La régulation du cybercrime comme alternative à la judiciarisation : le cas des botnets

A lire:   Benoit Dupont, La régulation du cybercrime comme alternative à la judiciarisation : le cas des botnets, in Criminologie vol. 47, n° 2 (2014). - p. 179-201. 

« Cyber Operations in DOD Policy and Plans: Issues for Congress ». CRS Report

Note de lecture de « Cyber Operations in DOD Policy and Plans: Issues for Congress ». CRS Report.

Catherine A. Theohary et Anne I. Harrington viennent de rédiger un court rapport (33 pages) publié par le Congressional Research Service (CRS) américain, intitulé “Cyber Operations in DOD Policy and Plans: issues for Congress”. Le rapport est daté du 5 janvier 2015.

Ce document peut être divisé en deux parties: la première, d’intérêt très relatif, revient sur le contexte et les éléments de la cybersécurité, en abordant de manière rapide (et donc superficielle) les notions de cyberespace, cyberarmes (malware, botnets, attaques DDoS), systèmes automatisés de défense, cibles (réseaux du gouvernement et des armées, infrastructures critiques), acteurs (Etats, hacktivistes, terroristes et criminalité organisée), APT, problématique de l’attribution, environnement de la menace (avec rappel des faits marquants récents que sont les attaques contre l’Estonie, le conflit russo-géorgien, les cyberattaques contre l’Iran), le tout en une petite dizaine de pages, et sans apporter d’éléments d’information nouveaux. Nous retenons toutefois de cette première partie les quelques lignes dédiées aux moyens de réponse aux cyberattaques automatisés. Ce hacking de représailles (retaliatory hacking) semble être pratiqué davantage dans le secteur privé qu’au sein des forces étatiques. L’Etat peut être cependant engagé dans de telles cyberattaques réactives dans des situations spécifiques de crise et de combat. Mais l’Etat peut-il encourager cette pratique dans le privé, alors que le cadre légal prohibe la diffusion de malware et l’intrusion dans des systèmes ? Doit-on interdire ces contre-attaques lorsqu’elles permettent de faire cesser les atteintes préjudiciables à la sécurité nationale ? La DARPA finance un programme important pour le développement de systèmes de sécurité automatisés capables de répondre à des cyberattaques et de les neutraliser. Rappelons aussi que d’autres Etats financent de telles initiatives (le Japon par exemple). 

La seconde partie nous semble plus intéressante : elle  traite des institutions de la cybersécurité/défense américaine, des partages des rôles entre elles, des missions attribuées, des responsabilités, des moyens alloués, et de toute cette dynamique d’institutionnalisation de la cyberdéfense initiée aux Etats-Unis depuis plusieurs années désormais.

I - La répartition des rôles et la définition des règles

1-      La cybersécurité est  prise en charge au niveau national par une institution placée au sein même de la Maison Blanche, dirigée par le Coordinateur de la Cybersécurité (Cybersecurity Coordinator) souvent désigné Cyber Czar (fonction créée en 2009 par l’administration Obama).

2-      Le Cyber Commandement combine capacités et missions défensives et offensives. Il a la charge de la défense des réseaux de l’armée (domaine .mil). Ses missions sont définies dans le cadre de l’U.S.C. Title 10.  Le cyber commandement réunit trois types de forces cyber :

o   Des forces nationales (national mission forces): dont le rôle est de protéger les infrastructures critiques essentielles à la sécurité nationale et économique

o   Des forces de combat (combat mission forces): dont le rôle est d’aider les commandements militaires à mettre leurs plans en œuvre

o   Des forces de cyber-protection (cyber protection forces) : dont la fonction est de sécuriser, protéger les réseaux du DoD.

3-      La NSA assure les activités de renseignement sigint, et la sécurité de l’information des systèmes de sécurité nationale. A l’intérieur de la NSA se trouve le Central Security Service, service de cryptographie des armées. Ses fonctions sont définies dans le cadre de l’U.S.C. Title 50.

4-      Un programme de partage d’informations sur les cybermenaces a été lancé en mai 2011 (DIB Cyber Pilot) pour faciliter les échanges entre armée, renseignement et industriels.

5-      Le cadre juridique de la cybersécurité et des cyber-opérations est contenu dans plusieurs documents :

o   USC Title 10

o   USC Title 50

o   Executive Order 13636 pour renforcer la cybersécurité des infrastructures critiques (12 février 2013)

o Presidential Policy Directive 21 : pour renforcer la sécurité et la résilience des infrastructures critiques (PPD 21) (février 2013)

o   National Infrastructure Protection Plan (NIPP) 2013 (DHS) (en phase avec la PPD 21)

o   National Security Presidential Directive 54

o   Homeland Security Presidential Directive 23

o Section 941 of the National Defense Authorization Act (FY 2013) : attribue la responsabilité des cyberopérations au Secrétaire de la Défense. Ce dernier est l’autorité qui conduit les opérations militaires dans le cyberespace, y compris les opérations clandestines. Les auteurs introduisent ici une réflexion sur la distinction entre « covert operations » et « clandestine operations ». Dans une opération clandestine, qui relève bien des missions de l’armée, on cherche à dissimuler l’opération elle-même mais pas celle de leur commanditaire. Une opération clandestine est réalisée par une agence de l’Etat. Dans une opération sous couverture (covert operation) l’accent est mis sur la dissimulation de l’identité de l’acteur opérant/commanditaire. Une telle action est soumise à l’aval présidentiel, conformément à l’USC Title 50. Les opérations cyber peuvent relever dans les faits de ces deux catégories (covert ; clandestine). La question qui se pose est celle du nécessaire aval présidentiel, du reporting trimestriel au Comité Défense du Congrès (congressional defense committee), ou au contraire de la possibilité pour les cyberopérations de se passer du circuit strict qui s’impose aux actions secrètes (covert).  De quel cadre doit relever le computer network exploitation (CNE) mené par l’armée ?

o  La directive présidentielle PPD 20 (octobre 2012), dont le contenu est classifié, distingue défense des réseaux (network defense) et opérations offensives et défensives dans le cyberespace (offensive and defensive cyberspace operations).

- Pour la défense des réseaux : Les missions entre les diverses acteurs responsables ne sont pas réparties en fonction de la nature des menaces (espionnage, terrorisme, criminalité, guerre…) mais en fonction des domaines (.mil pour le DoD; .gov pour le DHS ; etc.)
- Pour les opérations offensives : elles relèvent d’un cadre défini dans un document classifié, Executive Order, émanant du DoD (chef des Etats-Majors – Chairman of the Joint Chiefs of Staff- à la direction du Secrétariat de la Défense). Ce document classifié définit les conditions de l’exercice cyber offensif pour le cyber commandement, et les forces cyber des diverses branches de l’armée américaine (Air Force, Navy, …)
- Les militaires ne peuvent répondre à une cyberattaque terroriste ou de cyberguerre que sur autorisation et ordre du Président.

II - L’augmentation des ressources

• Le budget cybersécurité demandé par le DoD est de 5.1 milliards de $US en 2015 (pour un budget TIC de 36 milliards pour le seul DoD). Ce budget cybersécurité est en hausse de 1 milliard de $entre 2013 et 2014.
• L’accroissement des capacités s’accompagne de l’augmentation des ressources humaines, passant de 1000 hommes à 6200, entre 2013 et fin 2016. Les forces cyber sont composées à 80% de militaires, 20% de civils.

III - La prise en compte de l’environnement international

Les règles établies par les Etats-Unis pour assurer leur cyberdéfense disposent d’un cadre réglementaire national. Mais les décisions prises au sein de l’arène internationale (dans le cadre de la convention de Budapest, des résolutions des Nations Unies, du droit international des conflits armés, du droit des contremesures, de l’OTAN, de l’UIT, d’accords bilatéraux, mais encore d’institutions comme le G8, l’APEC, l’ASEAN, l’OAS (Organization of American States), la ligue des pays arabes, l’OCDE, l’OSCE…) pourraient avoir un impact sur les règles appliquées par le gouvernement américain pour l’action de ses propres forces de défense. Cette dimension internationale est prise en compte par les Etats-Unis dans sa stratégie internationale publiée en 2011, International Strategy for Cyberspace, qui appelle à une forte coopération bilatérale et multilatérale, ainsi qu’à une forte participation du secteur privé. Le gouvernement ne souhaite pas de nouvelle convention internationale, s’appuyant sur la convention de Budapest, jugée suffisante. Le droit international est également commenté : le Département d’Etat définit les conditions dans lesquelles une cyberattaque peut être qualifiée d’usage de la force (septembre 2012) : celles dont résultent des pertes en vies humaines ou des destructions significatives.  Cette lecture insiste sur les effets, recherchés et produits, et non sur les moyens employés. Mais l’usage de cyberattaques sans effets cinétiques relève parfois aussi du conflit armé : les cyberattaques contre des réseaux pendant un conflit armé sont des actes de guerre et doivent être traitées comme tels (réponse proportionnée).

IV - L’étude formule pour conclure plusieurs questions :

• Le droit en vigueur est-il suffisant ?
• Comment les responsabilités du cyber-commandement et du Département de la défense s’imbriquent-elles juridiquement avec les obligations et prérogatives du secteur privé en matière de cybersécurité ? Les auteurs rappellent l’existence du principe de Posse Comitatus[1], qui interdit le recours à l’armée pour régler des questions de police/sécurité intérieure. Or l’obligation faite au Cyber Command de contribuer à la protection des infrastructures critiques suppose de facto un soutien au secteur privé, qui est propriétaire de la majorité des infrastructures critiques du pays. La protection de biens privés par l’armée en temps de paix ne viole-t-elle pas ce Posse Comitatus ?
• Le cyber commandement doit-il être son propre commandement unifié ? La frontière entre opérations de renseignement et opérations militaires offensives est très étroite, en raison de la localisation du cyber commandement et de la NSA dans de mêmes enceintes, et de la direction des deux institutions par un même homme. Le renseignement cyber (computer network exploitation) est très proche des cyberattaques (computer network attacks). Ne faut-il pas, pour éviter les conflits entre USC Title 50 et USC Title 10, donner une contrôle civil à la NSA et faire du Cyber Command un commandement unifié, et non plus une structure placée sous le Stratcom ? Le problème essentiel semble résider dans l’attribution à un seul individu de la direction de la NSA et du Cyber Command, l’une relevant de l’USC Title 10 l’autre de l’USC Title 50, qui définissent des règles concurrentes ?
• Une cyber-force séparée est-elle nécessaire ? Si le cyberespace est bien une 5° dimension, pourquoi ne pas lui attribuer une force spécifique ? La question demeure, avec d’un côté les partisans d’une arme propre, de l’autre ceux qui défendent la particularité du cyberespace, à savoir sa transversalité.

---

[1] http://www.law.cornell.edu/uscode/text/18/1385

Chaire Cybersécurité - FIC 2015

La Chaire Cybersécurité & Cyberdéfense était présente au FIC 2015 :

• Daniel Ventre, titulaire de la Chaire, est intervenu lors du panel « Le rôle du cyber dans les conflits »
• Maître Cécile Doutriaux, membre de la Chaire, est intervenue lors des panels « La jurisprudence récente en cyber : état des lieux » et « Agora : les nouveaux métiers ‘cyber’ »
• Thierry Berthier, membre de la Chaire, Maître de Conférences à l’Université de Limoges, est intervenu lors de la session « Threat Intelligence : quels outils et méthodes ». 

Défigurations de sites - suite

19 000 sites internet français auraient été défigurés ces dernières heures par des « hacktivistes » adressant des messages hostiles à la France. Le phénomène appelle plusieurs commentaires :

• Il serait maladroit de parler ici de « guerre », préférons le qualificatif de criminalité. Les réponses aux défigurations de sites sont a priori de nature pénale.
• Les défigurations des 19000 sites ne sont pas à proprement parler des « réactions » à l’initiative des groupes Anonymous (qui ont décidé quant à eux de se lancer dans des opérations contre l’Etat islamique et autres acteurs de l’islamisme). Rappelons que les défigurations de sites sont des pratiques ordinaires, courantes, quotidiennes. On en recense des centaines de milliers sinon plus chaque année de par le monde, et ce depuis les années 1990. A chaque événement majeur (conflit armé, affrontements, révoltes, révolutions, tensions politiques, tensions ethniques, religieuses…) viennent s’associer une ou plusieurs vagues de défigurations de sites internet (les hackers revendiquant alors une cause en lien direct avec le contexte ; ou au contraire trouvant uniquement dans le contexte un lieu propice à la promotion de leurs revendications). Il était donc prévisible que le phénomène s’inscrirait dans le prolongement des attentats et des événements qui ont suivi tout au long de la semaine. Les défigurations auraient eu lieu, sur fond de débats religieux-politiques, sans la déclaration d’intention de groupes Anonymous. Ce qui surprend toutefois ici c'est l'ampleur du phénomène. 
• Nul ne sait qui se cache véritablement derrière les signatures qui revendiquent les attaques, des acteurs étatiques ou non étatiques. On ne sait pas s’il s’agit de « groupes » ou d’individus isolés ; on ne sait pas véritablement où ils se trouvent ; nous préférons pour cela parler de « signatures », qui fonctionnent comme des bannières, des logos que les acteurs peuvent utiliser pour leurs actions.
• La France n’est pas, le plus souvent, la cible unique de ces hackers. On retrouve pour une même signature des cibles dans d’autres pays, et des attaques commises dans d’autres contextes. Nombre de ces hackers agissent dans la durée, sur plusieurs mois ou années.  
• Le nombre de défigurations n’est pas un critère significatif de mobilisation d’une large communauté de hackers: peu de hackers peuvent pirater beaucoup de sites.  
• Le phénomène est généralement éphémère : il s’agit bien de vagues de défigurations de sites, qui concentrent leurs tirs sur des périodes assez courtes. Le phénomène pourrait cependant durer tant que les médias en assureront la publicité, et tant que l’actualité fournira un motif à ces hackers sur ce terrain d’action particulier. Une autre configuration est ici envisageable; la mobilisation croissante et durable d'un nombre important de hackers répartis dans le monde autour d'une cause. 
• Défigurer le site internet d’une petite commune ou défigurer le site d’une institution militaire d’une grande nation, n’est certes pas du même niveau. Le message affiché est bien entendu davantage mis en lumière quand la victime est importante. Mais cette médiatisation mise à part, dans les deux cas les retombées, les bénéfices pour l’attaquant restent difficiles à évaluer. Le volume des atteintes est tel qu'il constitue par contre ici un facteur de perturbation significatif. 

Défigurations de sites français

Des articles[1] font état ces derniers jours de cyberattaques menées par des hackers islamistes, qui auraient touché des centaines de sites d’institutions françaises.

Sans qu’elle n’offre une parfaite exhaustivité, la base zone-h.org qui recense les défigurations de sites dans le monde entier, permet d’observer ces phénomènes au quotidien depuis plus de 10 ans.

Avec toute la retenue qui s’impose dans la lecture de données dès lors qu’elles sont incomplètes, voici les enseignements que nous pouvons tirer de cette base, concernant les défigurations de sites français.

1 - Les sites français sont-ils davantage victimes d’attaques en cette période d’attentats qu’en temps habituels ? La fréquence des attaques semble en effet élevée, les données pour janvier 2015 ne couvrant que les 13 premiers jours du mois, et s’inscrivant déjà au-dessus de la moyenne mensuelle.

Histogramme : nombre de sites français défigurés (d’après données de la base zone-h.org) sur la période décembre 2012 - janvier 2015. (Relevé effectué 13 janvier 2015, 16h).

Ce mois de janvier 2015, les cyberattaques sont bien concentrées sur la période des attentats.

Histogramme : nombre de sites français défigurés du 1 au 12 janvier 2015 (d’après données de la base zone-h.org). Relevé : 13 janvier 2015, 16h.

2 - Les hackers actifs du 7 au 12 janvier 2014 sur les défigurations de sites français sont relativement peu nombreux :

	Date du 1° hack recensé sur zone-h.org avec cette signature	Dernier hack recensé avec cette signature	Nombre de hacks recensés sur la base zone-h entre ces deux dates	Seulement des sites français visés ?
ProdigyTN	29 mai 2014	12 janvier 2015	48	Non
Lou SH	21 novembre 2014	12 janvier 2015	20	Oui
Ali sh	12 janvier 2015	12 janvier 2015	1	Oui
Arab Warriors Team	23 décembre 2014	12 janvier 2015	4	Non
Fallaga team	8 juillet 2014	12 janvier 2015	95	94/95
Apoca-dz	1 juillet 2014	11 janvier 2015	15	Non
Moroccanwolf	10 octobre 2014	11 janvier 2015	84	Non
Abdellah Elmaghribi	27 novembre 2014	11 janvier 2015	15	Non
MiddleEast Cyber Army	30 août 2014	11 janvier 2015	7	Non
Moroccan Hassan	15 août 2013	10 janvier 2015	241	Non
MuhmadEmad	11 juillet 2014	9 janvier 2015	42	Non
Tn.sniff3r	30 juin 2013	8 janvier 2015	10	Non

Tableau réalisé d’après relevés effectués sur la base zone-h.org le mardi 13 janvier 2015, à 16h.

Ces hackers sont peu actifs comparativement aux signatures les plus "agressives" :   

Nom de revendication	Nombre total de défigurations recensées
iskorpitx	471 413
GHoST61	309 546
Hmei7	291 194
1923Turk	266 905

Classement des signatures les plus actives. Données publiées sur le site zone-h.org (relevées le 13 janvier 2015). Ces statistiques couvrent l’ensemble des défigurations de sites dans le monde entier depuis la création de la base.

---

[1] http://www.francetvinfo.fr/faits-divers/attaque-au-siege-de-charlie-hebdo/la-cyberguerre-entre-anonymous-et-jihadistes-en-quatre-actes_795987.html#xtor=AL-79-%5Barticle%5D

Note de lecture : « Lumière sur les économies souterraines. Crime, trafic, travail au noir ». Editions La Découverte.

L’ouvrage collectif « Lumière sur les économies souterraines », édité par La Découverte (Collection Regards Croisés sur l’Economie, n°14, février 2014, 244 pages), est structuré en trois grandes parties: Les pouvoirs publics face aux « économies souterraines » ; Des enjeux historiques en plein renouveau ; Du marché parallèle à la contre-culture organisée.

1 - Les diverses facettes des économies souterraines

Les économies souterraines, expression désignant les activités (fraude fiscale, prostitution, travail au noir, trafics clandestins, crime organisé…) qui sont soit à la frontière de la légalité, soit carrément criminelles[1], sont analysées ici dans la diversité de leurs acteurs, souvent figures populaires (pirate, hacker, gangster, membre de la mafia)[2] et de leurs dynamiques (économiques et sociales ; rapports entre Etats et économies souterraines[3]).  

Les économies souterraines sont perçues comme des « nébuleuses floues et tentaculaires » (p.9) ; se distinguant des économies conventionnelles (p.9) ; prospérant dans des Etats faibles (p.10) et/ou consentant, corrompus (p.10), dans l’ombre et le mystère (p.9); posant des défis aux pouvoirs publics (p.9) ; représentant un poids économique important (p.9) ; avec des répercussions directes sur les activités économiques et sociales (p.10) : dont les activités sont souvent interconnectées et en réseaux (p.11), et les organisations mouvantes, douées de capacités d’innovation et d’adaptation  rapide et pragmatique des « techniques de production et d’échanges aux contraintes qui s’imposent à ces activités » (p.12). Les conditions d’existence de ces économies sont suspendues à la plasticité des limites, frontières définies par les Etats entre ce qui est légal ou ne l’est pas (p.11) :

Dans son chapitre intitulé « mesurer l’activité souterraine, c’est d’abord définir sa frontière »[4], Sebastian Roché discute la définition de l’économie souterraine. La première partie de l’ouvrage se poursuit sur des articles traitant du petit commerce pornographique entre 1965 et 1971[5]. Les marchés surveillés, contrôlés, sont indirectement structurés (lieux, échanges, rôles, circuits) par l’action policière (p.27). Les marchés sont structurés notamment dans le but d’échapper aux policiers. (p.35)

Les marchés clandestins restent largement dépendants d’acteurs et des réseaux hérités du marché légal (p.41) (comme ce fut le cas des marchés clandestins durant la prohibition aux Etats-Unis) (p.41).

La lutte contre le crime peut exploiter l’analyse des réseaux sociaux. Lorsque le réseau social est important dans le crime, la réduction de ce dernier peut tirer profit de la politique du joueur clé, laquelle consiste à déterminer quel est le criminel qui doit être sorti du réseau pour réduire au maximum la criminalité (p.58) (alors que traditionnellement on cherche plutôt à cibler les criminels les plus actifs ou centraux.

L’ouvrage traite ensuite de la relation pauvreté/corruption ; des relations entre mafias italiennes et Etat ; des relations entre économie et criminalité : de la part de l’économie informelle dans le PIB ; de l’impact économique de l’économie informelle sur la croissance ; de la fraude fiscale (p.143-146) ; des effets des nouvelles formes migratoires transmigration/mondialisation parallèlement à immigration/nation (p.147) ; du travail non déclaré (p.159) ; des relations crime organisé/entreprise (p.163) ; de la criminalité organisée et de la prostitution (p.229-244).

2 - Le cyberespace

2.1. La monnaie

La souveraineté des Etats peut-elle être menacée par le Bitcoin ? (p.122). Il s’agit là d’une monnaie non régulée, sans autorité centralisatrice, garantissant l’anonymat dans les transactions, et qui est un intermédiaire pour les échanges illégaux (p.124). L’enjeu ne semble toutefois pas être l’interdiction de cette monnaie, mais l’introduction de moyens de transparence, de sécurisation pour les utilisateurs, et permettant aux Etats d’exercer un droit de regard/contrôle.

2.2. Les darknets

La contribution de Jean Philippe Vergne et Rodolphe Durant (p.126-139) s’intitule « Cyberespace et organisation virtuelles : l’Etat a-t-il encore un avenir ? ». Elle pose la question du rôle joué par les organisations pirates dans l’évolution des sociétés capitalistes. L’une des hypothèses les plus intéressantes ici consiste à dire que si les pirates contestent les normes imposées par l’Etat souverain, ils contribuent en réalité à coproduire les règles du jeu. Les cyber-pirates joueraient un rôle équivalent, et essentiel, à celui des pirates dans l’évolution du capitalisme depuis la conquête des Amériques par les Européens (p.129). Les auteurs s’intéressent au rôle des darknets du type Sil Road, où tout est déterritorialisé (les échanges, le hardware, les contenus, les acteurs, etc.) Ces darknets, en raison de l’éclatement des acteurs et diverses composantes dans l’espace, sont ainsi présents partout et nulle part (p.128). Ce qui n’est pas nouveau : « les organisations pirates, celles d’hier comme celles d’aujourd’hui, ont toujours été déterritorialisées » (p.134). Les organisations illégitimes prolifèrent et prospèrent dans « cette zone grise où les frontières de la légalité et de l’action légitime restent à déterminer » (p.128). « La piraterie se développe lors des grandes révolutions territoriales, qui sont des moments où les Etats cherchent à contrôler et réguler les échanges associés à la découverte de nouveaux espaces ». Les pirates contestent les positions de monopôle (hier de la BBC, d’AT&T, aujourd’hui de Google, Microsoft, etc.). Le pirate aurait donc une utilité : défendre une cause publique (p.132) : « la reconnaissance du territoire comme bien commun », « la liberté de circuler et d’échanger au sein de ce territoire » (p.132).           

---

[1] Voir le résumé de l’ouvrage en 4° de couverture

[2] p.9

[3] p.10

[4] Titre du chapitre rédigé par Sébastian Roché, CNRS. p.16-24

[5] Baptiste Coulmont, Police économique : le petit commerce pornographique sous l’œil de la police, 1965-1971, p.25-37

Existe-t-il un axe Iran-Corée du Nord en cyberdéfense/cybercriminalité?

Existe-t-il un axe Iran-Corée du Nord en cyberdéfense/cybercriminalité? Telle est l'une des question que soulève l'intéressant article de Claudia Rosett, How Iran and North Korea became cyber-terror buddies, publié sur le site The Tower. Comme d'ordinaire, en l'absence d'éléments de preuve tangibles, seules restent les hypothèses.