The Cuckoo's Egg

L'objet

En août 1986, Cliff Stoll (astronome qui s'était retrouvé à gérer les ordinateurs du Lawrence Berkeley National Laboratory après l'épuisement de son financement de temps de télescope) se vit confier une corvée triviale : réconcilier un écart de 75 cents entre deux programmes de comptabilité qui facturaient aux utilisateurs leur temps sur les ordinateurs centraux du laboratoire. Le laboratoire facturait à la fraction de seconde, et les comptes n'avaient jamais divergé auparavant. Plutôt que de passer l'écart par pertes et profits, Stoll le remonta jusqu'à un utilisateur non autorisé, « Hunter », qui n'avait aucune adresse de facturation parce qu'il n'avait jamais été autorisé du tout. L'artefact est la trace papier d'une année de poursuite (carnets, listings et une carte dessinée à la main des sauts de réseau), plus tard publiée comme le livre The Cuckoo's Egg (1989), qui se lit comme un roman policier et constitue, en réalité, le premier compte rendu public détaillé d'une enquête sur une intrusion sur internet. Le titre vient de la méthode de l'intrus : tel un coucou pondant son œuf dans le nid d'un autre oiseau, il glissait son code dans des systèmes qui le nourrissaient ensuite, exploitant une faille de l'utilitaire movemail de GNU Emacs pour obtenir les droits superutilisateur.

La traque

L'intrus était Markus Hess, opérant depuis Hanovre, en Allemagne de l'Ouest, à la périphérie du milieu du Chaos Computer Club. Composant à travers le réseau allemand Datex-P et la passerelle internationale Tymnet, il rebondissait par Berkeley vers MILNET, le segment militaire de l'internet naissant aux États-Unis, sondant quelque 450 ordinateurs de bases, sous-traitants de la défense et de la NASA, et pénétrant dans une trentaine. Ce qu'il trouvait, il le vendait au KGB contre de l'argent et de la drogue, par l'intermédiaire d'un trafiquant de Hanovre nommé Pengo et d'autres. Stoll improvisa tout ce qui est depuis devenu standard : il câbla cinquante imprimantes et téléscripteurs sur les lignes entrantes afin que chaque frappe soit consignée sur papier, tint des chronologies méticuleuses minute par minute, et dormit sur un lit de camp dans la salle des machines, un bipeur accroché à la ceinture pour qu'une alarme le réveille quand Hess se connectait. Le FBI, la CIA, la NSA et l'OSI de l'Air Force haussèrent tous d'abord les épaules, aucune agence ne voulant revendiquer une affaire de quelques dollars, alors Stoll continua seul. Comme Hess ne restait connecté que quelques minutes à la fois, trop brièvement pour que la Bundespost allemande achève une trace, Stoll inventa un appât : un bureau fictif « SDInet » (réseau de l'Initiative de défense stratégique) bourré de faux fichiers à consonance classifiée. Hess s'attarda des heures à les lire, assez longtemps pour être tracé jusqu'à Hanovre, de l'autre côté de l'Atlantique. L'appât fonctionna doublement : en 1987, un agent hongrois envoya une lettre au faux bureau SDInet, confirmant le lien d'espionnage.

Le cercle autour de lui

Hess n'agissait pas seul. Ses complices appartenaient à un groupe lâche de Hanovre qui vendait aux Soviétiques l'accès à des ordinateurs occidentaux ; le réseau fut démantelé après la trace de Stoll, et en 1990 Hess et deux autres furent condamnés pour espionnage par un tribunal allemand et écopèrent de peines avec sursis. La figure la plus hantante fut Karl Koch (pseudonyme Hagbard Celine, emprunté à la trilogie Illuminatus! de Robert Anton Wilson), un jeune hacker pétri de théories du complot et d'addiction qui avait fait partie de la même scène. En mai 1989, quelques jours après l'exposition de l'affaire à la télévision et avant qu'il ne puisse pleinement témoigner, Koch fut retrouvé brûlé à mort dans une forêt près de Celle. Le verdict officiel fut le suicide ; le moment laissa à l'affaire une tonalité durablement trouble et inspira plus tard le film allemand 23 (1998).

Pourquoi c'est important

C'est le moment où le hacking cessa d'être une histoire domestique. Un homme devant un clavier en Allemagne de l'Ouest pouvait toucher une base sous-marine américaine et les réseaux de la NASA, et les infrastructures juridiques, diplomatiques et éthiques pour y répondre n'existaient pas encore. Il n'y avait aucune loi claire sous laquelle l'inculper aux États-Unis, ni de canal habituel pour que le FBI coordonne avec la police allemande. The Cuckoo's Egg donna à ces infrastructures leur premier vocabulaire. Presque tous les concepts de la réponse à incident contemporaine, qu'il s'agisse de la chaîne de garde sur les journaux, des environnements de duperie et honeypots ou de la coordination transjuridictionnelle, ont leur brouillon dans les listings de Stoll. L'affaire contribua aussi à susciter la fondation, en 1988, de la première Computer Emergency Response Team (CERT) à Carnegie Mellon, le modèle institutionnel aujourd'hui copié dans le monde entier.

La leçon qu'il a libérée

Faites attention aux petits chiffres faux. Les intrusions décisives sont rarement annoncées ; elles sont repérées par quelqu'un qui refuse d'arrondir une erreur de 75 cents. La curiosité, vertu fondatrice du hacker, se révèle aussi être une discipline du défenseur.