L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureCyberattaque : l’Anssi pourra exiger le blocage des sites sans passer par le juge
Le projet de loi de programmation militaire a été présenté ce mercredi en Conseil des ministres. Une des dispositions veut doter le gendarme de la sécurité informatique d’un pouvoir redoutable.
Le ministre des Armées a présenté en Conseil des ministres le projet de loi relatif à la programmation militaire (LPM) pour les années 2024 à 2030. Le texte fourre-tout veut, selon le gouvernement, fixer « les orientations de la politique de défense française pour les sept prochaines années ». Parmi les 35 articles, l’une des dispositions entend doter l’ANSSI d’un pouvoir redoutable, celui d’exiger des fournisseurs d’accès (FAI) de bloquer des noms de domaine sans passer par une décision de justice. Ce blocage administratif n’est jusqu’à présent possible que pour les sites pédopornographiques, les sites faisant l’apologie du terrorisme et les sites mettant gravement en danger les consommateurs. Le gouvernement entend ouvrir un nouveau cas de figure : « le filtrage de noms de domaine utilisés ou instrumentalisés par des cyberattaquants » en cas de menace susceptible d’affecter la sécurité nationale.
L’ANSSI a déjà la capacité de mettre en place des sondes techniques pour identifier des adresses utilisées par des attaquants. Si ce texte, présenté à la veille de l’ouverture du forum international de la cybersécurité (FIC), est voté, elle disposera d’une nouvelle arme : exiger des intermédiaires techniques le filtrage de ces mêmes adresses. En pratique, détaille l’étude d’impact, l’agence demandera d’abord au titulaire du nom de domaine du site impliqué dans une cyberattaque « de prendre, dans un délai qu’elle lui impartit, les mesures adaptées pour neutraliser la menace ». Par exemple, elle pourra lui réclamer de supprimer une page particulière.
À défaut de réponse satisfaisante, l’ANSSI pourra dans un second temps, « ordonner aux hébergeurs et aux FAI de mettre en œuvre une mesure de blocage, ou enjoindre aux registres et bureaux d’enregistrement de suspendre le nom de domaine ». Si le titulaire du nom de domaine a enregistré ce nom à des fins malveillantes pour commettre des cyberattaques, « les mesures de filtrage pourraient aller jusqu’à la redirection, du nom de domaine concerné vers un serveur neutre ou sécurisé et maîtrisé par l’ANSSI ». En dernier stade, le nom de domaine pourrait même être transféré directement entre les mains de l’agence qui en deviendrait son nouveau titulaire.
Ces opérations seront soumises au contrôle a posteriori de l’Autorité de régulation des communications électroniques et des postes (ARCEP). Le renouvellement du blocage sera soumis à un avis conforme de cette entité, et l’ensemble de ces décisions pourront faire l’objet d’un recours devant les juridictions administratives. « Les mesures proposées sont susceptibles d’engendrer des surcoûts à la charge des FAI, des hébergeurs ou de l’office d’enregistrement des noms de domaine en « .fr » ou des bureaux d’enregistrement établis sur le territoire français », reconnaît l’étude d’impact. Le texte prévoit un système de compensation de ces surcoûts. « En cas de blocage de nom de domaine, les particuliers n’accèdent plus aux pages concernées », concède le gouvernement. « Pour autant, la mise en œuvre des mesures n’est prévue que dans des hypothèses de menaces susceptibles de porter atteinte à la sécurité nationale, ce qui autorise à penser que l’impact pour les particuliers est mesuré. »
Le feu vert du Conseil d’État
Dans son avis, le Conseil d’État a estimé que cette proposition est « adaptée, nécessaire et proportionnée au motif d’intérêt général qui la justifie » et conforme au droit de l’Union. Ce texte s’inscrit dans le sillage d’une des précédentes lois de programmation militaire de décembre 2014. Dans le Code de la défense, un article permet déjà à l’Anssi ou au ministère de la Défense de répondre à une cyberattaque lorsqu’est affecté « le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation », mais le législateur s’était bien gardé de détailler le mode opératoire.
D’autres chapitres de ce tout récent projet de loi intéressent de près l’agence. L’article 33 veut ainsi « prévoir la communication (…) de certaines données techniques de cache de serveurs de systèmes de noms de domaines (DNS) ». Ce dispositif « permettrait à l’ANSSI de connaître les requêtes DNS qui ont été effectuées par les clients, légitimes et malveillants, de manière anonymisée, pour identifier l’infrastructure de l’attaquant et suivre son activité ». En clair, le gouvernement veut qu’à travers ces éléments techniques et anonymisés, l’ANSSI puisse « caractériser plus finement l’attaque et la stratégie de l’attaquant ». Les conditions d’application seront définies dans un futur décret en Conseil d’État. De même, les opérateurs de centre de données (datacenters) vont être inclus dans le périmètre des acteurs sur lesquels l’ANSSI veut pouvoir installer des « marqueurs » pour détecter des incidents. Le projet de loi l’autorise au passage à obtenir la copie des serveurs utilisés par des attaquants.
Les éditeurs de logiciels devront déclarer les incidents de sécurité
Une autre mesure, et pas des moindres, compte obliger les éditeurs de logiciel à informer l’ANSSI et leurs clients français lorsqu’ils sont « victimes d’un incident informatique » ou en cas de vulnérabilité critique. Jusqu’à ce jour, cette obligation de notification ne concernait que certains situations. Dans les cas de fuite de données à caractère personnel, le responsable doit alerter la Commission informatique et des Libertés dans les 72 heures. Et en matière cyber, des grands acteurs, notamment les opérateurs d’importance vitale (OIV) comme les centrales nucléaires, Radio France ou l’Imprimerie Nationale, doivent signaler les incidents cyber à l’ANSSI. La future LPM étend cette logique aux éditeurs : ils devront informer non seulement l’agence mais également les utilisateurs du logiciel pour chaque incident ou vulnérabilité critiques.
Cette information existait déjà dans la pratique, mais elle est cette fois inscrite formellement dans un texte. Si l’éditeur traine des pieds, l’ANSSI pourra lui enjoindre de communiquer cette défaillance auprès de ses clients, voire s’occuper elle-même de cette publicité. Aucune autre sanction n’est prévue. Par contre, la disposition aura une portée extraterritoriale. Elle s’appliquera « aux éditeurs de logiciels français et étrangers qui fournissent un produit à des utilisateurs sur l’ensemble du territoire de la République », ce qui imposera un feu vert de la Commission européenne. Selon l’étude d’impact, « les éditeurs peuvent sous-estimer les conséquences, pour leurs utilisateurs et pour l’écosystème numérique, de l’existence de vulnérabilités. Surdéterminant les réactions potentielles des marchés financiers ou des investisseurs, ils peuvent ainsi s’avérer réticents à transmettre à leurs utilisateurs d’éventuelles faiblesses dans leurs produits ».
