Les géants de la technologie Google et Microsoft ont rejoint un groupe d'experts en cybersécurité exhortant le gouverneur de Géorgie Nathan Deal à opposer son veto à un projet de loi qui fait de l'accès non autorisé à un ordinateur un crime passible d'un an de prison.
La proposition de 1½ page, adopté en mars dans les dernières heures chaotiques de la session législative géorgienne, rendrait illégal l'accès intentionnel à un ordinateur ou à un réseau sans autorisation.
Il est conçu pour donner aux forces de l'ordre la possibilité de poursuivre les « fouineurs en ligne », des pirates qui sondent les systèmes informatiques à la recherche de vulnérabilités mais ne perturbent ni ne volent de données. La législation fait suite à la découverte récente par des experts indépendants non autorisés en cybersécurité d'une vulnérabilité béante dans le réseau informatique où sont gérées les élections en Géorgie.
Le gouverneur républicain a jusqu'au 8 mai pour opposer son veto ou signer le projet de loi. Le bureau de Deal a seulement déclaré qu'il examinait la législation comme il le fait pour tous les autres projets de loi. Il n'a pas publiquement indiqué sa position sur la question.
Un groupe de plus de 50 universitaires, des chercheurs, Des experts et des technologues en cybersécurité ont récemment écrit à Deal pour l'exhorter à opposer son veto au projet de loi.
Le groupe a déclaré que "la législation freinera la recherche en matière de sécurité et nuira à l'industrie de la cybersécurité de l'État". Ils ont déclaré que le projet de loi était problématique car il créait de nouvelles responsabilités pour les chercheurs en sécurité qui identifient et divulguent les faiblesses pour améliorer la cybersécurité.
Le projet de loi entraverait sérieusement le type de recherche indépendante qui aide à protéger les réseaux informatiques critiques contre les intrusions, a déclaré Andy Green, chercheur en sécurité de l'information à la Kennesaw State University, l'un des signataires de la lettre à Deal.
Juin dernier, un chercheur indépendant a alerté Green sur l'énorme trou de sécurité débranché qui a exposé les données personnelles des 6,7 millions d'électeurs inscrits de Géorgie à l'Internet ouvert. Il l'a confirmé et a tiré la sonnette d'alarme. L'effacement ultérieur des données du serveur électoral par ses dépositaires, quelques jours seulement après le dépôt d'un procès mettant en cause l'intégrité du système de vote de l'État de Géorgie, a fait la une des journaux nationaux.
Une telle enquête serait criminalisée, ce qui la rendrait passible d'une peine pouvant aller jusqu'à un an de prison, en vertu du projet de loi.
"Je ne sais pas pour vous mais je suis trop occupé pour aller en prison pendant un an, " dit Vert.
Les pirates informatiques dits "White Hat" qui se contentent d'identifier les failles de sécurité - même évidentes dans lesquelles un novice pourrait tomber - ne contacteraient plus les propriétaires de réseaux qui fuient et diraient :" Hé, vous avez un problème avec ces systèmes. Laisse moi te montrer comment j'ai fait, expliquez comment vous pouvez vous rendre moins susceptible d'être attaqué ici."
"Ça va s'arrêter, essentiellement, " dit Vert.
La loi légaliserait également en Géorgie « les mesures de défense active conçues pour empêcher ou détecter les accès informatiques non autorisés ».
Ce ne est pas, cependant, définir des « mesures défensives » et cela donne à réfléchir aux experts qui considèrent que le projet de loi autorise le « piratage ».
Des représentants de Google et Microsoft, dans une lettre conjointe à Deal, a contesté la disposition de "défense active", notant qu'un si large, l'autorisation indéfinie de « piratage d'autres réseaux et systèmes sous le couvert indéfini de la cybersécurité … est très controversée dans les cercles de la cybersécurité ».
La Géorgie est devenue un important centre de l'industrie de la cybersécurité, se classant troisième au pays dans le domaine de la sécurité de l'information et générant plus de 4,7 milliards de dollars de revenus annuels, selon le ministère géorgien du développement économique.
L'État compte plus de 150 entreprises de cybersécurité ainsi que des instituts de sécurité de l'information au Georgia Institute of Technology, Université d'État de Géorgie, Université d'Augusta et État de Kennesaw.
© 2018 La Presse Associée. Tous les droits sont réservés.
