Des hackers pour défendre les réseaux informatiques français?

La société Andromède sera lancée le 1er novembre prochain. Il s’agit d’une entreprise, présentée comme « complétement indépendante », au capital de laquelle l’on trouve l’Etat (pour près d’un tiers des parts), Orange, Thales et Dassault Systèmes. Dotée d’une enveloppe de 285 millions d’euros, dont 135 millions viennent du Grand Emprunt via la Caisse des Dépôts, cette nouvelle structure sera chargée de développer en France le « Cloud Computing », un nouveau concept qui consiste à délocaliser des traitements informatiques sur des serveurs distants.

Pour l’Etat, le Cloud Computing est un enjeu d’une importance cruciale. « Le risque est réel de laisser à des acteurs non européens l’accès aux données stratégiques des entreprises françaises et européennes et de leur transférer la responsabilité de la sécurité et de la fiabilité de nos systèmes » est-il expliqué dans les documents concernant Andromède. En clair, et comme les sociétés qui se sont lancées dans ces nouveaux services sont en grande majorité américaines (Cisco, Amazon, Google, Microsoft), le risque d’espionnage est loin d’être négligeable étant donné que le Patriot Act autorise Washington à avoir accès aux données qu’elles hébergent.

Cela étant, l’approche française est encore une fois différente de celle pratiquée aux Etats-Unis, où ce sont les acteurs privés qui prennent généralement les initiatives. Et il ne faudrait pas que ce projet de Cloud Computing porté par Andromède ne finisse comme le moteur de recherche Quaero, lancé en 2005 sur une impulsion de l’Etat, avec pour objectif de concurrencer Google. Six ans plus tard, on peut mesurer ce qu’il en est… Et l’on pourrait également citer le développement du Minitel alors que Steve Jobs et Steve Wozniak travaillaient sur le premier micro-ordinateur dans un garage.

Quoi qu’il en soit, et au vu de la mentalité française, peut-on envisager une seule seconde que la sécurité des infrastructures informatiques gouvernementales puissent être confiées à des hackers autodidactes (sous réserves qu’ils souscrivent à un code de déontologie), et pas seulement à des experts passés par les grandes écoles?

« Les hackers français du XXIème siècle ressemblent à ces poètes maudits, Baudelaire, Lautréamont, Rimbaud, rejetés par la société de leur époque mais dont les préfets donnent hypocritement le nom à des ronds-points aux périphéries des villes » souligne le magazine Chronic’art, en dénonçant ce clivage entre « autodidactes » et « scientifiques ».

Pourtant, avec la place de plus en plus prépondérante que prennent les réseaux informatiques dans la vie quotidienne, les menaces qui pèsent sur eux sont en constante augmentation. Et il manquera des gens qualifiés pour y répondre.

C’est du moins ce qu’a estimé Eric Filiol, qui est directeur de recherche à l’Ecole supérieure d’informatique, Electronique, Automatique (ESIEA), sur le blog du Club des Vigilants. Pour lui, « la sécurité des infrastructures » est un « défi majeur », d’autant que « quoiqu’en disent les décideurs, en particulier en France, les spécialistes en sécurité sont devenus une denrée rare et courtisée au niveau mondial. »

Ainsi, seulement pour le ministère de la Défense, les besoins sont estimées à 1250 spécialistes pour les 5 ans qui viennent, ce qui est largement supérieur aux capacités de formation des écoles d’informatiques. Et, toujours d’après Eric Filiol, cette pénurie risque de durer car d’autres ministères et les entreprises prennent maintenant conscience des enjeux de la sécurité informatique et que les meilleurs profils sont « chassés » par de grandes sociétés, lesquelles proposent des salaires tellement élevés qu’il est impossible de rivaliser.

Aussi, pour Eric Filiol, la solution est d’aller « chercher les ressources là où elles sont », c’est à dire « chez les hackers qu’on a tendance à diaboliser à l’excès », parce qu’on « ne les comprends pas ». Et de rappeller qu’un hacker est une « personne capable d’analyser en profondeur un système (…) de sorte à en comprendre les mécanismes les plus intimes, en privilégiant le résultat sur la méthode (contrairement souvent à l’approche académique ».

« Depuis quatre ans les avancées majeures en matière de cryptanalyse ne sont plus publiées dans les conférences académiques mais dans les conférences de hacking et en particulier lors de la conférence du Chaos Computer Club (CCC) à Berlin » a souligné Eric Filiol pour appuyer son argumentation. « En France, on est encore, hélas, dans un monde d’anciens qui administrent mais ne comprennent rien à la technique et les jeunes hackers qui maîtrisent mais n’administrent pas » a-t-il encore déploré.

Cela étant, une possible évolution – timide – pourrait avoir prochainement lieu, avec le projet Davfi (Démonstrateur antivirus français et international), présenté par un consortium réunissant l’ESIEA, les entreprises Qosmos et Nov’IT, lequel est soutenu par le groupe de construction navale militaire DCNS.

Comme son nom l’indique, il s’agit de mettre au point un logiciel antivirus, qui pourrait être, à terme, installé sur les navires de combat construits par DCNS. Particularité de ce programme : il sera « open source », ce qui signifie qu’une communauté de développeurs pourra étudier son code source afin de l’améliorer. Mais pour que ce projet puisse devenir réalité, il faut encore qu’il obtienne un financement dans le cadre du Grand Emprunt. Et pour cela, il doit être présenté devant un jury au début de l’année prochaine, lequel décidera de son sort.