Trois théorèmes pour caractériser le cyberespace

À la fois monde nou­veau et reflet du monde réel, le cybe­res­pace consti­tue un champ pri­vi­lé­gié pour l’exer­cice de l’in­tel­li­gence éco­no­mique. Com­prendre cette info­sphère est un préa­lable à la défi­ni­tion et mise en oeuvre d’une vraie stra­té­gie en la matière. Cette appré­hen­sion peut s’ar­ti­cu­ler autour de grands prin­cipes struc­tu­rants qui ont une force com­pa­rable à celles des théo­rèmes en mathématiques.

Le cybe­res­pace, espace vir­tuel conte­nant des socié­tés arti­fi­cielles, peut se défi­nir comme un espace social d’in­te­rac­tion entre une tech­no­lo­gie – la numé­ri­sa­tion de l’in­for­ma­tion et les pro­ces­sus de com­mu­ni­ca­tions de celle-ci – et un ensemble d’êtres humains inter­agis­sant avec ces tech­niques. Il est la marque la plus écla­tante de la glo­ba­li­sa­tion de l’é­co­no­mie mais aus­si le miroir par­fois défor­mant des insta­bi­li­tés d’un monde secoué de convul­sions per­ma­nentes. Les sys­tèmes et réseaux infor­ma­tiques sont deve­nus des outils indis­pen­sables pour les tâches cri­tiques de la vie pro­fes­sion­nelle et par­fois même de la vie privée.

L’in­tel­li­gence éco­no­mique – pour cer­tains la forme légale de l’in­tel­li­gence, dans son accep­tion anglo-saxonne de ren­sei­gne­ment ou d’es­pion­nage – a trou­vé, dans cette info­sphère, un champ d’ac­tion nou­veau à la fois dans sa dimen­sion tem­po­relle d’im­mé­dia­te­té, dans sa dimen­sion spa­tiale qui embrasse le monde et dans sa dimen­sion cog­ni­tive qui fait renaître l’es­prit encyclopédique.

La cryptographie

La cryp­to­gra­phie est la seule tech­nique dis­po­nible pour pro­té­ger l’in­for­ma­tion en confi­den­tia­li­té et en inté­gri­té. Elle réa­lise une réduc­tion d’en­tro­pie sur les don­nées à pro­té­ger grâce à de mul­tiples clés (une clé = un usage) qu’il s’a­git de gérer comme les seuls secrets du sys­tème d’information.
La ges­tion de ces clés est un art dif­fi­cile qui néces­site une orga­ni­sa­tion rigou­reuse qui se satis­fait mal d’une exter­na­li­sa­tion trop pous­sée ou d’un recours à des solu­tions toutes faites.
La cryp­to­gra­phie n’est pas la solu­tion miracle décrite par cer­tains car elle doit s’ac­com­pa­gner d’une véri­table poli­tique de sécu­ri­sa­tion en pro­fon­deur des sys­tèmes d’information.
Ain­si, pour sou­li­gner les dif­fi­cul­tés de toute nature s’op­po­sant à une uti­li­sa­tion maî­tri­sée de cette tech­nique, l’u­sage de la signa­ture élec­tro­nique dite » qua­li­fiée « , huit ans après la direc­tive com­mu­nau­taire, reste mar­gi­nale en France.
La cryp­to­gra­phie reste cepen­dant au cœur des pro­blèmes de gou­ver­nance d’In­ter­net. La créa­tion d’au­to­ri­tés euro­péennes de cer­ti­fi­ca­tion pour l’en­semble des logi­ciels de com­mu­ni­ca­tion (mes­sa­ge­rie, navi­ga­teur…) com­mer­cia­li­sés en Europe – une des mesures pré­co­ni­sées par la Com­mis­sion euro­péenne pour la libé­ra­tion de la crois­sance fran­çaise – est tou­jours différée.

L’arme du renseignement numérique stratégique

Le ren­sei­gne­ment qu’il soit éta­tique ou pri­vé, qui joue des ambi­guï­tés et des fai­blesses d’un droit inter­na­tio­nal numé­rique lar­ge­ment à construire, a réso­lu­ment inves­ti le cybermonde.

Toutes les mani­pu­la­tions sont pos­sibles sur les réseaux numé­riques ouverts

Au-delà des légi­times moti­va­tions de sécu­ri­té natio­nale, le ren­sei­gne­ment numé­rique stra­té­gique est deve­nu une arme de la » guerre éco­no­mique » qui pro­voque d’a­bord de la dis­tor­sion de concur­rence quand il n’est pas par­fois le moteur prin­ci­pal d’un déve­lop­pe­ment indus­triel fon­dé sur la contrefaçon.

L’in­tel­li­gence éco­no­mique numé­rique (IEN) pro­cède en pre­mier de l’en­semble des tech­no­lo­gies infor­ma­tiques auto­ma­ti­sant aus­si loin que pos­sible la pyra­mide clas­sique du ren­sei­gne­ment qui va de la don­née brute à la syn­thèse intel­li­gente. La maî­trise de ces tech­no­lo­gies est un fac­teur essen­tiel de com­pé­ti­ti­vi­té. L’in­no­va­tion dans les tech­niques de fouille infor­ma­tion­nelle ou » data mining » est très active et féconde. Au-delà des outils, l’in­tel­li­gence humaine et ses failles y occupent, bien sûr, une place cen­trale. Mais cet essor numé­rique s’est accom­pa­gné d’un déve­lop­pe­ment des menaces liées à de nou­velles formes de cri­mi­na­li­té allant des actions quo­ti­diennes du cyber­van­da­lisme ou du cyber­crime aux modes d’ac­tions cachées de la cyber­guerre ou du cyber­ter­ro­risme – s’il existe ailleurs que dans les romans ou dans les films – bien plus dif­fi­ciles à carac­té­ri­ser ou à recon­naître. La dimen­sion duale du recueil de ren­sei­gne­ments consiste aus­si à faire face à ces nou­veaux risques.

Les caractéristiques du cyberespace

Il convient avant d’a­bor­der, dans l’ar­ticle sui­vant, le recueil et le trai­te­ment de l’in­for­ma­tion numé­rique et la pro­tec­tion de ses propres sys­tèmes d’in­for­ma­tion, de mieux com­prendre la nature pro­fonde du monde numé­rique et des tech­no­lo­gies qui l’a­niment. Car, sans capa­ci­té de pro­té­ger son propre patri­moine infor­ma­tion­nel, aucune action d’in­tel­li­gence éco­no­mique numé­rique ne peut être vrai­ment effi­cace. Trois » théo­rèmes » peuvent carac­té­ri­ser le cybermonde.

Théorème 1 : toute information n’est pas bonne à numériser

Un fichier numé­rique se clone par­fai­te­ment. Il s’a­git là d’une tau­to­lo­gie mais cer­tains com­por­te­ments numé­riques feignent de l’i­gno­rer, même quand cela touche à l’in­ti­mi­té ou à l’affectif.

L’avance américaine

La poli­tique » d’in­for­ma­tion domi­nance « , prô­née par les États-Unis depuis les tra­vaux fon­da­teurs des années 1990, s’ac­com­plit réel­le­ment dans la maî­trise tech­no­lo­gique des pièces logi­cielles et maté­rielles consti­tuant les sys­tèmes numé­riques d’au­jourd’­hui mais éga­le­ment par la mise en place d’une hyper­sur­veillance dont l’emblème est le réseau Eche­lon. Ce terme désigne le sys­tème mon­dial d’in­ter­cep­tion des com­mu­ni­ca­tions pri­vées et publiques, éla­bo­ré par les États-Unis, le Royaume-Uni, le Cana­da, l’Aus­tra­lie et la Nou­velle-Zélande dans le cadre du trai­té UKUSA » UKUSA Agree­ment « . Depuis l’ac­ti­va­tion en jan­vier 1993 du » Natio­nal Indus­try Secu­ri­ty Pro­gram » qui orga­nise avec le Dépar­te­ment de la Défense et une ving­taine d’a­gences gou­ver­ne­men­tales la pro­tec­tion des entre­prises, des uni­ver­si­tés et des centres de recherche amé­ri­cains, ces moyens ont été orien­tés éga­le­ment vers l’in­tel­li­gence éco­no­mique. Bill Clin­ton confir­ma expli­ci­te­ment en 1994 le rôle du ren­sei­gne­ment en la matière. Concrè­te­ment, c’est » l’Of­fice of Exe­cu­tive Sup­port » au sein du Dépar­te­ment du Com­merce qui assume le lien entre les négo­cia­teurs du monde éco­no­mique et les agences de ren­sei­gne­ments. Des rap­ports euro­péens dis­cutent sans fin sur l’im­pact réel de ce sys­tème dont le fonc­tion­ne­ment relève du secret de défense. Eche­lon reste l’ar­ché­type des sys­tèmes d’in­tel­li­gence numé­rique stra­té­gique dont sont dotées diverses agences de renseignements.

Une infor­ma­tion, dès sa numé­ri­sa­tion ache­vée, peut être dupli­quée à l’in­fi­ni. Sa publi­ca­tion sur Inter­net lui pro­cure ins­tan­ta­né­ment une dif­fu­sion glo­bale et une réma­nence qu’il est impos­sible de mesu­rer. Cela ne signi­fie pas que l’in­for­ma­tion est éter­nelle et une bonne poli­tique d’IEN se pré­oc­cupe aus­si, au-delà des pro­blèmes de for­mats numé­riques rete­nus, des for­mats phy­siques de sto­ckage de ces don­nées numé­riques et du pro­blème de l’en­tre­tien de ces stocks numé­riques sur des sup­ports qui subissent des dégra­da­tions et des alté­ra­tions. Signa­lons d’ailleurs que la nor­ma­li­sa­tion des for­mats numé­riques est aujourd’­hui l’ob­jet d’une bataille fron­tale entre les tenants des for­mats libres et ceux des for­mats pro­prié­taires. Elle pro­longe les débats hou­leux autour des bre­ve­tages logi­ciels. Ce clo­nage favo­rise les fuites d’in­for­ma­tion orga­ni­sées ou acci­den­telles qui prennent par­fois un reten­tis­se­ment que ne com­pense que la vola­ti­li­té extrême des points d’in­té­rêt. Toutes les mani­pu­la­tions sont pos­sibles sur les réseaux numé­riques ouverts. Le faux y côtoie le vrai sans que le recou­pe­ment des sources ne per­mette, comme dans le ren­sei­gne­ment tra­di­tion­nel, une véri­table qua­li­fi­ca­tion de la fia­bi­li­té de l’in­for­ma­tion. Enfin les rumeurs, les » tra­fi­co­tages de lis­tings » et autres canu­lars peuplent le cyber­monde avec des consé­quences par­fois déme­su­rées comme des mani­pu­la­tions de cours en Bourse ou des désta­bi­li­sa­tions de cadres d’entreprise.

Notons d’ailleurs que l’un­der­ground de l’In­ter­net (siège des échanges inter­per­son­nels) recèle une masse d’in­for­ma­tions non visibles direc­te­ment sur les navi­ga­teurs usuels mais acces­sibles par des outils lar­ge­ment dif­fu­sés. Au-delà des échanges de fichiers sous droits d’au­teur (musiques et films), ces logi­ciels per­mettent la dif­fu­sion d’un savoir-faire autre­fois cou­vert par le secret. On trouve par exemple sur Inter­net, pour qui sait fouiller, des recettes d’ex­plo­sifs et des boîtes à outils per­met­tant de construire des pièges infor­ma­tiques. On peut y ache­ter éga­le­ment, par des ventes en ligne qui se jouent des fron­tières et par­fois des lois locales, toute la pano­plie des maté­riels d’es­pion­nage (ou de contrôle domes­tique, comme cela est pré­sen­té pudi­que­ment outre-Atlan­tique) que la minia­tu­ri­sa­tion de l’élec­tro­nique et la sophis­ti­ca­tion des tech­no­lo­gies sans fil rendent dif­fi­ci­le­ment détectables.

Théorème 2 dit de la confiance : pour pouvoir parler d’informatique de confiance, il faut en maîtriser les techniques

Seule une iso­la­tion phy­sique per­met d’assurer une vraie protection

Dans un article célèbre publié en 1984 (Reflec­tions on Trus­ting Trust), Ken Thomp­son, pion­nier des sys­tèmes d’ex­ploi­ta­tion et des logi­ciels de pro­gram­ma­tion modernes, piège nati­ve­ment le » login » (fonc­tion d’i­den­ti­fi­ca­tion d’un sys­tème d’ex­ploi­ta­tion) en créant une porte déro­bée qua­si­ment indé­tec­table¹. Sa démons­tra­tion fait encore régu­liè­re­ment l’ob­jet de débats pas­sion­nés, mais tra­duit une réa­li­té indéniable.

Au-delà du sou­hait de dis­po­ser de pro­duits de sécu­ri­té pour essayer de contrer ces dis­po­si­tifs, il sera éga­le­ment pri­mor­dial de bien appré­cier, par un tra­vail de veille active, les tra­vaux futurs allant vers l’In­ter­net des objets (déve­lop­pe­ments autour de l’In­ter­net chi­nois, etc.). Dans ces déli­cats pro­blèmes de confiance, un exemple plus insi­dieux est celui de cer­tains pro­duits du mar­ché qui savent séduire les déci­deurs par leur ergo­no­mie certes pra­tique, mais qui en font des cibles de choix pour l’in­tel­li­gence éco­no­mique. Enfin, des déve­lop­pe­ments maté­riels déjà réa­li­sés autour de copro­ces­seurs de sécu­ri­té, qui équipent les machines infor­ma­tiques, font peser une lourde hypo­thèque sur les capa­ci­tés futures de maî­trise par­ta­gée du cybermonde.

La puce Fritz

» Trus­ted Plat­form Module » (TPM) désigne les spé­ci­fi­ca­tions détaillées et publiques d’un cryp­to­pro­ces­seur sécu­ri­sé appe­lé sou­vent » puce Fritz » du nom de Fritz Hol­lings, séna­teur de la Caro­line du Sud, qui tra­vaille d’ar­rache-pied au congrès des États-Unis pour rendre ce com­po­sant obli­ga­toire dans toute l’élec­tro­nique grand public.
À l’i­mage d’une carte à puce, ce cir­cuit sert à enfouir des clés cryp­to­gra­phiques dans les maté­riels infor­ma­tiques en les mar­quant indi­vi­duel­le­ment. À par­tir de ce coffre à clés peuvent être déve­lop­pées tout un ensemble de fonc­tions de sécu­ri­té comme la ges­tion des droits numé­riques – les fameuses DRM si décriées -, et d’autres plus com­plexes comme l’i­so­la­tion mémoire, la pro­tec­tion inter­ap­pli­ca­tions, les entrées-sor­ties sécu­ri­sées, le sto­ckage scel­lé ou l’at­tes­ta­tion à distance.
Ces fonc­tions per­met­tront, peut-être, de lut­ter contre la pira­te­rie infor­ma­tique mais ver­rouille­ront, à coup sûr, un usage libre de l’informatique.
La maî­trise de ces tech­niques sera un enjeu essen­tiel des » guerres de l’in­for­ma­tion » futures. Il est à craindre que les concen­tra­tions indus­trielles sur les mar­chés du soft­ware et du hard­ware qui se font majo­ri­tai­re­ment en dehors de l’Eu­rope ne nous laissent dans une situa­tion de réelle défiance vis-à-vis de ces développements.

Théorème 3 dit » théorème du virus » : la détection d’un virus est indécidable à la fois par une analyse a priori ou par une analyse dynamique

La sécurité par l’obscurité

Les filtres anti-tout com­mer­cia­li­sés par le mar­ché de la sécu­ri­té infor­ma­tique (anti­vi­rus, anti­spy­ware, anti­phi­shing, anti-root­kits, anti­spam, etc.) pas plus que la cryp­to­gra­phie ne sont les solu­tions miracle annon­cées. Ils par­ti­cipent de la » sécu­ri­té par l’obs­cu­ri­té » qui n’a jamais démon­tré ses ver­tus dans la lutte effec­tive contre la cri­mi­na­li­té infor­ma­tique dont le maître mot est : » pas vu, pas pris « . Le pre­mier virus de l’his­toire (ver Mor­ris de 1988) a para­ly­sé l’embryon d’In­ter­net en s’at­ta­quant à une faille du ser­vice de mes­sa­ge­rie. Le cour­riel reste aujourd’­hui le vec­teur pri­vi­lé­gié des attaques informatiques.

Ce théo­rème, expo­sé en 1984 par Fred Cohen qui a réa­li­sé la pre­mière étude in vivo sur les virus infor­ma­tiques au sein de la » Natio­nal Secu­ri­ty Agen­cy « , est une variante logique du théo­rème de Rice qui démontre, en théo­rie de la cal­cu­la­bi­li­té, que le pro­blème de l’ar­rêt d’un pro­gramme infor­ma­tique quel­conque n’est pas déci­dable. Au-delà de l’as­pect mathé­ma­tique, il mani­feste une double réa­li­té : les pièges infor­ma­tiques nou­veaux contournent régu­liè­re­ment les bar­rières ins­tal­lées et la for­tune des ven­deurs d’an­ti­vi­rus est assu­rée pour toujours.

Quand les enjeux de sécu­ri­té sont impor­tants, seule une iso­la­tion phy­sique d’un sys­tème d’in­for­ma­tion per­met d’as­su­rer une vraie pro­tec­tion, le risque zéro exis­tant ici moins qu’ailleurs. Pour citer un exemple, la France s’est ain­si dotée d’un intra­net sécu­ri­sé inter­mi­nis­té­riel pour la syner­gie gou­ver­ne­men­tale (ISIS) qui est le pre­mier sys­tème d’in­for­ma­tion sécu­ri­sé natio­nal per­met­tant l’é­change et le par­tage de docu­ments clas­si­fiés au titre du secret de défense entre acteurs gou­ver­ne­men­taux. Outil de tra­vail quo­ti­dien pour le trai­te­ment des infor­ma­tions clas­si­fiées, c’est aus­si un outil de conduite de l’ac­tion gou­ver­ne­men­tale lors d’une situa­tion d’ur­gence ou d’une crise.

1. The moral is obvious. You can’t trust code that you did not total­ly create your­self (espe­cial­ly code from com­pa­nies that employ people like me).

---

Articles similaires :

France Télé­com : face aux défis de l’emploi et de la cohé­sion sociale La socié­té Faut-il réfor­mer le fédé­ra­lisme allemand ? Trans­for­ma­tion agri­cole : Impacts envi­ron­ne­men­taux et freins structurels Un pays en pointe pour la ges­tion des eaux Ges­tion publique ou ges­tion privée ?