Il y a quelques jours, quelqu’un a frappé à la porte de notre rédaction. C’était le responsable informatique, qui s’est empressé de distribuer à chacun une feuille de papier en haut de laquelle figurait notre nom. Et plus bas, à notre grand étonnement, une série de signes, de lettres et de chiffres faisant vaguement penser à une formule cabalistique. «C’est tout simplement, un mot de passe», a-t-il lâché d’un air désinvolte.

Il nous a fallu quelques essais avant de réussir à introduire ces petits symboles. Mais après, fallait-il avaler le morceau de papier ou le brûler, le ranger au fond d’un tiroir ou le passer à la broyeuse? C’est sans succès que nous avons plaidé pour une solution plus simple. «Les pirates rôdent, le danger frappe avant tout les PME, le maillon le plus faible de la chaîne. Et la Suisse figure tout en haut de la liste des cibles privilégiées», nous assurent de distingués spécialistes en nœud papillon.

Complexe n’implique pas efficace

C’est précisément pour répondre à ce type de préoccupations que Philippe Kapfer tente sa chance depuis la Place des Sciences de Courroux, dans le Jura. Son projet – un enfant raisonnable de douze ans la comprendrait: «Mon idée, c’est d’amener de la sécurité simplifiée, explique-t-il. La principale difficulté de la cybersécurité, c’est que tout le monde en parle, mais que cela reste très complexe. Comme si cette complexité était une preuve de son efficacité!»

Un ressort psychologique efficace, la peur du bleu face à l’expert. Mais si tout était plus simple, serait-ce moins efficace? «Vous avez certainement aujourd’hui déjà de nombreux mots de passe et, dans les années à venir, vous en aurez de plus en plus et ils seront de plus en plus complexes, sourit Philippe Kapfer. Nous cherchons des modèles plus simples, comme de valider un mot de passe par un téléphone. Et nous franchissons un pas de plus, qui consiste à intégrer cette simplicité dans les applications actuelles.»

Le pirate sans don d’ubiquité

Un mot de passe complexe pour retrouver tous les mots de passe, est-ce suffisant? «C’est un classique, mais cela reste insuffisant. Si l’on cherche à vous pirater en enregistrant les touches de votre clavier, ce mot de passe pourra être facilement récupéré, ajoute-t-il. En fait, on simplifierait le travail des pirates qui n’auraient plus qu’un mot à chercher pour avoir accès à tous les autres. C’est comme si l’on voulait protéger un trousseau de clé en utilisant une clé.» Le serpent se mord la queue, mais il apprend.

«La principale difficulté de la cybersécurité, c’est que tout le monde en parle, mais que cela reste très complexe!»

Pour faire un pas vers la sécurité, il faut déjà passer à deux authentifications différentes, détaille Philippe Kafper. Par exemple, un mot de passe et un téléphone. Que le mode opératoire du criminel ne soit pas le même pour les deux étapes de validation? «Oui, que le pirate ne puisse pas être aux deux endroits en même temps. Ou plus difficilement.»

«Le défi n’est pas tellement dans la technologie, dans les cryptages, dans la gestion de l’identité. Pour tout ces aspects, les outils existent et fonctionnent relativement bien.»

Les exemples de complexité inutile foisonnent, affirme cet expert qui donne des cours à la HEG de Genève dans le domaine de la gestion des vulnérabilités. Il a aussi publié un gros pavé de 511 pages sur la vision du pirate(*).

Ainsi, la boîte aux lettres est un organe fragile et vulnérable. «Pour sécuriser ses e-mails, on peut les crypter en utilisant des certificats. Mais il faut alors que les protagonistes échangent leurs certificats pour lire le message et y répondent. C’est déjà compliqué de l’expliquer et cela le devient plus encore lorsqu’il faut le mettre en œuvre. La priorité, c’est de simplifier les échanges sans perdre de la sécurité.» Apporter de la simplicité dans la sécurité, tel est donc le défi principal de la PME de Philippe Kapfer (lire l’interview ci-contre).

François Othenin-Girard

www.nextday.vision

(*) «Internal Hacking et contre-mesures en environnement Windows: Piratage interne, mesures de protection, développement d’outils» (Editions ENI, 2013, réédité 2017).