Etats-Unis: Obama peine à combattre les cyberattaques

L'administration Obama veut bloquer les hackers qui agissent sans trop de difficultés comme le prouvent les dernières attaques.

Le 1er avril, en pleines négociations avec l'Iran sur son programme nucléaire, le président américain a signé un décret autorisant à prendre des sanctions contre les pirates basés à l'étranger. Barack Obama prenait là une mesure importante pour contrer une menace à l'encontre des Etats-Unis tout aussi importante que celle posée par Téhéran.

La stratégie américaine vise à améliorer les cyberdéfenses du pays, en donnant notamment plus de pouvoirs à l'agence de sécurité nationale (NSA) pour détecter d'éventuelles attaques.

Mais ces défenses coûtent cher, ne sont pas parfaites et sont rapidement obsolètes, comme l'a montré le vaste piratage des données des fonctionnaires, pour lequel des pirates originaires de Chine sont suspectés.

Le département de la défense à lui seul estime devoir protéger pas moins de sept millions d'appareils reliés à ses différents réseaux informatiques internes. La Maison-Blanche a donc cherché à mettre au point des mesures de dissuasion, mais elle avance à tâtons.

«Nous avons beaucoup parlé de ce que nous faisons pour protéger nos réseaux et améliorer la coopération entre le public et le privé sur le partage d'informations», dit un responsable de l'administration qui n'a pas souhaité être nommé, «mais nous cherchons à développer d'autres moyens de réponse».

Poursuivre en justice les pirates est un premier pas. L'an dernier, cinq officiers de l'armée chinoise ont été inculpés pour avoir espionné six entreprises américaines. Mais ce type de réaction n'a qu'un effet très limité, estime le lieutenant général Barno, qui commandait les forces américaines et de la coalition internationale en Afghanistan entre 2003 et 2005.

«Nous avons un degré de dissuasion» vis-à-vis des Etats, dit-il . «Mais en l'occurrence ce n'est pas adéquat dans le cadre d'une menace» à plus petite échelle.

Le principal problème est que les pirates informatiques ne savent pas ce qu'ils risquent. Les attaques sont très variables et savoir à qui, quand et où répondre se révèle assez hasardeux.

«On oublie que quand l'on parle d'une réplique adéquate, il est très compliqué d'avancer des certitudes en matière de cyberactivité», reprend ce responsable.

L'armée de libération du peuple, tout comme les gardiens de la révolution en Iran ou les pirates en Russie ou en Corée du Nord peuvent être des acteurs étatiques majeurs. Leurs actions sont souvent cachées derrière celles de cybermilices ou d'autres petits groupes.

Et quand on a identifié une cible, savoir comment répliquer est encore plus délicat. En 2012, Harold Koh, alors l'avocat du département d'Etat, semblait fixer un seuil pour un déclenchement d'une action militaire: «Des cyberactivités qui peuvent conduire à des décès, des blessures ou à des destructions significatives déclencheraient sans doute un usage de la force», estimait-il.

Parmi les scénarios-catastrophes qu'il envisageait, un crash après une attaque du système de contrôle du trafic aérien ou le piratage d'une centrale nucléaire qui conduirait à la fusion du réacteur. Mais en l'occurrence, même si le dernier piratage en début de semaine touchait 750'000 employés civils du Pentagone, une réponse militaire semblerait inappropriée.

Une manière de dissuader d'éventuels pirates réside peut-être dans une «cyber contre-attaque». Ainsi, le virus informatique Stuxnet s'en était pris aux installations nucléaires iraniennes il y a quelques années et avait été considéré comme une alternative crédible à des frappes aériennes. Le seul problème ici est d'arriver à cibler seulement les pirates, et pas les autres utilisateurs d'Internet.

«Dans le domaine nucléaire, je peux compter les missiles, comparer des bombardiers contre des bombardiers. Mais dans le monde virtuel, je ne sais pas quoi compter», constate encore David Barno. «Personne ne sait ce qu'est une réponse proportionnelle».