Le droit à la cyber-riposte pour tous inquiète l'ANSSI

Du 6 au 10 avril prochain va se tenir à Paris, et plus exactement dans les locaux de l'Unesco, une conférence qui aura pour thème « Construire la paix et la sécurité internationales de la société numérique ». Aux commandes de l'organisation, on retrouve l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), le SGDSN (Secrétariat Générale de la Défense et de la Sécurité Nationale), ainsi que les ministères des Affaires Étrangères et de l'Economie et des Finances. L'objectif d'une telle manifestation est de mener « une réflexion avec les opérateurs (avec la présence confirmée de Microsoft et de Huawei), la société civile (Richard Stallman est attendu), les experts comme les juristes et les techniciens sur la création d'un droit adéquat, des nouvelles pratiques ou d'une nouvelle régulation dans le contexte de la cyberguerre », explique Louis Gautier, secrétaire général de la Défense et de la Sécurité  Nationale.Nationale. Et de souligner : « Il est bon de faire entendre une voix européenne sur des sujets où les anglo-saxons sont très présents. »

Plusieurs questions vont donc être posées lors de ce rassemblement : quel est le rôle respectif des États et des acteurs privés dans le domaine de la régulation de la sécurité numérique ? Comment se déroule la prévention, la protection et la réaction ? Faut-il une charte des droits de l'être humain et du citoyen du monde numérique ? Pour préparer cette conférence, des travaux et des séminaires ont déjà eu lieu et un site internet a été mis en place : jesuisinternet.today

Inquiétude sur le développement du hack back

Parmi les réflexions de cette conférence, Guillaume Poupard, directeur général de l'ANSSI, est revenu sur une pratique en voie de développement, le « hack back ». Il s'agit ni plus ni moins que la création d'un droit à la riposte en cas de cyberattaques. « Aux États-Unis, les discussions sont très avancées dans ce domaine avec une proposition de loi sur ce sujet », explique le responsable. Cette loi a été proposée par l'élu de Géorgie, Tom Graves, et donne la possibilité aux entreprises attaquées la possibilité d'« accéder à l'ordinateur de l'attaquant sans son autorisation [.] pour récolter des informations afin de constater une activité criminelle et la partager avec les forces de l'ordre ou de perturber l'activité non autorisée ».

Une technique qui inquiète Guillaume Poupard. « Nous avons très peur de ce concept qui peut mener à une déstabilisation du monde cyber. » Et d'ajouter : « Que les Etats puissent mener des attaques cela semble acquis aujourd'hui. Par contre que les entreprises puissent faire la même chose, c'est la porte ouverte à des dérives. » Pour lui, ces risques sont de deux natures : « Il y a d'abord les erreurs de cibles. Le problème de l'attribution des attaques est compliqué et délicat. On peut donc se tromper en ripostant. De même, il peut y avoir un effet d'aubaine en attaquant un concurrent  sans preuves. »

Le terrain politique, une nouvelle donnée à prendre en compte

Cette conférence s'inscrit aussi dans un contexte électoral. Même si les débats ne devraient pas porter sur ce sujet, les questions de cyberattaques sont devenues un enjeu du monde cyber. « L'année 2015 a été l'année des médias avec l'attaque de TV5 Monde, les années 2106-2017 sont  l'année des partis politiques », constate Louis Gautier.  Et de citer les affaires aux Etats-Unis avec le parti démocrate victime de piratages pendant la campagne électorale.

Un avertissement qui a obligé l'ANSSI et le SGDSN à se mobiliser et à expliquer les risques aux partis politiques et aux candidats à l'élection présidentielle. Un exercice pas facile, car « les partis politiques sont des PME et qu'il faut adapter les questions de sécurité à leur taille. Nous n'avons pas l'intention d'installer des sondes comme dans les ministères », indique Guillaume Poupard. Pour autant, il se veut rassurant et prudent. « Nous n'avons pas constaté jusqu'à maintenant de grosses attaques. » Nonobstant, cela n'a pas empêché l'annulation du recours au vote électronique des Français habitant à l'étranger pour les élections législatives.  Une décision assumée par les deux responsables : « L'audit a montré que la solution proposée n'était pas optimale pour faire face à des menaces fortes. »

Concernant les fausses nouvelles (fake news), l'ANSSI est vigilante, mais fait confiance « aux GAFA et aux médias pour travailler sur ces sujets ».

A lire aussi :

Hacking des élections : les partis politiques français sont-ils prêts ?

François Hollande veut protéger la présidentielle des cyberattaques

Photo credit: byzantiumbooks via VisualHunt.com /  CC BY