Mikko Hypponen: Three types of online attack

Mikko Hypponen : Trois types d’attaques en ligne

Traducteur: Anna Cristiana Minoli Relecteur: Patrick Brault

In the 1980s, in communist Eastern Germany,

Dans les années 80

dans l’Allemagne de l’Est communiste,

si vous possédiez une machine à écrire,

if you owned a typewriter,

you had to register it with the government.

il vous fallait l’enregistrer auprès du gouvernement.

Il vous fallait enregistrer

You had to register a sample sheet of text out of the typewriter.

un échantillon de texte

tapé sur la machine à écrire.

And this was done so the government could track

Et cela se faisait

pour que le gouvernement puisse retracer d’où venaient les textes.

where the text was coming from.

S’il trouvait des papiers

If they found a paper which had the wrong kind of thought,

avec des mauvaises pensées,

they could track down who created that thought.

il pouvait retrouver

qui l’avait créé.

Et nous, en Occident,

And we in the West

nous ne pouvions comprendre comment on pouvait faire ça,

couldn't understand how anybody would do this,

how much this would restrict freedom of speech.

combien cela limiterait notre liberté de parole.

Nous ne ferions jamais une chose pareille

We would never do that in our own countries.

dans nos propres pays.

Mais aujourd’hui, en 2011,

But today, in 2011, if you go and buy a color laser printer

si vous allez acheter une imprimante laser couleur

from any major laser printer manufacturer

de n’importe quel grand fabricant d’imprimantes

et imprimez une page,

and print a page,

cette page aura

that page will end up

having slight yellow dots printed on every single page,

des petits points jaunes

imprimés sur chaque page

avec un motif qui rend la page unique,

in a pattern which makes the page unique to you and to your printer.

liée à vous et à votre imprimante.

Cela se passe

This is happening to us today.

chez nous, aujourd’hui.

Et personne ne parait en faire une histoire.

And nobody seems to be making a fuss about it.

Et c'est un exemple

And this is an example

de la façon

of the ways our own governments are using technology

dont nos gouvernements

utilisent la technologie

contre nous, les citoyens.

against us, the citizens.

Et c'est l'une des trois principales sources

And this is one of the main three sources of online problems today.

des problèmes en ligne aujourd’hui.

If we look at what's really happening in the online world,

Si nous jetons un coup d’œil à ce qui se passe en ligne,

we can group the attacks based on the attackers.

nous pouvons regrouper les attaques selon les types d'attaquants.

Il existe trois groupes principaux.

We have three main groups.

We have online criminals.

Il y a les cybercriminels.

Like here, we have Mr. Dmitry Golubov,

Comme celui-ci, M. Dimitry Golubov,

from the city of Kiev in Ukraine.

de Kiev, en Ukraine.

Et la motivation des cybercriminels

And the motives of online criminals are very easy to understand.

est très facile à comprendre.

These guys make money.

Ils font de l’argent.

They use online attacks to make lots of money --

Ils utilisent les attaques en ligne

pour faire de l’argent,

and lots and lots of it.

plein d’argent.

We actually have several cases of millionaires online, multimillionaires,

Il y a en fait plusieurs cas

de millionnaires en ligne, des multimillionnaires,

qui ont fait de l’argent avec leurs attaques.

who made money with their attacks.

Here's Vladimir Tsastsin, from Tartu in Estonia.

Voici Vladimir Tsastisn, de Tartu, en Estonie.

Voici Alfred Gonzalez.

This is [Albert] Gonzalez.

Voici Stephen Watt.

This is Stephen Watt.

Voici Bjorn Sundin.

This is Bjorn Sundin.

This is Matthew Anderson, Tariq Al-Daour

Voici Matthew Anderson, Tariq Al-Daour

and so on and so on.

et ainsi de suite.

Ces gars là

These guys make their fortunes online,

on fait fortune en ligne,

mais par des moyens illégaux,

but they make it through the illegal means

of using things like banking Trojans

en utilisant par exemple des chevaux de Troie bancaires,

pour voler de l’argent sur nos comptes bancaires,

to steal money from our bank accounts while we do online banking,

pendant nos opérations en ligne,

ou avec des enregistreurs de frappe,

or with keyloggers

pour récupérer des informations sur nos cartes bancaires,

to collect our credit card information

while we are doing online shopping from an infected computer.

pendant que nous achetons en ligne à partir d’un ordinateur infecté.

Les Services Secrets des États-Unis,

The US Secret Service,

il y a deux mois,

two months ago, froze the Swiss bank account

ont gelé le compte bancaire suisse

of Mr. Sam Jain right here,

de M. Sam Jain, que vous voyez là,

et ce compte bancaire se montait à 14,9 millions de dollars

and that bank account had 14.9 million US dollars in it

au moment où il a été gelé.

when it was frozen.

M. Jain lui-même est en fuite ;

Mr. Jain himself is on the loose; nobody knows where he is.

personne ne sait où il est.

And I claim it's already today

Et je vous assure que dès aujourd’hui,

il est plus probable pour n’importe qui

that it's more likely for any of us to become the victim of a crime online

d’être victime d’un crime en ligne

que d’un crime dans le monde réel.

than here in the real world.

Et il est évident

And it's very obvious that this is only going to get worse.

que ça ne va qu’empirer.

In the future, the majority of crime will be happening online.

Dans le futur, la majorité des crimes

se passera en ligne.

Le deuxième groupe principal d'attaquants

The second major group of attackers that we are watching today

que nous observons aujourd’hui

are not motivated by money.

n'est pas motivé par l’argent.

Ils sont motivés par autre chose :

They're motivated by something else --

motivés par la protestation,

motivated by protests,

motivés par une opinion,

motivated by an opinion,

motivés par le rire.

motivated by the laughs.

Groups like Anonymous have risen up over the last 12 months

Des groupes comme Anonymous

sont montés en puissance ces 12 dernier mois,

et sont devenus un des acteurs principaux

and have become a major player in the field of online attacks.

dans le domaine des attaques en ligne.

Voici donc les trois attaquants principaux :

So those are the three main attackers:

les criminels qui le font pour l’argent,

criminals who do it for the money,

les ‘hacktivistes’ comme Anonymous,

hacktivists like Anonymous doing it for the protest,

qui le font pour protester,

but then the last group are nation states --

et enfin le dernier groupe qui sont les états-nation,

governments doing the attacks.

les gouvernements qui font des attaques.

Et nous observons des cas

And then we look at cases like what happened in DigiNotar.

comme ce qui s’est passé chez DigiNotar.

C’est un exemple parfait de ce qui se passe

This is a prime example of what happens when governments attack

quand ce sont les gouvernements qui attaquent

against their own citizens.

leurs propres citoyens.

Diginotar est un organisme de certification

DigiNotar is a certificate authority from the Netherlands --

des Pays Bas --

ou plutôt, c’était.

or actually, it was.

Il a fait faillite

It was running into bankruptcy last fall,

l’automne dernier

parce qu’il a été piraté.

because they were hacked into.

Quelqu’un est entré,

Somebody broke in and they hacked it thoroughly.

et a tout piraté.

And I asked last week,

Et la semaine dernière,

lors d'une rencontre avec les représentants du gouvernement néerlandais,

in a meeting with Dutch government representatives,

j’ai demandé à un des dirigeants du groupe

I asked one of the leaders of the team

s’il croyait possible

whether he found plausible that people died

que des gens meurent

because of the DigiNotar hack.

à cause du piratage de DigiNotar.

Et il m’a répondu que oui.

And his answer was: yes.

Alors, comment des gens meurent-ils

So how do people die

suite à un piratage comme celui-ci ?

as the result of a hack like this?

Eh bien, DigiNotar est un organisme de certification.

Well, DigiNotar is a CA.

They sell certificates.

Ils vendent des certificats.

What do you do with certificates?

Que faites-vous avec des certificats ?

Well, you need a certificate if you have a website

Eh bien, il vous faut un certificat

si vous avez un site https,

that has https, SSL encrypted services,

avec des services SSL chiffrés,

services like Gmail.

des services comme Gmail.

Nous tous, ou presque,

Now we all, or a big part of us, use Gmail or one of their competitors,

utilisons Gmail ou des services concurrents,

mais ces services sont très populaires

but these services are especially popular in totalitarian states like Iran,

dans les états totalitaires

comme l’Iran,

where dissidents use foreign services like Gmail

où les dissidents

utilisent des services étranger comme Gmail

because they know they are more trustworthy than the local services

parce qu’ils savent qu’ils sont plus fiables que les services locaux,

et qu'ils sont chiffrés sur les connections SSL,

and they are encrypted over SSL connections,

so the local government can't snoop on their discussions.

de sorte que les gouvernements locaux ne peuvent pas mettre leur nez

dans leurs discussions.

Sauf qu'ils pourraient le faire, s’ils pirataient un organisme de certification

Except they can,

if they hack into a foreign CA and issue rogue certificates.

et émettaient de faux certificats.

Et c’est exactement ce qui s’est passé

And this is exactly what happened with the case of DigiNotar.

avec DigiNotar.

Et qu’en est-il du printemps arabe

What about Arab Spring

et de ce qui se passe, par exemple, en Égypte?

and things that have been happening, for example, in Egypt?

Eh bien, en Égypte,

Well, in Egypt,

the rioters looted the headquarters of the Egyptian secret police

les émeutiers ont pillé le siège

de la police secrète égyptienne

in April 2011,

en avril 2011,

et en pillant l’immeuble, ils ont trouvé plein de papiers.

and when they were looting the building, they found lots of papers.

Parmi ces papiers,

Among those papers was this binder entitled, "FinFisher."

il y avait ce classeur étiqueté « FINFISHER ».

Et dans ce classeur, il y avait les notes

And within that binder were notes from a company based in Germany,

d’une société basée en Allemagne

qui avait vendu au gouvernement égyptien

which had sold to the Egyptian government

une série d’instruments

a set of tools for intercepting, at a very large scale,

pour intercepter --

à très grande échelle --

all the communication of the citizens of the country.

toutes les communications des citoyens du pays.

Ils avaient vendu cet instrument

They had sold this tool for 280,000 euros to the Egyptian government.

pour 280 000 euros, au gouvernement égyptien.

Le siège de la société est ici.

The company headquarters are right here.

Donc, les gouvernements occidentaux

So Western governments are providing totalitarian governments with tools

fournissent aux gouvernements totalitaires des instruments

to do this against their own citizens.

pour faire ça contre leurs propres citoyens.

Mais les gouvernements occidentaux le font chez eux aussi.

But Western governments are doing it to themselves as well.

Par exemple, en Allemagne,

For example, in Germany,

pas plus tard qu’il y a deux semaines,

just a couple of weeks ago, the so-called "State Trojan" was found,

on a découvert le dénommé Scuinst Trojan ;

c’est un cheval de Troie

which was a Trojan used by German government officials

utilisé par les services du gouvernement allemand,

to investigate their own citizens.

pour enquêter sur ses propres citoyens.

Si vous êtes suspecté dans une enquête criminelle,

If you are a suspect in a criminal case,

well, it's pretty obvious, your phone will be tapped.

c’est assez évident, votre téléphone sera sur écoute.

Mais aujourd’hui, ça va bien au delà.

But today, it goes beyond that.

Ils mettront sur écoute votre connexion Internet.

They will tap your Internet connection.

Ils utiliseront même des instruments comme Scuinst Trojan

They will even use tools like State Trojan

pour infecter votre ordinateur avec un cheval de Troie,

to infect your computer with a Trojan,

which enables them to watch all your communication,

qui leur permet

de surveiller toutes vos communications,

d’écouter toutes vos discussions en ligne,

to listen to your online discussions,

de récupérer vos mots de passe.

to collect your passwords.

Now, when we think deeper about things like these,

En réfléchissant un peu

sur tout cela,

la réponse évidente des gens devrait être

the obvious response from people should be,

« D’accord, ça semble mauvais,

"OK, well, that sounds bad, but that doesn't really affect me,

mais ça ne me regarde pas vraiment, parce que je suis un honnête citoyen.

because I'm a legal citizen.

Pourquoi devrais-je m’inquiéter ?

Why should I worry? Because I have nothing to hide."

Je n’ai rien à cacher. »

C’est un argument

And this is an argument which doesn't make sense.

qui n’a aucun sens.

La vie privée va de soi.

Privacy is implied.

La vie privée n’est pas négociable.

Privacy is not up for discussion.

This is not a question

C’est n’est pas un problème

between privacy

de vie privée

opposée à la sécurité.

against security.

It's a question of freedom

C’est un problème de liberté

opposée au contrôle.

against control.

Et bien que nous puissions avoir confiance en nos gouvernements,

And while we might trust our governments right now, right here in 2011,

maintenant, aujourd’hui en 2011,

any rights we give away will be given away for good.

chaque droit auquel nous renonçons, nous y renonçons pour de bon.

Et avons-nous une confiance, une confiance aveugle

And do we trust, do we blindly trust, any future government,

en nos futurs gouvernements,

un gouvernement que nous pourrions avoir

a government we might have 50 years from now?

dans 50 ans ?

Ce sont les questions

And these are the questions

que nous devrions nous poser dans les 50 prochaines années.

that we have to worry about for the next 50 years.