La suprématie mondiale des géants américains du Web permet au pays de tout entendre.
La NSA (l'Agence nationale de sécurité américaine) espionne-t-elle
les entreprises françaises ? Si oui, transmet-elle des informations
confidentielles aux entreprises américaines, qui sont leurs
concurrentes, leurs clientes, leurs fournisseurs ou leurs partenaires ?
En septembre, alors que l'affaire Snowden prenait de l'ampleur, le
lieutenant général James Clapper, qui supervise l'ensemble des services
de renseignement américains, publia un démenti formel sur ce point :
«
Une chose que nous ne faisons pas, comme nous l'avons dit maintes fois,
est d'utiliser nos outils de renseignement extérieur pour voler les
secrets commerciaux de sociétés étrangères pour le compte de sociétés
américaines, (...
) dans le but d'améliorer la compétitivité
internationale de nos entreprises ou d'accroître leurs bénéfices. » Fin octobre, une délégation de députés européens en visite à Washington a reçu les mêmes assurances.
A Paris, Alain Juillet, président du Club des directeurs de sécurité des entreprises, n'en croit pas un mot :
«
La NSA pratique l'espionnage industriel et commercial, c'est une
évidence. Pendant la guerre froide, les Etats-Unis avaient construit un
immense système d'interception électronique, tourné vers le bloc
soviétique. Après la chute de l'URSS, les responsables de Washington ont
décidé de réorienter en partie cette machine gigantesque vers le
renseignement économique, en visant le monde entier. » M. Juillet
connaît bien cet univers, car il a mené une double carrière d'homme
d'affaires et de responsable des services de renseignement français. Il
est aujourd'hui partenaire d'un cabinet d'avocats d'affaires parisien,
affilié au réseau américain Orrick.
Il rappelle que, dès les années 1990, le gouvernement des Etats-Unis a créé un organisme baptisé « Advocacy Center
». « Chaque année, il sélectionne une centaine de contrats
internationaux en cours de négociation, et collabore avec les
entreprises américaines concernées pour les aider à remporter ces
contrats par tous les moyens y compris l'intelligence économique. Le
centre est en relation étroite avec les agences de renseignement », assure M. Juillet.
Bien entendu, les pays européens, dont la France, pratiquent aussi
l'espionnage économique. En France, des étudiants sont formés aux
techniques de « sécurité offensive » dans différents établissements, de
l'université de Valenciennes à la prestigieuse école militaire de
Saint-Cyr. Par ailleurs, la France possède des sociétés spécialisées
dans la conception d'outils de surveillance électronique, ou la
découverte de failles de sécurité dans les systèmes d'entreprise. Fin
octobre, le ministre de la défense, Jean-Yves Le Drian a annoncé
publiquement que la France était désormais en capacité de mener des
opérations de cyberoffensive.
UN "CHALUTAGE" NUMÉRIQUE
Pourtant, selon M. Juillet, la stratégie américaine est unique au monde :
«
Grâce à leurs moyens techniques et financiers, ils sont les seuls à
pouvoir pratiquer le chalutage : en clair, ils ramassent en vrac
d'énormes masses de données, ils stockent tout, puis ils font le tri et
retrouvent ce qui les intéresse. C'est extraordinaire, ils ont mis sur
écoute la planète entière. » En outre, les Américains disposent selon lui d'un autre atout inégalable :
«
Le patriotisme. Si le gouvernement demande à une entreprise américaine
de l'aider à espionner des étrangers, il serait inconcevable qu'elle
refuse. »
Les spécialistes qui se battent jour après jour pour empêcher le
piratage des entreprises françaises dressent un tableau encore plus
spectaculaire de la puissance américaine. Nicolas Ruff, expert en
cybersécurité dans le groupe aéronautique EADS, explique que la capacité
de surveillance de la Toile par les Etats-Unis fait partie intégrante
de l'infrastructure du réseau Internet.
« Quand les Chinois essaient
de voler des informations sur nos serveurs, nous pouvons les repérer et
les bloquer, car ils utilisent des méthodes de hackers. Mais les
Etats-Unis n'ont pas besoin de nous pirater, puisqu'ils contrôlent
l'Internet. Ils sont le coeur du réseau. » Pour commencer, sur la douzaine d'opérateurs de télécommunication dits « de premier rang » (
tier one),
qui constituent la colonne vertébrale du réseau physique de câbles et
de relais, huit sont américains dont les géants AT & T, Verizon,
Sprint, Level3, etc.
Même chose pour les organismes et les sociétés gérant le système
mondial des adresses Internet, comme l'association Icann, et son
sous-traitant privé, VeriSign. Les Etats-Unis surveillent donc le réseau
de façon très officielle :
« Pour que tout fonctionne correctement, rappelle M. Ruff,
il faut assurer le monitoring du trafic, c'est un impératif technique.
Les opérateurs américains n'ont pas besoin de se cacher pour tout
surveiller, puisque cela fait partie de leur mission. »
En outre, Verizon, Level3 et d'autres Américains comme Colt possèdent
aussi des filiales en Europe, qui gèrent une partie du trafic local.
Or, il est difficile de connaître l'itinéraire exact d'un paquet de
données, car la plupart des compagnies sont liées par des accords de
peering (« échange de trafic ») très opaques. Résultat :
«
Même pour un paquet qui reste en France, personne ne peut jurer qu'il
n'a pas transité par l'intermédiaire d'un prestataire américain. »
Les Etats-Unis contrôlent aussi en partie les communications Internet
sécurisées des autres pays, notamment les transactions financières
chiffrées. A chaque connexion sur un site Web sécurisé, le système
vérifie que ses certificats de sécurité sont toujours valides et là
encore, la majorité des certificats sont délivrés et gérés par sociétés
ou des organismes américains. Le feu vert autorisant une transaction
franco-française est donc souvent donné par un serveur américain.
De même, l'américain Cisco et le franco-américain Alcatel-Lucent
fournissent aux européens la majorité de leurs routeurs Internet. Or, un
fabricant peut facilement équiper ce type d'appareil de points d'accès
clandestins. Les premiers concurrents des américains sur ce produit sont
les chinois Huawei et ZTE ce qui pose aux européens une autre série
de problèmes.
Un fonctionnaire proche des agences de sécurité de l'Etat français,
qui souhaite rester anonyme, donne un exemple presque cocasse de la
puissance des Etats-Unis :
« Quand un hacker chinois réussit à voler
des données à une entreprise européenne, elles sont interceptées à la
volée par les Américains. Du coup, nos secrets partent à la fois en
Chine et en Amérique. » Autre exemple : les Américains dominent le
marché des microprocesseurs (avec les sociétés comme Intel ou AMD), qui
peuvent aussi être piégés de différentes façons. M. Ruff préfère en rire
:
« Nos accélérateurs cryptographiques servant à fabriquer les
clés de chiffrement pour les messages secrets sont équipés de
processeurs américains. » De plus, beaucoup de procédés de cryptage européens fonctionnent grâce à des algorithmes conçus aux Etats-Unis.
UNE ENTREPRISE EUROPÉENNE NE PEUT PAS SAVOIR SI ELLE EST SURVEILLÉE
La suprématie américaine se retrouve au niveau des systèmes
d'exploitation, à commencer par Windows de Microsoft, qui équipe la
grande majorité des ordinateurs d'entreprises européennes, qui comporte
une infinité de failles de sécurité
Pour finir, M. Ruff rappelle que
les outils de détection d'intrusions et de protection contre le piratage
qu'il utilise, comme FireEye, Netwitness ou Envision, sont américains.
La boucle est bouclée. En riant, il en arrive à se demander s'ils ont
été ajustés pour ne jamais détecter une attaque venue des Etats-Unis
Il
pourrait multiplier les exemples, mais sa démonstration est faite :
«
Franchement, une entreprise européenne ne peut pas savoir si elle est
ou non surveillée par les Etats-Unis. Pour qu'on s'en aperçoive, il
faudrait qu'ils fassent une erreur grossière. »
Il se dit même prêt à intégrer cette inévitable présence américaine dans sa pratique professionnelle :
«
Si la NSA nous aidait à faire notre contre-espionnage, si elle nous
avertissait quand un de nos employés fréquente un peu trop un
concurrent, je serais d'accord. » Sauf que le principal concurrent d'EADS, c'est Boeing.