Ronald Prins: ‘Les pirates djihadistes ne sont pas arriérés, mais peuvent aller loin au contraire’

A présent que tout est connecté à internet, nous sommes toujours davantage sous la menace d’une guerre numérique, selon Ronald Prins, fondateur de l’entreprise de cyber-sécurité Fox-IT. ‘Internet prend une autre dimension, ce qui fait que pour certaines personnes, il s’avère aussi intéressant d’y appliquer leur art’, déclare l’expert en sécurité, qui peut compter des services de renseignements et différentes multinationales au nombre de ses clients.

L’entreprise néerlandaise Fox-IT est surtout connue en Belgique comme étant la firme à qui Belgacom a en son temps demandé de l’aide après avoir été piratée par le service de renseignements britannique GCHQ. Comme Belgacom connaissait des problèmes avec un certain nombre de ses serveurs ne fonctionnant pas bien, elle avait fait appel à Fox-IT qui avait analysé l’affaire. Aux Pays-Bas, l’entreprise veille notamment à ce que les secrets d’Etat ne tombent pas entre des mains indélicates. ‘Nos clients sont surtout des entreprises, mais c’est notre travail pour les pouvoirs publics qui est le plus connu’, explique Ronald Prins, co-fondateur et Chief Technology Officer. ‘Ce n’est pas là que nous gagnons notre argent.’ En dehors de ce qui s’est passé avec Belgacom, il ne souhaite pas parler de ses clients. ‘Nous préfèrons la discrétion. A propos de Belgacom, il en va autrement car l’opérateur a lui-même révélé avoir fait appel à nous, mais nous avons bien d’autres clients en Belgique’, ajoute le nerd le plus puissant des Pays-Bas.

Peu après les attentats terroristes, comme à Bruxelles, le monde politique a souvent appelé à étendre les compétences des services de renseignements. Est-ce sensé?

Dans le cas des attentats de Bruxelles, cela n’avait aucun sens car cela avait davantage à voir avec l’échange de données avec des pays comme la Turquie. Mais aux Pays-Bas, le débat fait rage à présent quant à savoir si les services de renseignements peuvent procéder à du piratage. Je pense qu’il est important qu’ils puissent le faire car il devient toujours plus malaisé de tirer des données sensées d’internet. Le piratage devient donc essentiel. Si l’on ne peut plus accéder aux données de manière passive, parce qu’elles sont cryptées, il s’agira de le faire de manière active.

Que pensez-vous du principe du respect de la vie privée du citoyen, qui est violé en collectant des données en vrac?

Les services de renseignements estiment eux-mêmes que plus de données augmentent la masse des meules de foin, à tel point qu’il devient plus difficile encore d’y retrouver des épingles. Mais ils ont alors besoin d’une sorte de fonction d’entonnoir. Pour l’expliquer en d’autres mots, si quelqu’un communique avec Facebook Messenger, qui n’est pas très bien sécurisé, via son réseau 4G, on peut encore le mettre sur écoute. Mais s’il se trouve chez McDonald’s et utilise le wifi, là c’en est fini. Ce que les services de renseignements veulent à présent, c’est pouvoir espionner aussi les McDonald’s et zoomer sur telle ou telle personne. L’on obtient alors d’abord toutes les données des gens dans le restaurant, mais l’entonnoir permet ensuite de cibler une personne en particulier.

Il y a alors l’angoisse qu’un service de renseignements mette la main sur tout.

Je comprends cette crainte. Il est par conséquent utile que les services eux-mêmes expliquent comment se présente la problématique. Du point de vue historique, c’est très compliqué car ces services doivent alors lever un coin du voile sur leur fonctionnement. Et cela pourrait servir à des personnes mal intentionnées, mais je pense que l’on retrouve déjà tellement d’informations dans la rue – notamment dévoilées par Edward Snowden – que ces arguments ne comptent plus trop. En choisissant la non-transparence et en ne divulguant pas le pourquoi de vos actions, vous vous mettez vous-même au banc de la société.

La semaine dernière, le service de messagerie WhatsApp a amélioré le cryptage. Qu’est-ce que cela signifie?

Pour l’utilisateur, il y aura un petit peu de retard lors de nouvelles connexions. Si vous parlez pour la première fois avec quelqu’un, il faut en effet d’abord un échange-clé. L’on n’en remarque quasiment rien, sauf le fait que l’autre doit laisser son téléphone quelque peu activé.

Pour les connexions européennes, cela ne changera en fait pas grand-chose car elles étaient déjà cryptées, mais pas encore bout à bout. Cela signifie qu’un message est crypté dans mon appareil, avant d’être décrypté dans le vôtre. Cela n’est lisible nulle part ailleurs, même pas chez WhatsApp. C’est un grand changement car c’était possible avant. Les services de renseignements américains pouvaient par conséquent demander des données d’utilisateurs chez WhatsApp.

Cela va-t-il donc poser un gros problème aux services de renseignements américains?

Oui, et c’est très important car l’on a partout l’image que les terroristes font de leur mieux pour se dissimuler en utilisant par exemple tous des applis de cryptage, mais j’ai le sentiment que cela est encore acceptable. Ils recourent à des techniques normales, mais le fait est que les services de renseignements ont à présent le problème que tout cela est aussi crypté. Le cryptage bout à bout existait depuis longtemps déjà dans les applis de chat telles Signal ou Telegram, mais il était utilisé par des nerds qui aimaient cela, et pas tellement par des personnes qui veulent vraiment se dissimuler.

Vous avez récemment parlé à la radio de la guerre numérique. En Belgique, on craint que des centrales nucléaires puissent être attaquées. Est-ce fondé?

C’est en tout cas possible. En Iran, une installation nucléaire a bien été piratée par les Etats-Unis et Israël. Il s’agissait plutôt d’une usine d’enrichissement et pas d’une centrale en tant que telle, mais les pirates ont quand même réussi à faire tourner plus vite les centrifugeuses, au point de les rendre inutilisables. Cet incident indique bien qu’il existe sur le plan nucléaire ou ailleurs suffisamment de possibilités d’abus via internet. Tout y connecté, et cela peut donc provoquer des situations sociales déstabilisantes.

Internet prend une autre forme, ce qui fait qu’il devient intéressant aussi pour certains acteurs d’y appliquer leur art. Voilà pourquoi, on voit que beaucoup de pays sont en train de se constituer une cyber-capacité. Nous avons aussi constaté que les pirates djihadistes ne sont pas arriérés et qu’ils peuvent vraiment aller loin. La combinaison des points faibles qui existent et exercent un impact sur la vie des gens, et du désir d’agir de la part de personnes mal intentionnées, me fait dire que quelque chose pourrait se produire. Que ce soit dans le domaine nucléaire en Belgique ou à une autre échelle, je ne le sais pas.

Est-il réaliste qu’une organisation telle l’IS y soit impliquée, ou la menace est-elle plus grande entre pays?

Je pense que des pays comme l’Iran espionnent principalement d’autres états pour voir quelles sont les possibilités. Nous n’en avons pas vu d’effets, mais l’on observe que les services de renseignements se livrent à des exercices.

Lorsqu’il s’agit d’organisations terroristes, l’on en voit les conséquences. En France, TV5Monde par exemple a été piraté. L’on observe que le piratage d’appareils connectés à internet peut avoir des effets. Si l’on voit apparaître à la télévision des drapeaux noirs avec des combattants en rangs serrés, cela peut faire peur à la population, ce qui n’est pas bon.

La coupure de l’alimentation d’une ville par exemple ne s’avérerait-elle pas nettement plus intéressante que placer une bombe physique dans un aéroport?

Je ne suis pas un expert en matière de terrorisme, mais peut-être ne trouvent-ils cela pas du tout intéressant. C’est certes très ennuyeux, mais cela ne va pas tuer directement des personnes. Ouvrir plusieurs écluses en même temps afin d’inonder les polders chez nous aux Pays-Bas et de forcer les habitants à évacuer, voilà qui pourrait peut-être inquiéter fortement les gens. J’en ai d’autres en tête, de ces scénarios, mais je les garde pour moi.

Quasiment toutes les entreprises et organisations sont connectées à internet, mais elles ne sont pas toujours bien protégées. Que peut-on faire?

En tant que citoyen, l’on a passé un certain contrat avec l’Etat: en tant que citoyen, vous ne pouvez en effet pas vous protéger vous-même. C’est l’Etat qui doit le faire pour vous. Je ne possède pas d’arme, au contraire de la police – et je l’accepte -, mais je n’en vois pas la traduction numérique. Si un avion russe survole la Pologne, des F16 décollent aussitôt, mais si cela se passe dans le monde numérique, personne ne réagit.

Des entreprises privées s’occupent en grande partie de leur propre sécurité en ligne, mais ce n’est pas leur activité de base. Une entreprise énergétique est spécialisée en alimentation électrique, mais n’a pas l’expertise pour découvrir si des pirates russes n’ont pas infiltré leur réseau. Pour mener tout cela a bien, il faut de l’argent. J’observe que la Grande-Bretagne, la France et l’Allemagne y injectent des milliards, mais ici, cela ne se fait pas encore suffisamment. Les services de renseignements doivent mieux écumer internet pour y rechercher des activités d’Etat, dont l’infrastructure laisse à désirer.