Il est un adage redevenu d’actualité dans les années 1990 – parfaitement illustré par un dessin de presse paru dans le New Yorker – qui dit : « Sur Internet, personne ne sait que tu es un chien ». Celui-ci résume une problématique fondamentale de cybersécurité à laquelle nous sommes toujours confrontés aujourd’hui : comment savoir à qui faire confiance en ligne ? Depuis vingt ans, notre démarche est la même : pour instaurer des relations de confiance, nous faisons appel à des clés cryptographiques et certificats numériques.

Globalement, la tactique a fonctionné : grâce à quelques cadenas apposés ça et là, le commerce électronique a pris son essor, et l’économie et la société ont été transformées. Détail inquiétant en revanche, depuis cinq ans, nous constatons la formation de lézardes dans les fondements mêmes de l’édifice Internet. Alors que nous nous dirigeons à grands pas vers un avenir régi par l’Internet des objets (IdO), peuplé de machines automatisées jouant un rôle accru dans notre quotidien, ces lézardes auront tôt fait de se muer en un abîme menaçant la stabilité de notre monde moderne. Se peut-il que notre vie « internétisée » s’arrête bientôt du jour au lendemain ? Comment empêcher l’irréparable ?

La problématique de la confiance

Les clés cryptographiques et certificats numériques nous indiquent si une entité est véritablement ce qu’elle prétend être. Ils servent à l’authentification de serveurs web, la programmation de terminaux et d’applications, et même à l’accès à un VPN d’entreprise. Tout se résume à cette décision binaire que doivent prendre les machines : est-ce digne de confiance et sûr, ou bien n’est-ce pas fiable et donc dangereux ? Question à laquelle répondent les certificats et clés. Il s’agit là des fondements même de la cybersécurité et de l’économie mondialisée ― des fondements érigés sur des sables mouvants.

Le potentiel lucratif de ces clés et certificats n’a pas échappé aux pirates au cours des cinq dernières années. Nous avons tous vu un film dans lequel le méchant endosse la tenue d’un peintre en bâtiment pour pénétrer dans un immeuble, ou encore dérobe la carte magnétique d’un tiers ; les mêmes techniques sont employées dans le cyberespace. Les méchants négocient des clés et certificats sur le web caché et s’en servent pour s’introduire dans des systèmes informatiques – cf. Sony, Careto, les révélations de Snowden et les virus Flame ou Stuxnet. À chaque fois, il a été fait appel à des clés et certificats dérobés ou utilisés de manière abusive.

Sachant que chaque machine virtuelle a besoin d’une clé et d’un certificat qui lui sont propres, les chiffres donnent le tournis. Un de nos clients compte à lui seul plus d’un million de clés et certificats TLS. Il n’est guère étonnant, dans ces conditions, que la plupart des entreprises ignorent tout du nombre de certificats et de clés en leur possession, ou encore de l’emplacement où ils se situent. À mesure que notre dépendance à l’égard du cryptage s’accroît et que les équipements envahissent notre cyberespace, la problématique ne fera que gagner en complexité… avec des perspectives toujours plus lucratives pour les pirates, et résolument à leur portée.

Internet des objets, robotique et intelligence artificielle : la tempête se prépare

Le problème, c’est que ces difficultés ne font que s’accentuer à l’allure ultra-rapide à laquelle se crée l’univers IdO. Comment ces machines déterminent-elles le code à exécuter ? Ou à qui obéir ? Via ce même système imparfait de clés et de certificats. Alors, à mesure que ces « objets » intelligents pénètrent chacune des fibres de notre tissu social -en pilotant nos avions, nos centrales nucléaires, nos équipements hospitaliers et nos véhicules- les risques ne font que se multiplier.

Dans la mesure où les machines ne commencent pas seulement à communiquer entre elles mais, dans l’univers de la robotique et de l’automatisation, se mettent aussi à réfléchir par elles-mêmes, il nous faut être extrêmement vigilants et veiller à ce que ces communications soient fiables et sécurisées. L’émergence de l’IdO et de l’intelligence artificielle met véritablement en lumière l’efficacité de la cyberarme représentée par les certificats numériques. À partir d’un certificat de signature de code dont il change l’entité référente, un pirate peut modifier le micrologiciel d’un appareil intelligent pour en prendre le contrôle. Et lorsque ce capteur ou cet appareil intelligent rappelle « l’émetteur », à qui se fie-t-il ? Au méchant. Via un point de compromission unique – le certificat numérique – pirates et cybercriminels peuvent prendre le contrôle de plusieurs centaines, milliers ou même millions « d’objets » intelligents.

Il s’agit là d’un terreau propice aux cyberextorsions : « remettez-moi un million de livres sterling ou or je m’empare de votre réseau national de DAB ». Des États-nations se sont montrés prêts à détourner le système de certificats numériques à leurs propres fins. Le ver informatique Stuxnet, développé par les États-Unis, y est parvenu grâce aux signatures d’une paire de certificats dérobés. À mesure que l’IdO gagnera en maturité, il offrira pléthore de possibilités aux pirates financés par des États, sans parler de la menace en provenance des cyber-terroristes. Imaginez qu’un certificat soit modifié pour faire confiance, non plus à l’entité visée à l’origine, mais à l’organisation État islamique : vous vous exposeriez à de sérieux problèmes.

Créer un système immunitaire pour le web

Alors, que faire ? Concrètement, l’espèce humaine constitue un exemple de choix pour analyser ce problème. Chacune des cellules de notre corps est identifiable par des marqueurs, propres à chaque individu ; notre système immunitaire surveille et gère ces marqueurs, en distinguant les cellules qui lui « appartiennent », et sont donc fiables, des cellules intrusives qui doivent être détruites. Bien que les clés et certificats présentent un système de marquage identique, l’Internet est dépourvu de système immunitaire permettant de déterminer s’ils sont ou non dignes de confiance. En l’absence de mécanisme d’automatisation, nous n’avons aucun moyen de vérifier le nombre de clés et certificats en notre possession, de savoir s’ils sont corrompus, s’ils fonctionnent correctement et, si ce n’est pas le cas, d’organiser une riposte ou de les évincer.

Pour qu’Internet puisse survivre, et l’économie en ligne et connectée prospérer, il nous faut revoir notre approche en matière de clés et de certificats. Autrement dit intégrer une démarche de sécurité agile, permettant de changer très vite de référent auquel la machine fait confiance. En résumé, il nous faut un « système immunitaire pour Internet » - une technologie qui apprend et s’adapte au fur et à mesure, capable de repérer les clés et certificats fiables de ceux qu’il convient de remplacer. Avec cette couche de sécurité supplémentaire, nous devrions éviter l’apocalypse robotique !