Obama Preparing to Counter Cyberattacks

<--

Obama veut pouvoir riposter aux attaques

Barack Obama se prépare à une cyber-guerre.

Lorsque le directeur du renseignement national a présenté le 12 mars dernier au Sénat son bilan annuel sur les menaces les plus graves pesant sur les États-Unis, il n’a pas mentionné, à la surprise générale, le terrorisme, mais les cyber-attaques. Une première. Les autorités américaines n’hésitent plus à pointer du doigt la Chine, championne du cyber-espionnage. À en croire la rhétorique qui prévaut à Washington depuis le début de l’année, les États-Unis se préparent même activement à la cyber-guerre. Le général Keith Alexander, chef de la NSA, l’agence de surveillance électronique, et du nouveau Cyber Command subordonné au Pentagone, a parlé pour la première fois publiquement “d’offensive” et de représailles possibles en cas d’attaque. États, cyber-terroristes, hacktivistes : personne ne sera épargné, si les États-Unis viennent à subir une attaque massive.

En 2012, le président Obama avait établi à cet effet une doctrine militaire, classée secret-défense, qui inclut des lignes rouges au-delà desquelles il peut ordonner une cyber-attaque. Le public ignore où ces lignes se situent. Pour se préparer, le Cyber Command, créé en 2010 avec 900 hommes, doit recruter une armée de 4.000 militaires et civils d’ici à 2015. Ce sont 13 équipes de “cyber-soldats” qui seront habilitées à mener des attaques contre les nations étrangères qui s’en prendraient aux États-Unis ; 27 autres seront chargées de formation et de surveillance des réseaux électriques, énergétiques, Internet, etc.

700.000 experts pour 2015?

Une telle capacité de surveillance, secrète de surcroît, fait débat. Mais, pour les experts, les menaces venant de Chine, et dans une moindre mesure d’Iran et de Russie (la France et Israël sont aussi cités dans un récent rapport du National Intelligence Estimate sur le cyber-espionnage) méritent la plus grande attention. La société Mandiant a rendu public en février un rapport établissant des liens entre de nombreuses cyber-attaques aux États-Unis et l’armée chinoise. Google, Twitter, Lockheed Martin dans le domaine militaire, General Motors, représentent une poignée seulement des dizaines d’entreprises qui ont fait l’objet de vol de données imputés à la Chine. Le secteur financier à New York a fait l’objet en août dernier d’une attaque attribuée à l’Iran, empêchant des milliers de clients d’accéder temporairement à leur compte. L’impact fut modeste, mais les experts relient l’incident au virus Shamoon qui a effacé le contenu de 30.000 ordinateurs de la société pétrolière saoudienne Aramco.

Si certains estiment que les autorités exagèrent la menace, d’autres pensent au contraire que les États-Unis ne sont pas prêts à faire face à une attaque massive. Le Congrès fait traîner depuis deux ans une législation sur la cyber-sécurité. Tous les experts parlent d’une pénurie alarmante de spécialistes. “4.000 hommes pour le Cyber Command, c’est une goutte d’eau dans la mer. Le National Institute of Standards and Technologies recommandait dans son dernier rapport 700.000 experts en tout pour 2015”, note Kevin Coleman, cyber-expert au Technolytics Institute de Pittsburgh. La coopération entre le secteur privé et les agences gouvernementales, absolument cruciale pour faire face aux attaques, serait encore loin d’être idéale.

10 milliards pour se protéger

“Le secteur privé ne comprend pas toujours quel est l’objectif final de la cyber-sécurité”, explique Steve Chabinsky, ancien n°2 à la cyber-sécurité du FBI, selon lequel le gouvernement doit se concentrer sur la dissuasion plutôt que sur la réduction du risque. Les entreprises américaines ont dépensé 10 milliards de dollars en 2012 pour se protéger des cyber-attaques. À Washington, les autorités ont déjà considérablement accru la pression sur la Chine depuis janvier. Le Cyber Command a élaboré avec ses alliés occidentaux de l’Otan un guide des règles de la cyber-guerre (pas d’attaque contre les hôpitaux, les centrales nucléaires). Mais à l’échelle internationale, le consensus est loin d’exister sur un cadre légal de la cyber-activité. L’attaque Stuxnet en 2010 contre le programme nucléaire iranien (jamais admise par les États-Unis ni par Israël) par exemple est considérée par les uns comme une attaque militaire, par d’autres comme une mesure préventive. Les experts eux mettent en garde contre l’effet boomerang des attaques. Pour l’ancien cyber-conseiller de Barack Obama, Howard Schmidt, la boîte de Pandore est hélas déjà ouverte. “Elle a été ouverte le jour où l’on a touché à des réseaux industriels. Ceux qui croient que l’on peut lancer un virus sans répercussions jouent avec le feu.”

Eugène Kaspersky, fondateur de Kaspersky Lab, rappelle, quant à lui, que contrairement aux armes conventionnelles, les cyber-armes ont la capacité d’être “reconstituées, rechargées et renvoyées” dans le sens inverse…