« Mon nom est légion car nous sommes nombreux »
Pour mener une attaque de type DDOS, il faut qu'un grand nombre de machines se synchronisent pour simultanément assaillir de requêtes la cible. Dans les milieux du cybercrime, on réalise ce genre d'opérations à l'aide de botnets, ces réseaux d'ordinateurs infectés à l'insu de leur propriétaire. Ici, il n'est pas impossible que des botnets aient été mis à contribution, mais la portée de l'attaque vient essentiellement du nombre de participants réunis.
Un nom revient de plus en plus souvent dans la presse lorsqu'il s'agit d'illustrer la puissance des foules à l'heure du Web. Il s'agit de 4chan, l'un des plus importants image boards de la planète, d'où sont issus bon nombre des mèmes qui constituent, à leur façon, un pan de la culture Web moderne. Au sein de ce gigantesque espace de discussion, la modération n'intervient que dans les cas les plus extrêmes. S'y sont forgées des communautés adeptes de l'humour vache, trash, voire franchement gore. L'une d'elles a choisi de délaisser le culte du LOL au profit de causes plus sérieuses. Elle se fait appeler « Anonymous » (anonyme), en référence à l'anonymat qui est la règle sur 4chan, parfois abrégé en « Anon ».
La voix d'Anon ne fait pas dans la dentelle. Sur les images que concocte la communauté revient ainsi régulièrement cet emprunt à l'Évangile selon Marc : « Mon nom est Légion car nous sommes nombreux ». Son existence a pour la première fois été portée à la connaissance du grand public début 2008, après qu'une campagne de communication eut accompagné une attaque menée contre différents sites Web rattachés à l'église de scientologie.
En 2010, Anon s'est trouvé une nouvelle cible : les organisations ou institutions qui, au nom d'intérêts économiques, soutiennent la mise en place de mesures visant à restreindre les libertés qu'autorise aujourd'hui Internet. Le libre échange de fichiers par exemple.
Oeil pour oeil, dent pour dent ?
21 heures. C'est à quelques minutes près le laps de temps pendant lequel le site de la MPAA, association qui représente l'intérêt des studios américains, a été inaccessible entre vendredi et samedi dernier, suite à une virulente attaque de type DDOS (Distributed denial of service). Appelée « déni de service » en français, elle consiste à envoyer simultanément un nombre très important de requêtes vers un serveur informatique de façon à engorger ce dernier jusqu'à saturation. La RIAA, qui défend les maisons de disque, a subi le même sort entre samedi et dimanche, tout comme la société indienne AirPlex Software, spécialisée dans la lutte contre le téléchargement illégal.
D'après « Anonymous », l'attaque en question serait une réponse aux récents agissements d'Airplex Software. Chargée de défendre techniquement certains représentants de l'industrie du cinéma, elle est en effet accusée d'avoir tenté de compromettre le bon fonctionnement du site The Pirate Bay par l'intermédiaire d'une attaque de type DDOS. Dans la foulée de l'action entreprise à l'encontre d'Airplex, Anon annonce vouloir s'en prendre à la MPAA, la RIAA et les cabinets d'avocats qui servent leurs intérêts. Nom de code : « Operation Payback is a bitch ».
LOIC, meilleur ami des script kiddies
Comment s'organisent ces attaques ? Ces derniers jours, on a vu les appels se multiplier sur les forums de 4Chan. L'invitation prend généralement la forme d'une vignette annonçant la tenue d'une action dans les jours à venir, suivie de l'adresse vers un canal de discussion IRC (Internet Relay Chat) sur lequel les personnes intéressées peuvent discuter du mode opératoire. Virale et basée sur des outils où l'anonymat est la règle, l'opération ressemble à une initiative communautaire spontanée. Autrement dit, si maître d'oeuvre il y a, il cultive la discrétion...
Le néophyte qui débarque en affichant son désir de participer à ces attaques se verra rapidement orienté vers LOIC (Low Orbit Ion Canon, référence à Star Wars), un logiciel open source particulièrement simple d'emploi dédié aux attaques de type déni de service. On lui communiquera ensuite l'heure de l'attaque et l'adresse IP du serveur qui héberge le site cible. L'opération ne pouvant fonctionner que si beaucoup d'utilisateurs lancent la procédure simultanément, l'internaute de passage se verra vivement encouragé à recruter de nouveaux participants. A lire les questions que posent les nouveaux venus, on comprend bien que le gros des troupes n'a rien d'un hacker au sens noble : si certains témoignent d'un véritable savoir faire, la plupart ne sont que des script kiddies, cette appellation péjorative désignant les amateurs qui jouent au pirate en manipulant des outils qu'ils ne comprennent qu'à peine.
On voudrait pas s'avancer, mais Toto sent l'internaute français pas précisément expert du DDOS
Émeute 2.0
Manifestation spontanée, violente, résultant d'une émotion collective : voilà des attaques qui collent parfaitement à la définition de l'émeute. Quels que soient les propos belliqueux tenus en ligne, les victimes de ces attaques n'ont pour l'instant pas l'intention de s'en laisser conter.
L'une d'entre elles, ACS:Law, est société de conseil en justice spécialisée dans les affaires de propriété intellectuelle, qui a notamment réussi à faire que soient transmises par des FAI locaux les adresses IP d'internautes convaincus de téléchargement illégal via BitTorrent. Attaqué en début de semaine, son site est revenu en ligne, puis a coulé de nouveau. Son patron, Andrew Crossley, semble pourtant n'en avoir cure. « Je suis plus ennuyé par le fait que mon train ait dix minutes de retard ou que je doive faire la queue pour un café que par le fait de perdre mon temps avec ce genre de saloperies », a-t-il ainsi balancé au site The Register.
En France aussi, on doit se poser la question puisque le futur site de l'Hadopi, dont le lancement est imminent, fait partie des futures cibles évoquées sur les boards dédiées au sujet. Interrogé sur le sujet, Eric Walter, secrétaire général de l'Autorité, a très clairement expliqué que le site ne serait tout simplement pas armé pour résister à un DDOS de grande ampleur. Discours implicite : pourquoi attiser leurs ardeurs alors qu'ils se lasseront d'eux mêmes après avoir obtenu la chute du site ?
Une attaque en règle contre Hadopi.fr est déjà planifiée
Une arme à double tranchant ?
A plusieurs reprises, nous avons profité de l'anonymat fourni par ces salles de discussion pour interroger quelques internautes parmi les plus véhéments. « Anon4 » s'est chargé de nous résumer la démarche sous-tendant l'opération, en un discours bien rôdé de quelques lignes, assez proche de celui des affiches virtuelles de propagande utilisées par la communauté. Il n'en reste pas moins édifiant.
« L'opération Payback signifie pour chacun des Anon que si nos gouvernements nous laissent tomber, si personne en politique ou en économie n'est capable de protéger notre culture et Internet, nous serons là pour frapper et nous battre. Payback est un message envoyé aux Anons. Pas aux enfoirés du copyright, mais à nous même et il nous dit : nous avons des armes, nous pouvons nous en servir. Un DDOS avec LOIC, c'est la plus facile (à utiliser). C'est la première mais ce que Payback veut dire, c'est que s'ils continuent à se dresser contre nous, nous les blesserons avec des armes plus sophistiquées ». Menace latente : après le DDOS, le hack pour une guerre en bonne et due forme ? C'est ce que prônent certains. L'effet V for Vendetta ?
Parmi les nombreux opposants que mobilisent, en France ou à l'étranger, les lois telles qu'Hadopi, tous ne voient pas d'un très bon oeil cette montée de violence, qu'il parait objectivement difficile d'associer à la doctrine de la guerre juste tant le problème de la régulation du Net est complexe.
« Nous ne cautionnons pas ces attaques vaines et contre-productives, qui amènent de l'eau au moulin de nos adversaires, qui stigmatisent déjà les internautes et les criminalisent », défend par exemple le Parti pirate français. « Si nous comprenons et partageons la colère et l'indignation des internautes, et plus largement, des femmes et des hommes qui voient leurs libertés et leurs droits sacrifiés au nom du copyright/droit d'auteur, nous savons aussi que seule une vigilance citoyenne et un engagement politique sans faille viendront à bout des politiques répressives menées contre nos libertés fondamentales ».
Désabusée, la génération Y ? « Les actions politiques ne servent à rien, quand le gouvernement veut passer une loi en force, il le fait. Alors allez expliquer aux kids enragés qu'il faut "s'engager" quand ils peuvent faire sauter un site en une soirée », répond un internaute. Pas tout à fait faux... mais pas tout à fait sans conséquence : après l'émeute vient souvent le durcissement des lois.
