Interdire les Crypto pour arrêter les pirates informatiques, c'est comme interdire le fromage pour arrêter les souris

La désactivation du pipeline Colonial après une attaque de rançongiciel signalée au début du mois a ravivé l'intérêt des États-Unis pour la cybersécurité : perturber le carburant des Américains a un effet particulièrement focalisant. Malheureusement, le rôle des Cryptomonnaie dans ce piratage a contribué à détourner une grande partie de cet intérêt.

Hier, nous avons eu un exemple frappant de cette diversion sous la forme d'un éditorial du Wall Street Journal affirmant queinterdire la Cryptomonnaie Il s'agit d'une mesure raisonnable dans la lutte contre la cybercriminalité. Lee Reiners, auteur de l'article et chercheur en réglementation financière à l'Université Duke, soutient que les Cryptomonnaie n'ont aucune utilité concrète et que « les rançongiciels T peuvent réussir sans Cryptomonnaie», et qu'il faut donc s'en Crypto. S'il est trop difficile de les interdire purement et simplement, M. Reiners soutient que les plateformes d'échange, comme les plateformes d'échange, devraient être interdites comme intermédiaires.

David Z. Morris est le chroniqueur en chef des analyses de CoinDesk.

Il existe de nombreuses raisons nuancées de rejeter cet argument. On pourrait le comparer à une interdiction du fromage parce que sa maison est infestée de rats. On pourrait dire qu'il s'agit d'une grave erreur de classification qui consiste à prendre un outil pour une cause. On pourrait souligner, comme beaucoup l'ont fait, que les Cryptomonnaie devraient être un don massif aux forces de l'ordre, car elles laissent une trace permanente et publique des activités criminelles. On pourrait faire valoir que même les nouvelles Technologies les plus bénéfiques ont toujours des effets secondaires négatifs inattendus, et que les gérer dès leur apparition a toujours été un élément majeur des sociétés modernes.38 000 Américains, par exemple, sont tués chaque année dans des accidents de la route, plus d’un siècle après l’adoption massive de l’automobile).

On pourrait avancer ces arguments, et bien d'autres. Mais on peut les laisser de côté. Car même en soi, l'argument en faveur de l'interdiction des Cryptomonnaie comme mesure de cybersécurité est si lamentable qu'il est difficile d'imaginer qu'il soit pris au sérieux.

Pourquoi ? Avant tout, parce que les rançongiciels ne sont pas le seul type de piratage. Et les mêmes mesures de protection contre les rançongiciels resteront nécessaires pour se protéger contre d'autres types d'attaques, même si nous interdisons les Cryptomonnaie. De plus, si l'interdiction des Cryptomonnaie réduirait probablement les attaques par rançongiciels, elle ne les arrêterait T – nous le savons car elles sont antérieures à l'invention des Crypto. Donc, si l'objectif est d'améliorer la cybersécurité à grande échelle (et c'est nécessaire), l'interdiction des Crypto représenterait un effort colossal pour un impact limité.

Sur le même sujet : David Z. Morris : Et si quelqu'un piratait le pipeline d'argent ensuite ?

La plupart des piratages les plus graves de ces dernières années n'impliquaient T de rançons en Cryptomonnaie . En 2013, des pirates ont volé des données de cartes de crédit et d'autres données personnelles de 40 millions de clients TargetEn 2017, Equifax, qui détient des données financières sur une grande partie des adultes américains, s'est vu voler 147,9 millions de dossiers de consommateurs.Piratage de Solarwinds, dans lequel des pirates informatiques prétendument soutenus par la Russie ont espionné des dizaines d'entités américaines, où ils pourraient encore avoir des points d'ancrage, a été révélée l'année dernière. Aucun de ces piratages n'impliquait de rançons en Cryptomonnaie .

Solarwinds est peut-être l'exemple le plus significatif, car l'espionnage soutenu par l'État n'a aucun lien stratégique avec les rançongiciels ; l'objectif est de rester indétectable. Les failles de sécurité de Target et d'Equifax constituent également des points de référence utiles, car, comme la plupart des attaques de rançongiciels, elles visaient à accéder à des données. Or, ces données ont très probablement été monétisées par le biais d'usurpations d'identité et de fraudes à la carte bancaire ou au crédit, et non par des rançons Crypto . Cela signifie-t-il que nous devrions interdire les cartes de crédit ?

Plus simple et plus efficace que, vous savez, d’améliorer réellement la cybersécurité.

Même les rançongiciels ne sont pas, comme le soutient l'article du Journal, impossibles sans Cryptomonnaie. Des systèmes de rançongiciels portant des noms comme Gpcode, Cryzip, et Croûtes étaient tous opérationnels avant l'invention du Bitcoin , avec des rançons payées via divers canaux, y compris de simples mandats postaux (merci à Dr Vesselin Bontchev). La Cryptomonnaie rend certainement les crimes par ransomware plus sûrs et plus faciles, mais s'en débarrasser ne résoudrait T le problème.

Les experts en cybersécurité semblent d'accord. L'Institute for Security + Technologies, coalition et groupe de réflexion sur la cybersécurité soutenu par des entreprises comme Microsoft, a publié une liste de recommandations anti-ransomware Cela met en évidence le rôle des cryptomonnaies. Cependant, le rapport ne suggère pas que les Crypto devraient être interdites et souligne que la blockchain peut fournir aux enquêteurs davantage de preuves que la Finance traditionnelle.

Globalement, l'incohérence de l'argument « interdire les Crypto» est si frappante qu'elle suscite des interrogations sur les motivations de ses tenants. Il est tentant, et parfois même justifié, de penser qu'il s'agit d'une position séduisante pour ceux qui n'aiment pas les Cryptomonnaie pour des raisons indépendantes de leur volonté.

Mais une explication plus généreuse est que la cybersécurité est un défi très effrayant et difficile, sans solution évidente en vue. Il est donc fort tentant de mettre en avant des réponses apparemment simples, même si elles sont erronées. C'est un BIT comme la blague du vieil homme cherchant ses lunettes sous un lampadaire : « Je les ai laissées tomber dans la ruelle, mais je regarde ici parce que la lumière est meilleure. »

Sur le même sujet : David Z. Morris : Musk apprend à ses dépens : la Crypto n'a T besoin de sauveur

Une suggestion plus substantielle pour lutter contre les ransomwares est derendre illégal le paiement des cyberrançons, tout comme le paiement de rançons ou de pots-de-vin pour les enlèvements est pratiqué dans certains pays. Cela réduirait les motivations des attaques par rançongiciel en les rendant moins rentables. Cela inciterait également davantage d'administrateurs système à mettre en place des plans de sauvegarde et de récupération robustes, qu'ils devraient de toute façon avoir en place, et qui atténueraient d'autres types de cyberattaques, et pas seulement les rançongiciels.

Plus généralement, les experts en cybersécurité poursuivent une vision de ce qu'ils appellent « architecture zéro confiance ». L'approche fondamentale de la cyberdéfense zéro confiance consiste à supposer que votre système sera compromis et à le configurer de manière à limiter les dommages potentiels d'une telle faille. (Bien que le terme puisse sembler familier aux amateurs de Cryptomonnaie , cette idée n'a que peu de rapport technique avec le principe de « zéro confiance » des blockchains.)

À ce stade, il n'est pas certain que le Zero Trust aura un impact majeur sur la cybercriminalité, mais c'est sur ce point que les experts se concentrent. Reiners, auteur de l'article du Journal,listes Deux années comme spécialiste des communications dans l'armée au milieu des années 2000 constituent sa seule expérience apparente en cybersécurité. Pourtant, il rejette des initiatives comme le Zero Trust, les qualifiant de « formelles et inadéquates », affirmant que l'interdiction des Cryptomonnaie est « plus simple et plus efficace » pour stopper les rançongiciels. Plus simple et plus efficace que, vous savez, une véritable amélioration de la cybersécurité.

C'est pourquoi l'argument « interdire les Crypto» n'est pas seulement erroné ou fallacieux, mais ONE. Il détourne l'attention du véritable défi de cybersécurité auquel sont confrontés les États-Unis et le monde, ainsi que des solutions auxquelles croient les véritables experts.