Hacker contre craquelin. Le conflit entre les bons et les mauvais chapeaux. Bien que la société associe généralement les pirate informatique Cette perception est erronée concernant un criminel. En réalité, le pirate informatique Un expert en cybersécurité éthique, appelé « chapeau blanc », se consacre à l'identification des failles des systèmes, soit de manière altruiste, soit en échange de récompenses offertes par les entreprises, dans le but d'améliorer la cybersécurité. pirates informatiques Ce sont les personnes éthiques qui ont contribué au développement d'Internet. Tandis que craquelin, Le piratage informatique, ou « black hat », vise à compromettre les systèmes à des fins malveillantes, telles que les attaques, les menaces et l'extorsion.
“"Le crackers ” Ils sont devenus une menace majeure », dit-il. Pin chevalier, directeur de CryptULL : groupe de cryptologie et les chaires de cybersécurité de l'Université de La Laguna, parrainées par l'Institut national de cybersécurité (Incibe) et Binter. Il souligne également que les cybercriminels malveillants n'agissent plus uniquement par appât du gain, mais aussi pour d'autres motivations, comme le cyberterrorisme. À ce sujet, Caballero déclare : “ Nous avons besoin de… » pirates informatiques pour nous protéger de crackers”.
Le chercheur souligne qu'actuellement, crackers Ils commettent de nombreuses attaques contre ransomware, Ces attaques consistent à chiffrer le système de la victime (qu'il s'agisse d'un média, d'un hôpital ou d'une agence gouvernementale) puis à exiger une rançon en échange de la clé de déchiffrement, censée rétablir l'accès. Petya, par exemple, était une attaque de ce type. logiciels malveillants de type ransomware Lancée en 2016, cette mesure a affecté les infrastructures publiques.
“ Normalement, les attaques par ransomware ” Les rançongiciels puissants utilisent un chiffrement conforme aux normes actuelles, très difficile à casser. La récupération du système est donc pratiquement impossible sans la clé de chiffrement », explique Caballero. Il met également en garde contre le paiement de la rançon, car cela expose la victime à des attaques ultérieures.
menaces de cybersécurité
Chaque année, l'Open Web Application Security Project (OWASP) établit une liste des 10 principales menaces en matière de cybersécurité. Caballero note qu'en 2024, les trois premières étaient les problèmes de contrôle d'accès, les failles cryptographiques et les attaques par injection de code malveillant. Les problèmes courants, tels qu'une mauvaise conception d'applications et l'utilisation de composants obsolètes, y figurent également. De plus, Carlos Trincado, Un chercheur en droit pénal à l'Université de La Laguna indique qu'en général, il existe des problèmes liés aux fuites massives de données, aux attaques par déni de service, et ransomware.
Le premier cas a été enregistré en 1988. logiciels malveillants Sur Internet (alors connu sous le nom d'ARPANET), le ver Morris a infecté le port 10% des machines connectées au réseau. Suite à cet incident, l'Association for Computing Machinery (ACM) a instauré le 30 novembre comme Journée internationale de la sécurité informatique afin de sensibiliser le public à l'importance de la protection des données numériques et de la vigilance face aux menaces potentielles.
Le problème majeur réside dans l'erreur humaine. “ Nous sommes le maillon faible ”, affirme Caballero. “ En cryptographie – la discipline qui étudie et développe des techniques pour sécuriser l'information – nous pouvons concevoir des algorithmes parfaits, mais lors de leur mise en œuvre, ce sont les humains qui les exécutent et qui peuvent commettre des erreurs ”, souligne-t-il. Les erreurs humaines les plus fréquentes sont liées à la création et à l'utilisation répétée de mots de passe faibles sur toutes les plateformes, ainsi qu'aux attaques par… hameçonnage, le caractère obsolète de logiciel et le mauvais usage des outils informatiques.
Le directeur de CryptULL est agacé par les attaques d'ingénierie sociale comme les hameçonnage, Ces arnaques visent à manipuler les utilisateurs pour qu'ils révèlent des informations confidentielles. Actuellement, il est très fréquent de recevoir des appels téléphoniques demandant des données personnelles. “ Cela me met vraiment en colère que les gens tombent dans ces pièges, car il n'y a aucun moyen de se protéger contre une telle ignorance généralisée. ” Les cybercriminels utilisent même des techniques d'ingénierie sociale plus sophistiquées. Selon Trincado, le nombre de cas utilisant des outils d'intelligence artificielle générative pour commettre des cyberfraudes est en augmentation. Un exemple est une méthode spécifique où l'intelligence artificielle module la voix du PDG d'une entreprise pour se faire passer pour lui et inciter un employé à effectuer un virement bancaire.
Les femmes, plus vulnérables
Au sein de l'écosystème numérique, les femmes sont plus vulnérables. “ Malheureusement, le numérique fait partie intégrante de notre monde ”, souligne Caballero. Ainsi, si le monde physique est sexiste, le monde numérique l'est tout autant. Les femmes subissent deux formes de cyberviolence : le cyberharcèlement, notamment les attaques misogynes, et le harcèlement sexuel lié à la diffusion d'images. À cet égard, Caballero indique que la meilleure façon pour les femmes de se protéger est de se former à l'égalité des genres et à l'utilisation des médias numériques. “ Il a été démontré que les femmes sont plus exposées aux risques d'infiltration de leurs systèmes ”, affirme-t-elle. C'est pourquoi, en Espagne, Incibe s'efforce d'intégrer davantage de femmes au monde de la cybersécurité, un secteur où elles sont encore très peu nombreuses. “ Nous sommes victimes et nous devons devenir nos propres défenseuses ”, déclare-t-elle.
Actuellement, la technologie de apprentissage automatique L'apprentissage automatique est largement utilisé en cybersécurité, tant pour lancer des attaques que pour s'en défendre. Outre la détection d'attaques connues, il permet d'identifier de nouvelles menaces grâce à des processus d'apprentissage. Son principal atout réside dans sa capacité à traiter d'énormes volumes de données. “ Il se nourrit d'une quantité considérable d'informations, à partir desquelles il identifie des tendances pour en tirer des conclusions et améliorer son apprentissage ”, explique Caballero.
D'autre part, blockchain La blockchain est une autre technologie importante dans le domaine de la cybersécurité. Son principal usage concerne les contrats intelligents. Cependant, Caballero indique que son utilisation est en déclin. Le chercheur souligne les avantages de cette technologie, tels que sa distribution équitable et sa base cryptographique robuste, qui garantissent l'intégrité des informations stockées.
Informatique quantique
“ Il y a quelques années, j'ai participé à un Conférence TED ” J’ai pris l’informatique quantique pour une plaisanterie “, admet Caballero. ” Je dois me rétracter “, confie-t-il. Les ordinateurs quantiques sont déjà une réalité : ” Ils sont bien plus efficaces et puissants que nos ordinateurs classiques, désormais obsolètes. » Bien que l’informatique quantique trouve des applications dans différents domaines, son impact est surtout notable en cybersécurité, notamment en cryptographie.
“ Dès que nous disposerons d'ordinateurs quantiques suffisamment puissants, il sera possible de casser tous les systèmes cryptographiques que nous utilisons actuellement pour naviguer sur Internet, communiquer par téléphone portable ou effectuer des transactions bancaires ”, prévient Caballero. Les systèmes cryptographiques informatiques traditionnels reposent sur des problèmes mathématiques complexes, tels que les logarithmes elliptiques ou la factorisation de grands nombres premiers : “ Pour un ordinateur classique, séparer le produit de deux grands nombres premiers est très difficile ”, explique-t-il.
Cependant, pour un ordinateur quantique, ces problèmes sont beaucoup plus faciles à résoudre. C'est pourquoi il sera nécessaire de remplacer tous les algorithmes cryptographiques actuels. Caballero souligne que la société technologique IBM Research est à la pointe du développement dans ce domaine : “ Ils ont promis que, d'ici quelques années, un ordinateur quantique sera capable de casser tous les systèmes de cryptographie actuels. ”.
En effet, le président américain sortant, Joe Biden, a promulgué, durant son mandat, un décret exigeant que toutes les agences gouvernementales remplacent leurs algorithmes cryptographiques dans un délai de 18 mois, une mesure prise en urgence face à l'évolution rapide de cette technologie. De son côté, l'Europe a également publié une série de recommandations incitant les pays à mettre à jour leurs algorithmes afin de les adapter aux ordinateurs quantiques. Par ailleurs, selon Caballero, l'Institut national des normes et de la technologie (NIST) a récemment publié un communiqué révélant que tous les systèmes de cryptographie actuels seront obsolètes d'ici 2030 et interdits après 2035.
Cryptographie post-quantique
Ainsi, les mathématiques et l'informatique ont collaboré au développement d'une cryptographie post-quantique, résistante aux ordinateurs quantiques. Cette nouvelle cryptographie repose sur des problèmes mathématiques différents de ceux des systèmes traditionnels. Caballero explique que, dans l'un de ses ouvrages, le premier sur la cryptographie en espagnol, elle a présenté le schéma de McEliece, basé sur des codes. Cependant, ce schéma présente deux inconvénients : il requiert des clés très longues et son calcul est lent. La chercheuse a publié plus récemment une modification du schéma de McEliece avec des clés plus courtes. Le système de codes a été envisagé comme norme possible pour la cryptographie post-quantique, mais ce sont finalement les systèmes basés sur les réseaux qui ont été retenus.
Cependant, la cryptographie sur réseau est très difficile à appréhender. C'est pourquoi le groupe CryptULL a développé des outils pédagogiques pour intégrer ces connaissances dans les programmes scolaires et universitaires. “ Nous avons utilisé des outils issus de… » logiciel ” Ils utilisent des outils comme GeoGebra pour présenter la théorie des réseaux et Scratch pour enseigner la programmation et initier à l'informatique quantique », explique-t-il. Ils ont également conçu un jeu de cartes sur le thème de l'informatique quantique.
Tous ces outils de vulgarisation scientifique ont été présentés lors de conférences internationales et publiés dans des revues scientifiques à fort impact. Caballero reconnaît que des chercheurs d'IBM Research et du NIST se sont montrés intéressés par certains d'entre eux. Par ailleurs, le directeur de CryptULL indique que son équipe a mis en œuvre ces activités en classe et analysé les acquis des élèves grâce à ces outils, obtenant des résultats prometteurs.
Protection juridique
Le rôle du droit en matière de cybersécurité est fondamental. Trincado, chercheur en droit pénal, souligne que la plupart des infractions concernent la détérioration et la perturbation des systèmes informatiques, infractions régies par les articles 264 et 264 bis du Code pénal. Par ailleurs, l'accès non autorisé à des données confidentielles contenues dans des systèmes informatiques englobe un ensemble d'infractions disséminées dans le texte, notamment le délit de découverte et de divulgation de secrets, l'accès illicite à des données personnelles stockées dans des fichiers informatiques, les infractions liées aux secrets commerciaux et les atteintes à la sécurité nationale.
“ Le problème, c'est que nombre de ces crimes ne sont pas signalés, un terme qui désigne la fréquence élevée de certaines infractions dont l'incidence réelle n'est pas reflétée dans les statistiques officielles ”, explique-t-il. Cela s'explique par la grande difficulté à identifier et à poursuivre les cybercriminels. Ainsi, les crimes signalés restent souvent impunis et leurs auteurs ne sont pas condamnés. “ À l'inverse, d'autres crimes, comme les escroqueries ou les fraudes en ligne, aboutissent à un plus grand nombre de condamnations, car il est plus facile d'identifier les responsables ”, précise Trincado.
En ce qui concerne les crimes d'accès non autorisé aux données confidentielles dans les systèmes informatiques, la société a tendance à imaginer les auteurs comme crackers Dans une pièce sombre, devant un écran d'ordinateur éclairé par quelques lumières. Pourtant, les statistiques judiciaires révèlent qu'une grande partie des affaires concernent des employés d'entreprises ou des fonctionnaires accédant à des fichiers depuis des ordinateurs qui, vraisemblablement, ne s'allument même pas.
“ Cela s'explique par le contrôle très strict exercé par les organismes gouvernementaux sur l'accès aux systèmes informatiques ”, explique Trincado. “ Dans le secteur public, de nombreux jugements condamnent des fonctionnaires pour accès abusif à des dossiers médicaux et des fichiers de police, entre autres ”, ajoute-t-il. D'un point de vue juridique, l'essentiel est de ne pas se contenter de mettre en place des mesures de sécurité contre les menaces externes, mais aussi de prendre en compte les menaces internes.
Comment le droit peut-il s'adapter au rythme effréné du monde numérique ? “ L'accès aux données confidentielles est possible aussi bien dans les systèmes informatiques que dans les fichiers physiques ou les supports de stockage ”, affirme-t-il. L'interprétation de ces infractions peut donc généralement être intégrée aux interprétations existantes. Cependant, certains actes, comme la diffusion non consensuelle d'images intimes…sextingCes infractions ont dû être intégrées au Code pénal en raison de leur fréquence croissante dans le monde numérique. Sur le plan juridique, il est vrai que certains juges, notamment les plus puristes, peuvent manquer de formation spécifique aux nouvelles technologies, ce qui influence leur interprétation de certains termes. Toutefois, cela n'implique pas une mauvaise administration de la justice : “ Les juges s'appuient sur des rapports d'experts et de spécialistes, comme c'est le cas dans d'autres disciplines techniques ”, explique Trincado.
Réglementer l'IA
Le problème de l'intelligence artificielle réside dans sa définition, car ni les experts en technologie ni les spécialistes en informatique ne parviennent à s'accorder. D'un point de vue juridique, cela constitue un obstacle, les lois exigeant des définitions précises. “ Une définition trop large peut engendrer des difficultés d'application de la loi ”, affirme-t-il. En juin 2024, l'Union européenne (UE) a adopté un règlement encadrant l'intelligence artificielle. À ce sujet, le chercheur soutient : “ Un consensus a été trouvé qui, bien que globalement correct dans sa définition, présente encore le problème de son imprécision et de son ambiguïté. ”.
Bien qu'il ne fasse guère de doute que des systèmes avancés comme Chat GPT puissent être considérés comme de l'intelligence artificielle, la définition proposée par l'UE pourrait englober ces systèmes ainsi que d'autres. logiciel plus traditionnel. “ L’UE a tenté d’éviter cela en introduisant quelques modifications, mais les experts continuent de remettre cela en question ”, dit-il.
Trincado lui-même a encore des doutes sur la manière de différencier clairement un système d'intelligence artificielle et un logiciel Les interprétations traditionnelles découlent de la définition proposée. “ Une interprétation trop large pourrait réglementer inutilement des systèmes qui ne présentent pas les risques associés à l'intelligence artificielle ”, affirme-t-il. Mais l'inverse est également possible : “ Une définition trop restrictive pourrait exclure des systèmes qui posent précisément les problèmes que la réglementation vise à prévenir. ” Ainsi, une définition trop large pourrait freiner l'innovation technologique, car les systèmes seraient tenus de se conformer aux obligations établies par la réglementation, ce qui aurait des conséquences économiques et temporelles.
(Ce rapport s’inscrit dans le cadre du calendrier des commémorations InvestigaULL, un projet de diffusion scientifique promu par l’Université de La Laguna).
Unité Culture scientifique et innovation (Cienci@ULL)
Spanish 
English 
French