INTERNET

Eugène Kaspersky: «Les internautes sont trop anonymes, il faut des identifiants uniques»
 
Par Christophe Guillemin
ZDNet France
12 février 2003
 
Le dirigeant de l'éditeur d'antivirus russe Kaspersky Labs fait part à ZDNet France de ses réflexions concernant la criminalité informatique. Il préconise des «règles fortes» et des «sanctions» pour mettre fin à «l'anarchie sur le net».
 
De passage à Paris, le fondateur de la société russe Kaspersky Labs expose à ZDNet sa vision du climat actuel en matière de criminalité informatique.
 
L'occasion pour Eugène Kaspersky, 37 ans, de donner son point de vue sur les auteurs de virus, des «hooligans» qu'il assimile sans détours à des «terroristes». Cet expert en sécurité est diplômé de l'Institut de cryptographie, informatique et télécommunications de Moscou (1987). Il a été chercheur pendant six ans au KAMI, un centre de recherche sur les technologies de l'information basé dans la capitale russe, avant de fonder sa société en 1997. Selon d'autres sources, il aurait passé quelques temps au sein des services secrets.
 
Kaspersky milite pour un renforcement de la réglementation d'internet, et surtout pour la répression: «règles fortes» et «sanctions à la hauteur» doivent être imposées aux «cybercriminels» afin de mettre fin à «l'anarchie qui règne sur le net». Une réforme qui débuterait par la mise en place d'un numéro d'identifiant international unique pour chaque internaute, afin de retrouver la trace des criminels. Un système qui, selon lui, ne met pas à mal la confidentialité des internautes et «éliminerait au moins 99% des cybercrimes» (sic).
 
Après une telle profession de foi, il aurait le profil idéal pour diriger le ministère de la sécurité informatique de la fédération de Russie, si le président Vladimir Poutine avait l'idée d'en créer un. D'ailleurs, les deux hommes étaient cette semaine à Paris au même moment. Mais c'est un «pur hasard», nous assure le service de presse de Kaspersky Labs France.
 
ZDNet: Le virus SQL Slammer a contourné les protections des logiciels antivirus. En tant qu'éditeur de ce type de programme, quelle est votre responsabilité dans cette épidémie?
Eugène Kaspersky: Nous assumons notre part de responsabilité, mais il s'agit d'un cas particulier. SQL Slammer n'est pas un ver classique qui se répand par e-mail [Le ver réside uniquement en mémoire et n'atteint jamais le disque dur, seul endroit où les logiciels antivirus sont capables de le détecter, Ndlr]. Pour ce type d'attaque, un logiciel antivirus classique ne suffit plus comme protection. Il faut également se munir d'un firewall, ce que nous fournissons. Trop peu d'entreprises utilisent encore ce type de protection.
 
En tant qu'expert en sécurité, comment analysez-vous l'évolution actuelle des attaques virales et comment envisagez-vous le futur ?
Les attaques virales seront de plus en plus globales et, à ce titre, elles peuvent être assimilées à une forme de terrorisme. Les premiers virus détruisaient les données, ce qui est rarement le cas aujourd'hui.
L'objectif des auteurs de virus, que l'on peut comparer à des hooligans, est désormais de paralyser l'internet sur le plus large périmètre possible. SQL Slammer a ainsi bloqué tout accès internet en Corée du Sud où, comme dans de nombreux pays, la Toile est en passe de devenir l'un des plus importants systèmes de communication. De par les répercussions qu'il peut avoir, le blocage d'internet est une forme de terrorisme.
 
Comment endiguer ce phénomène?
Ces attaques sont possibles à cause de l'anarchie totale qui règne actuellement sur le net. Il faut des règles fortes, et des sanctions à la hauteur pour ceux qui les enfreignent. Pour permettre cette amélioration, il y a deux premières mesures à prendre. Tout d'abord, instaurer un numéro d'identifiant personnel (personal ID) et matériel (hardware ID) pour chaque internaute et chaque machine connectée afin de dépister les cybercriminels.
Il faut ensuite déployer un réseau mondial sécurisé parallèle, sorte d'alternative à l'internet actuel, où fonctionneront également les identifiants précités. Il s'agit ni plus ni moins des mêmes règles que celles encadrant la circulation automobile, utilisant des plaques minéralogiques et des permis de conduire. Qu'arriverait-il sur les routes si cette réglementation n'existait pas? Exactement la même chose que sur internet de nos jours.
 
Ne pensez-vous pas, tout de même, que cela porterait atteinte à la vie privée des internautes?
Les internautes sont trop anonymes. Le plus grand malentendu dans l'instauration d'identifiants personnels sur le net est que cette amélioration mettrait fin à toute confidentialité [privacy] pour les internautes. Ceci montre à quel point le sens du mot privacy est galvaudé dans l'internet moderne.
Les fournisseurs d'accès traquent déjà toutes les activités de leurs abonnés; les sites internet et fournisseurs de messagerie font de même avec les logins. Il y a des milliers de banques de données rendant compte des pérégrinations des internautes. Un système d'identification appliquerait simplement des règles strictes à tous ces usages existants et permettrait de constituer une banque de données centralisée. Bien entendu, ces informations ne sauraient être exploitées, à moins qu'un utilisateur n'ait commis un crime. Au final, cela ne règlerait pas 100% des problèmes, mais éliminerait au moins 99% des cybercrimes.
 
Il faudrait pour cela qu'il y ait une législation au niveau international.
Tout à fait. Il faudrait un accord au niveau global contre le cybercrime, avec pourquoi pas la constitution d'une police spécialisée, à l'image d'Interpol.
 
Voyez-vous une différence entre "hacker" et "cracker", c'est à dire entre ceux qui révèlent par exemple des vulnérabilités de sécurité, et ceux qui ont simplement l'intention de nuire?
Oui, il y a une différence. Non sur les méthodes, mais sur les résultats. Pour autant, mon opinion est que si vous voulez mettre en avant une faiblesse afin qu'une solution soit trouvée, il ne faut pas la divulguer au grand public, mais uniquement aux auteurs du programme concerné. Du moins dans un premier temps. Une fois que le correctif a été mis au point et peut être appliqué par les utilisateurs, la faille peut alors être révélée. Mais en aucun cas auparavant.