Café Géopolitique du 18 novembre 2013 «Cyberespace : les Etats contre-attaquent» Avec Frédérick Douzet, Professeure des Universités à l Institut Français de Géopolitique de l Université Paris 8, titulaire de la chaire Castex de cyberstratégie (cyberstrategie.org) et membre du comité de rédaction de la revue Hérodote. Et Damien Leloup, Journaliste, rédacteur en chef adjoint du monde.fr COMPTE-RENDU Delphine Papin ouvre ce Café géopolitique sur la genèse du sujet. Si le sujet était depuis longtemps un objet d intérêt, Delphine Papin explique que ce sont les révélations faites par la presse (Washington Post et Guardian dans un premier temps puis Le Monde) à partir des documents transmis par Edward Snowden (ancien consultant de la NSA) à Glenn Greenwald (journaliste américain au Guardian) qui ont offert le meilleur prétexte à ce café géopolitique. Après avoir introduit les deux intervenants, Delphine Papin revient sur les difficultés d appréhension de l objet cyberespace. Un objet qui va être décortiqué par les intervenants. Frédérick Douzet ouvre le débat par un retour historique sur les débuts du cyberespace. Au début des années 1990, le développement exponentiel de l Internet a suscité la promesse d un monde plus démocratique et pacifié. Le principe général de ces discours était que l émergence d une communication intense et globale allait permettre l expansion des idées et valeurs démocratiques. Il constituerait ainsi un défi pour les régimes autoritaires qui finirait par s écrouler face à cette «irrésistible communication». Après «la fin de l histoire», prématurément annoncée par Francis Fukuyama, les discours sur la fin de la géographie se sont multipliés. Mais une analyse approfondie montre qu avec 2.5 milliards d utilisateurs on observe tout l inverse : une prolifération des conflits à propos du contrôle du cyberespace, l émergence de nouvelles menaces (utilisation de cybercapacités dans le cadre de conflits politiques, militaires, économiques etc.), multiplication des conflits géopolitiques liés au respect de la vie privée et de la protection des libertés civiles. Pour Frédérick Douzet, l affaire Snowden a agi comme un révélateur de l ensemble de ces enjeux. Alors en quoi l approche géopolitique peut-elle permettre de comprendre les conflits liés au cyberespace? La notion de territoire est centrale à l analyse géopolitique en tant qu étude des rivalités de pouvoir sur un territoire, à différents niveaux d analyse. Or avec le cyberespace la notion de territoire ne va pas de soi. S agit-il d une nouvelle forme de territoire? Quelles en seraient les frontières? Quelles en seraient les limites de sa souveraineté? Frédérick Douzet rappelle qu il n existe pas de définition consensuelle du cyberespace témoignant ainsi d une réelle difficulté d appréhension de l objet en raison de caractère intangible. Pour décrire le cyberespace, on a généralement recours à une analyse en 3 couches : - La couche physique constituée par l infrastructure du réseau. Ici la dimension géographique est très facile à percevoir : il y a des contraintes physiques et politiques voire économiques.
- La couche logique constituée des applications et logiciels semble davantage difficile à cartographier. - Enfin la couche cognitive ou sémantique, celle de l information qui est sans doute le plus grand défi pour la cartographie. Ce qui est important à retenir selon Frédérick Douzet est que le cyberespace n est pas un espace naturel. Il est entièrement constitué par l homme et n existe pas en dehors de l action humaine, ce qui le différencie des autres espaces stratégiques (terre, mer, air, espace). Si le cyberespace est difficile à appréhender d un point de vue du territoire, l outil des représentations utilisé en géopolitique nous permet de mieux comprendre sa réalité. Apparu d abord dans le discours des pionniers de l internet, le cyberespace représentait l ouverture, la liberté des échanges etc. Une idée qui touche jusqu à l infrastructure même du réseau construit pour qu il n y a pas de possibilité de contrôle, ni de centre. En 1996 on voit même l apparition d une déclaration d indépendance du cyberespace qui enjoint les gouvernements de rester en dehors de la gouvernance du cyberespace. Puis le terme tombe un peu en désuétude est réapparait dans le discours des Etats-Nations comme la représentation d un territoire à conquérir, à contrôler, un territoire sur lequel il faut faire appliquer sa souveraineté et ses lois. Il apparait ainsi comme une menace pour la sécurité du territoire et les intérêts de la nation. Et c est en raison de cette menace que les Etats contre-attaquent aujourd hui. Frédérick Douzet explique ainsi que la croissance exponentielle et l interconnexion des réseaux représentent une menace pour les pouvoirs régaliens des Etats : la sécurité de la nation et la défense du territoire, la sécurité intérieure et l ordre public, le respect des juridictions et de la souveraineté et la souveraineté économique. On assiste dans ce cadre à la montée des discours alarmistes quant aux conséquences d une éventuelle attaque informatique. Des attaques qui pourraient endommager les infrastructures vitales, perturber les communications, et plus généralement affecter les capacités opérationnelles et donner un avantage stratégique à l ennemi. Ces attaques posent un certain nombre de défis dans la mise en place de stratégies de lutte contre le phénomène notamment en raison des difficultés d attribution de ces attaques, de leur faible coût et de la large accessibilité de la technologie qui renforce le pouvoir des petits Etats et acteurs non-étatiques. Frédérick Douzet note cependant que les pays les plus dépendants des réseaux et donc les plus exposés aux attaques sont aussi les plus à même de développer des capacités offensives et d en saisir les nouvelles opportunités offertes. La criminalité (organisée ou non) qui opère via les réseaux constitue un défi à l ordre public. La problématique de l attribution est notamment renforcée par la volatilité de la preuve. En outre, l engagement de nécessaires procédures de coopérations internationales au niveau des forces de police et de justice n aboutissent pas toujours. Il est plus difficile pour les Etats de faire respecter leurs lois sur leurs territoires et leurs citoyens pour des actes perpétrés via les réseaux. Le cas des hashtag antisémites sur Twitter en 2012 en est symptomatique. Dans le monde des réseaux, les limites de juridictions sont plus floues et entremêlées, ainsi il s agit moins d une question de droit que de rapports de force. Enfin, la mondialisation de l économie pose un défi majeur à la souveraineté économique et financière des Etats : les réseaux accélérant considérablement la circulation des biens et flux financiers.
Si certaines de ces menaces existent en dehors des réseaux, Frédérick Douzet remarque que ces derniers rendent les moyens d actions bien plus puissants. Ces menaces et la représentation souvent catastrophiste qui en est faite incitent les Etats à contre-attaquer, à développer des moyens de surveillance pour garantir un meilleur contrôle, protéger les pouvoirs régaliens voire protéger leur régime pour les états totalitaires et maximiser leur puissance. Frédérick Douzet note enfin que le débat, longtemps resté au sein d une petite communauté d experts, est désormais porté sur la scène publique. Les récents évènements au premier rang desquels l affaire Snowden ont en effet permis de jeter un coup de projecteur sur ces problématiques notamment celle de la surveillance. Et même si celles-ci peuvent être difficiles à comprendre pour les citoyens, il s agit de question éminemment politique car les pouvoirs se sont développés sans que soient pensés les contre-pouvoirs. Pour la suite de ce café géopolitique, Damien Leloup dresse un panorama des différents programmes d espionnage révélés par les documents transmis par Edward Snowden à Glenn Greewald. Il précise que par rapport au modèle de couche décrit par Frédérick Douzet, la NSA a établit sa surveillance principalement sur la couche physique, l infrastructure. Avec la collaboration de son équivalent britannique, le GCHQ (Government Communications Headquarters), l agence de renseignement américain a mis en place un système de surveillance des câbles sous-marins qui leur permettait d accéder aux communications transitant par ces câbles. Il précise qu utiliser une page en https (protocole sécurisé notamment utilisé sur Gmail ou les sites d e-commerce) ne constitue pas un défi important pour la NSA. Le volume de données interceptées est gigantesque mais leur traitement est différé. Elles viennent ainsi alimenter une base de données étatique. Afin d illustrer ses propos, Damien Leloup a recours à l image de la pêche au filet. Il précise ainsi que l ensemble de ces programmes d espionnage, même si nous n en avons aujourd hui qu une connaissance partielle, est de récupérer les informations à la source. En parallèle de ces programmes, il y a le programme PRISM qui comporte un volet légal dans lequel les Etats demandent des informations aux prestataires de service par le biais de réquisitions judiciaires puis il y a l ensemble des accords avec les géants du web (Google, Amazon, Facebook, Apple etc.). Ces derniers n ont d ailleurs pas très bien accueillis les révélations d Edward Snowden qui mettent à mal le modèle économique sur lequel ils reposent (notamment les réseaux sociaux) à savoir la confiance. L ensemble des informations recueillies par ces différents procédés remonte sur X-Keyscore, une sorte de Google pour espion. Damien Leloup termine son intervention en précisant que nous n avons aujourd hui qu une connaissance partielle de l ensemble de ces programmes et de leur fonctionnement. Il souligne qu il est, par exemple, encore difficile de comprendre comment PRISM fonctionne dans les faits.
Delphine Papin invite la salle à échanger avec les deux intervenants. Voici quelques unes de questions qui leur ont été posées. Quelle est la pertinence de la carte des câbles sous-marins qui illustre régulièrement les articles traitant du cyberespace? Les intervenants expliquent que cette carte est juste, mais que les câbles sous-marins ne constituent pas l intégralité et la réalité du réseau. Il faut cependant noter que 70% du trafic mondial circule par ces câbles. Quelles sont les capacités de décryptage des Etats-Unis? Damien Leloup précise qu il y a une incertitude quant aux capacités de déchiffrement des Etats-Unis. Frédérick Douzet précise que ces capacités ont été notamment permises par une influence américaine sur certains standards techniques. Elle ajoute que la prédominance de la culture libertaire de l époque n a pas permis l émergence d une culture de sécurité notamment pour la protection de la «couche physique». Louis Pouzin, un des inventeurs de l Internet, avance d ailleurs aujourd hui que la seule solution pour protéger le système serait de tout refaire en partant de la base, ce qui est impossible. Comment les journalistes arrivent à travailler avec ces informations qui arrivent au compte-gouttes? Damien Leloup : Le journal Le Monde travaille en partenariat avec Glenn Greenwald, journaliste américain au Guardian qui a révélé dans les médias les documents d Edward Snowden. Ce dernier en communique une partie au Monde, mais lui-même en a un accès limité via Edward Snowden. Ces documents sont notamment constitués de noms de code désignant des programmes. Des noms de codes qui sont peut-être claires pour des personnes travaillant à la NSA mais qui sont plus difficile d accès même pour des journalistes spécialisés. Quelles sont les capacités des Etats et les rapports de force entre petits et grands États? Pour les intervenants, que l on soit un grand ou petit Etat, il est difficile de défendre un système contre une attaque ciblée et sophistiquée. Les attaques ciblées sont plus difficiles à mettre en place pour un petit Etat, car elles demandent du temps, des moyens financiers et suppose l existence d une stratégie de défense. Un petit État peut néanmoins mettre en place une attaque «oneshot» ou créer des perturbations «guérillas», grâce à l exploitation de failles, ce qui ne nécessite ni connaissances particulières, ni moyens financiers importants. Exemple : le 23 avril 2013 un tweet émis du compte piraté de l Associated Press annonçant que Barack Obama avait été blessé dans une double explosion à la Maison-Blanche a fait basculer momentanément les cours de Wall Street. Pour Frédérick Douzet il s agit avant tout d une question de gestion du risque. Un risque qui est éminemment géopolitique car ces attaques sont liées à des rivalités entre Etats...
Comment faire si la démocratie est locale et le réseau est mondial? Y a-t-il une instance de régulation au niveau mondial? Damien Leloup : Une instance de régulation au niveau mondial ne changerait pas grand chose. En 2000, la jurisprudence Yahoo sur la vente en ligne d objets nazis a imposé au la société américain de filtrer ce type de contenus pour les internautes français. Les Etats ne sont pas dépourvus de moyens. Ainsi, même s il est souvent répété que l Internet est un espace de non droit, cela est faux. Tout dépend de la collaboration entre le politique et le judiciaire. La LPM (Loi de Programmation Militaire) prévoit d augmenter les ressources pour faire face aux menaces, si les Etats-Unis sont en avance, où en est la France? Frédérick Douzet : La France n a certainement pas les moyens de la NSA. En 2009, s est créée l ANSSI (Agence nationale de la sécurité des systèmes d'information), dont les effectifs sont prévus à la hausse. La France développe des capacités offensives et la LPM 2014-2019 va permettre d imposer des normes aux OIV (Opérateur d Importance Vitale). Il s agit des opérateurs privés qui gère les infrastructures de transport, d énergie, etc. Est-ce que des Etats peuvent s attaquer entre eux? Damien Leloup : Oui. Le ver informatique Stuxnet en est l exemple. Il a été développé conjointement par les États-Unis et Israël afin de perturber et d arrêter le fonctionnement des centrales nucléaire iraniennes. Frédérick Douzet : Stuxnet a été le «1 er acte de cyberguerre» entre états. Aujourd hui, il y a une escalade des discours et le développement des capacités, une sorte de course à l armement. Si une cyberattaque peut constituer un «acte de guerre», quelle est la définition d un «acte de guerre cyber»? C est une définition qui peut varier selon les états. Certains définissent la cyberguerre comme une «guerre cool» car fraiche et branché. Mais avec cette course à l armement il est possible que celle-ci ne reste pas cool très longtemps. Aux Etats- Unis, la baisse des budgets touche tous les organes de l Etat sauf l US Cyber Command, où les ressources augmentent en termes humains, financiers et capacitaires (cyberarmes). N y a-t-il pas une hypocrisie à pointer la NSA partout? La NSA n est-elle pas l arbre qui cache la forêt? Frédérick Douzet : Si, il faudrait plutôt parler de «Big BrotherS». L affaire Snowden a permis de mettre sur la table des questions d équilibre entre démocratie et surveillance. Aujourd hui ce sont de réels enjeux d autant que la quantité de données personnelles disponible en ligne ne va cesser de croitre notamment avec l Open Data. Les relations entre citoyens, Etats et entreprises sont basées sur la confiance, or aujourd hui cette confiance semble mise à mal. Damien Leloup : Il faut se poser cette question : qui a le plus d informations sur vous? Facebook ou l Etat français? Les deux niveaux de surveillance peuvent être problématiques. Mais le risque est plus important si c est une entreprise privée, car elle est contrainte de
communiquer des informations sur demande de l Etat. La confiance des utilisateurs peut être perturbée. Frédérick Douzet : Il est difficile de savoir comment faire et d avoir confiance car on ne sait pas ce qui se passe vraiment. Qu est-ce que l on met en place comme garde-fou pour la collecte de données? L affaire Snowden a servi d élément révélateur sur les données personnelles. Il se trouve que parallèlement l Union Européenne se penche sur une réforme de la protection de données personnelles. Il est notamment question de créer une sorte de CNIL européenne. Si ce projet de loi parvient à être voté les entreprises américaines devront respecter le droit européen. Mais nous n y sommes pas encore car ces dernières exercent un fort lobby. L arme nucléaire durant la guerre froide a permis de créer des alliances pour s entraider et s auto-défendre, qu en est-il dans le cyberespace? Frédérick Douzet : Dans le cyberespace, il n y a pas «d amis», ce sont seulement des relations superficielles. Dilma Rousseff, Présidente du Brésil, a vivement dénoncé les pratiques de la NSA alors que les réactions des Etats européens ont-été plus timides. Nous sommes sur des questions de souveraineté qui sont extrêmement sensibles, la coopération n en ai que plus difficile. Damien Leloup : Le Monde a publié un article sur l attaque d espionnage dont avait été victime l Elysée. Ces documents révélaient que les Etats-Unis avait mené une enquête interne pour savoir si c était eux. Ils n ont pas osé poser la question à Israël, allié des Etats-Unis. Au final on ne sait pas vraiment qui est un allié. Toutes les cyber-surveillances se valent-elles? Pour la Chine, les États-Unis, la France, La Russie? Damien Leloup : Tout dépend, si c est une surveillance à l insu ou avec la bienveillance des citoyens. Frédérick Douzet : La Russie a tendance à avoir une cyber surveillance connue des citoyens. Ils ont d ailleurs annoncé pour les JO de Sotchi qu ils allaient surveiller l ensemble des communications. Pour les États-Unis, c est plus discret, mais ils la légitiment au nom de la défense du pays. Pour la Chine, elle est non légitime car elle a un but d espionnage industriel. Parmi les documents transmis au journal Le Monde par Gleen, quel type d informations va être révélé par la suite? Damien Leloup : Nous n avons pas accès à tout le document pour l instant. Combien de personne travaillent sur ce dossier au journal Le Monde? Une dizaine de personne. Nous parlons du cyberespace comme d une nouvelle guerre froide, la menace chinoise estelle réelle ou est-ce un fantasme?
Les deux. Comment les grandes démocraties européennes, acteurs du cyberespace, ont pu laissé les Etats-Unis ont-elles laissé aller jusque là? Frédérick Douzet : Ils l ont fait mais n ont pas été entendu. Les techniciens l ont dénoncé aussi. Lavabit a fermé sa boite car il ne voulait pas donner des informations. Du côté des politiques, Danser Fhesteim, changer de cap mais n avait aucune idée de l ampleur des programmes de surveillance. A.D. & C.B.