Cyberdéfense – La guerre de demain se joue aujourd’hui

Disparition des frontières numériques

Internet va disparaitre, c’est le constat dressé par Eric Schmidtt au forum économique de Davos en 2015, alors président exécutif du conseil d’administration de Google. Si cette affirmation peut à première vue étonner il convient de la prendre dans son entièreté pour comprendre son sens : « Il y aura tellement d’adresses IP, tellement d’appareils connectés, de capteurs et d’objets avec lesquels vous interagiriez que vous ne vous rendrez même plus compte de la présence d’internet, il sera tout autour de vous ». Il faut alors comprendre la citation dans le sens de la disparition d’internet et non sa mort. Cette prophétie met en exergue l’interconnexion entre le monde numérique et le réel, il en va de même pour les menaces qui pèsent sur chacun de ces espaces qui nécessitent une cyberdéfense organisée.

La cyberdéfense comme enjeu de Sécurité nationale

Le cyberespace, un territoire à protéger

Dans ce contexte, pour qu’un Etat conserve sa souveraineté nationale, il est essentiel qu’il protège son territoire, l’assise de ses pouvoirs, et à ce titre, l’espace numérique de plusieurs types de menaces.

Celles-ci peuvent être du domaine de l’espionnage, qui est étroitement lié à l’informatique depuis sa naissance et à la machine de Turing. Le sabotage est également un moyen courant d’exercer son influence comme avec l’utilisation de Stuxnet pour dégrader les turbines de centrales nucléaires iraniennes et ralentir le programme nucléaire militaire. On peut également penser à des moyens de déstabilisation comme l’astroturfing qui utilise les moyens numériques afin d’influer sur l’opinion politique étrangère en ayant recours à des comptes en apparence légitimes. Enfin, concernant la menace cyber, on constate une forte porosité entre certains groupes cybercriminels privés et les acteurs étatiques comme dans le cas de Fancy Bear, suspecté d’être en lien avec la Direction générale des renseignements (GRU) des forces armées de la Fédération de Russie.

En 2005, deux officiers du corps des Marines théorisent le concept de guerre hybride pour décrire la situation à laquelle ils font face en Irak. Ils la définissent comme étant l’action
d’« adversaire qui emploie simultanément et de façon adaptative un mixte d’armes conventionnelles, de tactiques irrégulières, de terrorisme et de comportements criminels dans l’espace de bataille ». Bien que plus rares à l’époque, les cyberattaques rentrent parfaitement dans cette définition de par le faible coût de celles-ci par rapport aux impacts lourds qu’elles peuvent causer et le coût en cyberdéfense engendré.

Des cyberattaques toujours plus difficiles à attribuer

De plus, les cyberattaques ont l’avantage de ne pas impliquer directement l’État, car les acteurs peuvent les mener depuis leur propre sol, ce qui les rend difficiles à attribuer. En effet bien qu’il soit possible de retrouver des traces sur l’origine de l’attaque, il est très aisé de mener des opérations sous fausse bannière en faisant porter l’accusation à un autre camp. En conséquence peu d’Etats se risquent à accuser ouvertement les pays potentiellement originaires des attaques, d’autant plus que le droit international reste muet sur la question. La France ne fait pas exception à cette doctrine et n’attribue pas publiquement les cyberattaques. A l’inverse, certains pays comme Israël ont déjà réagi de manière physique aux agressions numériques, en détruisant par exemple un centre d’opérations cyber du Hamas à l’aide de missiles.

Importance de la préparation et de la planification dans une stratégie globale de Défense nationale

Les attaques cyber se mêlent également avec le retour des conflits de haute intensité comme en Ukraine, dont les opérateurs télécoms sont une cible de choix. Cependant l’impact s’est retrouvé relativement limité en comparaison à ce que beaucoup d’experts prédisaient au vu de l’arsenal cyber russe. On pourrait en tirer comme conclusion que la guerre cyber n’est en réalité que de second plan, mais cela serait oublier la résilience inédite acquise par l’Ukraine depuis 2015 qui a permis à la cyberdéfense de prendre l’ascendant sur l’offensive.

En parallèle, la Chine se dote depuis 1998 de son propre internet au travers du Golden Shield Project. Celui-ci devrait lui permettre à terme de protéger son espace numérique des influences informationnelles et des cybermenaces.

Depuis quelques années et face à la prolifération des cyber-menaces, la cyberdéfense est également rentrée au cœur des agendas politiques occidentaux et est même devenue un sujet de grande politique qui nécessite des moyens législatifs et techniques sans précédents. Chaque pays disposant de sa politique, les Etats doivent mettre en place un effort important de coopération afin de se protéger.

Danger de l’offensif

Entre difficultés techniques et juridiques

Dans un environnement où il coûte bien moins cher de mener des attaques que de s’en défendre, il pourrait être tentant pour un Etat de s’en remettre à l’adage « la meilleure défense c’est l’attaque » en envisageant des actions offensives contre ses belligérants numériques. Cependant cette approche romprait avec la frontière nette qui existe aujourd’hui entre l’offensif et la cyberdéfense. De plus elle apparait très risquée quand on prend en compte la fragilité de ses propres espaces numériques.

Très concrètement, la Convention des Nations Unies réglemente le droit des conflits armés, mais sa pensée se centre sur les conflits traditionnels, notamment post Seconde guerre mondiale. La question de la cyberguerre entre les Etats, notamment du recours légitime à la force armée par un Etat contre un autre suite à une cyberattaque, n’est pas réglementée au niveau international. Cette situation provoque un vide juridique qui pourrait tantôt entraîner l’inaction des Etats, tantôt des actions disproportionnées.

La position affirmée de l’OTAN et de la France

La France qui s’interdisait jusqu’en 2019 de mener des cyberattaques a progressivement fait évoluer sa doctrine pour s’autoriser leur utilisation aux fins de riposte. L’OTAN a également établi sa propre doctrine au sein du manuel de Tallinn. Il s’agit d’une transposition du droit international aux cyberconflits. Ce manuel présente la position de l’Organisation sur le sujet ; l’Organisation et ses Etats parties (dont la France) se réservent le droit d’intervenir militairement contre un autre Etat, s’il est avéré que celui-ci est responsable d’une cyberattaque ayant eu des effets significatifs contre un Etat partie à l’organisation.

A ce titre, le ministère des armées français précise dans un communiqué que « La France exerce sa souveraineté sur les systèmes d’information situés sur son territoire […] En réponse à une cyberattaque, la France peut envisager des réponses diplomatiques pour certains incidents, des contre-mesures, voire une action de contrainte mise en œuvre par les forces armées pour les atteintes constitutives d’une agression armée ».

En définitive, l’OTAN et la France reconnaissent qu’une cyberattaque peut avoir la même gravité qu’une agression armée, sur ce constat, une telle atteinte menée par un Etat, peut justifier le recours à la force armée. Cette conception n’a, pour l’heure, pas été invoquée mais illustre bien que les Etats membres de l’OTAN entendent se protéger vis-à-vis des cyberattaques étatiques, voire d’une cyberguerre.

Se doter d’un arsenal cyber, une quête à double-tranchant

Le développement et l’emploi d’armes cyber offensives posent également des risques quant à leur potentielle réutilisation par des acteurs privés, comme ce fut le cas avec NotPetya qui réutilisait des outils développés par la NSA. Cet outil utilisait des vulnérabilités découvertes par l’agence américaine et gardées secrètes afin de continuer à les exploiter sans que les éditeurs de logiciels ne les corrigent. Cela place certains pays dans un état schizophrénique où ils imposent aux équipementiers de revoir leur sécurité pour renforcer leur posture de cyberdéfense et en même temps s’efforcent de développer un arsenal offensif qui contribue à fragiliser l’espace cyber.

Planification et loi de programmation militaire

Dans un monde interconnecté où les frontières entre le numérique et le réel s’estompent, la cybersécurité est devenue un enjeu crucial pour la souveraineté et la sécurité nationale. La cybersécurité nécessite une planification forte pour faire face aux cyberattaques, que ce soit sur le plan technique ou législatif. Dans ce contexte, la nouvelle loi de programmation militaire revêt une importance capitale pour faire face aux menaces d’aujourd’hui et de demain afin de protéger sa souveraineté.

Co-écrit par Romain Felgines et Ugo Vaucel.