La meilleure défense, disent certains, est une bonne offensive.
C’est en tout cas la logique qui motive un projet de loi controversé actuellement soumis à l’examen du Parlement et qui permettrait à l’organisme canadien chargé de la sécurité des télécommunications de lancer des cyber-opérations contre des puissances ou des groupes étrangers constituant une menace potentielle pour la sécurité nationale.
La Loi sur le Centre de la sécurité des élécommunications prévue par le projet de loi C-59, permettrait à l’ultrasecret CST « d’intervenir en ligne dans le but de contrecarrer les menaces étrangères et, plus précisément, de veiller à la protection de nos institutions démocratiques, de déjouer les plans de groupes extrémistes et terroristes, et de contrer les cyberattaques perpétrées par des États étrangers. »
La possibilité de répercussions sur les renseignements personnels est une des raisons pour lesquelles le projet de loi fait l’objet d’un examen minutieux.
Au mois de décembre, le Citizen Lab (Labo citoyen, NDT) de l’Université de Toronto, qui fait partie de l’École Munk des affaires internationales, a dit s’inquiéter du fait que la loi et certaines pratiques du CST « reposent sur des interprétations juridiques ambigües et secrètes qui légitiment la vaste collecte de renseignements et les activités de surveillance généralisée ».
Selon le rapport du Labo, il n’y aurait « pas du tout de surveillance ni de contrôle approprié des activités du CST en ce qui concerne aspects actif et défensif des cyberopérations dans son mandat ».
Le rapport cite « un manque total de surveillance et de contrôle des cyberopé-rations actives et défensives proposées dans le cadre du mandat du CST. »
Lors d’une apparition publique exceptionnelle à la Conférence d’Ottawa sur la défense et la sécurité, Mme Shelly Bruce, chef adjointe de l’organisme, a déclaré que de telles activités seraient soumises à des paramètres juridiques précis et à l’approbation des échelons du gouvernement les plus élevés.
Les nouveaux pouvoirs du CST pourraient servir à empêcher le téléphone mobile d’un terroriste de faire exploser une voiture piégée, dit-elle, à neutraliser l’infrastructure des communications d’un terroriste ou à perturber subrepticement une menace étrangère cherchant à faire obstacle aux procédés démocratiques du Canada.
Cette loi, qui fait partie d’une législation visant la gouvernance globale des opérations de sécurité et d’espionnage, interdirait toutefois l’utilisation d’outils offensifs contre les Canadiens ou contre l’infrastructure mondiale basée au Canada.
Le projet de loi restreindrait aussi les cyberopérations offensives à des actes raisonnables et proportionnés, dit Mme Bruce, et il ne permettrait pas d’actes qui bafoue-raient des principes clairement définis.
« Il faut que ce soit contre des cibles étrangères; que cela se passe à l’étranger, dit-elle. Il faut que ce soit raisonnable, nécessaire et proportionné. Il ne faut pas que la justice ni la démocratie soient entravées ni qu’il en résulte la mort ni des blessures.
« Il y a donc beaucoup de contraintes, et je pense qu’en plus de l’examen [des dispositions de la loi], ce sont là tous les freins et contrepoids qu’il faut pour garantir aux Canadiens que ces pouvoirs ne seront pas utilisés de manière inconsidérée. »
[Le CST] bloque chaque jour jusqu’à un milliard
de tentatives de détection de vulnérabilités dans
les réseaux du gouvernement fédéral, ainsi
que plus de 25 millions d’essais d’installation
de logiciel malveillant.
Quelque 600 personnes, dont des autorités de la défense et de la sécurité publique et d’importants acteurs universitaires et industriels ont assisté à la réunion de deux jours, laquelle était parrainée par l’Institut de la Conférence des associations de la défense. L’Institut de la Conférence des Associations de la défense est un groupe qui englobe plusieurs organisations s’occupant de sécurité et de défense, dont la plus importante est la Légion royale canadienne.
Le symposium de cette année avait pour thème Canadian Security and Defence in the New World (dis)Order (Sécurité et défense canadiennes dans le nouvel ordre (ou nouveau désordre) mondial, NDT), et portait sur des problèmes contemporains comme l’évolution démographique, les défis émergents concernant la défense, l’agression de la Corée du Nord et la redéfinition du rôle de NORAD.
Mme Bruce a présenté un résumé portant matière à réflexion des difficultés auxquelles sont actuellement confrontés les défenseurs canadiens de la cybersécurité.
Elle a dit que son organisme bloquait chaque jour jusqu’à un milliard de tentatives de détection de vulnérabilités dans les réseaux du gouvernement fédéral, ainsi que plus de 25 millions d’essais d’installation de logiciel malveillant et plus de 90 000 tentatives d’accès pernicieux aux bases de données du gouvernement.
« Au cours des décennies, ceux d’entre nous qui travaillent principalement dans le cyberespace avons été très occupés à acquérir des capacités et des techniques, à fournir des avis et des conseils, et à procurer des renseignements et des services cruciaux au gouvernement canadien pour la défense de ses systèmes, dit Mme Bruce. La cybersécurité [est devenue] un problème à caractère dominant pour les secteurs public et privé, ainsi que pour les Canadiens en général. »
Les enjeux sont évidents : repousser les tentatives coute cher en fonds et en temps; pourtant, les attaques peuvent entraver les activités du gouvernement, nuire aux informations et ternir les réputations, et même pire encore.
Le CST a dit en juin dernier qu’il s’attendait à ce que des pirates informatiques et des campagnes de désinformation essaient d’influencer les prochaines élections fédérales.
« Les cyberattaques contre les processus démocratiques augmentent partout dans le monde, a affirmé Greta Bossenmaier, chef du CST. Elles ciblent les partis politiques et les politiciens pour forcer, manipuler ou discréditer des particuliers.
« Elles ciblent les médias traditionnels ou sociaux, pour manipuler et influencer les discussions publiques ou pour réduire la confiance dans le processus démocratique, et le Canada n’est pas à l’abri de ces menaces. »
Mais à quel prix, ces cyberopérations?
Le rapport de l’Université de Toronto se reportait au bilan discutable du CST en matière de droits de la personne et citait « l’absence de garanties ou de restrictions sérieuses concernant les cyberopérations actives et défensives du CST ». Il dit que ce manque pourrait « menacer gravement les outils de communication protégée, la sécurité publique et la sécurité mondiale ».
Il exprimait aussi des inquiétudes que l’acquisition d’outils de logiciels malveillants, de logiciels espions et de piratage puisse « légitimer un marché s’appuyant sur la mise en péril de l’infrastructure mondiale des informations plutôt que sur son renforcement ».
Il dit que les protections de la loi pour les Canadiens sont « faibles et vagues » et représentent « un mépris évident pour la protection des renseignements personnels en tant que norme internationale des droits de la personne ». La loi « étendra considérablement la capacité du CST d’utiliser ses pouvoirs très larges au pays, » dit-il.
Et il a de « graves inquiétudes » au sujet de l’aide technique et opérationnelle du CST à d’autres organismes, dont les forces de l’ordre.
L’aide du CST, dit le rapport, pourrait donner « des capacités qu’il serait autrement illégal ou anticonstitutionnel pour les partenaires d’élaborer, d’utiliser ou de posséder, ou qui seraient intrinsèquement disproportionnées par rapport au contexte de leur utilisation ».
Mme Bruce dit que ce n’est pas le travail de l’organisme de promouvoir ni de défendre la législation proposée, mais a précisé pendant la conférence que le caractère largement répandu et interconnecté de l’Internet signifie que « nous devons tous penser à la cybersécurité plus souvent et chercher des moyens de collaborer plus efficacement à l’édification de nos cyberdéfenses ».
L’acquisition de renseignements précis,
objectifs et pertinents est essentielle
pour la démocratie.
Jānis Sārts, directeur du Centre d’excellence pour la communication stratégique de l’OTAN, situé à Riga, en Lettonie, dit que le pouvoir et les vulnérabilités des techniques de communication ne peuvent pas être sous-estimés.
« D’après moi, le plus grand changement dans la consommation des informations depuis que Gutenberg a inventé la presse à imprimer a lieu actuellement », a-t-il dit.
Le résultat de ce changement qui a eu lieu au 16e siècle, a-t-il remarqué, a été 100 ans de guerre en Europe basée sur les diverses croyances religieuses. Selon lui, l’acquisition de renseignements précis, objectifs et pertinents est essentielle pour la démocratie, qui n’a jamais été en plus grand danger que maintenant.
Il dit que 80 % des gens reçoivent des informations par voie numérique, et que pour 60 % d’entre eux, Internet est la principale source d’informations. La plupart des gens suivent les nouvelles, où leurs flux sont alimentés par des amis, des collègues et des proches – des gens dont le point de vue est semblable au leur – et les algorithmes du site renforcent cette tendance en leur montrant en priorité ce qu’ils aiment.
« Nous avons toujours eu des préférences cognitives, dit M. Sārts. Mais maintenant, nous pouvons alimenter nos préjugés culturels en [consommant] des informations auxquelles nous croyons déjà. Cela signifie que nous sommes de moins en moins capables de voir les autres points de vue. »
En Lettonie, où un groupe tactique de l’OTAN dirigé par le Canada est la cible d’une campagne de désinformation russe, 40 % des messages sur Twitter sont postés par des robots. En Russie, ce chiffre est de 80 %.
Les cyberopérations russes et chinoises, a rappelé M. Sārts aux délégués, ne concernent pas seulement l’infiltration des systèmes.
« N’oubliez pas, dit-il, qu’au bout de l’appareil, il y a habituellement un cerveau humain. Alors ce qu’ils essaient de faire, ce n’est pas seulement d’infiltrer l’appareil, mais de lessiver le cerveau. Lessiver le cerveau et obtenir un effet. C’est ce qu’on fait pour s’attaquer à une élection. »
Déstabilisez une élection, et vous déstabilisez la confiance; déstabilisez la confiance, et vous enlevez la légitimité du pouvoir, dit M. Sārts. « Si l’on combine la robotique, les données massives et l’intelligence artificielle [pour diriger l’opinion et la prise de décisions], on se rapproche de cette notion : Le libre arbitre existe-t-il encore? »
Comments are closed.