Expert en cybersécurité et auteur renommé, Laurent Schalkwijk est aussi enseignant à la Haute École Robert Schuman. De passage à la bibliothèque du campus de Libramont, Laurent baisse un peu la garde et se livre... Hacker ouvert !

Laurent Schalkwijk, vous êtes venu avec quelques présents !

Oui, ce sont les dernières éditions d'ouvrages parus aux Éditions ENI. Il y a deux ouvrages consacrés aux réseaux CISCO et le Best Seller sur la sécurité informatique, Ethical Hacking.

Ce n'est pas un hasard si vous nous amenez ces livres...

Non... J'ai écrit celui sur le routage et les communications CISCO et j'ai co-écrit les deux autres livres.

Vous avez contribué à d'autres ouvrages ? Sur le site des Éditions ENI, j'en vois toute une série  !

Oui, c'est vrai... J'ai contribué à la rédaction de neuf ouvrages sur les réseaux informatiques et la cybersécurité.

Comment êtes-vous devenu un auteur aussi sollicité ?

Je donne également cours à Maubeuge et à Valenciennes, en France. On y organise un Bachelier en sécurité informatique depuis plus de 10 ans. Au début, ma contribution à la formation abordait uniquement la sécurisation du système d'exploitation Windows. Puis cela s'est étendu à la sécurisation des réseaux informatiques, pour aboutir finalement à une participation aux Master en Cybersécurité dans le cadre du cours de Sécurisation des accès distants.

Mes collègues, qui connaissaient les Éditions ENI, m'ont proposé de partager mon expérience avec eux et de participer à la rédaction de plusieurs livres. Ensemble, nous avons également organisé le concours Ethical Hacking, un concours que nous comptons relancer d'ici l'an prochain.

Tous les bénéfices des ventes de ces livres reviennent à l'organisation Ethical Hacking, dont la mission est d'éduquer les acteurs économiques à la sécurité informatique.

Ethical Hacking, voilà une expression bien sulfureuse !

[Rires] Oui ! Mais au départ, le terme hacker n'est pas négatif. Il désigne simplement une personne capable de détecter les failles dans un système. C'est parce que souvent, on découvre ces failles à la suite d'une attaque de pirates... Mais un hacker n'est pas forcément un pirate !

On parle beaucoup de Black Hats et de White Hats dans le milieu...

C'est ça ! Un Black Hat est un hacker qui a sombré du côté obscur de la Force. C'est un pirate, dont les intentions sont tout sauf louables. Et puis il y a les White Hats, ces hackers "propres" dont l'unique but est de renforcer la sécurité des systèmes informatiques. Ils n'entrent en action qu'avec l'accord des entreprises concernées. Le plus souvent, ce sont ces dernières qui les sollicitent.

Entre ces deux extrêmes, vous avez également des Grey Hats qui n'hésitent pas à utiliser des moyens illégaux mais dont la finalité est louable. Mes collègues et moi sommes des White Hats.

Parlez-nous de votre parcours, Laurent. Nous voulons savoir comment on devient un expert en cybersécurité.

J'ai obtenu mon diplôme d'Ingénieur industriel dans les années 90. J'ai fait mes candidatures à la HERS, sur le campus d'Arlon d'ailleurs... J'ai ensuite travaillé plus de quinze ans dans le privé en tant qu'expert réseaux et cybersécurité. J'ai travaillé pour Siemens, l'OTAN et d'Ieteren, entres autres.

Parallèlement à ça, j'ai suivi une formation aux réseaux CISCO. Une fois diplômé, je suis devenu instructeur, puis instructeur d'instructeur. Pour le devenir, j'ai passé ma certification CCNA, puis la CCNP afin d'augmenter mes connaissances et compétences. Et pour finir, j'ai obtenu les certifications CCNA Wireless, Voice et Security.

On m'a proposé de former les instructeurs, car on s'est rendu compte que beaucoup ne maitrisaient pas totalement la matière. Beaucoup de personnes ont une approche intuitive et peu construite du hacking. Tant il s'agit de trouver des failles dans un système, c'est assez facile. Beaucoup d'ailleurs se contentent de suivre des recettes toutes faites pour pirater des systèmes. La plupart des hackers sont très intuitifs de nature, et c'est une qualité qu'il s'agit de préserver. Ils ont des idées que des informaticiens classiques n'auront jamais. Simplement, beaucoup ne suivent pas le cursus habituel car celui-ci est trop structuré pour eux.

Mais concevoir la sécurité pour éviter ces failles exige des connaissances et une compréhension globale que beaucoup n'ont pas. Il faut donc former des personnes qui ont l'intelligence de ce qu'ils font.

Justement, à ce propos, quelles sont les qualités requises pour devenir un bon consultant en cybersécurité ?

Pour les raisons que je viens d'évoquer, il faut de solides connaissances en informatique de gestion : sur les réseaux et les systèmes d'exploitation, entre autres. Les problèmes de sécurité exigent de maîtriser des mondes parfois antagonistes. Prenez un cas classique. Ce qui intéresse un développeur, c'est que l'application qu'il développe soit disponible en ligne le plus vite possible. Mais cela pose problème à son administrateur réseau, qui tient à ce que son réseau reste sécurisé. Pour assurer la sécurité de cette application et du réseau, vous devez maîtriser les aspects de ces deux mondes.

Le volume des connaissances théoriques qu'il faut maîtriser est tel qu'il faut être littéralement mordu pour réussir. C'est d'autant plus vrai qu'il faut tenir ces connaissances continuellement à jour. Une fois que vous avez mis le pied à l'étrier, vous ne pouvez plus vous arrêter. Les pirates ont d'ailleurs pris l'habitude de profiter de failles de sécurité récentes, comme on peut le voir encore aujourd'hui avec Facebook.

Et comme je viens de le dire, au final, ce qui distingue un bon consultant en cybersécurité d'un expert hors normes, ce sont les qualités d'intuition et de créativité. C'est la cerise sur le gâteau.

Avoir un expert en cybersécurité sous la main est peu courant... Quels conseils de sécurité donneriez-vous à l'ensemble des étudiants et membres du personnel de la HERS ?

Je sais que cela peut paraître paranoïaque, mais je mettrais le moins d'informations possibles sur internet. En particulier sur les réseaux sociaux. Ils sont passés maîtres dans l'art de récupérer toutes vos informations personnelles. Non seulement ils les utilisent à des fins commerciales, mais en plus, ils sont mal armés contre les failles de sécurité. Pour les mêmes raisons, j'évite autant que possible les services de messagerie du type Gmail et Outlook/Hotmail. À cet égard, vous remarquerez que le Cloud Act ne me contredit pas !

Avoir une adresse e-mail fournie par un hébergeur européen spécialisé dans l'hébergement de site web est une solution plus cohérente, même si ceci a un coût.

Le navigateur Chrome constitue à lui seul un énorme problème de confidentialité. À l'installation, le logiciel installe un service d'analyse qui tourne en permanence et qui transfère vos données personnelles sur les serveurs américains, même quand Chrome n'est pas lancé.

C'est pareil avec Microsoft. Si vous chiffrez une partie de votre disque dur avec le programme de Windows, celui-ci envoie au préalable la clé de chiffrement à Microsoft pour s'assurer que la firme ait un accès à vos dossiers chiffrés par la suite. Pour chiffrer vos dossiers ou vos partitions, vous pouvez vous orienter vers le logiciel Veracrypt, qui est une solution Open Source et gratuite.

Brr ! On se croirait en plein film d'espionnage !

C'est pourtant la réalité. Actuellement, le président des États-Unis tente de faire passer une loi –le Cloud Act- pour que toutes les données stockées par des entreprises américaines, et ce quelles que soient leur localisation dans le monde, soient lisibles par le gouvernement américain. C'est contraire au RGPD européen.

Pour l'Europe, cette menace est une opportunité de réorganiser le cloud mondial indépendamment des États-Unis. Il s'agit pour nous d'assurer la sécurité du réseau internet et sa liberté. Le Big Data est clairement une menace. Nous devons créer des systèmes de surveillance efficaces et affirmer notre indépendance.

Laurent, un tout grand merci pour ces précieux conseils et pour le temps que vous nous avez consacré.
Nous rappelons aux étudiants en informatique de gestion que vos ouvrages sont disponibles à la bibliothèque du campus de Libramont.