Les « représailles » contre l’espionnage de SolarWinds par la Russie ne sont pas la réponse

La façon dont la Maison Blanche compte répondre à la campagne SolarWinds est loin d’être claire. Sur commentaires au correspondant de CNBC, Eamon Javersun fonctionnaire de la Maison Blanche a partiellement contredit le TimesL’article a été publié en anglais, en particulier la description d’une « cyberattaque » qui a été retirée du titre de l’article. (La Maison Blanche n’a pas répondu à la demande de commentaires de WIRED).

Cette confusion peut en partie provenir d’un débat interne sur les réponses possibles, suggère Jacqueline Schneider, une Hoover Fellow de l’université de Stanford spécialisée dans la cybersécurité. Si c’est le cas, dit-elle, elle espère qu’il n’est pas trop tard pour détourner la Maison Blanche d’une contre-attaque punitive. Ma plus grande critique serait de considérer que le fait que SolarWinds soit considéré comme « inacceptable » est inacceptable », déclare Mme Schneider. Biden, par exemple, a décrit l’opération comme une « cyberattaque » et a promis qu’il ne resterait pas « inactif » dans son sillage. « Je pense que cette norme sera presque impossible à établir et très, très difficile à appliquer », ajoute M. Schneider. « Et elle lie les mains des États-Unis à des endroits où nous pourrions autrement avoir des avantages ».

Au lieu de représailles visant à « signaler » quelque chose à la Russie ou à définir une règle que les États-Unis ne voudront pas respecter eux-mêmes, Schneider suggère que toute contre-attaque pour la campagne SolarWinds devrait viser la capacité des pirates informatiques à mener à nouveau ce genre d’opération. Cela ressemblerait moins à une tentative de punir le Kremlin – comme un piratage équivalent des infrastructures russes ou même des sanctions économiques – qu’à une perturbation ciblée des machines ou des réseaux utilisés par les pirates de SolarWinds eux-mêmes. Des exemples passés de ce type de contre-attaque sont les attaques du Cyber Command américain la perturbation du réseau criminel de bottes Trickbotpar exemple, ou le attaque destructrice de données sur le réseau de l’Agence russe de recherche sur l’internet, qui pratique la désinformation. « Vous rendez leur travail plus difficile à faire, ce qui les pousse à investir plus de ressources, ce qui détourne des ressources d’autres choses malfaisantes », dit M. Schneider. « L’espoir est que cela les amène à se concentrer sur la défense et qu’ils aient moins d’équipes affectées à la recherche de vulnérabilités dans, par exemple, les réseaux électriques ».

Un ancien responsable de la cybersécurité du gouvernement américain a décrit une approche légèrement différente qu’il a assimilée à un « brushback pitch », le terme de baseball pour un lancer proche et intérieur qui oblige le frappeur à s’éloigner du marbre. « Nous allons vous faire esquiver », dit-il. « Cette balle ne va pas vous toucher, mais vous allez savoir que nous allons vous poursuivre et prendre du recul. »

Cette tactique de repli ne diffère peut-être pas en fait d’une frappe de « représailles » en substance. Mais la présenter comme un avertissement ou une contre-attaque directe aux pirates informatiques adverses eux-mêmes plutôt que comme une « punition » normative pour leurs patrons au Kremlin pourrait rendre cette action plus efficace. « Le genre de mots que nous utilisons pour ces choses peut avoir une grande importance », dit l’ancien fonctionnaire.

Il y a aussi des mesures qui ne sont pas à la hauteur d’une contre-attaque et qui pourraient encore s’avérer efficaces, déclare J. Michael Daniel, l’ancien coordinateur de la cybersécurité pour l’administration Obama. Les États-Unis disposent d’outils pour envoyer des signaux diplomatiques subtils à leurs adversaires, souligne-t-il. Vous pourriez utiliser la cyber-assistance téléphonique qui a été établie entre les États-Unis et la Russie et envoyer un message disant « hé, nous savons que c’est vous, arrêtez » », explique J. Michael Daniel. « Vous pouvez mettre en place certaines mesures diplomatiques que les Russes veulent peut-être à l’ONU et auxquelles les États-Unis ne s’opposeraient peut-être pas autrement, mais qu’ils décident de ralentir. Il y a d’autres moyens d’exprimer votre mécontentement diplomatique. »

Mais en fin de compte, l’espionnage, même à l’échelle de SolarWinds, est dans les règles du jeu, affirme M. Alperovitch de Silverado. Il se réfère aux commentaires du directeur du renseignement national James Clapper dans un Audience du Congrès de 2015 sur la violation par la Chine de l’Office de gestion du personnelqui a entraîné le vol de quantités de données personnelles très sensibles sur des fonctionnaires. M. Clapper a clairement indiqué lors de cette audience qu’il avait pas considèrent la brèche de l’OPM comme une « attaque », mais plutôt comme un acte d’espionnage du type de celui que les États-Unis auraient pu mener eux-mêmes.

C’est un cas de « bien sur eux, honte sur nous », dit M. Alperovitch, paraphrasant vaguement les propos de M. Clapper. « Il faut s’assurer qu’il leur soit vraiment difficile de nous refaire le coup.