Et si Hadopi engageait des pirates ?

  Ça commence à se savoir, Hadopi ne fait peur à personne. Les petits téléchargeurs arrêtent et les gros se protègent avec tout ce qui leur tombe sous la main : tunnels chiffrés, serveurs de téléchargement offshores, réseaux parallèles, ... Alors la France trouvera-t-elle la solution en faisant appel à des pirates qui attaqueront les hébergeurs de contenus illégaux et leurs utilisateurs ?

Bollywood engage une société pour pirater les téléchargeurs

Précurseur en matière de lutte contre le téléchargement illégale, la France faisait figure de modèle pour le monde entier. Mais mondialisation oblige, les Indiens pourraient bien nous voler le marché ! (pour une fois que ce ne sont pas les chinois...). Une trentaine de sociétés de production indiennes ont fait appel à la société Aiplex Software. Mission : attaquer les sites de partage de fichiers en les inondant de connexions jusqu’à leur indisponibilité (attaque DDOS). Très forts, ils appliquent même le système de la riposte graduée : si au bout de deux avertissements les sites ne retirent pas le contenu ou un lien pointant vers celui-ci, l’attaque est lancée !

Ça rappelle un peu ces films de gangster où des portes-flingues cassent rotules et tibias à tour de batte : efficacité assurée ! Car ce qu’il faut bien comprendre, c’est qu’il est extrêmement compliqué et couteux de réagir face à ce type d’attaque. Résultat, Aiplex se vante de faire plier 95% des sites illégaux sans avoir à lâcher les chiens.

Clientèle internationale, légalité et impact des attaques

Girish Kumar, PDG d’Aiplex, indique que des sociétés hollywoodiennes sont déjà clientes de ses services, notamment la Fox. En revanche des sociétés d’éditeur comme l’AFACT (Australian Federation Against Copyright Theft) ne cautionne pas ce type d’action, qu’elle qualifie de criminelle.

Car effectivement, une attaque DDOS compromet l’intégrité d’un système informatique, ce qui est illégal dans la plupart des pays du monde. En Inde, le lobby cinématographique est tellement fort que la pratique est visiblement tolérée, mais il faut bien comprendre qu’un DDOS ne cible pas que (ou pas du tout) des machines basées dans le pays d’origine de l’attaque. Donc Aiplex peut se retrouver à faire tomber des serveurs en Russie, à Hong-Kong ou en Suède. De plus une "inondation" de ce type emprunte les tuyaux de différent fournisseurs d’accès à internet et finit chez un hébergeur de site web : ces acteurs ne sont pas (toujours) mêlés aux actions de leurs clients et attaquer un criminel utilisant leurs ressources peut impacter tous leurs autres clients légitimes.

Nous comprenons bien la difficulté de mener sur internet une lutte offensive contre une entité, et cela a d’ailleurs un nom qui retenti depuis quelques années dans les conférences de sécurité de l’information : la Lutte Informatique Offensive, ou LIO.

Une armée numérique française pour 2014

Déjà évoqué dans la loi de programmation militaire 2003-2008, la capacité de répondre numériquement à une attaque est devenu en 2008 un point majeur du Livre Blanc sur la défense et la sécurité nationale de Sarkozy. Un des premiers axes de travail est de rendre la LIO "Compatible avec les principes juridiques du droit français", c’est pourquoi un projet de loi est visé par le sénat avec pour objectif de "mieux pouvoir se défendre [...], exercer une action dissuasive [...], se préparer à l’émergence du cyberespace comme domaine de lutte ..." avant 2014.

En 2007, le cas de la paralysie de l’Estonie par une attaque informatique est la preuve que le scénario d’une cyber-guerre est loin d’être pur fantasme. La LIO et la LID (Lutte Informatique Défensive) sont donc des armes à considérer sérieusement par les gouvernements, mais seulement dans un cadre militaire strict. Cependant une petite ligne dans le rapport du Sénat m’a fait tilter ...

L’État français pourra attaquer un français !?

La lutte offensive "suppose en premier lieu d’établir une doctrine et une organisation, d’en clarifier les cadres d’emploi nationaux et internationaux...". Pardon ? Les cadres d’emploi nationaux ? On remarquera même que la possibilité d’attaquer numériquement une entité au sein de la France est placé AVANT le cas international ... En gros on autorise l’utilisation d’une arme de guerre sur ces propres citoyens. Et à qui sera confiée cette arme ? Car si je fais relativement confiance aux militaires pour son usage, le comble serait la capacité pour une entité civile de pouvoir s’en servir. De plus même si une "doctrine d’utilisation" est mise en place, nous savons très bien qu’elle sera bien vite transgressée. J’en veux pour preuve le filtrage de sites internet par les FAI français : hier, seuls les sites pédophiles devaient être blacklistés, aujourd’hui ce sont les sites de paris en ligne sans licence française, et demain... ?

Non, ce titre n’était pas juste racoleur. Le risque de voir la HADOPI s’armer au premier sens du terme est bien réel. L’outil de piratage serait même en cours de développement : pour les soldats de la Haute Autorité il suffira d’activer l’option DDOS de Open Office.

Retrouvez plus d’articles sur sicw-news.com