Forbidden, éthique et vulnérabilités

Par Fouad BENJOUDAR

J’ai toujours été passionné de science-fiction et de sujets autour de la cybersécurité. Et ces derniers jours, en suivant les épisodes du feuilleton estival de Forbidden stories, je n’ai pu m’empêcher de visiter leur site internet pour en savoir plus sur cette organisation.

Animé par ma vocation et la nature de mon métier, ma curiosité me pousse instinctivement à faire un regard global de la page d’accueil. Tout en bas ce message attire mon attention :

« We use cookies on our website. If you continue we assume that you agree to our use of cookies. OK ABOUT »

Le site internet est hébergé en France chez un prestataire qui appartient à une société, elle-même appartenant à une autre et dont le Président gère 14 sociétés. Les informations sont publiques et libres d’accès à ce sujet.

Je me suis permis de voir les notes des salariés sur GlassDoor de leur prestataire. Il y en a 3, pas significatif, mais pas terrible quand on doit faire preuve d’éthique… Le site présente des vulnérabilités sur lesquelles je ne fournirai pas de détails ici et d’autres notamment dus à des composants non à jour.

Pour une organisation qui se targue d’avancer des sujets en cybersécurité et cyber espionnage, je trouve cela très simpliste voire médiocre. C’est le cordonnier mal chaussé ou le boucher qui dîne avec des navets. C’est aussi en analysant leur politique des cookies que je suis resté surpris.

Ce sujet renvoie directement à des aspects réglementaires édictés par la RGPD. (nul n’est censé ignorer la loi…). Et c’est là que le bât blesse, en effet, en scrutant mais sans vraiment avoir à le faire minutieusement et sans rentrer dans les détails voici ce que l’on peut constater : Nulle part le visiteur n’est informé de la collecte d’informations via les cookies et ses finalités.

D’abord en tant que visiteur je ne peux vraiment accepter ou refuser quels sont les cookies que je vais autoriser sur mon navigateur. Le mécanisme de consentement n’est pas conforme au principe du RGPD. Une rapide analyse m’a permis de constater la présence de 20 cookies, dont plusieurs persistants qui renvoient des données aux Etats-Unis (comme le module de collecte de don géré par DONORBOX). Bref, tout ceci est bien moyen pour ne pas dire de bas niveau, loin d’être crédible.

Quand toutes les agences de renseignement conviennent qu’il faut une dizaine de personnes physiques pour surveiller « classiquement » une seule personne, quand on sait que pour décortiquer finement des cyberattaques cela demande d’importants moyens techniques incluant de l’expertise humaine de très haut niveau et du coup, on est en droit de se demander où sont les preuves des arguments avancés dans ces médias (qui cherchent du buzz en période pré-électorale en France ?).

Ils parlent de 50000 cibles ! Je vous laisse le soin de faire le calcul de ce que cela représente en  « ressources » techniques et humaines pour traiter ce qu’ils avancent. Cette « histoire abracadabrantesque » relève d’une maladie psychosomatique lointaine…Le temps le démontrera…

Jusqu’à preuve du contraire, en France le principe de la présomption d’innocence est déterminant, et plus particulièrement en droit pénal, c’est sur lui qu’est construit le régime de la preuve. Elle pose le principe selon lequel c’est au demandeur d’apporter la preuve (donc à l’accusation).

Feu Hassan II avait dit un jour : « Il ne faut pas perdre son temps à avancer des arguments de bonne foi face à des gens de mauvaise foi. »

Le Maroc et son peuple ne sont pas dans une caserne, ce peuple reste et restera indivisible, debout et fidèle à la Monarchie et à son Roi. Le Sahara a toujours été, est et restera marocain, n’en déplaise aux ennemis. Le Maroc continuera à avancer.