Champs d’application et niveau de menace

3 L’armée de Terre a fait le choix de la numérisation de l’espace de bataille (NEB) et développe le programme SCORPION. L’arrivée de ce programme majeur comprend la livraison de nouveaux matériels « connectés » aux systèmes d’information et de commandement. La dépendance de nos forces armées aux technologies de l’information est donc de plus en plus forte. Quels sont les risques encourus ? Les cyberattaques sont en progression constante et représentent un coût financier significatif pour le secteur industriel.

4 Si de fortes présomptions existent sur l’origine de telles attaques, rien ne prouve juridiquement l’implication d’un État en particulier. [2] La difficulté pour « attribuer » une attaque est d’ordre technique et juridique. On parle de notion d’attribution décrivant une action technique dans le cyberespace et de notion d’imputation relevant du domaine politique. [3] En termes juridiques, c’est au niveau international que le problème se pose. Les Pays-Bas n’autorisent pas la divulgation de l’identité d’une personne sur la base de son adresse IP. [4] Il est aisé de trouver asile en fonction des différentes législations nationales existantes.

Perturbation de l’équilibre des forces…

5 Si un attaquant bénéficie d’une relative impunité et lorsque les forces en présence se trouvent incapables de riposter à des cyberattaques, il y a automatiquement un déséquilibre, on parle alors de « rupture technologique ».

6 Le risque est de ne pas déterminer la provenance d’une cyberattaque et de n’avoir aucun moyen de riposter, faute de savoir qui est l’adversaire. Les États se trouvent potentiellement opposés à des organisations transnationales aux contours flous. Le conflit informationnel s’est en effet déplacé au niveau d’acteurs tiers parfois éloignés des logiques nationales. Ainsi, si la motivation des « Hacktivistes » est de protéger les libertés individuelles sur le net, on aurait du mal à anticiper les réactions de ces groupes. À la suite des attentats des 7 et 8 janvier 2015 en France, la lutte entre cyberjihadistes et membres des Anonymous a démontré la similitude de leur mode d’action (défiguration de sites internet, attaques en déni de service, propagande par voie de réseaux sociaux).

… s’inscrivant dans une asymétrie miscible dans le combat conventionnel

7 Depuis quelques années, la cyberguerre profite d’un terreau d’expansion très favorable. Certains pays ont lancé leur programme de création d’« unités cyber ». Ainsi la Chine, la Syrie, les États-Unis ou la Grande-Bretagne ont largement investi dans la mise sur pied de cyberbataillons. La prise de conscience des Chinois face à l’obsolescence technologique de leurs équipements militaires dans les années 1990 a accéléré la recherche d’une vulnérabilité qui leur permettrait de devancer les États-Unis. Cette vulnérabilité réside notamment dans la dépendance des nations occidentales aux technologies de l’information. La création d’un corps d’armée cyber de 9 600 hommes par la Chine, dont les unités 61 398 et 61 046 [5], répond clairement à la volonté de mener une guerre dans le cyberespace.

8 Les conflits futurs risquent de mélanger guerre conventionnelle et cyberguerre. Les objectifs tant militaires que civils seraient ciblés. Dans la crise ukrainienne, qui a révélée d’anciens rapports de force sous-jacents des relations OTAN-Russie (citons le cas de la Moldavie avec la sécession de la Transnistrie depuis 1992, mais aussi la récente crise géorgienne de 2008), l’utilisation des médias et des réseaux-sociaux pour influencer l’opinion est parfois très ciblée. Ainsi, les forces séparatistes de l’est de l’Ukraine ont diffusé sur Youtube les images de volontaires français qui combattaient dans leurs rangs.

Guerre hybride et cyberguerre : de nouvelles règles ? 

10 Les cyberattaques sont-elles destinées à faire partie d’une panoplie de techniques soumettant l’adversaire à sa volonté et menant à la victoire ? Les moyens déployés récemment par la Russie en Ukraine s’apparentent à un nouveau genre de guerre dite non-linéaire ou hybride, qui implique de multiples acteurs : médiatiques, diplomatiques, humanitaires, économiques, d’influence, mercenaires. L’emploi combiné de ces moyens s’apparente à une interpénétration de soft et hard power. [6] Cette diversité d’acteurs exprime paradoxalement la recherche d’une concentration d’efforts afin de remporter la bataille de l’information. Sans liens apparents, ces actions participent à un même but : convaincre les opinions publiques du bien fondé de telle ou telle opération. Dans un tel cadre la dimension cyber prend toute sa place. [7] En réalité, si certaines actions, telles les opérations d’influence, de campagne d’information et d’aide aux populations sont appliquées par les nations de l’OTAN, elles appartiennent déjà aux guerres du passé. « To Win hearts and minds » est un concept datant de la guerre du Vietnam et issu de l’expérience des guerres coloniales européennes.

11 Le principe stratégique de concentration des efforts implique de porter l’effort en un certain point avec un maximum de forces. L’intérêt de la cyberguerre est de se concentrer là où n’opère pas la force militaire. Des frappes conventionnelles peuvent se dérouler sur un secteur, alors que les moyens de cyberguerre peuvent opérer ailleurs. On se rapproche alors du concept d’attaque parallèle des 5 cercles de John Warden [8], où le but est de frapper au plus près du centre de commandement, lorsque l’attention se focalise sur les forces conventionnelles. L’auteur cite le cas de la guerre du Vietnam, où le Viêt-Cong a réussi à renverser l’opinion publique américaine…

12 Tactiquement, au niveau des unités de combat, il est encore délicat de mettre en pratique la guerre numérique. Si la littérature militaire développe des théories nouvelles sur l’usage des moyens informatiques (Perspectives Tactiques du général Guy Hubin [9]), ou émet des comparaisons avec des modes d’actions connus (la cyberguerre est comparée au combat en zone urbaine dans Cybertactique de Bertrand Boyer [10]), la réalisation concrète du combat numérique généralisé par les unités au contact n’est pas encore à l’ordre du jour. L’armée de Terre utilise des unités légères de guerre électronique qui interviennent en opération. Sur ce modèle, des unités de combat numérisées dûment formées et équipées pourraient un jour compléter l’arsenal militaire tactique.

Arme du faible ou moyen universel ?

13 Bien que l’application de la notion de guerre préventive rapportée à la sphère virtuelle puisse ouvrir de nouvelles perspectives, une cyberattaque n’est pas l’intention première d’une nation déjà puissante sur le plan militaire. Une cyberattaque est davantage utilisable par le faible, comme moyen de contourner cette puissance à peu de frais. Les pays peu dotés en moyens technologiques offrent peu de prise aux actions de cyberguerre. Une attaque contre ces nations n’offrirait pas de massification des effets et ne présenterait d’intérêt que dans le cadre d’objectifs ponctuels à forte valeur ajoutée (cas des centrales d’enrichissement pour Stuxnet). En revanche, les nations techno-dépendantes offrent une cible de choix où l’effet domino joue à plein. C’est ce que montre l’exemple de l’Estonie en 2007, qui a subi les effets d’attaques DDoS (Distributed Denial of Service) relativement simples à mettre en œuvre, mais qui ont paralysé le pays progressivement, s’attaquant à tous les systèmes économiques, financiers et gouvernementaux les uns après les autres. 58 sites internet ont été bloqués dont le site de la principale banque en ligne du pays. La paralysie a duré 3 semaines, la plupart des Estoniens se trouvaient dans l’incapacité de retirer de l’argent aux distributeurs automatiques. Ce type d’opération est opéré à moindre coût, au prix de l’entretien d’une petite armée cybernétique dûment formée ou de hackers mercenaires non rattachables à un quelconque gouvernement. De l’aveu de certains « hacktivistes » russes, les protections informatiques de l’Estonie étaient inexistantes.

Technologie « tire et oublie »

14 Une cyberattaque permet bien souvent à son auteur de garder l’anonymat, et de masquer ses intentions. Si le virus Stuxnet a pu être détecté rapidement sur de multiples supports informatiques à travers le monde par des entreprises de sécurité informatiques comme Kaspersky, son but réel se révéla lorsque son objectif fut atteint : les centrifugeuses iraniennes.

15 Le cyberattaquant conserve sa liberté d’action et l’initiative, car il n’est pas « fixé » au moment de l’attaque. Dans Perspectives Tactiques, le général (2S) Guy Hubin avait souligné cette remise en question de la fixation, à l’heure des nouvelles technologies. Les cyberattaques s’apparentent davantage à l’utilisation d’une technologie « tire et oublie » peu contraignante, qu’au déploiement de moyens militaires classiques à forte empreinte politique et logistique. Même s’il est toujours possible de retrouver un cyberattaquant (l’étude approfondie des virus a permis de relier Israël et les États-Unis pour les attaques par Stuxnet, Duqu, puis Flame pour ralentir le programme nucléaire iranien) le temps nécessaire à cette recherche ne permet pas d’inquiéter réellement le coupable au moment des faits. Cette idée trouve également son accomplissement dans les nombreux cas exposés dans les trente-six stratagèmes chinois qui privilégient des moyens d’action détournés : « frapper avec une épée d’emprunt ».

16 La cyberguerre peut être utilisée afin d’atteindre un objectif limité. Dans le cas de Stuxnet, une infrastructure vitale a été détruite, ce qui peut être l’objet d’une guerre dite « limitée » ou constituer un simple objectif tactique.

Une analogie avec l’Art de la guerre de Sun Tzu

18 Selon l’Art de la guerre : « Conserver les possessions des ennemis est ce que vous devez faire en premier lieu, comme ce qu’il y a de plus parfait ; les détruire doit être l’effet de la nécessité. » [12] En frappant quelques lignes de codes, l’ennemi peut se voir dépossédé de ses ressources. La crise estonienne est révélatrice de ce mode d’action. Le but des cyberattaques contre ce pays n’était pas le vol, mais la paralysie de ses institutions économiques et financières.

19 Cette nouvelle cohabitation de moyens symétriques et asymétriques prolonge l’interpénétration des actions Yin et Yang (également nommées forces directes et indirectes) décrite par Sun Tzu : « Usez généralement des forces directes pour engager la bataille, et des forces indirectes pour emporter la décision. » [13]

20 De plus, l’intérêt de la cyberguerre en matière de renseignement apparaît naturellement quand les serveurs et systèmes informatiques infectés le sont à l’insu de leur victime. Assurément, la cyberguerre permet de réaliser les buts du 13^e chapitre de l’Art de la guerre, notamment la désinformation et la subversion.

Cyberguerre : le Graal de la théorie des 5 cercles

21 La guerre cybernétique et informationnelle au sens large permet d’appliquer la théorie des 5 cercles de John Warden. [14] Frapper les infrastructures critiques de l’adversaire : centrales énergétiques, réseaux de communication, réseaux routiers ou de distribution (les deuxièmes et troisièmes cercles), demeure le cœur de cible de la cyberguerre. Ces atteintes peuvent toucher durablement l’économie d’un État, mais également sa population (le quatrième cercle), bien plus sûrement qu’un embargo.

22Dans « The Enemy as a system », John Warden explique que frapper les forces armées de l’adversaire (le cinquième cercle) n’est pas le plus important. Atteindre sa volonté de combattre et engendrer une paralysie stratégique obligera le commandement adverse (le premier cercle) à un compromis. [15]

23 La cyberguerre constitue déjà un nouveau pan de la réflexion stratégique. Une nation ou un système d’alliances repose pleinement sur ses ressorts civils. Or, la cyberguerre permet l’exercice d’une forme de guerre totale et s’applique parfaitement à la théorie des 5 cercles.

Saut capacitaire contre retard technologique

24 La cyberguerre se rapporte à un renouveau de la guerre moderne, comprenant l’interpénétration de la guerre informationnelle sous toutes ses formes avec les moyens militaires conventionnels, les armées pouvant se doter de moyens numérisés importants, alors que dans le même temps des « guerres en réseaux » peuvent être exécutées par des Hackers. [16] C’est pourquoi il convient d’intégrer les composantes de cyberdéfense défensives comme offensives avec des moyens civils et militaires. L’Estonie accueille le centre d’excellence de cyberdéfense de l’OTAN et se repose sur l’Alliance pour développer cette capacité. Faut-il renoncer à conserver une cyberdéfense nationale ? L’affaire Snowden prouve le contraire, si l’on se remémore les actes d’espionnage de certains de nos alliés. L’agence nationale de sécurité des systèmes d’information (ANSSI), créée en 2008, répond à cette exigence, en fournissant à la France des moyens nationaux et indépendants. Le plan d’action cyber 2014 du ministre de la Défense traduit en actions concrètes les mesures à prendre concernant le risque cyber.

25 C’est l’absence de moyens pour contrer la cyberguerre, un fossé capacitaire, qui constitue une rupture technologique pour les États qui en sont dépourvus. La cyberguerre ne fait que renouveler des méthodes éprouvées avec des moyens techniques novateurs et pluriels.

26 Il y a de nos jours une convergence entre la conduite de la guerre symétrique, l’exercice du soft power et la lutte asymétrique de la cyberguerre. La guerre de demain, si ce n’est d’aujourd’hui, combinerait des moyens conventionnels avec les outils de la cyberguerre pour atteindre des objectifs particuliers, créer la confusion chez l’ennemi et au sein de sa population. Dans un contexte de contraintes économiques, la cyberdéfense au sens large n’est pas l’apanage de nations riches ou de grandes alliances militaires. Cet enjeu vital reste à la portée de la France et le risque de cyberattaques majeures sur fond de terrorisme international constitue aujourd’hui une réelle mise à l’épreuve.