(Publié sur Le Cercle en 2015.)
La semaine dernière, le ministre de l’Intérieur répondait au journaliste des 4 Vérités concernant sa loi sur le renseignement. Le ministre se posait comme sûr de lui, sûr de son fait et de son texte, invitant les détracteurs à le lire et se convaincre de sa pertinence, du juste équilibre entre liberté et sécurité.
Notamment, il a plusieurs fois insisté sur le contrôle procédural intégré, c’est-à-dire sur la vigilance assurée par les diverses autorités prévues pour certes éviter les abus et la menace de Big Brother.
Je n’ai pas lu son texte et ne le lirai pas. Ce que j’en ai entendu me suffit à être certain que ce texte – qui vise notamment à une plus grande mise sur écoute de l’internet – n’est qu’une vile farce.
Si on prend l’incident TV5 pour illustration, il est facile de montrer que la solution ne viendra que d’une plus grande liberté, pas d’une loi de surveillance. D’abord, techniquement, TV5 est un incident technique. Il a été rendu possible parce que l’entreprise avait fait des choix risqués en laissant béantes trop de failles dans ses systèmes. Vue la gifle prise, on peut penser que la direction va adopter les mesures qui s’imposent. Ou pas. C’est sa liberté que de faire ce choix.
Ensuite, toute entreprise ferait appel à la police dans un tel cas, ou à une justice adaptée. Mais dans ce monde sans frontière, rien de tout cela n’existe. On peut affirmer que l’existence des états territoriaux au monopole de la force a été et reste un frein au développement d’une justice du Net.
Quoi qu’il en soit, les vandales se voulaient porteur d’un message. N’oublions jamais la liberté d’expression. Ici elle a conduit à des actes qui doivent être jugés de par leur vandalisme. Mais les idées qui sont derrière n’ont rien à faire dans une telle procédure, de même qu’elles n’ont rien à faire dans les attendus d’un texte de loi quelconque. Une idée ne se combat pas sur le terrain physique, mais sur le terrain des idées. Soit elle est fausse et on l’explique. Soit elle relève de fausses croyances et ces croyances doivent être décrédibilisées comme telles. Par l’explication, pas la loi.
Le ministre veut mous rassurer par les contrôles prévus par son texte. Mais pourquoi faudrait-il des contrôles si le texte ne présentait aucun risque pour la liberté ? Et en quoi le contrôle par une autorité plutôt qu’une autre changerait le risque de voir ces personnes abuser de leur pouvoir ?
La cybersécurité ne change rien aux principes de la liberté d’expression. L’état doit s’en tenir loin.
Showing posts with label cybersécurité. Show all posts
Showing posts with label cybersécurité. Show all posts
Friday, January 26, 2018
Cybersécurité : Une affaire de liberté
(Publié sur Le Cercle en 2015.)
La cybersécurité est un sujet passé du petit milieu des experts aux gros titres de la presse en quelques mois, grâce à une avalanche d’accidents qui commence à attirer l’attention de tous – on pense à TV5 ou au Canard Enchaîné il y a peu, parmi tant d’autres.
Il y a de nombreux liens entre cybersécurité et liberté ; ce premier texte se propose de recadrer le sujet, d’en rappeler les fondamentaux, les principes, avant que les prochains papiers détaillent chacun une des facette en particulier, toujours avec la liberté à l’esprit.
Vue d’un œil professionnel, la cybersécurité n’est guère un phénomène nouveau, du moins pas par nature. Elle est due à la conjonction de deux facteurs, qui se sont simplement aggravés, mais qui n’ont rien de nouveau. Le premier tient à la faiblesse des technologies. Le second tient à la professionnalisation des attaques.
Les systèmes qui hébergent l’immense majorité de l’informatique des entreprises et des grandes organisations sont essentiellement les mêmes, tous issus d’une poignée de fournisseurs. Et malgré les années, malgré les « patches » et les « mises à jour » incessantes, ces technologies sont fournies et sont mises en place avec une multitude de défauts de conception, les fameux « bugs ». Et chaque bug est une faille en puissance que les pirates pourront utiliser pour se glisser, invisibles, au sein de ces systèmes nerveux modernes.
Pirates qui de leur côté sont devenus des pros et utilisent des outils désormais à la portée de tous. De nos jours, on peut passer de pirate amateur à pirate à galons juste en quelques heures. Parmi les aspects remarquables de cette évolution se distingue le rôle joué par tous les grands états, qui se mêlent tour à tour de protection de leurs entreprises et citoyens, tout en veillant à être les premiers à pirater profondément le reste du monde – telle la fameuse NSA – hors de toute juridiction.
Alors on découvre tout d’un coup que l’illusion de la propriété intellectuelle appliquée au logiciel a fait émerger des technologies de mauvaise sécurité ; que la malveillance a pu s’étendre sans contrainte dans la mesure où les états n’ont laissé aucune police s’organiser sur le Net ; que trop souvent la collusion entre pouvoir et grandes entreprises a abouti à des moyens d’espionnage présents un peu partout, à notre insu ; que les lois comme la CNIL ne servent à rien, sinon à nous faire croire que le danger pourrait venir du secteur privé.
Faute de liberté, tout cela était pourtant prévisible. A suivre donc…
La cybersécurité est un sujet passé du petit milieu des experts aux gros titres de la presse en quelques mois, grâce à une avalanche d’accidents qui commence à attirer l’attention de tous – on pense à TV5 ou au Canard Enchaîné il y a peu, parmi tant d’autres.
Il y a de nombreux liens entre cybersécurité et liberté ; ce premier texte se propose de recadrer le sujet, d’en rappeler les fondamentaux, les principes, avant que les prochains papiers détaillent chacun une des facette en particulier, toujours avec la liberté à l’esprit.
Vue d’un œil professionnel, la cybersécurité n’est guère un phénomène nouveau, du moins pas par nature. Elle est due à la conjonction de deux facteurs, qui se sont simplement aggravés, mais qui n’ont rien de nouveau. Le premier tient à la faiblesse des technologies. Le second tient à la professionnalisation des attaques.
Les systèmes qui hébergent l’immense majorité de l’informatique des entreprises et des grandes organisations sont essentiellement les mêmes, tous issus d’une poignée de fournisseurs. Et malgré les années, malgré les « patches » et les « mises à jour » incessantes, ces technologies sont fournies et sont mises en place avec une multitude de défauts de conception, les fameux « bugs ». Et chaque bug est une faille en puissance que les pirates pourront utiliser pour se glisser, invisibles, au sein de ces systèmes nerveux modernes.
Pirates qui de leur côté sont devenus des pros et utilisent des outils désormais à la portée de tous. De nos jours, on peut passer de pirate amateur à pirate à galons juste en quelques heures. Parmi les aspects remarquables de cette évolution se distingue le rôle joué par tous les grands états, qui se mêlent tour à tour de protection de leurs entreprises et citoyens, tout en veillant à être les premiers à pirater profondément le reste du monde – telle la fameuse NSA – hors de toute juridiction.
Alors on découvre tout d’un coup que l’illusion de la propriété intellectuelle appliquée au logiciel a fait émerger des technologies de mauvaise sécurité ; que la malveillance a pu s’étendre sans contrainte dans la mesure où les états n’ont laissé aucune police s’organiser sur le Net ; que trop souvent la collusion entre pouvoir et grandes entreprises a abouti à des moyens d’espionnage présents un peu partout, à notre insu ; que les lois comme la CNIL ne servent à rien, sinon à nous faire croire que le danger pourrait venir du secteur privé.
Faute de liberté, tout cela était pourtant prévisible. A suivre donc…
Sécurité : Cesser de se plaindre des utilisateurs
(Publié sur Le Cercle en 2015.)
Un soi-disant expert en sécurité sévissant régulièrement sur Contrepoints vient d’y publier un article où il nous engage à faire « attention au facteur humain » en matière de cybersécurité. Il est très à la mode dans ce milieu de parler du besoin de sensibiliser les utilisateurs et de façon générale, de se plaindre du nombre de bêtises faites par les « nuls » aboutissant à quelque catastrophe numérique.
De la part d’un auteur dont on suppose le penchant libéral, c’est un clair aveu d’immaturité politique et sociale. Car c’est oublier que le monde de l’informatique est comme tout produit de notre société, le fruit de l’action humaine, et que dès lors deux lois immuables s’appliquent à la question de la cybersécurité : la première, c’est qu’il n’y a pas d’autre facteur de sécurité que le facteur humain, puisque tout Internet et toute l’informatique jusque dans ses moindres détails résulte de décisions humaines ; ensuite, c’est oublier que l’objet de la sécurité au sein des systèmes informatiques n’est pas de se protéger de l’homme, mais bien de prendre l’homme comme il est pour en tirer des besoins de protection des informations en conséquence. C’est comme le droit.
Cette dernière remarque va radicalement à l’inverse du propos de notre faux expert. Qu’il se rassure, ils sont nombreux à raisonner comme lui. Vous entendrez régulièrement dire que l’utilisateur, plus ou moins ignare, est le maillon faible de la sécurité des systèmes informatiques et que de ce fait, la vie des experts chargés de renforcer ladite sécurité est d’autant plus compliquée.
C’est un peu comme si un politicien favorable à la démocratie, célèbre pour être le moins mauvais des systèmes, expliquait que les dysfonctionnements de celle-ci venaient en fait du peuple lui-même. Vous comprenez ma pov’ dame, les gens sont des imbéciles et votent n’importe comment et c’est pour cela qu’on finit par se retrouver avec du bleu marine dans les couloirs de nos palais. Ridicule. Il est évident que ce sont les principes de conception de la démocratie qui ne conviennent pas à l’homme et non l’homme qui ne convient pas à la démocratie. C’est la même chose sur Internet.
Ainsi, on oublie que les bugs font les failles. Qu’on m’explique pourquoi aucun éditeur n’est mis en justice quand son logiciel vulnérable permet la mise à sac de mon entreprise. Certes l’absence de bug ne peut être garantie, mais si les éditeurs avaient plus de pression, on verrait bien si leurs logiciels resteraient les passoires qu’on connaît.
Un soi-disant expert en sécurité sévissant régulièrement sur Contrepoints vient d’y publier un article où il nous engage à faire « attention au facteur humain » en matière de cybersécurité. Il est très à la mode dans ce milieu de parler du besoin de sensibiliser les utilisateurs et de façon générale, de se plaindre du nombre de bêtises faites par les « nuls » aboutissant à quelque catastrophe numérique.
De la part d’un auteur dont on suppose le penchant libéral, c’est un clair aveu d’immaturité politique et sociale. Car c’est oublier que le monde de l’informatique est comme tout produit de notre société, le fruit de l’action humaine, et que dès lors deux lois immuables s’appliquent à la question de la cybersécurité : la première, c’est qu’il n’y a pas d’autre facteur de sécurité que le facteur humain, puisque tout Internet et toute l’informatique jusque dans ses moindres détails résulte de décisions humaines ; ensuite, c’est oublier que l’objet de la sécurité au sein des systèmes informatiques n’est pas de se protéger de l’homme, mais bien de prendre l’homme comme il est pour en tirer des besoins de protection des informations en conséquence. C’est comme le droit.
Cette dernière remarque va radicalement à l’inverse du propos de notre faux expert. Qu’il se rassure, ils sont nombreux à raisonner comme lui. Vous entendrez régulièrement dire que l’utilisateur, plus ou moins ignare, est le maillon faible de la sécurité des systèmes informatiques et que de ce fait, la vie des experts chargés de renforcer ladite sécurité est d’autant plus compliquée.
C’est un peu comme si un politicien favorable à la démocratie, célèbre pour être le moins mauvais des systèmes, expliquait que les dysfonctionnements de celle-ci venaient en fait du peuple lui-même. Vous comprenez ma pov’ dame, les gens sont des imbéciles et votent n’importe comment et c’est pour cela qu’on finit par se retrouver avec du bleu marine dans les couloirs de nos palais. Ridicule. Il est évident que ce sont les principes de conception de la démocratie qui ne conviennent pas à l’homme et non l’homme qui ne convient pas à la démocratie. C’est la même chose sur Internet.
Ainsi, on oublie que les bugs font les failles. Qu’on m’explique pourquoi aucun éditeur n’est mis en justice quand son logiciel vulnérable permet la mise à sac de mon entreprise. Certes l’absence de bug ne peut être garantie, mais si les éditeurs avaient plus de pression, on verrait bien si leurs logiciels resteraient les passoires qu’on connaît.
Sunday, January 21, 2018
Il n'y a pas de "cyberwar"
(Publié sur Le Cercle en 2015).
On parle de plus en plus de cyberwar, ou guerre numérique. Mais en fait, la cybersécurité est un danger tout relatif. C’est une guerre qui ne fait aucune victime. Certes, on commence à voir la menace s’étendre lentement vers la prise de contrôle de plateformes industrielles, ce qui pourrait alors causer de réels dangers. Mais cela ne correspond pas à ce jour à la réalité ni surtout à tous ces incidents qui font les gros titres. Et puis, si la menace est telle, pourquoi ne changer les systèmes ?
La cybersécurité n’est pas plus un champ de bataille, pour la simple raison que la mort n’est pas – heureusement – au rendez-vous. Mais elle n’est même pas la tourmente qu’on entend dire. Elle n’est juste qu’une nuisance. Une nuisance fort gênante, certes, mais une simple nuisance quand même. Mes collègues responsables sécurité ou consultants détesteront lire ceci, mais la réalité demeure.
Pour s’en convaincre, considérons les dégâts causés par les pirates informatiques. Que peut-il arriver ? Pour TV5, c’est l’image de marque qui a été touchée – la perte de revenus de publicité pendant le noir est négligeable à côté. Pour un industriel qui se fait copier ses plans, c’est son avance technologique qui fond – mais il s’agit d’un risque de relatif long terme, rien d’immédiat. Certes il y a de rares systèmes mis à sac qui nécessitent un arrêt souvent mineur de production.
On mettra de côté tout ce qui est d’origine juridique ou réglementaire, il s’agit d’amendes totalement arbitraires et sans fondement. Ainsi, Orange qui s’est fait pincer par la CNIL n’a causé aucun dommage à ses clients – aucune entreprise ne prendrait ce risque. On oublie trop souvent que la question dite de la privacy, celle de la protection des données personnelles, ne se pose pas dans les termes que la CNIL nous impose : la menace ne vient pas des entreprises, elle vient de l’état.
Notez que je ne parle nulle part de vol. Tout d’abord, le vol en informatique est rare, la copie est la règle. Mais surtout, le vol en matière de données n’a guère de sens (*). Une fois dans ma tête, aucune information ne peut m’être volée. Un industriel ne se fait pas voler ses plans – pour rester discrets, les pirates évitent de les détruire. Les pirates mettent donc la main sur des copies, ce qui signifie que les industriels ne perdent rien, sauf un avantage temporel sur un concurrent éventuel.
Même croissante, la cybersécurité n’est pas absolument gravissime en soi. Du moins pas au point de justifier les gesticulations étatistes qu’on constate…
(*) Depuis que ce texte fut publié, la menace des ransomwares a vu le jour, qui vient sinon dérober du moins bloquer l’accès à certaines données, ce qui se rapproche du vol dans l’effet. Probablement que les malveillants vont trouver d’autres types de nuisances encore. Il demeure, il faut garder raison et lucidité, on ne peut parler de guerre et rien dans ces nuisances ne justifie l’interventionnisme. Au contraire, croire que la cybersécurité peut résulter de textes ou lois, c’est ne pas en avoir compris la nature « piratesque », qui fait que les failles exploitées auront – comme en finances – leur origine de failles conceptuelles se trouvant en marge des textes.
On parle de plus en plus de cyberwar, ou guerre numérique. Mais en fait, la cybersécurité est un danger tout relatif. C’est une guerre qui ne fait aucune victime. Certes, on commence à voir la menace s’étendre lentement vers la prise de contrôle de plateformes industrielles, ce qui pourrait alors causer de réels dangers. Mais cela ne correspond pas à ce jour à la réalité ni surtout à tous ces incidents qui font les gros titres. Et puis, si la menace est telle, pourquoi ne changer les systèmes ?
La cybersécurité n’est pas plus un champ de bataille, pour la simple raison que la mort n’est pas – heureusement – au rendez-vous. Mais elle n’est même pas la tourmente qu’on entend dire. Elle n’est juste qu’une nuisance. Une nuisance fort gênante, certes, mais une simple nuisance quand même. Mes collègues responsables sécurité ou consultants détesteront lire ceci, mais la réalité demeure.
Pour s’en convaincre, considérons les dégâts causés par les pirates informatiques. Que peut-il arriver ? Pour TV5, c’est l’image de marque qui a été touchée – la perte de revenus de publicité pendant le noir est négligeable à côté. Pour un industriel qui se fait copier ses plans, c’est son avance technologique qui fond – mais il s’agit d’un risque de relatif long terme, rien d’immédiat. Certes il y a de rares systèmes mis à sac qui nécessitent un arrêt souvent mineur de production.
On mettra de côté tout ce qui est d’origine juridique ou réglementaire, il s’agit d’amendes totalement arbitraires et sans fondement. Ainsi, Orange qui s’est fait pincer par la CNIL n’a causé aucun dommage à ses clients – aucune entreprise ne prendrait ce risque. On oublie trop souvent que la question dite de la privacy, celle de la protection des données personnelles, ne se pose pas dans les termes que la CNIL nous impose : la menace ne vient pas des entreprises, elle vient de l’état.
Notez que je ne parle nulle part de vol. Tout d’abord, le vol en informatique est rare, la copie est la règle. Mais surtout, le vol en matière de données n’a guère de sens (*). Une fois dans ma tête, aucune information ne peut m’être volée. Un industriel ne se fait pas voler ses plans – pour rester discrets, les pirates évitent de les détruire. Les pirates mettent donc la main sur des copies, ce qui signifie que les industriels ne perdent rien, sauf un avantage temporel sur un concurrent éventuel.
Même croissante, la cybersécurité n’est pas absolument gravissime en soi. Du moins pas au point de justifier les gesticulations étatistes qu’on constate…
(*) Depuis que ce texte fut publié, la menace des ransomwares a vu le jour, qui vient sinon dérober du moins bloquer l’accès à certaines données, ce qui se rapproche du vol dans l’effet. Probablement que les malveillants vont trouver d’autres types de nuisances encore. Il demeure, il faut garder raison et lucidité, on ne peut parler de guerre et rien dans ces nuisances ne justifie l’interventionnisme. Au contraire, croire que la cybersécurité peut résulter de textes ou lois, c’est ne pas en avoir compris la nature « piratesque », qui fait que les failles exploitées auront – comme en finances – leur origine de failles conceptuelles se trouvant en marge des textes.
Subscribe to:
Posts (Atom)