Botconf

Premiers pas sur le #fédiverse pour la communauté cyber / RI&IN

Dans un article précédent, je faisais un premier point sur les enjeux du fédiverse pour les enquêteurs. Aujourd’hui, je vous propose quelques éclairages sur le fonctionnement de ces plateformes pour l’utilisateur qui cherche à faire de la veille sur ces « nouveaux » réseaux sociaux ou en comprendre le fonctionnement.

Choix du serveur (ou instance)

La question pour laquelle beaucoup d’utilisateurs semblent achopper est celle du choix du serveur, qui en réalité est une richesse: quel que soit le serveur qu’on choisit parmi ceux qui sont intégrés dans le fédiverse (et donc qui utilisent le protocole ActivityPub), ils sont interconnectés et permettent d’interagir avec tous les autres. Dans le même esprit, vous choisissiez votre prestataire de courrier électronique soit chez votre fournisseur d’accès ou parmi des milliers de fournisseurs disponibles en ligne et vous pouvez échanger des courriels avec tout le monde.

Ensuite ces différents serveurs ont des spécificités: le logiciel utilisé et la communauté qu’ils regroupent.

Type de serveur

Le fédiverse regroupe différents types de serveurs qui ont chacun des spécificités, tous reposant sur le concept de micro-blogging:

Si on veut commencer, le plus simple est indéniablement de choisir un serveur mastodon, mais n’ayez pas peur de vous lancer sur l’un des autres.

Communauté

Ensuite, en fonction du type de logiciel, on peut souhaiter rejoindre une communauté dont on se sent proche. Dans le champ de la cybersécurité, les services suivants sont disponibles [n’hésitez pas à m’en signaler d’autres] :

Parmi mes lecteurs, certains pourront être intéressés par la communauté scientifique francophone avec le serveur sciences.re, administré par Rémy Gumblatt.

En pratique, outre le fait de savoir qui administre son serveur, donc une démarche de proximité ou de confiance, être sur le serveur d’une communauté permet de bénéficier de façon naturelle d’un effet de groupe, au travers de la visibilité sur l’ensemble des comptes auxquels sont abonnés les utilisateurs de votre serveur. Vous pouvez retrouver un exemple sur le serveur réponse à incidents riin.fr en suivant ce lien (quand on est sur le site, menu Fil public global).

Enfin, tous les logiciels évoqués ci-dessus étant disponibles sous forme de logiciel libre, donc il vous est possible d’installer votre propre instance, pour héberger votre propre communauté au sein du fédiverse.

Mais BlueSky et Threads ce n’est pas la même chose ?

Non, pas en l’état. Quelques éléments rapides sur les alternatives privées émergentes: Threads de Meta (Facebook) qui promet d’être relié au fédiverse « bientôt » n’est actuellement pas disponible en Europe (pour des questions juridiques) et Bluesky est uniquement disponible sur invitation et surtout n’est pas compatible avec ActivityPub et donc le fédiverse, mais utilise un autre protocole (ATProtocol). Tumblr avait annoncé il y a quelques mois vouloir rejoindre le fédiverse et le protocole ActivityPub, ce n’est pas encore le cas non plus.

Identité sur le fédivers

Son identité sur le fédivers ressemble à celle que vous connaissez pour le courrier électronique, ou lorsque vous donnez l’URL vers un profil sur un réseau social traditionnel. Il est donc représenté de deux façons: @pseudo@serveur.social ou https://serveur.social/@pseudo. Le choix de son pseudonyme est important parce qu’il doit être unique sur chaque instance (mais plusieurs comptes peuvent utiliser le même pseudonyme sur des instances différentes), mais ce qui est important à comprendre c’est que cette version courte sera souvent la seule affichée dans les messages publiés quand vous êtes cité (avec un lien vers le profil complet).

L’autre partie de son identité est tout aussi classique: le nom public, que l’on peut changer autant de fois qu’on le souhaite, contrairement au pseudonyme, ainsi que sa biographie ou son avatar. Il est recommandé de modifier très vite ces différentes informations pour améliorer votre visibilité et vos interactions.

Transférer un compte

Le protocole ActivityPub, notamment tel qu’il est implémenté avec mastodon, permet de transférer très facilement son compte vers une autre instance.

Pour ce faire, une fois le compte créé sur la nouvelle instance, on configure en alias le premier compte (pour autoriser les données qui vont arriver en entrée), puis on initie le transfert depuis son premier compte. Le premier compte ne sera alors plus actif pour publier, conservera les anciens messages que vous avez publiés, et comportera un lien automatique vers votre nouveau compte.

Les utilisateurs qui vous suivent (vos « followers »), sont alors automatiquement transférés vers la nouvelle instance. Les utilisateurs que vous suivez en revanche doivent être exportés depuis l’ancien compte et réimportés dans le nouveau compte.

[Edit 17/11/2023 20:22] Petite spécificité du fédiverse, il n’est pas possible de changer son pseudonyme. Aussi, la seule solution serait alors de transférer son compte vers le nouveau pseudonyme.

Utiliser plusieurs comptes

Il y a différentes raisons d’utiliser plusieurs comptes dans le fédiverse :

  • tester simplement différentes plateformes ;
  • séparer ses usages personnels et professionnels ;
  • avoir une visibilité plus fine sur différentes communautés, notamment pour faire de la veille.

Les logiciels clients (sur votre téléphone mobile ou sur votre ordinateur) permettent en général de gérer une multiplicité de comptes, y compris plusieurs comptes sur le même serveur. Si vous voulez faire de la veille avec une vision par colonnes, plusieurs logiciels existent dont Sengi et Fedistar.

Construire sa liste de lecture

Au fur et à mesure de votre exploration, vous allez vouloir suivre des personnes. Si le compte est inconnu de votre instance (parce qu’il se trouve sur une instance externe), vous pouvez toujours copier-coller l’identifiant complet du compte ou son URL dans la barre de recherches et une fois qu’il s’affiche, cliquer sur le bouton de suivi.

Récupérer les comptes sur le fédiverse de vos contacts Twitter

Si vous le souhaitez, vous pouvez rajouter votre adresse fédiverse (soit sous forme d’URL, soit sous forme d’adresse @pseudo@serveur.social), afin de permettre à vos anciens contacts de vous retrouver facilement, qu’il s’agisse d’un test, d’une diversification de vos réseaux sociaux ou d’une migration définitive.

Plusieurs services permettent de récupérer les comptes du fédiverse qui sont publiés sur les profils twitter de vos contacts. Ils sont ensuite disponibles sous forme de fichier CSV que vous pouvez facilement importer dans votre compte (rubrique Import/Export des paramètres).

  • Fedifinder (seul ce site fonctionne aujourd’hui)
  • Movetodon (bloqué par X/Twitter, donc ne fonctionne plus)

Enrichir sa liste d’abonnements

Comme expliqué plus haut, si vous êtes connecté sur l’instance d’une communauté particulière, vous pouvez facilement accéder au fil de tous les messages publics vus par votre communauté. En réalité, même si vous n’êtes pas abonnés de cette instance, vous pouvez toujours visiter ce fil public (comme ici pour le serveur RI&IN).

De même, vous pouvez utiliser la fonction d’exploration (#Explorer) qui vous propose les messages, les comptes, les mots clés ou les sujets d’actualité populaires sur une instance.

S’abonner à un mot clé

Une des spécificités du protocole ActivityPub est qu’il vous permet d’être abonné à un mot clé (commençant par un caractère croisillon comme ). Ainsi, pour suivre l’actualité d’une conférence , , vous pouvez être directement abonné au mot-clé correspondant. Les messages que « voit passer » votre instance (parce qu’un des utilisateurs de l’instance est abonné à la personne qui publie ou rediffuse un message) et qui contiennent ce mot-clé s’afficheront alors dans votre fil d’activités principal, sans que vous ayez besoin de suivre tous les utilisateurs susceptibles de publier ces messages.

Suivre une communauté sur un serveur Lemmy [Edit 18/11/2023 10:00]

Lemmy implémente une fonction de groupe du protocole ActivityPub qui permet de suivre toutes les publications d’un groupe de personnes. Pour s’y abonner, c’est le même principe que pour suivre un compte. Ainsi sur le serveur Lemmy infosec.pub, on retrouve la communauté https://infosec.pub/c/cybersecurity. On peut la suivre directement depuis son compte Mastodon, en la cherchant dans la barre de recherche sur l’interface Mastodon.

Comment se passe la modération ?

Pour finir cet exposé rapide, vous vous posez peut-être des questions sur la modération des réseaux sociaux du fédiverse. L’un des intérêts d’une multitude d’instances est que la modération sur chacune d’entre elles est beaucoup plus légère pour leurs administrateurs qu’un grand réseau social monolithique. L’autre spécificité, est qu’outre le respect de la législation, chaque serveur décide de ses propres règles spécifiques. Par exemple, ils peuvent souhaiter mettre l’accent sur la protection des personnes vulnérables ou des minorités (un engagement à être intraitable sur les signalements reçus pour harcèlement), ou encore interdire certains types de contenus – notamment ceux qui ne correspondent pas à la thématique de l’instance pour en conserver la cohérence.

Ainsi, chaque serveur affiche ses règles sur une page dédiée accessible à tous et notifiée au moment de l’inscription. Le processus de signalement est classique, avec un formulaire accessible depuis chaque message ou profil. Pour l’administrateur ou les personnes à qui la modération est déléguée, outre des avertissements aux comptes concernés, il est possible de bloquer l’intégralité d’une instance, c’est-à-dire d’empêcher la reprise en local des messages de cette instance. Cela permet de gérer la question des instances qui seraient mal modérées par leurs propriétaires. Les règles peuvent être plus fines, par exemple en forçant l’affichage systématique de tous les médias de l’instance ciblée avec un avertissement de contenu (utile si on ne souhaite pas simplement relayer des contenus potentiellement violents ou pornographiques).

Dans Mastodon, il est aussi possible d’appliquer cette modération au niveau de l’utilisateur individuel, y compris le blocage d’un serveur, en plus des règles imposées par son serveur. Marcus Hutchins a publié un article intéressant (en anglais) sur le sujet de la modération et de son passage à l’échelle.

Il existe encore de nombreuses questions sur l’amélioration des outils de modération et pour les grosses ou petites communautés, il sera intéressant que se développent des bases documentaires et des outils dédiés pour leur permettre de se conformer aux lois locales et en Europe s’aligner avec le DSA (digital services act), même si les petites instances n’y sont pas soumises.

*

J’espère que cet article aidera un bon nombre d’entre vous à sauter le pas et à tester ces nouveaux réseaux sociaux, où vous pouvez me suivre sur @ericfreyss@mastodon.social.

Botconf – Première conférence sur la lutte contre les botnets – Bilan

Botconf-Poster-WebQuelques mois déjà que je n’ai pas publié sur ce blog, plein de boulot comme beaucoup, mais surtout un événement important à organiser: la première conférence sur la lutte contre les botnets, Botconf. Nous étions ainsi plus de 160 personnes du monde entier rassemblés les 5 et 6 décembre derniers à Nantes (Loire-Atlantique, France).

Les origines

Depuis un peu plus de deux ans je suis engagé dans une thèse de doctorat sur la lutte contre les botnets. Pendant ces travaux je suis amené à rencontrer et échanger avec des spécialistes de toutes origines (chercheurs du monde académique et industriel, mais aussi des chercheurs indépendants et évidemment des spécialistes d’autres services officiels en France et à l’étranger), lire des papiers scientifiques, des articles de blog et assister à des conférences. Une confirmation d’abord: les botnets préoccupent aujourd’hui beaucoup d’acteurs, de nombreuses réflexions, expérimentations et actions sont menées pour lutter conte eux.

Note pour les lecteurs moins assidus de mon blog: les botnets sont des réseaux constitués par des ordinateurs sous le contrôle d’un virus informatique – une fois infectés par ce virus ils se connectent à un système de commande et de contrôle (souvent un site Web, mais ça peut être aussi un système de communication pair à pair ou encore en abusant d’un réseau social tel que twitter comme canal de communication). L’utilisation de ces réseaux de machines est varié: diffusion de spams ou encore d’autres virus, collecte d’informations confidentielles sur les ordinateurs infectés, conduite d’attaques en déni de service coordonnées, etc. Il s’agit de l’infrastructure cybercriminelle la plus utilisée aujourd’hui sur Internet.

Mais pour ce qui est des conférences ouvertes sur la sécurité, beaucoup traitent d’aspects intéressants et en rapport avec les botnets, mais les sujets sont parfois isolés et dans la salle peu sont les participants qui en général travaillent spécifiquement sur cette question – même si elle touche beaucoup d’univers de la sécurité numérique – et donc il y a rarement de vrais débats ou retours. Il existe évidemment des conférences qui touchent aux virus informatiques (on peut citer ECIW 2012 qui était organisé chez nos amis de l’ESIEA à Laval, la conférence de Virus Bulletin qui aura lieu du 24 au 26 septembre 2014 à Seattle ou encore Malcon). Il existe des conférences plus confidentielles où ces questions sont évoquées (à Interpol et Europol évidemment ou encore le Digital crimes consortium organisé chaque année par Microsoft). Il m’a donc semblé, avec un groupe de participants actifs de la communauté Botnets.fr qu’il y avait de la place pour une conférence ouverte traitant spécifiquement de la lutte contre les botnets.

L’organisation

C’est un travail d’équipe avant tout. Ainsi, même si tous n’ont pas pu venir à Nantes, nous avons été une bonne dizaine à participer activement de près ou de loin au succès de cette conférence. Je vais citer leurs pseudonymes sur twitter et par ordre alphabétique: @ackrst@fabien_duchene@FredLB@g4l4drim, @gcouprie@Jipe_@penpyt@_Reza__@r00tbsd@sanguinarius_Bt@Sebdraven, @udgover ainsi que @vloquet pour les relations presse. Plus généralement, c’est la communauté Botnets.fr dans son entier qui s’est beaucoup mobilisée pour nous soutenir – au moins moralement – et bien entendu des sponsors qui nous ont progressivement rejoints pour permettre à l’événement de se réaliser.

En pratique, nous avons déposé les statuts d’une association dès le mois de novembre 2012 pour offrir un cadre juridique clair à l’organisation, monté une évaluation du budget et commencé à rechercher les meilleurs endroits pour organiser cette conférence. Une partie de l’équipe étant basée à Nantes, c’est dans cette ville que nous avons choisi de commencer l’aventure. La Chambre de commerce et d’industrie de Nantes dispose de locaux très adaptés à ce type d’événements, à des coûts particulièrement raisonnables et nous nous sommes donc tournés vers eux (et l’accueil sur place fut excellent). Le comité scientifique a été construit en même temps pour garantir une construction du programme incontestable, je tiens à tous les remercier: Hendrik Adrian (Japon), José Araujo (France), Domagoj Babic (USA), Gilles Berger-Sabbatel (France), Guillaume Bonfante (France), Nicolas Brulez (France), Alexandre Dulaunoy (Luxembourg), Barry Irwin (Afrique du Sud), Denis Laskov (Israël), Corrado Leita (France), Jean-Yves Marion (France), David Naccache (France), Fred Raynal (France).

botconf-header-logo-300x97

Bien entendu, nous avons créé un site Web (sous WordPress pour cette année) et lancé l’appel à papiers : la gestion de la soumission des papiers s’est faite sur Easychair, qui s’est révélé très efficace (et c’est gratuit). Beaucoup de détails ensuite, mais qui ont toute l’importance: conception graphique, impression d’affiches et des t shirts, kakémonos, trouver des restaurants, un traiteur et des chambres d’hôtel pour les conférenciers… Une partie importante du calage du budget portait évidemment sur les frais d’inscription: nous avions prévu un tarif réduit pour les étudiants (que nous avons aussi proposé aux personnes sans emploi) et aux services de police. La gestion de la vente des tickets elle-même s’est fait avec un module additionnel de WordPress (WP Event Ticketing) et les tickets eux-mêmes ont été envoyés par courrier électronique aux participants pour impression, une fois pliés en 4 ils formaient un badge lisible inséré dans une pochette A6.

Le déroulement

BotConf13-30Le déroulement de la conférence fut sans encombre: messages préalables aux conférenciers et participants pour les informer sur la façon d’accéder à Nantes par avion, par train et jusqu’à la salle de la conférence, dîner avec les conférenciers le 4 décembre au soir, l’accueil et la validation des badges au moment de l’arrivée (juste trois cas particuliers à régler sur 168… ouf !) puis respecter le timing tout au long du programme des exposés, gérer les pauses et le repas convivial qui nous attendait dans un restaurant installé sur la Loire, puis faire repartir en sécurité tous nos participants ! Pendant une grosse partie de la conférence, les présentations étaient diffusées en direct par webcast.

Le bilan

Le programme de la conférence était équilibré, vous pouvez le consulter ici avec les présentations et d’ici quelques jours avec les vidéos des conférences. Ainsi, étaient couverts des sujets sur le fonctionnement des botnets, leur détection dans les réseaux, la mitigation et les méthodes de lutte (techniques, mais aussi plus opérationnelles, y compris au travers d’une présentation d’Europol).

Plusieurs blogs ont déjà fait le bilan de la conférence:

et une petite recherche sur twitter vous ramènera quelques retours très sympathiques.

Et après ?

Le succès de la conférence et les nombreux retours positifs nous poussent à renouveler l’aventure en 2014. Après avoir fait le bilan au travers d’un questionnaire de satisfaction diffusé ce week-end aux participants, nous entamerons les travaux de préparation de Botconf 2014. Je peux d’ores et déjà vous annoncer qu’elle devrait se dérouler à Nancy, avec le soutien de l’équipe du Laboratoire de haute sécurité du LORIA, la première semaine de décembre 2014 et que la première étape sera l’ouverture de l’appel à papiers et propositions de conférences dès le début de l’année. Cette année, nous souhaitons voir plus de présentations dans des domaines connexes mais importants dans le champ de la lutte contre les botnets: le droit, l’étude des groupes criminels qui gèrent ces botnets (comment ils se rencontrent, se coordonnent, qui les composent). Merci encore aux participants, aux conférenciers, à nos sponsors et à la super équipe d’organisation ! Si vous souhaitez en suivre l’actualité, connectez-vous à @Botconf et rendez-vous l’année prochaine!

De la cyberdéfense

Cette semaine à Paris a connu deux événements qu’il est intéressant d’observer en parallèle:

Comment est définie la cyberdéfense ?

Comme souvent, lorsque l’on parle de défense nationale, il faut se rappeler qu’elle ne touche pas qu’aux missions militaires, mais bien à l’ensemble des mesures permettant de défendre l’intégrité physique autant qu’économique ou sociale de la nation. La cyberdéfense était définie dans un papier très attendu publié par l’ANSSI en février 2011:

Ensemble des mesures techniques et non techniques permettant à un État de défendre dans le cyberespace les systèmes d’information jugés essentiels.

et cela vise le cyberespace:

Espace de communication constitué par  l’interconnexion mondiale d’équipements de traitement automatisé de données numériques.

qui correspond très largement à l’Internet tel qu’on l’entend généralement, mais aussi à tous les réseaux qui y sont connectés.

… et vient s’inclure dans la notion plus globale de cybersécurité:

État recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles.

La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense.

Dans le rapport piloté par Jean-Marie Bockel La cyberdéfense: un enjeu mondial, une priorité nationale, son auteur s’était proposé de

se concentrer sur les attaques informatiques susceptibles de porter atteinte aux intérêts fondamentaux de la Nation et les moyens de s’en protéger.

En réalité, et on le voit dans les nombreuses affaires qui ont dû être traitées au cours des derniers mois, il y a une grande partie de la politique de cyberdéfense qui se doit d’utiliser les outils juridiques de la lutte contre la cybercriminalité, puisqu’on s’est souvent retrouvés dans une situation d’abord délictuelle – souvent vraisemblablement liée à des actions d’espionnage. A contrario, toutes les mesures de la cyberdéfense ne relèvent pas uniquement de la sécurité des systèmes d’information, parce que partie prenante de la politique de défense du pays et donc disposant d’autres modes d’action complémentaires (comme la diplomatie, la négociation de traités, l’action militaire éventuelle – notamment offensive).

Les composantes de la cybersécurité

Les composantes de la cybersécurité

Il faut donc comprendre la cyberdéfense comme une posture spécifique et renforcée de sécurisation (mesures de protection, détection des incidents et réaction) de systèmes d’information jugés essentiels et notamment ceux qui touchent aux intérêts fondamentaux de la nation. En pratique, cela concerne donc les systèmes d’information de l’Etat – et notamment ceux liés à la Défense nationale, des collectivités locales et autres acteurs qui traitent des systèmes d’information sensibles au profit de l’Etat, ainsi que les opérateurs d’importance vitale (ou OIV, définis à l’article R1332-1 du code de la défense).

L’article R. 1332-1 du code de la défense précise que les opérateurs d’importance vitale sont désignés parmi les opérateurs publics ou privés mentionnés à l’article L. 1332-1 du même code, ou parmi les gestionnaires d’établissements mentionnés à l’article L. 1332-2.

Un opérateur d’importance vitale :
– exerce des activités mentionnées à l’article R. 1332-2 et comprises dans un secteur d’activités d’importance vitale ;
– gère ou utilise au titre de cette activité un ou des établissements ou ouvrages, une ou des installations dont le dommage ou l’indisponibilité ou la destruction par suite d’un acte de malveillance, de sabotage ou de terrorisme risquerait, directement ou indirectement d’obérer gravement le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation ou de mettre gravement en cause la santé ou la vie de la population.

Cela va donc des fonctions techniques et d’infrastructure (opérateurs, composantes essentielles des réseaux comme les plateformes d’échange de trafic, les serveurs DNS, etc.) à tous les systèmes d’information sensibles des secteurs clés (énergie, transport, alimentation, santé, etc.).

Cette posture particulière se traduit notamment en France par la désignation d’entités spécifiques au sein de l’administration chargées prioritairement de cette mission: l’Agence nationale de la sécurité des systèmes d’information et la chaîne de commandement Cyber du Ministère de la défense. Bien entendu, ces entités disposent de nombreux partenaires agissant à différents titres: citons police, gendarmerie et justice dans les domaines judiciaires, ou encore la direction générale de l’armement dans la dimension technico-opérationnelle.

Que retenir du colloque organisé au Sénat ?

Le colloque avait d’abord pour objet de prendre acte des progrès accomplis depuis la publication du livre blanc de la défense de 2008. La cyberdéfense n’était alors pas encore affichée sous cette terminologie:

(Extrait de la synthèse) La guerre informatique est une préoccupation majeure du Livre blanc qui développe deux axes stratégiques : d’une part, une conception nouvelle de la défense informatique, organisée « en profondeur » et coordonnée par une agence de la sécurité des systèmes d’information placée sous la tutelle du secrétaire général de la défense et de la sécurité nationale; d’autre part, la constitution de capacités de lutte informatique offensive qui seront développées, pour les armées, sous l’égide de l’état-major des armées, et en outre par des services spécialisés.

Entre autres, l’agence nationale de la sécurité des systèmes d’information, successeure de la direction centrale de la sécurité des systèmes d’information aux missions élargies, a bien été créée et a recruté assez largement. De même, le ministère de la défense a renforcé ses structures dédiées à la cyberdéfense, couronnées par la nomination d’un « officier général cyber » au sein de l’Etat major des armées.

Dans le Livre blanc 2013 de la défense et de la sécurité nationale, l’ambition est réaffirmée, ce à plusieurs reprises:

(page 90) Nos armées remplissent d’abord des missions permanentes. La dissuasion continuera de se fonder sur la posture permanente des deux composantes, océanique et aéroportée. Dans le cadre de la fonction stratégique de protection, les postures permanentes de sûreté terrestre, aérienne et maritime seront tenues dans les mêmes conditions qu’aujourd’hui. L’engagement des armées en renfort des forces de sécurité intérieure et de sécurité civile en cas de crise majeure pourra impliquer jusqu’à 10 000 hommes des forces terrestres, ainsi que les moyens adaptés des forces navales et aériennes. Pour remplir ces différentes missions de protection, il sera fait appel, lorsque c’est nécessaire, à des moyens prélevés ponctuellement sur nos forces d’intervention. Cette posture sera complétée par le dispositif de cyberdéfense, qui est appelé à s’amplifier dans les années qui viennent.

(page 94) Le développement de capacités de cyberdéfense militaire fera l’objet d’un effort marqué, en relation étroite avec le domaine du renseignement. La France développera sa posture sur la base d’une organisation de cyberdéfense étroitement intégrée aux forces, disposant de capacités défensives et offensives pour préparer ou accompagner les opérations militaires. L’organisation opérationnelle des armées intégrera ainsi une chaîne opérationnelle de cyberdéfense, cohérente avec l’organisation et la structure opérationnelles de nos armées, et adaptée aux caractéristiques propres à cet espace de confrontation : unifiée pour tenir compte de l’affaiblissement de la notion de frontière dans cet espace ; centralisée à partir du centre de planification et de conduite des opérations de l’état-major des armées, pour garantir une vision globale d’entrée et une mobilisation rapide des moyens nécessaires ; et spécialisée car demandant des compétences et des comportements adaptés. La composante technique confiée à la direction générale de l’armement aura pour mission de connaître et anticiper la menace, de développer la recherche amont, et d’apporter son expertise en cas de crise informatique touchant le ministère de la Défense.

(page 105) La lutte contre la cybermenace

Les suites données aux analyses et aux recommandations du Livre blanc de 2008 dans le domaine de la cyberdéfense ont permis à la France de franchir une étape décisive dans la prise en considération de cette menace et dans la mise en œuvre des réponses qu’elle requiert. Toutefois, la croissance continue de la menace, l’importance sans cesse accrue des systèmes d’information dans la vie de nos sociétés et l’évolution très rapide des technologies imposent de franchir une étape supplémentaire pour conserver des capacités de protection et de défense adaptées à ces évolutions. Elles nous imposent aujourd’hui d’augmenter de manière très substantielle le niveau de sécurité et les moyens de défense de nos systèmes d’information, tant pour le maintien de notre souveraineté que pour la défense de notre économie et de l’emploi en France. Les moyens humains qui y sont consacrés seront donc sensiblement renforcés à la hauteur des efforts consentis par nos partenaires britannique et allemand.

La capacité de se protéger contre les attaques informatiques, de les détecter et d’en identifier les auteurs est devenue un des éléments de la souveraineté nationale. Pour y parvenir, l’État doit soutenir des compétences scientifiques et technologiques performantes.

La capacité de produire en toute autonomie nos dispositifs de sécurité, notamment en matière de cryptologie et de détection d’attaque, est à cet égard une composante essentielle de la souveraineté nationale. Un effort budgétaire annuel en faveur de l’investissement permettra la conception et le développement de produits de sécurité maîtrisés. Une attention particulière sera portée à la sécurité des réseaux de communication électroniques et aux équipements qui les composent. Le maintien d’une industrie nationale et européenne performante en la matière est un objectif essentiel.

Un renforcement de la sécurité des systèmes d’information de l’État est nécessaire. Une politique de sécurité ambitieuse sera mise en œuvre. Elle s’appuiera notamment sur le maintien de réseaux de haute sécurité irriguant les autorités de l’État, sur une politique appropriée d’achat public et sur une gestion adaptée des équipements de communications mobiles. Elle sera complétée par une politique de sensibilisation en direction des administrations déconcentrées de l’État, des collectivités territoriales, de leurs établissements publics et des principaux utilisateurs du cyberespace. La cybersécurité de l’État
dépend aussi de celle de ses fournisseurs de produits et de services, qui doit être renforcée. Des clauses seront insérées dans les marchés afin de garantir le niveau de sécurité attendu.

S’agissant des activités d’importance vitale pour le fonctionnement normal de la Nation, l’État fixera, par un dispositif législatif et réglementaire approprié, les standards de sécurité à respecter à l’égard de la menace informatique et veillera à ce que les opérateurs prennent les mesures nécessaires pour détecter et traiter tout incident informatique touchant leurs systèmes sensibles. Ce dispositif précisera les droits et les devoirs des acteurs publics et privés, notamment en matière d’audits, de cartographie de leurs systèmes d’information, de notification des incidents et de capacité pour l’agence nationale de la sécurité des systèmes d’information (ANSSI), et, le cas échéant, d’autres services de l’État, d’intervenir en cas de crise grave.

La doctrine nationale de réponse aux agressions informatiques majeures repose sur le principe d’une approche globale fondée sur deux volets complémentaires :

  • la mise en place d’une posture robuste et résiliente de protection des systèmes d’information de l’État, des opérateurs d’importance vitale et des industries stratégiques, couplée à une organisation opérationnelle de défense de ces systèmes, coordonnée sous l’autorité du Premier ministre, et reposant sur une coopération étroite des services de l’État, afin d’identifier et de caractériser au plus tôt les menaces pesant sur notre pays ;
  • une capacité de réponse gouvernementale globale et ajustée face à des agressions de nature et d’ampleur variées faisant en premier lieu appel à l’ensemble des moyens diplomatiques, juridiques ou policiers, sans s’interdire l’emploi gradué de moyens relevant du ministère de la Défense, si les intérêts stratégiques nationaux étaient menacés.

Au sein de cette doctrine nationale, la capacité informatique offensive, associée à une capacité de renseignement, concourt de façon significative à la posture de cybersécurité. Elle contribue à la caractérisation de la menace et à l’identification de son origine. Elle permet en outre d’anticiper certaines attaques et de configurer les moyens de défense en conséquence. La capacité informatique offensive enrichit la palette des options possibles à la disposition de l’État. Elle comporte différents stades, plus ou moins réversibles et plus ou moins discrets, proportionnés à l’ampleur et à la gravité des attaques.

De manière plus générale, la sécurité de l’ensemble de la société de l’information nécessite que chacun soit sensibilisé aux risques et aux menaces et adapte en conséquence ses comportements et ses pratiques. Il importe également d’accroître le volume d’experts formés en France et de veiller à ce que la sécurité informatique soit intégrée à toutes les formations supérieures en informatique.

Toute politique ambitieuse de cyberdéfense passe par le développement de relations étroites entre partenaires internationaux de confiance. Les relations seront approfondies avec nos partenaires privilégiés, au premier rang desquels se placent le Royaume-Uni et l’Allemagne. Au niveau européen, la France soutient la mise en place d’une politique européenne de renforcement de la protection contre le risque cyber des infrastructures vitales et des réseaux de communications électroniques.

(page 120) Il faudra en outre organiser la montée en puissance de nouvelles composantes de la réserve opérationnelle, spécialisées dans des domaines dans lesquelles les forces de défense et de sécurité sont déficitaires. C’est notamment le cas de la cyberdéfense, qui fera l’objet d’une composante dédiée au sein la réserve opérationnelle. Celle-ci constituera un atout au service de la résilience de la Nation et sera prévue et organisée spécifiquement pour permettre au ministère de la Défense de disposer d’une capacité de cyberdéfense démultipliée en cas d’attaque informatique majeure.

[…] Compte tenu des enjeux multiples et croissants dans ce domaine, une réserve citoyenne sera particulièrement organisée et développée pour la cyberdéfense, mobilisant en particulier les jeunes techniciens et informaticiens intéressés par les enjeux de sécurité.

Les présentations de la première partie de la journée ont donc développé autour des idées détaillées dans le livre blanc. Je résumerais en trois points les idées principales que j’en retiens:

  • Un acquis important tant sur le plan organisationnel que des moyens mis à disposition;
  • Une véritable prise de conscience politique de l’enjeu de la cybersécurité et plus particulièrement de la nécessité de renforcer notre cyberdéfense – dans le précédent livre blanc, le sujet était bien présent, mais diffus ;
  • Une ambition réaffirmée, qui même si elle n’est pas chiffrée précisément, se positionne à la hauteur de ce qui est pratiqué par nos partenaires les plus proches – Royaume-Uni et Allemagne (l’Allemagne a annoncé un programme de financement de la recherche en cybersécurité à hauteur de 30 M€).

L’après-midi a été consacrée au rôle des industries spécialisées françaises, qui nous ont expliqué – et l’évolution de leur organisation et de leurs offres le démontre – qu’elles sont en ordre de bataille pour répondre aux enjeux proposés par le livre blanc ou le rapport Bockel. Le sujet des petites et moyennes entreprises œuvrant dans ce domaine a été abordé, notamment au travers de l’intervention de Jérôme Notin, l’un des responsables du projet d’antivirus français DAVFI. Et on touche là à un sujet essentiel et ce pour plusieurs raisons:

  • l’innovation se développe très souvent dans de petites structures (VUPEN est souvent cité comme acteur majeur de la connaissance des menaces, mais beaucoup d’autres sont à l’oeuvre comme PicViz, ArxSys, Quarkslab, Lexfo, Tetrane, Amossys, 6cure ou certains des membres du pôle Systematic, puis dans les toutes petites Agarrin’hésitez pas à me signaler d’autres petites entreprises en pointe);
  • l’offre de sécurité à taille humaine, c’est-à-dire à la taille des PME ou des collectivités locales doit se développer, elle existe en France de façon encore insuffisante (l’offre peine à atteindre ou à convaincre tout le public qu’il faudrait toucher) et fragile (les difficultés financières d’HSC annoncées récemment en sont une illustration criante).

Enfin, la recherche et la formation sont deux composantes essentielles de la politique à développer. Tous partagent le constat qu’un gros effort reste à réaliser dans le domaine de la formation, qu’il s’agisse de sensibilisation de tous les français, des responsables d’entreprises, d’initiation à la sécurité des informaticiens, de formation de spécialistes en sécurité des systèmes d’information et plus spécifiquement en cyberdéfense ou de la formation continue des acteurs complémentaires (comme les magistrats, gendarmes ou policiers par exemple). Les besoins sont clairement détaillés dans le rapport Bockel.

Vous retrouverez des extraits en vidéo de la journée sur le site du Sénat. Pour ceux qui seraient intéressés enfin, une fiche sur la réserve citoyenne cyberdéfense.

Autres articles sur ce colloque:

Sujet très complémentaire de nos préoccupations en matière de cybercriminalité !…

Les conférences en sécurité

Revenons sur le deuxième événement de cette semaine avec NoSuchCon. Les conférences de sécurité informatique se multiplient en France et dans les pays voisins et c’est une bonne chose. Rien qu’entre mai et juin on peut citer:

… puis à l’automne:

Autant d’occasions pour rencontrer non seulement des français qui travaillent sur des questions de sécurité, mais des spécialistes venus du monde entier. Témoignage d’une vivacité grandissante de cette communauté en France. NoSuchCon était l’occasion, à l’image de Hackito Ergo Sum quelques jours plus tôt, d’assister à des présentations qui auparavant ne parvenaient pas jusque chez nous.

Pour finir, quelques articles en ligne sur la NoSuchCon pour vous en faire votre propre idée:

J’ai eu un faible pour la toute dernière présentation, par deux français, Robinson Delaugerre & Adrien Chevalier, Killing RATs, the Arsenic Framework, qui ont pour ambition de mettre à disposition une plateforme d’analyse de certains types d’attaques en profondeur. A suivre donc !

Botconf 2013

anglais English version of this post.

ImageLes 5 et 6 décembre prochains se tiendra à Nantes (France) Botconf 2013, la première conférence dédiée à la lutte contre les botnets.

L’appel à présentations ou articles scientifiques est en ligne sur le site Web de la conférence https://www.botconf.eu/. La date limite pour soumettre des papiers est le 30 juin 2013.

La conférence est ouverte aux chercheurs académiques, industriels et aux services de police. Les étudiants dont les papiers seront sélectionnés recevront une aide pour assister à la conférence (aide financière pour le transport et le logement).

Le comité d’organisation est composé de volontaires de la communauté botnets.fr et le comité scientifique indépendant est composé de spécialistes en sécurité de tous secteurs et de toutes les régions du monde. La conférence se tiendra en langue anglaise.