La mémoire des portables

La société Trust Digital vient de rendre publics les résultats d'une petite expérience menée sur la sécurité des données stockées sur les assistants personnels type Treo et Blackberry, ainsi que sur des modèles courants de téléphones portables permettant à leurs utilisateurs d'accéder à leurs courriels. L'entreprise s'est procuré une dizaine de téléphones d'occasion sur eBay, et en a exploré les entrailles. Les données mal ou peu protégées récupérées incluaient:

• La correspondance entre un homme marié --que sa femme suspectait-- et sa maîtresse;
• Des détails confidentiels sur des contrats de plusieurs millions de dollars en cours de négociation;
• Des comptes bancaires et les mots de passe associés;
• Des ordonnances médicales.

L'impression de ces données personnelles et professionnelles plutôt confidentielles correspondrait à 27.000 pages de texte. La raison pour laquelle il est si difficile d'effacer ces données réside dans la lenteur des mémoire flash dont sont équipés les téléphones cellulaires (la même que celle que l'on retrouve sur les clés USB) à s'acquitter de cette fonction. Les fabricants ont par conséquent recours à des procédures plus expéditives qui ne causent pas de délais pour l'utilisateur, mais qui sont beaucoup plus superficielles. Il en résulte que la pratique qui consiste à revendre sur internet des téléphones cellulaires usagés crée un risque non négligeable pour leur propriétaire. Un moyen de s'assurer que des données sensibles ne tombent pas entre les mains de la concurrence ou de cyberfraudeurs reste encore de les plonger dans un bain d'acide ou de les confier à un sculpteur contemporain qui entre dans sa phase "compression". De surcroît, on assume ici que l'intégrité des serveurs ayant servi à transmettre ces données ne pose aucun problème...

Pepperface: c'est beau mais ça fait pleurer

La société Pepperface vient de mettre sur le marché ce qu'il affirme être la plus petite bombe lacrymogène au monde, destinée à l'autodéfense des femmes qui n'acceptent aucun compromis sur leur style, y compris dans les situations les plus dangereuses. Plusieurs modèles, dont certains incrustés de cristaux Swarovski, sont proposés, et les clientes à la créativité développée peuvent également concevoir leur propre motif décoratif. Outre le facteur esthétique, le concepteur n'hésite pas à jouer la carte de la peur, en rappelant à chaque cliente potentielle que les risques de se faire agresser sont importants, quel que soit l'âge, le lieu ou le moment de la journée. Ce mélange de glamour et de peur s'accompagne d'une bonne conscience sociale, puisqu'un dollar sur chaque bombe vendue est généreusement donné à une association de lutte contre la violence domestique et les agressions sexuelles. Bref, on joue sur tous les tableaux possibles sans aucune vergogne. D'ailleurs, l'iconographie du site laisse également entendre à des attaquants potentiels un peu masochistes qu'ils pourraient même trouver du plaisir à se faire asperger le visage de poivre de cayenne par une amazone plus dominatrice qu'en position d'auto-défense.

Le crochetage de serrure: nouveau sport olympique?

Le crochetage de serrure, qui jusque-là était réservé aux serruriers et aux cambrioleurs fait son entrée dans le monde des loisirs. De nombreux sites Internet ont en effet permis de populariser un savoir qui auparavant était jalousement gardé par un petit groupe d'experts. Un Guide de crochetage des serrures à goupille peut ainsi être téléchargé gratuitement et librement dans sa traduction française, et dans de nombreuses autres langues. Une association d'enthousiastes du crochetage a également été créée en Allemagne. Si on peut déjà rester perplexe quand à la faible protection que semblent offrir des serrures standard devant la pratique relativement aisée de "l'art" du crochetage, une nouvelle technique ayant fait son apparition en Allemagne et en Amérique du Nord (le bumping) vient démontrer la faiblesse structurelle de la plupart des serrures à goupille. Cette méthode permet en effet à n'importe quel novice de crocheter n'importe quelle serrure après une formation de quelques minutes, et sans vraiment faire appel à une compréhension de la mécanique interne des serrures.

Si cette nouvelle pose un certain nombre de questions sur la protection véritable des espaces privés et la complaisance de l'industrie de la serrurie, ses ramifications s'étendent également au vol d'identité. Celui-ci sera en effet rendu d'autant plus facile par une large diffusion des techniques d'ouverture des boîtes aux lettres. Même les cyber-crimes contiennent ainsi un élément de très basse technologie qui pourrait être aisément prévenu.

La sécurité volatile des infrastructures de l'industrie chimique

L'industrie chimique n'a jamais eu réellement besoin de terroristes kamikazes pour causer des catastrophes écologiques à l'origine de la mort de dizaines, voire de centaines ou de milliers d'innocents. Seveso en Italie, AZF en France, Bhopal en Inde constituent autant d'exemples qui laissent entrevoir le potentiel de risques de ces installations. On est alors frappé par la résistance extrême de l'industrie chimique aux États Unis à l'imposition de règles de sécurité qui limiteraient le nombre de victimes en cas de catastrophes accidentelles, et surtout terroristes. Les évaluations varient, selon les administrations, mais les plus conservatrices estiment qu'environ 270 usines chimiques se situent aux États Unis à proximité immédiate de zones résidentielles de 50.000 personnes ou plus.

Deux visions de la sécurité s'affrontent ici: d'un côté, l'industrie chimique dit investir massivement afin de "durcir" les installations concernées et en empêcher l'accès aux terroristes. D'autre part, l'approche privilégiée par la communauté scientifique et certains législateurs vise plutôt à modifier les processus industriels afin de limiter les risques, notamment en ayant recours à des matières premières moins toxiques, à des processus de fabrication à basse température et à des modes de production en flux tendus qui limitent les quantités de produits toxiques fabriquées au strict nécessaire. Cependant, dans l'absence d'incitations fiscales ou économiques, l'industrie traîne les pieds et mobilise ses lobbyistes au parlement et dans les couloirs du pouvoir exécutif. De la même façon que la sécurité aérienne a été radicalement transformée par les attaques du 11 septembre, l'industrie chimique est à la merci d'un événement catastrophique qui ne manquera pas, dans un avenir très proche, de mettre en cause la responsabilité de ses dirigeants.

Un avion indétournable ?

Un consortium de chercheurs du secteur public et privé sont en train de développer des technologies qui ont pour ambition de rendre impossible des détournements d'avion. Le projet SAFEE (Security of Aircraft in the Future European Environment) table sur des technologies embarquées qui feront de l'avion lui-même la "dernière ligne de défense" contre des menaces terroristes. Les technologies actuellement à l'étude comprennent des détecteurs visuels et olfactifs de menaces; des systèmes de communication permettant de transmettre des informations entre le ciel et la terre sur ces menaces. Ne sont mentionnées sur le site que des technologies portant sur la détection de la menace. Cependant, des systèmes de contre-mesure ou de limitation des dommages (en cas d'explosion en vol par exemple) devront aussi être étudiés afin de traiter les menaces qui se seront transformées en attaques. Mais il y a peut-être là quelque chose de nature à ne pas vraiment restaurer la confiance des passagers dans le voyage aérien, qui est l'un des objectifs avoués de ce projet... Par ailleurs, devant les délais qui ne cesseront pas de se manifester, un objectif plus immédiat est d'influencer les autorités responsables de la sécurité du transport aérien, certainement afin qu'elles produisent un environnement règlementaire favorable à la commercialisation de ces nouvelles technologies.

Profilage facial dans les aéroports

Dans un entretien accordé au quotidien Le Devoir, Jacques Duchesneau, le Directeur de l'Autorité Canadienne de Sécurité du Transport Aérien (ACTSA) nous annonce l'arrivée inévitable au Canada des techniques de profilage du comportement développées en Israel et aux États Unis. Selon lui:

Ce n'est plus une approche mécanique qu'on doit avoir, par exemple dire que le quatrième passager est fouillé et que si c'est la juge en chef du Canada, eh bien, on la fouille quand même parce qu'elle est la quatrième, dit-il. Cette réglementation devrait être revue.... On doit faire une certaine ségrégation, qu'on le veuille ou pas. Ça viendrait faciliter les choses parce qu'on ne prendrait peut-être pas 20 secondes pour tout le monde et on prendrait peut-être plus de 20 secondes pour d'autre monde.

Il fait là référence aux techniques d'analyse du comportement et des expressions faciales développées par les services de sécurité Israéliens et des psychologues américains, dont le plus connu est Paul Ekman. Ces techniques, qui mettent l'accent sur le comportement d'un terroriste potentiel, plutôt que sur l'analyse technologique de ses bagages ou des particules d'explosifs présentes sur ses vêtements, sont actuellement en cours de déploiement aux USA, ainsi qu'au Royaume Uni. Elles s'appuient sur des techniques développées au milieu des années 1970 dans le cadre de la lutte contre le traffic de drogues (notamment le programme Jetway de la DEA), et mettent l'accent sur l'observation d'anomalies du comportement avant et pendant l'enregistrement, ou lors de discussions informelles engagées par des agents spécialement formés aux techniques de "lecture" des émotions cachées.

Les promoteurs de telles techniques s'interrogent cependant sur leur transférabilité à l'échelle industrielle du transport aérien mondialisé, qui doit faire voyager quotidiennement des millions de passagers avec le maximum de fluidité. Concernant les expérimentations en cours aux USA, ils notent l'adoption parcellaire de la méthodologie, qui privilégie un système de pointage assez opaque aux dépens d'aspects beaucoup plus importants comme un interrogatoire de second niveau par une personne spécialement formée. Ils évoquent également la difficulté de distinguer l'origine de la nervosité parmi bien des passagers, qui peuvent souffrir d'agoraphobie, de claustrophobie, ou simplement craindre pour leur sécurité, et qui adopteront des comportements de repli ou d'agression proches de ceux de terroristes potentiels. Le spectre du profilage racial n'est enfin jamais bien loin lorsque de telles pratiques faisant appel au jugement humain sur ce qui est "normal" et ce qui ne l'est pas sont mises en oeuvre, les normes culturelles de comportement variant grandement d'un groupe ethnique à un autre.

Si le profilage comportemental est certainement plus prometteur qu'une escalade technologique sans fin, de nombreux obstacles se dressent encore à son implantation dans les centaines d'aéroports internationaux qui englobent la planète. Nul doute par exemple que l'on trouvera bientôt sur Internet des manuels de contrôle des muscles faciaux destinés aux futurs terroristes.

Détecter les explosifs liquides: c'est possible mais trop cher

Un article du Toronto Star (abonnement gratuit requis) nous apprend que la technologie qui permet de détecter la présence d'explosifs liquides dans les bagages à main existe depuis environ 10 ans. La société Rapiscan serait en mesure d'équiper immédiatement de nombreux aéroports. Cependant, le coût prohibitif de ces machines (250.000 USD par unité) fait qu'on ne compte pas d'aéroports parmi ses quelques clients actuels. De plus, la durée d'analyse qui est d'environ une minute par objet "scanné" congestionnerait encore plus des aérogares déjà bien encombrés. En attendant qu'une attaque à l'explosif liquide réussisse, on continue donc à utiliser des technologies obsolètes mais abordables sur le plan financier.

C'est ce que l'on pourrait appeler la technique du rétroviseur: on se concentre sur les menaces passées, en tenant pour nulle la capacité d'innovation et de créativité des terroristes. On dépense alors des milliards en équipements sur la base d'événements déjà survenus, ce qui est plus facile à justifier auprès de l'opinion publique et des décideurs politiques que d'essayer de prédire la forme que prendra la prochaine attaque et d'investir en conséquence. Cela explique pourquoi les avions de ligne ne sont pas encore protégés contre les MANPADS (Man-Portable Air Defense Systems), ce qui reste de l'avis de beaucoup de spécialistes du terrorisme une des menaces les plus imminentes qui pèsent sur le transport aérien. Selon la Fédération des Scientifiques Américains, il y aurait 500.000 MANPADS en circulation dans le monde, dont plusieurs milliers disponibles sur le marché noir. Cependant, à l'heure actuelle, les coûts de déploiement de systèmes de protection contre les MANPADS sont tellement exorbitants (de 1 à 3 millions USD par avion) que même la compagnie Israélienne El Al a pour l'instant interrompu l'équipement de ses appareils. Cette inflation des coûts des technologies de sécurité et des choix budgétaires qu'elles amènent immanquablement à faire constituent à cet égard autant un facteur d'insécurité que de protection accrue.

Sécurité vs. Profitabilité: les dilemmes du transport aérien

Les mesures de sécurité imposées aux voyageurs du transport aérien au lendemain des arrestations menées en Angleterre font pour l'instant l'objet d'un consensus, devant la menace terroriste apparemment imminente d'un 11 septembre bis. Cependant, cete belle unité de façade devrait céder la place dans les prochains jours ou les prochaines semaines à des appels plus ou moins voilés des compagnies aériennes et des aéroports afin de rendre moins restrictive la liste des produits autorisés en bagages à main.

C'est en effet tout le segment de passagers d'affaires qui risque de déserter les premiers rangs des cabines, préférant le confort des salles de téléconférence au parcours du combattant des contrôles de sécurité. On les voit mal laisser voyager en soute leurs précieux téléphones et ordinateurs portables, remplis de données commerciales confidentielles. La nature spartiate des conditions de vol imposées depuis 24 heures devrait constituer pour beaucoup un incitatif négatif. Par ailleurs, les ventes d'alcool des boutiques duty-free seront certainement inexistantes pendant toute la durée des restrictions, conduisant rapidement à des pertes de revenus considérables et à des licenciements. Les compagnies aériennes, qui commençaient tout juste à sortir la tête hors de l'eau vont certainement être touchées par une nouvelle vague de faillites spectaculaires.

Les pressions vont donc rapidement s'accumuler sur les autorités publiques responsables de la sécurité des transports pour lever les restrictions les plus incommodantes. Jusqu'à ce que l'on ait connaissance de la nature exacte de l'attaque planifiée, et de ses paramètres techniques, il est impossible de prédire quelles mesures de sécurité deviendront permanentes, et lesquelles seront discrètement abandonées. Cependant, la constance des groupes terroristes dans le choix du transport aérien comme cible privilégiée, et leurs efforts sans cesse renouvelés pour identifier les failles dans la protection des aéroports et des avions n'incite guère à l'optimisme.

PS: Dans son édition du 19 août, Le Monde propose un interview du Président de l'Association Internationale de l'Aviation Civile (265 compagnies aériennes) qui réclame la prise en charge intégrale des dépenses de sécurité par les gouvernements. On se demande s'il compte aussi partager les profits de ses membres avec les États, qui auront contribué à assurer la viabilité de leur modèle d'affaire... Le Figaro, quant à lui, décrit la polémique qui enfle entre les transporteurs anglais et les exploitats de l'aéroport, à qui ils comptent demander des dommages et intérêts pour la mauvaise gestion de la crise.
______________________

Un article du Washington Post sur l'impact initial des nouvelles règles sur les magasins d'aéroports (les boutiques de bagages semblent s'en sortir).

Une réflexion intéressante sur la modélisation de ce type de risques.