Archives de catégorie : Attaque informatique

Corsaires et pirates informatiques: devrait-on ressusciter le concept des lettres de marque?

Publié le par

Le Wall Street Journal contenait un article d’opinion en matière de cybersécurité qui a attiré mon attention, intitulé A Maritime Solution for Cyber Piracy. L’auteur, un avocat ayant travaillé par l’Air Force, suggère que, face au problème d’apparence insurmontable qu’est le piratage informatique, les États-Unis devraient penser à ressusciter le concept des «lettres de marque» afin de mobiliser des citoyens pour sa cyberdéfense.

La «letter of marque» («lettre de permission» ou «lettre de commission») était un concept juridique de licence (permission) permettant au gouvernement américain de confier à un citoyen, à une entreprise ou à une équipée un rôle dans la défense de la nation ou son commerce. En gros, à une époque où le gouvernement américain était souvent mal équipé pour composer avec les menaces navales et le piratage naval, le gouvernement s’était inspiré des nations européennes ayant elles-mêmes depuis longtemps autorisé des citoyens («privateers») à écumer les mers pour cibler les pirates ou des actifs de nations ennemies. Une fois en possession de lettres de marque, un citoyen, une entreprise ou une équipée pouvait agir contre des pirates ou les possessions d’un pays avec lequel on était en guerre sans risque de répercussions légales pour avoir attaqué un autre bateau ou une possession étrangère à l’extérieur des États-Unis, etc.

Ces autorisations permettaient donc à des «corsaires» (des citoyens en mission navale pour l’État ) d’attaquer les ennemis de la nation, en étant habituellement motivés par des récompenses liées aux navires coulés ou capturés, par exemple.

En somme, ces lettres permettaient de compter sur des mercenaires pour voir à la sécurité de la nation, dans la mesure où le gouvernement s’avérait mal équipé pour le faire entièrement lui-même. C’est ce qui mène l’auteur de l’article à suggérer que face à la menace sans cesse croissante du piratage informatique, on pourrait songer à ramener le concept des lettres de marque, afin d’autoriser des entreprises et des experts en cybersécurité à écumer l’Internet pour stopper les pirates informatiques.

Comme on le constate, nos gouvernements sont généralement peu efficaces pour contrer les cas de piratage informatique, du moins à court terme, préférant s’attaquer (juridiquement) aux plus gros cas à l’aide des forces de l’ordre et du système judiciaire. La quantité de problèmes de cybersécurité rend l’implication de l’État inadéquate pour endiguer réellement le problème, les menaces de ce type pouvant aller jusqu’à menacer les infrastructures de la nation (comme on l’a vu récemment avec l’attaque liée à un oléoduc américain par SolarWinds).

Fait intéressant, l’article souligne que SolarWinds a bien fonctionné entre autres parce que le droit américain interdit à son chien de garde principal en matière de cybersécurité (la NSA) de surveiller les réseaux et systèmes situés à l’intérieur des États-Unis. Ainsi, des attaques issues de systèmes hébergés aux États-Unis (chez Microsoft et Amazon, dans ce cas-ci) peuvent passer inaperçues ou sous le radar jusqu’à ce qu’il soit trop tard.

C’est ce qui fait dire à l’auteur qu’on devrait peut-être songer à combler le vide en matière de cybersécurité en ramenant le concept des lettres de marque, qu’on pourrait adapter à l’ère numérique. Devant des menaces de cybersécurité incessantes, le fait d’offrir des récompenses aux individus et aux entreprises pourrait nous permettre de mieux composer avec le problème, en créant des incitatifs (notamment financiers) adéquats, non seulement pour ce qui est de «couler» les pirates, mais aussi (et peut-être surtout) en partageant de l’information que les sociétés victimes sont souvent réticentes à divulguer en pratique.

Bien que j’ignore comment cela pourrait fonctionner en pratique, je trouve que l’idée est certainement intéressante. À voir le flot quasi incessant d’histoires de piratage informatique à la une depuis quelques années, il faut avouer qu’une nouvelle solution s’impose. Visiblement, notre système est incapable de composer adéquatement avec la cybercriminalité. Peut-être est-il temps d’envisager des solutions juridiques de rechange?

Failles alléguées dans l’outil Cellebrite UFED: on pourrait devoir douter de preuves tirées de cellulaires verrouillés

Publié le par

Comme on s’en doute, les policiers se butent parfois à des appareils cellulaires dont le contenu n’est pas accessible pour eux, parce que verrouillé. Principe de base en sécurité, autant pour les citoyens honnêtes que les malfrats : verrouillez votre appareil lorsqu’il n’est pas utilisé. Pour les policiers, cela crée parfois des problèmes puisque la preuve requise se trouvera parfois à l’intérieur d’un appareil ainsi bloqué. Quand cela se produit, les forces de l’ordre disposent de certains outils qui peuvent s’avérer utiles, notamment le produit UFED d’une société israélienne nommée Cellebrite.

En utilisant UFED, les forces de l’ordre pourront parfois avoir accès aux données que renferme l’appareil mobile d’un suspect, y compris s’il s’agit d’un cellulaire de marque iPhone. On s’en doute, l’accès aux données d’un cellulaire peut s’avérer une mine d’or pour trouver de la preuve, incluant les messages, les fichiers, etc.

Or (et c’est là que l’histoire devient intéressante), récemment on est parvenu à mettre la main sur UFED et à en examiner la sécurité ou, plus précisément, la quasi-absence de sécurité, selon certains. En fait, selon le rapport à ce sujet que faisait Moxie Marlinspike (créateur de l’appli Signal), le produit de Cellebrite s’avère tellement truffé de vulnérabilités logicielles qu’on peut aisément le corrompre simplement en l’utilisant sur un cellulaire piégé. Selon lui, quand cela se produit, certains rapports issus d’UFED pourraient être modifiés à l’insu de l’opérateur.

Ce que cela a à faire avec le droit, c’est que les médias rapportent qu’un procureur de la défense (créatif, disons-le) s’est déjà emparé de cette information afin de contester la condamnation de l’un de ses clients, laquelle avait entre autres été obtenue grâce à de la preuve générée par UFED. Après tout, si on ne peut se fier sur les résultats d’un outil utilisé pour créer de la preuve, ne devrait-on pas à tout le moins pouvoir contester le résultat d’un procès dans lequel une telle preuve a été présentée? En telles circonstances, il est concevable que certaines condamnations (liées à de la preuve obtenue grâce à UFED) puissent être remises en question, incluant en demandant la tenue de nouveaux procès.

UFED serait utilisé à grande échelle par les forces de l’ordre, particulièrement quand une enquête se bute à un iPhone verrouillé. On ignore encore combien de cas cela pourrait toucher si ce problème d’UFED est un jour confirmé.

Voilà donc là un nouvel exemple de l’interaction perpétuellement problématique entre la cybersécurité et le droit.