Anonymous : derrière le masque, une révolution de l’hacktivisme ?

Tout le monde s’en remet à sa plume pour parler de la nébuleuse Anonymous depuis la fermeture du site internet de stockage en ligne Megaupload par le FBI, qui a eu lieu durant la nuit du 19 janvier 2012. Il y a une dizaine d’années, les hacktivistes étaient réduits à de petits groupes de pirates informatiques œuvrant dans l’ombre. Cependant, aujourd’hui, nous assistons à une réelle démocratisation des protestations dans le cyberespace, principalement sous la bannière de ces pseudo-mystérieux Anonymous, nés il y quelques années. Retours sur leurs actes, leur force et leurs failles.

Un collectif nébuleux, une histoire relativement courte.

L’histoire des Anonymous est relativement courte. Ils sont nés lors de protestations contre l’église de scientologie début 2008, issues du forum 4chan, véritable laboratoire des limites de l’Internet. D’un petit groupe anglo-saxon de quelques personnes, à l’origine, ils se sont développés jusqu’à être l’une des forces de protestation les plus médiatisées du cyberespace, avec le célèbre site Wikileaks. Parmi les victimes, on trouve de tout : des industries musicales, en passant par des médias et des éditeurs de jeux vidéo jusqu’à certaines banques ou gouvernements. Ce large éventail démontre un certain manque de socle idéologique de la part des Anonymous, bâtis à partir d’une nébuleuse, anarchiste dans sa structure et nihiliste dans ses pensées, et où chaque internaute est libre de se considérer comme [un] « Anonymous ».

DISOBEY par Goin (goinart.net) feat. Cart1

Leurs armes de protestation sont simples : des attaques « consenties » et coordonnées entre les internautes (Opt-in botnets) contre des sites internet ciblés, et qui se traduisent le plus généralement par un déni de service distribué (Distributed Denial of Service, DDoS) des serveurs visés. Quelquefois, les attaques sont plus complexes (pivot sur des DMZ), mais, dans l’extrême majorité des cas, elles se limitent à ces DDoS, qui ne supposent en rien une quelconque pénétration des systèmes cibles ou la compromission de réseaux informatiques. Comme si, dans le monde réel, on bloquait la serrure de la porte d’entrée d’un magasin. L’intérieur reste inviolé, non-compromis, intact. Mais il n’est plus possible d’accéder à la boutique pendant un temps limité de quelques heures.

A travers ces attaques, nous pouvons discerner une pseudo-structure de ce mouvement. Le noyau est composé de personnes véritablement politisées, ces dernières n’hésitant pas à passer du virtuel au physique pour porter leur voix. Dans ce même noyau, une minorité possède de véritables compétences en piratage informatique et le font savoir durant certains coups d’éclat [?]. Enfin, autour de ce noyau, plusieurs dizaines de milliers d’internautes lambda, sans véritables connaissances mais néanmoins stratégiques pour le mouvement. C’est eux qui se chargent du buzz sur Internet et qui mènent des attaques « sociales ».

Leur structure : une faiblesse ?

Une organisation nébuleuse est le problème d’un tel mouvement. Aujourd’hui, n’importe quel internaute commettant un acte illégal sur Internet peut s’autoproclamer Anonymous. Cela est d’ailleurs utilisé par certains pirates, soucieux de laisser de faux faisceaux d’indices en prévision d’une future enquête. Ce fût sans doute le cas lors du piratage du Playstation Network en 2011, où un pirate informatique avait laissé sur un des serveurs le message « We are legion », et volant au passage quelques millions d’informations. Cet acte, bien que semble-t-il non-imputable aux Anonymous, a toutefois servi à les remettre sur le devant le la scène médiatique, quelques jours après la fin des révolutions égyptiennes et tunisiennes.

Outre ces quelques dysfonctionnements, il existe, au sein même des idéologies défendues par les Anonymous, des contre-sens fondamentaux. La principale idée qu’ils défendent suppose un Internet parfaitement libre, véritable utopie cyberpunk, évidemment jamais atteinte du fait de la régulation internationale d’Internet (tant juridique que technique). Problème : si Internet ne possédait aucune régulation, il cesserait de fonctionner, tout simplement. Toutefois, il existe bel et bien des systèmes parallèles ayant vu le jour au fil des années tels que TOR, Commotion ou FreeNet pour ne citer qu’eux. Cependant, ces services sont pour la plupart du temps abandonnés par ces mêmes personnes défendant la liberté car elles les trouvent trop lentes, ou jugés trop complexes à mettre en place.

Cette inappétence au complexe ou cette volonté de démocratisation, qui a pu se vérifier au travers de la simplicité des techniques utilisées (DDoS) ou du manque d’enthousiasme envers les technologies réellement libres, explique également que les systèmes de chiffrement de communication – que cela soit SILC, GPG/PGP, ou même SSL/TLS – ne sont pratiquement pas utilisés par les Anonymous. En effet, ces derniers se basent principalement, pour organiser leurs différentes actions, sur des protocoles non chiffrés et des réseaux sociaux publics, et donc susceptibles, à terme, d’être retournés contre eux. De plus, les logiciels utilisés peuvent eux aussi être falsifiés, ou leurs attaques détournées, faute de vérification des signatures numériques et d’une non-expertise de ceux là mêmes qui les utilisent.

Dans les faits et dans leur large majorité, les Anonymous ne sont pas des hackers. Nous sommes loin de toute culture alternative, et encore plus des exploits techniques et de l’ingéniosité de certains hackers. Les Anonymous reflètent la société d’aujourd’hui. Une société où le consommateur, que ce soit dans une grande surface où sur le Web, s’empresse de s’empiffrer ce qu’on lui met à disposition, sans même réfléchir. Voilà pourquoi on retrouve dans ce mouvement beaucoup de jeunes personnes, avides de connaissances selon certains médias, mais qui, au lieu de passer des centaines d’heures à apprendre le fonctionnement des Systèmes d’information et leurs failles de sécurité (apprentissage qui n’est pas illégal en soi), vont utiliser des outils ayant une interface « click’n'go » afin de commettre leurs méfaits ; outils limités qui, mal utilisés, peuvent se retourner contre eux.

La médiatisation, véritable force des Anonymous

Une structure nébuleuse et décentralisée, un masque impliquant le mystère, des vidéos troublantes, un slogan qui fait peur (« Nous sommes Anonymes. Nous sommes Légion. Nous ne pardonnons pas. Nous n’oublions pas. ») et quelques cibles connues : voici le cocktail d’une bonne médiatisation. Ce mouvement est attirant, original, et beaucoup de médias en parlent sans même disposer d’une réelle expertise dans l’analyse de leurs attaques. Ainsi, la CIA, le site internet de la Maison Blanche – ou celui du parlement de l’Union Européenne récemment – n’ont jamais été piratés par les Anonymous mais simplement bloqués, comme beaucoup d’autres.

Les Anonymous peuvent aujourd’hui allègrement se servir de leur notoriété pour lancer des attaques informationnelles ayant, elles, un impact économique réel sur les sociétés visées, en générant un vent de panique sur certains secteurs. Ce fut le cas fin juillet 2011, lorsque les Anonymous, en soutien au célèbre site internet Wikileaks, ont demandé aux utilisateurs du service en ligne Paypal de clore leur compte. Avec un communiqué relayé dans les colonnes de la majorité des sites d’information généralistes en ligne et un message non vérifiable se targuant de la fermeture de 35 000 comptes, ces derniers ont fait chuter l’action NASDAQ du groupe eBay Inc, passant de 32 USD à 27 USD en l’espace de quelques jours !

Toutefois, nous sommes encore très loin de l’impact qu’eut le duo d’hacktivistes Yes Men sur l’empire Dow Chemical après leur passage en direct à la BBC, intervention culte et qui a fait chuter la valeur boursière de l’entreprise de plus de 2 milliards USD. Malheureusement pour les Anonymous, cette force théorique se voit encore une fois parasitée par plusieurs contradictions ayant émaillé leurs différentes opérations. Ainsi en est-il de certaines planifications d’attaques DDoS, contre Facebook ou Twitter, qui ont été classés en fausses rumeurs. Il est cependant plus probable que les Anonymous aient pris conscience de leur impuissance de feu sur le champ technique face à des centres de données engrangeant plusieurs centaines de milliards de requêtes par jour… ou de leurs contradictions.

Quel futur pour l’hacktivisme sur Internet ?

Hier dans l’ombre, souterrain et confidentiel, l’hacktivisme s’est aujourd’hui démocratisé au point d’être l’un des domaines les plus médiatisés de l’Internet. Aucune semaine, aucun jour sans que des articles ou des reportages soient publiés sur cette nouvelle forme de protestation, utilisant les réseaux informatiques et les médias comme principal vecteur de communication.

Les Anonymous sont une nouvelle génération de pirates informatiques, ayant été séduits par un mouvement qui essaie tant bien que mal de parler d’une seule voix. La démocratisation de l’accès à Internet a conduit au nivellement par le bas du niveau technique de ses nouveaux partisans. Les Anonymous sont à l’image de ceux qu’ils affirment défendre : désorganisés et pluriels ; parfois bons, souvent incompétents ; toujours incohérents.

Au sein du microcosme de l’Internet, les envies qu’avaient les pirates informatiques il y a quelques années, la connaissance, le dépassement personnel, la quête de sensations fortes et de défis intellectuels, ont laissé la place à des pseudo-défenseurs de la liberté d’expression. Le mouvement Anonymous vit actuellement son apogée médiatique. Toutefois, du fait de sa structure et des différentes rumeurs internes dont il fait l’objet, il risque d’être discrédité, et se dévoiler pour ce qu’il est : une coquille vide. Les internautes et les médias eux-mêmes comprendront que sa seule puissance réelle est le fait d’une sur-médiatisation de leurs actes, due elle-même à de véritables prodiges en communication, utilisant les réseaux sociaux et Internet comme personne.

Toutefois, la fin du mouvement Anonymous ne sera certainement pas la fin de l’hacktivisme. De plus en plus d’organisations politiques vont faire appel à des hackers, légalement ou illégalement. La dislocation de la nébuleuse fantôme fera apparaître de nouveaux groupes de pirates informatiques, (comme ce fut le cas avec LulzSec, issu des Anonymous juste après le piratage de la société américaine HB Gary, l’un de leurs plus beaux faits d’arme avec Stratfor et la CNAIPIC). D’autres encore resteront dans l’ombre, solitaires avec pour seul crédo « Ne pas conclure d’alliance lorsqu’on ne connait pas les motivations et les erreurs possibles d’autrui ».

Les full disclosures, DOX et autres dumps de base de données sur la place publique n’en sont qu’à leurs débuts. Une chose est sûre : au lieu de perdre du temps à se faire un avis ou à déstabiliser de tels mouvements, les entreprises, gouvernements et autres médias devraient apprendre à vivre en leur présence et à sécuriser leurs Systèmes d’Information. Malheureusement pour eux, cette prise de conscience n’a pas encore eu lieu.

Merci à A., G., D. et C. pour leurs corrections et avis.

Sécurité de l’information, données personnelles et Corée du Sud

Bien souvent, on ne se rend compte du degré de liberté dont on a joui dans le passé que lorsque l’on est confronté à des entraves dont on ne supposait pas l’existence.

Ainsi en est-il allé de l’auteur de ces lignes (dont vous pardonnerez la delonnerie stylistique qui a voulu qu’il parle de lui à la troisième personne), actuellement en poste en Corée du Sud. Période d’acclimatation oblige, les premières semaines sont consacrées au fameux triptyque : 1) où dormir ; 2) où manger ; 3) comment communiquer.

La résolution du point numéro trois a conduit à une situation singulière. En effet, la souscription d’un forfait téléphonique est particulièrement compliquée en Corée. Outre les paperasseries administratives qui, bien que plus nombreuses qu’en France, sont parfaitement légitimes, c’est bien sur le plan de la sécurité de l’information que les choses se sont compliquées.

Alors qu’en France la souscription d’un forfait téléphonique, lorsque l’on dispose d’un appareil, n’entraîne pas spécialement de formalités supplémentaires, en Corée du Sud les opérateurs enregistrent les numéros de série. Fait intéressant : c’est via ces numéros de série que les téléphones peuvent être détectés et localisés.

L’insertion de la carte SIM d’une personne tierce (à laquelle correspond le numéro de série d’un appareil spécifique), dans un téléphone quelconque n’entrave pas les communications ; mais celle-ci déclenche une alerte chez l’opérateur téléphonique.

Rien de bien méchant, me direz-vous. Sauf que toutes les informations concernant une machine sont accessibles au plus bas niveau de la hiérarchie de l’opérateur téléphonique. Vous devinez donc la surprise de l’auteur de ces lignes (encore lui), lorsque le petit vendeur du coin, 2 minutes après son arrivée dans le magasin, lui parla librement des statistiques de son appareil. Le temps de connexion au réseau était connu, de même que la localisation, l’identité du propriétaire de la carte SIM insérée (pourtant chez un autre opérateur)… alors que je n’avais encore souscrit à rien !

En France, l’article 7 de la loi Informatique et Libertés dispose :

Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes :

1) Le respect d’une obligation légale incombant au responsable du traitement ;

2) La sauvegarde de la vie de la personne concernée ;

3) L’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;

4) L’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;

5) La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Comparons avec le cas coréen décrit plus haut. En l’occurrence : ma vie n’était pas en danger, la mission en question n’était aucunement une mission de service public, le contrat n’avait pas encore été signé, pas plus que l’intérêt légitime d’une des deux (futures) parties n’était opposable.

Reste le point 1), à savoir l’obligation légale incombant au responsable du traitement. Ne parlant pas encore le coréen, et ayant surtout des contacts avec les milieux scientifiques (et non juridiques), l’auteur de ces lignes (faites le taire) n’a pu vérifier le contexte légal encadrant sa « mésaventure ». Mais il est raisonnable de supposer que, tout comme la loi française l’énonce, c’est en raison d’une obligation légale que les opérateurs téléphoniques coréens doivent être capables d’engranger de telles informations, aussi facilement.

Car le problème n’est pas tant dans le fait ces informations puissent être recueillies (sur le plan technologique rien de surprenant là-dedans) ; non, ce qui est réellement étonnant est qu’il n’existe aucune barrière à leur obtention. Un petit employé d’un petit magasin, avec qui rien n’a encore été signé, était capable de dire où j’étais, à quelle heure, ce qui avait été fait avec le téléphone, quelle carte SIM avait été insérée, qui en était le propriétaire, etc. Si l’obligation légale est bien la raison pour laquelle une telle quantité d’informations est disponible aussi facilement, il faut se demander pourquoi une telle accessibilité a été développée.

Il n’y a pas si longtemps, la Corée du Sud était un pays autoritaire ; ceci explique peut-être cela. Ces derniers jours, un utilisateur de Twitter a publié un tweet quelque peu complaisant à l’égard du régime nord-coréen ; localisé en quelques minutes, il fut arrêté dans la journée.

Après tout, la liberté consiste à faire tout ce que permet la longueur de la chaîne, comme disait Cavanna…