Aperçu N° 11

Opérations d'information

Révisé février 2004

Introduction

L'arrivée de l'ordinateur personnel, en 1980, a transformé la façon dont les entreprises des secteurs privé et public poursuivent leurs activités et offrent des services au public en général. Depuis, des millions d'ordinateurs et des milliers de réseaux distincts du monde entier ont été reliés et forment maintenant un immense réseau mondial de réseaux. Au cours des dernières années, le nombre d'utilisateurs d'Internet a plus que doublé à tous les ans, pour atteindre un total d'environ 40 millions d'utilisateurs dans le monde, répartis dans presque tous les pays. Le nombres de systèmes informatiques reliés entre eux ne cesse de croître : un nouveau réseau se branche à Internet toutes les demi-heures. Selon un rapport du Computer Industry Almanac, près de 43 pour 100 des Canadiens utilisent Internet, ce qui fait du Canada le chef de file mondial en matière d'utilisation du réseau.

La dépendance grandissante des gouvernements, des institutions, des commerces, des groupes et des individus par rapport aux communications informatisées et aux technologies de l'information fait en sorte que la définition de ce qui constitue une menace à « l'ère de l'information » est en évolution constante. Il n'est plus nécessaire pour les « intervenants malveillants » (individus, groupes extrémistes, groupes terroristes, services de renseignements et forces armées ennemies) d'avoir directement accès à un ordinateur pour pouvoir copier, détruire ou altérer les données qu'il contient. Une fois qu'ils sont parvenus, à distance, à s'infiltrer illégalement dans un système informatique, que ce soit au moyen d'Internet ou d'un téléphone et d'un modem, les malfaiteurs peuvent utiliser tout un éventail de techniques et d'outils logiciels pour l'exploiter. La plupart des lois et des mesures de protection actuelles, qui visent à neutraliser les attaques contre les systèmes et les données névralgiques, font maintenant l'objet de révisions et de mises à jour (si cela n'a pas déjà été fait) pour permettre de lutter efficacement contre un nouveau type de menace informatique que l'on appelle les opérations d'information (OI).

Haut

Opérations d'information

Les OI prennent leur source dans la guerre de l'information (GI), qui se définit comme étant les opérations physiques et informatiques menées par des forces militaires dans le but d'empêcher l'acheminement et la viabilité des informations nécessaires aux décideurs d'un ennemi, tout en protégeant leurs propres informations et leurs propres systèmes. L'expression « opérations d'information » (OI) est utilisée pour décrire l'utilisation d'outils et de techniques propres à la GI, non seulement en temps de guerre mais en tout temps. La définition a évolué afin d'exprimer la nécessité, pour un pays, de protéger son infrastructure essentielle de l'information (IEI) afin de veiller à la sécurité nationale. Les huit secteurs essentiels d'un pays sont les suivants : le transport, le pétrole et le gaz naturel, l'eau, les services d'urgence, la continuité des services gouvernementaux, l'activité bancaire et financière, l'électricité et les télécommunications.

Les OI découlent d'une doctrine militaire axée sur l'utilisation de mesures propres à la guerre électronique pour atténuer les capacités des adversaires sur le champ de bataille. Les opérations menées pendant la campagne Tempête du désert ont montré que le progrès technologique avait donné aux militaires des outils et des techniques informatiques capables d'endommager non seulement les systèmes gouvernementaux, mais encore ceux du secteur privé.

Dans le domaine des OI, nul n'est à l'abri des attaques et les frontières n'ont plus la moindre importance, car ces opérations peuvent être menées en tout temps, contre le secteur public comme le secteur privé. Toutes les autres « cyberactivités » (cybercrime, cyberterrorisme, cyberguerre, « netspionnage », cyberactivisme, etc.) sont des sous-produits des OI. Toutefois, la plupart des discussions au sujet de l'utilisation d'outils et de techniques informatiques dans le contexte des OI se concentrent maintenant sur la protection des informations et des systèmes et réseaux informatiques contre les intrusions et les attaques.

Haut

La menace

Les OI peuvent servir à attaquer les systèmes d'information nationaux n'importe où dans le monde en utilisant du matériel et des logiciels peu coûteux. L'altération du fonctionnement d'un système informatique donné peut avoir des répercussions sociales, politiques et économiques importantes qui auront une incidence grave sur la sécurité nationale. Bien que des mesures de sécurité soient mises en oeuvre pour protéger ces systèmes, les pirates travaillent constamment à la création d'outils informatiques capables de les contourner et il est maintenant facile de se les procurer sur Internet. Le nombre d'intrusions dans les systèmes informatiques est à la hausse et les outils utilisés pour exploiter la vulnérabilité des systèmes deviennent de plus en plus sophistiqués. Bien que le nombre d'intrusions signalées soit minime, certains indices donnent à penser que le nombre d'incidents et la vulnérabilité doublent tous les six mois environ. Selon des statistiques publiées en 2000 par la Computer Emergency Response Team (CERT) (l'équipe d'intervention en cas d'urgence informatique) à l'université Carnegie Mellon à Pittsburg, 1 334 incidents liés à la sécurité informatique ont été signalés dans le monde entier en 1993 (comparativement à 9 859 en 1999). De plus, au cours des trois premiers trimestres de 2000, le nombre d'incidents est déjà passé à 15 167.

Plus les systèmes et les réseaux informatiques sont liés à un grand nombre de réseaux externes (comme Internet), plus la menace d'intrusions non autorisées est grande. Ces liens rendent les systèmes plus vulnérables et plus susceptibles, pour de multiples raisons, d'être la cible de groupes malveillants qui utilisent des logiciels pernicieux (virus, cheval de Troie, ver) dans Internet. De plus, des attaques matérielles - par exemple couper les câbles d'alimentation ou détruire le matériel qui constitue la base de l'infrastructure de l'information - équivalent à des attaques de déni de service matérielles. Ce type d'attaque empêche les utilisateurs autorisés d'avoir accès aux systèmes d'information et aux données qu'ils contiennent. N'importe lequel des groupes malveillants peut s'en prendre aux points vulnérables de l'infrastructure en ayant recours à des moyens matériels ou logiciels. Par conséquent, beaucoup de groupes malveillants sont de plus en plus habiles à mener des OI, sous forme matérielle ou non, et peuvent donc représenter une menace pour la sécurité des Canadiens et la sécurité nationale du Canada.

La menace est d'autant plus réelle que sur la scène internationale, la domination des réseaux d'informations fera l'objet d'une concurrence de plus en plus féroce dans le domaine des affaires internationales. La terminologie utilisée lors des discussions qui ont eu lieu aux Nations Unies sur la prolifération des outils des IO est celle de la prolifération des armes. Le discours a évolué. Par armes de destruction massive, on entend maintenant les outils des OI ainsi que les armes de corruption massive. En raison de la dépendance croissante des pays par rapport aux réseaux d'information, les infrastructures essentielles sont des cibles parfaites pour des attaques. Dans cet ordre d'idée, de nombreux pays ont lancé des programmes de mise au point des technologies d'OI. Selon des rapports de l'armée américaine et du Congrès, la Russie, la Chine, l'Inde et Cuba ont reconnu qu'ils se préparent à la cyberguerre et qu'ils travaillent activement à la création d'outils liés aux OI. Quant à la Corée du Nord, la Libye, l'Iran, l'Irak et la Syrie, ils ont ce qu'il faut pour mener des OI. Même si de nombreux pays sont en train d'améliorer leurs capacités en matière d'OI, peu sont en mesure d'intégrer les différents outils d'OI pour lancer une attaque concertée capable de paralyser l'infrastructure d'un pays. Toutefois, certains pays pourraient y parvenir d'ici une dizaine d'années.

Haut

Sécurité des systèmes et des données

La conception d'outils et de techniques servant aux OI progresse au même rythme que la technologie dans l'industrie des communications et de l'informatique. La possibilité de communiquer et de se brancher à des réseaux planétaires presque instantanément comporte des avantages mais rend également les systèmes plus vulnérables.

Victimes d'intrusions qui ont provoqué la perte d'informations sensibles, les gouvernements et les entreprises du monde entier ont tenté de mettre en oeuvre des mesures de sécurité afin de protéger à la fois les systèmes et les données. Malheureusement, ces mesures de sécurité deviennent vite désuètes. Selon des enquêtes et des évaluations portant sur les intrusions dans les systèmes informatiques menées par des entreprises de sécurité du secteur privé et par des ministères du monde entier, un grand nombre de mesures de sécurité et d'outils de surveillance, qu'on trouve pour la plupart sur le marché, sont inefficaces ou mal utilisés. De nombreuses enquêtes ont été menées aux États-Unis et au Royaume-Uni : l'une d'entre elles a montré que plus de 80 % des répondants n'utilisaient pas de murs coupe-feu ni d'autres mesures de sécurité pour protéger leurs systèmes et leurs données. Une autre enquête a révélé que jusqu'à 93 % des répondants étaient vulnérables à des attaques élémentaires, même s'ils étaient équipés de murs coupe-feu.

Comme de plus en plus de personnes, d'entreprises et de ministères dépendent des communications informatisées et de l'exploitation de réseaux, la configuration des réseaux informatiques et des systèmes d'exploitation devient de plus en plus complexe, ce qui les rend vulnérables. Les phénomènes naturels (comme les tempêtes), l'évolution des processus liés aux réseaux et les outils d'OI pourraient mettre à rude épreuve les points faibles des systèmes et causer des pannes susceptibles d'avoir des conséquences graves, à court et à long terme, sur le bon fonctionnement du gouvernement et du secteur privé. Par exemple, pendant la tempête de verglas de 1998 qui a frappé le Québec et l'est de l'Ontario, la destruction de l'infrastructure essentielle d'acheminement de l'électricité a paralysé des services-clés comme l'approvisionnement en eau, les services financiers, les télécommunications et les transports, ce qui a eu des conséquences dévastatrices pour certains Canadiens.

Haut

Exemples d'opérations d'information

L'expérience de départements du gouvernement américain nous offre de nombreux exemples d'activités liées aux OI et nous donne une idée de la façon de contrer les intrusions et l'exploitation des systèmes. Ces incidents ont été relatés dans les discours prononcés devant les comités du Sénat et du Congrès et dans des documents produits par le General Accounting Office.

Les organisations extrémistes, les groupes criminels et les gouvernements acquièrent des compétences dans le domaine des OI et pourraient représenter une menace pour divers systèmes s'ils possèdent les techniques et les outils appropriés pour exploiter les points faibles de ces derniers et s'ils y tiennent vraiment. Les témoignages qui ont eu lieu pendant les audiences de comités du gouvernement des États-Unis ont révélé qu'un nombre croissant de pays ont ou travaillent à mettre au point des programmes offensifs d'OI. De plus, certaines données indiquent qu'un nombre croissant de groupes extrémistes et de services de renseignements acquièrent des compétences dans la conception et l'utilisation des outils et de techniques d'OI. Il se peut qu'un certain nombre de ces groupes malveillants ait l'intention d'utiliser les outils d'OI pour atteindre des objectifs précis.

Les médias ont récemment annoncé que des pirates s'étaient introduits facilement dans les réseaux militaires protégés des États-Unis à l'aide d'outils logiciels de base. En effet, le gouvernement des États-Unis a récemment organisé un exercice (Eligible Receiver) qui a montré que les outils logiciels qu'il est possible de se procurer sur des sites Internet de pirates informatiques peuvent non seulement nuire aux opérations du gouvernement, mais encore menacer son infrastructure essentielle.

En avril 1998, des pirates appartenant au groupe « Masters of Downloading » (MOD), association qui compte des membres aux quatre coins du monde, ont affirmé qu'ils s'étaient introduits par effraction dans les systèmes informatiques classifiés de la NASA et du département de la Défense, car ils avaient trouvé le moyen d'y avoir accès impunément et de contrôler les satellites militaires et d'autres systèmes. Comme les MOD comptent au moins deux Russes parmi leurs rangs, les experts en informatique ont jugé ce groupe plus secret, plus prudent, plus astucieux (et donc plus dangereux) qu'Analyzer. Les MOD ont menacé de vendre des informations sur les systèmes américains à des groupes terroristes ou à des gouvernements étrangers. Ils utiliseraient un système élaboré de mots de passe pour communiquer et ne laisseraient aucun indice en faisant passer les messages par une variété de systèmes informatiques aux quatre coins du monde. Jusqu'ici, les déclarations des MOD n'ont pas été corroborées publiquement.

En février 2000, les infrastructures nationales ont été perturbées par un virus et une attaque décentralisée de déni de service. Ces attaques, axées sur un certain nombre d'entreprises très présentes sur Internet, ont causé, selon les estimations, des dommages de l'ordre de milliards de dollars. Par la suite, la propagation planétaire du virus « I Love You » a eu un effet encore plus grave sur les systèmes et les réseaux. Le phénomène est en partie attribuable au choix de la phrase « I Love You » qui était le sujet du courriel et qui n'était en fait qu'une ruse bien pensée visant à inciter le plus de gens possible à ouvrir la pièce jointe infectée et à contaminer leur système informatique. L'attaque décentralisée de déni de service de février 2000 prouve que lorsque les pirates arrivent à parasiter un certain nombre d'ordinateurs, ils pourraient aller plus loin et utiliser tous les appareils de concert pour concentrer les attaques sur une ou plusieurs cibles.

Des tensions politiques ont été à l'origine de duels de piratage entre groupes de pirates dans divers pays. En 1999, les pirates du Japon et de la Chine se sont livrés bataille en raison de la question du massacre de Nankin; ceux de la Chine et de Taïwan ont fait de même, et les pirates de l'Inde et du Pakistan se sont fait la guerre au sujet du Cachemire. En 2000, les Arméniens ont mis de fausses informations dans un quotidien d’Azerbaïdjan, le Zerkalo, et les tensions actuelles entre Israël et les Palestiniens ont amené les partisans de chaque camp à lancer une guerre de piratage. Les partisans de la Palestine ont été jusqu'à prendre pour cible des entreprises et une organisation favorables aux Israéliens en Amérique du Nord.

Haut

Protection de l’infrastructure essentielle du Canada

Le rapport du Comité spécial du Sénat sur la sécurité et les services de renseignement, publié en 1999, traite de la question de la protection de l'infrastructure essentielle du Canada. Il s'agit des systèmes matériels et informatiques qui sont essentiels au fonctionnement au jour le jour de l'économie et du gouvernement. Il n'y a pas si longtemps encore, les éléments de cette infrastructure essentielle étaient situés à des endroits différents. Mais peu à peu les besoins ont changé et les éléments ont été reliés, puis ils sont devenus plus interdépendants. Les progrès de l'informatique et des communications ont présidé à une informatisation accrue des systèmes essentiels. Selon le rapport, la croissance de l'infrastructure essentielle, sa complexité et notre dépendance accrue en fait une cible possible pour le terrorisme, qu'il soit matériel ou informatique. Dans ses recommandations, le Comité suggère que le gouvernement prenne des mesures pour protéger l'infrastructure essentielle et pour veiller aux points suivants :

• concevoir des politiques et dégager des ressources pour contrer n'importe quelle attaque;
• pouvoir évaluer les points faibles de l'infrastructure, la renforcer et prévenir les attaques matérielles ou informatiques, ou encore y riposter;
• créer un partenariat entre les secteurs public et privé pour protéger l'infrastructure essentielle;
• veiller à ce que le Plan national de lutte contre le terrorisme soit régulièrement évalué et mis à jour, tout particulièrement en ce qui concerne l'incidence des nouvelles technologies susceptibles d'être utilisées par les terroristes.

En réponse à ces recommandations, le gouvernement canadien a créé le Bureau de protection des infrastructures essentielles et de la protection civile. Le rôle de cet organisme est de travailler en étroite collaboration avec les provinces et les municipalités, le secteur privé et divers pays afin de protéger l'infrastructure électronique canadienne contre les cyberattaques et les désastres naturels. En 2003, l'organisme a été amalgamé au ministère de la Sécurité publique et de la Protection civile.

De plus, chaque ministère et organisme du gouvernement fédéral met en oeuvre des politiques et des procédures en matière de technologies de l'information (TI). Le Centre de la sécurité des télécommunications (CST) conseille le gouvernement fédéral sur la sécurité de ses systèmes informatiques.

Haut

Le rôle du SCRS

Le programme des Opérations d'information du SCRS a été lancé en 1997. Comme toutes les enquêtes du SCRS, le programme s'appuie sur la Loi sur le SCRS. Selon les alinéas 2a), b) et c) de la Loi, les menaces pour la sécurité du Canada sont les suivantes : l'espionnage ou le sabotage, les activités influencées par l'étranger ou les actes de violence grave contre des personnes ou des bien dans le but d'atteindre un objectif politique. La menace que représentent les opérations d'information peut se rapporter à l'un ou l'autre de ces trois alinéas.

Le Service concentre ses enquêtes sur les menaces ou les incidents qui touchent l'intégrité, la confidentialité ou la disponibilité de l'infrastructure d'information essentielle. Par conséquent, trois conditions doivent être réunies pour que le SCRS puisse lancer une enquête sur des opérations d'information. L'incident doit :

a) être de source informatique;

b) sembler (dans la limite du raisonnable) avoir été orchestré par un gouvernement étranger, un groupe terroriste ou des extrémistes à des fins politiques;

c) avoir été commis aux fins d'espionnage, de sabotage, d'ingérence étrangère ou de violence à caractère politique.

Cette définition exclut bon nombre des intrusions dans les systèmes informatiques qui se produisent au Canada. Par exemple, la plupart des actes de piratage sont commis par des personnes qui ne cherchent que des émotions fortes et qui n'ont aucun objectif politique. De plus, une partie des actes de piratage sont commis par des malfaiteurs qui cherchent à se procurer de l'argent et par des entreprises qui recherchent un avantage sur d'autres entreprises de façon illégale. Ces types d'intrusions ne relèvent pas du mandat du SCRS, mais peuvent intéresser les organismes d'application de la loi. Le Service limite ses enquêtes aux intrusions menées dans un « but politique » : un service de renseignement adverse qui s'infiltre de façon illégale dans les systèmes informatiques canadiens, un groupe extrémiste qui cible un site Web du gouvernement, etc. Pour que le SCRS s'en mêle, il faut absolument que l'intrusion comporte un aspect politique. Étant donné que la menace que représentent le cybersabotage et le cyberterrorisme s'incrit dans une menace économique plus vaste pour les secteurs-clé de la société canadienne, le SCRS travaille en étroite collaboration avec d'autres organisations, comme la Gendarmerie royale du Canada, le ministère de la Défense nationale et le Centre de la sécurité des télécommunications.

De plus, au sein de la communauté internationale, le SCRS entretient des relations et échange des informations avec les services alliés pour se tenir au courant de la menace internationale et de l'incidence que cette dernière peut avoir sur la sécurité nationale du Canada. Il participe également, avec le gouvernement fédéral, aux efforts que déploient les pays du G-8 pour lutter contre la cybermenace.

Haut

Perspectives

L'une des plus grands difficultés que pose la lutte contre les OI, c'est l'inexistence des frontières pour quiconque opère dans un environnement virtuel. Même si on s'efforçait d'éliminer les points vulnérables, il est presque impossible de les éliminer tous parce que les outils d'attaque, les réseaux et les systèmes qui gèrent ces réseaux évoluent constamment.

Au fur et à mesure que de nouvelles technologies voient le jour, de nouveaux outils et de nouvelles méthodes d'attaque apparaîtront. Par conséquent, les gouvernements devront mettre en oeuvre des procédures qui permettront aux mesures de sécurité d'évoluer et de faire échec aux nouvelles menaces au fur et à mesure qu'elles apparaissent. Par exemple, du point de vue de la sécurité, la transition du secteur privé vers le commerce électronique, le désir du secteur privé d'offrir des services et de relier des systèmes sans fil, et l'utilisation de communicateurs personnels comportent des risques.

Dans une certaine mesure, il devient de plus en plus facile de se livrer au piratage, parce que certaines organisations des secteurs privé et public du monde entier cherchent davantage à se brancher à Internet qu'à trouver des façons de mener leurs opérations en toute sécurité sur Internet.

Haut

Programme national de sensibilisation et de liaison

Le SCRS possède un programme national de sensibilisation et de liaison qui a pour but de mettre en place un dialogue continu entre les organisations des secteurs privé et public au sujet de la menace que représentent les cyberattaques pour les intérêts canadiens. Le programme cherche également à recueillir et analyser des informations afin de faciliter les enquêtes sur les phénomènes susceptibles d'avoir des répercussions sur la sécurité nationale du Canada. Le Service évalue alors la menace et informe le gouvernement à ce sujet. Ce programme est très utile au Service pour transmettre son message aux Canadiens.

Date de modification : 2005-11-14

Avis importants