Quelques rappels salvateurs.

Voyons tout d’abord comment un gouvernement procède à une « attribution ».

La première méthode consiste à choisir le super-vilain qui sert au mieux les agendas diplomatico-politiques. C’est la méthode la plus simple car elle ne nécessite aucune étude technique (on dit « forensic » dans le jargon) spécifique. Prenons un exemple du monde « réel » pour illustrer… L’Oncle Sam a besoin de choper du pétrole pas cher, il annonce à l’ONU que Saddam Hussein a des armes de destruction massives. Et même des armes chimiques, au point que Colin Powell, secrétaire d’Etat agite une petite fiole lors d’une session du conseil de sécurité de l’ONU. La suite est connue : pas une trace d’armes de destruction massive en Irak en dépit de recherches menées par des milliers de soldats américains, mais une vraie destruction massive du pays par l’Oncle Sam et un résultat sur les relations internationales qui sera durablement… merdique. Transposons maintenant au cyber-machin-chose digital. Un hack de boites mails qui se termine par un leak gênant pour un parti politique en vue aux Etats-Unis. Fastoche : les méchants, ce sont les hackers russes rouges au service du Kremlin et donc c’est un peu comme si Poutine avait lancé un remote shell depuis son portable.

[…]

La deuxième méthode est un peu plus longue. Elle consiste à étudier les traces laissées par les pirates. Il y a bien entendu des sous-catégories. Les études « forensic » de base, les études poussées, celles qui amènent à des conclusions fausses alors que la méthodologie est bonne, etc.

[…]

Si notre adresse IP 175.45.179.8 est retrouvée dans les logs avec un beau vecteur d’attaque associé, on peut conclure que les Nord Coréens sont derrière l’attaque. Ou pas. La machine nord-coréenne a peut-être été piratée. Il existe par exemple en Chine des tonnes de machines mal paramétrées qui ne demandent qu’à être piratées.

Pour aller un peu plus loin dans la procédure d’attribution, il est possible de pirater notre machine nord-coréenne pour aller y chercher des traces et savoir si elle a été préalablement piratée. Avec un gros coup de chance elle pourrait être la plus « proche » de celle du pirate et l’on pourrait ainsi l’identifier. Premier point, ce serait illégal. Deuxième point il est complexe d’affirmer qu’il s’agit bien du premier rebond du pirate.

[…]

En matière d’attribution, on voit souvent les autorités évoquer la langue utilisée dans le vecteur d’attaque. C’est donc la preuve ! Pas forcément. Cela peut fort bien être une diversion. Par ailleurs, les piratages sont parfois le résultat d’une coopération entre pirates de plusieurs nationalités. Comment faire le tri ?

Les autorités retiennent souvent l’utilisation d’un outil « attribué » à un groupe spécifique pour procéder à une attribution du piratage.

Cette dernière méthode, si tant est que l’outil peut être relié avec certitude à un groupe particulier, est valable pendant une période de temps assez courte. En effet, plus le temps passe, plus il est probable que l’outil ait filtré. Qu’il se soit disséminé sur les Internets. Il a pu être récupéré par des sociétés de sécurité informatique (qui, c’est de notoriété publique, n’emploient aucun pirate), par d’autres groupes, par des gouvernements…

[…]

Bref, l’attribution est une opération délicate. Le fait que les autorités ou les entreprises piratées ne dévoilent jamais l’ensemble des données qui leur ont permis de définir l’auteur d’un piratage n’aide pas à se faire une idée précise de la pertinence d’une attribution.