Le "brevet" ou la mort de l'innovation

Source: http://www.directmatin.fr/guerre-des-brevets

"L’économie de la connaissance connaît aujourd’hui des évolutions rapides ; la circulation des idées expérimente des formes nouvelles et les échanges de brevets se développent rapidement en favorisant une allocation plus fluide des actifs immatériels.
La séparation entre l’invention proprement dite et les actifs permettant sa mise en œuvre économique (capital physique, infrastructure commerciale, etc.) est une tendance majeure".
Ce  constat extrait du rapport intitulé "Les marchés de brevets dans l’économie de la connaissance "(document PDF, 2 Mo) nous renvoie directement aux événements actuels et à ce que certains appellent  la "guerre des brevets".

Le terme n’est pas nouveau mais revêt de plus en plus une dimension stratégique tant le rôle de la protection du patrimoine immatériel devient un thème central de la concurrence entre organisations mais aussi entre pays comme le décrivait Jean Tirole et Roger Guesnerie dans leur publication "L’économie de la Recherche-Développement",  en 1985 déjà...

Comme nous l’explique Bernard Lamon, « en France et aux Etats-Unis, les conditions pour obtenir un brevet sont identiques dans les grandes lignes, mais elles diffèrent sur un point. Dans les deux cas, il faut avoir résolu un problème et créer une invention.
En France, l’invention ne peut être un logiciel ou une méthode commerciale.
Aux Etats-Unis, la jurisprudence est beaucoup plus tolérante, et on trouve des brevets sur des méthodes commerciales. La jurisprudence de l’Office européen des Brevets est un peu plus tolérante sur les inventions mises en œuvre par un logiciel, mais quasi identique à la France concernant le rejet des brevets sur les méthodes commerciales. » (source: atlantico)
On touche ici à la notion de brevets d’usage plus large et plus compliquée à contourner, ces brevets deviennent des "actifs redoutables" ainsi, " lorsque l'innovation fait la différence commerciale, le brevet devient la première arme stratégique"(Vincent Lorphelin).

Longtemps le brevet a été considéré comme un moyen de protéger une invention mais désormais, "poursuivre en justice, c’est un moyen d’enrayer le dynamisme des concurrents et de préserver les parts de marché", explique aux Echos Leslie Griffe de Malval, de la société IT Asset Management.
Le procédé n’est donc plus seulement défensif mais aussi offensif.
L’émergence des Smartphones et le marché qu’ils représentent ont fait exploser cette tendance en créant une véritable économie du brevet, en témoigne cette infographie:



Source: Reuters

"Depuis quelques années, sont apparus des acteurs que les initiés appellent des “patent trolls”: des entreprises ou des particuliers qui utilisent le système des brevets non pour protéger leurs inventions, mais pour gagner de l’argent d’une manière qui peut s’apparenter à du chantage ou à de l’extorsion. Par exemple en faisant breveter des procédés qui existent déjà mais ne sont pas protégés ; ou encore, plus souvent, en acquérant un brevet (auprès d’une firme en faillite) puis en menaçant d’un procès une entreprise utilisant la technologie protégée. Laquelle entreprise aura le choix entre payer une licence au prix fort, ou encourir le risque d’un procès et les frais qui y sont associés".

Cette explication, parue dans ParisTech Review ," Les brevets freinent-ils l’innovation?" caractérise le changement d'idéologie des entreprises et la question se pose désormais sur le bien-fondé du procédé ; le brevet avait pour but de protéger une entreprise dans sa démarche de recherche et développement, de lui permettre de rentabiliser les frais engagés et de garder son avantage compétitif vis-à-vis de ses concurrents.

Il semblerait qu’aujourd’hui le but ne soit plus de protéger l’innovation mais d'empêcher celle des autres. Cette tendance mise en perspective macro-économique peut paraitre inquiétante et le nombre de procès engagés ces derniers mois remet directement en cause la valeur même de ces brevets,  l’adéquation du système aux méthodes actuelles mais aussi la capacité des tribunaux à statuer.

Les problèmes anticoncurrentiels générés nous font craindre une menace sur l’innovation elle-même mais surtout, dans un monde et une économie où la performance est basée sur l’échange d’information et sa fluidité, nous ne pouvons qu’espérer que le système sera capable de s’adapter afin de ne pas s’en trouver lui-même déséquilibré.

Pour aller plus loin:

• "Les brevets freinent-ils l'innovation?" (23 Septembre 2011) sur Paristechreview.com
• http://www.atlantico.fr/decryptage/guerre-brevets-yahoo-facebook-fragilite-bernard-lamon-309231.html
• Rapport de l'OCDE: "Brevets et innovations: tendances et enjeux pour les pouvoirs publics".

Chartes d’utilisation des réseaux sociaux dans les entreprises

Atteinte à l’e-réputation, chasse de talents, baisse de la concentration et de la productivité voire même fuite d’informations sensibles ou confidentielles l’utilisation des réseaux sociaux au sein des entreprises occupe les esprits.

Preuve en est, la CNIL (Commission Nationale Informatique et Libertés) invite les entreprises à donner à leur collaborateur un droit d’accès raisonnable à Internet et donc aux réseaux sociaux depuis leur lieu de travail. Mais la CNIL invite surtout à adopter une charte Internet ont l’objectif serait de "sensibiliser les salariés ou les agents publics aux exigences de sécurité, d'appeler leur attention sur certains comportements de nature à porter atteinte à l'intérêt collectif de l'entreprise ou de l'administration".

Depuis « L'Affaire » des trois employés licenciés fin 2010 pour avoir dénigré leur employeur sur Facebook les chartes d’utilisation des réseaux sociaux fleurissent dans les grandes entreprises. Nous pouvons y retrouver quatre chapitres récurrents :

• Principes d’utilisation de base des réseaux sociaux, invite à une attitude globale de réserve et de discrétion. Pour exemple, Dell y précise : « l'utilisation inappropriée des médias sociaux est inacceptable. Celle-ci recouvre notamment : la publication de contenus dénigrant l'entreprise sur des sites de partage d'informations, la publication de commentaires diffamatoires contre des collègues ou des clients sur des forums ou des blogs, et le partage d'informations confidentielles ». 
• Communication autorisée de l’entreprise sur les réseaux sociaux, ce chapitre donne de la visibilité aux collaborateurs en nommant les services habilités à communiquer au nom de l’entreprise : équipes de communication externe, relations presses, community managers…
• Entre utilisation professionnelle et utilisation personnelle pose des barrières dont le collaborateur souvent perdu a besoin. Par exemple l'agence de presse Reuters recommande à ses employés de créer deux profils différents s'ils utilisent des comptes Facebook et Twitter : « nous attendons de nos employés qu'ils appliquent des règles d'utilisation des médias sociaux dans leur vie professionnelle différentes de celles qu'ils appliquent dans leur vie personnelle ». Reuters recommande également à ses employés de « limiter au maximum la communication d'informations personnelles sur leur profil professionnel ». 
• Protection de la propriété intellectuelle : cette section met en lien le devoir de confidentialité que chaque collaborateur se doit de respecter et les informations que l’on peut transmettre sur les réseaux sociaux. Il s’agit de faire comprendre qu’une discussion privée, la non sécurisation de ses données et les échanges sur les réseaux sociaux menacent de la même façon la propriété intellectuelle. Nous trouvons une certaine insistance sur les métiers de la R&D.

De façon générale, les entreprises adoptent une attitude de responsabilisation envers leurs collaborateurs et d’accompagnement au changement. Cisco présente sa charte comme un document « éducatif » dont le but est de « rendre plus efficient les collaborateurs dans leur navigation quotidienne, tout en préservant les intérêt de l’employeur ». La plupart des employés ne savent pas ou n’envisagent pas les dégâts que peuvent causer un tweet, l’énumération de ses missions dans son profil professionnel…

Il est intéressant de voir que cette charte est rarement liée au contrat de travail, c’est-à-dire qu’elle n’a pas de valeur légale en cas de conflit entre l’employeur et l’employé et qu’elle apparaît toujours avec une partie « règles » et l’autre « recommandations ».

L’usage des réseaux sociaux est bien une affaire de responsabilité de chacun.

Sources:

• Facebook, un nouveau motif de licenciement pour les salariés? sur commentçamarche.net
• Blog d'Antony Poncier Charte des médias sociaux, le cas Cisco 
• Rédiger une charte d'utilisation des réseaux sociaux sur commentçamarche.net

Le développement des "smart grid"

Le smartgrid qui signifie réseau de distribution d’électricité intelligent est une technologie utilisant les informations sur le réseau électrique et l’informatique pour améliorer la production, la distribution et la consommation. Cette technologie doit permettre d’optimiser l’offre et la demande entre les producteurs et les consommateurs. A l’aide de capteurs et de systèmes d’analyses, l’énergie est optimisé : en lisant la production, en améliorant la disponibilité des unités de production, en réduisant les pertes en ligne et en permettant la compatibilité des différents réseaux.

La technologie smart grid pourrait rendre plus efficace de 5% le réseau américain dans un premier temps, d’après le Département de l’Energie des Etats-Unis et devrait permettre une économie de 46 à 117 milliards de dollars d’ici à 2023. De nombreux pays s’intéressent à cette technologie comme la Chine, le Japon, l’Inde, la Corée, le Brésil et l’Europe. "La meilleure des énergies est celle que l’on ne consomme pas".

  

En Europe, un grand projet est en développement, le super smart grid. Ce projet doit permettre de répondre à plusieurs problématiques comme la réduction émissions de CO2, l’amélioration de la sécurisation d’approvisionnement et de l’indépendance énergétique par le biais du renforcement de l’inter connectivité et le partage dans l’ensemble des pays européens.

source : ERDF Distribution

En France de nombreux acteurs de l’énergie participent à ce projet, ERDF, EDF, GDF-Suez et d’autres acteurs moins grands. ERDF a développé un compteur nommé « Linky » qui doit permettre de gérer à distance certains  équipements pour faciliter la gestion de la charge électrique qui transite sur les réseaux (exemple : pilotage de la charge des véhicules électriques, pilotage de la mise en marche des machines à laver). 

Avec cette technologie et toutes les informations recueillis sur le réseau électrique, la France et le reste de l'Europe pourraient utiliser uniquement des énergies propres, sures et renouvelables d'ici 2050.

Cependant il y a un problème avec ces informations transmises sur le réseau, qui est la sécurisation des données. En effet, toutes les données collectées par "Linky" rassemblent des informations précises sur notre consommation et notre mode de vie (heure de réveil, utilisation de certains appareils, etc...), ce qui relève du respect de la vie privée. La CNIL (Commission de Nationale de l'Informatique et de Liberté) est intervenue afin d'obtenir une meilleure sécurité et confidentialité des données sur le réseau.

Technologie et fraude à la carte bleue

Ce n'est pas un fait nouveau, les cartes bleues font souvent l'objet de fraudes en tout genre.Vols lors de retraits d'espèces aux distributeurs automatisés, extorsion du code ou encore capture de la carte grâce à d'habiles procédés (piratage notamment), l'observatoire de l'UFC Que Choisir? annonce près de 250 millions d'euros de fraudes en 2010*, seulement en France.

Avec l'arrivée d'Internet et des paiements en ligne, ce chiffre n'a pas diminué, bien au contraire. Les méthodes ont évolué et aujourd'hui, n'importe qui peut passer une transaction en ligne en ayant les coordonnées de la carte bleue d'un usager. Personne n'a oublié les fraudes réalisées à grande échelle sur certaines stations essence en libre service et la presse fait fréquemment le constat d'escroqueries de cet acabit (voir exemples en bas de page).

Dans ce contexte de situation bien peu maitrisée par les régulateurs, VISA jette un nouveau pavé dans la mare en développant le marché des cartes sans contact (voir article l'avènement du paiement sans contact en France). Rappelons-en rapidement le principe, il s'agit de cartes bleues ayant la faculté d'émettre un paiement -sur les terminaux le permettant- simplement en approchant sa carte de la machine à payer, et ce, sans composer de code confidentiel. Ce procédé ne peut fonctionner que pour les montants inférieurs à 20€ (et plafonnés à 80€ par mois). Pour les montants supérieurs à cette somme, la carte bleue est utilisée de façon "classique" avec code secret composé sur le terminal.

Si le procédé existe déjà depuis plusieurs années et fonctionne déjà à l'étranger, il a franchi une étape supplémentaire en étant commercialisé par les banques françaises.

Le nombre de fraudes est en constante croissance depuis plusieurs années (de l'ordre aujourd'hui de presque deux fraudes par minute, toujours selon l'UFC Que Choisir?). La problématique de la faible maitrise des avancées technologiques et de la sécurité des porteurs de carte est ainsi de nouveau relancée. Visa précise que la carte doit se situer à moins de 4 cm du terminal pour fonctionner mais oublie de préciser que cette distance est aussi fonction du récepteur. Rien n'empêche donc des ingénieurs malveillants en herbe de modifier un terminal de paiement pour qu'il puisse capter les cartes à une distance plus éloignée. De plus, certains sites Internet plus ou moins sérieux prétendent qu'il existe d'ores et déjà des algorithmes permettant de casser le cryptage des cartes afin d'accéder aux données confidentielles du porteur (voir "plus d'articles sur ce sujet" en bas de page).

Alors que nous précisions il y a quelques jours que les nouveaux moyens de paiement étaient en expansion, la question de la sécurité de cette gamme de paiements alternatifs est plus que jamais à l'ordre du jour. Il ne nous reste plus qu'à conseiller aux usagers d'être d'autant plus vigilants sur l'utilisation de leur carte.

* Étude complète sur la fraude bancaire Que Choisir?

Plus d'articles sur le sujet :

Vulnérabilité exploitable des cartes sans contact

Les dangers de la carte bancaire sans code
Sécuritaires, les cartes de crédit sans contact?
Un réseau international de fraude à la carte bleue démantelé au Canada

L'internationalisation de la loi sarbanes-oxley

Il existe des lois de sécurité financière (la LSF ou loi Mer, la SOX, etc…) qui imposent aux entreprises certaines obligations conduisant à la transparence et à l’exactitude des comptes. La mise en place de ces normes peut être un avantage concurrentiel pour les entreprises et implique l’adaptation au système d’information (source Ayi Ayayi et Christine Noël Professeurs Audencia Nantes).
La crise financière qui a suivi l’éclatement de la bulle technologique a permis de dévoiler plusieurs scandales financier aux états unis et en Europe comme l’affaire Parmalat en Europe puis l’affaire Enron et worldcom aux États-Unis.

Dans le but d’éviter de tels problèmes et de rassurer les investisseurs, les gouvernements de certains pays principalement des États-Unis ont voté diverses lois portant sur la sécurité financière comme la loi Sarbanes-Oxley (votée par le congrès américain et ratifiée en juillet 2002 par le président Bush). Elle sera introduite en juin 2004 et apportera des modifications majeures dans le milieu de la gouvernance d’entreprise. Grâce à son impact international, cette loi est une opportunité pour l’entreprise de renforcer sa position concurrentielle.

Cette loi a trois principes fondateurs qui sont :

• la responsabilité des gestionnaires: ceux-ci peuvent encourir jusqu'à 20 ans de prison ;
• l’exactitude et l’accessibilité des informations ;
• l’indépendance des vérificateurs: Auditeurs.

Cette loi s’applique non seulement aux entreprises américaines cotées et détenant  un chiffre d’affaire de plus de 75 millions de dollars mais elle s’étend aussi aux autres entreprises étrangères car, ne pas s'y conformer peut-être un facteur discriminant dans la relation entre les entreprises ou avec les investisseurs.

Une entreprise qui se conforme a cette loi a un avantage concurrentiel (un investisseur ou fournisseur ou tout autre acteur financier choisira toujours une société appliquant les lois sarbannes-oxley). Ceci créé des controverses en Europe (source Conac P-H) et au Canada car ces derniers ont leur propre lois de sécurité financière contestant la loi américaine surtout au niveau de la protection de la vie privée.

Il existe 306 sociétés européennes directement touchées par la loi sarbanes-oxley (mais toutes celles traitant avec des entreprises américaines sont indirectement impactées). Les premières sont Britannique, ensuite les Pays-Bas, la France est en troisième position avec 32 sociétés et enfin l’Allemagne.
Cette loi impacte aussi les systèmes d’informations de l’entreprise :

• elle oblige les entreprises à clôturer leur compte plus vite que dans le passé ;
• le système d’information financier de l’entreprise doit être capable de prévoir la conséquence d’un événement majeur afin de les communiquer aux actionnaires ;
• elle impose aux entreprises de faire des contrôles internes efficace avec un moyen de prouver l’efficacité.

Si une société qui se conforme à cette loi peut être meilleure du point de vue des investisseurs et fournisseurs, ou mieux jugée par rapport à ses concurrents qui ne le sont pas, elle peut aussi avoir pour avantage l’amélioration de l’exactitude et de la réactivité de son système d’information ainsi que, dans les «mauvais moments», l'amélioration de la qualité des prises de décisions.
Mais le conflit entre les lois européennes de protection de la vie privée et la loi sarbanes-oxley doit être source d’une attention particulière, pour ne pas être en situation irrégulière.

Aujourd’hui, presque dix ans après la création de cette loi, les questions qui doivent être posées sont :

• Est-ce que cette loi a réellement combattu la fraude ?
• Est-ce que les investisseurs américains sont réellement protégés ?
• Cette loi doit-elle être répandue, voir rendue en norme internationale et être imposée à toutes les entreprises du monde ?

Sources / en savoir plus:

• Conac P-H.(2003), “L’influence de la loi Sarbanes-Oxley en France”, Revue des sociétés, 10/12, pp. 835-858 
• Ayi Ayayi ; Ph.D. Professeur associé et Christine Noël Professeur assistant (Audancia Nantes) ; «Réglementation financière et attractives des marchés financiers, une comparaison des cadres Nord-américain et Français».

Les services Playstation de nouveau attaqués

6 mois après les cybers-attaques subies sur le Playstation Network Service (PSN) et sur le Sony Online Entertainment (SOE), Sony a déploré des nouvelles attaques sur ses bases de données clients entre le 7 et le 10 octobre 2011.
Selon le blog officiel PlayStation, 60 000 comptes PSN et 33 000 comptes SOE ont subit une tentative de hacking. Dans ce billet, le responsable de la sécurité informatique de Sony, Philip Reitinger, par un billet sur blog officiel de PlayStation, explique que cette attaque diffère de celle d’avril 2011, car cette fois-ci, les bases de données n’ont pas été attaquées. En effet, le principe de cette cyber-attaque était de récupérer des données utilisateurs sur Internet et de forcer l’authentification sur les serveurs.
Contrairement à avril 2011, Sony a très vite réagit en fermant temporairement les comptes concernés par cette attaque et a communiqué via son blog quant aux mesures de protections à effectuer pour les utilisateurs. Cependant, même si l’attaque est bien plus faible que la précédente, elle montre que certaines vulnérabilités subsistent dans les systèmes PSN et SOE.
Pour rappel, les attaques d’Avril 2011, dans lesquelles plus de 77 millions de comptes ont été "hackés", et potentiellement autant de données bancaires dérobées, ont conduit à la fermeture des services de 3 à 11 semaines selon les continents. Les coûts connus dus à la remise en service suite à cette attaque sont estimés aujourd’hui à 133 millions d’euros.

Le financement du CNAPS se concrétise

Suite au vote de la LOPPSI 2, les modalités de financement du Conseil National des Activités Privées de Sécurité (CNAPS) se précisent.

Des précisions (pdf) sur cette structure sont apportées par le Syndicat National des Entreprises de Sécurité. Le Préfet Blanchou avait d'ores et déjà communiqué un certain nombre d'informations sur cette structure encore en création lors du colloque "Intelligence Economique, tendances et défis du futur" organisé en janvier dernier par le Mastère Spécialisé en Intelligence Economique et Management des Connaissances de SKEMA et son partenaire l'INHESJ. Voir également à ce sujet le billet "Sécurité économique - Mise en place du Conseil National des Activités Privées de Sécurité (CNAPS)" sur ce blog.

Le financement du CNAPS sera assuré par une taxe additionnelle de 0,5% que les entreprises de sécurité privée devront faire apparaître en sus sur les factures présentées à leurs clients. En ce qui concerne les services internes de sûreté (RATP, SNCF,...), la taxe sera de 0,7% de la masse salariale de ces services internes. Cette taxe sera recouverte par le ministère de Économie, des Finances et de l'Industrie.

Commotion ou l'Internet agile, autonome, libre et gratuit

L'évolution d'Internet est en marche. Le réseau Web planétaire, victime de son succès, souffre des défauts inhérents à sa conception, bien que "scalable" il a du mal à s'adapter à la mobilité car il est très dépendant de son infrastructure physique. Il est aussi vulnérable aux coupures involontaires (catastrophe, pannes...) mais aussi au contrôle des autocrates (cas de l’Égypte et de la Syrie durant les révolutions arabes). (article IEEE Spectrum et article sur Le Monde)

Le projet Commotion regroupe une équipe de hackers (dans le sens anglo-saxon du terme, bidouilleurs de génie et à ne pas confondre avec les "crackers" ou "pirates") portée par la philosophie qui anime les réseaux libertaires de l'Internet et qui s'est donné pour objectif de développer de nouveaux protocoles de communication ad-hoc à l'infrastructure actuelle d'Internet. Ce réseau se base sur les terminaux mobiles dotés d'outils de communication Wifi (smartphone, tablettes, ordinateurs portables, consoles de jeux...) et les routeurs Wifi afin de créer un réseau maillé ouvert qui s'adapte dynamiquement. Ce réseau qui permet la communication entre différents terminaux sans se servir d'Internet est relié au réseau mondial via des terminaux possédant une liaison satellitaire. (Pour plus d’informations techniques voici le lien du projet Commotion Wireless)

Ce projet peut avoir de nombreuses répercutions, il représente en lui-même un changement de paradigme pour l'accès à Internet, celui-ci ne va plus être le monopole des fournisseurs d'accès mais pourrait être disponible via des outils open source et gratuit et ne dépendre de l’accès que d’une personne faisant parti du réseau Commotion.

En l’associant au projet Tor qui autorise la navigation anonyme sur Internet et qui est déjà utilisé par les hackers, les dissidents politiques ou encore les militaires, on autorise aux utilisateurs du réseau Commotion l’accès anonyme, sécurisé et gratuit à l’Internet.

Les faucons de la cybersécurité ne vont plus en dormir la nuit…

Le projet devient encore plus intriguant et passionnant lorsque l’on s’intéresse à ses soutiens et ses investisseurs. Tandis que les développeurs du projets sont très impliqués dans la communauté de l’Internet libertaire (le leader du projet n’est autre que Sascha Meinrath un des pionniers de cette communauté), le projet est soutenu par la New America Foudation et le département d’Etat Américain à hauteur de 2 million de dollars. Ce financement fait partie d’un projet plus important de 25 million de dollars annoncé par Hillary Clinton en février dernier afin de développer et promouvoir des technologies Internet open source et gratuites, exportables dans les pays autocratiques pour aider les dissidents.

Le projet Commotion est donc l’une des briques d’un projet beaucoup plus vaste qui inclut le projet Tor discuté plus haut, mais aussi le projet Serval qui permet de communiquer par GSM sans l’aide d’un système wireless LAN ou GSM, le projet OpenBTS ou Asterisk qui ajoutent la fonction VoIP à l’ensemble et enfin un projet qui sort du cadre légal car il permet l’émission d’informations par communication wireless sur des fréquences régulées , le projet Open GSM. (article sur ce sujet en anglais)

La New America Foundation est un Think Tank financé par de nombreux acteurs des domaines économiques, étatiques et technologiques américains. On y trouve Eric Schmidt, l’ex PDG de Google, Google Inc., les fondations Ford, Rockefeller, Blue Shield of California, Bill & Melinda Gates… Cette fondation s’est dotée d’une branche active pour la promotion de l’Internet libre et open source grâce à la Open Technology Initative (OTI). Elle s’est associée au Darpa (le département de recherche de l’armée américaine) et au journal électronique Slate (Propriété du Washington Post) pour financer le projet PlanetLab qui développent de nouveaux outils pour améliorer les réseaux et notamment Internet (voir le projet Measurement Lab qui permettrait de connaître l’état du réseau en temps réel).

Il peut sembler paradoxal que l’Etat fédéral américain s’implique dans de tels programmes quand l’on voit avec quelle application il tente de contrôler les informations sur Internet et les scandales qu’il essuie avec les révélations de Wikileaks qui est animé, peu ou prou, par la même philosophie libertaire de l’information et de son accès. Cette situation tient en faite à la schizophrénie du gouvernement fédéral qui depuis l’élection d’Obama a vu arriver de nombreux jeunes ayant été élevés avec les nouvelles technologies et qui se font les portes paroles des idées progressistes venues de la Silicon Valley. Ces nouvelles idées bousculent les schémas hérités de la guerre froide en opposition avec la nouvelle vision du monde, apportée par la mondialisation, d'un monde multipolaire et de plus en plus interconnecté (interview du politologue Bertrand Badie sur Le Monde).

Il faut aussi bien se rendre compte que l’importance et l’influence des entreprises californiennes est de plus en forte. Google est devenu une entreprise on ne peut plus stratégique pour l’économie américaine et mondiale, mais aussi pour la politique étrangère de la première puissance économique. Et de tels projets ont le pouvoir de promouvoir la démocratie et le libre échange car ils portent en eux de façon intrinsèque ces idéaux.

Le déploiement de tels outils permettrait aussi d’entretenir la croissance exponentielle du nombre d’utilisateurs du réseau mondial en fournissant un accès gratuit et libre aux populations pauvres, ce qui en plus de permettre le développement économique et la diffusion du savoir est une des conditions indispensables à l’émergence de la grande convergence NBIC (Nanotechnologie, Biotechnologie, Information technologies, Cognitive sciences), graal du courant idéologique transhumaniste porté notamment par Google.

Clément Maufrais

Facebook et les dangers d’un système de reconnaissance faciale généralisé

La nouvelle arme pour le contrôle d’internet s’appelle la reconnaissance faciale (source: NANOJV).

Tous les grands cherchent à maîtriser cette technologie. Apple utilise la reconnaissance faciale dans son système d’exploitation mobile (iPhoto), Google l’utilise dans Google + et dans Picasa, et désormais Facebook qui, après l’acquisition d’une start-up israélienne spécialisée sur la réalité augmentée (Face.com), l’utilise aussi sur les photographies.

Ce système de reconnaissance faciale facilite l'identification des personnes qui y figurent. Même si cette fonctionnalité peut-être désactivée, elle est par défaut activée et permet à l'usager un gain de temps en identifiant un seul visage sur une seule photo, le système prenant le relais et identifie la même personne sur l’ensemble de l’album. (source : blog officiel de Facebook).

Le déploiement de cette technologie suscite donc de nombreuses inquiétudes. Cité par l'agence Reuters, Marc Rotenberg, président de l'Electronic Privacy Information Center (EPICl), craint que les données personnelles des utilisateurs, comme les adresses emails, puissent être associées aux photographies annotées dans les bases de Facebook (source: Lemonde.fr)

Le développement rapide de ces technologies nécessite une régulation et un contrôle accru des autorités européennes. Car autrefois utilisées exclusivement par les agences de renseignements, elles entrent maintenant sur internet et peuvent être un réel danger pour l’utilisateur, ainsi qu'une vrai atteinte à sa vie privée.

A.M.

Les hackers révolutionnaires

Récemment, de nombreuses sociétés et compagnies à travers le monde ont été la cible d’attaques informatiques et ont vu l’accès à leurs sites internet bloqué et pour certaines d’entre elles leurs fichiers clients volés (Sony particulièrement). Certains sites gouvernementaux eux aussi n’ont pas été épargnés par cette déferlante série d’attaques de pirates ou hackers. Ce qui nous amène donc à nous poser les questions suivantes : Qui sont ces hackers ? Que cherchent-ils ? Quels sont leurs buts et intentions ? Et pour qui opèrent-ils ?

Rappel de l'actualité des récents événements liés au piratage:

Certaines d’entre elles ne portent pas de signatures, comme l’infiltration à l’aide d’un cheval de Troie de 150 machines du ministère Français de l’Economie et des Finances.

Mais pour la grande majorité, elles sont l’œuvre de groupes de hackers connues sous le nom de Lulz Security (dit "LulzSec") et Anonymous. La plus connue, effectuée en 2011, est une intrusion et vol de données sur un réseau maintenu par Sony qui lui aurait permis de compromettre plus d'un million de comptes. Le groupe serait également responsable d'une indisponibilité du site web de la CIA, du piratage du site du Sénat américain, du piratage du journal The Sun, propriété de Rupert Murdoch enlisé dans des scandales d'écoutes…(une liste non-exhaustive est disponible sur Wikipedia).

Il convient de chercher à savoir quelle est l’identité de ces protagonistes ? De comprendre leurs motivations, de savoir si elles sont fondées ou infondées ?

Qui sont-ils?

A ce sujet ARTE a diffusé le 07 juin 2011 un excellent documentaire sur les bons et les mauvais Hackers, autrement dit : les "black hats" délinquants virtuels détectent et utilisent les failles dans l’objectif de nuire et/ou d’en tirer un profit et les "white hats", pirates bienveillants. Ce court documentaire tente d’appréhender ce milieu qui nous est bien souvent méconnu.

Ainsi, nous apprenons que les hackers forment une vaste communauté aux profils diversifiés. «Capables de modifier la une d'un journal sur le Net ou de piéger le ministre de l'Intérieur, ils sont aussi les seuls à savoir protéger les entreprises des menaces informatiques» (arte.tv).
Ces « inventeurs des logiciels libres - permettant d'échapper à la toute-puissance de Bill Gates ou de Steve Jobs -, sont aussi, grâce à l'exploration des failles informatiques, à l'origine de la sécurisation des achats en ligne» (arte.tv). Beaucoup d’être eux sont encore très jeune et n'ont qu'un bac en poche mais les services secrets et les responsables politiques se disputent leurs faveurs... « À contre-courant des idées reçues, ce film raconte la génération hackers, entrée dans l'arène politique et médiatique à l'occasion du débat sur Hadopi ». (arte.tv)

Certains de ces hackers ont même soutenu WIKILEAKS en lançant des attaques visant à saturer les sites de Mastercard, Visa, et Paypal. D’autres ont joué un rôle dans les révolutions arabes en piratant les sites gouvernementaux Tunisiens puis Egyptiens.

Hackers: ni dieu, ni maître : reportage fort intéressant à consulter sur videos.arte.tv.

Quelles sont leurs motivations ?

On apprend aussi, grâce au documentaire et à leurs déclarations dans la presse que LulzSec va à l'encontre des gouvernements accusés de vouloir réduire la liberté d'expression sur Internet sous couvert de politiques sécuritaires.
LulzSec n’est toutefois pas un groupe isolé. La position officielle de certains gouvernements qu’Internet est un outil dangereux et qu’il doit être contrôlé est alarmante et remet en question l’importance fondamental de la Liberté.

Dans un communiqué de juillet 2011, les deux groupes Anonymous et Lulz Security reviennent sur les pratiques de certaines multinationales qu’ils jugent inacceptable et dénoncent les mensonges et la corruption des gouvernements ainsi que les sociétés qui s’en mettent plein les poches. Les « cyberhacktivistes » assurent qu’ils continueront de se battre contre ces gouvernements et ces entreprises. Ils avertissent : « Nous sommes de retour, et nous n’allons nulle part » (publié sur le Pastebin).

En considérant la détermination de ses deux groupes à défendre la liberté sur Internet et les mensonges des gouvernements, une question légitime se pose : suite aux manifestations en Grande Bretagne et à la volonté de David Cameron de limiter l’accès aux réseaux sociaux et de surveiller avec l’aide de la police les communications des BlackBerry et d’autres outils, pour quelles raisons ni Anonymous ni LulzSec n’ont condamné ses mesures ou entrepris des attaques sur les sites gouvernementaux britanniques ? Que sont devenus ces deux groupes ? Ont-il cessé d’exister ?

La réponse à cette question vient en faisant quelques recherches qui révèlent que plusieurs membres d’Anonymous et de Lulz Security sont traqués par le FBI depuis plus de 5 mois et que le mois de juin a été marqué par l’arrestation de plusieurs d’entre eux !

En effet, le FBI se félicitait de l’arrestation de 14 membres présumés d’Anonymous, opération américaine a été effectuée en coordination avec les polices de Grande Bretagne et des Pays bas.
De nombreuses autres arrestations ont déjà eu lieu, notamment en Italie, en Espagne et en Grande Bretagne. 14 personnes, âgées de 20 à 42 ans ont été interpellées et sont suspectées d’appartenir au groupe et d’avoir participé de près ou de loin à l’attaque des serveurs du blog de Paypal. Dans son communiqué (en anglais), le FBI remercie l’aide internationale et salue au passage ses homologues britanniques et hollandais.
Le service de police de Grande Bretagne aurait arrêté plusieurs jeunes hommes âgés de 16 ans à 19 ans (des adolescents!) faisant partie du groupe Lulzsec. La police britannique a même annoncé, mercredi 27 juillet, l'arrestation d'un jeune homme de 19 ans suspecté d'être "le porte-parole" du groupe de hackers Lulz Security.

Même le très célèbre réseau social Facebook participe à sa manière à « identifier » les Hackers.

Dans son édition du 1er aout, le journal « Lepoint.fr » titre : « Le réseau social propose 500 dollars à qui trouvera une faille sur son site... sans la rendre publique ». Le réseau social a lancé une campagne mondiale et offre cinq cents dollars à chaque internaute qui découvrira une faille de sécurité sur le site, mais aussi sur les applications mobiles ou les outils pour développeurs. Facebook a déjà publié une liste de white hats, qui l'ont aidé à résoudre des problèmes de sécurité.

A travers cette mesure, Facebook permet non seulement d’identifier les hackers mais aussi de les recruter pour ses propres intérêts : améliorer la sécurité de son réseau. George Hotz ou"GeoHot", célèbre Hecker pour avoir piraté l'iPhone et la PlayStation 3 a d’ailleurs été récemment recruté au mois d’aout.

Conclusion :

Le but de ce billet est de nous pousser à garder en tête les différents sujets sensibles de l’actualité pour pouvoir les suivre et les analyser. L’exemple avec l’arrestation récente des hackers qui n’a pas fait Grand écho dans la presse…

Les récents événements donnent raison à ces "militants" au vue de la volonté de David Cameron de limiter l’accés aux réseaux sociaux, de contrôler internet, d’espionner les messages des Black Berry, sans parler de l’affaire des écoutes…

Un appel au couvre-feu numérique plutôt surprenant de la part de celui qui célébrait en février le rôle joué par Facebook et Twitter dans le Printemps arabe et où les dictatures en place avaient coupé l’accès à internet et aux réseaux sociaux…

Et les citoyens crient à juste titre à la censure, ce qui ajoute la liberté d'expression à leurs revendications. À la manière de ces mamies californiennes qui, le 15 août, ont hurlé aux atteintes répétées contre la liberté de parole en Grande-Bretagne comme aux États-Unis.

Car même aux Etats-Unis, le pays de la « Liberté », les réseaux sociaux posent problème : les autorités de San-Francisco ont désactivé le réseau de téléphonie mobile du métro pour empêcher la tenue de manifestations.

Il faut certainement s’attendre à d’autres mesures par les gouvernements de restreindre l’accès aux réseaux sociaux suivi de manifestations tout à fait légitime des citoyens de défendre leur liberté fondamentale en ces temps de crise : LA LIBERTÉ D’EXPRESSION !

« Tout individu a droit à la liberté d'expression...sans considérations de frontières », Déclaration universelle des droits de l'homme, Article 19.

Cette analyse sera faite dans d’autres notes avec les événements (de l'actualité) en Syrie et en Libye…

A.M.

Le début de la cyberguerre ?

Alors que la Chine se dote d’une nouvelle unité de cyberdéfense , le Pentagone veut assimiler les cyberattaques à des actes de guerre et dans cette optique pourrait répondre militairement à des attaques informatiques étrangères.

Le mois de mai de l’année 2011 a été riche en déclarations en tout genre de la part des chinois, des américains et des européens (et particulièrement des français) sur la mise en place de nouvelles stratégies et mesures de sécurité des réseaux et du cyberespace.

En effet, au lendemain des déclarations de la Chine de la création d'une cyberunité chargée de la défense des systèmes d'information militaires et de la défense du cyberespace chinois civil, le Pentagone annonce sa volonté d’assimiler les cyberattaques à des actes de guerre dans le but de dissuader les pays étrangers d'attaquer les États-Unis via les réseaux informatiques.
Un rapport de 30 pages qui sera très prochainement rendu public (mais 18 pages seront classées secret-défense) dévoile cette mesure qui risque de faire débat, notamment concernant la difficulté d'évaluer avec certitude l'origine précise d'une cyberattaque et la façon d'estimer quand une attaque est suffisamment importante pour nécessiter une riposte militaire (pour de plus amples informations, se référer à l’article du Wall-Street Journal:
"Cyber Combat: Act of War")

L'annonce va aussi dans le sens des récentes déclarations faites plus tôt dans le mois par le Président américain Barack Obama et la secrétaire d'Etat Hilary Clinton, concernant la sécurisation des réseaux et la lutte contre les cybercrimes et pour lesquels un document de 30 pages a été mis à la disposition du public. Dans ce document, baptisé « Stratégie internationale pour le cyberespace » ("INTERNATIONAL STRATEGY FOR CYBERSPACE : Prosperity, Security, and Openness in a Networked World"), les États-unis dévoilent leur feuille de route en matière de développement d'Internet.

L'«administration Obama» a aussi proposé un nouveau texte de loi destiné notamment à renforcer la protection des internautes et les sanctions en cas d'intrusion informatique.

Dans un communiqué de la maison blanche, le président des États-Unis rappelle l'importance non seulement du réseau informatique mais également des réseaux électriques. Il précise ainsi qu'il « est devenu évident que notre pays ne peut pas complètement se défendre face à ces menaces si certains champs de notre dispositif législatif en matière de cybersécurité ne sont pas adaptés. Les failles de notre cybersécurité qui touchent l'administration et nos infrastructures clés constituent des menaces pour notre sécurité nationale, publique et économique » (Source: strategies.fr).
A travers cette loi, l’«administration Obama» compte renforcer la sécurisation des administrations et organismes publics tout en prenant garde à ne pas empiéter sur les libertés individuelles des internautes…

Au même moment en France, le gouvernement décide de prendre des mesures visant à renforcer la sécurité informatique générale des systèmes d'information français et de créer un groupe d'intervention rapide et un centre de recherche. Mais le groupe d'intervention formé d'experts aura pour mission d’intervenir dans des administrations et organismes publics lorsque des indices laissent à penser qu'ils ont été l'objet d'une attaque informatique susceptible de présenter un danger pour la sécurité de leur activité, de menacer l'intégrité de leur patrimoine informationnel, de déséquilibrer le fonctionnement économique du pays ou de porter atteinte à la vie quotidienne des Français.

Ces mesures sont-elles suffisantes ? Ne vaut-il pas mieux prévenir (par des actions de sécurisation et détection des attaques) que guérir (par la mise en place d’un groupe d'intervention rapide) ?

Toutes ces déclarations coïncident avec les récentes attaques dont Sony et le ministère de l’Economie et des Finances ont été victimes :
1) 150 machines du ministère de l’Economie et des Finances ont été infiltrées à l’aide d’un cheval de Troie. L’ampleur de cette intrusion informatique a montré que des menaces réelles pouvaient peser sur les systèmes informatiques du gouvernement.
2) Ces derniers mois, Sony a été la cible privilégiée de plusieurs attaques coordonnées par un groupe de pirates baptisé LulzSec. Ces derniers ont réussi à hacker les services en ligne de la PlayStation Network et Qriocity, en volant au passage les informations personnelles d'environ 77 millions de comptes. La dernière attaque date du mois de juin.

Dans un souci de sécuriser les réseaux et de combattre efficacement ces agressions pour éviter une paralysie générale des instituts voir du pays à l’image de ce qui s’est passé en 2007 en Estonie les états se dotent de moyens humains et matériels de plus en plus grands. Le documentaire de la chaine de télévision ARTE, « La guerre invisible » (disponible sur le net) illustre très bien cet état de cyberguerre froide entre les états et nous révèle que les auteurs des attaques informatiques restent difficiles à identifier par manque de preuves. Même si le contexte géopolitique et l’analyse des divers virus et autres chevaux de Troie par des spécialistes informatiques peuvent amener des éléments de réponse quant aux auteurs des attaques, à l’image du virus "Stuxnet" dont les cibles ont été (et sont toujours) les centrales nucléaires en Iran. Ce virus s’attaque au système SCADA de Siemens destiné à faire exploser les centrifugeuses nucléaires. Le New York Times a révélé que Stuxnet aurait été testé dans les centres de recherche de la sécurité israélienne au sein de Dimona le désert du Néguev. Les experts qui ont décortiqué le code de Stuxnet sont par ailleurs convaincus que seuls des pays à haute capacité technologique peuvent être à l’origine de sa conception et notamment pointent notamment les États-Unis et Israël (des similitudes ont été trouvé entre le code du virus et l’hébreu…).

Ces attaques ne sont pas prêtes de s’arrêter… Au mois d’avril dernier l'Iran se dit être encore une fois la cible d'une nouvelle attaque de certains de ses systèmes informatiques par un virus baptisé "Stars".

La menace est donc bien réelle et dans ce sens nous ne sommes peut être pas loin de la cyberguerre… La sécurité des informations et des réseaux devient plus que jamais cruciale dans un monde où le tout numérique régit notre quotidien et notre vie et où l’homme devient dans un sens dépendant de la machine… à l'image de l’œuvre de science fiction Matrix.

A.M.

Google lance Search by Image

Google nous a habitué à lancer régulièrement de nouvelles applications pour son moteur de recherche. Il y a quelques mois, l'entreprise de Mountain View nous présentait Google Instant, qui permettait d'afficher les résultats de recherche lors de la frappe de la requête. Selon Google, chaque recherche est plus rapide de 2 a 5 secondes en moyenne, faisant économiser plusieurs années par jour à l'ensemble des utilisateurs sur la planète...

Cette nouvelle application illustre l'orientation que donne Google au développement de son moteur de recherche, toujours plus rapide, toujours plus précis, toujours plus "intelligent" pour finalement n'être plus qu'une interface transparente entre l'utilisateur et le World Wide Web.

Dans cette optique deux nouvelles applications ont été développées pour leur moteur de recherche de bureau, deux applications que les utilisateurs d'Android doivent connaître, la recherche par requête vocale et la recherche par requête d'image. Cette dernière a été introduite sur Android sous le nom de Google Goggles.

La première fonctionnalité, la reconnaissance vocale, nous est assez familière, elle libère de la nécessité de taper sa requête sur un clavier physique ou virtuelle en permettant de simplement prononcer sa requête. Cette fonctionnalité est apparue sur de nombreux téléphones et existait bien avant Google, mais qui l'utilise vraiment? En effet l'expérience montre que le logiciel ne comprend qu'approximativement ce qu'on lui dit, c'est un problème essentiellement de software et d'algorithme. Google s'est penché sur le problème et a considérablement amélioré le système pour la langue anglaise (pour le moment) et la rendu disponible sur leur OS pour appareils mobiles Android ainsi que pour leur navigateur Internet Google Chrome.

La seconde application, la recherche par image, a été à l'instar de la recherche vocale introduite sur les appareils mobiles pour commencer. Elle vient donc d'être lancée sur Chrome et Firefox via des extensions à installer. Elle autorise l'utilisateur à glisser une image dans le moteur de recherche ou à lui fournir l'url d'une image sur Internet, le moteur cherchera sur le réseau mondial des images similaires et vous fournira les liens, les références, les noms et toutes les informations que vous pouvez attendre d'une recherche classique.

Cette fonctionnalité peut s'avérer très utile pour retrouver une personne si l'on n'a pas son nom ou pour recouper son nom avec sa photo, de même pour des lieux, des monuments, des objets de toutes sortes ou des logos. Cela répond à un vrai besoin de recherche d'informations.

Il est intéressant de noter que les applications liées aux images virtuelles se développent de plus en plus et notamment sur le web. Elles commencent à rentrer dans les habitudes de tout le monde. Ainsi Facebook a lancé en catimini une nouvelle fonctionnalité de son célèbre réseau social, la reconnaissance faciale sur les photos que publient les utilisateurs. Cette application suggère des tags à appliquer aux photos lorsqu'on les charge sur leur site. Cette option est désactivable (heureusement) dans les options de profil si vous ne souhaitez pas être tagués par vos amis à tout bout de champ. Vous pouvez trouver un tutoriel sur le site Mes Experts si vous souhaitez modifier cette fonctionnalité.

Google ne cache pas ses ambitions pour son moteur de recherche, en développant de nouvelles fonctionnalités, en simplifiant les interfaces hommes/machines et en introduisant toujours plus d'intelligence grâce à l'amélioration de leurs algorithmes, c'est en réalité une forme d'intelligence artificielle qu'ils cherchent à développer. Ils possèdent les fonds, les cerveaux et la motivation pour y arriver, mais ils possèdent surtout une situation monopolistique sur les flux d'informations à travers le monde, c'est une condition indispensable pour développer une telle technologie afin de lui donner accès à ce qui représente le savoir de l'humanité.

Clément Maufrais

La sécurité privée comme enjeu public

Du colloque organisé par l’INHESJ (Institut National des Hautes Études de la Sécurité et de la Justice, ) et le CDPS (Cercle des Dirigeants Propriétaires de Sécurité) à l’Ecole militaire, le 5 avril 2011, sur le thème "sécurité privée : enjeu public ?" beaucoup de choses sont à retenir mais peu apportent une meilleure lisibilité de la situation et de l’avenir de la relation privé/public dans le secteur de la sécurité privée.

Si les interventions des uns et des autres nous permettent de comprendre l’urgence dans laquelle nous nous trouvons au regard de la sécurité privée en France et des enjeux sociétaux qui en découlent, force est de constater que le chemin à parcourir est encore long. Les représentants présents, ceux de l’Etat, ceux du secteur de la sécurité privée et les acteurs du marché, semblent avoir pris conscience de la situation et de la nécessité à travailler ensemble pour réguler et professionnaliser un secteur souffrant d’un fort déficit d’image auprès de la population.

Si un consensus existe entre les différents partenaires sur l’enjeu du contrôle du secteur de la sécurité privée par l’État, seul à même de le réguler, de nombreuses questions sont encore sans réponse: comment l’État peut-il parvenir à déléguer certaines des activités de sécurité ? Comment différencier activités de sécurité publique et privée ? La création du CNAPS ( Conseil national des activités privées de sécurité), nouvelle autorité de régulation et de contrôle de la profession, semble alors constituer une étape décisive de la réflexion sur la sécurité privée en France et un outil de la moralisation de la profession et du secteur de la sécurité privée.

Liens/en savoir plus:

• Annonce du colloque "Sécurité privée : enjeu public ?" sur le site de l'INHESJ.
• Site de l'INHESJ.
• Le CNAPS. Amendement pour la création du CNAPS dans le cadre de la Loppsi 2.

Cyril Robin

La FEPIE crée un comité d'éthique pour les entreprises privées d'Intelligence Economique.

Le conseil constitutionnel a, le 10 mars 2011, retoqué 13 articles du projet de la Loi d'Orientation et de Programmation pour la Performance de la Sécurité Intérieure (LOPPSI 2). Parmi ces articles annulés par le conseil des Sages, figure l'article 32, qui d'encadrer les activités d'intelligence économique :

« Pour la sauvegarde de l’ordre public, en particulier de la sécurité économique de la Nation et des éléments essentiels de son potentiel scientifique et économique, sont soumises au présent titre les activités privées de sécurité consistant dans la recherche et le traitement d’informations sur l’environnement économique, commercial, industriel ou financier d’une ou plusieurs personnes physiques ou morales, destinées soit à leur permettre de se protéger des risques pouvant menacer leur activité économique, leur patrimoine, leurs actifs immatériels ou leur réputation, soit à favoriser leur activité en influant sur l’évolution des affaires ou les décisions de personnes publiques ou privées. »

Le conseil constitutionnel, qui a jugé que la définition proposée de " l'intelligence" n'étant pas assez précise aurait rendu cette régulation contournable, voir dangereuse, a donc décidé d'annuler cette article de loi. Le 14 Avril 2010, le député Carayon avait déjà émis des réserves au sujet de ce projet de loi (pdf).
Afin de réguler la profession en attendant un texte de loi sur l'encadrement des activités de l'intelligence économique, la fédération des professionnels de l'intelligence économique (FEPIE) rappelle via un communiqué de presse(pdf) l'existence d'une charte éthique commune à la Fépie et au SYNFIE (Syndicat Français de l'Intelligence Economique), et signale la mise en place d'un comité d'éthique via le SYNFIE . L'objectif de ce comité "distinct du Bureau national et du Conseil d’Administration" serait de disposer "de prérogatives autonomes pour plus d’efficacité, y compris au plan des recours devant les tribunaux".

En savoir plus/sources:

• Loppsi 2 sur le site du Sénat.
• Communiqué de Presse de B. Carayon (14 avril 2011) (pdf)
• Communiqué de Presse de la Fépie (pdf)
• Site du conseil constitutionnel.
• Site de la Fépie.
• Le SYNFIE.

Antoine Declercq

L'internet du futur a besoin de nouvelles infrastructures de sécurité

Dans son blog "Bâtissons une planète plus intelligente", LeMonde.fr en partenariat avec IBM tentent de rapporter les grandes évolutions technologiques et sociétales qui s'inscrivent dans cette nouvelle économie de la connaissance née de la mondialisation et de l'avènement des Technologies de l'Information et des Communications (TIC).
C'est au titre d'expert en sécurité numérique que Michel Riguidel, professeur à Telecom ParisTech, nous brosse un tableau des risques liés au futur d'Internet qui s'immisce dans nos objets quotidiens, augmentant le degré d'interconnexion de tout et notre dépendance au réseau.

L'actualité donne tout à fait raison à cette remarque, à l'image des intrusions informatiques à Bercy ou les tentatives à l'Elysée et au Quai d'Orsay. Il est difficile, voire impossible, de se prémunir contre le "hacking"... et cela coûte cher, dans tous les sens du terme ! Lorsque de notre voiture à notre brosse à dents, tout sera connecté à Internet et donc susceptible d'être "piraté" par les hackers mal intentionnés, nous serons encore plus vulnérables si la nécessaire refonte du système n'a pas été engagée.

En savoir plus / sources et liens :

• Blog "Bâtissons une planète plus intelligente"
• "L'Elysée et le Quai d'Orsay également touchés par une attaque informatique" LeMonde.fr /AFP le 7 mars 2011
• "L'internet du futur a besoin de nouvelles infrastructures de sécurité" sur le blog "Bâtissons une planète plus intelligente"
• "Hacking", "black hats" et "white hats" sur wikipedia.

Clément Maufrais

Internet : outil d'influence ou arme du pouvoir?

La crise qui s’étend dans une large partie des pays du Moyen-Orient met en avant, une fois encore, l’importance toujours croissante d’Internet, des réseaux sociaux et principalement la capacité de mobilisation de la génération « Facebook » pour décider de son avenir. La décision de l’ex-président égyptien Moubarak de tenter d’enrayer ce processus en coupant l’accès à Internet, relance le débat sur le projet de loi sur la cyber-sécurité aux États-Unis et, en France, le sujet de la gouvernance d'Internet est plus que jamais d’actualité.

Une question est posée : Internet doit-il être utilisé comme outil d’influence pour faire plier des régimes considérés comme hostiles ou doit-il être utilisé comme une arme par un pouvoir pour se maintenir ?

Si le projet de loi "Protecting cyberspace as a national asset act" , initié en juin 2010 et présenté le 15 décembre au Sénat américain pouvait trouver un écho favorable à la suite de l’affaire Wikileaks, aujourd’hui, l’idée d’un texte de loi permettant au Président des Etats-Unis de disposer du pouvoir de suspendre Internet « en un clic » (Lemonde.fr – 02.02.2011) apparaît fortement compromise.

Après l’initiative de Hosni Moubarak, les sénateurs Joe Lieberman, Indépendant, Président de la Commission de la Sécurité Intérieure du Sénat, Susan Collins (républicaine) et Tom Carper (démocrate) à l’origine de ce projet, ont aussitôt réagi en affirmant que le Protecting cyberspace act visait à « protéger les États-Unis des cyber-attaques provenant de l’étranger » (Le Figaro - 07.02.2011). « Jamais nous ne signerions une loi autorisant le président, ou quiconque, à éteindre Internet », ont-ils ajoutés (Le Monde -08.02.2011)

Paradoxalement, sous la pression des récents développements en Tunisie et en Égypte, l’administration Obama relance un débat vieux d’un an, sur la mise en œuvre d’une politique sur la liberté d’Internet (New York times - 14.02.2011) . Un budget de 30 millions de dollars serait ainsi alloué prochainement, par le Congrès, pour financer de nouvelles technologies destinées à aider les populations des états totalitaires à contourner les barrières informatiques et initier un changement démocratique.

Forts de l’expérience égyptienne et du choix de son ex-président, les officiels américains soulignent toutefois les limites de la technologie en matière de changement politique. Michael H. Posner, du cabinet d’Hillary Clinton, Secrétaire d’Etat précise : « le peuple est convaincu que la technologie fera de nous des hommes libres. C’est faux, c’est le peuple qui nous donnera notre liberté ».

Internet et les réseaux sociaux aujourd’hui ont prouvé leur capacité à fédérer des milliers de personnes derrière une idée. Néanmoins, ce sont bien les hommes qui restent les acteurs principaux de leur avenir. En revanche, les récents évènements au Moyen-Orient ont souligné la fragilité du pouvoir et suscitent de nombreux débats, notamment aux États-Unis, quant à la définition même de la notion de liberté liée à l’utilisation et au contrôle d’Internet.

Si pour les uns Internet doit rester un outil majeur de l’action d’influence d’un état vis-à-vis d’un autre et doit être développé dans ce sens, il n’en demeure pas moins pour les autres une arme puissante au service des intérêts du pouvoir en place qu’il convient de maitriser totalement. Le risque est en effet important de voir l’arme créée aujourd’hui se retourner contre son créateur demain.

Pierre Tramier

Sécurité économique - Mise en place du Conseil National des Activités Privées de Sécurité (CNAPS)

Dans le cadre de son rendez-vous mensuel, le Chapitre France de l'American Society for Industrial Security (ASIS France) organise un dîner-débat le mardi 15 mars 2011 sur le thème :

"La mise en place du Conseil National des Activités Privée de Sécurité (CNAPS)".

A cette occasion, le préfet Jean-Louis BLANCHOU, Délégué Interministériel à la Sécurité privée et Responsable de la mission pour le développement de la vidéo protection au Ministère de l'Intérieur, des Collectivités Territoriales et de l'Immigration présentera exceptionnellement sa toute nouvelle équipe et introduira la soirée en apportant un premier éclairage sur ce thème.

La création de ce Conseil, validé par le Sénat en septembre 2010, s'inscrit dans le cadre défini par la Loi d'Orientation et de Programmation pour la Performance de la Sécurité Intérieure (LOPPSI 2). Une réflexion est actuellement conduite par le Délégué Interministériel, les différentes organisations représentatives et les professionnels de la sécurité privée.

Ces discussions visent, notamment, à définir le périmètre d'action du CNAPS en matière de normalisation et de contrôle et à définir les modalités de financement de ce processus.

Saluée par une très large majorité des acteurs de la profession, cette initiative vise essentiellement, par l'harmonisation, l'optimisation et la normalisation des pratiques à accroître la qualité des prestations et de facto élever le niveau de la sécurité économique des entreprises.


Pour toute information sur l'organisation de cette soirée contactez :
Elisabeth Le Bigot, Responsable communication d'Asis France
elisabeth.lebigot@gmail.com

Pour vous inscrire : Merci de remplir le formulaire d'inscription

Dans le soucis de vous accueillir au mieux, aucune inscription ni aucun remboursement ne pourra être pris en compte au-delà du 10 mars 2011.

ASIS France (chapitre 249 d'ASIS International) est une association type « loi 1901 » dont les statuts sont déposés à la préfecture de Police (Paris). L’association rassemble des professionnels de la sécurité, principalement des Directeurs et Responsables Sécurité/Sûreté, qui souhaitent partager leur expérience. De ces échanges d’idées et de méthodes de travail, nous espérons rendre encore plus efficaces nos actions de prévention des risques au sein des entreprises. En 2010, ASIS France, chapitre 249 d'ASIS International, compte une centaine de membres actifs.
Contact : www.asisonline.fr

Pierre Tramier

Inscriptions conférence intelligence économique SKEMA - INHESJ du 21 janvier 2011

Nous vous en parlions précédemment ici. Voici quelques précisions concernant la conférence intelligence économique organisée le 21 janvier prochain par SKEMA Business School et l'Institut National des Hautes Etudes de Sécurité et de Justice (INHESJ) à l’occasion de la rentrée du Mastère spécialisé Intelligence Economique et Management des Connaissances (MS IEMC) de SKEMA. Vous trouverez également le lien pour vous inscrire en ligne.

« Intelligence économique, tendances et défis du futur »

L’événement se tiendra de 10h à 16h à l’Ecole Militaire à Paris (entrée 1 place Joffre).

Sous la forme d’exposés et de tables rondes, professionnels, intervenants et diplômés du MS IEMC tenteront d’aller au-delà du constat et d’identifier voire proposer des pistes pour le futur.

Sujets abordés :

• Face aux défis, les scenarii du futur pour l’IE française;
• l’information de demain;
• la sécurité économique à l’épreuve - Intelligence nationale, intelligence territoriale, quel est le bon lien entre l’Etat et les entreprises ?
• Géoéconomie et influence de demain,
• Le rôle de l’État stratège.

Participants confirmés : Jean-Louis Blanchou, Olivier Buquen, Philippe Clerc, Eric Delbecque, Bernard Galea, Alice Guilhon, François-Bernard Huyghe, Alain Juillet, Pascal Junghans, Véronique Mesguich, Olivier Pommeret, Claude Revel.

Le programme détaillé de cette journée sera prochainement disponible. Restez informés via notre Twitter, notre blog du pôle IE SKEMA ou le blog de nos étudiants.

Entrée gratuite mais inscription en ligne obligatoire ici dans la limite des places disponibles. Merci de noter que votre inscription ne sera valide qu'après confirmation par e-mail de notre part.

Liens utiles

• Inscriptions en ligne
• Contacts: claude.revel@skema.edu / olivier.pommeret@skema.edu
• Blog SKEMA Expert pôle IE
• Blog des étudiants du MS IEMC
• Page Internet du MS Intelligence Economique et Management des Connaissances de SKEMA
• Communiqué de presse « partenariat entre le MS IEMC et l’INHESJ »
• Site Internet SKEMA Business School
• Site Internet INHESJ

La Lutte Informatique au service de la gestion des conflits numériques

Introduction. Le numérique : nouvel espace de souveraineté et de conflit

Le numérique comme espace de souveraineté

Après la terre, la mer, l’air, l’espace, le numérique est devenu le cinquième élément de souveraineté des Etats. Celui-ci a la propriété particulière d’être virtuel de par sa nature strictement informationnelle. En effet, le numérique n’a pas de représentation en tant que telle : il s’agit d’un flux continu et permanent d’informations du plus primitif au plus élaboré. D’où le qualificatif d’espace informationnel utilisé pour le caractériser. En fait, cet espace informationnel n’est représentable et délimitable qu’au travers de ses infrastructures physiques de stockage et de traitement de l’information reçue (serveurs) et du résultat de l’information traitée (sites) que l’on consulte via des ordinateurs. L’ensemble de ces éléments informatiques étant inter-connectés entre eux formant un réseau, l’espace informationnel a été nommé l’Internet. Ainsi, si un Etat peut être souverain sur les serveurs qu’il héberge sur son territoire et des sites qu’ils contiennent, il ne peut en être de même pour les échanges d’informations qui s’opèrent entre serveurs ou entre un internaute et un serveur. La souveraineté sur l’espace numérique ne peut être définie que sur les informations non circulantes (espace informationnel réel) et non sur les informations circulantes (espace informationnel virtuel). Or, ce sont à partir de ces informations circulantes qu’un Etat pourra lancer à distance un conflit numérique : autrement dit, l’information est l’élément constitutif de l’espace numérique mais des conflits qui s’y produisent d’une part et la virtualisation de cet espace d’autre part empêche l’identification certaine de la source du conflit. Elle est le ciment du numérique mais également l’arme exclusive d’attaque.

Le numérique comme espace de conflit

L’Internet est donc un espace virtuel, où opinions personnelles côtoient données confidentielles, rapports d’analyse et autres informations de gestion qui régissent de plus en plus notre vie quotidienne (infrastructures économiques, transports, énergie, défense…). Cette agrégation d’espaces informationnels fait de cet espace numérique un lieu propice au développement d’attaques où, paradoxalement, il en peut être à la fois la cible, le support ou bien le vecteur. En effet, lorsqu’un pirate informatique tente une intrusion dans un système informatique pour accéder à des données de toute nature, le cyberespace sert de support à l’attaque. Quand un compte de réseau social est piraté ou un site hameçonné, le cyberespace est la cible de l’attaque. Enfin, les attaques informationnelles (exemple : création artificielle d’opinion) ou les simples échanges entre personnes d’une organisation criminelle ou terroriste font du cyberespace un vecteur d’une menace en devenir. Dans la suite de ce document, nous utiliserons le terme de web offensif pour désigner ces utilisations faites de l’Internet par les attaquants informatiques.


1. L’information : moyen et objet de guerre

Le web offensif se sert de l’information pour :

• Lancer des attaques dont le but est soit la découverte d’autres informations soit le blocage des infrastructures permettant leur traitement.
• Aider à la préparation d’autres par l’établissement de canaux de communication cachés (stéganographie).
  

L’information est donc aussi un bien qu’une arme. Objet de valeur et moyen d’attaque, elle est aujourd’hui au centre des préoccupations des entreprises et des Etats. Les premières doivent protéger leur patrimoine informationnel (enjeux économiques), les seconds doivent protéger leurs infrastructures critiques (gouvernementaux, militaires et de défenses) et stratégiques (sécurité économique : énergie, technologies de pointe…). Dans ce billet consacré à la Lutte Informatique et aux conflits numériques, nous n’évoquerons que les problématiques informationnelles liées aux Etats mais ne perdons pas de vue que les entreprises sont également concernées. L’information est ainsi un objet de guerre (guerre pour la découverte l’information confidentielle et contre les structures informatiques de traitement de l’information appelée Déni de Service) et un moyen de faire la guerre (guerre par l’information avec des attaques informationnelles). Le nerf de la guerre est donc devenu informationnel et notamment entre les Etats qui se matérialise par des conflits numériques. Une veille du web offensif peut donc permettre d’anticiper, par la détection de signaux faibles (signes avant-coureurs) et la mise en place de métriques, la manifestation d’un conflit numérique.

2. Gestion des conflits numériques par lutte informatique offensive

Nous distinguons deux phases dans la gestion des conflits numériques :

• Dans un premier temps, détecter si l’on se trouve dans une situation volontaire de conflit numérique puis caractériser le conflit en terme qualitatif et quantitatif (phase de constat et d’analyse préalable).
• Dans un second temps, répondre en conséquence c’est-à-dire de manière proportionnée à l’attaque reçue et ciblée (phase de réponse).
  

Détecter et caractériser le conflit : faisabilité technique

Un conflit numérique concerne uniquement les Etats. II faut donc d’abord pouvoir attribuer l’attaque à une source identifiée pour répondre de manière ciblée. Hors techniquement, trouver la source d’une attaque dans un botnet n’est pas chose facile. Il est généralement très difficile de déterminer l’origine d’un conflit numérique et, par conséquent, d’en organiser la riposte. Les techniques de spoofing et l’usage de réseaux P2P masquent trop souvent le véritable instigateur d’un déni de service massif. Il est également presque certain que, durant la tentative de noyade IP perpétrée contre un éventuel coupable, des innocents fassent les frais de « dommages collatéraux ». Cependant, la recherche en la matière avance [1]. L’attaque doit être également caractérisée pour éviter soit de répondre à une attaque involontaire soit de répondre de manière disproportionnée. Cela implique de pouvoir qualifier les modes opératoires utilisés et de quantifier les moyens informatiques ayant servi à l’attaque.

Répondre en conséquence : modalités d’utilisation des armes informatiques

Comment l’Etat doit répondre à une attaque informatique ayant touchée ses infrastructures informatiques ? Au-delà de toute négociation bi-latérale préalable, d’un point de vue numérique, il faut adopter une éthique dans le protocole de réponse, définir une doctrine. Premièrement, à quelles ressources humaines confier la réponse ? En Chine et aux Etats-Unis, la doctrine officielle est la suivante : recruter les meilleurs attaquants qui sauront rendre inopérant les ordinateurs de l'ennemi sans se faire repérer [2]. La France a choisi une autre piste : former les services de gendarmerie au sein de l’OCLCTIC et recruter des ingénieurs.
Deuxièmement, quelle procédure de réponse suivre ? Le livre blanc sur la défense et la sécurité nationale [3] donne quelques pistes :

• Le cadre d'emploi « devra respecter le principe de riposte proportionnelle à l'attaque, visant en priorité les moyens opérationnels de l'adversaire ».
• La France se dotera très rapidement d’une doctrine en la matière et des moyens nécessaires, afin d’être à même de : mener une riposte proportionnée en cas d’agression ; neutraliser, dans le cadre d’une opération militaire, les systèmes d’information et de commandement de l’adversaire afin de le paralyser ou d’atteindre ses centres de décisions.
• « Il convient donc de disposer d'une capacité de neutralisation à l'intérieur même des centres d'opérations adverses ».
  

Ainsi, dans une optique de guerre de l’information, le livre blanc donne une vision purement militaire des conflits numériques. Mais pouvoir neutraliser les systèmes d'information et de commandement de l'adversaire, développer des outils spécialisés (« armes numériques de réseaux », « laboratoire technico-opérationnel »...), nécessiterait de créer une synergie entre l’administration publique (ministères, militaires, officiers…), les laboratoires de recherche publique et d’entreprise et d’ouvrir le recrutement plus largement aux civils spécialistes. Toujours dans une optique de guerre de l’information, les seules cibles doivent être militaires : seules les centres de décision sont à atteindre et non les systèmes régissant la vie et les besoins de la population civile. La réponse devra être proportionnée en terme de force employée et de cibles matérielles visées en essayant d’établir des scénarii de conséquences au préalable.

Infrastructure administrative de lutte informatique

Depuis toujours le renseignement extérieur français a utilisé de multiples compétences pour accéder à des informations sensibles. Ces dernières années, le ministère de la Défense mène des travaux de recherche et de développement en matière de sécurité informatique et dispose de laboratoires d’études de virologie informatique [4] : Le Celar, l’ESAT (Ecole Supérieure et d’Application des Transmissions), la DGA (CALID), la DRM et la DST.

Schématiquement, en France, les compétences en matière de lutte informatique sont réparties comme suit :

• Lutte informatique défensive (LID)
• Premier ministre (Agence de la sécurité des systèmes d’information)
• Ministères (Cellules spécialisées)
• Lutte informatique offensive (LIO)
• Ministère de la défense (Etat-major des armées)
• Services spécialisés
  

Conclusion

Ainsi, une attaque informatique peut être utilisée comme une véritable arme numérique au même titre que les armes actuellement employées par les militaires. Le ver Stuxnet récemment découvert en est une parfaite illustration...

Sébastien Chainay

Sources

• [1] Techniques de géolocation des serveurs de fast-flux : http://planete.inrialpes.fr/~perito/papers/imc09.pdf
• [2] http://www.rue89.com/2009/11/20/piratage-informatique-la-france-en-retard-dune-cyber-guerre-126771?page=1#comment-1153347
• [3] http://www.defense.gouv.fr/livre_blanc
• [4] http://www.spyworld-actu.com/spip.php?article9901

Google renforce la sécurisation de ses comptes

C'est au moyen d'une double vérification que devrait s'effectuer à l'avenir l'authentification des titulaires de comptes Google Apps. L'identification par nom d'utilisateur et mot de passe sera ainsi renforcée par un code généré par son smartphone après installation d'une application spécifique ou sous forme de texto ou de message vocal.

Cette nouvelle fonctionnalité est pour le moment réservée aux titulaires de la version anglaise des comptes Google Apps Premier, à l'enseignement et aux administrations, mais elle devrait être prochainement étendue à l'ensemble des comptes Google.
Face aux progrès constants des pirates informatiques, Google réalise une avancée intéressante qui devrait rassurer les entreprises.

Aline Goletto-Didier