Blog Cyber-defense

Le livre blanc sur la défense et la sécurité nationale (LBDSN) a été remis officiellement au président François Hollande ce matin. Plus réaliste au vu des contraintes budgétaires, sans rompre complètement avec le précédent opus, celui-ci s'apparente à un recadrage des ambitions françaises.

Surtout, en dehors d'une homothétie du format des armées, le livre blanc de 2013 est marqué par l'essor du cyberespace et du risque de cyberattaques qui "constituent une menace majeure, à forte probabilité et à fort impact potentiel". Déjà, le préfixe "cyber" apparaît 36 fois (hors sommaire) pour 160 pages, quand il apparaissait, en 2008, seulement 6 fois pour 350 pages. C'est un facteur 10, et c'est un signe que le domaine devient un aspect fondamental de la défense et sécurité de la France:

"Le cyberespace est donc désormais un champ de confrontation à part entière."

Ainsi le LBDSN 2013 affirme que le dispositif de cyberdéfense est appelé à s’amplifier "dans les années qui viennent". De quelle manière le LBDSN entend développer ces capacités ?

Un renforcement des capacités militaires de cyberdéfense

Le LBDSN parle de capacités défensives et offensives et d'une chaîne opérationnelle de cyberdéfense "centralisée à partir du centre de planification et de conduite des opérations de l’état-major des armées". La DGA se voit confier le volet technique sans qu'une allusion à la DIRISI ne soit faite, ce qui marque selon nous un désir de conserver cet acteur sous la coupe du chef d'Etat-major des armées.

Milieu à part entière, le cyberespace se voit donc logiquement intégrer la posture permanente de sécurité (PPS). La PPS concernait la protection de notre territoire, de nos approches maritimes et aériennes mais aussi spatiales^[1]. Le LBDSN inclut le cyberespace dans la protection du territoire et parle de "posture de cybersécurité". Nous sommes ici dans l'incantation et il faudra peut être définir plus précisément ce concept, quitte à créer au niveau national un niveau de cyber-menace comme ce qui est fait au sein des forces armées ou pour le plan Vigipirate.

Le LBDSN veut instituer une nouvelle composante de la réserve opérationnelle dédiée à la cyberdéfense. Il insiste surtout sur la capacité à identifier l'origine des attaques et d'évaluer les capacités d'adversaires potentiels.

Le LBDSN aborde également l'effort à fournir en terme de moyens humains "à la hauteur des efforts consentis par nos partenaires britannique et allemand". Ce vœu doit être rapproché du rapport Bockel sur la cyberdefense qui affirmait: “Avec des effectifs qui devraient être de 230 personnes et un budget de l’ordre de 75 millions d’euros, les effectifs et les moyens de l’ANSSI sont encore très loin de ceux dont disposent les services similaires de l’Allemagne ou du Royaume- Uni, qui comptent entre 500 et 700 personnes.”

Enfin le LBDSN insiste sur la nécessaire augmentation du volume des experts en informatique, et de la coopération avec nos partenaires, notamment le Royaume-Unis et Allemagne.

Des réponses aux agressions informatiques majeures

Comme évoqué récemment dans la presse, le LBDSN précise que les activités d'importance vitale verront leur standard de sécurité informatique fixé par un dispositif législatif et réglementaire.

Enfin, il est abordé une doctrine de réponse aux agressions informatiques majeures. Celle-ci repose sur deux manœuvres: celle de la prévention qui sera coordonnée sous l'autorité du premier ministre. Et celle de l'intervention qui se veut être une réponse globale et ajustée faisant appel à divers moyens diplomatiques, juridiques et policiers. En fonction des circonstances, les moyens de la défense seraient utilisés de façon graduée.

Un livre blanc de crise où la cyberdéfense voit son poids renforcé

Ainsi au milieu des réductions tout azimut, la cyberdéfense voit son importance affirmée. Il reste à voir en fin d'année si ces mots seront suivis d'effets budgétaires, lors de la loi de programmation militaire.

A l'heure où la commission s'active pour actualiser le livre blanc de 2008, nous constatons que pour la cyber-défense les résultats du précédent opus ne sont pas là. La France tarde à prendre la mesure de l'importance de ce domaine. La nouvelle fonction stratégique "connaissance et identification" n'a pas non plus été particulièrement développée. Aussi voulons nous formuler 5 propositions qui pourraient être incluses dans le prochain livre blanc de la défense et sécurité nationale. Celles ci ont été formulées en tenant compte d'un contexte budgétaire dégradé: elles ne sont donc pas une utopique liste reposant sur un gonflement du budget de la défense.

1. Généraliser l'utilisation du logiciel libre dans les systèmes d'information de l’État et les infrastructures critiques

Ce principe est le fondement d'un univers cyber sécurisé. Les logiciels propriétaires (i.e. dont le code n'est pas public) peuvent comporter des portes dérobées (back-door en anglais) et des vulnérabilités dont la correction dépend du bon vouloir de l’entreprise ayant fourni le logiciel. A l'opposé: le code libre est transparent, il bénéficie d'une communauté qui peut y participer et corriger les erreurs et vulnérabilités.

En ce qui concerne la cryptographie, on peut traduire ce paradigme par le principe de Kerckhoffs; l’algorithme peut être connu de tous: sa sécurité repose sur la clé, et seulement sur la clé. Cette transparence doit également s'appliquer aux équipements d'infrastructures critiques (routeurs, contrôleurs industriels...) qui devront posséder des micrologiciels (firmware en anglais) libres^[1].

Ce principe est par ailleurs vertueux: non seulement on augmente la sécurité mais en plus on diminue le coût, le logiciel libre étant gratuit. Il faut rendre obligatoire l'informatique libre dans tous les ministères.

2. Créer une cyber-garde républicaine.

La communauté de développeurs et d'experts informatiques française est dynamique. Nous possédons parmi les meilleurs programmeurs mondiaux, héritage d'un fort enracinement des mathématiques dans notre système scolaire. A la manière de ce qui se fait pour le logiciel libre: la contribution d'une communauté mettant ses compétences au profit d'un projet, il faut tenter la même expérience dans la cyber défense.

Ainsi il serait possible d'intégrer dans une cyber-garde républicaine ou cyber-réserve les talents d’informaticiens, sélectionnés pour leur compétences dans des domaines variés. L'avantage c'est qu'il est inutile de fournir une arme ou un uniforme à ces personnes qui disposent déjà des instruments pour appuyer et renforcer l’État. Ceux-ci pourraient se voir confier une mission particulière (participer à un développement, traquer des bugs et des failles dans un logiciel, ou faire du reverse engineering....) ou conserveraient une certaine autonomie dans des domaines de recherches. Ces réservistes bénéficieraient d'équivalent-grades et de rémunérations similaires à ceux de la réserve opérationnelle, en leur versant en fonction de leurs contribution l'équivalent de 10, 20 ou 30 jours d'activité.

3. Créer un secrétariat d’État au cyberespace

Aujourd'hui, l'action de l'état dans le cyberespace est éparpillée entre plusieurs ministères, et coordonnée de manière plus ou moins heureuse pour ce qui concerne la sécurité par le SGDSN. L'importance du cyberespace aujourd'hui devrait justifier à elle seule la création d'un secrétariat d'état, qui décloisonne le développement et l'économie numérique de la sécurité. A cet égard, la sécurité du cyberespace est trop critique pour être seulement coordonnée par le secrétariat général de la défense et sécurité nationale.

Comme aujourd'hui où la direction du budget de Bercy encadre l'action de chaque ministère en matière de budget, ce secrétariat serait chargé de toutes les questions en relation avec le cyberespace de chaque ministère. Cet opérateur commun devrait donc voir certains effectifs jusqu'alors détenus par chaque ministère lui être transférés (y compris des effectifs de la DIRISI^[2]). Cette rationalisation au niveau inter ministériel des SIC apporterait cohérence et économie.

Le directeur de la sécurité du secrétariat d'état au cyberespace devra être alternativement un militaire.

4. Renforcer au sein des forces armées l'organisation des systèmes d'informations

Au sein du ministère de la défense, il faut renforcer le rôle de la DIRISI en lui transférant un maximum de SIC que les armées gardent encore en propre en vertu de leur caractère spécialisé. La DIRISI doit se recentrer sur un cœur de métier qui serait l'opérationnel, tout en conservant un rôle d'interface avec le secrétariat d'état au cyberespace. Le CALID^[3] resterait sous la coupe de la DIRISI; et de même un laboratoire de lutte informatique offensive serait créé. La montée en puissance de la DIRISI, qui devra rester sous les ordres du CEMA pour marquer son caractère opérationnel, pourrait conduire à moyen terme à la naissance d'une quatrième arme: celle du cyberespace.

La DIRISI bénéficiera d'une double subordination au CEMA et au Secrétaire d’État au cyberespace qui sera en mesure de demander son concours pour des missions particulières. A la manière de ce qui se pratique dans l'organisation territoriale de la défense, pour laquelle les militaires apportent leur concours pour les opérations intérieures, la DIRISI apportera son expertise et ses moyens.

5. Créer un Événement autour de la cyber-défense et cyber-sécurité de dimension majeure

Il existe certains rassemblements privés tel la Hack in Paris par exemple. Ici le but serait de créer un rassemblement similaire qui serve les intérêts de la Nation. Comment ? D'abord en permettant de recruter. En faisant découvrir les métiers des armées, ou encore la cyber-réserve évoquée plus haut. Ensuite en créant plusieurs concours dotés de prix importants. Les concours créent l’émulation et permettent de comparer le talents des informaticiens. Dans la sphère informatique, la compétition est une valeur fondamentale, comme les coding-parties^[4] peuvent l'illustrer.

Cette manifestation devrait proposer plusieurs "challenges" et plusieurs catégories: des lycéens jusqu'aux professionnels du secteur, en équipe et/ou en individuel. En dotant ce concours d’au moins 1 million d'euros de prix, on s'assurerait d'une participation de très haut niveau. Cette somme apparaît dérisoire en comparaison par exemple du budget de fonctionnement de la HADOPI (10 millions d'euros en 2012), qui se révèle d'une utilité plus que contestable ^[5].

Certaines catégories pourraient être ouvertes à la compétition internationale, car dans ce domaine il s'agit aussi d'attirer des talents étrangers.

Cette grande manifestation serait le moment privilégié pour le recrutement et la communication de l’État vers la communauté informatique et le grand public.

Conclusion

Le futur livre blanc est l'occasion pour le politique de marquer l'importance accordée au cyberespace. Dans un contexte budgétaire contraint, il y a pourtant tout lieu d'être optimiste. En effet, la défense du cyberespace repose d'abord sur l'homme et l'intelligence plus que sur l'équipement. Cette dépendance donne du sens à nos propositions.

A l'heure où deux rapports soulignent la difficulté du ministère de la défense français à maîtriser ses systèmes d'information et de communication^[1], il n'est pas inutile d'examiner l'organisation actuelle des armées françaises en terme de système d'information et de communication (SIC). Et de réfléchir aux futures évolutions.

Le livre blanc de la défense et la sécurité nationale de 2008 avait introduit une cinquième fonction clé de notre outil de défense: connaître et anticiper. A la lumière des opérations récentes (Libye, Afghanistan, Sahel), ce cinquième pilier de notre défense apparaît indispensable; néanmoins il nécessite des investissements importants dans un certain nombre de capacités qui n’ont pas à ce jour été totalement réalisés. Ainsi dans le domaine de l’identification (et principalement lors de projection de puissance), sur quelles capacités se concentrer dans les quinze prochaines années ?

Un budget d'équipement contraint empêche une totale autonomie de moyens dans le vaste spectre technologique que recouvre l’identification. Ce contexte nous porte ainsi à rechercher des partenariats européens afin de récolter les bénéfices que les nouvelles technologies ne manqueront pas d’apporter dans les prochaines années à la conduite des opérations.

Après avoir évoqué les problèmes actuels que pose l’identification, nous examinerons les solutions technologiques dans lesquels nos efforts devraient se concentrer, enfin nous proposerons un cadre pour assurer un compromis entre souveraineté et efficience des solutions choisies.

André Yché, ancien pilote de transport de l'armée de l'air, devenu contrôleur général des armées et directeur adjoint du cabinet d'Alain Richard alors ministre de la défense, nous livre ce mois-ci aux éditions Economica un essai sur sa vision de la Défense française. A l'heure de la révision du livre blanc de 2008, des élections présidentielles et dans un contexte de crises, ce questionnement est bienvenu, et André Yché délivre un message résolument novateur.