Web 2.0 et sécurité nationale

Michaël Audren

Description

Le présent document a été parachevé en septembre 2004 par le cercle de réflexion «Serendip » dédié aux enjeux de sécurité des États et de l’Union.
Ce cercle fut baptisé Serendip, du nom d’un conte persan dans lequel trois princes trouvent sur leur chemin, par chance, par sagacité ou par accident, autre chose que ce qu’ils étaient initialement partis chercher.

Informations

• Publié par: pierresellier
• Nombre de lectures: 504
• Langue: Français

Extrait

     

   

 

                              MAITRISE DES INFRASTRUCTURES DE CONFIANCE DU CYBERESPACE : UN PROJET STRATEGIQUE POUR LA FRANCE ET L’EUROPE     Memorandum  

                   

 

                     

 

   

EN QUELQUES MOTS  

  A l’heure où la France réfléchit à son futur positionnement en matière d’économie numérique, le cercle de réflexion Serendip, dédié aux enjeux de sécurité nationale, a conduit des premiers tra vaux d’analyse et de formulation de recommandations sur la nouvelle structuration de l’économie de l’immatériel sous un angle particulier : celui de l’indépendance stratégique de l’Etat et des Etats de l’Union.   L’identité de la proposition formulée, bapti sée Serendip Trusted Infrastructures , vise à  préserver l’essentiel  et se caractérise par ses quatre composantes :   •   Une finalité : préserver l’indépendance stratégique de la France et de l’Europe dans le cyberespace ; •   Un projet : créer la société europé enne de référence en matière d’ingénierie des infrastructures de confiance ; •   Un avantage concurrentiel : la conjonction de la volonté d’acteurs des sphères gouvernementales et privées de préserver leur autonomie, et le souhait d’industriels et de centres d e recherche de premier plan de consolider leurs capacités afin de faire face au risque d’enfermement, pour au contraire se déployer. •   Un principe d’action : la volonté de développer en Europe des activités à fort contenu technologique dans une double perspe ctive de croissance de l’emploi compétitif et de protection des libertés.

Une perspective qui - pour devenir réalité - doit associer des industriels issus du secteur privé et bénéficier du plein soutien des autorités de l’Etat. Un enjeu qui se prête parfa itement à un partenariat public -privé qui servira véritablement les intérêts européens.      

 

                                                        Le cercle de réflexion  Serendip  est dédié aux enjeux de sécurité des Etats et de l’Union.   Ce cercle fut baptisé Serendip, du nom d’un conte persan dans lequel trois princes trouvent sur leur chemin, par chance, par sagacité ou par accident, autre chose que ce qu’ils étaient initialement partis chercher.  

 

 

2  

SOMMAIRE

          I. CYBERSPACE, ELEMENTS D’UNE NOUVELLE DONNE   1/ Le droit à l’autono mie   2/ La fenêtre d’opportunité du Web 2.0   3/ Infrastructures de confiance, socle stratégique du cyberespace     II. PRESERVER L’ESSENTIEL DANS CE NOUVEAU CONTEXTE : QUE DEVONS-NOUS MATRISER ?   1/ La capacité à intégrer en co nfiance les futures infrastructures       2/ La capacité à sécuriser le cyberespace   3/ La capacité à maîtriser l’intégration des systèmes critiques     III. CREER LA SOCIETE EUROPEENNE DE REFERENCE EN MATIERE D’INFRASTRUCTURES DE CONFIAN CE  

 

 

     

 

     

 

4

4 5 8

9

12 13 13

16

 

3  

 

  I. Cyberspace, éléments d une nouvelle donne ’         Le Livre Blanc sur la Défense et la Sécurité nationale présenté en juin 2008 par le Président de la République consacre le cyberespace comme étant une partie intégrante de notre territoire national. Il insiste sur la nécessité d’acquéri r des capacités technologiques de haut niveau. Car à l’instar des espaces terrestre, aérien, maritime et spatial, l’Internet est désormais un lieu d’affrontement des nations et de compétition intense entre les intérêts économiques privés.   La maîtrise des technologies de l’information et de la communication est donc une condition nécessaire du maintien de notre souveraineté nationale.   Dans une économie de plus en plus dématérialisée et avec des équipements militaires ayant largement recours aux systèmes d ’informations, les intérêts industriels, politiques et de sécurité nationale convergent pour que la France, et l’Europe, disposent d’une entité de confiance capable de proposer des infrastructures informatiques sécurisées.   Au même titre que l’alimentatio n énergétique est un élément vital pour un pays, le contrôle de ses systèmes d’information revêt un caractère éminemment stratégique. Pour que les données transmises restent confidentielles, que les flux logistiques soient garantis et que les processus de production ne soient pas affectés. Et bien sûr que les besoins des autorités étatiques et des forces de défense ne soient soumis à aucune exigence extérieure.   Il ne s’agit pas de penser ici à la seule échelle nationale puisque c’est en Europe que se trouvent déjà, éparses, les compétences utiles à l’élaboration d’un tel projet technologique.   Si la défense européenne a eu du mal à trouver sa voie au cours des dernière décennies, il est impératif que ce volet cybernétique se concrétise au plus vite. Car l e secteur des technologies de l’information est en constante évolution. Et que le temps presse avant que l’Europe ne puisse plus prétendre jouer un rôle significatif dans un univers extrêmement concurrentiel.       1.1. Le droit à l’autonomie   Les acteurs de l’Union sont désormais confrontés à une pression croissante des autres grandes puissances visant à assurer le contrôle du cyberespace mondial. L’enjeu de la maîtrise de cet espace immatériel est crucial à trois titres :   - L’économie numérique apparaît comme l'un des domaines d'activité ayant le plus fort taux de croissance mondiale . La mise à disposition de l'accès Internet haut débit sur tout le territoire national est incontestablement le point de départ. Son développement s'appuie sur le déploiement de liaisons, fixes et mobiles, à haut débit, qui permettent d'obtenir des temps de réponse acceptables pour un utilisateur de système où qu'il se trouve.

 

4  

 

  - Tout acteur Etat, entreprise, individu - court un risque majeur s'il ne maîtrise pas son - information parce qu'il ne contrôle pas le comportement du système technique qui la produit, la transmet et la stocke.   - En l’état, le déploiement des réseaux haut débit ne serait qu'un moyen offert aux acteurs dominants étrangers pour déployer leurs outils et crée r la dépendance.   Les acteurs européens sont soucieux d’éviter de se voir imposer un cyberespace dont ils ne seraient pas les initiateurs et des moyens qui seraient mis à leur disposition essentiellement par leurs alliés américains.       1.2. La fenêtre d’opportunité du Web 2.0   Le foisonnement d’initiatives qui accompagne la rupture liée au déploiement du Web 2.0 (voir encadré), c'est-à-dire la dernière génération d'applications de l'Internet, crée une fenêtre de tir, et probablement l’une des ultimes opport unités offertes à l’Europe, pour créer quelques acteurs majeurs de l’économie de l’immatériel .     La rupture du Web 2.0 Les nouvelles architectures créent une seconde génération de l a Toile (le Web) sur le réseau Internet dont les standards s'imposent désormais. Pour le définir simplement, le Web 2.0 n'est plus seulement une collection de sites interconnectés par un réseau mais devient une plate-forme applicative délivrant des service s. C’est là tout le sens de la confrontation entre les modèles des acteurs vendant des logiciels de bureautique aux utilisateurs pour les installer sur leur poste de travail, voire sur un serveur partagé, et les modèles fondés sur la mise à disposition de tous de services bureautiques à l'intention d'utilisateurs qui n'ont plus à gérer que leurs données . Le combat des deux modèles va bien au-delà de la bureautique : le concept “Software as a Service” (SaaS) est généralisable à tous les systèmes d’information. Le Web 2.0, c’est aussi le passage d’une base de données mondiale à une plate -forme de travail collaboratif. La construction de l’encyclopédie collaborative Intellipedia, qui sert d’outil de partage aux seize agences de l a communauté américaine du renseignement, est un exemple de ces possibilités. Les initiatives se multiplient et se construisent sur des modèles économiques nouveaux, inspirés de ceux de l’Open Source et de Google. C’est la fin des modèles économiques fond és sur la seule valeur ajoutée pour l’utilisateur et l’apparition de nouveaux modèles construits sur la valeur de l’information échangée. L’extrême, utilisé par Google, est la rémunération uniquement par la publicité, les utilisateurs étant valorisés comme une cible publicitaire. Après l’Open Source, qui s’applique surtout aux logiciels techniques d'infrastructure (ce que les spécialistes appellent middleware, c'est -à-dire le lien entre le matériel (hardware) et les logiciels d’application (software) ), un nouveau paysage se dessine pour les applications, vues comme des services rémunérés selon la valeur de l’information échangée.    

 

5  

 

Cette rupture du Web 2.0 est accompagnée d'une évolution majeure des systèmes informatiques :   - Le déploiement des réseaux haut débit réduit l’espace-temps et ne justifie plus les architectures distribuées complexes. Un mouvement de centralisation des systèmes informatiques est engagé.    La puissance toujours croiss ante des processeurs (loi de Moore) est consommée en - partie pour exécuter des couches sans cesse plus importantes de middleware . Ceux-ci assurent une réelle simplification des architectures de systèmes qui se traduit en particulier par la séparation d'une part de la production de puissance informatique , d'autre part de son utilisation pour exécuter des applications.   On assiste ainsi à une véritable scission technologique , qui préfigure une scission des métiers. Avec d’un côté, l'infrastructure informatique, s ocle technique qui délivre de la puissance de calcul ainsi que des capacités de communication et de stockage, et, de l’autre, les applications qui constituent l'instrument de producti vité de l'entreprise, l'outil de travail des utilisateurs.   Cette scission marque également la fin de l'emprisonnement dans les architectures propriétaires de grands constructeurs , qui imbriquent infrastructure et applications, grâce à l'avènement des nor mes et standards des systèmes ouverts construits autour d'Internet.     Les nouvelles architectures L’avènement de nouvelles normes et de standards de systèmes ouverts traduisent l'évolution vers la centralisation de la puissance de calcul ainsi que vers le découplage des infrastructures et des applications. Les sujets majeurs sont la virtualisation, le “client riche”et les architectures orientées services : * Virtualisation : La virtualisation permet de constituer plusieurs serveurs virtuels avec leur en vironnement complet, par allocation de ressources prélevées sur un seul serveur réel de grande puissance. C'est la solution pour concilier la centralisation des systèmes et l'indépendance des applications . Pratiquement, une application a besoin d'un ensemb le de ressources (mémoire centrale, espace disque, accès réseau , etc…) pour s'exécuter au profit d'un utilisateur; lorsque ce dernier lance cette application, le logiciel de virtualisation définit une machine virtuelle comportant toutes ces ressources au sein de la machine réelle. Cette machine virtuelle vivra le temps nécessaire à l'utilisateur pour faire son travail avec cette application, puis les ressources de la machine réelle seront libérées pour d'autres usages. Dans les architectures distribuées, où souvent un serveur est installé pour chaque application, un serveur n'est utilisé en moyenne qu'à 15% de sa capacité. L'utilisation de machines virtuelles assure une meilleure utilisation des ressources réelles par mutualisation; elle permet de porter l'u tilisation des ressources réelles à 80% environ. Outre la simplification des architectures déployées, qui en réduit le co ût, on peut imaginer l'impact sur la consommation d'énergie et sur le besoin de locaux techniques.  

 

6  

 

   Client riche  (et léger) *  Les systèmes d'information actuels reposent sur un client, c'est -à-dire un poste de travail mis à disposition d'un utilisateur, et un serveur, c'est -à-dire un ordinateur partagé entre tous les utilisateurs pour a ssurer la communication entre eux et le partage des données communes. Il y a plusieurs clients pour un serveur. On appelle ces architectures de façon générique "architectures client -serveur". En l'absence de réseaux assurant un débit suffisant, ces architectures ont reposé longtemps sur des clients lou rds, c'est-à-dire des logiciels assez complets sur le poste de travail, afin de réduire au minimum les échanges entre le poste de travail et le serveur. Le déploiement de réseaux locaux à haut débit a permis d'évoluer vers les solutions de client léger, c'est-à-dire de transfert de tout le logiciel d'application sur le serveur. L'avantage est de n'avoir à gérer qu'en un lieu, sur le serveur, le logiciel d'application. Cela allège la maintenance de ce logiciel et réduit le co ût du poste de travail. Le passage au  client riche  définit le poste de travail dans l'architecture du Web 2.0 . Ce client riche est fondé sur l'utilisation systématique d'un navigateur Internet qui offre une solution standard de dialogue homme -machine et sur l'utilisation d'un langage interprèté comme Java pour exécuter en local quelques traitements simples au cœur de ce dialogue. Comme avec le client léger, il n'y a pas de logiciel spécifique sur le poste de travail . Mais l'utilisation d'un environnement programmable permet néanmoins d 'y exécuter quelques fonctions qui déchargent le serveur et le réseau. * Architecture SOA (Service Oriented Architecture) L'architecture orientée services (traduction de l'anglais Service Oriented Architecture, ou SOA) est une forme d'organisation de la re lation entre les applications et l'infrastructure. Dans une architecture SOA, l'infrastructure offre des services aux applications par le biais d'un médiateur - généralement une solution appelée un bus logiciel - qui impose un format d'échange pivot pour que lesdites applications puissent fonctionner ensemble. L'architecture orientée services est une réponse très efficace aux problématiques que rencontrent les entreprises en termes de réutilisabilité, d'interopérabilité et de réduction de couplage entre les différents systèmes qui implémentent leurs systèmes d'information. Les constructeurs informatique s et les éditeurs de logiciels d'infrastructure ont aujourd'hui tous une offre de produits qui réalisent des architectures SOA, avec des clients riches.         1.3. Infrastructures de confiance, socle stratégique du cyberespace   Il devient dès lors pertinent de distinguer la fourniture d'énergie informatique ( Utility Computing ) de son utilisation. La généralisation du recours à Internet, le déploiement des architectures orientées service (SOA), l'évolution des techniques de virtualisation et la multiplication des opérations de consolidation sont les signes précurseurs du  utility computing . La notion d’infrastructure informatique exprime pleinement c ette analogie

 

7  

 

pratique avec le monde de l’énergie électrique 1 lui-même composé de centrales de production d’énergie et d’un réseau de transport et de distribution de l’énergie ainsi produite : - Des  centrales informatiques  produisent la puissance de ca lcul qui pourra demain être distribuée  à la prise  ; l’évolution décrite conduit à imaginer le besoin de centres informatiques de grande puissance, bâtis indépendamment des applications qu'ils supporteront. Ainsi ont été imaginés des projets de "central es informatiques" pour les besoins de l'Etat, de centres d'infogérance ou de grandes entreprises . Les gouvernements allemand et français s'intéressent au sujet, dans le prolongement des initiativ es prises pour satisfaire les besoins croissants de puissance de calcul scientifique ; - La couche de logiciels d’infrastructure ( middleware ), comprenant sécurité, administration et plate -forme distribuée, correspond au réseau de transport de la puissance.   Les logiciels d'application consomment cette énergie pour délivrer des services de traitement, de stockage, de transmission, de partage , etc… de données. La nouvelle société de l’information sera construite sur le Web 2.0, au standard Internet, offrant au x utilisateurs, au travers de postes de travail “clients riches”, l’accès à ces services génériques ou personnalisés qui satisferont tous leurs besoins . Le lieu de ces transactions est le cyberespace, domaine d'échanges dématérialisés; sa réalité est faite de centrales informatiques, reliées entre elles ainsi qu’aux utilisateurs , intégrées dans des ensembles cohérents que sont les infrastructures qui délivrent de la puissance de calcul à la demande.                  

                                       1   L'implantation des centrales informatiq ues de Google est déterminée en tenant compte de l'acc ès à l'énergie électrique et à l'eau de refroidissement ( Voir http://www.google-stories.com/tag/data-center- google ).

 

8  

 

’ II. Préserver l essentiel dans ce nouveau contexte : que devons- nous maîtriser ?       Face une telle évolution, les Etats et les secteurs sensibles ne pourront accepter d'être dépendants de l'extérieur pou r leur puissance informatique. D e la même façon qu'ils ont veillé à ne pas l'être pour l'énergie électrique.   Il est inconcevable que des acteurs industriels européens ne s'organisent pas dans ce paysage.   Dès lors, la préservation de trois capacités informatiques est essentielle à l’indépendance telles que l’illustrent la segmentation et la chaîne de la valeur ajoutée des systèmes d’information :  

SEGMENTATION PROSPECTIVE ET CHAINE DE VALEUR AJOUTEE DES SYSTEMES D'INFORMATION

PRODUITS & LOGICIELS METIERS MIS EN ŒUVRE OPERATEUR FOURNITURE DE SERVICES APPLICATIFS PRODUITS ET LOGICIELS VERTICAUX INTEGRATEUR (SOFTWARE)

COUCHES DU SYSTEME D'INFORMATION SERVICES

SYSTEME D'INFORMATION APPLICATIONS

SECURITE LOGICIELS INTEGRATEUR D'INFRASTRUCTURE D'INFRASTRUCTURES ADMINISTRATION HORIZONTAUX DE CONFIANCE INGENIERIE (MIDDLEWARE) ("ARCHITECTURE LOGICIEL") PLATE-FORME DISTRIBUEE D'INFRASTRUCTURES DE CONFIANCE MACHINES INTEGRATEUR VIRTUALISATION COMPOSANTS DE CENTRALES INFORMATIQUES ARCHITECTURE ("ARCHITECTURE MATERIEL") SYSTEME D'EXPLOITATION CONSTRUCTION PROCESSEURS ET MEMOIRES DE MACHINES (HARDWARE) FABRICATION DE COMPOSANTS ELECTRONIQUES  Capacités à maîtriser pour assurer l'autonomie stratégique  Applications critiques nécessitant la maîtrise des infrastructures de confiance Source : Serendip        

 

APPLICATIONS NON CRITIQUES

SYSTEMES CRITIQUES Opérateur de confiance Intégrateur de systèmes critiques

9  

 

Chaîne de valeur ajoutée informatique   La chaîne de la valeur ajoutée de l’informatique, représentée par le schéma ci -dessous, s’étend du silicium au se rvice rendu à l’utilisateur. C’est une représentation théorique et simplifiée des couches de produits de types matériel, logiciel d’infrastructure et logiciel d’application, qui constituent un système d’information; c’est en même temps une énumération des métiers (accolades de droite) qui apportent de la valeur ajoutée, les uns sur les autres, pour construire un tel système.   De quoi est constitué un système d’information ?   

 la base se trouve un ensemble de composants , électroniques ou matériels, faits de processeurs, mais aussi de mémoire, de moyens de stockage, d’interfaces avec les réseaux de télécommunication,  d’interfaces homme-machine (écrans et claviers avec souris, haut-parleurs, microphones…), bref, tous les périphériques nécessaires à leur utilisation. Ces composants sont reliés entre eux pour offrir de la puissance de traitement de l’information à des applications. Pour  donner vie  à ces composants, c’est-à-dire pour qu’ils soient capables de faire ce que l’on attend d’eux, il faut mettre dans leur mémoire des logiciels d’infrastructure . Ceux-ci pilotent d’une part le fonctionnement technique de chaque matériel, d’autre part le fonctionnement de l’ensemble des matériels constituant l’infrastructure. L’infrastructure délivre alors les services nécessaires à l’exécution des logiciels d’application , qui sont les logiciels développant la logique du métier des utilisateurs. L’application est la raison d’être du système d’information.   Regardons ces trois blocs constitutifs d’un système d’information de façon un peu plus précise. La machine  (en anglais, hardware) utilise comme matière première les semi - conducteurs L’industrie du silicium pose donc la première couche de valeur ajoutée. Elle a absorbé la conception des processeurs  depuis l’apparition des microprocesseurs et propose un ensemble de composants électroniques qui accompagnent la mise en œuvre du processeur.    

 

10