![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock_1022908246.jpg\" "\\"Image")
<\/p>\n<\/p>\n
Apr\u00e8s les \u00e9lections fran\u00e7aises et am\u00e9ricaines, ayant chacune connu leur lot de hacks, de suspicion de piratages et de fuites de donn\u00e9es, on est en droit de se demander si le sort des d\u00e9mocraties est d\u00e9sormais entre les mains des hackers plus que des peuples. Comment s'assurer que les \u00e9lections du futur resteront imperm\u00e9ables aux cyberattaques ? Quelles m\u00e9thodes s\u00e9curis\u00e9es, quelles protections s'imposent ?<\/strong><\/p>\n <\/p>\n Sur les 37 sites Internet correspondants aux 11 candidats des \u00e9lections pr\u00e9sidentielles en France de 2017, l'expert en d\u00e9linquance informatique Damien Bancal<\/strong> avait recens\u00e9 plus de 200 failles de s\u00e9curit\u00e9<\/a> \u2013 tenant parfois, au-del\u00e0 des injections SQL ou des failles XSS, \u00e0 des aberrations telles que des mots de passe trop simples (il raconte ainsi que le site des R\u00e9publicains, sous WordPress, n'\u00e9tait d\u00e9fendu que par un identifiant \"admin\" et un mot de passe... \"admin\"). Pourtant des op\u00e9rations simples de mise \u00e0 jour et l\u2019application des bonnes pratiques permettraient de colmater, \u00e0 moindre effort, ces failles critiques. Et ce probl\u00e8me ne concerne pas seulement la France : peu apr\u00e8s les \u00e9lections en France, c'est le compte Twitter de l'agence de presse officielle du Qatar qui se retrouva pirat\u00e9<\/a>, diffusant de fausses d\u00e9clarations de l'\u00e9mir, tr\u00e8s vite reprises par les m\u00e9dias. En d\u00e9but d'ann\u00e9e 2018, cette d\u00e9ferlante malsaine s\u2019est abattue sur les \u00e9lections municipales tunisiennes<\/a>\u00a0ainsi que sur la campagne pr\u00e9sidentielle mexicaine<\/a>.<\/p>\n En 2017, nous avons d\u00e9couvert une nouvelle victime de cyberattaques : la d\u00e9mocratie !<\/em><\/p>\n Avant m\u00eame de s\u00e9curiser les stations de vote<\/strong>, il faut donc imaginer des moyens de se pr\u00e9munir contre les tentatives de d\u00e9stabilisation et fake news<\/em> diffus\u00e9es d\u00e9sormais massivement, voire syst\u00e9matiquement. Afin d'\u00e9viter que des informations calomnieuses ne se r\u00e9pandent comme des tra\u00een\u00e9es de poudre \u00e0 l'approche des \u00e9lections, il serait possible de mettre en place certains filtres, au niveau des URL comme des contenus, avertissant les utilisateurs de la visite sur des sites de d\u00e9sinformation ou ayant mauvaise r\u00e9putation.<\/p>\n De tels syst\u00e8mes ne sont cependant pas parfaits dans la mesure o\u00f9 il n'est possible de ne bloquer efficacement que ce dont le caract\u00e8re ill\u00e9gitime a d\u00e9j\u00e0 \u00e9t\u00e9 \u00e9tabli : pour laisser les IA filtrer les fake news<\/em>, il s'agirait donc de mettre en place des syst\u00e8mes d\u2019analyse syntaxique capables de d\u00e9tecter des variantes de ces news, en les entra\u00eenant notamment sur des \u00e9chantillons tant\u00f4t malveillants, tant\u00f4t sains. Ainsi, de la m\u00eame mani\u00e8re qu'il est d'ores et d\u00e9j\u00e0 possible de d\u00e9tecter les campagnes de spam, la prolif\u00e9ration de trolls pourrait \u00eatre automatiquement endigu\u00e9e.<\/p>\n <\/p>\n La campagne est cependant loin d'\u00eatre le moment le plus vuln\u00e9rable des \u00e9lections : l'enregistrement des votants, le vote en lui-m\u00eame, et enfin le d\u00e9pouillement posent, dans le cas d'\u00e9lections \u00e9lectroniques, des probl\u00e8mes plus complexes. Les \u00e9tudes de la NSA en cours sur la possible ing\u00e9rence de la Russie dans les \u00e9lections pr\u00e9sidentielles am\u00e9ricaines de 2016 insistent sur le fait que ce sont les syst\u00e8mes d'enregistrement des \u00e9lecteurs, effectu\u00e9s sur Internet et sans r\u00e9elles protections, qui se sont montr\u00e9s les plus vuln\u00e9rables aux assauts.<\/p>\n Plusieurs types de fraudes sont en effet \u00e0 envisager ici : dans un premier cas de figure, un syst\u00e8me mal s\u00e9curis\u00e9 peut permettre \u00e0 un seul individu d'enregistrer plusieurs votants, et donc de voter plusieurs fois. Un autre cas de figure suppose que les identifiants d'un \u00e9lecteur enregistr\u00e9 soient subtilis\u00e9s, et que quelqu'un d'autre vote \u00e0 sa place. Un dernier cas, plus radical encore, sugg\u00e8re que des \u00e9lecteurs enregistr\u00e9s en bonne et due forme se retrouvent purement et simplement supprim\u00e9s des listes au moment fatidique. De telles situations obligent \u00e0 se replier in extremis sur un vote plus classique, dans les urnes \u2013 l'objectif \u00e9tant de d\u00e9courager les votants, alors confront\u00e9s \u00e0 des files d'attentes d\u00e9mesur\u00e9es.<\/p>\n Les solutions antivirales classiques, bas\u00e9es sur le pattern matching<\/em>, sont aujourd\u2019hui d\u00e9pass\u00e9es dans la mesure o\u00f9 elles ne se concentrent que sur des signatures, des morceaux de codes qu\u2019elles vont rechercher au sein des fichiers utilis\u00e9s pour les cyberattaques. D\u2019autres protections existent \u00e0 ce jour pour assurer l\u2019int\u00e9grit\u00e9 du syst\u00e8me d\u2019enregistrement<\/strong>, en s\u00e9curisant \u00e0 la fois les serveurs, les stations des op\u00e9rateurs de ce syst\u00e8me et les donn\u00e9es qui y sont h\u00e9berg\u00e9es. Int\u00e9gration de la s\u00e9curit\u00e9 dans le design des applications de gestion des \u00e9lecteurs, audits r\u00e9guliers du code et des vuln\u00e9rabilit\u00e9s, mise en place de firewalls<\/em> applicatifs pour segmenter les environnements, gestion d\u2019identit\u00e9s \u00e0 base de certificats et de biom\u00e9trie sont autant de garde-fous qui doivent imp\u00e9rativement \u00eatre d\u00e9ploy\u00e9s. En outre, des technologies de nouvelle g\u00e9n\u00e9ration permettant la d\u00e9tection de menaces inconnues, en se basant sur une approche comportementale, compl\u00e8te cet arsenal : le comportement des applications qui tournent sur un syst\u00e8me est analys\u00e9 en temps r\u00e9el, si le comportement d\u00e9vie de ce qui est consid\u00e9r\u00e9e comme une activit\u00e9 normale, une alerte est lev\u00e9e et le comportement suspicieux bloqu\u00e9.<\/p>\n <\/p>\n Les stations de vote, connect\u00e9es ou non, peuvent \u00e9galement \u00eatre les cibles potentielles d'attaques plus sophistiqu\u00e9es : d\u00e8s lors, comment s'assurer que le choix des votants ne soit pas manipulable ?<\/p>\n Les syst\u00e8mes de vote en ligne peuvent en effet se r\u00e9v\u00e9ler vuln\u00e9rables \u00e0 des attaques, telles que le d\u00e9ni de service par exemple. Apr\u00e8s de nouveaux d\u00e9boires lors des \u00e9lections pr\u00e9sidentielles am\u00e9ricaines en 2016, les responsables de l\u2019\u00c9tat de New York ont annonc\u00e9 qu\u2019ils allaient organiser des s\u00e9ries d\u2019exercices pour emp\u00eacher le piratage informatique et les autres menaces cyber<\/a>, dans l\u2019optique des \u00e9lections pour la Chambre des Repr\u00e9sentants et le S\u00e9nat am\u00e9ricain de la mi-juin 2018. Attention, les syst\u00e8mes de vote offline<\/em> n'apportent pas forc\u00e9ment une fiabilit\u00e9 plus grande : utilis\u00e9es durant les \u00e9lections pr\u00e9sidentielles de 2004 aux \u00c9tats-Unis, les machines Diebold ont vu leur code fuiter sur Internet<\/a>, si bien qu'il s'av\u00e9ra possible pour un \u00e9lecteur de voter plusieurs fois.<\/p>\n Les syst\u00e8mes de vote \u00e9lectroniques doivent avant tout garantir que tous les votes l\u00e9gitimes ont \u00e9t\u00e9 correctement comptabilis\u00e9s, qu'aucun n'a \u00e9t\u00e9 dupliqu\u00e9, modifi\u00e9 ou supprim\u00e9, et qu\u2019aucun faux bulletin n'a pu \u00eatre ins\u00e9r\u00e9 par une entit\u00e9 malveillante. De telles preuves peuvent \u00eatre apport\u00e9es par le biais de preuves cryptographiques, d\u00e9tenues uniquement par les autorit\u00e9s de confiance. \u00c9videmment, avant de se fier aux syst\u00e8mes de chiffrement \u00e9lectronique, il s\u2019agit bien s\u00fbr de se fier \u00e0 ceux qui en ont la charge ; ici le probl\u00e8me reste le m\u00eame qu\u2019avec le vote traditionnel.<\/p>\n En Suisse, les cantons de Fribourg et Neuch\u00e2tel proposent d'ores et d\u00e9j\u00e0 le syst\u00e8me de vote par smartphone<\/a>, en lien avec La Poste. Chaque \u00e9lecteur re\u00e7oit chez lui un bulletin de vote avec des codes correspondant \u00e0 quatre moments de v\u00e9rification : le code d'initialisation, les codes de v\u00e9rification permettant de s'assurer que ses choix ont bien \u00e9t\u00e9 transmis, un code de confirmation correspondant au moment o\u00f9 le papier est gliss\u00e9 dans l'urne, et enfin un code de finalisation cl\u00f4turant le processus. D'autres cantons devraient s'y mettre prochainement.<\/p>\n <\/p>\n Il reste aujourd\u2019hui difficile de garantir l\u2019ensemble des propri\u00e9t\u00e9s de s\u00e9curit\u00e9 des syst\u00e8mes de vote \u00e9lectroniques<\/strong>. Or la d\u00e9mocratie n\u2019est jamais aussi solide que par la confiance accord\u00e9e par le peuple \u00e0 ses repr\u00e9sentants<\/a> : faut-il alors tomber dans la fatalit\u00e9 et se r\u00e9soudre \u00e0 remettre \u00e0 plus tard cette version num\u00e9rique qui se profile, ou bien enfin prendre le taureau par les cornes ? Pour une vraie d\u00e9mocratie num\u00e9rique, la s\u00e9curit\u00e9 doit \u00eatre int\u00e9gr\u00e9e d\u00e8s la phase de conception de ces syst\u00e8mes de vote pour \u00eatre r\u00e9ellement prise en compte dans les processus d\u00e9mocratiques. Et si la blockchain<\/a> apportait d\u00e9j\u00e0 des \u00e9l\u00e9ments de r\u00e9ponse ?<\/p>\n <\/p>\n Merci \u00e0 l\u2019\u00e9quipe Security Intelligence<\/a> de Stormshield, pour son aide pr\u00e9cieuse dans l'\u00e9criture de cet article, en collaboration avec Usbek & Rica<\/a><\/em><\/p>\n","protected":false},"excerpt":{"rendered":" Apr\u00e8s les \u00e9lections fran\u00e7aises et am\u00e9ricaines, ayant chacune connu leur lot de hacks, de suspicion de piratages et de fuites de donn\u00e9es, on est en droit de se demander si le sort des d\u00e9mocraties est d\u00e9sormais entre les mains des hackers plus que des peuples….<\/p>\n","protected":false},"author":31,"featured_media":98492,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1612],"tags":[4368],"business_size":[],"industry":[695],"help_mefind":[],"features":[],"type_security":[754,756,758],"maintenance":[],"offer":[],"administration_tools":[],"cloud_offers":[],"listing_product":[1565,1530],"class_list":["post-98489","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-veille-securite","tag-la-cybersecurite-par-stormshield","industry-administrations-publiques","type_security-donnees","type_security-postes-et-serveurs","type_security-reseaux","listing_product-ses-fr","listing_product-sns-fr"],"acf":[],"yoast_head":"\nDe l'importance de d\u00e9fendre les campagnes<\/h2>\n
Guillaume Poupard,<\/strong> Directeur G\u00e9n\u00e9ral de l\u2019ANSSI<\/pre>\n<\/blockquote>\n
Le moment le plus litigieux : l'enregistrement des \u00e9lecteurs<\/h2>\n
Les risques du vote informatique<\/h2>\n