Géopolitique : le mélodrame Kaspersky s’étend au Royaume-Uni

Faut-il se méfier des outils de Kaspersky ? Dans certains cas, estime Ian Levy, directeur technique du centre national de cybersécurité britannique (NCSC). Dans un billet de blog qu’il revendique « complexe et nuancé », il assure d’abord qu’un « drapeau n’est pas un indicateur de confiance ». Mais pour le contraire, c’est une autre histoire : « bien sûr, si un fournisseur a son siège dans un pays qui a un passé d’attaques contre le Royaume-Uni et ses alliés dans le cyberespace, il y a de quoi s’inquiéter ». Et cela vaut justement pour la Russie. Dès lors, « nous pensons que certains systèmes gouvernementaux et critiques pour la nation sont confrontés à un risque relevé ».

D’où l’importance, pour Ian Levy, de s’interroger sur la gestion du risque posé par un antivirus, compte tenu de l’impact potentiel de son éventuel détournement. Et l’on parle bien de Kaspersky : « tout d’abord, nous allons discuter avec les entreprises dont nous croyons qu’elles posent un risque et étudier comment travailler ensemble pour réduire ce risque suffisamment ».

Ian Levy assure dialoguer avec l’éditeur pour voir si « un framework peut être développé » pour, grosso modo, donner au Royaume-Uni une assurance de sa bonne volonté. En soin, l’affirmation ne manque pas d’une certaine ironie : elle survient près d’un mois et demi après que Kaspersky a dévoilé son opération transparence sur le code source de ses produits.

Mais le directeur technique du NCSC laisse entendre que, de toute façon, cela ne suffira pas dans certains cas. Il rappelle ainsi que Ciaran Martin, directeur général de la cybersécurité du GCHQ – dont dépend le NCSC, le renseignement britannique –, « a conseillé que les systèmes avec une objectif de sécurité nationale n’utilisent pas des produits qui pourraient être aisément exploités par le gouvernement russe ». Pareille chose n’a jamais été démontrée dans le cas de Kaspersky – et rien ne dit que d’autres antivirus ne sont pas plus vulnérables –, mais qu’à cela ne tienne : « de nombreux services gèrent déjà bien ces risques ; il n’y a quasiment aucune base installée Kaspersky dans l’administration centrale ». Une tempête dans un verre d’eau, en somme ?

Le propos renvoie clairement au mélodrame dans lequel l’éditeur russe apparaît piégé outre-Atlantique, même en l’absence de tout élément probant. Pour l’heure, cette défiance n’a pas ouvertement trouvé d’écho en Australie, au Canada et en Nouvelle-Zélande. Pour autant, un porte-parole du cabinet du premier ministre australien a déclaré que le sujet faisait l’objet d’un « dialogue continu avec [ses] partenaires des Five Eyes », à savoir le réseau de partage de renseignement entre ces trois pays, les Etats-Unis et le Royaume-Uni. A se demander lequel d’entre eux fera la prochaine sortie.