- Paul Sagan : Principes de l'économie à la demande
- Tom Leighton : La vraie question de la sécurité sur Internet
Pour de nombreuses entreprises, Internet représente plus que jamais un outil dont l'énorme potentiel touche des facteurs aussi variés que la réduction des coûts, la collaboration et la vente. Néanmoins, la confiance croissante des entreprises vis-à-vis d'Internet ne va pas sans engendrer des risques conséquents. Selon un rapport soumis en 2005 au président Bush par le comité consultatif présidentiel chargé des technologies de l'information, l'enjeu crucial se résume ainsi : « L'infrastructure des technologies de l'information aux États-Unis, désormais vitale pour les communications, le commerce et le contrôle de notre infrastructure physique, présente une vulnérabilité face aux attaques d'origine terroriste et criminelle ». Pour Tom Leighton, professeur de mathématiques appliquées au MIT, co-fondateur et responsable scientifique d'Akamai Technologies, Inc. et développeur de techniques de gestion des interactions web à Cambridge (Massachusetts), la difficulté réside au cœur même de la conception d'Internet. Tom Leighton, ancien membre du PITAC et président du sous-comité en charge de la cybercriminalité, explique que les protocoles Internet actuels sont, dans de nombreux cas, des extensions de protocoles natifs mis au point il y a près de 40 ans. De plus, par rapport aux débuts d'Internet, lorsque le réseau n'était partagé que par un cercle restreint de chercheurs dans des laboratoires du gouvernement américain et quelques universités, les conditions de sécurité n'ont plus rien à voir avec celles de l'immense réseau mondial qu'Internet est aujourd'hui devenu. « Les protocoles [Internet] ont été développés dans un environnement de confiance », souligne Tom Leighton. « Internet n'était à l'époque exploité que par un petit nombre de personnes très bien informées et dignes de confiance ». Les temps ont changé. « Nous sommes désormais face à une situation où l'adoption et l'usage d'Internet et du web sont massifs... avec très peu de sécurité », poursuit Tom Leighton. Selon lui, cette vulnérabilité a des répercussions non seulement sur l'activité des entreprises, mais également sur la sécurité.
Tom Leighton connaît bien les carences de sécurité dont souffre Internet. Le fonctionnement d'Akamai repose sur le principe d'un « réseau de diffusion de contenu », c'est-à-dire, pour l'essentiel, une plate-forme mondiale distribuée de serveurs qui hébergent des sites web pour le compte d'autres entreprises et se chargent d'acheminer leurs contenus et applications web. Lorsque, par exemple, un site faisant appel aux services Akamai se trouve face à une hausse brutale du trafic, celui-ci peut être réparti au sein de la plate-forme de serveurs.
Quelles sont, selon Tom Leighton, les plus grandes menaces de sécurité auxquelles Internet est exposé ? Outre certains risques bien connus, tels que les virus ou le "phishing", pratique consistant à envoyer de faux courriers électroniques professionnels dans le but de recueillir des noms d'utilisateur et des mots de passe), Tom Leighton évoque les risques suivants :
- Attaques par déni de service : lorsqu'une « attaque par déni de service » se produit, l'adresse IP d'un site web est bombardée par un trafic qui tente de submerger les capacités de traitement de son infrastructure. Les attaquants peuvent, comme l'explique Tom Leighton, lancer des attaques par déni de service en recourant à des bataillons de « bots » pilotés automatiquement, souvent à l'insu total de leurs propriétaires, à la suite d'une infection par un virus ou un ver. Une attaque de ce type peut parfaitement viser une entreprise entière, voire une cible encore plus vaste. Le magazine InformationWeek a par exemple fait état, le 6 février 2007, d'une attaque par déni de service ayant « presque totalement désactivé » trois des 13 serveurs dit « racines » d'Internet, entraînant un ralentissement temporaire de ces trois machines. Cette attaque n'a pas eu d'impact significatif sur les utilisateurs, mais qu'en serait-il si une attaque par déni de service parvenait effectivement à mettre hors d'usage l'ensemble des 13 serveurs racines d'Internet ? Si une telle situation devait se produire, « votre navigateur ne tarderait pas à rester bloqué et vous ne parviendriez pas à envoyer de courriers électroniques. Internet serait totalement hors service », affirme Tom Leighton.
- « Pharming » : le pharming, explique Tom Leighton, « exploite souvent une faille du protocole DNS d'Internet, qui permet à un pirate d'indiquer à un terminal appelé « serveur de noms » que son adresse IP est celle d'une entreprise, par exemple un établissement financier. Le hacker détourne alors le trafic qui provient de ce serveur de noms, théoriquement destiné à l'établissement financier, puis l'envoie vers une page web factice dont la page de connexion ressemble à s'y méprendre à celle de l'établissement financier concerné. C'est au cours de ce processus, explique Tom Leighton, que les criminels parviennent à obtenir des mots de passe et des informations sur les comptes. Le plus grave, c'est que cela peut se passer totalement à l'insu de l'utilisateur. Tom Leighton ajoute qu'il existe un autre type de « pharming » utilisant un autre protocole Internet appelé BGP, au travers duquel une partie du trafic destiné à un site est détournée vers un site factice afin, là encore, de récupérer des mots de passe et des données de compte utilisateur.
Là où les implications deviennent encore plus préoccupantes, c'est lorsque ces techniques ne visent plus un gain commercial, mais sont dirigées contre un État. Tom Leighton note qu'un des risques majeurs serait de voir des terroristes dérober les données d'authentification de certaines infrastructures vitales, tels que les services de distribution publics d'un pays.
Alors que faire ? Le rapport du PITAC mentionne une liste de recommandations, parmi lesquelles un effort de financement en faveur de la recherche fondamentale à longue échéance portant sur les problèmes de cybercriminalité. Comme le remarque Tom Leighton, si le gouvernement américain finançait la recherche en vue de mettre au point des protocoles plus sécurisés pour remplacer les protocoles Internet actuels, il pourrait donner l'exemple en utilisant ces protocoles améliorés pour son propre compte. Dès lors, on pourrait espérer une généralisation de l'adoption des protocoles Internet renforcés, afin de créer une infrastructure Internet plus sécurisée et plus fiable.
« Je n'ai pas l'impression que nous fassions le nécessaire pour résoudre le problème », regrette Tom Leighton. « Mais je crois que c'est possible ».
