|
La
Cybercriminalité
Eléments de compréhension
Qui sont les cybercriminels? Deux groupes doivent être distingués de façon très nette. La première génération de hackers, ceux des années 60, et la deuxième génération des années 90. Les premiers refusent de reconnaître les seconds, alors que ces derniers sont constamment en train de leur rendre hommage et d'inscrire leur cultureet leur mode de vie dans la lignée de ces premiers "rebelles".
Avant que le terme de "hackers" ne naisse, il y avait les "vrais programmateurs" (nous noterons que ce terme n'est apparu que dans las années 80). C'étaient les précurseurs de la culture "hacker", et de la fin de la deuxième guerre mondiale jusqu'aux année 70, ils représentaient la culture technique dominante dans l'informatique.O n leur doit le développement de l'informatique interactif et des réseaux. Une personnalité comme celle de Stan Kelly-Bottle est issue de ce groupe de précurseurs. Nous noterons que ce dernier avait programmé le Manchester Mark I, premier ordinateur qui stockait les programmes de façon numérique, en ... 1948. Cependant, on ne peut réellement parler de "hackers" qu'à partir des années 60 et notamment de 1961, date à lauelle le MIT (Institut de technologie du Massachussetts) a fait l'acquisition du premier PDP-1.C'est, en effet, la culture informatique du MIT qui créa le terme "hacker". La création d'ARAPANET en 1969 eu également des conséquences importantes concernant ce groupe de surdoués de l'informatique. C'éatit le premier réseau d'ordinateurs transcontinental et à haut débit.Il permit de réunir les hackers de tous les Etats-Unis en un groupe critique. C'est de cette époue que datent les premières listes de jargon (la première version du fichier jargon date de 1973), les premières satires... Jusque là, nous étions dans une culture informatique du PDP-10. Mais, la montée d'Unix, invention d'un hacker du nom de Ken Thompson, allait faire de l'ombre à la tradition culturelle précédente.Unix a pu fonctionner grâce à l'invention du langage "C" par Dennis Ritchie. Les hackers en firent naturellement leur environnement de travail privilégié. De plus, Unix présentait un avantage en possédant son propre protocole réseau m&dash. De fait, les hackers constituaient un groupe en réseau dans le réseau. Le premier ordinateur personnel (1975) constitue une autre rupture pour notre groupe de hackers. Ceux qui s'en saisirent utilisèrent le langage BASIC.
C'est cependant pendant les années 80 que les hackers s'organisèrent en véritables groupes de pression et commencèrent à faire connaître au grand public leurs revendications libertaires pour l'informatique, d'une part, et identaires, d'autre part. Mais, loin de n'agir que d'une seule voix, les hackers appartiennent à divers groupes dont il nous a semblé pertinent de parler. La grande rivalité des années 80 opposait les défenseurs du système Unix de Berkeley aux versions proposées par la société AT&T. Plusieurs affiches du moment représentent un vaisseau spatial de combat en forme de X, non sans nous rappeler la triologie La guerre des étoiles, très prisée au sein des hackers, fuyant une Etoile de la mort représentant AT&T. Autre grande rivalité des années 80 : celle qui opposa le LoD au MoD. Le LoD, Legion of doom, fondé au début des années 80 était tout d'abord dirigé par un informaticien expert en systèmes de gestion de télécommunications COSMOS (Central system for Mainframe operations) portant le pseudonyme de Lex Luthor. Le LoD fut ensuite aux mains du texan Chris goggan (Eric Bloodaxe) et de Schott Chasin. Le LoD tenait , parallèlement à ces activités de hacking, un bulletin clandestin : le loD Technical Journal. L'éthique de ce groupe, comme celle de l'ensemble des hackers qui se revendiquent comme étant "purs", est de comprendre le fonctionnement des machines qu'ils ne connaissent pas. Leur statut de criminels leur est donc conféré par le fait qu'ils pénètrent illégalement dans des systèmes informatiques plus que par la nature de leurs actions. Le but de celles-ci n'étant que très rarement orienté vers la nuisance. Toujours est-il qu'une guerre éclata entre LoD et MoD. Le Lod était composé essentiellement de jeunes du Sud, alors que le MoD ( Masters of Deception, Masters of Deceit, ou encore Masters of Destruction) était new-yorkais. New-York eut raison de ses rivaux, notamment en s'offrant le luxe de pirater la firme de sécurité informatique Comsec créée par Goggan en 1991. Cela lui valut de dures représailles : le LoD livra des preuves des activités illégales de piratage informatique du MoD au FBI... Certains ont vu dans cette querelle une vieille rivalité Nord/Sud, d'autres une concurrence exacerbée d'experts...Il n'en demeure pas moins qu 'une bonne partie de ces jeunes gens, qui n'avaient pour la plupart pas touché un sou de leurs activités, furent condamnés à de sévères peines. Autre groupe de hackers typique de ces années 80 : les membres du Chaos Computer Club (CCC), organisation allemande créée en 1981 qui dénombre aujourd'hui plus d'un millier d'adhérents. Son fondateur, un certain Dr Wau (Herwart Holland-Moritz de son vrai nom), a conduit le groupe vers un nombre imprssionnant d'activités de piratage. La première constituait, en 1984, en un détournement de fonds de la banque Sparkasse: 100 000 DM en une nuit. Mais l'argent est restitué dès le lendemain matin. En 1987, le CCC s'en prend à la NASA. Les actions de ce groupe ont pour simple objectif de faire prendre conscience aux utilisateurs informatiques de la fragilité de leurs systèmes. Nous pourrions également ajouter le goût du risque et du défi, la fierté qui émane d'une action réussie...Quoi qu'il en soit le CCC, comme beaucoup de groupe de hackers i se revendiquent comme authentiques, n'a pas le sentiment d'être une nuisance pour la société. Bien au contraire, les hackers qualifiés de "purs" s'érigent en "chevaliers blancs" menant une croisade pour une meilleure connaissance de la machine au service de l'homme. Peter Glaser, un membre du CCC, nous dit, de fait : "L'homme est au centre d'intérêt du CCC et non la machine".
Les années 90 marquent un tournant dans la mesure où les groupes de pression de hackers que l'on connaissait jusqu'à maintenant ont tendance à s'institutionnaliser (et leurs leaders avec, par la même occasion), alors que de nombreux cas de hacking en solitaire éclatent au grand jour (nous noterons que ces derniers existaient déjà, mais étaient peut-être moins médiatisés). Le
cas du groupe EFF nous paraît tout à faitt révélateur
de la tendance précédemment énoncée. The Electronic
Frontier Foundation fait partie de ces associations, ces groupes, ces
"communautés virtuelles" qui mènent une croisade
pour préserver la liberté, la créativité le
bénévolat et le déordre qui caractérisent
internet. Ce groupe est né suite à l'arrestation infondée
de Mitch Kapor et Perry Barlow par le FBI( opération "Sundevil").Tous
deux décidèrent de créer un organisme charger de
"civiliser le cyberspace" et éviter que des hackers ne
soient arrêtés sans raison valable. Nous noterons que le
nom du groupe n'a pas été choisi par hasard, il fait référence
à la conquête de l'Ouest, élément fondateur
et quasi mythologique des Etats-Unis. Mais le grand public retient surtout les actes de piratage de personnalités isolées qui sont idôlatrées par bon nombre de jeunes hackers. Comment ne pas évoquer la personnalité de Kevin mitnick ? D'autres, moins connus, peuvent être également évoqués. Leur âge est souvent souligné, leur précocité les érigeant souvent au rang de génie.A titre d'exemple, nous parlerons donc de Kevin Poulsen, connu pour ses prises de contrôle répétées des lignes téléphoniques de la société Pacific Bell. Ce dernier a, en outre, gagné une porsche à un concours radiophonique en manipulant les lignes pour être sélectionné. Cela lui a valu de purger une peine de 5 ans, peine la plus longue affligée à un cracker aux Etats-Unis jusqu'à maintenant.Autre exemple, celui de Sarah Flannery. Cette irlandaise de 16 ans a inventé au début de l'année 1999 un nouvel algorithme de cryptage des données, le code"Cayler purser". Les hackers des années 90 cachent donc une réalité hautement disparate. Ce que nous retenons sera surtout la querelle de légitimité entre une génération des années 60 qui est dorénavant très souvent acquise à la légalité et un groupe de jeunes des années 90 toujours confiné dans la clandestinité. Le congrès Defcon, tenu à Washington, et organisé par Dark Tangent témoigne du désir de l'ancienne génération des hackers à s'inscrire dans la légalité et à coopérer avec les autorités (autorités d'ailleurs elles-mêmes de plus en plus intéressées par ces activités informatiques souterraines.Voir les hackers et la guerre du golfe). Autre témoignage de l'abandon des pratiques illégales par les hackers "old school" : les propos tenus par Chris Goggan, au moment où il décidait de quitter la scène hacker en abandonnant la rédaction de son magazine Phrack, en septembre 1996 : "je n'aime pas la plupart d'entre vous, les gars. La sub-culture des hackers est devenue une caricature de son passé (...)La communauté a dégénéré. C'est devenue une farce nourrie par les médias." La culture Cyberpunk des Hackers Les hackers ont leur propre culture, comme n'import quelle autre communauté (puisque nous pouvons considérer que les hackers forment une "communauté virtuelle"). Initialement, c'est plutôt la culture baba-cool ou hippie qui a imprégnée nos cyberpirates. Mais, c'est le mouvement cyberpunk qui a donné toutes ses lettres de noblesse à cette culture. Le mot "cyberpunk" renvoie à deux concepts : "cyber", tout d'abord, désigne la cybernétique (art de gouverner), et de là les NTIC; "punk", quant à lui, renvoie au mouvement de contre-culture qui porte son nom.Comment est-on passé du rejet pessimiste de toute technologie par les punks des années 70 à la conception libératrice des nouvelles technologies ? Ce renversement s'est déjà effectué dans les oeuvres de science-fiction de William Gibson, ou encore de Bruce Sterling. Quelle réalité? David L. Carter, professeur au département de justice pénale du l'université de justice pénale, classe la cybercriminalité en deux catégories : celle qui prend l'ordinateur pour cible et celle qui utilise l'ordinateur comme simple instrument d'un crime conventionnel. La première comprend le vol d'informations, l'espionnage, le sabotage de données ou de système, l'accès non autorisé à des fichiers et le technovandalisme (la destruction pour le plaisir de la destruction). La seconde concerne le détournement de fonds, la diffusion de données illégales, la copie de logiciels, la contrefaçon de matériel et la diffusion de données illégales (de la pédophilie aux mouvements néo-nazis). Le fait est qu'Internet représente une formidable opportunité pour les criminels qui ont des aptitudes en informatique et pour les informaticiens qui ont la fibre criminelle. Le nouveau champ d'action du crime semble s'étendre à l'infini dans une société en réseau où plus personne n'est vraiment à l'abri d'un "esprit malfaisant" ou malintentionné. En effet le cyberespace est potentiellement très dangereux. A travers lui, on peut pénétrer les systèmes bancaires, les bases de données personnelles, n'importe quel ordinateur branché sur le Réseau. On peut aussi manipuler l'information à l'échelle mondiale par de la propagande ou la désinformation.Et on frissonne lorsqu'on imagine les conséquences de la prise de contrôle d'un satellite. Pour se faire une idée de la menace que représente la cybercriminalité, il suffit de regarder les productions d'Hoolywwod : de Total Recall à Johny Mnemonic, de Traque sur Internet à Ennemi d'Etat, l'ordinateur a remplacé le revolver. Même James Bond s'est adapté !
Dans cette catégorie, l'ordinateur facilite grandement le travail des criminels. Il n'est plus besoin d'attaquer un quidam devant un distributeur ou de braquer une banque. Il existe deux façons de voler de l'argent tout en restant chez soi, sur Internet : soit en obtenant les codes du compte bancaire ou le numéro de carte de crédit de quelqu'un d'autre, soit en s'introduisant dans le système informatique d'une banque et en transfèrant des fonds sur son propre compte. Les pirates ont deux possibilités pour récupérer les numéros de compte et les codes secrets : les transmissions non sécurisées sur Internet et les logiciels qui créent des numéros. La sécurité des cartes de crédit est un enjeu majeur d'un commerce électronique qui se développe de façon exponentielle. Tous les magasins virtuels utilisent la méthode de paiement par carte de crédit : l'acheteur doit donc communiquer son numéro de carte de crédit au magasin virtuel qui peut ensuite le débiter de la somme de ses achats. Même si ces transmissions sont de plus en plus sûres grâce à leur cryptage, un pirate habile est capable de les décrypter et de récupérer les données confidentielles sans que personne ne s'en aperçoive. De plus, de nombreux sites commerciaux, et donc les banques de stockage, ne sont pas sécurisés. Les pirates attaquent donc les sites commerciaux à la recherche des fichiers clients de numéros de carte de crédit.Avant d'être arrêté, le désormais célèbre Kevin Mitnick avait ainsi volé environ 17 000 numéros de cartes de crédit. La personne qui dispose de ces données va ensuite s'adresser aux mêmes magasins virtuels et faire débiter la carte volée. Mais la réponse apportée aux problèmes de sécurité et de confidentialité, la monnaie électronique, contient déjà en germes de nouveaux abus. Le système de l'argent électronique et du porte-monnaie électronique a été mis en place pour que soient respectés l'anonymat et l'identité bancaire de l'acheteur. Il suffit d'ouvrir un compte virtuel (couvert par une carte réelle!) chez Digicash ou CyberCash pour avoir à disposition de l'argent électronique dans un porte-monnaie lui aussi électronique. Seul l'argent virtuel circule alors sur Internet, sans danger pour son propriétaire. Si cela à l'air sans danger, il faut pourtant se méfier. D'abord l'argent virtuel est stocké sur un disque dur (le porte-monnaie) qui n'est pas à l'abri d'une attaque. Ensuite, l'anonymat qu'il procure dans la transaction est à double tranchant : l'identité bancaire est confidentielle pour tous sans distinction. On imagine aisément les risques de blanchiment d'argent, de contrôle mafieux et d'évasion fiscale. Il n'y a qu'à remarquer la floraison de casinos virtuels hébergés dans des paradis bancaires et fiscaux, pour se rendre compte que le phénomène est déjà lancé. Reste le problème de l'attaque informatique des fichiers clients d'une banque, le "cyberhold-up". C'est un cas classique d'intrusion dans un système protégé. Une fois le système pénétré, les voleurs n'ont plus qu'à se servir en faisant des virements sur leurs comptes personnels. Le risque de se faire arrêter diminue encore avec l'argent électronique : il suffit de virer le butin sur un compte qui le change en monnaie virtuelle, sans aucune indication d'identité bancaire, et le tour est joué ! Il ne faut pas non plus oublier que les hackers ont débuté, avant Internet, en piratant des lignes téléphoniques, donc déjà des codes de sécurité.
La seule détention de données bancaires confidentielles est une arme. Ainsi en décembre 1997 un hacker a volé 500 000 Dm à une banque de Nuremberg pour prouver qu'il connaissait les numéros de compte et les codes secrets de tous les clients. Pour ne plus utiliser ces informations, le pirate réclame 1 million de Dm. Pour l'instant, personne n'a cédé et le voleur continue ses méfaits. D'autres ont eu moins de chance et sont actuellement en prison
Les jeux électroniques, les programmes informatiques : La plus grande partie du commerce parallèle des copies de logiciels concerne les programmes de jeux. Ce piratage a coûté près de 3,2 milliards de dollars en 1998 aux éditeurs américains de jeux vidéo et informatique qui regardent d'un très mauvais oeil la Chine, le Paraguay, la Thaïlande et la Malaisie, paradis des pirateurs. Pour les amateurs, le principe est très simple : pour les CD ROM, il suffit d'avoir un graveur sous la main. Mais le réel problème vient des Warez et des versions pirates fabriquées en masse à l'étranger. Warez est un réseau d'échange de téléchargement gratuit de jeux et de logiciels payants dans le commerce.On s' y échange des APPZ( applications, logiciels proposées), des SERIA'Z (numéros de séries nécessaires pour installer des applications ou débloquer des sharewares dont la date a expiré), des CRACK'Z (petits logiciels pour cracker des sharewares ou des démos) et des XXX'Z ou PASS'Z (des mots de passe de sites normalement payants). Il s'agit néanmoins d'une communauté assez restreinte et fermée de passionnés. C'est donc loin d'être aussi dangereux pour l'industrie que les sociétés qui copient illégalement un logiciel, boîte et vignette d'authenfication incluses, à l'identique. Ces sociétés forment aujourd'hui une véritable industrie parallèle très organisée. Des logiciels très chers, destinés à des spécialistes (PAO ou graphisme), sont volés et piratés soit à partir d'une version bêta, soit à partir d'un logiciel original dont les protections ont été "crackées". Entre les particuliers qui copient relativement facilement un logiciel pour leur usage personnel et le marché asiatique des copies à la chaîne défiant toute concurrence, le copyright et le droit d'auteur ont bien du mal à se faire entendre et respecter. Les films : On trouve actuellement sur le Net des films à l'affiche, compressés au format MPEG et piratés. Les pirates se procurent des copies par l'intermédiaire d'employés des Majors hollywoodiennes ou font eux-mêmes des copies vidéo avec la complicité de projectionnistes. Ils numérisent ces copies puis les placent dans un fichier vidéo enregistré sur ordinateur. De là, il ne leur reste plus qu'à les envoyer sur des forums où des étudiants qui bénéficient de l'accès à haut débit de grande qualité de leurs écoles pourront les télécharger. Si les grands studios commencent à s'inquiéter, la qualité assez médiocre encore des copies leur laisser quelque temps pour s'organiser. Les grandes maisons de disques, elles, sont en pleine panique. Le MP3 Le MP3 est un format de codage de son qui présente deux énormes avantages : la musique ainsi compressée occupe dix fois de place sur un disque (elle circule donc facilement sur le Net) et on peut télécharger gratuitement (même si c'est illégal) un éventail extrêmement large de morceaux grâce à un lecteur qu'on trouve presque partout. Devant l'engouement du public pour le mp3 et l'arrivée du premier lecteur mp3 portable, le RIO PMP 300 de Diamond, les grandes compagnies de musique se sont liguées pour lutter contre ce format qui ruine leur industrie et bafoue les droits d'auteurs. Fin décembre 1998, BGM, EMI, Sony Music, Universal Music et Warner Music sont parties en guerre. Mais tout le monde n'est pas d'accord. (les réactions de plusieurs artistes français sont sur le site de Libération). Les labels indépendants continuent de penserque le mp3 est le moyen idéal de faire connaître les nouveaux artistes. Mais que dit la loi ? Le téléchargement est tout à fait illégal, sauf si l'on fait une copie de sauvegarde et qu'on possède déjà le disque original. Autant dire que tout le monde s'en moque. Mais tout est fait pour tenter d'endiguer le phénomène. On parle beaucoup d'un nouveau format, le MP4, annoncé par Global Music Outlet. Le MP4 aurait de nombreux avantages : un meilleur taux de compression, une musique qui se joue sur un même fichier, une inscription des droits d'auteur sur les fichiers pour les suivre et éviter les copies.. Pour l'instant, nous sommes presque tous des cybercriminels.
En temps de paix Internet est un formidable outil universel de propagande. Grâce au Web, chaque individu peut avoir la parole, exprimer son point de point. C'est même l'essence d'Internet, tout le monde est libre de parler et aucune autorité de contrôle n'exerce son pouvoir sur cet espace. Un formidable lieu de liberté donc. Mais le Web n'est pas sans règle, au contraire il est régi par la Nétiquette, une sorte de code de bonne conduite que chacun se doit de respecter sous peine de sanctions infligées par ses pairs. On retrouve Stuart Mill, "la liberté des uns s'arrête là où commence celle des autres". Pourtant certains outrepassent cette limite de bonne intelligence et expriment des idées racistes, extrémistes, haineuses. Ainsi Internet est une tribune privilégiée pour les groupes néo-nazis, les sectes ou les milices. Mais il ne suffit de parler, il faut encore se faire entendre. Et cela, ces groupes incitant ouvertement à la violence ou à la haine raciale l'ont parfaitement compris. La plupart du temps, après une phase d'activité relativement discrète durant laquelle les mouvements "durs" déjà formés prennent contact les uns avec les autres et mettent au point une stratégie pour leur site, ce site s'ouvre à un public beaucoup plus large, aux non-initiés et à ceux qui ne demandent qu'à être convaincus pour entrer dans l'organisation. Aujourd'hui, les groupes extrémistes recrutent la plupart de leurs membres par le réseau. Grâce à Internet le lien de communauté s'ancre plus profondément : les néo-nazis du monde entier peuvent se retrouver et communiquer sur la Toile, dans des forums de discussion. Cette impression de former un mouvement international soudé par d'une idéologie commune les renforce, l'effet boule de neige joue à plein autour d'une culture identique. Le Southern Poverty Law Center annonce avoir recensé 537 groupes basés sur la haine en 1998 aux Etats-Unis, dont 254 ont un site sur Internet (60% d'augmentation en un an).Cela va du Ku Klux Klan aux Skinheads en passant par les diverses milices et les séparatistes Noirs. L'objectif est de légitimer la haine de l'autre en fragmentant le cyberespace entre ceux qui sont pour l'idéologie prônée et ceux qui sont contre. Cette utilisation d'Internet peut malgré tout être réprimée comme l'a fait un tribunal de l'Oregon qui a condamné à une amende de 14 millions de dollars 14 militants anti-IVG qui avaient publié sur le Net les noms et les photos des médecins pratiquant l'avortement. Un site intégriste, "les fichiers de Nuremberg" révélaient aussi leurs adresses et leurs numéros de téléphone avant de le barrer d'un trait quand ils étaient assassinés. En temps de guerre Le sous-commandant Marcos fut le premier à utiliser la cyberpropagande en 1994. Il alimentait en informations diverses des sites zapatistes pour gagner l'opinion internationale à sa cause. Le Web devient alors le lieu d'une diplomatie virtuelle, parallèle sans être aucunement secrète, l'endroit où chaque partie d'un conflit peut donner sa version des faits sans être pénalisée par une faible taille. Internet permet à n'importe quel groupe armé de combler son désavantage par rapport aux groupes qui contrôlent les médias. Dans le cas du Timor oriental, il est intéressant de noter la violente réaction de l'Indonésie à l'apparition d'un nom de domaine ".tp" pour cette région qu'elle considère comme partie intégrante de son territoire national. La souveraineté des Etats peut donc être remise en question dans le cyberespace. Internet permet aussi de jouer la carte contraire, celle de la désinformation. Puisque sur Internet l'information n'est que rarement garantie, l'action de propagande joue sur la naïveté des internautes qui pensent que toutes les informations et toutes les sources se valent. C'est la stratégie adoptée par les Serbes à l'égard de l'OTAN et par les Kosovars à l'égard des Serbes. Chaque jour, une dizaine de milliers d'ordinateurs "stratégiques" occidentaux (journalistes, intellectuels, hommes politiques) sont ciblés par des messages provenant des gens qui se disent Serbes ou Kosovars, mais dont l'identité est invérifiable. Ils mènent une guerre psychologique, une guerre de subversion, d'intoxication de l'adversaire et de l'opinion internationale. De plus, à
ces messages électroniques s'ajoutent des attaques de sites "ennemis"
: le site de l'OTAN, par exemple, a été indisponible plusieurs
jours suite à un piratage. Les sites des deux parties se multiplient
à l'infini, finissant par brouiller les perceptions. Des cyberguérillas ont lieu sur le Net. Des cyberpirates s'affrontent en attaquant les sites de propagande des uns et des autres, ou tout au moins de ce qu'ils estiment être de la propagande. Ainsi les ordinateurs d'un fournisseur d'accès irlandais défenseur de la cause indépendantiste du Timor oriental (il hébergeait de nombreux sites de défense de cette partie du monde) ont été attaqués durant 7 minutes, subissant d'énormes dégâts. Il s'agit là de représailles, de vengeance à distance. Certains hackers se portent d'ailleurs souvent volontaires pour défendre sur le terrain de l'informatique des causes qu'ils tiennent pour justes. Certains se sont engagés dans un combat contre les militants anti-IVG en attaquant le plus grand nombre de sites "pro-life" agressifs. Un concours a même été lancé en début d'année qui couronnera le pirate qui aura hacké ou détruit le plus de sites militants anti-avortements.
Deux chiffres annoncés par le Pentagone : il suffirait de moins de trente très bons informaticiens, répartis stratégiquement sur la planète et disposant d'un budget de moins de 10 millions de dollars, pour faire plier sous leur attaque la toute-puissance américaine. Le cyberterrorisme consiste a attaqué les sites et surtout les ordinateurs stratégiques de l'ennemi. On parle aussi de cyberterrorime pour désigner les organisations terroristes qui utilisent Internet pour acheter des armes ou pour nouer des contacts et monter des opérations tout en évitant le risque inérant à chaque réunion physique et en pouvant avoir une stratégie planétaire. Bien sûr on pense à l'exemple d'Osama bin Laden qui a déclaré la guerre sainte aux Etats-Unis et dont on sait aujourd'hui avec certitude qu'il a préparé les attentats sur les ambassades américaines en Afrique par le Net. Mais l'enquête sur l'attentat à Oklahoma City a démontré que les criminels avaient choisi la même option. La menace Le rapport du Center for Strategic and International Studies (CSIS) sur le cyberterrorisme est on ne peut plus alarmant. Les Etats-Unis ne seraient pas prêts à affronter un cyberconflit et le CSIS brandit la menace d'un "Waterloo électronique". Le revers de la mondialisation,de la révolution de l'information et des nouvelles technologie existe bel et bien. Le Réseau est extrêmement fragile et les adversaires se sont métamorphosés. Le danger viendra beaucoup plus probablement de quelques individus isolés mais disposant de capacités de hackage (au sens premier de prouesse informatique) très développées et d'un matériel performant. Quand on sait qu'il a suffit d'un fermier qui, en enterrant une vache, a coupé accidentellement une fibre optique pour réduire à néant quatre des trente principaux centres de contrôle aérien des Etats-Unis, l'inquiétude peut raisonnablement nous gagner. Si un pirate mal intentionné réussissait à détruire quelques gros ordinateurs stratégiques, à infiltrer la Bourse de Londres ou de Tokyo, à prendre les contrôles d'armes nucléaires, ce serait l'effondrement de toute la société. Pourtant certains sont optimistes : les intérêts économiques en jeu sont tels que les pouvoirs publics préfereont toujours dépenser des fortunes pour assurer la sécurité de leurs systèmes. Comment lutter? La cybercriminalité, comme nous l’avons vu, n’est pas un genre fermé et strictement défini de criminalité. La cybercriminalité est multiforme et recoupe tous les domaines de la criminalité habituelle adaptés au moyen nouveau de l’Internet ainsi que des formes de criminalité propres à ce type de média (piratage d’informations, intrusion de virus informatiques, d’un " cheval de Troie " par des hackers etc.). Par conséquent, il ne saurait y avoir un moyen unique de lutte contre la cybercriminalité, il existe autant de remèdes que de formes de criminalité induites par ce nouveau médium de communication qu'est l'Internet. Cela étant, on peut distinguer deux types de moyens de lutter contre la cybercriminalité. Des moyens de protection pratiques , visant à réduire les possibilités d’actions criminelles sur le réseau et des moyens de lutte par des mesures juridiques et repressives. A cet égard, la lutte contre la pédophilie sur le réseau offre des pistes intéressantes sur ce que pourra être à l'avenir une répression efficace de la cybercriminalité .
Le maintien de la sécurité dans les systèmes informatiques n'est pas un problème neuf. Dès le début de l'ère informatique le stockage d'informations par voie informatique a fait encourir de gros risques aux compagnies comme aux particuliers : risques de sabotage, d'utilisation frauduleuses des données... Ainsi, se sont mises en place, spontanément, des règles de pratiques de bon sens. Parmi celles-ci on peut citer pour les entreprises : l'isolement physique des machines du reste des services, la limitation des accès à la salle machine, le stockage des fichiers en bandothèque sous la responsabilité d'une personne différente des opérateurs... L' entrée dans l'univers de la mise en réseau (intranet puis Internet) a donné à ce problème de nouvelles dimensions ( sur l'évolution des termes du problème de la sécurité informatiques consulter la contribution Jean-Philippe Jouas président du club de la sécurité des systèmes d'information français ou le site de l'association à laquelle il appartient www.clusif.asso.fr) . Lato sensu, on entend par sécurité des systèmes d'informations l'ensemble des moyens humains et matériels permettant à un système , s'appuyant sur des moyens automatisés de traitement et d'échanges d'information, de résister aux agressions qui compromettraient son bon fonctionnement. Cela inclut pour une entreprise le personnel, les infrastructures, les logiciels... Ici, ce qui nous
intéresse ce sont les problèmes de sécurité
posés spécifiquement par Internet et les moyens de défense
qui leur sont opposés.
Une remarque simple pour commencer : pour échapper à la cybercriminalité, il s'agit d'abord de prendre conscience, que malgré son caractère désincarné, l'Internet peut s'avérer un médium dangereux. Ayez bien à l'esprit que vous jouez dans des casinos virtuels à vos risques et périls, qu'il n'est pas bon de placer tout son argent dans une banque virtuelle domiciliée dans un lieu exotique, que fréquenter des sites à la moralité douteuse peut entraîner des poursuites... Autre chose: évitez de séjourner dans des sites de hackers, souvent ceux-ci vous repèrent et visitent votre ordinateur ou le simple fait d'avoir vu leur site peut vous valoir d'être infesté par un virus. Cela étant, il convient de ne pas diaboliser tous les hackers, certains essaient surtout de montrer par leurs réalisations les failles qui peuvent exister dans la sécurité sur Internet. Il existe d'ailleurs un site consacré à la sécurité informatique qui se propose d'établir un dialogue entre les utilisateurs, les professionnels et les hackers pour augmenter la sécurité ( AntiOnline - Computer Security). Enfin, la solution la plus simple si vous ne voulez pas que vos informations privées ou professionnelles conservées dans votre ordinateur soient piratées par l’intermédiaire du net ( procédé dit du " cheval de Troie "), est encore de posséder deux ordinateurs, un où sont stockées toutes les informations, un autre qui sert uniquement à se connecter.
Mais, cette solution, outre son coût, n’est pas toujours envisageable notamment pour une entreprise. En effet, aujourd'hui, les réseaux jouent un rôle très important : nombreuses sont les compagnies qui désirent établir des liens directs entre leur réseau et Internet à la fois pour permettre aux employés d’effectuer des recherches d’information et pour favoriser les transactions. Comment concilier l'envie de donner accès à tous ses services avec celle de protéger ses ressources d'attaques d'utilisateurs malfaisants ? Une des solutions adoptées par les compagnies consiste à mettre en place des " Firewalls " ( traduit parfois par " pare-feu "). Les Firewalls sont des logiciels ou des cartes qui agit comme un filtre entre l'intranet de l'entreprise et l'extérieur (Internet). Le firewall permet de filtrer et contrôler toutes les données qui entrent dans le réseau intranet et qui en sortent. On peut le configurer pour définir le niveau de filtrage souhaité. Très grossièrement, il existe deux méthodes de filtrage, une plus lente mais plus fiable consiste à vérifier que les données reçues sont bien des données HTTP ( filtrage d'applications). L'autre (filtrage par paquets) effectue une vérification des données stockées dans les paquets IP. Toutefois, le firewall, quelle que soit sa performance n'est jamais un rempart infranchissable.
D'autre part, pour utiliser le réseau en ayant l'esprit tranquille mieux vaut posséder un antivirus performant. En effet, de nombreux cyberbandits utilisent maintenant l'Internet afin de diffuser des virus informatiques. Ces derniers temps, le virus Mélissa a ainsi défrayé la chronique car il se diffusait de manière exponentielle par l'intermédiaire du net. Mélissa une fois introduite dans votre ordinateur envoie à 50 adresses tirées de votre liste de diffusion un courrier électronique contenant une liste de sites pornographiques et...un exemplaire de Mélissa. Cela étant,
un antivirus, aussi performant soit-il, ne vous protège jamais
complètement : le propre des créateurs de virus étant
d'avoir toujours une longueur d'avance sur ceux qui cherchent à
les contrecarrer
Si vous voulez restreindre l'accès au réseau afin que vos enfants, vos employés, vos étudiants ou même à plus grande échelle vos concitoyens ne puissent accéder à certains sites jugés dangereux en raison de leur contenu ( sites à caractère pornographique, raciste...) ou de leur activité ( casinos virtuels, sites vendant des armes...) il existe plusieurs solutions. L'une d'entre elles consiste à installer un "proxy". Un proxy est un intermédiaire installé entre vous et le réseau, il enregistre les adresses que vous demandez, ainsi il peut augmenter la vitesse d'accès à certains sites que vous consultez souvent. Mais, vous pouvez aussi vous en servir comme d'un filtre en le configurant de façon à interdire l'accès à certaines adresses, donc à certains sites. Il existe aussi un certain nombre de logiciels ( CyberPatrol, CyberNanny, SurfWatch...) ou de systèmes ( Platform for Internet Content Selection...)dont le but est dès le départ d'agir comme des filtres par mots clefs ou par listes d'adresses.
Malgré tous les efforts des concepteurs de ce type de systèmes, les pirates experts en informatique ont toujours une longueur d'avance. Ils ne peuvent donc garantir une sécurité totale. En outre, tous ces systèmes ne s'attaquent pas à d'autres aspects de la cybercriminalité tels que le blanchiment d'argent par l'intermédiaire du Net ou les casinos virtuels. Il faut donc mettre
en place des moyens de répression policière et juridiques
contre la cybercriminalité.
La fugacité et la déterritorialisation des contenus, la nouveauté du médium, l'apparent anonymat, l'absence d'expériences...rendent la tâche du législateur et des gardiens de la loi bien difficile. Cependant, Internet n'est pas, contrairement à ce que l'on pourrait penser, un espace vierge, hors-la-loi, où tout criminel peut exercer son métier sans risquer d'être interpellé et d'encourir une sanction. D'abord, la juridiction traditionnelle s'applique au réseau, Internet ne rencontre donc pas un vide juridique mais se pose la question de l'adaptation et de l'interprétation du Droit face à ce nouveau moyen spécifique de communication. Ensuite, se sont mises en place peu à peu des instances spécialisées dans la répression de la cybercriminalité .
Il n'existe pas de législation véritablement propre à Internet. Internet est conçu comme un moyen de commettre des infractions et non comme un domaine spécifique requérant une législation propre.cf. site du CNRS sur Internet et la Législation . Le cybercrime n'est donc pas une catégorie juridique à proprement parler, seules existent les notions de criminalité et de délinquance informatique qui sont beaucoup plus restreintes . Ainsi, tout crime ou délit commis par le biais de l'Internet relève des domaines de juridiction classiques. Le législateur n'est donc pas sans moyen face aux infractions commises sur et par le réseau, car elles n'échappent pas à la loi. Cependant, le problème est que parfois l'interprétation de la loi s'avère difficile face aux cas soulevés par la cybercriminalité. Les principales questions ( sans que cette liste ne soit bien entendu exhaustive) sont : La protection des données : Jusqu'où peut-on autoriser le cryptage des données sans pour autant favoriser par la même le développement de la cybercriminalité ? Où placer la limite entre contrôle nécessaire des contenus et intrusion dans la vie privée : dans quelle mesure par exemple les fournisseur d'accès peuvent ils révéler les adresses de leurs abonnés ? Les droits d'auteurs Quel droit de propriété intellectuelle doit-on appliquer pour Internet ? Quel modèle celui du copyright ou celui justement du droit d'auteur doit prévaloir ? La responsabilité des contenus : Qui est responsable des contenus diffusés : le fournisseur d'accès ou le créateur du site? Dans ce cas précis, en France pour l'instant, la tendance est plutôt à l'application de ce qui prévaut pour la presse, malgré les déclarations du ministre des Postes et des télécommunications M. François Fillon cf. le vendredi 10 mai 1996 "on ne saurait tenir un transporteur d'informations responsable des informations qu'il transporte". Tout comme le rédacteur en chef est responsable du contenu de ce qu'il publie, celui qui héberge le site fautif l'est aussi. La deterritorialisation : De quel droit relève un cybercriminel ? Du droit du pays dont il est le ressortissant ou du droit du pays où il édite son site ? Avec l'extension du réseau et des problèmes qu'il pose, il devient de plus en plus évident qu'un coopération internationale en matière de droit est nécessaire, par exemple en ce qui concerne l'attribution des noms de domaines. A ce propos, on peut lire la proposition française présentée à l'OCDE en octobre 1996 pour une charte de coopération internationale sur l'Internet. La liberté d'expression : Comment distinguer ce qui participe de la liberté d'expression sur l'Internet de la diffamation, de l'incitation à la violence etc ?
S'il n'existe donc pas de vide juridique à proprement parler concernant tout ce qui relève de l'espace du Net, on constate malgré tout qu'il y a quelques difficultés pour y transposer le droit courant. Par conséquent, il s'est donc crée un certain nombre de commissions et même d'initiatives privées pour pallier cette difficulté de transposition. Entre autres, on peut consulter les propositions du Comité de coordination des serveurs Web du CNRS, du groupe rassemblant l'ensemble des professionnels sous la conduite d'Antoine Beaussant président du Geste (groupement des éditeurs de services télématiques), une mission sur les aspects juridiques et fiscaux est confiée à Patrice Martin-Lalande, député... De plus, outre les problèmes graves de cybercriminalité, il est nécessaire de mettre en place un code de bonne conduite régissant les diverses pratiques sur le Net. Si la Netiquette a pu jouer ce rôle pendant un certain temps, il apparaît aujourd'hui important de la renforcer par des dispositions plus contraignantes. Ainsi, le groupe de travail d'A; Beaussant a mis au point un code de bonne conduite, il est disponible sur www.planete.net/code-internet , crée en 1997, chacun est invité à l'amender.
Face au développement de la cybercriminalité, se sont peu à peu mises en place des institutions spécialisées. La D.S.T. dispose la première depuis les années 80 d'une " section informatique ". En 1994 la police judiciaire parisienne s'est doté d'un service d'enquêtes sur les fraudes aux technologies de l'information (SEFTI), composé d'une vingtaine de policiers, qui s'occupent surtout des usages frauduleux des télécommunications. La même année, une brigade centrale de répression de la criminalité informatique (BCRCI) a vu le jour à la direction centrale de la police judiciaire (PJ). Depuis septembre 1997, le ministère français de l'intérieur a mis en place un service spécial, la " cellule Internet " au sein de la direction générale de la police nationale (PN). Une douzaine de policiers spécialisés y travaillent. Ils sont issus à la fois des directions centrales de la police judiciaire, des renseignements généraux (R.G.) et de la surveillance du territoire . Les débuts
sont relativement prometteurs : quatre cent vingt-quatre procédures
ont été diligentées en 1997 contre cent soixante
et une en 1996. En outre, les effectifs et les moyens mis en oeuvre sont encore nettement trop faibles. Les policiers spécialisés sont en général une douzaine dans chacun des dits services.
On l'a vu, aussi bien les "amateurs" échangeant des photographies en circuit fermé que les "professionnels" organisant de véritables trafics ( de photographies mais aussi parfois d'enfants) ont trouvé avec Internet un système de communication d’une efficacité redoutable. IL permet à un coût dérisoire, rapidement et anonymement de diffuser des images ( fixes ou vidéos), d’organiser des forums, d'entrer en contact avec des filières organisant du trafic d'enfants. Le principal problème est que cet outil performant et évolutif se joue des frontières et par la même des législations. En effet, les justices nationales, seules habilitées à poursuivre les criminels, se heurtent à des réseaux internationaux. Or, une justice nationale n'a pas le droit d'engager une action extra territoriale, sauf si elle demande une commission rogatoire internationale extrêmement difficile à obtenir. Concrètement les justices nationales sont impuissantes face à des réseaux internationaux de pédophiles. Les réseaux pédophiles grâce au Net échappent ainsi à toute interdiction.
Mais, devant ce problème croissant du développement de la pédophilie sur Internet, les polices et les organisations défendant les droits de l'enfant ont mis au point des moyens alternatifs pour traquer les pédophiles en contournant ce problème majeur de la commission rogatoire. En effet, en coordonnant leurs efforts par l'intermédiaire d'Interpol ( Organisation Internationale de Police Criminelle), les différentes polices peuvent arrêter des criminels qui ne relèvent pas de leur justice nationale et les remettre en suite au pays concerné.Ainsi, en 1992 Interpol a organisé le premier colloque mondial sur la lutte contre la pédophilie. A la suite de ce colloque a été ouvert un groupe de travail permanent sur les réseaux pédophiles. Le résultat de ses enquêtes a permis de procéder le 2 septembre 1998 à l'opération . "Cathédrale". Elle a mis fin au réseau "Wonderland" et a conduit à plus de 120 mises en examen dans 12 pays de la Grande Bretagne, à l'Autriche en passant par l'Australie ( en France, 4 suspects ont été interpellés). Ce résultat spectaculaire est le fruit de la coopération des différentes polices entre elles et aussi de l'aide de l'UNESCO et d'autres organisations non gouvernementales. La réussite de cette collaboration a ouvert la voie à de nombreux projets très novateurs qui préfigurent quelle pourrait être la marche à suivre en matière de cybercriminalité.
La création de services de police spécialisés Grâce à l'opération "Cathédrale" les différents gouvernements ont pris conscience de l'importance de créer des brigades de police spécialisées dans la "cybertraque". Ainsi, en France a été créée la "cellule Internet" en 1997 regroupant au sein de la police nationale, des policiers spécialisés de la Police Judiciaire, des Renseignements Généraux et de la Direction de la Sûreté du Territoire. La Belgique s’est doté, en décembre 1996, d’un département de la police judiciaire, la National Computer Crime Unit (NCCU), basé à Bruxelles. En Allemagne, à Munich, un Office central de lutte contre la pornographie enfantine sur l’Internet doit voir le jour prochainement. Mais ces cellules ne sont composées la plupart du temps que d'une dizaine de personnes et bien que celles-ci soient spécialisées dans l'informatique cela ne suffit pas pour mener à bien toutes les opérations de lutte contre la pédophilie sur Internet et a fortiori de lutte contre la cybercriminalité tout court. Une collaboration entre les différentes polices approfondie L'opération "Cathédrale" n'a été rendue possible qu'en raison de l'étroite collaboration des différentes polices nationales de tous les pays concernés sous l'égide d'Interpol et de la National Crime Squad britannique. Il est donc évident qu'en matière de cybercriminalité la collaboration des diverses polices, déjà utile auparavant, est aujourd'hui plus que jamais nécessaire. A ce jour, 162 pays sont connectés à l'énorme messagerie électronique d'Interpol. Tous ont accès à une banque de données sans équivalent, qui permet d'avoir tous les détails concernant quelque 166 000 criminels de tous types. A l'avenir, ces 162 pays sont amenés à coopérer de plus en plus comme le montre la réunion qui s'est tenue à Munich en septembre 1998 réunissant des représentants de toutes les polices, afin de mener une meilleure coordination des efforts dans la lutte contre la pédophilie impliquant des enfants sur Internet. La collaboration entre ONG et polices Le lien entre ONG et polices est un point intéressant dans la lutte contre la pédophilie, mais qui pourrait concerner aussi d'autres secteurs. L' UNESCO et l'UNICEFapparaîssent
comme les leaders dans la lutte contre la pédophilie. Ces organismes
internationaux sont les garants de la Convention internationale relative
aux droits de l'enfant qui fait force de loi pour les 191 états
signataires ( les USA font partie des pays qui n'ont pas signé)
et réprouve l'exploitation sexuelle des enfants dans son article
34. Ils multiplient donc les campagnes de sensibilisation au problème.
L'UNICEF en collaboration avec Interpol a organisé en 1996 un congrès
mondial visant à mettre au point un plan d'action globale d'ici
à l'an 2000. La mise en place de nouveaux moyens techniques La lutte contre la pédophilie sur Internet a suscité la création de nouveaux moyens d'investigation qui pourraient servir de modèles. On vient de voir l'initiative de l'ECPAT. La Belgique et l'Allemagne ont mis en place des sites officiels d'alerte où on peut dénoncer des pratiques pédophiles sur le Net. La Belgique, en pointe dans ce secteur, a mis au point in logiciel nommé "Robot Cops" capable de retrouver la trace des conversations ayant trait à la pédophilie au sein des newsgroups. La création d'une librairie électronique à la disposition des polices, recensant toutes les images pornographiques d'enfants proposées sur Internet, a été annoncée à Londres début 1999. A terme, l'UNESCO réclame la mise en place d'une banque de données générales internationale, demande que les fournisseurs d'accès mettent en place des systèmes filtrants par mots clefs et que l'on puisse utiliser de manière généralisée des logiciels neutralisant les photographies à caractère pédophile. L'ébauche d'une législation internationale Le principal obstacle à une coordination plus poussée dans la lutte contre la pédophilie réside dans le manque d'homogénéité des législations nationales à ce sujet. Au Canada, il est illicite de posséder une simple photographie à caractère pédophile, par contre au Japon il n'existe aucune législation et aux États-Unis, le premier amendement constitue un grande barrière à l'application de la loi. L'UNESCO préconise de partir de la Convention internationale relative aux droits de l'enfant. En effet, cette Convention vaut force de loi pour les différents états qui l'ont signé. On peut donc imaginer que ce texte, précisé dans son contenu, puisse servir de base à la création d'une loi internationale contre la pédophilie. L'UNESCO veut donc organiser une réunion internationale des gouvernements dans ce but d'harmonisation des lois. Source:
La Cybercriminalité
ou le monde des nouveaux pirates |