Au cœur de la cyberguerre : les systèmes d’exploitation Kylin et la surprise chinoise

Le 30 Avril 2009 s’est tenu a Washington une audition de la commission sénatoriale chargée (entre autres) de surveiller les activités de propagande et d’intelligence de la Chine à l’encontre des Etats-Unis (USCC). Dans le domaine de la guerre informatique, le témoignage le plus remarqué fut celui de Kevin Coleman, un consultant en stratégie : la Chine aurait développé son propre système d’exploitation sécurisé, appelé Kylin, qui en cas de guerre la rendrait invulnérable à toutes les attaques informatiques des Etats-Unis. Les propos de Mr Coleman furent repris dans un article du Washington Times, ce qui déclencha une certaine agitation dans le milieu de la sécurité informatique, où personne n’avait entendu parler de Kylin.

Rapidement les premières informations sur Kylin firent surface. Son développement a débuté en 2001, à l’Université Nationale de la Technologie de Défense de Changsha (NUDT), dans le cadre du programme national de recherche “863 Hi-tech”. Originalement dérivé de FreeBSD 5.3, Kylin 3.0 est aujourd’hui basé sur un noyau Linux 2.6 renforcé, et il possède en outre un système d’encryption propriétaire (KYLIN SecStor) et de nombreux systèmes de contrôle d’accès (MAC, RBAC, ACLs). D’après le site officiel, Kylin a atteint le niveau de sécurité TCSEC B2, et il est aujourd’hui utilisé par différentes industries sensibles telles que la China Construction Bank, Xiangcai Securities ou Shanghai Unicom.
Des évaluations poussées de Kylin 3.0 sont encore en cours, mais l’agitation qu’il a provoqué soulève une question intéressante : en quoi l’existence d’un système d’exploitation chinois sécurisé est-il si important ? Selon le Centre des Hautes Etudes de l’Armement (CHEAR), les systèmes d’exploitation se trouvent “au cœur des systèmes informatiques et donc de la guerre en réseaux et du combat futur”. En particulier, un système d’exploitation robuste est une composante essentielle des capacités défensive d’un pays dans la guerre de l’information, car c’est lui qui gère les accès aux ressources matérielles et donc aux informations. Si la Russie vient à peine de valider son projet de système d’exploitation national, aux Etats-Unis la NSA travaille depuis 1992 sur une architecture sécurisée (Flask), ce qui lui a permit de créer dès 2000 différents systèmes d’exploitation robustes tels que SELinux.

LA FRANCE, L’EUROPE ET MICROSOFT
Qu’en est-il de la France et de l’Europe ? Au début des années 2000, alors que l’hégémonie de Microsoft sur les systèmes d’exploitation était très forte, de nombreux pays commencèrent à montrer un intérêt pour les solutions open-source. Pour endiguer cette montée des logiciels libres, Microsoft multiplia les pressions et initia en Janvier 2003 le Government Security Program, grâce auquel les gouvernements partenaires pouvaient avoir accès au code source des systèmes d’exploitation Windows. Cette proposition sembla calmer les inquiétudes de certains pays, et fin 2003 18 pays européens avaient déjà rejoint ce programme, dont le Royaume Uni et l’Espagne. Pour spectaculaire qu’elle paraisse, cette mesure n’améliorait en fait que faiblement la sécurité de ces pays : bien que pouvant accéder au code source ils restaient incapables de le compiler, et donc de corriger les bugs ou d’en améliorer les fonctionnalités. Microsoft poursuivit son effort avec la création en 2005 du Security Cooperation Program, grâce auquel Microsoft fournit un support privilégié sur les sujets de sécurité aux pays partenaires, ce qui lui permit de rallier 40 institutions gouvernementales supplémentaires.

Lire la suite