Lorsque l’on regarde une série américaine, type 24 ou NCIS, on est toujours beaucoup amusé sur les possibilités complètement extravagantes dont disposent les acteurs en matières d’informatique. Ainsi, on y voit des agents prendre le contrôle de tout un réseau de caméras routières, afin d’y suivre une voiture en fuite, d’autres agents pénétrer carrément sur le réseau d’une entreprise tierce, traversant au passage un firewall, lire des mails à distance en outrepassant les mots de passe, récupérer des fichiers après avoir contourné toutes les procédures de sécurité, etc.

La réalité est bien entendu bien différente: ce genre d’opération ne se fait pas de la sorte aussi facilement, elles sont même la plupart du temps parfaitement impossibles, ou du moins très difficilement réalisables.

Pour notre plus grand malheur, ceux qui sont censés nous diriger vivent dans le même univers de science-fiction; ils pensent qu’en matière d’Internet, on devrait toujours arriver à le contrôler, et qu’il suffit d’une nième loi pour lutter contre le terrorisme, cet argument générique tellement facile à sortir pour asseoir leur désastreuse emprise sur nos vies.

Dura lex sed lex, seule compte la loi; la technique, on s’en moque, ce n’est pas notre tasse de thé, on laissera cela à des gens dont c’est le métier. Le problème, c’est qu’entre l’intention et ce qu’il est réellement possible de faire, il y a un fossé parfois abyssale et qui fera qu’une loi ne restera qu’une bête coquille vide. Seulement, il y a derrière cela deux conséquences particulièrement toxiques: dans un premier temps, cela complexifie beaucoup la loi qui n’a certainement pas besoin de cela, et deuzio, cela nuit grandement à la crédibilité du législateur. Un ministre n’a pas besoin d’être ingénieur réseau, mais il se doit tout de même de s’entourer de gens qui savent de quoi on parle. Or il est navrant de voir à quel point nos excessivement « chers élus » ne comprennent pas ce dont ils parlent, ou du moins ne prennent sans doute pas en compte ce qui leur a été réellement conseillé.

Si je reprend les différentes lois afférant au contrôle de l’Internet qui ont été récemment promulguées, j’y apprend par exemple qu’il est désormais possible d’installer des mouchards sur n’importe quel PC, afin d’y enregistrer tout ce qui y est fait, et ce à distance, mon brave monsieur. Et bien moi, je demande sérieusement à voir cela, d’un point de vue technique.

Parce que voyez-vous, on ne rentre pas comme cela si facilement sur une machine: déjà votre routeur, généralement une Box ADSL ou fibre, filtre de base déjà un certain nombre de menaces, comme par exemple les vers qui communiquent par vos ports réseaux TCP/UDP. Ensuite votre système d’exploitation comprend souvent un firewall (le fameux centre de sécurité de Windows) qui reprend les fonctionnalités de ce qui se fait déjà primitivement sur votre box mais en plus évolué. Il vous prévient par exemple si un programme tente de squatter un de vos ports TCP/UDP pour y communiquer vers l’extérieur. Finalement, la plupart d’entre nous dispose d’un antivirus qui fait aussi souvent office d’anti-spyware et qui est capable de détecter la plupart des « programmes suspects », y compris ceux qui sont des développements « maison ». En bref, initier une attaque comme cela à distance, c’est particulièrement difficile, il faut mieux procéder en utilisant d’autres manières.

La première chose qui me vient à l’esprit est de s’introduire chez la personne et d’y déposer un mouchard directement sur sa machine; mais là encore, ce n’est pas simple: il faudra peut-être casser les mots de passe Windows, parfois même BIOS, sans doute outrepasser l’antivirus, etc. Et le tout sans laisser de trace de son passage. On doit pouvoir aussi compter sur la non-technicité de la personne, mais contrairement à ce que l’on croit, tout le monde n’est pas toujours le crétin que l’on espère croiser. Chance de réussite: 30%

L’autre façon de faire est l’hameçonnage: on envoie un faux courrier à la personne lui demandant de cliquer sur un lien qui va aller discrètement installer sa cargaison sur le PC. Mais là encore, l’antivirus peut faire barrage.  Tiens, d’ailleurs à ce sujet, vous ne trouvez pas que l’on a tendance à beaucoup recevoir de fausses factures par mail en ce moment ? Chance de réussite: 50%

Finalement, la dernière possibilité est de surveiller ce qui sort de votre machine vers l’Internet; mais avec tout de même quelques limites car vous n’aurez pas forcément toutes les informations: tout ce que vous faites sur votre PC ne part pas forcément sur Internet. Si j’écris une lettre avec un traitement de texte ou je fais un dessin, ces données ne vont pas sur Internet. Je détaillerai dans un article les moyens pour surveiller l’Internet mais aussi toutes leurs limites.