B. LE LABORATOIRE DE HAUTE SÉCURITÉ DU LABORATOIRE LORRAIN DE RECHERCHE EN INFORMATIQUE ET SES APPLICATIONS (LORIA)
Le laboratoire de haute sécurité du LORIA (CNRS, INRIA, Université de Lorraine) constitue une plate-forme académique unique en France pour la recherche en sécurité numérique depuis 2010. Son activité porte à la fois sur l'expertise en sécurité, la défense proactive contre les programmes malveillants et la formation afin de pouvoir garantir la confidentialité des données ou de leur traitement local pour des recherches sensibles .
Ce laboratoire fait partie du maillage européen des laboratoires de haute sécurité mais n'a pas d'équivalent réel en Europe.
Le laboratoire analyse à large échelle le trafic sur le réseau pour y repérer des menaces , les canaux de communication entre les machines zombies et ceux qui les contrôlent, les tentatives d'hameçonnage ( phishing ) à travers de faux sites de confiance.
Le défi à relever consiste à sécuriser l'Internet en temps réel à travers l'élaboration d'une structure de supervision en coopération avec les forces de l'ordre, par exemple dans la lutte contre la pédophilie (40 % des fichiers de recherche d'un dessin animé sont pollués). Un pare-feu a été mis au point par l'INRIA qui travaille également sur la recherche anticipée des réseaux pédophiles de demain.
Concernant les entreprises , le laboratoire étudie les moyens de détecter les intrusions sur les systèmes SCADA dont certains peuvent être accessibles par Internet, ce qui permet à l'attaquant de prendre le contrôle de vannes, de portes - y compris de prisons lorsque des gardiens sont allés jouer sur l'Internet...
D'où la nécessité de protéger le réseau contrôle-commande au moyen d'une détection d'intrusion toute l'année, de jour comme de nuit . Le laboratoire a conçu une plate-forme de test à cette fin.
Le laboratoire étudie aussi la sécurité des environnements, par exemple à travers des configurations vulnérables d'équipements comme Android , très largement utilisé notamment dans les téléphones portables, ce qui facilite les comportements malveillants d'attaquants se livrant à la même quête de vulnérabilité.
Le laboratoire mène également une importante activité de recherche en cryptographie - notamment celle dite à clé publique - dont le niveau de sécurité doit être sans cesse relevé.
Cette activité s'étend également à la sécurité des protocoles - ou description de comportement à adopter - par exemple les protocoles cryptographiques de sécurisation des communications sur les réseaux ouverts (cartes bleues, téléphones, vote électronique, etc.)
L'INRIA s'attache à identifier le ou les procédés d'authentification adaptés à chaque usage et étudie les fragilités de chacun. C'est ainsi que les recours aux empreintes digitales ou à l'iris apparaissent peu sûrs car impossibles à changer une fois volés - ce qui n'est pas très difficile ; de plus, des doigts souples ont pu être fabriqués...
À noter qu'une fois l'authentification subtilisée, l'accès à toutes les applications est possible.
Quant au vote électronique - interdit pour les élections politiques en Allemagne, en Grande-Bretagne et en Irlande -, il est difficile de garantir la fiabilité des machines à voter comme le secret du vote - ce qui ouvre la voie à l'achat de celui-ci ; en outre, la vérification par les citoyens est impossible .
Vos rapporteurs ont retiré de la visite du centre breton de l'établissement DGA Maîtrise de l'information et du laboratoire de Haute sécurité de l'INRIA à Nancy que l'analyse de l'expérience de cybersécurité militaire devait permettre de gagner des années dans la cybersécurité civile et, inversement, que les recherches de l'INRIA pourraient irriguer le secteur de la défense - les deux étant indissociables - et qu' une coopération accrue des acteurs militaires et civils était indispensable pour la protection des opérateurs d'importance vitale et des infrastructures dont ils ont la charge.
Cependant, aucun effort en ce sens n'est possible sans une perception des vulnérabilités numériques à leur juste degré.