Le ministère de la défense a une réponse à tout : « je ne sais pas »

Solarwinds ? Exchange ? Les néo-nazis dans ses rangs ? Même réponse

Reflets s’est invité à une conférence de presse du ministère de la Défense. Visiblement, nos questions détonnaient et cassaient l’ambiance

L’annonce du ministère vendait du rêve. On allait tout savoir sur la stratégie cyber des armées françaises. Le général de division aérienne Didier Tisseyre, commandant de la cyberdéfense, allait répondre aux questions des journalistes. Un sujet que Reflets maîtrise plutôt bien et nous étions impatients d’entendre enfin ce que les spécialistes de la DGA et le patron du cyber français allait bien pouvoir nous raconter sur ce que nous faisons dans le domaine. On parle beaucoup des Russes, des Chinois et des Nord-coréens, mais très peu du pays des mille fromages. Il était temps que cette injustice soit réparée.

Il est 14h15, nous trépignons devant la porte fermée du ministère. Soudain, un policier armé d’un énorme fusil mitrailleur ouvre la porte. Après un instinctif mouvement de recul, nous pénétrons dans le bâtiment. Il faut encore passer le portique de sécurité, enlever sa ceinture et tout ce qui pourrait être métallique, montrer sa carte d’identité à une militaire. Nous voici dans une belle salle de conférence sous le regard protecteur du président Emmanuel Macron et de la ministre de la défense Florence Parly, tous deux accrochés sur un mur.

Les uniformes emplissent rapidement la salle et rivalisent de galons et de breloques. Soudain, un jeune homme au costume (civil) coupé selon les canons de la mode actuelle fend la foule et se dirige vers le pupitre en saluant la plupart des journalistes dont il connaît les prénoms. C’est Hervé Grandjean, porte-parole du ministère.

Il déroule quelques nouvelles de la plus haute importance : un contrat avec MBDA pour des missiles MICA, une histoire de viseur de casque « scorpion » résistant à une éjection depuis un Rafale, un contrat avec Sopra-Steria pour le développement d’un logiciel, bref des trucs à faire la Une de toute la presse demain, dès potron-minet. En quelques minutes il a déjà répété plusieurs fois « je n’en dis pas plus sur ce sujet ». Soit il veut nous faire comprendre que l’armée en sait beaucoup mais que, selon la formule (ridicule) consacrée pour la protection du secret, « nous n’avons pas à en connaître », soit c’est un tic de langage. Ou alors, une blague sur le thème de « la grande muette ». En véritable maître de cérémonie (MC), il introduit finalement le général Didier Tisseyre, commandant de la cyberdéfense.

L’internet sombre

C’est derrière un autre pupitre (l’autre est réservé au porte-parole), que le général commence son discours. On ne va pas être déçus.

Le général pose le décor. « La menace augmente ». Mais la France est au taquet et le président l’a annoncé, nous allons nous reposer dans ce domaine sur des « solutions innovantes » et « un écosystème public-privé ». La Sartoupe Nation en marche. Les hackers n’ont qu’à bien se tenir. D’ailleurs, la France « construit un temple de la cyberdéfense » en Bretagne.

Depuis le temple, le général a pu observer les menaces et il nous explique : «il faut savoir qui sont les attaquants, les APT (Advanced Persistent Threat), pour qui ils travaillent » car désormais, nous sommes en présence du « malware as a service dans l’internet sombre ». Vous savez, cette partie d’Internet où il n’y a pas de lumière. Pire, il y aurait « un marché noir des vulnérabilités ». A ce stade, le général se lance dans une courte explication de ce qu’est une faille zeroday. Ça a l’air assez terrible.

Il ne s’en cache pas, le général sait que certains groupes sont rattachés à des États et d’ailleurs, la France « se prépare à un engagement majeur dans le cyberespace ». Reste à savoir contre qui on va se cyber-battre parce que « on a du mal à identifier les auteurs des attaques ». C’est que « l’ennemi est agile ». Il doit utiliser un Jira pour améliorer ses Sprints et autres Scrums. Le fourbe ! A ce sujet, le général Tisseyre va expliquer que l’attribution est une question politique. La France réagira en fonction de la nature de l’attaque, de l’identité supposée de l’attaquant, de ses intentions. Les réponses seront variées, cyber ou pas, militaire, diplomatique. Car il faut évaluer les risques d’escalade. A croire que nous n’avons pas la cyber-bombe atomique. Ou le gros bouton rouge.

Peu après cette présentation à peu près du niveau d’un commercial de base d’une startup dans le secteur de la sécurité informatique dans les années 2000, durant laquelle on l’a vu dérouler à peu près tous les grands chapitres du bouquin « les risques informatiques pour les nuls », arrivent deux experts de la DGA qui se succèdent au pupitre. C’est le point culminant. Une vidéo est diffusée.

The happy h00ded hacker

Très laborieusement, dans le film, quelques militaires dévoilent le scénario : un militaire responsable de l’automate chargé de la propulsion d’un navire va se faire pirater son PC professionnel via une pièce-jointe envoyée par un hacker super malin et expert en social engineering qui usurpe le mail d’une connaissance du militaire. PAF ! Le système de propulsion est piraté. Le vilain hacker porte évidemment un hoodie. On continue de stagner au niveau zéro de la compréhension des menaces informatiques. Et pourtant, le meilleur reste à venir.

Le temps des questions est arrivé. Reflets, qui n’a encore dépêché personne dans ce type de conférence de presse régulière (la neuvième de l’année, semble-t-il), se lance. Nous avons trois questions. Mais nous n’avons pas le temps de finir la première que MC Grandjean nous coupe : « cette question d’ordre général, vous la poserez comme nous le faisons toujours, à la fin de la conférence. Là, vous pouvez poser des questions sur le cyber ». Désolés, nous n’avons visiblement pas les codes. On garde notre question sur la présence de néo-nazis dans les rangs de l’armée dévoilée par Mediapart l’avant-veille et le fait que ce sujet n’a pas été abordé par le porte-parole.

Qu’à cela ne tienne, des questions sur le cyber, on en a. Par exemple, alors que les révélations Snowden ont généralisé l’usage du chiffrement, comment la France, qui avait pris une position très importante sur la place de marché internationale du renseignement par ses capacités d’interception, notamment sur le continent africain, s’est-elle adaptée ? Nous aimerions aussi savoir ce que fait la France en matière d’offensif. Sommes-nous une nation vertueuse qui ne fait rien dans ce domaine ? Nous avions pourtant une société – Vupen – qui, avant de déménager à l’étranger, produisait des armes numériques offensives très prisées, par exemple, par le renseignement intérieur.

La réponse à notre première question est assez rapide : « nous ne sommes pas un service de renseignement, donc je ne peux pas répondre », suivie d’une sorte de tirade incompréhensible sur le rôle du public et des entreprises privées.

En ce qui concerne l’offensif, « en France on ne veut pas de prolifération d’armes offensives cyber », ce qui va sans doute décourager les autres pays, mais « les armées font de l’offensif sur les théâtres d’opérations ». Cependant, « on n’en parle pas pour ne pas dévoiler ce dont nous sommes capables ». En France, la France du général Macron, « on fait de l’offensif, mais pas n’importe comment ». De l’offensif éthique, quoi…

Un confrère de Challenges pose la question d’actualité : les attaques via Solarwinds et sur les serveurs Exchange ont elles eu des répercussions en France ?

Le général annonce avoir discuté avec la DGA et la DIRISI. De quoi ? Mystère. En tout cas, il faut « avoir une cartographie pointue des systèmes mais c’est toujours compliqué ». Pour un peu on croirait que le général a lu tous les papiers des années 90 de Kitetoa.com lors de sa prise de fonction en 2019. Relancé, le général qui n’avait initialement pas l’air de pouvoir répondre, affirme que l’armée française n’a pas été touchée par Solarwinds. Mais sur Exchange, l’armée française étant connue pour son contrat « open bar » avec Microsoft ?

Là encore, le général reste flou. Nous reformulons : « vous êtes en charge de la protection des infrastructures de l’armée française, une série de failles graves sur Exchange a été révélée. Vous avez bien dû faire un audit de vos serveurs pour savoir si vous avez été affectés. Vous devriez être en mesure de répondre à cette question simple, l’armée a-t-elle été touchée ? ». Sous-entendu, sinon, c’est un tout petit peu ennuyeux. « L’important c’est d’être résilients », estime le général.

Non, ce n’est pas notre question. Les serveurs Exchange de l’armée française ont-ils étés touchés et des mails ont-ils fuité ?

« On ne sait pas à ce stade », finit par lâcher le patron de la cyberdéfense, près de quinze jours après la déferlante.

Les néo-nazis, Mediapart et l’armée

Absolument dépités et ayant l’impression de revenir en 1997, nous attendons la fin de la conférence de presse (restait le détail des opérations extérieures) pour poser notre question sur l’extrême-droite néo-nazie au sein de l’armée…

C’est une confrère qui relance finalement le sujet en demandant confirmation de la radiation d’un légionnaire. Le porte-parole du ministère et un monsieur en uniforme camouflage (à droite sur la photo du général Didier Tisseyre) confirment. Mieux, le porte-parole du ministère répète les éléments de langage du ministère, déjà exposés dans l’onglet « prolonger » de l’article de Mediapart… Sur la cinquantaine de cas, 12 ne sont plus liés à l’armée, pour une vingtaine, les investigations se poursuivent. Mais pour bien montrer que le ministère ne reste pas les bras ballants face aux néo-nazis au sein de l’armée, Hervé Grandjean explique (ce qui avait déjà été répondu à Mediapart) que certaines personnes avaient déjà été détectées et sanctionnées pour les faits évoqués.

A partir de là va s’instaurer entre nous, le porte-parole et le militaire en tenue de camouflage venu à la rescousse, un véritable dialogue de sourds qui s’achèvera par la réponse « 42 » du ministère. Nous voulions savoir, puisqu’il s’agit tout de même de personnes adeptes d’une idéologie visant à éradiquer les Juifs, quels étaient précisément les faits reprochés par le ministère et le nombre de jours d’arrêt qui avaient été prononcés. Histoire de se faire une idée de l’échelle des sanctions en fonction des faits. Le ministère va alors se lancer dans une série de réponses visant à noyer le poisson sur le mode « la justice ne s’est pas prononcée, les enquêtes, si enquête il doit y avoir ne sont pas terminées ». Mais ce n’est pas ce que l’on demandait. A force de répéter que deux jours après les révélations de Mediapart, il nous semble logique que le ministère puisse dire clairement, avec précision, ce qui a motivé les jours d’arrêt ainsi que leur nombre pour les personnes qui ont déjà été sanctionnées, le porte-parole a fini par concéder qu’il n’avait pas le détail des dossiers : « je ne sais pas ».

C’est un peu dommage.