Aller au contenu

1

I Bari, Le Caravage (c. 1594)
I Bari, Le Caravage (c. 1594)

La société BetOnSports (littéralement "parier sur les sports"), fondée en 1995, avait localisé ses activités dans certains paradis fiscaux bien connus (Antigua, Aruba et Costa Rica), mais réalisait une grosse partie de son chiffre d'affaires sur le marché des Etats-Unis.

Cela lui a valu l'intérêt en 2006 de l'administration fiscale et des autorités judiciaires pour différentes infractions présumées, dont l'évasion fiscale, le racket et des escroqueries... Onze de ses dirigeants sont ainsi poursuivis dont le fondateur Gary Kaplan et David Carruthers, directeur général de la société. Ils sont tous les deux détenus par la justice américaine.

Comme souvent dans ce genre de dossiers aux U.S.A, les personnes mises en cause ont été amenées à accepter une reconnaissance de culpabilité et ne devraient donc pas faire l'objet d'un procès. C'est ce qu'annonçait vendredi dernier le ministère de la justice américain. Kaplan devrait ainsi être condamné à une peine de 4 ans d'emprisonnement et a accepté de verser près de 44 millions de dollars.

Leur société, BetOnSports, employant près de 2000 personnes au Costa Rica est en cessation de paiement, a été interdite d'activité à destination du public américain et pourrait essayer de se redresser sur d'autres marchés.

Où en est la situation en France ?

La France, comme les autres pays de l'Union Européenne, est contrainte d'ouvrir son marché à des sociétés de jeux et de paris en ligne et l'échéance du 1er janvier 2010 s'approche. Ainsi, un projet de loi a été présenté par le ministre du budget début 2009. Ce projet reposera sur un principe de licence délivré par l'État français (pour une durée de cinq ans), une taxation des mises et la création d'une autorité de contrôle.

Il s'agit ici tout autant de protéger le consommateur français (qui est déjà client de ces services en ligne, souvent en toute illégalité et parfois avec le risque de se faire escroquer) que de préserver l'équilibre d'un monopole préexistant qui assure des revenus non négligeables pour le budget de l'État. L'exemple de BetOnSports cité en début de cet article illustre particulièrement l'intérêt d'un encadrement efficace lors de l'ouverture du marché français et évidemment d'un accent fort à porter sur la coopération européenne et mondiale contre les activités les moins recommandables qui côtoient souvent les entreprises les plus sérieuses dans ce domaine d'activité.

La discussion de ce projet de loi est annoncée pour le début de l'automne à l'assemblée nationale. Je ne manquerai pas de suivre ces débats avec mes lecteurs et notamment leur impact sur la sécurité en ligne des internautes et l'activité criminelle.

En complément à mon billet d'hier sur l'attaque contre Twitter de la semaine passée, Arbor Networks en ferait une analyse intéressante tendant à indiquer qu'il ne s'agit effectivement que d'un événement de faible amplitude et qu'au même moment des attaques beaucoup plus importantes avaient lieu (contre un opérateur asiatique par exemple).

(Plus d'informations ici)

Cela confirmerait les inquiétudes sur la résistance de telles plateformes à des attaques de grande ampleur.

1

Image du blog de Cyxymu
Image du blog de Cyxymu

Les vacances sont finies pour moi ou presque, l'actualité n'a pas été particulièrement active. J'ai continué d'alimenter la liste de signets que vous voyez dans la colonne de gauche du présent blog (sous le titre : "Mes derniers bookmarks").

Un "événement" a fait la une de l'actualité, y compris dans les principaux journaux français (Le Monde par exemple et plus ici), à savoir l'attaque dont Twitter et Facebook ont été victimes. Je suis presque contraint de l'évoquer, tout en soulignant que des attaques en déni de service sont quotidiennes sur Internet, mais ce n'est pas réellement là le sujet.

Une attaque en déni de service distribué (plus d'explications sur Wikipédia), tout d'abord, consiste à empêcher l'accès des usagers légitimes d'un service sur Internet (donc par exemple un site Web tel que Twitter ou Facebook, ou votre blog personnel) en initiant des connexions multiples depuis plusieurs endroits sur Internet (d'où la notion de distribution).

Ce type d'attaque a été rendu célèbre par les événements survenus en Géorgie l'année dernière, où des attaques coordonnées contre les sites Web gouvernementaux ont accompagné les tensions militaires avec la Russie du mois d'août 2008. C'est donc assez logiquement qu'une explication politique a été trouvée à cette attaque contre Twitter et Facebook. En effet, l'hypothèse d'un attaque ciblant Cyxymu, un abonné Géorgien de Twitter et Facebook et s'exprimant pour l'indépendance la défense d'intérêts liés à la situation de l'Abkhazie s'est très rapidement propagée.

Évidemment, l'utilisation croissante de ces sites par des personnalités du monde politique n'est pas pour rien dans cette médiatisation de l'incident. Et la politique est souvent évoquée dans le cas d'attaques rendues publiques au cours des trois dernières années. La torpeur de l'été y est sans doute aussi pour quelque chose et cela montre aussi l'intérêt des médias pour ces nouvelles formes de communication et de diffusion de l'information.

La réalité des attaques en déni de service est qu'elles sont quotidiennes sur Internet. Les botnets, par exemple, que j'ai évoqués à plusieurs reprises ici, permettent ce genre d'attaques. Ces types de services sont même commercialisés par des groupes criminels pour quelques dizaines ou centaines de dollars, vantant la possibilité d'empêcher le fonctionnement du site Web de son concurrent. Certains (comme Max Kelly, directeur de la sécurité chez Facebook, répondant ici à CNet News), ont émis l'hypothèse que cette attaque particulière aurait été rendue possible grâce à la diffusion de spams supposément émis par Cyxymu et conduisant des milliers d'usagers à se connecter en même temps sur son "tweet" (blog de Cyxymu).

L'explication est-elle convaincante ? L'information sur la coïncidence entre le spam visant Cyxymu et les incidences sur Twitter et Facebook est perturbante, parce qu'elle vise encore la Russie ou plutôt des citoyens Russes, mais sa source est intéressante : Max Kelly a certainement accès aux journaux des serveurs Web de sa société (Facebook) et donc à l'origine des clics qui ont conduit à cet incident, où en tous cas d'une partie d'entre eux.

Cette affaire mérite-t-elle un tel intérêt ? Oui, au sens où la défaillance pendant plusieurs heures d'un site Web aussi utilisé (et utile selon les points de vue) que Twitter en tant que telle est un événement. Les protections contre les attaques en déni de service ne sont pas facile à mettre en œuvre et supposent souvent d'installer des infrastructures supplémentaires en amont des serveurs Web pour filtrer les requêtes problématiques. Il semblerait que dans ce cas il s'agissait - au moins partiellement - de connexions légitimes provenant d'internautes réels utilisant leur propre navigateur : il paraît difficile d'imaginer de filtrer de telles connexions (il faudrait filtrer au niveau applicatif, à savoir sur la base du contenu de la requête lui-même - l'adresse de la page demandée - qui est quasiment le même pour tous les clics).

En tous cas, il sera essentiel que des dispositifs plus efficaces soient inventés pour lutter contre les attaques en déni de service, notamment dans le cas de serveurs utilisés par autant d'internautes dans le monde. Le "cloud computing", c'est-à-dire le développement de technologies qui permettent de stocker toutes ses données dans des serveurs accessibles et exploitables de partout sur Internet n'est pas viable à long terme dans de telles conditions (on voit combien les incidents dont souffrent parfois les plateformes de Google fait douter ses usagers).

PS: Information incidente révélée aujourd'hui par Jose Nazario de chez Arbor Networks (origine ici). Celui-ci a découvert pendant des investigations sur cette affaire d'attaque en déni de service contre Twitter, que des comptes Twitter sont utilisés par des criminels Brésiliens comme outil pour diffuser les commandes à destination d'un botnet, dont la fonction est vraisemblablement la collecte illégale de données personnelles.