Traitement en cours, merci de patienter...
Saut de ligne
Saut de ligne
Saut de ligne
Image
Image
Saut de ligne
 
Saut de ligne
Image
Saut de ligne
Sciences et technologies

Saut de ligne

Unrestricted warfare: sommes-nous prêts?

Image

Par le commandant Pascal NOËL

Image

Les grands pays alliés ou adversaires potentiels préparent activement le volet cybernétique du soutien aux opérations. La France est-elle consciente de cette menace et s’y prépare-t-elle concrètement?

Image
Image

Les États-Unis ont développé le concept d’«Information warfare» Les Chinois celui d’«Unrestricted warfare »et les Russes celui d’«Information weaponry». Les moyens de mener une cyber attaque ou des actions de guerre électronique sont à la portée de tous les États et de nombreux groupes terroristes.

Les États-Unis mènent depuis 1995 des exercices du type «The Day after» en essayant de contrer les effets d’un éventuel «Pearl Harbor informatique».

Face à cette menace réelle, nos armées continuent à s’entraîner comme si la menace n’existait pas. La guerre électronique et les spécialistes du CELAR[1] sont priés de ne pas venir perturber les grands exercices.

Il est grand temps d’enlever nos œillères pour réaliser ce genre d’exercice afin de faire un état des lieux de nos faiblesses et de nos forces.

Depuis quelques années, tous les conflits sont accompagnés, et le plus souvent précédés, d’actions offensives dans le cyberespace. On peut citer comme exemples :

-         La crise russo-estonienne de 2007, qui a donné lieu à de graves paralysies des systèmes informatiques estoniens. Paralysies d’autant plus importantes que ce pays est à la pointe des nouvelles technologies. De même, le conflit russo-géorgien en 2008 a vu la paralysie de certains systèmes d’information géorgiens.

-         Les relations tumultueuses entre l’Inde et le Pakistan sont amplifiées dans le cyberespace par des groupes tels que le «Pakistan Cyberarmy» ou l’«Indian Cyber Army».

-         Lors du conflit entre Israël et le Hezbollah en 2006, ce dernier a largement démontré ses capacités offensives en termes de cyber attaques.

-         Un certain nombre d’États européens ont été victimes d’actions offensives en provenance «apparente» de la Chine.

 

Certains groupes tels que «Pakistan Cyberarmy», «Iranian Cyber Army» ou «Hacker Union of China» font régulièrement parler d’eux suite à des attaques plus ou moins sérieuses.

Aujourd’hui, la mafia russe s’est faite une spécialité de la mise au point d’outils et de services informatiques spécialisés pour les délits informatiques, outils qu’elle loue ou revend par la suite à d’autres organisations qui les utilisent.

L’imputabilité irréfutable de ces actions est quasiment impossible à établir pour un État attaqué. Et ceux qui mènent ces attaques ont bien souvent intérêt à faire porter la responsabilité sur un autre État.

 

Il en est de même pour la guerre électronique où nos grands états-majors ne sont même pas équipés pour détecter s’ils sont brouillés. Les actions de la guerre électronique ne sont jamais jouées complètement contre nos états-majors ou nos unités.

Ainsi, lors d’un exercice sur un camp de Champagne, une unité n’a pas trouvé bizarre que tous ses GPS indiquent qu’elle se trouvait à plusieurs centaines de kilomètres, en plein centre-ville. Non, cette unité a juste voulu envoyer ses GPS en réparation... Les ingénieurs du CELAR venaient juste de leurrer leurs récepteurs GPS en réémettant des signaux GPS enregistrés.

 

Depuis 15 ans, les États-Unis ont mené plusieurs études[2] sur la vulnérabilité de leurs infrastructures et notamment celles de défense. Ces nombreuses études leur ont permis d’élaborer une véritable doctrine qui balaie tout le spectre de la menace. Cette doctrine pragmatique a d’emblée opté pour une réponse défensive et offensive. Alors qu’en France, il a fallu attendre le livre blanc de 2008 pour évoquer la lutte informatique offensive.

Suite à la parution de cette doctrine, les États-Unis se sont dotés des structures

[3] pour faire face à ces menaces. Structures non figées car, en 2009, a été créé l’U.S. Cyber Command (USCYBERCOM), dont le rôle est de coordonner les réseaux informatiques de la Défense américaine et de conduire les opérations de cyber attaque.

Et que dire de la gigantesque National Security Agency (NSA) qui, avec son système d’interception Échelon, est à même d’écouter à peu près tout ce qu’elle souhaite?

Pour essayer de faire face à la menace, les États-Unis se sont dotés de plans concrets[4] pour prévenir et essayer de contenir les menaces les plus graves sur leurs infrastructures vitales (Défense, énergie, transport...)

De plus, pour améliorer sa préparation, le gouvernement fédéral réalise régulièrement des exercices de simulations d’attaques plus ou moins massives sur les forces et les infrastructures civiles et militaires.

L’exemple américain est ici plus détaillé, mais des pays comme l’Inde ou la Chine ont également commencé un tel processus.

 

Certes, la prise en compte de la menace et les différentes réponses apportées par les États-Unis ne les prémunissent en rien contre un Pearl Harbour informatique. Mais au moins, ils se sont donné la peine de l’analyser.

Et la France dans tout cela? Qu’avons-nous fait? Avons-nous seulement dressé un état des lieux de nos faiblesses? Trop peu de gens ont conscience des risques potentiels que court notre pays, et encore moins de décideurs sont prêts à les écouter.

L’assurance de la dissuasion nucléaire est bien faible et totalement inappropriée face à la menace qui pèse sur nos infrastructures vitales. Comment réagir à une attaque potentiellement dévastatrice, alors qu’il est quasiment certain que nous ne pourrons pas établir de manière irréfutable qui sera l’auteur de cette attaque? Comment réagirons-nous si demain toutes nos infrastructures de télécommunications et nos réseaux de transport d’électricité sont paralysés? Mais à un niveau plus subalterne, que feront nos chefs demain si nos systèmes d’information opérationnels et de commandement sont neutralisés sur un théâtre d’opérations? Le récent exemple du virus Confliker, qui s’est propagé sur le réseau de la Marine et a obligé ses Rafales à rester cloués au sol, faute de pouvoir télécharger leurs paramètres de vol, nous montre que nous sommes loin d’être à l’abri.



[1] Cette représentativité conduira sans doute à privilégier le «politiquement correct» au détriment de la compétence ou de l’égalité des chances

[2] Études menées par la RAND Corporation, le General Accounting Office (GAO), Defense Science Board (DSB-IW-B), National Defense University (INSS).

[3] Presidential Commission for Critical Infrastructures Protection (PCCIP), Defense Information Systems Agency (DISA), Federal Intrusion Detection Network (FIDNet), Critical Infrastructures Protection Center (CIPC), Air Force Cyber Command.

[4]  National Plan for Information System Protection (Cybersec-plan), National Strategy for Secure Cyberspace.

 

Image
Image