les agresseurs identifis mais galement vers les pays depuis lesquels ils agissent
122
.
Il peut exister des scnarios dans lesquels les reprsailles ne sont pas souhaitables
par exemple parce quelles viennent trop tard aprs lattaque ou quelles sont irra-
lisables ou trop complexes mettre en uvre mais pour lesquels ltat concern
peut avoir intrt communiquer vers lagresseur dans une logique dissuasive. Cela
peut consister simplement faire savoir ce dernier quil a t identifi et ainsi le
prvenir des consquences qui pourraient dcouler dune nouvelle attaque.
Enfin, il faut prendre en compte dans la construction dune stratgie de communication
qui sappliquerait de faon gnrale la cyber-dfense et plus spcifiquement la
cyber-dissuasion le fait que plusieurs lments rendent le dialogue avec les agresseurs
relativement compliqu par rapport ce que lon connait dans les autres milieux. Le
simple fait que certains agresseurs peuvent ne pas tre des tats implique de disposer
dune gamme doutils relativement large pour faire passer des messages. Il faut
galement prendre en compte la possibilit que les auteurs agissent pour le compte de
commanditaires. Dans ce cas, la stratgie de communication pour contribuer dissuader
tous les acteurs impliqus doit stendre des voix diplomatiques des solutions plus
artisanales ou cratives.

121
Il est difficile de dfinir prcisment ce que ce niveau doit tre. On peut toutefois imaginer quil dpendra
dun choix effectu par les responsables politiques prenant en compte : le contexte, la discussion avec les
services et ventuellement celle avec les allis.
122
Ces derniers pouvant tre des commanditaires ou alors des tats ne disposant pas des outils juridiques et
policiers capables de dissuader des auteurs criminels de commettre des attaques numriques. Cf. infra.
CYBER DISSUASION

Lattribution de lacte reste au cur de lapplication du concept de dissuasion
dans lespace numrique
Si lattribution dun acte (ou dune srie dactes) malveillant un acteur spcifique
parat ex nihilo complique du fait de la nature mme de lespace numrique, plusieurs
lments doivent cependant permettre lexercice de la cyber-dissuasion
123
:
Le contexte gostratgique mais galement celui qui prvaut en termes
techniques peut faciliter lattribution dune srie dactes malveillants : pour
prendre un exemple, dans le cas estonien, il apparat que la Russie porte une part
importante de responsabilit mme si les services officiels russes nont pas
forcment mens directement les oprations visant neutraliser les serveurs
estoniens. Pour autant, cela ne peut pas tre le seul facteur dterminant pour
attribuer une attaque, ce dautant que dans certaines circonstances plusieurs
acteurs peuvent avoir intrt la commettre et il peut arriver que des acteurs
conduisent des attaques numriques en cherchant en rendre responsable un
tiers
124
. Il faut toutefois considrer que les tats pourraient vouloir prendre la
responsabilit dattaques numriques menes contre leurs adversaires, par
exemple dans une logique de dissuasion.
La responsabilit de ltat abritant les infrastructures et les moyens techniques
utiliss pour conduire laction malveillante pourrait tre engage dans certaines
circonstances
125
. Ainsi, dans les pays ne disposant daucun cadre juridique ou
de lgislations peu contraignantes visant les acteurs numriques malveillants
ou criminalisant, certains comportements pourraient tre considrs comme
(co)-responsables dune action manant de machines situes sur leur territoire.
La responsabilisation des tats, tout comme dailleurs celle des fournisseurs de
service abritant des pirates ou facilitant leurs oprations
126
, est imaginable.
De la mme faon, les tats refusant de cooprer dans le cadre denqutes
criminelles concernant des actes commis depuis leur territoire pourraient tre
tenus comme partiellement responsables dune attaque mene depuis leur
territoire. Le recours des individus ou des organismes comme proxy naltre
pas le fait que, sans la participation, le soutien ou mme seulement laccord
tacite ou encore labsence de mesures correctives/dissuasives mises en place par
les tats, certains actes malveillants ne pourraient avoir lieu.
Comme le souligne dailleurs quelques auteurs, les groupes de pirates capables
de produire les effets les plus importants en termes de dure comme de cons-
quences donc ceux considrs comme vitaux qui seraient pris en compte par le
systme de dissuasion numrique disposent vraisemblablement dune
assistance technique assez importante de la part dtats : mme sils ne sont

123
Eric Sterner, Retaliatory Deterrence in Cyberspace , Strategic Studies Quarterly, Spring 2011, pp. 73-75.
124
Martin C. Libicki, Cyberdeterrence and Cyberwar , RAND Project Air Force, 2009, p. 44.
125
Les tats restent responsables physiquement des infrastructures quils abritent comme juridiquement des
organisations qui agissent sur leurs territoires. Voir Joseph S. Nye Jr, CyberPower , Harvard Kennedy School,
May 2010, p. 11.
126
Voir sur cette question, Noah Schchtman, Pirates of the ISPs: Tactics for Turning Online Crooks Into
International Pariahs , Brookings China Center, Cyber Security #1, July 2011.
CYBER DISSUASION

pas institutionnaliss, leurs actes peuvent donc lgitimement tre considrs
comme manant des pays qui les soutiennent
127
. On pourrait ds lors avancer en
premire analyse dans le cadre de ce raisonnement que seuls les tats sont les
acteurs susceptibles de soutenir et de conduire des cyber-attaques qui
savreraient justiciables de lemploi de reprsailles. A ce titre ils se qualifient
galement pour des mesures de rtorsion symtriques visant leurs infrastructures
ou leurs systmes informatiques critiques.
Cependant, ces arguments restent difficiles manier du fait de labsence dune
convention contraignante en matire de cybercriminalit sappliquant de
faon universelle
128
. Par ailleurs, les diffrences entre les approches juridiques
nationales par exemple, lexistence de lois protgeant les donnes numriques
des citoyens peuvent conduire certains tats refuser de cooprer au nom de
la protection de leurs citoyens. Enfin, on ne peut pas carter totalement la possi-
bilit de fausses alarmes : quil sagisse de disfonctionnements (logiciels
notamment) produisant des effets comparables une attaque ou pannes mca-
niques ou logiques. On ne peut pas plus ignorer le fait que certains hackers parti-
culirement dous, gniaux ou chanceux pourraient tre en mesure de produire
des effets allant au-del de leurs esprances ou de leur niveau de savoir-faire.
Lvolution et le dveloppement des outils techniques pourraient faciliter le
travail denqute et dinvestigation suivant une attaque. Les capacits des tats
tracer ventuellement en temps rel les points dorigine, cerner (et
ventuellement recopier) les modes opratoires, dcortiquer les codes et
logiciels utiliss pour une action ou une srie dactes devraient continuer
augmenter tout comme la disponibilit de ressources humaines et techniques
plus importantes (notamment en termes de puissance de calcul disponible ou
de savoir-faire technologique).
Mme si lon peut craindre que les groupes de pirates voient galement leur
potentiel de nuisance augmenter au fur et mesure du dveloppement des
technologies, lavantage technique et humain appartient potentiellement aux
puissances publiques que sont les tats
129
. A condition que ces derniers
parviennent exploiter cet avantage, il pourrait devenir de plus en plus difficile
pour une partie des acteurs malveillants de conduire des attaques (dampleur)
sans risque dattribution.

127
Dans une logique comparable de celle qui prvaut pour les organisations terroristes en gardant lesprit que
certains actes techniques (la cration de logiciels, la dcouverte de 0 day exploit c'est--dire de vulnrabilits
qui nont jamais t exploites) demandent des moyens techniques et de recherche plus importants que ceux
minimaux dont disposent certains rseaux de hackers (en anglais ring c'est--dire des organisations
informelles).
128
La convention sur la cybercriminalit de novembre 2001 na t ratifie que par 14 tats, dont la France. Elle
prvoit toutefois la mise en place de cooprations internationales spcifiques pour rpondre des crimes
numriques. http://fr.wikipedia.org/wiki/Cybercrime
129
Lide quune agression dtecte puisse conduire une riposte immdiate et automatique contre les machines qui
en sont lorigine pourrait tre envisage. Joseph S. Nye Jr, Cyber Power , Harvard Kennedy School, May
2010, p. 16.
CYBER DISSUASION

Lattribution partielle dune attaque numrique est un moyen envisageable pour
exercer une forme de dissuasion sur certains acteurs
Mme lorsquil est possible de rassembler beaucoup dindices sur limplication de
certains acteurs, il reste gnralement trs difficile dapporter suffisamment de preuves
pour tablir formellement quils sont les auteurs dune attaque. Cette incertitude rend
finalement dlicat le recours des reprsailles de destruction dans le cadre dune
logique dissuasive.
La mise en place dun systme de raction multinational peut suppler cette difficult. Il
sagirait alors :
Daccrotre les capacits danalyses et denqute en exploitant les synergies entre les
moyens techniques des tats et les cooprations judiciaires et policires ;
Dobtenir une condamnation commune dun acte et de son auteur prsum quil
sagisse dun tat ou de groupes non tatiques en tablissant une conviction
partage reposant sur des donnes analyses en commun dfaut de preuves.
Cette solution peut offrir un certain niveau de dissuasion contre des attaques num-
riques aux tats et aux organisations impliques dans un systme multinational
caractre coopratif. Son aspect dissuasif pourrait tre renforc si ce systme tait
investi par les participants de lautorit ncessaire pour prendre des mesures coercitives
ou punitives dpassant la seule condamnation de lacte.
Cette dimension particulire de la dissuasion numrique a t identifie dans son tude
sur le Cyber Power
130
par Joseph S. Nye Jr : Finally, to the extent that false flags
are imperfect, and rumors of the source of an attack are widely deemed credible
(though not probative in a court of law) reputational damage to an attackers soft
power may contribute to deterrence..
Il est vrai que dans lespace numrique, la rputation dun acteur possde une valeur
spcifique bien plus importante que dans les autres milieux. De fait, de nombreux
acteurs du rseau mondial sont lus et suivis par les internautes du fait de leur rpu-
tation : intgrit, comptence, accs des informations fiables, indpendance, etc. Les
opinions quils formulent, les analyses quils dispensent ou les informations quils
fournissent sont dautant plus ou moins crdibles quils disposent dune bonne ou dune
mauvaise rputation.
La rputation sur internet des personnes physiques, des tats, comme des personnes
morales constitue une vritable identit numrique, diffrente de celle qui rsulte des
interactions classiques. la rputation numrique des organisations est de nature plus
dynamique et volatile quelle ne lest dans lespace rel.
Les entreprises, par exemple, se trouvent confrontes des acteurs souvent mal
identifis qui peuvent produire du contenu, diffus de faon universelle, concernant
leur marque, leurs produits, leurs collaborateurs, au moyen doutils simples
131
.

130
Joseph S. Nye, Jr, Cyber Power , Harvard Kennedy School, Belfer Center for Science and International
Affairs, may 2010, p. 17.
131
Digimind, White paper: Rputation internet , juin 2008, p. 5.
CYBER DISSUASION

De fait, la mise en cause de la rputation numrique est une problmatique srieuse pour
les acteurs concerns. Ds lors, sa remise en cause potentielle peut devenir un outil
dissuasif important de participer une action malveillante, dautant que cette dernire
sera contraire limage que lacteur concern souhaite donner de lui-mme.
bauche dune doctrine en matire de dissuasion numrique : difficults
technico-oprationnelles et comparaisons internationales
Le besoin de dvelopper une posture dissuasive parat tabli : du fait de lvolution des
technologies informatiques et de communications, de la gnralisation de lusage
dInternet pour un nombre grandissant dapplications quotidiennes, il parat ncessaire
de complter la posture dfensive en matire numrique, qui se trouve confronte
lasymtrie grandissante entre lattaque et la dfense, pour considrer lensemble des
options disponibles. La question du seuil de dclenchement de la riposte numrique se
pose lgitimement si lon considre que les mesures de rtorsion peuvent avoir des
consquences graves (mme si elles ne sont pas forcment existentielles) sur la cible
concerne.
Lanalyse des diffrents lments et capacits qui se rattachent au concept gnral de
dissuasion a mis en lumire certaines spcificits particulires du cyberespace :
Le caractre asymtrique des capacits dfensive/offensive, les moyens de protec-
tion sont plus coteux et long dvelopper et mettre en uvre que les systmes
permettant de conduire des attaques logiques ou physiques contre des systmes
dinformation.
La difficult attribuer rapidement une action offensive malveillante un pays ou
un groupe dacteurs particulier. Nous avons toutefois mis en lumire le fait que les
tats-Unis disposent de moyens techniques qui pourraient tre suffisants pour y
parvenir. Il en dcoule un besoin dtablir une coopration technique et opration-
nelle avec nos allis et nos partenaires pour renforcer nos capacits de dfense et de
protection.
Les problmes inhrents la dmonstration de la crdibilit des capacits dfen-
sives et offensives dont on dispose : le risque existe de provoquer des effets
collatraux sur des systmes amis et/ou de rendre accessible aux adversaires
potentiels des informations clefs sur les moyens utiliss.
En 1998, un texte de quelques pages de Joseph S. Nye Jr indiquait que la matrise totale
de linformation ( information dominance ) tait susceptible de devenir le nouvel axe
de la politique internationale des tats-Unis en lieu et place de la capacit nuclaire
militaire
132
. Il sappuyait sur un parallle trs simple : une matrise totale de linforma-
tion devrait permettre de connatre les actions prpares par un adversaire et de le
dissuader de les entreprendre en lui faisant savoir que les dfenses et les reprsailles
taient prtes ; de leur ct, les allis, quels quils soient, auraient besoin de recueillir
auprs des tats-Unis les confirmations ou complments dinformations ncessaires la
ralisation de leurs objectifs de scurit.

132
Document de travail fourni dans le cadre de la formation de responsable senior en scurit nationale et
internationale ; texte non publi.
CYBER DISSUASION

Le concept d information dominance a t remplac par ceux de cyber-scurit, de
cyber-dfense ou encore de cyber-dissuasion. Pour autant, aucun texte officiel amricain
spcifique ne dcrit lapplication par les tats-Unis dune doctrine de cyber-dissuasion
mais le concept est expos ou voqu dans plusieurs documents rcents.
Le texte amricain le plus explicite en la matire a t publi par la Maison blanche en
2010. Il sagit de la Stratgie internationale pour le cyberespace
133
. Ce document
sappuie sur une vision future du cyberespace qui serait ouvert et interoprable, sr et
fiable mais surtout stabilis par des normes de comportement fondes sur des principes
reconnus par tous : liberts fondamentales, respect de la proprit, valeur de la vie
prive, protection contre le crime et droit lautodfense. Il sagit l dun enjeu collectif
qui suppose un comportement acceptable et responsable des diffrents pays
conformment ces normes. Pour parvenir ltablissement de telles normes, les tats-
Unis envisagent de combiner des outils diplomatiques et des moyens de dfense afin de
dvelopper un contexte prospre et scuris bnficiant lensemble des utilisateurs
des technologies de linformation.
Cest au sein de la composante dfense que sont avances les deux ides de
dissuasion et deterrence :
Dissuasion par une capacit de rsister des attaques, tant au plan national qu
ltranger, sur la base de cooprations troites en matire dalerte, de rponse et de
rcupration.
Deterrence vue comme une capacit de rponse, en application du principe
dautodfense reconnue par la Charte des Nations Unies, des actions malveillantes
diriges contre les intrts numriques amricains. Laccent est mis l encore sur la
ncessit de coopration avec le plus grand nombre possible de partenaires
trangers, mme si les tats-Unis se rservent le droit de rpondre des actes
hostiles dans le cyberespace de la mme manire quils le feraient vis--vis de tout
autre type de menace contre le pays .
Parmi les priorits politiques amricaines, le dveloppement dun volet militaire offen-
sif est propos pour prparer les tats-Unis aux dfis de la scurit du XXI
me
sicle.
Outre le besoin de disposer de rseaux militaires srs et fiables, et de cooprer avec les
allis et autres partenaires internationaux et nationaux pour accrotre la scurit
collective, le document propose de renforcer les alliances militaires pour faire face
aux menaces potentielles dans le cyberespace . Cest dans ce cadre que les tats-Unis
continueront travailler avec les contreparties militaires et civiles de leurs allis
dvelopper les moyens et les mthodes dune autodfense collective dans le
cyberespace. De tels partenariats et alliances militaires renforceront nos capacits de
dissuasion collective et de dfendre les tats-Unis contre des acteurs tatiques ou non
tatiques .
Les menaces numriques dorigine tatique sont donc bien prises en compte et les tats-
Unis se prparent y rpondre. Lapproche ne semble toutefois pas procder dune
vision unilatrale, comme elle aurait pu ltre sous les administrations prcdentes, alors
mme que les capacits amricaines actuelles sont uniques, notamment en matire

133
White House, International Strategy for Cyberspace Prosperity, Security and Openness in a Networked
World , May 2011.
CYBER DISSUASION

dattribution dactes malveillants et de moyens offensifs. Au contraire, le discours des
tats-Unis sur la cyber-dissuasion insiste sur sa nature collective et sur le besoin de
coopration troite avec leurs allis.
Cette dmarche est confirme dans le rapport publi par le Pentagone sur sa stratgie
pour oprer dans le cyberespace. Linitiative stratgique n 4 (construire des relations
robustes avec les allis des tats-Unis) prvoit en effet que le Dpartement de la
Dfense tendra ses cooprations formelles et informelles dans le cyberespace un
ensemble largi dallis et de partenaires militaires pour dvelopper une autodfense
collective et accrotre une dissuasion collective
134
.
lments dorganisation dune capacit nationale initiale de cyber-dissuasion
finalit dfensive
Des responsables amricains ont rcemment indiqu leurs homologues franais
135

quil serait souhaitable que la France amliore son niveau de scurit des systmes
dinformation
136
.
Outre le fait que cette dclaration met en lumire les vulnrabilits connues par les
services amricains des dispositifs de chiffrement utiliss par la France, elle montre
que les tats-Unis attendent de leurs allis un certain niveau de comptences et de
capacits autonomes en matire de cyber-dfense.
Ainsi, le schma amricain de dissuasion collective dcrit dans la Stratgie interna-
tionale pour le cyberespace classe les tats dans trois catgories distinctes :
Ceux ayant un comportement inacceptable ou irresponsable (adversaires
potentiels) avec qui il nest pas possible de cooprer ;
Les tats ayant un comportement acceptable et responsable mais ne poss-
dant ni comptences ni moyens efficaces en matire de dfense numrique, avec
lesquels il est possible dentretenir de bonnes relations mais qui seront une charge
en termes de scurit pour les tats-Unis ;
Les tats ayant un comportement acceptable et responsable , capables
dassurer par eux-mmes la scurit de leurs systmes dinformation et avec qui il
est possible de pleinement cooprer.
Paris devra vraisemblablement poursuivre ses investissements en matire de
scurit numrique pour parvenir disposer dun systme autonome permettant
de conduire seul des oprations de reprsailles dans lespace numrique.
Par contre le schma amricain, tel quinterprt prcdemment, offrirait une rponse au
dilemme souverainet/dpendance en permettant la France dengager et de conduire
les rformes et programmes ncessaires llaboration progressive dune cyber-

134
Department of Defense Strategy for Operating in Cyberspace , July 2011, p. 10.
135
Discussion personnelle avec des responsables de la DGA en matire de Lutte informatique (note dAlain
Esterle).
136
On peut rappeler quil a fallu trois ans de discussions et damnagements pour faire valider lOTAN le
chiffreur gouvernemental franais Echinops.
CYBER DISSUASION

dissuasion. En saffirmant comme une nation majeure en termes de scurit des
systmes dinformation et de cyber-dfense, la France peut tre un partenaire respect
dans le cadre dune cyber-dissuasion collective, condition de concder aux tats-Unis
la direction de cet outil commun.
La doctrine franaise pourrait alors sappuyer sur trois piliers :
tre exemplaire en matire de SSI, avec une dfinition claire et une application
rigoureuse de politiques en SSI, tant pour les actions de sensibilisation que pour la
mise en uvre et la maintenance des outils de scurit classiques (anti-virus,
chiffreurs, pare-feux) ;
tablir et maintenir les bases dune cyber-dfense efficace et lappliquer un champ
englobant :
les rseaux trs sensibles ;
lagrment des produits de scurit ( renouveler rgulirement) ;
lanalyse dattaques numriques ;
les procdures et moyens permettant de garantir la continuit dactivit en modes
dgrads et le retour la normale ;
Dvelopper des cooprations avec les partenaires trangers en matire dchange de
donnes, dalerte, danalyse des attaques, dexercices et dactions oprationnelles
destines rpondre des attaques plus ou moins grande chelle.
De fait, ces lments savrent tre cohrents avec les objectifs stratgiques en scurit
des systmes dinformation tels que rcemment fixs par le SGDSN
137
. Ils ne
constituent pas en soi une doctrine de cyber-dissuasion mais, en y adjoignant une
capacit offensive autonome, ils peuvent permettre de participer une cyber-dissuasion
collective en tant que partenaire de premier plan, c'est--dire participant la dcision et
la mise en uvre dactions ventuelles de reprsailles suite une attaque.
Deux obstacles majeurs se prsentent nanmoins dans la mise en uvre du schma
propos du point de vue des capacits industrielles et des partenariats avec les opra-
teurs privs :
Les chanes dapprovisionnement fiables en France sont limites quelques
produits de scurit dvelopps pour des industriels de confiance souvent du
domaine de la dfense et agrs par lANSSI pour couvrir les besoins des activits
dites de souverainet (dfense/armement, diplomatie). Or, le champ de la cyber-
dfense doit englober lensemble des systmes dinformation jugs essentiels ,
au-del de ces seules activits, en particulier les infrastructures et rseaux critiques
(production/distribution deau ou dlectricit, communications, transports...). Il faut
donc prvoir dtendre les procdures dagrment aux produits destins de plus

137
Dfense et scurit des systmes dinformation Stratgie de la France , ANSSI, fvrier 2011.
CYBER DISSUASION

nombreux secteurs dactivits, ce qui reprsente une contrainte forte en matire de
gestion des appels doffres
138
.
En ralit, une telle volution doit conduire progressivement lintgration des
oprateurs dinfrastructures vitales dans le champ des activits de souverainet en
matire de scurit numrique. Une telle opration suppose non seulement la
fiabilisation des produits utiliss par ces acteurs mais galement lextension ces
derniers des procdures en matire dhabilitation et dorganisation. Il sagit gale-
ment de les associer aux exercices conduits en matire de cyber-scurit. Une
refonte complte du schma actuel de partenariat public-priv et de la Directive
Nationale de Scurit (DNS) parat ncessaire pour y parvenir.
lments darchitecture pour une future capacit nationale de cyber-dissuasion
(volet offensif)
A la lumire des lments exposs prcdemment, quelques principes semblent devoir
guider llaboration dune ventuelle future capacit offensive dans le domaine
numrique :
Les reprsailles numriques devront tre gnralement symtriques et propor-
tionnelles, mais il ne faut pas exclure lemploi dans certaines circonstances de
moyens asymtriques : la dissuasion numrique sapplique uniquement dans la
mesure o les agresseurs prsentent des dpendances importantes envers des
systmes ou des rseaux informatiques. Les tats ou les entreprises lgales, dont on
considre quils auront dvelopp un niveau de dpendance globalement compa-
rables, sont donc les plus mme dtre sensibles une manuvre dissuasive dans
le domaine numrique. A contrario, les organisations criminelles ou terroristes et les
personnes physiques sont assez peu susceptibles dtre dissuads par la menace de
rtorsion symtrique. Sur ce point, les actions caractre lgal (poursuites
criminelles) ou encore les sanctions conomiques ou financires pourraient savrer
plus dissuasives. En dernire extrmit, le recours des reprsailles physiques peut
tre envisag si (1) les consquences de lattaque sont suffisamment graves et les
effets durables et (2) lacte peut tre attribu au-del du doute raisonnable. Nous
avons enfin montr que les tats peuvent tre tenus en partie responsables des
activits criminelles qui se dveloppent sur leur territoire en exploitant les failles
lgales nationales dans la mesure o celles-ci ont t officiellement dnonces
comme facilitant les activits hostiles.
Il sera indispensable de suivre un processus dattribution avant toute utilisation
des outils de reprsailles : lattribution dun acte numrique malveillant (ou dune
srie dactions) savre complexe : cest un processus la fois long et dont lissue
est incertaine. De fait, il parait possible de prendre des mesures de rtorsion sur la
base des informations de contexte, des donnes techniques recueillies lors des
attaques et en se fondant sur la politique des tats ou des entreprises en matire de
guerre numrique. Dans certains cas, les responsables (et leurs sponsors) peuvent
mme ouvertement revendiquer leurs actions pour des raisons politiques daffi-
chage. Les risques derreur tant importants, le maniement de la rtorsion mrite un

138
A noter que mme dans le cadre de lapprovisionnement des forces, le choix de produits agrs nest pas
vident pour les forces franaises depuis la rintgration complte dans lOTAN.
CYBER DISSUASION

examen politique de fond. En tout tat de cause, il est difficile dimaginer de
renoncer leffort dattribution qui savre consubstantiel de la manuvre de
dissuasion et qui doit prendre une forme publique (ou diplomatique) suffisante pour
renforcer la posture de ltat qui lexerce.
La manuvre de dissuasion numrique ncessitera une communication matrise
et pourrait sappuyer sur une coopration internationale renforce : comme pour
lattribution, la manuvre de dissuasion ne peut soprer sans un minimum de
communication vers lextrieur comme vers lintrieur : cette dernire doit concer-
ner les agresseurs potentiels, les allis et partenaires internationaux mais galement
les parties prenantes au niveau national. Cette communication doit tre matrise,
c'est--dire que la confidentialit de certaines informations, systmes et donnes doit
tre assure pour viter de rduire lefficacit des mesures de rtorsion. En matire
de coopration, il semble ncessaire de reconnatre quil est urgent de mettre en
uvre un cadre juridique international qui fixerait quelques rgles de comportement,
notamment en matire de crime numrique afin de permettre, par exemple, de
dvelopper lentraide judiciaire sur les actes les plus graves
139
.
Une ventuelle dissuasion numrique devra sappuyer sur trois fonctions opration-
nelles et organisationnelles : commandement, dveloppement des moyens et outils,
mise en uvre.
Chaque fonction peut son tour se dcomposer en sous-fonctions qui participent
pleinement lexercice de la dissuasion ou la conduite des oprations offensives
engages pour rpondre une attaque dampleur suffisante. La dissuasion numrique
doit de plus sintgrer dans un systme complet de cyber-dfense qui englobe les
activits de protection, de surveillance et dalerte et daction offensive. La figure
suivante offre des lments de structuration de ces fonctions et sous-fonctions.

139
Joseph S. Nye Jr, Cyber Power , Harvard Kennedy School, May 2010, pp. 17-18. Il faut galement considrer
plus long terme la possibilit de voir merger un modle de rgulation des conflits numriques qui ne serait pas
sans lien avec les conventions sur le droit de la Guerre et la protection des populations civiles (Genve et La
Haye).
CYBER DISSUASION


Figure 12 : Organisation gnrale possible dune architecture de cyber-dissuasion
Pour fonctionner, cette organisation devra vraisemblablement sadosser larchitecture
de scurit des systmes dinformation et de cyber-dfense. Elle doit en effet pouvoir
capitaliser autant que possible sur les mesures de protection et de dfense dj mises en
place. En particulier, lorganisation devrait utiliser lensemble des moyens de dtection
et de traage des actes malveillants. Elle doit galement pouvoir mobiliser les ressour-
ces techniques et humaines permettant de connatre intimement la composante
technique des menaces et ltat de lart en matire de logiciels malveillants. Mais ces
ressources techniques et humaines devront tre enrichies pour faciliter la dcouverte et
lexploitation de vulnrabilits et de failles de scurit dans les principaux systmes
informatiques. Ce pilier technique serait charg de llaboration de logiciels ou de codes
et participerait la dfinition de dossiers dobjectifs complets sur les principaux acteurs
malveillants connus
140
et susceptibles dtre sensibles la manuvre de dissuasion.
Enfin, il aura pour tche de fournir les donnes dalerte et de conduire les efforts
destins permettre lidentification dventuels agresseurs.
La mise en uvre des armes logiques et la gestion de la bataille numrique
reviendraient une structure de forces qui pourrait sappuyer sur un tat-major
141
.

140
Dans ce domaine, il sera probablement ncessaire de prendre en compte le fait que la neutralisation ou la
disruption des systmes viss auront des consquences sur lenvironnement de la cible et pas seulement unique-
ment sur cette dernire. Karl Frederick Rauscher & Andrey Korotkov, Working Towards Rules for Governing
Cyber Conflict , East-West Institute, January 2011, p. 18.
141
Cest du reste la solution retenue par les tats-Unis au travers de la cration dun US CyberCom sous
lautorit de STRATCOM , et charg dunifier les approches des diffrents services du DoD en matire de lutte
informatique offensive et dfensive. Voir Department of Defense, Strategy for Operating in Cyberspace , July
2011, p. 11.
CYBER DISSUASION

galement autorit de commandement, ce dernier pourrait tre charg dune part des
travaux prparatoires des oprations (dfinir les besoins oprationnels, les concepts
demploi, laborer les dossiers dobjectifs, planifier et prparer les oprations) et dautre
part de missions caractre oprationnel (veille et alerte, renseignement, articulation C2
avec lchelon politique). Lautre composante de la force numrique consisterait en
units oprationnelles charges de la mise en uvre des moyens de rtorsion y com-
pris si ncessaire, lintroduction physique de logiciels dans des systmes isols , de la
gestion des engagements (coordination des actions, valuation des effets) et des phases
de formation/entranement y compris les exercices de retour sur exprience. Cette force
oprationnelle pourrait galement tre responsable de la coordination des mesures de
dfense et de protection numriques aux niveaux national et international, y compris
dans le domaine de la rsilience lensemble de ces mesures et des plans associs
participant pleinement la manuvre dissuasive
142
. Dans ce cadre, elle devrait tre en
mesure de renforcer le lien avec le secteur priv, en particulier les oprateurs dinfra-
structures sensibles ou critiques.
Enfin, troisime pilier de cette triade, une organisation vocation politico-militaire
pourrait tre mise en place. Son rle serait de participer lexercice de la diplomatie
(publique et entre tats) et de la communication dans le cadre de la capacit de cyber-
dfense (y compris les aspects lis la protection et la veille). Parmi ses principales
missions, devrait apparatre la fonction de renseignement, et ce en complment des
travaux de la composante technico-industrielle sur les aspects techniques de la menace.
Enfin, elle pourrait tre charge des aspects internationaux et juridiques : cooprations,
dialogues stratgiques, ngociations internationales, volutions du cadre juridique
national (tude des options, rdaction de propositions de textes, etc.).

142
Harry D. Raduege, Fighting Weapons of Mass Disruption: Why America Needs a Cyber Triad , East-
West Institute, Global Cyber Deterrence, April 2010.

Les moyens existants pourraient permettre dtablir
les prmisses dune cyberdissuasion
De nombreux outils, systmes, procdures et moyens ont t mis en
place dans le domaine dfensif
Mettre en place des mesures techniques et non techniques permettant dassurer la
scurit des systmes dinformation est au cur mme de la cyber-scurit depuis que
le concept existe. Mais pour tre efficaces, ces mesures doivent concerner toutes les
menaces et vulnrabilits possibles, alors quune seule faille correctement exploite
peut suffire assurer le succs dune attaque.
Limpossibilit tablir un registre exhaustif et dtaill des menaces et vulnrabilits,
en particulier compte tenu du facteur humain, rend le schma attaque/dfense dans le
cyberespace fondamentalement asymtrique, mme si certains chercheurs envisagent
qu partir dun certain niveau dengagement, et donc de capacit de dfense, limpact
marginal des attaques flchisse ou, ce qui est quivalent, que leur cot pour en
conserver lefficacit augmente considrablement.

Figure 13 : Il pourrait exister des situations de conflit dans lesquelles lasymtrie
entre attaque numrique et dfense sestompe (source RAND 2009)
Dune manire gnrale, les capacits dfensives sappuient sur une combinaison de
mthodes de gestion des risques, de produits fiables, de comptences et dorganisation.
Leur apport au volet protection dun systme de dissuasion numrique mrite dtre mis
en lumire afin de dterminer les marges de progrs existantes.
Mthodes et procdures
Lanalyse et la gestion des risques sont au cur de la dmarche de scurit des systmes
dinformation. Il nexiste en effet aucune dfense efficace qui ne parte dune analyse
complte des risques encourus et dun choix des priorits accorder telle ou telle
mesure dfensive.
Il existe maintenant des standards ISO en matire de gestion des risques en gnral
(ISO-IEC 31000-2009) et de gestion des risques numriques en particulier (ISO-IEC
CYBER DISSUASION

27005-2008). Les diffrentes mthodes et outils proposs sappuient sur une approche
squentielle
143
:
Expression des besoins de scurit ;
Analyse des vulnrabilits et des menaces ;
Analyse des contraintes environnementales (juridiques, budgtaires, opration-
nelles) ;
Analyse et valuation des risques (taux doccurrence, impact et consquences) ;
Identification et valuation des choix dans le traitement des risques (y compris
identification des risques rsiduels) ;
tablissement dun plan de traitement des risques avec conditions de mise en uvre.
Le plan de traitement des risques combine lacquisition et lentretien dquipements
particuliers (produits de scurit) et de comptences (sensibilisation, formation, exer-
cices) ainsi que la mise en place dun schma organisationnel et dun cycle rcurent
dvaluation et de correction de lefficacit de ces traitements (audits, mesures
correctives).
Les risques numriques peuvent faire lobjet de plusieurs approches diffrentes :
Llimination des vulnrabilits ou des failles connues via la mise jour des
logiciels concerns et la correction des failles qui peuvent tre exploites.
La rduction des risques par lutilisation de logiciels tiers capables de dtecter et
dempcher des intrusions, des accs non autoriss, ou des tentatives de modifica-
tions de programmes protgs (pare-feu, antivirus, etc.).
Le transfert du risque un tiers, par exemple par le biais dune police dassurance.
Lacceptation des risques considrs comme rsiduels
144
.
A ce jour, les mthodes de gestion des risques nincluent pas un mode de traitement
fond sur des actes de reprsailles visant dissuader un attaquant potentiel. Cela est
comprhensible dans la mesure o la gestion des risques se concentre sur le volet
dfensif sans vraiment aborder les questions didentification dagresseurs ventuels et
de capacit de riposte. Nanmoins, si une dmarche dissuasive devait tre envisage, il
faudrait prvoir dinclure la dissuasion dans les mesures de traitement des risques,
notamment pour les systmes dinformation jugs sensibles tels que, par exemple, les
infrastructures critiques.

143
Voir par exemple la mthode EBIOS mise au point et promue par lANSSI http://www.ssi.gouv.fr/fr/bonnes-
pratiques/outils-methodologiques/ebios-2010-expression-des-besoins-et-identification-des-objectifs-de-
securite.html
144
Tous les experts saccordent considrer que la rduction totale du risque est impossible. Ds lors, les
responsables de scurit des systmes dinformation peuvent tre amens accepter des risques pour lesquels les
solutions de protection sont soit trop coteuses, soit reconnues comme inefficaces.
CYBER DISSUASION

Produits de scurit
En matire de cyber-scurit, il existe trois types de produits : les produits commerciaux
sans garantie particulire, les produits bnficiant dune certification (par exemple selon
les critres europens communs) et les produits dvelopps sous contrle (en France les
produits agrs par lANSSI aprs une valuation technique complte).
Les pays avancs en matire de scurit des systmes dinformation disposent de ces
trois types de produits, y compris la troisime catgorie dveloppe par des industriels
accrdits. En France, les produits agrs quipent les rseaux de la dfense et les
rseaux de communication des hautes autorits. Plus onreux et moins diffuss que les
autres, ce sont les seuls qui proviennent dune chane dapprovisionnement contrle et
fiable.
Afin de btir un dialogue dissuasif crdible, les capacits dfensives doivent couvrir
lensemble des rseaux et infrastructures qui ont t inclus dans le champ de cette
dissuasion. Or, ce nest pas le cas pour les infrastructures critiques dont les politiques de
scurit sont valides par le SGDSN mais dont les oprateurs ne sont pas tenus de
squiper en produits agrs par les laboratoires de lagence nationale de scurit des
systmes dinformation
145
.
Pour tre certain que la capacit dfensive soit pleinement crdible, il faut aussi
sassurer que les industriels accrdits sont mme de garantir un approvisionnement
stable et sr de lensemble des produits et des composants ncessaires lquipement
des rseaux concerns
146
.
Le dveloppement en Europe et en France des comptences dans le domaine
de la scurit numrique est indispensable dans une perspective
dtablissement dune politique de cyber-dissuasion
Le renforcement des capacits dfensives suppose galement la mise en place defforts
spcifiques destins sensibiliser les responsables de ladministration et de lusage des
rseaux, au niveau national et, si possible, europen. Il savre effectivement indispen-
sable dentraner et de former le personnel qui serait amen intervenir en cas
dincident numrique comme les personnes dont la mission est dassurer la protection
des infrastructures et des systmes critiques pour le fonctionnement des rseaux
numriques.
Pour la gestion des incidents, surtout dans le cas dattaques de grande ampleur,
lexprience a en effet montr limportance de la coordination entre les quipes impli-
ques, notamment limplication des Computer Emergency Reponse Teams (CERTs) et
des cellules de gestion de crise.
Depuis 2007 date de lattaque contre lEstonie et anne de cration du centre dexcel-
lence de lOTAN Tallin , la coopration europenne et transatlantique sest inten-
sifie. Elle a conduit notamment la mise en uvre dexercices communs et de travaux

145
A lheure actuelle, le Rfrentiel Gnral de Scurit (RGS) produit par ANSSI identifie des produits
qualifis (1, 2 ou 3 toiles) et ne sadresse quaux administrations.
146
Avec les difficults que nous avons voques prcdemment.
CYBER DISSUASION

dordre juridique entre experts permettant de rpondre plus efficacement des attaques
de grande ampleur. Ainsi, la cration dun CERT institutionnel europen, dcide en
juin 2011, doit permettre lUnion de disposer dune quipe dexperts capables
dintervenir en soutien dune institution ou agence europenne qui serait confronte un
incident de scurit majeur
147
.
Lanne 2011 sera galement marque par la tenue de trois exercices de rponse des
cyber-attaques lchelle europenne :
Eurocybex impliquant la France, la Hongrie et lEspagne sous supervision ENISA,
(une vingtaine dtats membres ont souhait tre observateurs) ;
Cyber Europe impliquant lensemble des pays europens (pilotage ENISA) ;
Un exercice de coordination impliquant lUE et les tats-Unis. Il est prvu que tous
ces exercices contribuent la mise au point de protocoles communs dchange de
donnes et de coordination.
Il faut cependant noter que, bien que les promoteurs soient daccord sur le principe, ces
exercices nimpliquent pas encore le secteur priv, notamment les oprateurs dinfra-
structure critiques. Ce point devra tre corrig si lambition est de dmontrer une
capacit ragir rapidement, efficacement et de faon coordonne des cyber-attaques
dans le cadre dune capacit de dfense propre consolider une dmarche dissuasive
crdible pour protger ces cibles essentielles en termes de scurit.
Lvolution des partenariats public-priv constitue une priorit en matire de
scurit numrique
Les problmatiques lies la scurit numrique pas seulement la scurit physique
des rseaux, mais aussi les questions de rputation numrique, de protection des
informations prives comme publiques, la protection des futures infrastructures ddies
par exemple la gestion de linternet des objets reoivent une attention grandissante
de la part des autorits nationales, transnationales
148
mais galement des grands groupes
industriels ou de service.
Ainsi, les principaux acteurs de lconomie numrique qui ont investi lourdement pour
le dveloppement de leurs offres de Cloud Computing ou de solutions dexternalisation
et/ou de virtualisation cest le cas de Google, de Microsoft ou encore dIBM de
mme que les industries qui sont conduites engager des cooprations internationales
pour leur dveloppement cas, par exemple, dAREVA , dveloppent de plus en plus
la dimension "scurit numrique" de leur activit. Microsoft dite bi-annuellement un
rapport sur la scurit numrique de ses outils mais galement de programmes tiers qui
comprend, notamment, une analyse des risques
149
par pays.

147
Commission europenne, Cyberscurit : lUE se prpare mettre en place une quipe dintervention pour
les institutions europennes , 10 juin 2011.
148
Voir, par exemple, le rapport de lENISA sur la scurit dans linformatique en nuage. ENISA, Cloud
Computing: Benefits, Risks and Recommandations for Information Security , November 2009.
149
Microsoft, Microsoft Security Intelligence Report Volume 8 (July through December 2009) , December
2009.
CYBER DISSUASION

Des travaux ont galement t raliss par certaines agences ou organismes officiels
amricains ainsi que dans le cadre de think-tanks sur la question de la cyber-scurit.
Ainsi, fin 2008, le CSIS publie un rapport issu de la commission runie par ses soins sur
cette question, qui appelle notamment rinventer le partenariat public-priv et, de
faon gnrale, la relation entre les agences et les socits en matire oprationnelle
150
.
Enfin, la question de la gouvernance et de la scurit de lespace numrique spcifique
que constitue Internet fait galement lobjet dintenses rflexions, aux tats-Unis
comme en Europe, comme en tmoigne le rcent rapport du Government Accountability
Office (GAO)
151
. De fait, avec 90 % des infrastructures critiques du secteur de la
scurit nationale (dfense, agences...) sous la responsabilit doprateurs privs, les
tats-Unis se trouvent en pointe dans les rflexions sur cette question
152
. Limplication
du secteur priv des grandes entreprises aux plus petites socits y est considre
comme lune des conditions clefs du succs de lensemble des dmarches dans ce
domaine autant que dans celui de la scurit des systmes dinformation. En
particulier, les responsables amricains considrent quil reste beaucoup faire en
matire de connaissance commune des menaces et de dtection dincident ou dattaque.
Ainsi dans le document de stratgie publi en juillet 2011, le Pentagone souligne la
ncessit de renforcer les partenariats public-priv dans cette perspective.

Extrait du Department of Defense Strategy for Operating in Cyberspace, July 2011

Du point de vue de la mise en place dune capacit dfensive crdible lchelle
nationale, lanalyse a galement montr que la participation des oprateurs
dinfrastructures critiques pche au moins sur quatre plans :
Labsence daccs aux informations concernant les menaces dorigine tatique ;
Le manque de choix coordonn en matire de traitement des risques, notamment
pour le choix des risques rsiduels et des mesures qui contribueraient une
dmarche dissuasive ;
Labsence dune dmarche dacquisition de produits agrs ;
Pas de participation des exercices organiss par les tats en matire de rponse
des attaques sur Internet.

150
Center for Strategic and International Studies, Securing Cyberspace for the 44th Presidency , A Report of
the CSIS Commission on Cybersecurity for the 44th Presidency, December 2008, p. 2. Le rapport appelle galement
la mise en place aux tats-Unis de capacits offensives dans le domaine numrique.
151
GAO, United States Faces Challenges in Addressing Global Cybersecurity and Governance , July 2010.
152
The Hague Center for Strategic Studies & TNO, The future of cybersecurity , Strategy and Change, Paper
No 201104, p. 19.
CYBER DISSUASION

Dans les pays avancs dans le domaine de la scurit numrique, la question de la
protection des infrastructures vitales est gre dans le cadre de Partenariats Public-Priv
(PPP). Ces PPP ont des structures variables selon les pays : organiss de faon plutt
pyramidale en France (tradition/culture de pouvoir centralis), ils prennent une forme de
concertation plus quilibre entre partenaires dans les pays anglo-saxons.
Toutefois, si ces derniers considrent que lamlioration des capacits de scurit du
secteur priv en particulier pour ce qui concerne les oprateurs dinfrastructures criti-
ques passe par une dmarche volontaire des entreprises concernes, ils reconnaissent
quil peut exister un besoin les inciter entreprendre des mesures de scurit, y
compris par ltablissement dun cadre juridique contraignant.
La notion de partenariat public-priv dans le domaine de la scurit numrique soulve
cet gard un problme pineux au niveau national comme ltranger. En effet, les
attentes du secteur priv vis--vis des services publics sont la fois dobtenir plus
dimplication notamment au niveau technique comme par exemple sur la qualification
du software et du firmware en matire de scurit mais galement de ne pas accrotre
outre-mesure les contraintes, en particulier lgales ou rglementaires, pesant sur le
dveloppement de leurs produits et la conduite de leurs oprations.
Par ailleurs, les divers acteurs du monde numrique sont confronts des contraintes de
plus en plus pesantes en matire de recueil et de conservation des donnes personnelles,
de protection de lidentit numrique et de gestion/scurisation de linformation. Ces
contraintes sappliquent notamment aux changes qui peuvent avoir lieu entre les
sphres publique et prive dans le cadre de partenariats de scurit. Elles ne feront que
saggraver au fur et mesure de la gnralisation des solutions numriques pour des
applications de la vie quotidienne
153
. Ds lors, la convergence public-priv nest pas une
vidence sur le fond et les solutions adopter mritent galement une analyse objective
et dtaille.
Quoi quil en soit, une capacit dfensive crdible ne pourra pas tre btie sans revenir
en profondeur sur les schmas de partenariat public-priv en place.
Certaines capacits offensives pourraient tre utilises dans le cadre
dun systme de dissuasion numrique
Il parat ncessaire de considrer que les attaques les plus courantes qui conduisent des
perturbations, voire des interruptions momentanes de trafic quil sagisse de dnis de
service, de dfigurations de pages web, doprations de phishing
154
ou de dtournements
dadresses , ne sont pas susceptibles de faire partie dun dialogue dissuasif au niveau
des tats. Pour quune capacit offensive puisse participer dune dissuasion tatique,
elle doit effectivement pouvoir affecter profondment et, dans la mesure du possible,
dans la dure, le fonctionnement des rseaux jugs sensibles voire critiques de
ladversaire.

153
Voir, par exemple, Guillaume Desgens-Pasanau et Eric Freyssinet, Lidentit lre numrique ,
Dalloz/Presaj, 2009.
154
http://en.wikipedia.org/wiki/Phishing
CYBER DISSUASION

Deux types de capacits semblent pouvoir rpondre ces critres : les attaques
informatiques par malware (attaques dites logiques) et les attaques physiques sur des
rseaux ou des machines assurant les communications entre les tats, les continents ou
les rgions (e.g. cbles sous-marins).
Attaques logiques
Les logiciels malveillants conus pour attaquer des serveurs ou des applications
comprennent couramment deux lments : un vecteur servant pntrer un rseau, sy
implanter, se dupliquer et se propager ; une charge utile porteuse de la partie rellement
offensive capable par exemple de copier, modifier ou dtruire de linformation ou une
fonctionnalit.
Les malwares les plus efficaces utilisent gnralement un zero-day exploit , c'est--
dire une vulnrabilit qui na pas t pralablement identifie et pour laquelle aucun
correctif na encore pu tre publi. Le vecteur doit en outre tre cod de faon
suffisamment originale pour ne pas tre reconnu par les dfenses en place (anti-virus par
exemple). Lutilisation de zero day exploit savre extrmement rare : sur plusieurs
millions de nouveaux malwares dtects annuellement, une dizaine exploitent ce type
de vulnrabilit
155
. En effet, la dtection/dcouverte de failles nouvelles dans la pro-
grammation de systmes dexploitation exige des comptences informatiques pointues :
il faut tre capable danalyser des millions de lignes de code pour y parvenir.
A titre dexemple, Confiker est un malware de type virus qui a affect de trs nombreux
ordinateurs travers le monde en 2008-2009 mais sans crer de dommage notable. Tout
sest pass comme sil sagissait dun vecteur sans charge utile. A ce titre, ce virus
sapparenterait selon certains experts une dmonstration dune capacit ou la
qualification dun nouveau systme
156
. Lextrme complexit du logiciel semble
montrer que sa conception dpasse largement les comptences des principaux pirates
oprant cette priode et serait le rsultat dune coopration entre des spcialistes de
divers horizons.
A linverse, le malware Stuxnet de type ver, qui a frapp des installations nuclaires
iraniennes lt 2010, tait quip lui seul de quatre zero-day exploit pour assurer
une efficacit maximum, l o Conficker nen utilisait quun. En termes offensifs, il
tait dot de deux charges utiles trs sophistiques : la premire pour drgler la vitesse
de rotation des centrifugeuses et ainsi progressivement causer leur dtrioration, lautre
pour neutraliser les systmes numriques dalerte, daffichage et darrt qui contrlent
les centrifugeuses.
Ainsi, le niveau de sophistication de Stuxnet le classe au-dessus des malwares vus
jusque-l, y compris Conficker. Il tait le produit de comptences de trs haut niveau et
est vraisemblablement le prcurseur dune nouvelle catgorie de capacits offensives.
Pourtant de telles capacits, aussi sophistiques soient-elles, ont aussi leurs
inconvnients.

155
Kim Zetter, How Digital Detectives Deciphered Stuxnet, the Most Menacing Malware in History , Wired,
11 July 2011.
156
Entretiens B. Gruselle, 2009.
CYBER DISSUASION

Dune part, lanalyse de lattaque permet de connatre les vulnrabilits utilises et
dtablir (en gnral rapidement) des correctifs : ces vulnrabilits ne pourront donc
plus tre utilises pour une attaque ultrieure. Plus gnralement, lanalyse du code
rvle les lments originaux du codage conduisant une sorte de prolifration de
facto ; le code de Stuxnet a t aujourdhui mis en ligne et peut maintenant tre utilis
tel quel ou, ventuellement, amlior.
Dautre part, si les vulnrabilits employes sont choisies pour atteindre certaines
fonctions de la cible vise logiciels Siemens dans le cas de Stuxnet , elles peuvent
tre aussi prsentes dans des systmes a priori sans rapport direct avec lobjectif tous
les quipements Siemens en Chine dans le cas de Stuxnet , voire chez lutilisateur de la
capacit offensive. Pour parvenir un ciblage prcis des attaques permettant de
mieux diriger les effets, il faudrait pour le moins disposer dune cartographie
dtaille et temps rel des rseaux constamment remise jour grce des robots
fureteurs . La mondialisation croissante du march des technologies de linformation
devrait rendre cette tche de plus en plus difficile.
Attaques physiques contre des systmes informatiques ou de communication
Les tlcommunications entre les tats dpendent physiquement de supports satel-
litaires (segments spatial et sol) et terrestres (cbles sous-marins en fibre optiques). A
lheure actuelle, 99 % du trafic Internet entre les pays circule via des cbles sous-
marins, et une attaque physique les ciblant serait de nature perturber durablement le
trafic Internet des pays connects.
A titre dexemple, fin mars 2008, quatre coupures de cbles sous-marins ont eu lieu
dans la rgion du Moyen-Orient
157
causant la perte de 70 % des connexions gyptiennes
et de prs de 30 % des services fournis par son industrie de centres dappels
158
. Or, de
telles concordances temporelle et spatiale sont rares et une des coupures est intervenue
dans une zone stratgique (le goulot au nord dAlexandrie o convergent les lignes
de Mditerrane) interdite la navigation...
Il existe une grande disparit mondiale dans la distribution des cbles sous-marins. Les
liaisons cbles transatlantiques et travers le Pacifique sont trs denses et offrent
beaucoup de redondances. Il sensuit que lEurope et les tats-Unis sont, de loin, moins
vulnrables des ruptures que la rgion du Moyen-Orient qui ne dispose que de trois
cbles majeurs, ou lAfrique qui est encore desservie par un seul (cf. infra).

157
Deux coupures intervinrent en Mditerrane, prs dAlexandrie et prs de Marseille, et touchrent les rseaux
indiens, pakistanais, gyptiens, qataris, saoudiens, bahreinis et des mirats Arabes Unis. Les deux autres
affectrent le cble reliant Oman aux mirats et celui reliant le Qatar aux mirats Arabes Unis.
158
Mais avec un impact minime en Iran, au cas o ce pays aurait t la cible de cet acte malveillant.
CYBER DISSUASION


Figure 14 : Rseau des cbles sous-marins fibres optiques
Selon John Borland, une premire coupure peut limiter les connexions, tandis quune
seconde les paralyseraient compltement
159
. Si une coupure accidentelle peut avoir des
effets dsastreux lchelle dun pays, cest uniquement parce quil tait situ en bout
de chane du rseau de fibres optiques
160
. En revanche, les risques sont infimes en
France dans la mesure o le pays bnficie dune irrigation trs dense et de nombreuses
lignes secondaires qui seraient amenes palier la coupure de certains cbles.
Le sabotage de cbles sous-marins serait donc une arme sappuyant sur les diffrences
de dveloppement dans le domaine des technologies de communication entre les
rgions. Au-del des considrations de dveloppement, les pays gographiquement
contraints une localisation en bout de chane sont galement vulnrables : Islande,
Nouvelle Zlande, les du Pacifique, Madagascar
Ce type de capacit offensive savre donc la plus efficace vis--vis de pays cbls de
manire particulire. Ds lors, laugmentation des dessertes devrait conduire rduire
lintrt dexploiter ce type de solution des fins offensives (cf. infra).
On peut aussi noter que les liaisons satellites pourraient tre une cible possible, surtout
si les liaisons Internet satellitaires se dveloppent. Toutefois, dans la mesure o les

159
John Borland, Analyzing the Internet Collapse: Multiple fiber cuts to undersea cables show the fragility of
the Internet at its choke points , Technology review, February 5, 2008.
http://www.technologyreview.com/Infotech/ 20152/?nlid=854&a=f
160
Benjamin Ferran, Comment une grand-mre a pu couper l'Internet d'un pays , Le Figaro, 8 avril 2011.
Peut tre trouv http://www.lefigaro.fr/hightech/2011/04/08/01007-20110408ARTFIG00418-comment-une-grand-
mere-a-pu-couper-l-Internet-d-un-pays.php
CYBER DISSUASION

satellites ddis ce genre demploi sont majoritairement grs par des oprateurs
privs qui optimisent leur emploi selon les demandes des clients, leur neutralisation
aurait vraisemblablement des consquences au-del de la cible vise. Ainsi, neutraliser
un satellite (ou ses rpteurs) pourrait crer plus deffets collatraux sur des pays tiers
que de dgts la cible.
Il existe des moyens et des procdures qui pourraient tre utilises pour
faciliter lattribution dattaques numriques
Une fois une attaque informatique reconnue comme telle, lidentification des auteurs,
commencer par les adresses Internet
161
lorigine des flux de donnes ayant contribu
lagression, peut tre dune grande complexit. Labondance des donnes qui peuvent
tre lorigine de linfection et les possibilits de rebond dans ladressage brouillent
efficacement les pistes qui permettraient de remonter un auteur spcifique.
De plus, mme si les adresses dorigine ont pu tre identifies sans ambigit, ltablis-
sement de lidentit des personnes et de leurs intentions requiert la capacit danalyser
dautres sources dinformation grande chelle (ex : communications tlphoniques),
voire celle denquter physiquement sur lutilisation des ordinateurs concerns.
La capacit dattribution dpend donc (1) de la capacit collecter massivement les
messages circulant sur les rseaux et analyser rapidement un volume colossal de
donnes collectes et (2) de la possibilit de complter le traitement numrique par
dautres actions de recueil de renseignement ou denqute.
Collecte des donnes
Il sagit dintercepter l o circule le plus grand nombre de messages, cest--dire sur
les rseaux plus haut dbit possible. L encore les systmes satellitaires et les cbles
sous-marins sont des cibles de choix.
Ct spatial, la collecte peut se faire par des satellites de renseignement (COMINT,
ELINT) ou des systmes dcoute installs dans des satellites civils de communication
dvelopps par lindustrie. Les tats-Unis sont particulirement bien placs dans ce
domaine, tant pour ce qui est de la flotte de satellites dcoute en orbite, que pour les
capacits industrielles de construction de satellites lexportation. En matire dcoute,
ils sappuient physiquement sur le programme Echelon et son rseau mondial de
stations dcoute implantes dans le cadre de la coopration dans le domaine du
renseignement avec le Royaume-Uni, le Canada, lAustralie et la Nouvelle Zlande.
Ct sous-marin, le problme est plus complexe car les fibres-optiques nmettent pas
de radiation lectromagntique.

161
Le protocole IP fixe chaque ordinateur/serveur connect Internet une srie unique de chiffres qui constitue
son adresse. http://en.wikipedia.org/wiki/Internet_Protocol
CYBER DISSUASION


Figure 15 : Rseau de stations sol Echelon

Encadr 5 : Interception de donnes dans les fibres optiques
162

En supposant rsolu laccs au cble dans
des conditions suffisantes de scurit et de
discrtion, les donnes lumineuses peuvent
tre rcupres de trois manires. La
premire mise sur la perte de signal et la
ncessit de le r-amplifier. Un
branchement par induction (grce un pod
ou cloche dcoute tel que celui
prsent sur la photo) est donc possible au
niveau de ces amplificateurs ou rpteurs intermdiaires qui transforment le signal
optique en signal lectrique, lamplifient et le retransforment en signal optique. Ces
amplificateurs schelonnent tous les 100 km environ. Cette solution est rendue
partiellement obsolte par le dveloppement en 1995 de la technique EDFA (amliore en
2000) qui permet lamplification optique par un dopage lerbium et, par voie de
consquence, rendrait les amplificateurs tout fait inutiles ; pour autant, des
amplificateurs sont toujours prsents bien que plus rares. Les deux autres solutions
recommandent soit de plier la fibre pour laisser chapper quelques rayons de lumire qui
sont alors rcuprs pour reconstituer le message complet, soit dimplanter une drivation.
La dernire solution semble la plus facile raliser, mais elle implique une coupure
momentane (voire une altration) du signal, ce qui nchappera en aucune faon aux
instruments de tlmesure des cbles oprateurs ( moins dobtenir sa complicit), si brve
soit-elle. Des incidents rcents intervenus sur des cbles sous-marins montrent que, dans le
meilleur des cas, les flux sont re-routs vers des routes secondaires ventuellement
contrles , cest--dire mises pralablement sous coute.

162
Contribution de Sbastien Urbieta-Martin en Master de Scurit Internationale, thme Conflits et
cooprations dans le cyberespace , Sciences Po Paris, 2011.
CYBER DISSUASION

Quoi quil en soit, les interceptions sur les cbles sont relativement plus faciles
effectuer sur terre, notamment dans les stations dtes d atterrissement , surtout sil est
possible dtablir une coopration avec loprateur propritaire du cble.
La carte des cbles sous-marins rvle que la plupart de ceux situs dans lAtlantique et
dans le Pacifique sont accessibles via les stations datterrissement situes sur des
territoires membres du rseau Echelon. A linverse, les cbles qui alimentent lAsie en
connectant le Japon, la Chine, Singapour, lIndonsie, lInde et les Pays du Golfe, ainsi
que le rseau reliant lEurope au Maghreb et au Moyen-Orient sont physiquement isols
des moyens dcoute du rseau Echelon.
Les tats-Unis ont dmontr durant la Guerre froide leur capacit pratiquer des
interceptions sur cble, notamment grce au sous-marin Halibut charg de lopration
Ivy Bells pour intercepter les donnes transitant en mer dOkhotsk, puis lUSS
Parche pour lcoute des communications au large de Mourmansk. Par la suite les
oprations se sont tendues aux cbles reliant lEurope lAfrique de lOuest.
Comme le rapporte le site officiel du rseau Echelon, les interceptions sous-marines se
sont poursuivies aprs la Guerre froide : Nor has the end of the Cold War led to the
termination of ship-based signals intelligence collection or submarine reconnaissance
operations including operations to tap undersea cables
163
. Au cours de la dernire
dcennie, le sous-marin Jimmy Carter a inaugur, entre autres, de nouvelles techniques
dinterception grce une chambre sous-marine similaire celles utilises par les
entreprises rparant les cbles sous-marins, dtachable du sous-marin et alimente par
lui en oxygne et en lectricit.
Tri et analyse des donnes recueillies
Plus le volume de donnes recueillies est important, plus il est difficile de les trier et
analyser pour identifier rapidement les informations pertinentes, par exemple relatives
une attaque informatique donne. La fouille de donnes se fait par tapes en
rduisant progressivement le volume de messages potentiellement intressants. Sans
une bonne caractrisation pralable de lincident malgr une monte en puissance des
outils de traitement automatique des paquets de donnes
164
, le tri ne peut qutre
grossier, la quantit de messages traiter importante et lanalyse fine longue.
Les donnes issues des diffrentes capacits de collecte des tats-Unis convergent vers
les fermes de serveurs de la National Security Agency (NSA) Fort Meade
(Maryland) et au Texas. Les messages crypts on estime que 10 20 % des messages
mondiaux sont chiffrs sont dchiffrs, quils soient commerciaux avec un niveau
de cryptage moindre ou bnficiant de moyens de chiffrement plus puissants.
Il est difficile de savoir dans quelle mesure la masse dinformation systmatiquement
collecte et les capacits de traitement informatique de la National Security Agency
permettent didentifier lorigine informatique des cyber-attaques portes la connais-
sance des responsables amricains. Le 7 juillet 2001, le Wall Street Journal a rapport

163
Desperately seeking signals by Jeffrey Richelson : http://echelononline.free.fr/documents/bulletin.htm
164
Les logiciels de Deep Packet Inspection (DPI) permettent de filtrer et de traiter automatiquement des paquets
de donnes intercepts en identifiant des lments selon des critres dalerte prdfinis (un mot, un protocole..).
http://en.wikipedia.org/wiki/Deep_packet_inspection
CYBER DISSUASION

que la NSA tait parvenue percer et extraire des informations des cbles fibres
optiques
165
. Au cours de linterview donne au quotidien, le lieutenant gnral Michael
Hayden, directeur de la NSA, suggre toutefois que ce nest pas laccs au cble qui
reprsente le problme majeur, mais plutt la diversit, la vitesse et le volume
incommensurable dinformations qui transitent : There's simply too much out there,
and it's too hard to understand . Plus rcemment, il faut noter que les services
amricains nont pas t en mesure, au moins ce jour, didentifier tous les
informateurs de Wikileaks.
Malgr les succs limits et les obstacles un traitement systmatique lchelle
mondiale de lensemble des communications numriques, les tats-Unis savrent tre
le pays le plus avanc en matire de capacits dinterception de traitement de donnes.
Les tats-Unis ont progress vers une coordination des actions de cyber-
dfense et de cyber-scurit mme si la mise en place dune stratgie
nationale cohrente de protection et de dissuasion reste encore lointaine
En plaant ds son lection la scurit numrique au cur des priorits de son admi-
nistration, le Prsident Obama a engag une rforme historique des efforts amricains
dans les domaines de la cyber-scurit et de la cyber-dfense. Il a pu capitaliser sur les
efforts des gouvernements prcdents qui ont galement lanc des programmes et des
initiatives visant renforcer les capacits des services et des agences dans ces deux
domaines.
La premire brique pose par le gouvernement actuel afin de renforcer lorganisation en
matire de scurit numrique correspond au lancement puis la publication ds 2009
dune revue stratgique sur le cyberespace. Dautres documents portant sur des aspects
spcifiques du dveloppement du domaine informatique en particulier sur la question
de la protection des identits ou du dveloppement de linformatique en nuage ont t
publis depuis mais cest cette initiative qui a abouti quelques conclusions clefs qui
ont structur les projets amricains depuis :
Plusieurs services et agences au sein des divers ministres sont impliqus pour leurs
sphres respectives de comptences et des degrs divers en matire de scurit et
de dfense numrique. Ds 2003, ladministration prcdente, ayant constat le mor-
cellement des efforts, avait donn au directeur du Department of Homeland Security
(DHS) la responsabilit de superviser toutes les activits de cyber-scurit et de
coordonner les efforts de toutes les agences pour la protection des infrastructures
gouvernementales et publiques
166
.
En janvier 2008, la Comprehensive National Cybersecurity Initiative (CNCI)
entreprend dlargir le spectre de coordination des efforts en incluant les aspects
relevant du renseignement et la dimension offensive. Fin 2009, le DHS est charg
dtablir un centre commun national de suivi et de surveillance des activits
numriques gouvernementales (le National Cybersecurity and Communication

165
G. Fouchard, Blind Manss Bluff ou le piratage des cbles en 1975, Bulletin de lAssociation des Amis des
Cbles Sous-marins, n26, Le N/C Ampere dans les glaces de Terre Neuve, Juin 2004.
166
The White House, The Cyberspace Policy Review , January 2009, p. 4. Le DHS est directement charg de
ladministration et de la protection des passerelles internet avec des noms de domaine en .gov .
CYBER DISSUASION

Integration Center) qui doit fournir une image oprationnelle commune de ltat du
cyberespace lensemble des services fdraux. Lensemble des parties prenantes,
y compris le Pentagone, la National Security Agency (NSA) ou encore le Federal
Bureau of Investigation (FBI), participe larmement de ce centre oprationnel
permanent. Sa mise en place a galement t rendue possible par la signature dun
Memorandum of Agreement entre le DHS et le DoD qui permet lintgration dune
quipe de la NSA dans lorganisation.
Aprs la publication de la revue stratgique de 2009, le Prsident nomme un coordi-
nateur national plac au niveau de lexcutif et dont la tche consiste la fois
faciliter le dveloppement dune stratgie cohrente au niveau des ministres, des
agences et des services mais galement renforcer les partenariats avec le secteur
priv en matire de scurit numrique.
Les aspects internationaux font partie des priorits mises en avant par ladministra-
tion Obama dans le domaine de la cyberscurit. La revue de 2009 propose ainsi la
mise en place dune stratgie internationale visant la fois au dveloppement dun
cadre juridique et au renforcement des cooprations avec les allis. Elle avance
galement le besoin damliorer le dialogue avec les Economies mergentes afin de
dvelopper une norme multilatrale et des moyens de rpondre la nature souvent
transnationale des risques numriques. LInternational Strategy for Cyberspace,
publie en mai 2011, distingue plusieurs axes concernant la mise en place de rgles
qui pourraient permettre de rgir lattitude des tats dans le cadre de conflit dans le
cyberespace. Deux mritent en particulier que lon sy attarde. Conformment la
Charte des Nations Unies, Washington considre que les tats doivent pouvoir exer-
cer leur droit lautodfense. Par ailleurs, les tats-Unis indiquent que les gouver-
nements doivent tre tenus pour responsables de la scurit des infrastructures cyber
en tant que bien commun mais galement de la scurisation des systmes nationaux
face aux risques de mauvais usages
167
. La question se pose toutefois de savoir
quelles agressions tant en termes de nature, dintensit, de frquence et de cible
peuvent tre qualifies en tant quactes de guerre. Le risque relev par certains
experts serait de rduire la crdibilit dune posture dissuasive en fixant des lignes
rouges qui pourraient tre franchies de faon trop frquente ou trop facilement
168
.
Une telle situation abaissant le seuil de riposte une agression crerait en particulier
le risque de rendre difficile la gestion de lescalade avec les attaquants potentiels.
La coopration avec lensemble des acteurs nationaux du domaine est essentielle
mais elle nexonre pas lAdministration de ses responsabilits en matire de scu-
rit. De fait, si la revue de 2009 souligne sans rserve le besoin de dvelopper de
nouveaux liens avec le secteur priv et associatif, elle rappelle galement quen cas
dincident significatif, cest la Maison Blanche que revient la responsabilit de
coordonner et de conduire la rponse.
169

Au sein du dpartement de la Dfense, des travaux destins mieux coordonner les
initiatives des armes et des services et mettre en place un cadre stratgique pour les

167
The White House, International Strategy for Cyberspace: Prosperity, Security and Openness in a Networked
World , May 2011, pp. 9-10.
168
Entretiens de lauteur, Washington, octobre 2011.
169
The White House, The Cyberspace Policy Review , January 2009, p. 23.
CYBER DISSUASION

oprations militaires dans le cyberespace ont accompagn les rflexions nationales.
Ainsi, en 2008, STRATCOM publie un concept dopration consacr au domaine
numrique
170
. La revue de dfense de 2010 (QDR2010) inscrit finalement la capacit
oprer dans lespace numrique comme priorit du dpartement et des forces, quil
sagisse de protger les moyens et les systmes appartenant la Dfense ou de surclas-
ser un adversaire dans ce domaine spcifique.
171

La mise en place du commandement cyber des forces, partir de mai 2010, doit per-
mettre au Pentagone dunifier les efforts des services dans le domaine. Elle rpond
une attaque de grande ampleur conduite en 2008 contre le rseau protg du dparte-
ment de la Dfense et qui aurait permis un service tranger de voler des milliards
doctets de donnes, y compris des informations confidentielles portant sur des pro-
grammes darmement en cours de dveloppement
172
. CYBERCOM intgre les units
cres par les armes
173
pour grer la fois les aspects de protection des infrastructures
numriques et notamment la surveillance des rseaux de la Dfense et des passerelles
existantes avec internet, c'est--dire les domaines en .mil dont la gestion revient au
Pentagone mais galement les aspects de guerre numrique ( netwar ). Le comman-
dement doit en effet dvelopper la gestion du domaine numrique afin den faire la
cinquime dimension des oprations militaires amricaines.
CYBERCOM se trouve sous le commandement du directeur de la National Security
Agency
174
qui savre tre lun des services du Pentagone les plus avancs dans le
domaine de la scurit et de la dfense numriques.

170
Government Accountability Office, Defense Department Cyber Efforts , July 2011, p. 11.
171
Department of Defense, Quadrennial Defense Review, 2010 , February 2010, p. 38.
172
http://www.lemondeinformatique.fr/actualites/lire-les-systemes-informatiques-du-pentagone-attaques-par-
une-clef-usb-31468.html
173
LAir Force, la Marine, les Marines et lArmy ont centralis au sein de leurs commandements leurs efforts en
matire cyber depuis 2010. Voir Center for New American Security, Americas Cyber Future: Security and
Prosperity in the Information Age , Edited by Kirstin Lord & Travis Sharp, June 2011, pp. 32-33.
174
Actuellement le Gnral Keith Alexander (US Army).
CYBER DISSUASION

Figure 16 : Organisation du DoD en matire de cyberscurit et de cyberdfense

Malgr lexistence de cette organisation, les responsabilits en matire de dfense dans
le domaine numrique savrent encore trs atomises au sein du Pentagone. En matire
de dfinition des aspects stratgiques et politiques, plusieurs acteurs au sein de lOffice
of the Secretary of Defense sont chargs de superviser les divers aspects relatifs la
lutte informatique dfensive comme offensive et des programmes darmement lis
175
.
Dans le domaine oprationnel galement dautres acteurs au sein de ltat-major
travaillent la fois sur les aspects stratgiques et sur les questions de doctrine et de
concept demploi.
Ainsi, il apparat encore trop tt pour juger des bnfices rels que le dpartement de la
Dfense tirera de leffort de rorganisation quil a engag partir de 2009, mme si le
rattachement des commandements interarmes (JFCC Network Warfare et JTF Global
Network Operation) CYBERCOM parat offrir quelques garanties dun meilleur fonc-
tionnement densemble.
A contrario, le renforcement des capacits et de la cohrence densemble du volet mili-
taire met en exergue les faiblesses qui existent encore sur la partie civile en matire de
scurit numrique. Le dpartement de la Scurit du territoire (DHS) semble en effet
souffrir la fois dun certain retard dexpertise vis--vis de la dfense mais galement
de difficults spcifiques dorganisation qui nont pas encore t surmontes. En outre,
la concurrence qui existe entre DHS et DoD auxquels il faut sans doute ajouter le
dpartement de la Justice et plus particulirement le FBI qui se trouve en premire ligne
pour la gestion de la criminalit sur les questions de scurit numrique sont de nature
renforcer les difficults de coordination alors mme quil semble subsister un manque
de direction politique/stratgique au niveau de lexcutif
176
.
Dun point de vue budgtaire, les tats-Unis investissent lourdement en matire de
scurit numrique. En 2010, 12 milliards de dollars auraient t dpenss par lensem-
ble des services et agences dans le domaine
177
. En flux annuel, environ 15 % des
budgets ddis aux technologies de linformation seraient consacrs la scurit. Le
dpartement de la Dfense reprsente le plus fort investissement avec un montant
moyen de 3 milliards de dollars (3,2 milliards prvus pour 2012) qui couvre la fois les
investissements matriels mais galement la formation et lentranement des personnes
intervenant dans le domaine
178
. Le DHS est le deuxime plus gros investisseur avec des
budgets compris entre 500 millions et 1 milliard de dollars par an (936 millions
demands en 2012). Une partie importante de cette somme est consacre au CERT
amricain (391 millions de dollars pour 2012
179
).

175
Government Accountability Office, Defense Department Cyber Efforts , July 2011, pp. 19-20.
176
David Hollis, USCYBERCOM: The Need for a Combatant Command versus a Subunified Command ,
National Defense University, Joint Force Quaterly, issue 58, 3
rd
Quarter 2010, p. 51.
177
Center for New American Security, Americas Cyber Future: Security and Prosperity in the Information
Age , Edited by Kirstin Lord & Travis Sharp, June 2011, p. 34.
178
Hors black programs.
179
Ibid.
CYBER DISSUASION

Parmi les projets financs par le budget du Pentagone, le programme de cration dun
cyber-polygone de tir (National Cyber Range NCR) mrite dtre prsent tant il est
susceptible de jouer un rle clef pour permettre lessai des armes numriques qui pour-
raient tre utilises dans le cadre de la monte en puissance dune dissuasion numrique.
Le programme pilot par la DARPA et confi Lockheed Martin pour le dvelop-
pement comme pour la gestion a dbut en 2009 afin de crer un systme capable de
simuler le fonctionnement dun rseau informatique de type Internet et de permettre
dessayer en grandeur relle et de mesurer les effets de lutilisation de logiciels
180
. Le
projet qui doit aboutir en 2012, a un budget estim de 130 millions de dollars
181
.
Malgr les coupes qui devraient affecter pour la dcennie venir les budgets des princi-
paux ministres et agences amricains, la scurit numrique semble lheure actuelle
non seulement pargne mais sera vraisemblablement un des seuls axes de la politique
amricaine qui fera lobjet dun financement en hausse
182
.
Mme si les montants investis ne peuvent pas conduire supposer que lorganisation
amricaine de cyberscurit et de cyberdfense se montre efficace, ils donnent toutefois
quelques lments dclairage sur le dcalage qui semble exister aujourdhui entre les
tats-Unis et les autres pays occidentaux dans ces domaines. Ainsi, le budget de
lANSSI devrait atteindre environ 100 millions deuros en 2012
183
. Ct britannique, le
General Communication Headquarters (GCHQ en charge des aspects dfensifs) devrait
obtenir, sur une priode de quatre ans, 650 millions de livres supplmentaires
184
pour le
financement du dveloppement dune capacit offensive
185
.

180
DARPA, The National Cyber Range: A National Testbed for Critical Security Research . Consult
http://www.whitehouse.gov/files/documents/cyber/DARPA%20-%20NationalCyberRange_FactSheet.pdf
181
Julius Motal, Pentagon to Prep for Battle Via 'National Cyber Range' , PCMag.com, June 20, 2011.
182
Seung Min Kim, Leon Panetta: Dont Gut our Defense , Politico, 1 November, 2011.
183
http://www.itespresso.fr/la-france-se-dote-dune-vraie-agence-gouvernementale-de-cyber-securite-30404.html
184
Pour un budget total de cyberscurit de 1 milliard de livres sur cette priode.
185
Nick Hopkins, UK developing cyber-weapons programme to counter cyber war threat , The Guardian,
30 May 2011.

Conclusion
La mise en place dune dissuasion numrique pourrait constituer lune des solutions
pour rpondre laggravation des risques crs par la monte en puissance dacteurs
malveillants utilisant les outils du cyberespace pour leur profit personnel ou pour con-
duire des attaques finalit destructrice contre des infrastructures importantes pour les
tats et les populations. Avec lapparition dapplications numriques de plus en plus
omniprsentes dans la vie sociale, conomique et, de faon gnrale, dans la plupart des
activits humaines, les vulnrabilits informatiques devraient se multiplier moyen et
long termes.
Ainsi, les derniers cas de tentative dintrusion connus en particulier les rvlations sur
ltendue et la nature du programme chinois despionnage Shady RAT visant plu-
sieurs dizaines dentreprises, de services gouvernementaux et dorganisations internatio-
nales
186
montrent que le cyberespace est devenu le champ de conflits dune ampleur
suffisamment importante pour soulever la problmatique de lutilisation dactions offen-
sives fondes sur la logique de lgitime dfense.
Dans cette perspective, il semble utile de considrer les moyens dune dissuasion num-
rique visant exercer sur les acteurs malveillants une menace de reprsailles suffi-
samment crdible pour rduire leur intrt conduire les actes affectant de faon signi-
ficative le fonctionnement et lintgrit des systmes dinformation et des rseaux jugs
comme les plus sensibles non seulement pour la scurit nationale mais, ventuel-
lement, pour le fonctionnement de la socit et de lconomie.
Il ressort de ltude que le concept de dissuasion pourrait tre utilis dans le cyberespace
mais que son application nest envisageable que sous des formes et dans des conditions
diffrentes de celles de la dissuasion nuclaire. De fait, on ne peut que constater que les
spcificits du cyberespace, des systmes dinformation et des attaques qui sont menes
contre eux doivent conduire proposer des solutions spcifiques. Plusieurs problmati-
ques particulires se posent particulirement pour la mise en uvre dune dissuasion
numrique :
En premier lieu, lidentification des responsables dune attaque significative ou
dune campagne comprenant plusieurs agressions savre en gnral difficile et
longue. Dans certaines circonstances, il peut mme savrer impossible de
dterminer avec un niveau de certitude lev
187
la responsabilit et limplication de
certains acteurs. De fait, la possibilit dagir par procuration et lutilisation des
moyens techniques existants afin de cacher ses traces rendent dans les faits
lattribution incertaine pour les attaques qui ne sont pas revendiques. Pour autant, il
parat dans certains cas possible, en utilisant lensemble des sources dinformation
et de renseignement disponibles, en analysant le contexte et la cible de lattaque
ainsi que les moyens utiliss, de finalement identifier le responsable. En outre, il
convient de souligner que la question de la responsabilit des tats dans le cas
dattaques menes depuis leur territoire et grce leurs infrastructures numriques
semble aujourdhui pose par certains pays occidentaux, en particulier les tats-
Unis. Ainsi, le document de stratgie internationale pour le cyberespace, publi par

186
http://blogs.mcafee.com/mcafee-labs/revealed-operation-shady-rat
187
En tout cas suffisamment important pour permettre de publiquement accuser lauteur prsum.
CYBER DISSUASION

la Maison Blanche en mai 2011, souligne que la mise en place de normes
internationales en matire de scurit numrique doit inclure la reconnaissance de la
responsabilit des tats
188
.
Par ailleurs, alors que lon doit supposer que lexercice de la force dans une logique
de reprsailles doit se faire avec des moyens de mme nature que les attaques, la
mise au point de logiciels susceptibles daffecter suffisamment les adversaires pour
permettre de les dissuader, mais galement la dmonstration de leur efficacit peu-
vent savrer problmatiques. Ainsi, si des capacits offensives peuvent tre dve-
loppes par les tats, la structure dInternet, au moins sous sa forme actuelle, rend
dlicate toute forme de dmonstration en vraie grandeur. Or, de telles dmonstra-
tions doivent tre effectues pour tablir la crdibilit des moyens et des effets
attendus.
Des capacits dfensives et dattribution efficaces, donc crdibles, devraient tre
conues dans le cadre dune coopration troite avec les pays partageant la mme
vision des rseaux informatiques et, singulirement, dInternet. Ces cooprations
doivent inclure le respect de normes (standards et bonnes pratiques), des changes
dinformations, la coordination de systmes dalerte et didentification des auteurs
dagressions, des exercices de rponses des attaques, etc. Elles doivent in fine
garantir que les tats entreprennent en commun les dmarches informatiques et
physiques permettant dtablir lidentit des auteurs ou de leurs commanditaires.
Pour tre fonctionnelles, ces cooprations doivent galement intgrer les oprateurs
dinfrastructures juges sensibles, quils soient privs ou publics. En particulier, il
parat indispensable et vraisemblablement urgent au vu de la monte en puissance
des fournisseurs chinois de traiter la question des chanes dapprovisionnement
pour les produits et services destins aux systmes dinformation. Lidal serait de
recourir des capacits industrielles si possible franaises ou europennes ayant
fait lobjet dune expertise de validation conduite par les autorits nationales.
Les stratgies de communication qui doivent accompagner la manuvre dissuasive
dans lespace numrique soulvent des difficults qui sont directement lies celles
de lidentification des agresseurs et de lattribution des attaques. Il faut faire preuve
de flexibilit dans la politique de communication afin de prendre en compte les
diffrents niveaux de visibilit des attaques au niveau du public ainsi que la diversit
des agresseurs potentiels. Ainsi, certains peuvent ne pas tre directement accessibles
des dmarches diplomatiques ou conduites par des reprsentants officiels. En
revanche, lutilisation de lensemble du spectre des outils de communication
existants doit tre envisage.
Si de faon gnrale, les moyens offensifs permettant dorganiser des reprsailles
contre un acteur malveillant identifi doivent rester dans le registre numrique et
leurs effets doivent demeurer proportionns lattaque subie, il ne faut pas exclure
lemploi de moyens asymtriques pour rpondre certaines agressions. En parti-
culier face aux acteurs dont les intrts numriques sont limits, le recours des
mesures de rtorsion physiques, financires ou des actions juridiques doit tre
envisag.

188
The White House, International Strategy for Cyberspace: Prosperity, Security and Openness in a Networked
World , May 2011, p. 10.
CYBER DISSUASION


La prise en compte des spcificits de lespace numrique appelle une dmarche de
restructuration des efforts afin de permettre lmergence dune stratgie de dissuasion
fonde la fois sur des mesures dfensives crdibles et sur des moyens permettant de
faire peser sur les agresseurs potentiels une menace caractre dissuasif.
En premier lieu, il convient sans doute de mettre en place au niveau de lexcutif des
moyens permettant de coordonner lensemble des initiatives et des programmes
conduits par les administrations en matire de scurit et de dfense numriques. Il
sagit galement dassurer le pilotage stratgique et lautorit politique ncessaire sur
lensemble des outils dfensifs et offensifs. Cet chelon doit participer la dfinition
des rgles dengagement et des conditions demploi des armes numriques et
coordonner les activits de veille et dalerte.
Larchitecture de dissuasion numrique qui devrait intgrer les services et moyens dj
consacrs la scurit informatique au sein des ministres y compris ceux de lANSSI,
devrait galement comprendre une division oprationnelle charge, pour la partie offen-
sive, dlaborer les dossiers dobjectif, de grer lengagement des armes numriques (y
compris le choix des moyens utiliser), mais galement dvaluer et de caractriser les
effets. Au niveau de lexpertise technique, une division aurait pour fonction de dvelop-
per les armes et didentifier les vulnrabilits des systmes des agresseurs potentiels.
Elle serait galement charge, avec les services de renseignement comptents, de parti-
ciper aux efforts destins attribuer les attaques significatives des acteurs malveillants
et, le cas chant, leurs commanditaires.
En termes techniques justement, le dveloppement darmes numriques ayant des effets
significatifs sur les systmes ou les rseaux adverses exige des efforts de recherche
permettant didentifier des failles de scurit (si possible nouvelles de type 0 day
exploit ) dans les codes utiliss, les logiciels dploys et les protocoles employs par
les adversaires potentiels. Ainsi, la dissuasion devra disposer dun spectre d armes
(chevaux de Troie, vers, virus) assez large pour affecter une gamme dacteurs trs
large mais suffisamment spcifiques pour causer des dgts significatifs des agres-
seurs particuliers. Cette ncessit pose quelques difficults. En premier lieu, la dmons-
tration de leur efficacit de faon publique savre pratiquement infaisable : de fait,
lutilisation de ces armes permet en thorie lidentification des vulnrabilits et des
failles quelles exploitent, ce qui par consquent les rend caduques
189
. Par ailleurs, il
existe un risque de voir une arme affecter un nombre plus important de systmes ou de
rseaux que celui cibl initialement.
Le dveloppement dun mcanisme permettant de faciliter lattribution des actes mal-
veillants repose sur (1) la capacit collecter massivement les messages circulant sur
les rseaux et analyser rapidement un volume colossal de donnes collectes et (2) la
possibilit de complter le traitement numrique par dautres actions de recueil de ren-
seignement ou denqute. En ltat, seuls les tats-Unis disposent des moyens et des
comptences permettant de dtecter et, ventuellement, dattribuer une attaque. La
National Security Agency (NSA) qui supervise le commandement des oprations

189
A son tour, cette situation rend plus coteuses et complexes les campagnes permettant dessayer les armes
numriques mises au point.
CYBER DISSUASION

cyber du Pentagone CYBERCOM cre en 2010 , grce son rseau
dinterception Echelon et ses capacits de traitement de donnes, savre tre lun des
seuls organismes au monde capable danalyser les donnes numriques transitant par le
rseau lchelle mondial et donc de rapidement identifier lensemble des machines
impliques dans une attaque.
En dfinitive, alors que llaboration dune dissuasion dans lespace numrique parat
ncessaire pour rpondre lvolution rapide des menaces, les difficults lies sa mise
en place effective demeurent nombreuses. A lheure actuelle, seuls les tats-Unis
paraissent disposer des moyens et des structures qui leur permettraient dy parvenir.
Toutefois, Washington ne peut pas esprer faire fonctionner un tel systme totalement
seul et souhaite dvelopper des partenariats renforcs avec ses allis afin, dune part, de
faciliter les efforts visant identifier les responsables dune attaque significative en
capitalisant sur les moyens denqute des autres tats et, dautre part, de renforcer les
mesures dissuasives que ses allis peuvent prendre.

Annexe 1
Principales attaques numriques recenses depuis 2007

Mai 2007 : les sites du gouvernement estonien font lobjet dune attaque en dni de
service revendique par une organisation non gouvernementale russe ( Nashi ). En
rendant les services publics numriss inaccessibles pour les utilisateurs, le groupe
russe parvient dsorganiser lensemble de la socit estonienne extrmement
dpendante des systmes dinformation en ligne.
Septembre 2007 : des rseaux informatiques gouvernementaux en France, au
Royaume Uni, aux tats-Unis et en Allemagne font lobjet dune attaque qui aurait
t mene depuis des machines situes en Chine. LAllemagne accuse les autorits
chinoises davoir commandit cette opration
190
.
Octobre 2007 : le gouvernement chinois indique que les rseaux gouvernementaux,
dont certains appartenant la deuxime acadmie chinoise, ont fait lobjet dune
campagne dintrusion
191
. Il accuse les tats-Unis et Taiwan davoir commandit ces
oprations.
Mars 2008 : des responsables amricains indiquent que de nombreuses socits
amricaines, europennes et japonaises sont victimes de vols de proprit
intellectuelle et despionnage effectus depuis le cyberespace.
Mai 2008 (?) : le Pentagone est infect par un code malveillant (vraisemblablement
un cheval de Troie) introduit sur le rseau protg par le biais dune clef USB et qui
se serait rpandu lors de lutilisation de supports de ce type
192
. Le secrtaire adjoint
la Dfense, William Lynn, rvle en 2010 que ce logiciel espion pourrait avoir
permis une agence trangre daccder plusieurs milliards doctets dinforma-
tion, y compris des donnes classifies
193
. Cette attaque, longtemps passe sous
silence par les tats-Unis, aurait acclr la cration du CYBERCOM. Il convient
de souligner que trois ans aprs cette attaque, le Pentagone continu nettoyer son
systme dinformation.
Mai 2008 : selon la DCRI, environ 3 000 socits franaises auraient t victimes
dattaques numriques des fins despionnage, de sabotage ou de dstabilisation
entre 2006 et 2008
194
.

190
http://www.generation-nt.com/commenter/pentagone-piratage-chine-usa-etats-unis-attaque-informatique-
actualite-44779.html
191
http://www.generation-nt.com/commenter/espionnage-chine-gouvernement-attaques-informatiques-actualite-
45084.html
192
Security and Defense Agenda, A conversation on Cybersecurity with William J. Lynn III , September 15
th
,
2010.
193
http://www.lemondeinformatique.fr/actualites/lire-les-systemes-informatiques-du-pentagone-attaques-par-
une-clef-usb-31468.html
194
http://www.latribune.fr/actualites/economie/france/20090625trib000392170/exclusif-3.000-entreprises-
francaises-victimes-d-espionnage-economique-en-trois-ans.html
CYBER DISSUASION

Aot 2008 : alors que les forces russes sapprtent envahir la Gorgie, les rseaux
numriques du pays, en particulier les sites gouvernementaux, subissent plusieurs
attaques (intrusions et dni de service).
Janvier 2009 : le ver Conficker infecte plusieurs rseaux numriques bass sur des
systmes dexploitation Microsoft (dont Windows XP). La Marine nationale voit
son rseau informatique mis en quarantaine aprs avoir t infect, causant des
difficults pour laccs aux plans de vol des missions aronavales
195
.
Mars 2009 : une tude canadienne met au jour lexistence dun rseau de cyber-
espionnage opr depuis la Chine et qui accderait rgulirement des milliers de
machines infectes par des logiciels espions, y compris au sein de systmes gouver-
nementaux. Le rseau Ghostnet deviendra le premier exemple document des
efforts despionnage numrique de la RPC
196
.
Avril 2009 : des pirates obtiennent laccs au rseau de donnes utilis pour le
dveloppement du Joint Strike Fighter (F-35 JSF). Le Pentagone ne fournit aucune
information sur la quantit ou la nature des donnes drobes
197
.
Juin 2009 : dans un rapport publi sur la scurit en 2008, le ministre allemand de
lIntrieur accuse la Chine et la Russie de conduire des actions rptes despion-
nage industriel via lutilisation de lespace cyber
198
.
Aot 2009 : Albert Gonzales est arrt par la police fdrale amricaine pour avoir,
avec plusieurs complices entre 2006 et 2008, contrefait 130 millions de cartes de
crdit aprs avoir vol les donnes didentit ncessaires et pour stre introduit dans
les rseaux dinformation de plusieurs entreprises amricaines
199
. Il sagit du crime
numrique le plus grave (en volume) jamais poursuivi par les tribunaux.
Janvier 2010 : Google indique que les services chinois ont tent de pntrer sur ses
rseaux informatiques dentreprise. 34 autres socits de hautes technologies
auraient galement fait lobjet de tentatives labores de pntration
200
. Les attaques
auraient particulirement vis les comptes Gmail dactivistes chinois.
Avril 2010 : un rapport de lUniversit de Toronto fait tat de lexistence dun
programme chinois dnomm Shadow Network destin pntrer dans les
rseaux du ministre de la Dfense indien et en voler des donnes, en particulier
sur des projets darmement
201
.

195
http://en.wikipedia.org/wiki/Conficker
196
http://www.scribd.com/doc/13731776/Tracking-GhostNet-Investigating-a-Cyber-Espionage-Network
197
http://online.wsj.com/article/SB124027491029837401.html
198
Le rapport 2010 insiste nouveau sur ce problme pour lanne 2009 :
http://www.jamestown.org/single/?no_cache=1&tx_ttnews[tt_news]=36556
199
http://www.wired.com/threatlevel/2009/08/tjx-hacker-charged-with-heartland/
200
http://www.nytimes.com/2010/01/13/world/asia/13beijing.html?pagewanted=all
201
http://articles.timesofindia.indiatimes.com/2010-04-06/china/28132106_1_hacking-activities-chinese-
hackers-china
CYBER DISSUASION

Octobre 2010 : dcouverte dans plusieurs machines utilisant un systme de contrle
industriel fabriqu par Siemens du ver Stuxnet. Il infecte notamment lensemble des
centrifugeuses du programme iranien tout en transmettant des donnes errones aux
oprateurs.
Janvier 2011 : des pirates parviennent obtenir plus de 200 000 crdits carbone
europens pour une somme estim 4 millions de dollars. Pour ce faire, ils ont
hameonn des employs de nombreuses socits et utiliss leurs donnes person-
nelles pour mettre des faux au nom de six socits
202
.
Mars 2011 : plusieurs systmes dinformation appartenant des ministres cono-
miques et financiers sont infects par un cheval de Troie dorigine inconnue.
LANSSI indique que lobjectif de lattaque aurait t de voler des donnes cono-
miques concernant la France
203
.
Juin 2011 : le FMI fait lobjet dune attaque de son rseau informatique rendu
vraisemblablement possible par des vols didentit raliss au moyen doprations
cibles dhameonnage
204
.
Aot 2011 : McAfee publie un rapport dcrivant lorganisation dun rseau
despionnage global par la Chine. Celui-ci aurait permis de voler des donnes
plusieurs dizaines de gouvernements, dentreprises et dorganisations
internationales
205
.
Septembre 2011 : une attaque qui permet dmettre plusieurs centaines de certificats
de scurit frauduleux pour des liaisons scurises frappe une entreprise ner-
landaise de certification DigiNotar. Lopration aurait t conduite pour piger des
centaines de milliers dutilisateurs dinternet et, en particulier, dintercepter des
messages lectroniques de la messagerie de Google Gmail
206
,
Octobre 2011 : le systme dinformation permettant le fonctionnement de la flotte
de drones amricains est infect par un keylogger, c'est--dire un programme per-
mettant denregistrer les lments taps au clavier et de les envoyer des machines
distantes
207
.
Octobre 2011 : lentreprise japonaise Mitsubishi Heavy indique que son rseau
informatique a fait lobjet dune attaque visant obtenir des donnes sur ses projets
de recherche et de dveloppement. Des informations concernant la conception et la
tenue aux tremblements de terre des centrales nuclaires de sa fabrication auraient
notamment t voles
208
.

202
http://www.wired.com/threatlevel/2010/02/hackers-steal-carbon-credits#ixzz0eafFpvUR
203
http://www.ssi.gouv.fr/fr/anssi/publications/communiques-de-presse/attaque-informatique-contre-les-
ministeres- economique-et-financier.html
204
http://www.pcworld.com/article/230157/imf_hacked_no_end_in_sight_to_security_horror_shows.html
205
http://blogs.mcafee.com/mcafee-labs/revealed-operation-shady-rat
206
http://www.lemonde.fr/technologies/article/2011/09/06/internet-nous-accordons-une-confiance-totale-aux-
certificats-de-securite_1568541_651865.html
207
http://www.wired.com/dangerroom/2011/10/virus-hits-drone-fleet/
208
Agence France Presse, Japan cyber attackers may have military info, 24 October 2011.
CYBER DISSUASION

Novembre 2011 : Duqu, un cheval de Troie prsentant de nombreuses similarits
(lignes de code) avec Stuxnet, est dcouvert par une universit de Budapest. Comme
Stuxnet, il infecte essentiellement des systmes dexploitation de machines mais sa
finalit est avant tout de rassembler des informations et de les transmettre vers des
machines distantes
209
. Selon le quotidien isralien Haaretz, le virus aurait infect de
nombreuses machines iraniennes.

209
http://www.computerworld.com/s/article/9221817/FAQ_What_s_the_big_deal_about_Duqu_?
taxonomyId=17
CYBER DISSUASION


Annexe 2
Bibliographie Sommaire

Travaux sur la dissuasion numrique ou sur lexercice de la puissance numrique
Martin C. Libicki, Cyberdeterrence and Cyberwarfare , RAND Project Air Force,
RAND, 2009.
Perspectives for Cyber Strategists on law for cyberwar , Charles J. Dunlap Jr., Major
General, USAF, Retired, 2011.
Patrick Morgan, Applicability of Traditional Deterrence Concepts and Theory to the
Cyber Realm , National Academies of Science, Computer Science and Telecoms
Board, Proceedings of a Workshop on Deterring Cyberattacks: Informing Strategies and
Developing Options for US Policies, 2010.
Eric Sterner, Deterrence in Cyberspace: Yes, No, Maybe? , in Returning to
Fundamentals: Deterrence and US National Security in the 21
st
Century, The George C.
Marshall Institute, 2011.
Matthew D. Crosston, How Mutually Assured Debilitation Is the Best Hope for
Cyber Deterrence , Strategic Studies Quaterly, Spring 2011.
Eric Sterner, Retaliatory Deterrence in Cyberspace , Strategic Studies Quarterly,
Spring 2011.
Harry D. Raduege, Fighting Weapons of Mass Disruption: Why America Needs a
Cyber Triad , East-West Institute, Global Cyber Deterrence, April 2010.
Daniel T. Kuehl, From cyberspace to cyberpower: Defining the problem , in Franklin
D. Kramer, Stuart Starr & Larry K. Wentz, Cyberpower and National Security
(Washington, D.C.: National Defense UP, 2009).
Joseph S. Nye Jr, CyberPower , Harvard Kennedy School, May 2010.

Stratgie en matire de cyber-espace et scurit numrique.
Dfense et Scurit Nationale Le Livre Blanc , Ed. Odile Jacob, juin 2008.
Dfense et scurit des systmes dinformation : La stratgie de la France , SGDSN,
Fvrier 2011.
The White House, International Strategy for Cyberspace Prosperity, Security and
Openness in a Networked World , May 2011.
The White House, The Cyberspace Policy Review , January 2009.
CYBER DISSUASION

Center for New American Security, Americas Cyber Future: Security and Prosperity
in the Information Age , June 2011.
Center for Strategic and International Studies, Securing Cyberspace for the 44th
Presidency , A Report of the CSIS Commission on Cybersecurity for the 44th
Presidency, December 2008.
GAO, United States Faces Challenges in Addressing Global Cybersecurity and
Governance , July 2010.
Center for New American Security, Americas Cyber Future: Security and Prosperity
in the Information Age , Edited by Kirstin Lord & Travis Sharp, June 2011.

Programmes et travaux du Dpartement de la Dfense amricain.
William Lynn III, Defending a New Domain , Foreign Affairs, Sep/Oct2010, Vol.
89, Issue 5.
Alexandre Klimburg, Mobilizing Cyber-Power , Survival, Volume 53, Issue 1,
January 2011.
Department of Defense, Department of Defense Strategy for Operating in
Cyberspace , July 2011.
Karl Frederick Rauscher & Andrey Korotkov, Working Towards Rules for Governing
Cyber Conflict , East-West Institute, January 2011.
David Hollis, USCYBERCOM: The Need for a Combatant Command versus a
Subunified Command , National Defense University, Joint Force Quaterly, issue 58,
3
rd
Quarter 2010.
Government Accountability Office, Defense Department Cyber Efforts , July 2011.
DARPA, The National Cyber Range: A National Testbed for Critical Security
Research . Consult http://www.whitehouse.gov/files/documents/cyber/
DARPA%20-%20NationalCyberRange_FactSheet.pdf
Julius Motal, Pentagon to Prep for Battle Via 'National Cyber Range' , PCMag.com,
June 20, 2011.

Dveloppement de la menace dans le cyberespace.
Dmitri Alperovitch, Revealed: Operation Shady RAT , McAfee, August 2011.
US Cyber Consequences Unit, Overview of the Cybercampaign against Georgia in
August of 2008 , August 2009.
Magnus Hjortdal, Chinas Use of Cyber Warfare: Espionnage meets Strategic
Deterrence , Journal of Strategic Security, Volume IV Issue 2 2011.
CYBER DISSUASION

Thrse Delpech, La guerre informatique a commenc , Politique Internationale,
N130, Hiver 2010-2011.
Kim Zetter, How Digital Detectives Deciphered Stuxnet, the Most Menacing Malware
in History , Wired, 11 July 2011.
Noah Schchtman, Pirates of the ISPs: Tactics for Turning Online Crooks Into
International Pariahs , Brookings China Center, Cyber Security #1, July 2011.
European Commission Staff Working Document, Early Challenges regarding the
Internet of Things , 29 septembre 2008.
David Bradshaw, Western European Software-as-a-Service Forecast, 20092013 ,
Apr 2009 Doc # LT02R9, 2009. Cit par lEuropean Network and Information
Security Agency.
European Network and Information Security Agency, Cloud Computing: Benefits,
risks and recommendations for information security , November 2009.
Syntec Numrique, Livre Blanc sur la scurit du Cloud Computing : analyse des
risques, rponses et bonnes pratiques , 2010.
Digimind, White paper: Rputation internet , juin 2008, p. 5.

Cyber Dissuasion - FRS Mars 2012

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Cyber Dissuasion - FRS Mars 2012

Enviado por

Direitos autorais:

Formatos disponíveis

recherches &

Você também pode gostar