Le terme « cybersécurité » dit sûrement quelque chose à beaucoup d’entre vous. On a parfois l’impression que les médias parlent continuellement d’entreprises et d’individus victimes de menaces en ligne – virus, tentatives d’hameçonnage, piratage, etc. La plupart d’entre nous utilisent les services de diverses applications mobiles au quotidien. Nos données sont souvent stockées dans des environnements du cloud, eux-mêmes hébergés par des sociétés et des entités gouvernementales dans des centres de données. Tous ces lieux sont exposés à des menaces de cybersécurité différentes et les législations en vigueur (en matière de vie privée notamment) varient aussi d’un endroit à l’autre.
Qu’est-ce que tout cela signifie concrètement ? De quoi faut-il être conscient(e) pour sécuriser sa vie numérique ? La cybersécurité est un sujet complexe et de nombreuses années d’expérience sont nécessaires pour bien saisir toutes ses dimensions. Notre objectif est de vous enseigner les bases de la cybersécurité afin que vous maîtrisiez les compétences numériques essentielles qui vous permettront de protéger votre présence en ligne.
Ce cours se présente sous la forme d’un catalogue de courtes observations simples à comprendre. Nous vous redirigeons également vers des ressources complémentaires que vous pouvez consulter si vous souhaitez en savoir plus sur un sujet précis. Commençons donc par définir la cybersécurité.
Définir la cybersécurité
D’après le dictionnaire Merriam-Webster, la cybersécurité désigne « les mesures mises en œuvre pour protéger un ordinateur ou un système informatique (p. ex. sur Internet) contre les accès non autorisés et les attaques ».
Cette définition n’inclut que les accès non autorisés et les attaques contre les systèmes informatiques. Celle de Wikipédia (page en anglais) est un peu plus large. La voici :
« La sécurité informatique, la cybersécurité ou la sécurité des technologies d’information désigne la protection des systèmes et des réseaux informatiques contre le vol ou les dommages causés au matériel, aux logiciels ou aux données électroniques et contre l’interruption ou le détournement de leurs services ».
La cybersécurité, c’est donc l’art de protéger des systèmes informatisés contre les hackers malveillants et les menaces accidentelles ou non humaines (erreur système, catastrophe naturelle, accident, etc.). C’est cette définition que nous allons utiliser dans ce cours.
Voilà comment Wikipédia (page en anglais) définit un hacker :
« Un(e) hacker est un(e) expert(e) en informatique qui fait usage de ses connaissances techniques pour réaliser quelque chose ou surmonter un obstacle précis dans un système informatisé. Bien que le terme “hacker” se rapporte à n’importe quel(e) programmeur/euse informatique chevronné(e), on lui attribue généralement le sens de “hacker de sécurité” dans la culture populaire – c’est-à-dire les individus qui utilisent leur savoir-faire technique en matière de bogues et d’exploits pour s’introduire dans des systèmes informatiques et ainsi accéder à des données qu’ils ne pourraient autrement atteindre. Les forces de l’ordre utilisent parfois des techniques de hacking dans le but de recueillir des preuves en vue de poursuivre des criminels ou des entités malveillantes. Elles ont alors recours à des outils d’anonymisation (tels que les VPN ou le dark Web) pour masquer leur identité en ligne et se faire passer pour des criminels. Le hacking et les cyberattaques sont aussi utilisés par des acteurs étatiques comme méthodes de guerre ».
Une courte histoire du hacking
Penchons-nous plus en détail sur le hacking (l’activité d’un(e) hacker). Le terme « hacking » (littéralement « bidouillage » en français) tire son origine de l’association étudiante Tech Model Railroad Club (page en anglais) de l’institut de technologie du Massachusetts (MIT). Il y était utilisé pour décrire la création de méthodes innovantes pour résoudre un problème technologique. L’objectif des membres du Tech Model Railroad Club était de comprendre le fonctionnement d’un appareil et de maîtriser parfaitement son utilisation. Avec le temps, le hacking est devenu un terme au sens bien plus large. La plupart du temps, on associe le hacking à des intentions malveillantes, mais cela n’a pas toujours été le cas. Des visionnaires de l’informatique, comme Bill Gates ou Steve Jobs étaient des hackers dans l’âme. Ils ont commencé leurs carrières dans des cercles de hackers qui à l’époque s’intéressaient principalement aux ordinateurs personnels (et au piratage téléphonique, mais c’est une tout autre histoire). Les entreprises créées par ces hackers dans les années 1970 sont devenues de gigantesques sociétés. Sans la passion des hackers, le monde actuel serait probablement très différent.
Le hacking a été perçu pendant des décennies comme la chasse gardée « d’intellos un peu coincés ». On voyait les hackers comme des ados solitaires vivant dans des sous-sols avec leurs ordinateurs. La représentation des hackers dans les films hollywoodiens n’a certainement pas joué en leur faveur. La vérité n’est pourtant pas si simple. De nos jours, tout le monde peut être un hacker. Notez aussi que le hacking est un outil utilisé aussi bien par les agences de renseignement du monde entier que par des organisations criminelles. Tous les acteurs majeurs de la scène politique mondiale s’appuient sur le hacking pour en apprendre plus sur les forces de leurs opposants ou renforcer leur propre position.
Certains des hacks les plus célèbres de 2020 ont été menés par des acteurs étatiques. Ces actions sont généralement soutenues par un pays qui met à disposition ses ressources. La plupart des hacks malveillants sont toujours à l’heure actuelle l’œuvre de criminels isolés ou de petits groupes, mais les actes les plus notables sont menés par des organisations criminelles ou des groupes d’APT (acronyme anglais d’advanced persistent threat, « menace persistante avancée » en français).
L’Éthique des hackers de Steven Levy est une très bonne source d’information sur l’histoire du hacking et des hackers.
Les différents types de hackers
Les hackers sont généralement répartis selon trois groupes : les white hats, les grey hats et les black hats (littéralement « chapeaux blancs », « chapeaux gris » et « chapeaux noirs »). La couleur du « chapeau » symbolise leurs intentions.
Les white hats sont des « hackers éthiques » qui cherchent à renforcer la sécurité des systèmes informatiques en détectant des failles. Lorsqu’ils révèlent leurs découvertes, ils agissent généralement de façon responsable et ne tentent pas de profiter des bogues qu’ils mettent au jour. Certains white hats gagnent très bien leur vie en participant à des programmes de bug bounties (« primes aux bogues » en français) organisés par des entreprises qui payent pour découvrir les failles de sécurité de leurs systèmes.
Les black hats sont des criminels qui agissent avec l’intention de nuire. Leur unique motivation est de s’enrichir. Ces hackers sont responsables de différents types d’attaques, comme les rançongiciels (ransomware en anglais). Ils utilisent leurs découvertes pour leur profit personnel ou tentent de vendre ces failles à des tiers intéressés. Les black hats seront ici qualifiés de criminels pour bien les distinguer des chercheurs et des passionnés de sécurité.
Les grey hats cherchent avant tout à « troller » les autres : ils voient le hacking comme une activité amusante qui permet de se forger une réputation. Ils expliquent parfois qu’ils mènent leurs attaques « for the lulz » (« lulz » étant un dérivé de l’acronyme anglais « lol », on pourrait traduire cette expression par « pour la rigolade »). Ils revendiquent généralement leurs découvertes dans le but d’étaler leurs compétences aux yeux de tous. Il se peut que certains cherchent à tirer profit de leurs hacks, mais la plupart du temps, il s’agit uniquement de se faire une réputation.
Confidentialité, intégrité et accessibilité
Le concept de cybersécurité est souvent rattaché à une classification connue sous le nom de triade CIA de la sécurité des logiciels. Les termes « confidentialité », « intégrité » et « accessibilité » sont généralement vus comme les trois aspects fondamentaux de la sécurité. Comme c’est le cas de toutes les classifications, la triade CIA est parfois considérée comme incomplète, car elle passerait à côté de certaines composantes à part entière de la sécurité des logiciels, notamment la non-répudiation. Quoi qu’il en soit, la triade CIA est un outil très utile pour bien cerner les différents aspects de la sécurité.
Ces trois termes sont généralement définis ainsi :
Confidentialité : les données et les ressources sont protégées contre les accès non autorisés.
Intégrité : les données sont protégées contre les modifications non autorisées, c.-à-d. que l’exhaustivité et la précision sont garanties.
Accessibilité : les utilisateurs habilités ont accès aux données et aux ressources.
La confidentialité est assurée par le chiffrement des données ou la protection de l’accès aux données qui sont stockées sans être chiffrées. Le vol d’un ordinateur portable constitue une menace pour la confidentialité des données qui y sont stockées.
L’intégrité signifie que les utilisateurs légitimes doivent pouvoir se fier à l’exactitude des données. Aucun(e) utilisateur/trice non autorisé(e) ne doit pouvoir modifier les données. Celles-ci ne peuvent pas non plus être modifiées accidentellement, même par des utilisateurs habilités (cela couvre notamment la protection contre la falsification de transactions bancaires en vue de retirer des fonds d’un compte puis d’éliminer toutes les traces qui permettraient de remonter au retrait).
L’accessibilité est un aspect trop souvent négligé. Si les utilisateurs légitimes ne peuvent pas accéder à des données, elles sont purement et simplement inutiles. Si une base de données stockant l’unique copie d’un ensemble de données est supprimée ou chiffrée par un logiciel malveillant (malware en anglais), on peut alors parler d’un problème d’accessibilité. Autre illustration de l’idée d’accessibilité : les attaques par DOS ou DDOS (acronyme anglais de Denial-of-service attack, « attaque par déni de service » en français) empêchent les utilisateurs légitimes d’accéder à des données. La sauvegarde des données des appareils personnels est un aspect essentiel de l’accessibilité. La plupart des fabricants de mobiles proposent des services payants de sauvegarde chiffrée des données sur le cloud. Les ordinateurs personnels ont accès aux services de sauvegarde en ligne et peuvent aussi compter sur des appareils de sauvegarde en réseau et les clés USB.
