huyghe.fr - Le site de François-Bernard Huyghe
OK
 Sur Twitter : @huyghefb
 Comprendre les conflits : une nouvelle polémologie
 Terrorisme
 Affrontements, stratégies et images
 Information, pouvoir et usage : l'infostratégie
 Intelligence économique : du savoir à l'influence
 Pouvoirs et information
 Transmission et communication : la médiologie
 Médiologie au présent
 Médiologie de l'histoire
 Divers
 Textes à télécharger
 Huyghe Infostratégie Sarl
Comprendre les conflits : une nouvelle polémologie > Affrontements, stratégies et images
Cyberattaque comme acte de guerre
Les missiles et les électrons.




 


D'après le Pentagone, les USA s'apprêtent à publier d'ici quelques semaines leur nouvelle doctrine de cyberguerre. Les USA qui avaient déjà annoncé il y a deux semaines qu'ils "répondront aux actes hostiles dans le cyberespace de la même manière qu'à toute autre menace pour le pays" font un pas de plus en qualifiant les cyberattaques "actes de guerre". Et cela, au moment où Google relance une nouvelle polémique en accusant la Chine d'espionner des comptes Gmails politiquement sensibles, dix-huit mois après avoir menacé Pékin de se retirer pour des faits similiaires (puis s'être lamentablement rétracté).


Une doctrine de l'acte de guerre définirait pour le cyberespace l'équivalent des principes d'usage de la force en cas de guerre classique ou atomique. En l'occurrence il s'agirait d'appliquer les lois de la guerre à ce nouveau champ de bataille, de mieux coordonner la stratégie US avec celle de ses alliés, et surtout de choisir une stratégie de dissuasion et de riposte face à des attaques qui se multiplient comme le montre le récent exemple de l'offensive électronique mené contre Lockeed il y a à peine quelques jours. 


Nous avons plusieurs fois souligné combien le thème de la grande attaque numérique (un "Pearl Harbour électronique" ou un "Cyber- Armageddon") est ressassé aux USA depuis une vingtaine d'années. Et avec quelle facilité les stratèges US  tendent à accuser la Chine ou la Russie dès qu'il est question d'un virus redoutable, d'une panne provoquée par une déni d'accès (mobiliser des centaines d'ordinateurs "zombie" pour faire du blocage sur des sites) ou de simple intrusion dans des systèmes sécurisés (encore qu'il ne s'agisse là, au fond, que d'espionnage plutôt que de sabotage de grande ampleur).


Si les États-Unis considèrent désormais que de telles cyberattaques  constituent des "actes de guerre".(ou du moins celle d'une certaine ampleur qu'elles attentent à des infrastructures vitales et que l'on peut les penser dirigées par des services d'État) ", ce n'est pas un simple effet rhétorique : ces mots ont une charge redoutable.


 


L'acte de guerre a un sens fort dans le droit international, et ce depuis les doctrines séculaires de la "guerre juste".  Un tel acte est une violence, a priori menée par un État, et qui viole le droit international, surtout si elle constitue une première agression ; elle peut mettre en œuvre des traités d'assistance militaire (c'est ce que réclamaient les Estoniens de l'Otan en 2007 après une supposée attaque russe). L'acte de guerre ouvre le droit à la défense et éventuellement à la rétorsion par les armes. En un mot, il est un des motifs pour déclencher une guerre tout court, surtout depuis que la forme un peu désuète de la déclaration de guerre entre État souverains tend à disparaître. Commettre un "acte de guerre" c'est ouvrir à la victime la possibilité de tuer "légitimement" à son tour, si elle est un acteur étatique. Même si, d'un autre côté une attaque de type Stuxnet est aussi censée remplacer un acte de guerre comme de bombarder une usine d'enrichissement d'uranium (s'il est bien vrai qu'elle a été lancée par le services israéliens, ce qui est loin d'être prouvé).


Après la doctrine Bush de "guerre préemptive" qui autorisait les USA à utiliser la force armée pour prévenir une attaque de type terroriste et/ou par armes de destruction massive venue d'un autre pays, voici donc une nouvelle version qui assimile un envoi d'électrons à un tir de missile. Cette doctrine Obama sous-entend que les dommages portés par des vers ou des logiciels malveillants sont d'une telle gravité, en termes de sécurité, de pertes économiques, de désordre, etc. qu'ils doivent être assimilés à l'usage d'armes qui tuent directement. Et que la riposte ne doit pas se situer nécessairement être symétrique comme un logiciel malicieux pour un virus ou une paralyse du téléphone pour une attaque contre le système d'électricité - mais pourrait impliquer la violence ouverte et donc mort d'homme.


C'est ouvrir la porte à une stratégie de dissuasion : l'agresseur sait à quoi il doit s'attendre s'il prend l'initiative. Il semble donc vraisemblale que les USA d'abord, d'autres pays ensuite, se dotent d'une doctrine et d'une force d'attaque "cyber" pour riposter à l'agresseur soit sur le même plan, soit par l'escalade dans la violence mortelle (bombardement, par exemple).


En dehors de toute considération morale ou géopolitique, ceci me semble poser un problème : celui de la preuve. Les attaques informatiques étant par définition anonymes (ou pouvant, grâce à de "faux drapeaux" être attribuées à des adresses électroniques situées sur un territoire qui n'est pas forcément celui de l'agresseur véritable), et les réseaux étant interconnectés, est-on sûr que le dommage que l'on a subi vous était bien destiné ? et surtout, est-on assuré de se venger sur le vrai coupable ?


 Et tout cela sans oublier l'hypothèse que l'attaque informatique ait été menée par un acteur non étatique - groupe terroriste, service étranger se livrant à une provocation, organisation politisée du type "hackers patriotes", cybermercenaires, acteurs économiques.... Tous les scénarios de provocation ou de manipulation sont imaginables. 


Nous souhaitons bonne chance à celui qui voudra prouver la légitimité de sa "cyberiposte" ou de sa riposte à coups de missiles et de bombes devant l'Assemblée générale des Nations Unies !


Il y a donc là un très impressionnant effet d'annonce, un avertissement à des États souvent accusés d'être à l'origine de cyberattaques (suivez mon regard vers l'Est). Mais quant à la mise en œuvre, surtout face à une hyperpuissance qui pourrait lancer un jeu de "destruction informatique mutuelle assurée" (par allusion à la Destruction Mutuelle Assurée atomique de la guerre froide), il y a encore un énorme fossé.




 Imprimer cette page