Compte rendu de l’événement du Forum ATENA “Où va la cybersociété, champ de mines ou bateau ivre?”
par Francesca Musiani
Le 8 juin 2011, le Forum ATENA a présenté le troisième volet de son triptyque de colloques sur le futur de l’Internet. D’après le poème d’Arthur Rimbaud “Le Bateau Ivre”, révisité en clé hacker, l’événement s’intitulait “Où va la cybersociété, champ de mines ou bateau ivre?”
Plus de détails sur l’événement sont disponibles sur le site du forum ATENA.
Louis Pouzin, créateur du datagramme dans le cadre du projet Cyclades, dans les années 70, à l’origine des protocoles TCP/IP et de l’Internet et actuellement coordinateur de projets de l’association Eurolinc, a introduit la séance au moyen de sa présentation sur le thème “Où va l’Internet? Mondialisation et Balkanisation”.
La mondialisation des activités humaines, a-t-il souligné, est le plus souvent présentée comme une évolution inéluctable dissolvant frontières et distances. Est-ce bien sérieux ? En réalité le monde est très divisé: pays souverains, lois spécifiques, langues multiples, économies disparates, etc. Pourtant l’internet est perçu comme un système global, homogène, offrant une plateforme universelle de communications multi-media. Ce serait donc une exception paradoxale, si ce n’était pas un mythe.
Un épouvantail agité fréquemment par les “gardiens du temple”, dit M. Pouzin, est la balkanisation ou fragmentation du réseau, avec son cortège de calamités, discontinuité des communications, confusion des noms et adresses, instabilité,
insécurité, perte de fiabilité. En conclusion il faudrait s’efforcer de maintenir au maximum un système de contrôle historique dont les éléments critiques sont verrouillés par le gouvernement des États Unis.
On oublie au passage que la Chine a construit son propre internet, qu’il existe des milliers d’intranets, et que les gouvernements de l’Égypte et de la Lybie n’ont pas eu besoin d’aide pour interrompre le fonctionnement dans leur propre pays. Il arrive aussi que des ruptures de câbles sous-marins isolent un groupe de régions pendant une à plusieurs semaines. L’internet est un réseau de réseaux autonomes depuis son ouverture commerciale au début des années 80. Il est fragmenté par construction, et il le restera. Il en va de même du réseau téléphonique mondial, ce qui n’empêche nullement d’appeler un correspondant dans n’importe quel pays. Toute évolution majeure de l’internet est en fait conditionnée par le niveau de consensus entre les principaux acteurs, opérateurs, industriels télécom, fournisseurs de contenus, lobbies transnationaux, et quelques gouvernements.
Il fut certes un temps où l’ICANN, mandataire du gouvernement US, faisait la loi. On observe maintenant, selon M. Pouzin, un réveil des gouvernements dits du sud, tout en déplorant le peu d’implication des acteurs de l’industrie. Le tropisme de fragmentation se renforce à mesure que les enjeux techniques deviennent minoritaires au regard d’autres domaines comme la propriété intellectuelle, le filtrage des informations, les investissements en infrastructure, la législation, la criminalité, ou les facteurs culturels et religieux.
Philippe Wolf, docteur en Informatique, ingénieur général de l’Armement, et Conseiller du Directeur général de l’ANSSI, a intitulé sa présentation avec deux questions: “La Cybersociété, société de l’information ou société de la désinformation?” et “Les Cyberconflits, où va la sécurité des systèmes d’information?”
Internet, souvent présenté comme un espace de non-droit, se structure en zones plus homogènes avec, au mieux, des accords bilatéraux généraux et faiblement opérants. Ces zones seront le reflet d’un affrontement très clair entre plusieurs modèles de cybersociété ayant chacune leurs valeurs portées dans leurs modèles de protection des systèmes d’information. M. Wolf a distingué, entre autres, le modèle libéral nord-américain (la liberté fonde la démocratie), le modèle chinois (l’organisation fonde la démocratie), le modèle européen où la protection du faible est plus prise en charge par l’État (la dignité fonde la démocratie).
Dans le registre de la souveraineté, des jeux étranges, parfois pusillanimes, se jouent déjà et se joueront : émancipation du contrôle américain de l’Internet de la Chine et bientôt de l’Inde, déclarations tonitruantes de capacités offensives en la matière (USA, …), volonté de désarmement (Russie qui n’a, par contre, pas signé la convention de Budapest sur le cyber-crime), affrontements asymétriques sourds, paradis numériques. M. Wolf en est donc venu à la conclusion que les cyber-conflits vont assurément se multiplier.
Il est ensuite passé à souligner quelques défis futurs en matière de sécurité des systèmes d’information. Il nous faudra, selon M. Wolf, prendre mieux conscience des désinformations qui s’expriment ici encore plus qu’ailleurs. Par exemple, la prise en compte des limites des protections antivirales est récente alors que le théorème d’indécidabilité du virus date de 1984. Il nous faudra mieux comprendre l’articulation entre technologies et sens ou valeur des informations manipulées en repensant le secret. Il nous faudra lutter contre les manipulations, aiguiser notre esprit critique, concevoir de nouveaux mécanismes de régulations. Il devient également urgent de revoir le modèle de protection des systèmes d’information autour d’offres de services complètement intégrés, au niveau de sécurité adéquat, sans que l’utilisateur n’ait à s’en préoccuper. Il nous faudra enfin revisiter le concept de défense en profondeur. La défense de nos systèmes d’information futurs passe assurément par une revalorisation de l’humain qui en sera, contrairement aux clichés, le maillon fort.
Robert Erra, docteur en Informatique, directeur Scientifique des Mastères Spécialisés en Sécurité à l’ESIEA, chercheur en algorithmique pour la sécurité, a centré son exposé sur le Malicious Flash Crash Attack du 6 mai 2010: selon M. Erra, ce cas est un clair signe du fait que “il faudra peut être ralentir les transactions électroniques”.
Peu après 14h, le 6 mai 2010, l’indice S&P du NYSE perd en quelques minutes 10%, plusieurs actions voient leur cours proposés à un penny (Accenture, Procter and Gamble), une action grimpe à 100 000, la SEC décide en fin de journée d’effacer purement et simplement environ 25 mn de transactions : c’est ce qu’on appelle le Flash Crash ou le Crash Éclair. Selon M. Erra, cela a été possible à cause de trois phénomènes : l’apparition des algorithmes de High Frequency Trading (HTF); plus de 50% des transactions au NYSE et de programmes qui les implémentent; l’ utilisation de faux ordres de vente (ou d’achats) d’actions pour « pourrir » les données des concurrents, généralement annulés après quelques millisecondes… ce qui est à l’heure actuelle totalement légal. Cela s’appelle le Quote Stuffing (ou Stub Quote), le “bourrage” de cotations, interdit maintenant au NYSE. Enfin, l’utilisation intensive des réseaux pour réaliser massivement et rapidement le Quote Stuffing.
Les connaisseurs en sécurité informatique auront reconnu dans le Quote Stuffing une forme nouvelle de DoS, un Déni de Service d’un type nouveau : le Déni de Service Financier (FDoS) légal dans de nombreuses places boursières.
Serait-il possible, s’est demandé et a demandé M. Erra, de voir peut-être bientôt apparaître une nouvelle attaque: totalement légale cette fois-ci, le « Crash Éclair Malicieux », involontaire ou volontaire ? La réponse est affirmative, d’où le titre de la présentation, The Malicious Flash Crash Attack. M. Erra a présenté les deux variantes de cette attaque, une totalement légale et une totalement illégale.
Peut-on se protéger conter ce type d’attaques, a demandé enfin M. Erra? A moins de ralentir les réseaux utilisés pour ces transactions bancaires et d’interdire purement et simplement la pratique du Quote Stuffing, et en espérant que les algorithmes de HTF ne soient pas trop mal programmés, il semble difficile d’éliminer à 100% le risque de voir le NYSE s’écrouler en quelques minutes suite à un Crash Éclair Malicieux.
Michel Riguidel, professeur émérite à Telecom ParisTech, enseignant de sécurité numérique et réseaux de nouvelles générations, controversé opposant de la neutralité du net, a abordé les deux thèmes suivants dans sa présentation: la personnalisation de l’infrastructure et la transparence du réseau. Pourra-t-on bientôt construire ou configurer son propre réseau de telle manière qu’on puisse le superviser soi-même ? Est-il possible d’en confier l’exploitation et la supervision en toute transparence à un tiers ? Et qu’en est-il de ses propres calculs ? Qu’en est-il de la conservation de ses propres données ? Les propriétés (interopérabilité, neutralité, sécurité, etc.) que l’on exige du réseau ne doivent-elles pas s’appliquer
aussi au calcul et au stockage ? Le monde numérique qui se veut ouvert, interopérable, neutre ne devient-il pas opaque, fermé, discriminant et fragmenté ? La souveraineté numérique et la dignité numérique sont-elles des cibles inaccessibles ? Autant de questions auxquelles M. Riguidel a répondu en mettant en avant les “mutations inexorables” du réseau des réseaux.
Les réseaux s’immiscent toujours plus dans les secteurs d’activité des entreprises ou de la vie quotidienne en bousculant les architectures et les procédures des métiers et des activités. Cette conquête de nouveaux territoires s’accompagne de nouvelles exigences en termes de propriétés des communications (interfaces avec les standards du secteur électrique pour les smart grids, contraintes des secteurs santé, du transport, des finances). Certains voudraient tout changer (l’approche de la page blanche) et contraindre l’industrie à progresser plus vite, d’autres voudraient conserver les modèles actuels sous cloche et laisser faire les usages, a souligné M. Riguidel. L’histoire des sciences et des technologies nous a montré que le progrès technologique ne s’accélère pas ou ne s’arrête pas par décret et qu’il obéit à des lois, en fonction de l’idéologie et du contexte du moment.
M. Riguidel a présenté le règne numérique comme un écosystème dynamique, darwinien, et présenté l’informatique comme une fleur à trois pétales : calculer, communiquer et conserver/stocker. Ces trois fonctions ont des valences techniques, économiques, sociales et politiques qui s’entrecroisent et s’agrègent de plus en plus avec interdépendances. “On ne peut dissocier l’usage des réseaux et leur structure: il en va de même de l’informatique”: ce que M. Riguidel préconise n’est pas une neutralité du réseau, mais une neutralité de l’informatique.
