40
13 législature ème Question N° : 74469 de Mme Joissains-Masini Maryse ( Union pour un Mouvement Populaire - Bouches-du-Rhône ) Question écrite Ministère interrogé > Industrie Ministère attributaire > Économie, finances et industrie Rubrique > entreprises Tête d'analyse > PME Analyse > innovations technologiques. commercialisation. soutien de l'État Question publiée au JO le : page : 23/03/2010 3248 Date de changement d'attribution : 14/11/2010 Texte de la question Mme Maryse Joissains-Masini attire l'attention de M. le ministre chargé de l'industrie sur les problèmes que rencontre actuellement la société innovante Validy. Cette société dispose d'une technologie brevetée qui s'adresse au marché de la sécurité informatique et qui est destiné à protéger les logiciels contre le piratage et le sabotage. Après dix années d'efforts et 9 millions d'euros investis par des investisseurs privés français et alors que de grands groupes français ont identifié l'opportunité à fort caractère stratégique que représente cette nouvelle technologie, aucun emploi n'a pu être créé au sein de cette société innovante. Il semblerait que, depuis de nombreuses années, Validy soit victime d'un enfermement commercial et administratif voulu par de grands groupes français. Face à ces attaques, cette société, comme beaucoup d'autres sociétés innovantes, est dans l'incapacité de commercialiser ses technologies ou produits et est contrainte de s'expatrier pour assurer le suivi de l'entreprise. Elle lui demande s'il ne pense pas, si ces pratiques délétères existent, lors même qu'elles sont franco-françaises, qu'elles se révèlent contreproductives et destructrices, tant à la société Validy qu'à bien d'autres, qui, toutes pourtant alliées à de grands groupes industriels, ne manqueraient pas de contribuer au rayonnement de la France au plan mondial.

Dossier complet validy aux candidats à la présidence de la république

Embed Size (px)

DESCRIPTION

 

Citation preview

Page 1: Dossier complet validy aux candidats à la présidence de la république

13 législatureème

Question N° :

74469

de Mme Joissains-Masini Maryse ( Union pour un Mouvement Populaire -

Bouches-du-Rhône )

Question

écrite

Ministère interrogé > Industrie Ministère attributaire > Économie, finances et industrie

Rubrique > entreprises Tête d'analyse > PME Analyse > innovationstechnologiques. commercialisation.

soutien de l'État

Question publiée au JO le :   page : 23/03/2010 3248Date de changement d'attribution : 14/11/2010

Texte de la question

Mme Maryse Joissains-Masini attire l'attention de M. le ministre chargé de l'industrie sur les problèmes que rencontreactuellement la société innovante Validy. Cette société dispose d'une technologie brevetée qui s'adresse au marché dela sécurité informatique et qui est destiné à protéger les logiciels contre le piratage et le sabotage. Après dix annéesd'efforts et 9 millions d'euros investis par des investisseurs privés français et alors que de grands groupes français ontidentifié l'opportunité à fort caractère stratégique que représente cette nouvelle technologie, aucun emploi n'a pu êtrecréé au sein de cette société innovante. Il semblerait que, depuis de nombreuses années, Validy soit victime d'unenfermement commercial et administratif voulu par de grands groupes français. Face à ces attaques, cette société,comme beaucoup d'autres sociétés innovantes, est dans l'incapacité de commercialiser ses technologies ou produits etest contrainte de s'expatrier pour assurer le suivi de l'entreprise. Elle lui demande s'il ne pense pas, si ces pratiquesdélétères existent, lors même qu'elles sont franco-françaises, qu'elles se révèlent contreproductives et destructrices,tant à la société Validy qu'à bien d'autres, qui, toutes pourtant alliées à de grands groupes industriels, ne manqueraientpas de contribuer au rayonnement de la France au plan mondial.

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 2: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 3: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 4: Dossier complet validy aux candidats à la présidence de la république

Validy > Société > Prix et reconnaissances

Prix et reconnaissances

2006 : Validy est nominé au prix européen de l'innovation ICT Prize

Les experts indépendants de Euro-CASE ont évalué et classé les candidatures au

concours Européen ICT Prize et proposé 66 nominés à la Commission Européenne. Le

jury est composé de représentants appartenant à 16 académies des sciences qui

récompensent chaque année les sociétés innovantes européennes dans le domaine

des technologies de l'information.

2007 : Validy reçoit le prix MOTOROLA au salon Sino-Européen CHINICT2007

Motorola récompense S.A Validy en lui décernant l’un des prix «

ChinICT Top Innovator Award ».Ce prix récompense Validy pour sa

technologie de protection des logiciels et systèmes informatiques contre le piratage et le sabotage. La

distinction a été remise lors du salon sino-européen « ChinICT 2007 » tenu les 24 et 25 mai à Pékin

(Chine), sous le haut patronage de Mme Viviane Reding, Commissaire Européen de la société de

l’information et des médias en présence de représentants des autorités officielles chinoises et de

grands noms de l’industrie informatique mondiale comme Microsoft, Motorola, Cisco, Cina…

2008 : Le projet SECTOKEN porté par Validy est labellisé par le pôle de compétitivité mondial MINALOGIC

Le comité de labellisation du pôle de compétitivité mondial MINALOGIC, après examen,

a décidé à l'unanimité de décerner le label MINALOGIC au projet SECTOKEN, porté par Validy. Le

comité a été très sensible à la forte implication des PME et des laboratoires de recherche dans ce

projet.

Partenaires du projet SECTOKEN : VALIDY, CEA CESTI LETI Laboratory, TIMA Laboratory, TIEMPO

Company.

Le projet SECTOKEN après avoir été labellisé à l'unanimité du jury n'a pas été financé par le Fonds

Unique Interministériel (FUI) du Ministère des Finances (MINEFI).

2010 : AMERICAN SECURITY CHALLENGE

Washington DC, Validy est semi-finaliste au prestigieux concours AMERICAN

SECURITY CHALLENGE (ASC) et peut, à ce titre, se prévaloir de faire partie des 22

sociétés qui font l’objet d’un suivi et d’une promotion continue par ASC. ASC a pour

objet de promouvoir et favoriser la mise sur le marché de technologies de sécurité innovantes

destinée à protéger les Etats Unis d’Amérique.

Validy Net Inc. - SA Validy - Validy International - Mentions légales - Plan du site

Accueil Solutions Produits Support Société Contact Presse

La sécurité par la transparence

2f1e772d

Chercher

Validy

Société

A propos de Validy

Prix et reconnaissances

Presse

Quelques Dates

Brevets

Page 1 sur 1Prix et reconnaissances

24/02/2012http://www.validy.com/fr/societe/prix/

Page 5: Dossier complet validy aux candidats à la présidence de la république

Réponse à votre courrier : Votre réponse Internet : SCP/CdO/A119517

Monsieur le Président de la République,

Je vous remercie d'avoir signalé mes préoccupations au Ministre de l'Economie et des Finances et de

l'Industrie.

Vous en aviez déjà fait de même il y a plus deux années et cela est resté sans effet. C'est pourquoi je

me permets d'insister. Je ne comprends pas pourquoi notre dossier est traité de la sorte.

Comme je l'ai expliqué à M. Le Premier Ministre dans mon courrier du 5 décembre 2010.

Validy représente une opportunité à fort caractère stratégique :"Permettez-moi une comparaison

avec une filière qui s’est créée dans les années soixante-dix, afin de mieux imager l’objet de notre

requête : Validy se trouve vraiment dans la même situation, que la société Innovatron fondée par M.

Roland MORENO inventeur de la carte à puce.

Cette innovation a permis la création d’une filière industrielle dont la réputation ainsi que les

résultats sont aujourd’hui encore considérables, tant sur le plan économique que stratégique."

Monsieur le Premier Ministre m'avait fait répondre que son agenda ne lui permettait pas de traiter

mon dossier.

Je note aussi que je n'ai jamais réussi à rencontrer M. Eric BESSON bien qu'il soit aussi un élu de la

Drôme. Vous n'êtes pas sans ignorer que Validy est à Romans dans la Drôme.

De plus, la Drôme dispose de sites hautement sensibles qui doivent être protégés contre le sabotage

informatique, la cybercriminalité et le cyber terrorisme conformément à l'article LR 1332 du code de

la défense. C'est exactement un des champs d'application de notre technologie pour sécuriser les

systèmes SCADA qui pilotent les centrales nucléaires.

Ces sites sont la FBFC, les centrales nucléaires de Cruas et de Tricastin. l'ANSSI dit vouloir référencer

notre technologie. Dans les faits ce référencement ne peut se faire qu'avec le concours d’ AREVA ou

de l'exploitant des centrales EDF.

Notre technologie est un outil qui sert à protéger des systèmes existants. Le système existant

pourrait être le logiciel SCADA d'AREVA.

Quand AREVA s'est montré intéressée par notre technologie le 26 mai 2009, le directeur de la sureté

et son adjoint nous ont décrit pourquoi ils avaient besoin d'utiliser notre technologie.

Selon leur dire, une intervention extérieure les aurait empêchés de concrétiser un accord de licence

que nous étions tout disposés à leur accorder. Vous le comprenez, officiellement, Validy devrait

pouvoir faire référencer sa technologie auprès de l'ANSSI, officieusement tout serait fait "dans

l'ombre" pour que cela ne puisse pas être le cas.

Page 6: Dossier complet validy aux candidats à la présidence de la république

M. Le Président de la République, votre intervention s'avère donc être nécessaire et indispensable

afin que les nombreux freins qui se sont mis en place pour nous empêcher d'émerger soient levés

grâce à votre haute autorité.

Veuillez agréer, Monsieur le Président de la République l'expression de ma plus haute considération.

Gilles SGRO

Président du Directoire

SA Validy

Mobile : +33 684 60 00 96

[email protected]

Page 7: Dossier complet validy aux candidats à la présidence de la république

24 n°27

DOSSIER

Tirer les leçons de l’affaire Stuxnet

Tout a-t-il été dit sur le ver Stuxnet ? Sans doute pas. On pourra sans doute en tirer un jour un fi lm à la « James Bond » ou « Mission Impossible ». Faut-il s’en tenir là ? Manifestement non, une telle

attaque soulève de nombreuses questions qui doivent remettre en cause certaines certitudes... Peut-être faut-il repenser nos paradigmes en matière de sécurité.

Dossier réalisé par Dominique Ciupa.

24 n°29

Article paru dans Mag-Securs n°29

Page 8: Dossier complet validy aux candidats à la présidence de la république

STUXNET

25n°29

L a faillite de la Barings Bank, en 1995, cau-sée par le trader Nick Leeson avec 827 millions de livres sterling de pertes a été le thème du fi lm « Trader – l’homme qui a fait sauter la banque de la Reine d’Angle-terre » sorti en 2000 avec Erwan McGre-

gor. Au début de l’année 2008, on découvre que la Société Générale passe de très peu à côté de la faillite avec l’affaire « Jérôme Kerviel » : 50 milliards d’euros d’exposition et près de 5 milliards d’euros de pertes(*). La tourmente fi nancière de l’automne 2008 nous a donné un tout autre tempo : la crise améri-caine des « subprimes » met en jeu 500 milliards de dollars de valeur fi ctives ! Et les affaires ne sont pas terminées : Madoff avec 50 milliards de dollars, ou encore le renfl ouement des fi nances de l’Irlande avec 85 milliards d’Euros, etc.Stuxnet pourrait bien être à la SSI ce que Nick Lee-son a été au système financier : le premier épi-sode d’une longue série dont les effets pourraient finir par être très dévastateurs. Le risque encouru par les systèmes industriels est connu depuis de nombreuses années et est régulièrement exposé au cours de grandes conférences comme la Black Hat, la RSA Conférence, ou le FIC. Mais force a été de constater que ce risque était considéré comme non avéré : l’attaque n’avait pas eu lieu... Dès lors, la tentation de classer ce risque comme résiduel, c’est-à-dire acceptable sans vraiment apprécier son impact est fort... La médiatisation de l’attaque Stuxent aura au moins eu le mérite de provoquer une vaste campagne de sensibilisation sur la sé-curité des systèmes industriels.

> Les éléments de l’attaque Il convient naturellement de rester très prudent sur ce que nous savons des véritables objectifs de ce ver. Une tendance générale se dégage toutefois pour supposer que ce malware a été conçu afin de détruire les centrifugeuses de l’usine d’enrichisse-ment d’uranium de Natanz, en Iran. Des faits ont en effet été rapportés par l’AIEA sur un retard de ce programme et le gouvernement iranien a lui-même reconnu l’existence de problèmes. Le code exécutable des commandes des centrifugeuses auraient été modifiées pour changer leur vitesse de rotation et les détruire. Il s’agirait donc d’une attaque sur les systèmes de supervision WinCC de Siemens, qui contrôlent, sur un ordinateur exploité sous Windows, les systèmes Scada (Supervisory Control and Data Acquisition).L’affaire aurait donc eu un objectif, le blocage, ou au moins un sérieux ralentissement du programme nu-cléaire iranien. Elle aurait également eu l’appui d’un

ou plusieurs états, les Etats-Unis et/ou Israël, des moyens intellectuels importants et sans doute éga-lement un travail traditionnel d’agents de terrain.Ce genre d’attaque ne ressemble cependant pas aux vers que nous avons connus au début des années 2000 et qui se propageaient sur l’Inter-net. Les équipements d’une centrale nucléaire ou d’une usine d’enrichissement ne sont en effet pas accessibles de l’Internet. Des réseaux spécifiques sont conçus, totalement cloisonnés. Il est même courant de mettre en œuvre des « firewalls-dio-de » permettant à un équipement de mesures d’envoyer des données vers une salle de contrôle, sans qu’il ne soit possible d’envoyer des ordres à cet équipement pour le perturber, voire de changer son code exécutable. Ces principes sont largement diffusés et sont précisés dans les documents du Nuclear Energy Institute américain, notamment le document NEI0404. L’attaque, dit-on, aurait été menée grâce à des clés USB. La composante humaine a donc été employée... A quel niveau, de quelle manière ? Les choses ne sont pas claires : un agent sur place agissant délibérément ? Ou une contamination en amont de programmes exécutables pour que des techniciens autorisés compromettent ensuite, à leur insu, les commandes des équipements ? Dans la mesure où plusieurs installations ont été infectées dans le monde, le second scénario nous semblerait plus plausible...Selon la publication israélienne Debka spécialisée dans le renseignement militaire, le professeur iranien Majid Shahriari, chargé de lutter contre Stuxnet a été assassiné en novembre dernier. Le mode opératoire a été celui d’explosifs lancés depuis des motos et d’une fusillade depuis une voiture. Le pouvoir iranien a pour sa part immédia-tement accusé les Etats-Unis et Israël, confirmant ainsi l’assassinat du scientifique...L’analyse du ver Stuxnet a été réalisée par de nombreux experts et on a pu assister à un très im-portant travail d’échanges entre les experts et les éditeurs de solutions anti-malwares. Un rapport très complet a notamment été réalisé par Syman-tec. Les experts ont identifié l’exploitation de qua-tre failles « 0 day ». L’exécution d’un payload ren-due possible par l’exploitation de la faille LNK non corrigée permettait de compromettre le système en exécutant un code malicieux depuis une clé USB par un appel de lien .ink. Pour l’ensemble de la profession, la combinaison de 4 failles représente un travail exceptionnel et jamais vu à ce jour. Sy-mantec explique que le système de contrôle des fréquences des moteurs entre 807 Hz et 1210 Hz

(*) :Lire Mag-Securs n°19 (2e trimestre 2008) –Affaire Société Générale : quelles leçons en tirer ?

Page 9: Dossier complet validy aux candidats à la présidence de la république

26 n°29

DOSSIER STUXNET

étaient visées. Les experts relèvent également que l’attaque exploite l’utilisation d’un mot de pas-se par défaut. WinCC / PCS7 s’appuie en effet sur une base de données MS SQL qui demande un mot de passe pour établir une communication interne. La vérification ne concerne donc pas l’utilisateur du système et Siemens recommande à ses clients de ne pas changer le mot de passe pour éviter des dysfonctionnements...L’étude du ver fait encore apparaître que deux certificats ont été volés à JMicron et Realtek. Le système vérifie en effet l’authenticité des codes exécutables auprès d’une autorité de certifica-tion : Verisign. Mais le code exécutable modifié disposait des certificats originaux et l’autorité de certification les reconnaissait comme valides ! Comment les certificats ont-ils été volés ? Infiltra-tion, commandos, espionnage, achat de person-nes... L’histoire ne le dit pas encore, mais il existe de nombreux films qui montrent cela... Les experts estiment que ce ver a demandé un travail de 6 mois à un an à une équipe de 6 à 10 personnes. L’analyse du code montre par ailleurs des éléments plus curieux. Il comporterait un fi-chier nommé « Myrthus », ce qui signifie « l’arbre de Myrthe » en français. Or, on trouve dans la Bi-ble le Myrthe comme étant un symbole de justice : « au lieu du buisson croîtra le sapin et au lieu de l’épine croîtra le Myrthe : et cela rendra glorieux le nom de l’éternel et sera un signe perpétuel, qui ne sera jamais retranché ». D’autres experts y ont vu une allusion au Livre d’Esther, et donc à la Torah : « elle s’appelait Hadassah parce qu’elle était juste et que l’on compare au Myrthe ceux qui aiment la justice ». Hadassah est l’un des noms de la reine Esther qui signifie Myrthe. Le Livre d’Esther expli-que comment la reine Hadassah déjoua les atta-ques perses destinées à anéantir le peuple juif.Autre détail issu de l’analyse du code, le ver s’ar-rêtera de fonctionner le 23 juin 2012. Des experts ont relevé que c’est très exactement 100 ans, jour pour jour, après la naissance d’Alan Turing, connu pour ses travaux sur les ordinateurs, mais aussi pour avoir dirigé une équipe de cryptanalyse du-rant la seconde guerre mondiale dans le centre de Bletchley Park qui décodait les communications allemandes et a joué un rôle considérable dans la victoire alliée contre le régime nazi...L’unanimité n’est cependant pas de mise entre tous les experts SSI de la planète. En Israël, on trouve des spécialistes qui dénoncent une campa-gne de communication hostile à leur pays et qui minimisent les capacités de Stuxnet. En France, Daniel Ventre, ingénieur au CNRS et directeur de

la collection « Cyberconflits et Cybercriminalité » aux éditions Hermès-Lavoisier, se montre très circonspect vis-à-vis de nombreuses conclusions qui sembleraient avérées pour le plus grand nom-bre. « L’attaque n’était pas ciblée, souligne-t-il, elle a touchée l’Inde, l’Indonésie, la Russie, les Etats-Unis et la Chine ! Son origine étatique n’est pas démontrée : un travail de 10 ingénieurs pen-dant 10 mois est à la portée d’une entreprise, ou d’un groupe d’étudiants ! » Dans son rapport sur Stuxnet, Symantec met toutefois en évidence que le plus grand nombre d’attaques se trouve bien manifestement en Iran, très loin devant les autres pays...

> Un risque sur les centrales françaises ?

Le risque a été pris au sérieux par les autorités françaises de possibles effets sur nos centrales nucléaires, en France. L’IRSN a publié le 30 sep-tembre une note d’analyse sur Stuxnet.(*)

On y lit que seul le réacteur nucléaire EPR en construction à Flamanville utilise un système de contrôle-commande Siemens. Son éventuelle sen-sibilité à des logiciels tels que Stuxnet doit donc être prise en compte dans l’analyse de sûreté. La propagation du ver Stuxnet nécessite que les or-dinateurs de supervision exploitent Windows et que les logiciels de supervision soient ceux de la gamme PCS 7/WinCC de Siemens.L’IRSN poursuit en expliquant le besoin d’une dé-marche globale d’analyse critique de sûreté, avec une analyse technique systématique et détaillée des systèmes, dont les dysfonctionnements peuvent influencer la sûreté d’une installation nucléaire. Pour le réacteur EPR, explique encore l’IRSN, EDF a retenu la gamme « SPPA-T2000 » de Siemens, basée sur sa technologie « S5 » plus an-cienne et radicalement différente de sa technologie « WinCC / S7 » visée par Stuxnet. Les ordinateurs de supervision du réacteur EPR de Flamanville ne sont pas basés sur le système d’exploitation Win-dows et n’utilisent pas les logiciels WinCC et PCS 7 ; le ver Stuxnet est donc sans influence sur eux. Et l’IRSN poursuit en précisant que l’analyse de sûreté de la plateforme SPPA-T2000 de Siemens a permis de vérifier d’avance qu’elle présentait les propriétés qui garantissent, entre autres, son im-munité aux logiciels malveillants, et en particulier au ver Stuxnet. Le Système de Protection de l’EPR, le plus important des systèmes de sûreté, est dé-veloppé à partir d’une autre technologie nommée Teleperm XS. Cette technologie d’Areva ne com-porte pas les logiciels ciblés par Stuxnet et ses

(*) : www.irsn.fr/FR/Actualites_presse/Communiques_et_

dossiers_de_presse/Pages/20100930-Ver_informatique_Stuxnet_

peut_il_menacer_centrales_nucleaires_

françaises.aspx

Page 10: Dossier complet validy aux candidats à la présidence de la république

28 n°29

automates de sûreté n’ont aucune interface qui permettrait à un logiciel malveillant de l’infecter.Voici qui est rassurant… ou très inquiétant, car rien ne dit qu’un autre malware ne pourrait, lui, aboutir à mener une attaque contre des sites français... Il faut continuer à réaliser des études de sécurité très strictes.

> Approfondir les principes des analyses de risques et les paradigmes de la sécurité

Stuxnet nous enseigne surtout qu’il est nécessai-re d’approfondir nos principes d’analyse de risque. Nous sommes en effet habitués à nous interroger sur l’origine des menaces auxquelles nous devons faire face et à en écarter de nombreuses pour conserver des systèmes simples. Or, si nous rete-nons le scénario que Stuxnet visant les centrifu-geuses iranienne, nous devons aussi reconnaître que pour réaliser sa contamination et atteindre son objectif, il a dû se répandre dans la nature et peut encore causer des dégâts sur des équipements d’autres industries. Le code utilisé par Siemens n’est-il pas aussi utilisé dans d’autres équipe-ments industriels comme il est souvent l’usage ? Dès lors le fait de ne pas avoir identifié d’ennemis directs ne veut pas dire qu’il n’existe pas une expo-sition à une attaque extrêmement sophistiquée... La notion de dégâts ou de pertes collatérales bien connues dans les opérations militaires peuvent aussi exister dans nos entreprises.Nous devons de même intégrer le fait que des at-taques étatiques, même si elles ne sont pas tota-lement avérées, doivent être aujourd’hui considé-rées comme plausibles.Beaucoup d’analyses de risque se concentrent sur la disponibilité des systèmes. Il faut que l’entrepri-se produise, vende et se fasse payer. Des moyens importants sont mis dans les sauvegardes, la lutte anti-incendie, les plans de reprise d’acti-vité. Dans de nombreuses grosses PME, l’analyse de risque se limite d’ailleurs souvent à ce stade. La confidentialité des informations est souvent prise en compte en raison d’enjeux commerciaux, de contraintes réglementaires, par exemple pour les données de santé, ou encore de questions de souveraineté nationale. Là aussi, les moyens sont en général mis en œuvre sont parfois importants : chiffrement, traçage des logs, infrastructure de gestion de clés, etc.Le contrôle de l’intégrité des programmes et codes exécutables ne suscite pour sa part qu’un niveau de préoccupation assez bas. Certes, toutes les entreprises admettent qu’il faut mettre des antivi-

rus... encore que sur le Macintosh et les serveurs Unix / Linux la pratique soit encore exceptionnelle ! La défense en profondeur est parfois prise en comp-te, avec un logiciel anti-malware sur le poste de tra-vail et un second sur la passerelle de l’entreprise, voire un troisième sur le serveur de messagerie si celui-ci est hébergé. Il est aussi souvent d’usage de contrôler l’accès à certains équipements en interdi-sant et en bloquant de nombreux accès : par exem-ple en supprimant les ports USB.Ensuite, il existe les solutions de signatures des codes par différents procédés : RSA, courbes ellip-tiques, etc. Le système suppose la mise en place d’une infrastructure de gestion de clé IGC, ou PKI. On trouve malheureusement parfois des contrôles d’intégrité qui ne sont basés que sur un simple hash du code. Le code est envoyé avec son em-preinte MD5, ou SHA1 : à la réception le système vérifie que le code et l’empreinte sont cohérentes. Cela n’empêche pas un éventuel attaquant de mo-difier le code et d’envoyer une nouvelle emprein-te... Ce n’est pas sérieux !Le cas de l’attaque Stuxnet nous révèle un autre scénario : celui du vol de certificats. L’autorité de certification ne sert plus à rien et l’IGC est détrui-te... Les premières traces d’une attaque ressem-blant à ce qu’est devenu Stuxnet remontent, selon le rapport de Symantec, à fin 2008. La vulnérabi-lité permettant l’exécution de code distant dans le spooler d’imprimantes partagées date d’avril 2009. Une pré-version de Stuxnet est découverte en juin 2009. Le 25 janvier 2010, le driver Stuxnet est signé avec un certificat paraissant « valide » appartenant à RealTek Semiconductor Corp. Le 16 juillet 2010, Verisign révoque le certificat de Real-tek Semiconductor Corp. Le 17 juillet 2010, ESET identifie à nouveau Stuxnet signé avec un certifi-cat provenant de JMicron Technology Inc. Verisign ne révoquera ce certificat que le 22 juillet... Bref, l’ICG fournie avec Verisign est restée perméable durant de longs mois...Mais ces scénarios sont-ils intégrés aujourd’hui dans nos analyses de risques ? Ne faut-il pas changer de paradigmes ? Trouver une autre façon de s’assurer de l’intégrité d’un code exécutable ? L’interdiction de toute connexion sur une machine ne tient pas toujours face aux exigences de l’exploitation. On a déjà vu des systèmes avec des ports USB noyés dans la résine, mais il reste toujours un moment où on doit mettre à jour les logiciels, et alors...Prétendre qu’un certificat ne sera jamais volé n’est pas non plus très sérieux. Ne faut-il pas aller plus loin avec d’autres mesures de sécurité et une dé-fense en profondeur accrue ?

DOSSIER

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 11: Dossier complet validy aux candidats à la présidence de la république

29n°29

C’ est le fait que la cible soit constituée d’infrastructures SCADA qui a créé le mouvement dans les médias expli-que Michel Lanaspèze. La plupart des laboratoires de recherche explique-t-il traitent plus de 60 000 nouveaux

échantillons de malware chaque jour, ce qui leur laisse peu de temps pour analyser les intentions possibles d’un code malveillant : leur mission première est de détecter et bloquer les menaces, avant d’analyser et d’expliquer les conséquences possibles des attaques.David Grout ajoute que les éléments nouveaux les plus forts autour de cette attaque sont surtout liés au fait qu’elle était scrupuleusement ciblée. Elle rentre dans une famille d’attaques spécifi ques qui se nomment APT (Advanced Persistant Threat) qui ont un objectif unique, et qui sont écrites et dédiées à cet objectif. Le ver, pour-suit David Grout, utilisait de surcroît une combinaison de facteurs qui permettent aujourd’hui de penser que les

auteurs de ce ver avaient des moyens importants :• Des signatures numériques spécifi ques permettant de

bypasser les contrôles applicatifs.• L’utilisation d’un grand nombre de vulnérabilités incon-

nues ou non publiées.• Une connaissance d’un niveau Expert des environne-

ments Siemens PCL.• Le besoin d’une première intervention manuelle sur le

système pour lancer l’attaque.

Ce ver est extrêmement intéressant dans sa complexité ajoute-t-il :• Une utilisation de 4 zero-day exploits (par exemple :

ms10-046 – lnk/shortcut vulnerability, ms10-061 – print spooler vulnerability).

• Des drivers signés et valides (par exemple : mrxcls.sys).

• Le premier rootkit PCL (Programmable Logic Control).• Des rootkit Windows.

Pour nos trois experts, les médias ne se sont pas saisis de l’histoire de Stuxnet très tôt. La complexité de cette menace et de son histoire en est probablement en partie la cause. Les détails de son fonctionnement ainsi que ses cibles ont été publiés au compte-goutte.

Le bilan Stuxnet pour les éditeurs d’antivirus

STUXNET

Entretien avec Pierre-Marc Bureau, chercheur-analyste chez ESET,Michel Lanaspèze, expert chez Sophos, et David Grout, expert chez McAfee.

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 12: Dossier complet validy aux candidats à la présidence de la république

30 n°29

DOSSIER

collaboration favoriserait l’identifi cation des menaces qui seraient alors plus rapidement détectées. De plus ajoute-t-il, plusieurs solutions peuvent également être envisagées pour sécuriser les systèmes d’exploitation ; n’oublions pas que, sans les failles inconnues exploitées par Stuxnet, il ne se serait pas propagé aussi longtemps sans être découvert.Mais Pierre-Marc Bureau fi xe aussi les limites de ce que peut faire un antivirus. « Nos antivirus, déclare-t-il, ne doivent toutefois pas être responsables du contrôle de la signature de code. » Cette tâche devrait être effectuée par le système d’exploitation. Dans le cas Stuxnet, la plus grande faille a été que JMicron et Realtek se soient fait vo-ler leurs certifi cats et qu’ils n’aient pas rapporté cette fuite d’information. Ce manquement a mis des milliers d’utili-sateurs, qui font confi ance à leurs certifi cats, en danger.Pour David Grout, la prévention contre de telles attaques passe par une combinaison de contrôle applicatif par liste blanche, d’antivirus, d’antirootkit, mais aussi de sécurité physique d’accès au matériel permettrait de limiter ce type d’attaque.« Il existe aujourd’hui, explique encore David Grout, deux principaux types d’attaques qui sont les vers et virus pour monsieur tout le monde et les nouvelles générations qui ciblent des actifs spécifi ques : Stuxnet, Zeus, Aurora en font partie. D’où aujourd’hui le besoin primordial, de sui-vre et monitorer son infrastructure si celle-ci présente un attrait pour l’extérieur, certes les coûts ne sont pas anodins mais le risque est fort et le jeu en vaut surement la chandelle. Bon nombre de sociétés ont aujourd’hui classé l’antivirus dans la catégorie des outils de commo-dités ; je pense qu’elles sont dans le faux ; la donnée de l’entreprise vaut plus que jamais de l’or : concurrence sur brevet, avance technologique, revenu... »« Pour conclure, termine David Grout, il faut savoir estimer correctement la criticité de la cible que l’on souhaite pro-téger pour y mettre les bons niveaux de protections et les moyens, ce n’est pas parce qu’un OS n’est que peu connu ou qu’une application n’est que peu attaquée que celles-ci ne peuvent pas attirer un public averti. »« Enfi n, cette affaire montre, nous dit Michel Lanaspèze, qu’il est légitime de se poser des questions sur la sécurité des certifi cats dans la mesure où il semble que Stuxnet ait pu être porteur de certifi cats qu’il n’était pas autorisé à utiliser. »« Il semble évident, termine pour sa part Pierre-Marc Bureau, que dans le futur la validation d’intégrité d’un système sera en partie validée par un composant hard-ware. Par contre, je n’ai pas la compétence pour imaginer comment ces mécanismes seront déployés. La défense en profondeur, la séparation de privilèges, l’isolation de systèmes critiques, le contrôle d’accès sont toutes des solutions connues qui protègent effi cacement les systè-mes informatiques. »

• Des techniques avancées pour éviter les détections AV.• Des techniques de propagation.• Des mises à jour et des mutations (par exemple via

des connexions sur www.todaysfutbol.com ou en peer to peer).

Il est extrêmement rare, ajoute Pierre-Marc Bureau, de voir un ver informatique exploiter une faille de sécurité jusqu’alors inconnue. C’est le premier malware à atta-quer des infrastructures critiques. Un logiciel malveillant cherche habituellement à infecter le plus de systèmes possibles. Stuxnet devait pour sa part pénétrer un ou des réseaux hautement sécurisés. L’utilisation de plusieurs certifi cats volés pour se propager sans attirer de suspi-cion constitue aussi un fait nouveau.Ce ver était complètement inconnu et se propageait par des vecteurs d’infection nouveaux, il était donc très diffi cile à détecter. Une fois le fi chier soumis aux éditeurs d’antivirus, poursuit Pierre-Marc Bruneau, une détection a été ajoutée et maintenant les échan-tillons de Stuxnet sont détectés au même titre que tout autre « vulgaire malware ». Stuxnet utilise les mêmes technologies que d’autres malwares quand il s’installe sur un système, c’est-à-dire un ensemble de fi chiers « Portable Executable » (PE).Michel Lanaspèze confi rme cette analyse. « Les antima-lwares, dit-il, sont très effi caces pour détecter et bloquer les malwares connus. Ils sont également effi caces, mais dans une moindre mesure, pour bloquer les malwares in-connus. » Dès que Stuxnet a été identifi é, la plupart des éditeurs de solutions anti-malwares ont rapidement mis à jour leurs solutions pour bloquer cette nouvelle menace et prévenir la diffusion de l’infection. « Pratiquement toutes les solutions antimalware intè-grent des techniques qui vont bien au-delà des classi-ques « signatures » pour prévenir les infections de ma-lwares inconnus » poursuit encore Michel Lanaspèze. Par exemple, les techniques de protection comportemen-tale, le HIPS etc... Ces techniques font l’objet d’innovations constantes, et c’est leur perfectionnement qui permet-tra de réduire l’impact des attaques « zero-day ». Il faut cependant garder à l’esprit qu’une protection effi cace à 100 % contre toutes les menaces inconnues restera sans doute un Graal inatteignable, et c’est donc dans la mise en place de techniques de protection complémentaires (contrôle des accès réseaux, détection des intrusions, gestion des vulnérabilités etc.) et la capacité à réagir ra-pidement et effi cacement à des attaques originales qu’il faut rechercher une réponse à de telles attaques.Pour Pierre-Marc Bureau, une meilleure collaboration en-tre les éditeurs de sécurité et les communautés d’uti-lisateurs permettrait sans doute que dès qu’un fi chier potentiellement malveillant est identifi é, il serait sou-mis aux éditeurs d’antimalwares pour analyse. Cette

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 13: Dossier complet validy aux candidats à la présidence de la république

L a société Validy Net Inc. a été créée en 1998 par une équipe française dans l’Etat d’Ore-gon aux Etats-Unis. Ses fondateurs s’étaient connus au sein de la pépinière d’entreprises de l’Ecole Polytechnique à Palaiseau, X Pôle, autour du projet HyperParall Technologie, pré-

décesseur du HPC actuel et des ordinateurs dépassant de nos jours le Petafl op.Gilles Sgro est issu du monde de la direction des sys-tèmes d’informations. Jean-Christophe Cuenod est diplômé de l’ENS, rue d’Ulm, de la promotion 1981, option physique. Christophe Vedel, Docteur en infor-matique et diplômé de l’Ecole Polytechnique de la promotion 1986.Validy Net Inc a investi au total 9 millions de dollars, dont 2 millions ont été consacré à la protection de la propriété intellectuelle. Sa filiale française, Validy SA, a déposé une dizaine de brevets dont la couverture mondiale représente un portefeuille d’une centaine de brevets et demandes de brevets. Validy Net Inc a été finaliste cette année de l’American Security Challenge.

> Combiner protection hardwareet software

Validy s’est intéressée aux solutions de défense du code informatique. Pour cela, elle utilise un composant matériel sécurisé qui va exécuter une partie des opéra-tions de l’application à la place du processeur principal de l’ordinateur. Ce dernier ne peut pas fonctionner sans obtenir le résultat des calculs de ce composant maté-riel. Cette technologie s’attaque donc au risque inhé-rent de la mise en œuvre d’un code exécutable dans un système. Un compilateur pour Java a ainsi été dévelop-pé par Christophe Vedel pour « spliter » l’exécutable en Programme sans protection Programme avec protection

deux : une partie pour le processeur principal et l’autre pour le coprocesseur de sécurité.Les techniques de signatures des codes exécutables servent aujourd’hui à réduire le risque de compromis-sion pour l’amener à un niveau résiduel, c’est-à-dire acceptable. Toutefois nous expliquait Jean-Christo-phe Cuenod en mai dernier (avant la médiatisation de l’affaire Stuxnet et juste après notre rencontre au FIC 2010), on a tort de considérer ce risque résiduel comme étant seulement potentiel : il est d’ores et déjà avéré ! Pour les systèmes embarqués, soumis à l’at-taque éventuelle de l’utilisateur (ou d’un attaquant à l’insu de l’utilisateur), il y a longtemps que des sys-tèmes de signatures ont été subvertis par diverses méthodes. La Xbox utilise ainsi des signatures pour n’accepter de charger que des jeux autorisés par Mi-crosoft… et cette protection a sauté ! Plus récemment, l’iPhone d’Apple n’accepte théoriquement que le char-gement d’applications signées provenant de l’Apple

STUXNET

Lors du Forum International de la Cybercriminalité, fi n mars début avril dernier, la rédaction de Mag-Securs avait rencontré la société Validy. Nous connaissions déjà cette entreprise et nous étions intéressés à ses technologies en 2005. Nos discussions en mai et juin avec elle ont alors porté sur les possibilités de garantir l’intégrité d’un code exécutable.

Changement de paradigme pour garantir l’intégrité du code avec la société Validy

31n°29

Gilles SGRO
Surligner
Page 14: Dossier complet validy aux candidats à la présidence de la république

32 n°29

Store. Il est cependant possible de « jailbreaker » son iPhone pour lui permettre d’exécuter à peu près n’importe quoi. Dans les deux cas, des améliora-tions logicielles et/ou matérielles ont permis à leur fabriquant de reprendre temporairement l’avantage pour les nouvelles séries de machines vendues, mais pas de reprendre le contrôle des machines subverties.

> Ne pas bâtir la confi ance surun élément extérieur non maîtrisé

De plus ajoutait Jean-Christophe Cuenod, quand la pro-tection est centralisée (ndlr : c’est le cas de l’autorité de certifi cation d’une IGC), la faire sauter ouvre tout le système. « Notre solution porte pour sa part sur cha-que système pris individuellement, ce qui découragera les attaquants... »Le problème de taille restant selon Jean-Christophe Cuenod, est celui de la confi ance dans la vérifi cation, donc in fi ne dans l’autorité de certifi cation. Il existe deux voies d’attaque :• le bypass de la vérifi cation par corruption du programme

de vérifi cation ou de sa base de données de clés publi-ques ;

• le changement du code entre le moment de sa vérifi -cation et de son exécution.

Toutes sortes d’attaques tout à fait classiques peu-vent être utilisées à cet effet. Selon la situation, on peut penser à :• Le programme de vérifi cation V est utilisé pour vé-

rifi er le programme P. Un bug de sécurité est repéré dans le programme P qui doit donc être remplacé par une version corrigée, signée et transmise par le réseau. L’attaque est la suivante : avant le rempla-cement de P par sa version corrigée, l’attaquant se sert de la faiblesse de P pour écrire un « exploit » et prend le contrôle de la machine le temps de mo-difi er V en Vbad en substituant une clé publique. Dorénavant tout code provenant de l’attaquant est considéré comme légitime.

• L’attaquant a l’accès physique à la machine. Grâce à cet accès physique, il boote non pas le système standard, mais un logiciel permettant l’accès direct au file-system. Il se sert de cet accès pour changer V en Vbad ou même direc-tement changer le programme P. La difficulté de ce type d’attaque dépend du type de hardware. Sur un PC elle est triviale et utilisée de manière « routinière » en bootant sur un « live CD » pour changer un mot de passe oublié. Sur les conso-les de jeu, un « mod chip » à quelques euros per-met le même résultat. Sur des machines telles que les smartphones, la miniaturisation est un

frein pour le hacker de base mais n’arrête pas un attaquant déterminé.

Ces attaques ont déjà été utilisées avec succès à de multiple reprises pour désactiver des antivirus et seront sans nul doute employées avec le même succès pour désactiver les systèmes de vérifi cation de signatures.Prenons comme autre exemple un VPN réalisé avec des boîtiers dédiés. Ceux-ci établissent une enceinte sécurisée (walled garden), mais ne répondent pas à la problématique d’authentifi cation du code. Si dans l’en-ceinte sécurisée, un seul des participants devient at-taquant, volontairement ou non, les boîtiers ne servent plus à rien ! Juste pour prendre un exemple concret, si un employé travaillant dans l’enceinte sécurisée a envie de suivre les matchs la coupe du monde de football et installe un dongle 3G sur sa machine, le trou ainsi créé dans l’en-ceinte peut être béant et permettre une compromis-sion massive.Pour résumer « La confi ance ne se transmet pas ». Si vous voulez avoir confi ance dans un programme, vous ne pouvez pas vraiment compter sur un méca-nisme extérieur à ce programme pour vous garantir son intégrité.

> La vérifi cation est intrinsèque au système : c’est une auto-signature sans autorité de certifi cation

C’est là que Validy Technology diffère de tous les autres systèmes que je connaisse : La vérifi cation est intrin-sèque au programme lui-même. La solidité dépend uniquement de :• la qualité de la mise en œuvre hardware (robustesse

du jeton à toutes les attaques envisageables) ; • la qualité de la mise en œuvre software (nombre de

variables cachées, entropie, taux de couverture, qua-lité des transformations du programme par le post-compilateur...) ;

• la disponibilité ou non pour l’attaquant d’un système lui servant à l’apprentissage.

La valeur ajoutée de notre solution est que sa solidité ne dépend donc pas d’hypothèses sur des programmes ou des mécanismes extérieurs. C’est tout simple mais extrêmement important conclut Jean-Christophe Cue-nod qui met ainsi à bas la robustesse des IGC proposant ainsi un changement total de paradigme en matière de SSI pour garantir l’intégrité d’un code. C’est applicable aux programmes de Siemens visés par Stuxnet...Les effets du ver Stuxnet commençaient à être média-tisés en juillet, puis explosaient en septembre après notre échange, en mai-juin, avec Jean-Christophe Cue-nod, Gilles Sgro et Christophe Vedel...

DOSSIER STUXNET

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 15: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 16: Dossier complet validy aux candidats à la présidence de la république

www.validy.com

Validy SA Société anonyme à Directoire et Conseil de Surveillance au capital de 40 000 €

Z.I. – 5 Rue Jean Charcot 26100 ROMANS – Tél. +33 (0)475 717 717 – Fax +33 (0)475 717 718

RC ROMANS B FR 50 382 975 639 – APE 723Z

1 / 2

Gilles SGRO, Romans, le 5 décembre 2010

Président du Directoire

VALIDY S.A.

5, Rue Jean Charcot

26100 Romans Sur Isère

Monsieur François FILLON

Premier Ministre

Hôtel de MATIGNON

57, Rue de Varenne

75700 Paris

LRAR / Réf : GS10239

Objet : Sollicitation d’un rendez-vous afin de concrétiser la mise en place d’une filière

économique dans le domaine de la sécurité informatique exploitant l’innovation brevetée de la

société Validy (Lutte contre le sabotage, la cybercriminalité et le cyber terrorisme).

Monsieur le Premier Ministre,

Préalablement, permettez-moi de vous féliciter pour votre reconduction au poste de Premier

Ministre de ce nouveau gouvernement. Il me reste à souhaiter que votre action soit comprise

par les décideurs, ainsi d’ailleurs que par la population, et qu’elle rencontre le succès que vous

êtes en droit d’attendre.

Permettez-moi aussi, en tant que responsable d’une PME innovante implantée dans la zone

industrielle de Romans, d’appeler votre attention, sur l’opportunité à fort caractère stratégique

que constitue notre entreprise.

Bien que votre ministère en connaisse l’existence, je me permets de vous rappeler que la

société Validy dispose de technologies innovantes brevetées dans le domaine de la sécurité

informatique permettant notamment, de lutter très efficacement contre le sabotage

informatique, la cybercriminalité et le cyber terrorisme. C’est ainsi que le déploiement de

cette technologie, dans la sphère publique et privée, amènerait un bénéfice certain, tant au

plan de la Défense des Secteurs d’Activités d’Importances Vitales (article 1332 du code de la

défense), que sur le plan économique local, national et international.

Cette innovation est attendue par l’Agence Nationale de la Sécurité des Systèmes

d’Information (ANSSI), agence sous la tutelle du Secrétariat Général de la Sécurité de la

Défense Nationale qui est lui-même sous votre tutelle. Le livre blanc, sur l’application de la

Défense en Profondeur à la Sécurité des Systèmes d’Information qu’a publié la DCSSI en

2004 en témoigne. L’application de notre technologie au principe de la Défense en profondeur

renforce considérablement le niveau de sécurité des équipements protégés.

Une filière économique importante peut être créée par l’exploitation de cette innovation, en

permettant à bon nombre d’acteurs nationaux et internationaux de l’utiliser, et de la

commercialiser dans leurs secteurs d’activités au plan mondial.

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 17: Dossier complet validy aux candidats à la présidence de la république

2 / 2

Saisir cette opportunité, à fort caractère stratégique, permettrait à ce nouveau gouvernement

d’afficher un succès en parfaite conformité à ses légitimes ambitions. Les français, ainsi que

les nombreux actionnaires et sympathisants de Validy, attendent une « success story » qui leur

démontre qu’en ces temps de crises, tout reste possible.

Permettre à une entreprise, détenant une telle technologie, la nôtre en l’occurrence, de mettre

cette filière en place avec l’ensemble des industriels concernés contribuerait, à n’en pas

douter, au rayonnement de notre pays sur le plan technologique, et remplirait certains des

objectifs que vous-même et Monsieur le Président de la République, vous êtes fixés.

Validy ne fait pas partie des grandes entreprises, cependant une structure américaine dès

l’origine du projet a été mise en place, afin de pouvoir adresser entre autre, le marché de la

sécurité informatique Nord Américaine. Je crois pouvoir affirmer, sous le contrôle de Mme la

Chef de Cabinet de Mme la Ministre Nathalie KOSCIUSKO-MORIZET, que Validy est un

« cas particulier », puisque c’est l’expression qu’elle a elle-même employée dans un courrier

qui m’était adressé en date du 1er avril 2010.

J’y vois alors une raison de plus, pour que sous votre arbitrage, en votre qualité de Premier

Ministre la décision d’exploiter au plus vite tout le potentiel économique et stratégique de

cette innovation, devienne factuelle. Les « investissements d’avenir » lancés sous votre

impulsion par le précédent gouvernement sont un des cadres qui pourrait contribuer à l’essor

de cette filière de sécurité (Cf. Briques Génériques du Logiciel Embarqués du rapport de M.

Dominique Potier du 7 octobre 2010).

Les peuples, plus particulièrement dans les périodes de crises, attendent des résultats tangibles

et rapides, ce qui est bien souvent difficile à réaliser puisque, entre les décisions

gouvernementales et leurs effets directs mesurables, s’écoulent nécessairement beaucoup de

temps. Les efforts conjugués de Validy avec l’ensemble des industriels concernés ne

manqueront pas de créer, à court et moyen terme, un grand nombre d’emplois directs et

indirects, ainsi que des résultats financiers qui pourraient être surprenants par leur importance.

Permettez-moi une comparaison avec une filière qui s’est créée dans les années soixante dix,

afin de mieux imager l’objet de notre requête : Validy se trouve vraiment dans la même

situation, que la société Innovatron fondée par M. Roland MORENO inventeur de la carte à

puce. Cette innovation a permis la création d’une filière industrielle dont la réputation ainsi

que les résultats sont aujourd’hui encore considérables, tant sur le plan économique que

stratégique.

Souhaitant que vous accédiez à notre demande pour un rendez-vous rapide afin de concrétiser

la mise en place d’une filière dans le domaine de la sécurité informatique mettant en œuvre

notre innovation. Je vous prie de croire, Monsieur le Premier Ministre, à l’assurance de ma

haute considération.

Gilles SGRO

Président du Directoire de SA Validy

Email : [email protected]

Tél : +33 684 60 00 96

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 18: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 19: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 20: Dossier complet validy aux candidats à la présidence de la république

13 législatureème

Question N° :

74469

de Mme Joissains-Masini Maryse ( Union pour un Mouvement Populaire -

Bouches-du-Rhône )

Question

écrite

Ministère interrogé > Industrie Ministère attributaire > Économie, finances et industrie

Rubrique > entreprises Tête d'analyse > PME Analyse > innovationstechnologiques. commercialisation.

soutien de l'État

Question publiée au JO le :   page : 23/03/2010 3248Date de changement d'attribution : 14/11/2010

Texte de la question

Mme Maryse Joissains-Masini attire l'attention de M. le ministre chargé de l'industrie sur les problèmes que rencontreactuellement la société innovante Validy. Cette société dispose d'une technologie brevetée qui s'adresse au marché dela sécurité informatique et qui est destiné à protéger les logiciels contre le piratage et le sabotage. Après dix annéesd'efforts et 9 millions d'euros investis par des investisseurs privés français et alors que de grands groupes français ontidentifié l'opportunité à fort caractère stratégique que représente cette nouvelle technologie, aucun emploi n'a pu êtrecréé au sein de cette société innovante. Il semblerait que, depuis de nombreuses années, Validy soit victime d'unenfermement commercial et administratif voulu par de grands groupes français. Face à ces attaques, cette société,comme beaucoup d'autres sociétés innovantes, est dans l'incapacité de commercialiser ses technologies ou produits etest contrainte de s'expatrier pour assurer le suivi de l'entreprise. Elle lui demande s'il ne pense pas, si ces pratiquesdélétères existent, lors même qu'elles sont franco-françaises, qu'elles se révèlent contreproductives et destructrices,tant à la société Validy qu'à bien d'autres, qui, toutes pourtant alliées à de grands groupes industriels, ne manqueraientpas de contribuer au rayonnement de la France au plan mondial.

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 21: Dossier complet validy aux candidats à la présidence de la république

www.validy.com

Validy SA Société anonyme à Directoire et Conseil de surveillance au capital de 40 000 €

Z.I. – 5 Rue Jean Charcot 26100 ROMANS – Tél. +33 (0)475 717 717 – Fax +33 (0)475 717 718

RC ROMANS B FR 50 382 975 639 – APE 723Z 1 / 4

Le 23 Février 2010

Validy, société innovante, serait-elle plongée dans une France

en pleine féodalité économique ?

Le gouvernement vient d’afficher clairement sa volonté de favoriser le développement des sociétés françaises

innovantes, conscient que les emplois d’aujourd’hui et de demain dépendent de leur capacité à innover et à

déployer leurs innovations au plan mondial.

La société Validy dispose d’une technologie brevetée (10 brevets déposés dans 100 pays) qui s’adresse au marché de

la sécurité informatique. Issue de 10 années de Recherche & Développement, cette technologie est destinée à

protéger les logiciels contre le piratage (copie illicite) et le sabotage (cybercriminalité, cyber-terrorisme). En totale

rupture avec les techniques connues jusqu’alors, elle permet notamment de se protéger des attaques en sécurisant

les systèmes de pilotage des infrastructures comme les réseaux de distribution d’énergie ou de distribution d’eau.

Elle protège aussi efficacement les grands systèmes d’information ou les infrastructures bancaires et de

télécommunications que les logiciels embarqués sur les téléphones mobiles.

La technologie de Validy a été labellisée par le pôle de compétitivité mondial MINALOGIC à Grenoble après avoir été

validée par l’un des meilleurs laboratoires électroniques français, le LETI du CEA. Elle a également été nominée lors

du concours européen IST Prize et primée par Motorola lors du salon sino-européen ChinICT 2007.

Certains grands groupes français, grâce à une veille efficace, ont clairement identifié l’opportunité à fort caractère

stratégique que représente cette nouvelle technologie.

Les instances en charge de protéger les entreprises innovantes à fort potentiel, ont assuré sans faille la protection de

Validy et ce faisant, malgré elles, ont préservé la « chasse gardée » des grands groupes français.

Bref, tout le monde a merveilleusement bien travaillé pour un résultat strictement nul :

Pas un seul emploi créé, après dix années d’effort et 9 millions d’euros investis par des investisseurs privés

français.

Pourquoi et comment ? Les dirigeants de Validy subissent depuis de nombreuses années un enfermement

commercial et administratif, commandité par de grands groupes français qui convoitent sa technologie. Ces groupes

chassent « en meute » en restreignant au maximum son espace de liberté : leur objectif est de se procurer la

technologie à vil prix, voire à l’euro symbolique, en privant Validy de toute source de revenus.

Voila une situation en totale contradiction avec les ambitions encore tout récemment affichées par le Ministre de

l’Industrie et qui devrait vous interpeller !

Lettre ouverte

Monsieur le Président de la République,

Monsieur le Premier Ministre,

Mesdames et Messieurs les Ministres,

Mesdames et Messieurs les Députés,

Mesdames et Messieurs les Sénateurs,

Mesdames et Messieurs les Journalistes,

Mesdames, Messieurs

Page 22: Dossier complet validy aux candidats à la présidence de la république

2 / 4

Comme toute société innovante, Validy a parié sur l’émergence de son marché, en l’occurrence la sécurité

informatique. Pari gagné, les médias communiquent en permanence sur les différentes attaques des cybers-

criminels, les besoins en protection sont réels et cruciaux. Le problème est devenu si pressant que le Président de la

République a considéré sa résolution comme une priorité pour la France. L’Europe et les Etats-Unis ont fait de même

en nommant un « M. Cyber-criminalité ». Des lois ont été votées afin de responsabiliser les industriels en cas de

négligence sur le niveau de protection apporté à leurs infrastructures informatiques lors de cyber-attaques.

On pourrait donc penser qu’actuellement Validy est en phase de développement rapide et mondial, d’autant que les

fondateurs et actionnaires français n’ont pas omis de s’intéresser aux marchés américain et européen dès le début

de leur aventure. Et pourtant, ce n’est pas le cas alors que le gouvernement investit des moyens importants pour

favoriser le développement des sociétés innovantes.

Quelle est la situation de Validy aujourd’hui ?

Cette société subit depuis de nombreuses années un enfermement commercial et administratif. La tactique est aussi

insidieuse qu’efficace : ne pas voler immédiatement les technologies, de manière à ce que les inventeurs aient le

temps d’obtenir la délivrance des brevets dans le monde entier et de développer la preuve du fonctionnement de

leur technologie, enfermer la société de manière à la protéger d’autres groupes industriels étrangers qui pourraient

être tentés de la souffler « au nez et à la barbe » des groupes français. Au passage, dissuader ces mêmes groupes

étrangers de s’intéresser à Validy, notamment en inventant un faux passé de « militaires» aux fondateurs. Pour ce

faire, organiser des rencontres avec des industriels français au Cercle National des Armées à Paris. Faire côtoyer les

dirigeants par d’anciens militaires de haut rang, sans omettre de tenter de les compromettre en organisant des

rencontres inopinées, avec des personnes travaillant de près ou de loin pour des états peu recommandables

Comment ?

Les moyens utilisés pour empêcher Validy de se développer sont dignes des meilleurs films d’espionnage : pression

sur ses prospects, contrôle de ses moyens de communication (téléphone, email, site Internet), organisation de

« vraies fausses » réunions pour occuper ses dirigeants et leur faire perdre du temps, manœuvres destinées à nuire à

l’image des fondateurs, instrumentalisation des services d’Etat en charge de la sécurité des sociétés de défense, au

prétexte que la technologie Validy serait « sensible », influence exercée sur différentes instances d’Etat,

administrations et autorités publiques, infiltration de son capital. Toute la panoplie du parfait manipulateur a été

appliquée.

D’un point de vue tactique, ces attaques sont rodées. Quoi de plus simple que de faire passer les inventeurs pour des

« professeurs Tournesol » bien incapables de développer leur société, ou pour des paranoïaques, adeptes de la

théorie du complot. En terme de communication les officines en charge de l’enfermement de Validy « jouent sur du

velours ». Ces organisations, comme vous le savez puisque le parlement en a débattu il y a quelques mois, sont, pour

la plupart, dirigées par d’anciens agents des RG, de la DST, de la DGSE, de la DRM ou de la DPSD. La passivité des

services officiels de l’Etat, que les dirigeants de Validy n’ont pas manqué d’interpeller pour leur demander

d’intervenir et de faire cesser de tels agissements, pose question.

Nous ne sommes pas les seuls à subir de telles manœuvres. Plus souvent qu’il n’y parait, les sociétés innovantes

meurent, croyant être trop en avance sur leur marché ou dans l’incapacité de commercialiser leurs technologies ou

produits, alors qu’en fait elles subissent, sans le savoir, les attaques répétées de ce type.

Soyons clairs

Les dirigeants de Validy, reçus dès 2002 par les conseillers techniques à la Présidence de la République, avaient

affiché leur détermination à ne pas vouloir « gagner » seuls, puisque le modèle d’affaires de Validy est basé sur la

concession de licences de sa technologie. Des groupes français pouvaient se voir concéder une licence, afin d’utiliser

ou de commercialiser dans leur secteur des équipements sécurisés par les inventions de Validy.

Page 23: Dossier complet validy aux candidats à la présidence de la république

3 / 4

Faute de réaction, le président de Validy a été contraint de s’expatrier pour assurer la survie de la société. Il a dû

créer la société « Validy International » en Suisse, localisée au sein de l’incubateur du Parc Scientifique de l’Ecole

Polytechnique Fédérale de Lausanne. Et ne voyez là aucune intention d’évasion fiscale, mais bien la simple tentative,

à proximité du lieu d’origine de la société française, de retrouver sa liberté d’entreprendre, perdue en France depuis

de nombreuses années. Globalisation oblige, les grands groupes français, aidés de groupes étrangers alliés, ne

manquent pas cependant, de jouer de leur influence.

Monsieur le Président de la République, Monsieur le Premier Ministre, Mesdames et Messieurs les Ministres,

Mesdames et Messieurs les Députés et Sénateurs, nous ne sommes pas seuls dans ce cas. Et sans nul doute faut-il

chercher en de telles pratiques un nombre d’emplois perdus ou non créés très important. Ces pratiques

délétères, intestines, franco-françaises, sont contre-productives et destructrices de création de valeur. Tant que ces

pratiques perdureront, les efforts du gouvernement pour favoriser l’innovation, bien que réels, risquent fort de ne

pas produire les résultats escomptés. Sans compter que de telles pratiques, aussi détestables qu’illégales, bafouent

la République et ses institutions. Nous comprenons bien qu’il est naturel qu’un pays défende ses grandes entreprises

mais pas au détriment des petites qui sont créatrices de valeur et d’emploi. Bien sûr, nous ne sommes pas naïfs au

point de penser que de tels agissements ne se pratiquent pas à l’étranger. Mais assurément, en France, ce problème

est plus particulièrement aigu du fait même de la centralisation très prononcée de notre économie.

Aussi, les dirigeants de la société Validy, leurs nombreux actionnaires et sympathisants, vous appellent, Monsieur

le Président de la République, Monsieur le Premier Ministre, Mesdames et Messieurs les Ministres, Mesdames et

Messieurs les Députés et Sénateurs, à un sursaut républicain et ils vous demandent d’ intervenir de manière à

permettre le développement de cette société qui, alliée avec de grands groupes industriels, ne manquera pas de

contribuer au rayonnement technologique de la France au plan mondial.

Gilles Sgro Jean-Christophe Cuénod Les actionnaires et sympathisants

Président du Directoire Président du Conseil de Surveillance signataires de la présente

[email protected] [email protected] (verso de cette page)

Mobile : 06 84 60 00 96

Les Membres du Conseil de Surveillance de S.A. Validy, signataires de la présente lettre ouverte :

René Calvier Gilles Gauthier Marc Gervais

Jean-Paul Maingaud Jacques Sgro Nicole Sgro

Laurence Soignon Joël Vialle

Page 24: Dossier complet validy aux candidats à la présidence de la république

4 / 4

Actionnaires et Sympathisants signataires de la présente lettre ouverte (par ordre alphabétique) :

Jerome Alexandre, Gilles Algoud , Marie-Joseph Algoud, Yves-Marie Algoud, Laurent Alloncle,

Olivier Amato, Claude Anselmo, Michel Ambrosi, Henri Ballester, Jérôme Ballester, Pascal

Balmain, Joelle Baudendistel , Pierre Barret, Michel Battie, Eric Beauthias, Jean-Louis Begot,

René Bellier, Yves Benoi, Fabrice Blanc, Jean Claude Bonnot, Anne France Bouix, Jean-Marie

Bourgeois ,Bernard Brochier, Jean-Michel Bruyat, François Buonomo, Joel Caillet, Laurence

Calligaro , Alexandra Calvier, Delphine Calvier, Gaetan Calvier, Jean-Jérome Calvier, Jean

Paul Calvier, Monique Calvier, Pierre Calvier, Suzanne Calvier, Sylvain Calvier, Laurent

Cessac, Gilbert Chaillan, Roger Champt, Christophe Chantepy, Philippe Chantepy, Christian

Chausse, Hervé Chavot, Mireille Chifflet, Hubert Chomier, Vincent Collomb, Daniel Colomb ,

Anne Coppel, Bruno Cortes, Daniel Cuenod, Julien Dague, Jocelyne Delhomme, Christophe

De-Pannemacker, René De-Pannemacker, Laurent Desportes, Lionel Didier, Sandrine Didier,

David Drevet, Serge Dreyer, Richard Doboin, Eric Duboin, Roger Duboin, Christophe Duclos,

Patrick Duclos, Christine Duriez, Philippe Duriez, Gerald Fauchille, André Faugier, Daniel

Faugier, Frédéric Faugier, Philippe Faugier, Thierry Ferragne, Jean-Pierre Four, Yannick

Fournier, Eric Franusic, Robert Frattino, Gilles Gambier, Gilbert Gauthier, Sandrine Gauthier,

Frédéric Gilles, Juan Carlos Gimenez, Michel Gonnet, Sébastien Gonnet, Stéphane Gonnet,

Maurice Guigard, Chantal Hardy, Jean-Charles Haas, Julien Jacques, Emmanuel Jacob, Yvon

Joncour, Marie-Pierre Joucla, Pierre Joucla, Françis Juniat, Jean-Christophe Lago,

Dominique Lecomte, Eliane Legrand, Daniel Lépinasse, Marike Lépinasse, Frederic Long, Sylvie

Lopez, Pascal Lubac, Jean Magalon, Pierre Maingaud, Christophe Medina, Philippe Mestral,

Nicolas Metge, Daniel Mora, Christophe Monnier, Jean-Luc Mounier, Serge Moreau, Duylinh

Nguyen, Eric Pallai, Nicolas Paris, Stephane Patonnier, Valérie Patonnier, Geneviève Perrenot,

Marie-Janine Perret, André Perreton, Emeline Perrenot, Jacques Picolet, Guy Plano,

Christophe Pourras, Yann Quinkal, Rémi Roani, Sandra Roani, Tiziana Roani, Monich Roch,

Danielle Rochas, Franck Rochas, Annie Rodriguez, Francis Rodriguez, Jean-Philippe Roques,

Josiane Roux, Patrick Roux, Laurence Rosaz, Yvan Ruzand, Damien Sauvajon, Jean-Pierre

Sauvajon, Jean-Stéphane Sauvajon, Nadine Scalvini, Natalie Soland, Jean-Pierre Tessier,

Mireille Tessier, Pierre Tessier, Azzedine Timoumi, Pierre Touchant, Josiane Tylman, Damien

Urbain, Marie Vauchelle, Brigitte Vecchiato, Antoinette Vecchiato, Philippe Veyret, Annie

Vialle, Jean Claude Vialle, Lionel Villard, Laurent Villaret Cazademont, Dominique Ville,

René Vivier, Thierry Voisin, Patrick Vossier, Marie Claire Wohleber

Page 25: Dossier complet validy aux candidats à la présidence de la république

Published on Eco89 (http://eco.rue89.com)

Validy, les déboires d'une start-up au pays

des espions

By David Servenay

Created 05/12/2008 - 22:03

Depuis dix ans, les inventeurs d'un système innovant de protection des logiciels

bataillent contre les grandes firmes du secteur.

Dix ans que les dirigeants de Validy [1] tentent de développer leur invention : un systèmerévolutionnaire de protection des logiciels. Pourtant, impossible de commercialiser cettetechnologie, que les grands industriels du secteur espèrent bien récupérer.

Dix ans de galère, où l'on croise Valérie Pécresse, un général quatre étoiles, une flopée decabinets d'intelligence économique et les manoeuvres des services secrets. A la clef : desmilliards d'euros- et sans doute l'un des prochains fleurons de l'industrie informatique.

En 2012, il pourrait y avoir 14 milliards d'équipements reliés à Internet

Ils vont toujours ensemble. Le technicien, maigre et chauve comme un oeuf, normalien enmaths, dix ans de Silicon Valley dans des labos de recherche informatiques, l'un des pèresdu port USB. Pas plus grand, deux fois plus épais, l'autre est l'homme du bagout, dumarketing, des contacts avec son flot d'anecdotes.

A deux, rien ne leur échappe. Tous les détails sont là, comme un réflexe acquis après dixans de batailles pour imposer leur idée : « l'invention de ma vie », dit le premier,Jean-Christophe Cuénod, directeur technique de Validy ; une « technologie révolutionnaire »

ajoute le second Gilles Sgro, président de la société. (Voir la vidéo.)

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

1 sur 8 16/02/2010 23:30

Gilles SGRO
Surligner
Page 26: Dossier complet validy aux candidats à la présidence de la république

La semaine dernière, ces deux co-inventeurs ont présenté au salon Java One de SanFrancisco [2] la première application de leur recherche : une sorte de clef USB qui permet deprotéger n'importe quel logiciel écrit dans ce langage.

A priori, rien que de très banal. Sauf que, derrière une telle innovation, les marchés sonténormes : selon l'institut Forrester, il y aura en 2012 plus de 14 milliards d'équipementsélectroniques vulnérables car reliés à Internet. Même la calculette a du mal à suivre-

En 1998, première découverte : ils mettent trois ans à déposer tous les brevets

Tout commence dans leur repli drômois, à Romans, ville sinistrée par la crise. En 1998, nosdeux compères découvrent une nouvelle manière de protéger logiciels et systèmesinformatiques.

L'idée principale est de faire identifier des données, présentes dans un « jeton » (une clefUSB par exemple), par le logiciel principal. Le concept n'est pas nouveau, mais la mise enoeuvre du principe est diablement efficace. Jusqu'ici, personne n'a réussi à « craquer » leursystème.

Pendant trois ans, ils ne soufflent mot de leurs travaux. A quiconque, hormis le juriste ducabinet de brevet chargé de monter leur dossier, qu'ils rencontrent une fois par semaine. Desix brevets initiaux, qu'ils déposent à la fois en France et aux Etats-Unis, ils parviennentfinalement à rédiger 400 brevets différents pour protéger leur invention.

Parallèlement, ils créent la société Validy [1] aux Etats-Unis et en France.

Grâce à leur réseau personnel, un premier tour de table s'organise, avec une levée de fondsd'un million de francs d'un ami, qui signe sans même savoir de quoi il retourne. Aujourd'hui,ils sont 290 actionnaires à avoir mis 8,5 millions d'euros dans l'aventure. L'entreprise estvalorisée à près de 65 millions d'euros, dont les fondateurs conservent 80% du capital.

Phase 2, premiers contacts avec l'Etat : ils sont reçus, à l'Elysée

Reste à convaincre les pouvoirs publics et les industriels. Coup de chance : un de leursactionnaires les met en relation avec- la présidence de la République. Ils sont reçus à

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

2 sur 8 16/02/2010 23:30

Gilles SGRO
Surligner
Page 27: Dossier complet validy aux candidats à la présidence de la république

l'Elysée en février 2002 par la conseillère technique chargée des nouvelles technologies deJacques Chirac, Valérie Pécresse.

Attentive, la fille de Dominique Roux (président de Bolloré Télécom depuis janvier 2007) leurpropose de les « protéger » et de les mettre en relation avec la fine fleur de l'industriefrançaise. Promesse non tenue.

Gilles Sgro n'aura plus jamais de nouvelles de Valérie Pécresse. « Validy ? Le nom ne lui dit

rien », fait répondre l'actuelle ministre de la Recherche par un membre de son cabinet. (Voir

la vidéo.)

Commence alors une longue traversée du désert, émaillée d'espoirs contrariés et, commed'habitude, de promesses jamais tenues. A chaque fois, le scénario est identique : un ami,souvent un actionnaire (ils estiment à « 50 le nombre d'infiltrés » dans leur capital), les dirigevers un intermédiaire qui a des relations- Un premier rendez-vous prometteur, souvent avecun technicien, et plus rien.

En 2005, les anciens des services de renseignements prennent le relais

L'un des premiers intermédiaires s'appelle Gilles Gemba. Ex-colonel de l'armée de terre, il agéré les programmes de recrutement et de carrière des agents secrets de la DGSE.Boulevard Mortier, siège du service, il est officiellement « inconnu ».

L'homme a en tout cas un joli carnet d'adresses dans les états-majors. Au point de pouvoirorganiser plusieurs réunions de présentation au Cercle national des Armées [3] devant unparterre d'industriels : Dassault, MBDA, Thales, Suez, Schneider, Vinci sont du lot. A chaquefois, le premier contact est excellent, mais ne débouche sur aucune vente.

Aujourd'hui encore, le colonel Gemba parle de Validy comme d'un « produit exceptionnel,fabuleux, qui n'a pas d'équivalent sur le plan mondial ». Avec un bémol :

« Ils auraient pu signer des contrats. Prologue, par exemple, un grand groupe,leur proposait d'acheter. L'affaire ne s'est jamais conclue.

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

3 sur 8 16/02/2010 23:30

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 28: Dossier complet validy aux candidats à la présidence de la république

“Sur le plan commercial, ce qui compte, ce n'est pas d'avoir les meilleursproduits, mais d'avoir les marchés. Tant que vous ne vendez pas, vous n'existezpas. Peut-être en commençant à bas prix-”

Pour Gemba, le duo de Validy est victime du “syndrôme du bébé” : “Ils n'arriveront jamais àse séparer de leur invention.” Et si Validy faisait l'objet d'une opération d'étouffement de lapart des majors du secteur ? Réponse ambiguë de l'ancien officier :

“En guerre économique, c'est une hypothèse réaliste-”

Une hypothèse pas si farfelue, Gilles Gemba le sait bien. Comme apporteur d'affaires, il aintroduit Validy auprès du cabinet d'intelligence économique de Philippe Legorjus. Entouréd'anciens du renseignements, l'ex-patron du GIGN se targue de pouvoir résoudre leurproblème, mais il est cher. “Trop cher”, estime Gilles Sgro, qui visite alors la fine fleur desofficines de guerre économique, garantissant monts et merveilles.

Sans oublier quelques indépendants, souvent de prestigieux officiers étoilés, comme legénéral Christian Quesnot, ancien chef de l'Etat-major particulier du président Mitterrand.

(Voir la vidéo.)

Détail : le général Quesnot n'a pas répondu à nos appels. Renseignements généraux (RG) àValence, Direction de la surveillance du territoire (DST) à Lyon- à partir de 2005, tous lesservices de renseignements s'intéressent au dossier Validy.

De cette époque, Gilles Sgro garde une flopée de cartes de visite et un nuage de doutes,jamais dissipé. Au contre-espionnage, on le prend pour un adepte de la théorie du complot.Mais surtout, la DST estime que la société pourrait être un cheval de Troie américain,compte-tenu de sa personnalité juridique (maison mère américaine) et du passéprofessionnel de Jean-Christophe Cuénod aux Etats-Unis.

Information que le service n'a pas voulu nous confirmer, opposant un “pas de commentaire”de rigueur. A la DGSE, on observe une position prudente : “Nous n'avons pas d'opinion surce dossier, qui ne nous concerne pas.” Voire.

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

4 sur 8 16/02/2010 23:30

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 29: Dossier complet validy aux candidats à la présidence de la république

“Quand un système est inviolable, il est aussi ‘inécoutable',’

Plusieurs des contacts de Gilles Sgro lui affirment ensuite que la DPSD [4] (ex-sécuritémilitaire, chargée de la protection des intérêts économiques liés à la défense) décourage lesindustriels de travailler avec Validy.

Interrogé, le ministère de la Défense fait savoir que ‘le responsable de la DPSD ne souhaitepas s'exprimer sur ce sujet’. Ils sont aussi reçu par plusieurs membres du cabinet de MichèleAlliot-Marie, alors ministre. Là encore, pas de suite. L'ancien recruteur Gilles Gemba émetune hypothèse :

‘Quand un système est inviolable, il est aussi inécoutable'. Ça peut expliquer pasmal de leur problème-’

A l'appui de son argument, l'intermédiaire prétend qu'une grande entreprise américaine étaitprête à signer un contrat de 20 millions de dollars, mais que la vente a été bloquée par laNSA (National Security Agency [5]).

Parallèlement, Jean-Christophe Cuénod poursuit son travail de développement desprototypes. Non sans avoir changé de fournisseur de circuit intégré. Le premier, un Français,les livre très irrégulièrement. Ils finissent par se tourner vers ZTEIC [6], une entreprisechinoise ultra-réactive.

Plusieurs prix viennent récompenser leurs efforts, notamment le prix Motorola du salonChinict2007.

Dernière entourloupe : Bercy refuse de les associer à un pôle de compétitivité

Enfin, les pouvoirs publics vont finir va s'intéresser officiellement à leur projet. Minalogic [7], àGrenoble, l'un des six pôles de compétitivité mondiaux, leur propose une association avecdeux des meilleurs laboratoires français : le Laboratoire électronique des techniquesd'informations (Leti) [8] qui dépend du CEA, le Tima [9], un labo du CNRS et Tiempo [10] unestart-up créée ad hoc par Schneider Electric.

Le 29 novembre 2007, le consortium SecToken [11] [‘jeton sécurisé’ en anglais, ndlr] obtient lelabel Minalogic à l'unanimité du jury.

Cette fois-ci, le projet paraît en bonne voie. Jusqu'à ce qu'il soit question de la répartition desbénéfices à venir de l'entreprise. Et là tout dérape. La décision tombe par une lettre deBercy, qui gère le Fonds unique interministériel (FUI). Le financement du projet(350 000 euros) est refusé.

Raison invoquée : un capital trop faible (40 000 euros) pour un projet aussi ambitieux. Cettefois-ci, la coupe est pleine : Sgro et Cuénod sont convaincus d'avoir à faire à une ‘entente’

des industriels du secteur. (Voir la vidéo.)

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

5 sur 8 16/02/2010 23:30

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Page 30: Dossier complet validy aux candidats à la présidence de la république

‘S'il faut partir, nous partirons, conclut Gilles Sgro, s'il faut aller en Inde, aux Etats-Unis ouailleurs, nous irons. Après tout, nous nous adressons au marché mondial, non- ?Evidemment, toutes les administrations sont au courant de l'affaire Validy. Mais rien nebouge, l'Elysée et Matignon se contentent se renvoyer vers Bercy.

Restait à médiatiser leur histoire, dernière cartouche avant de prendre le large. La pressecomme dernier recours ? A voir. Un général à la retraite reconverti dans le conseil pour untrès grand groupe d'armement, nous glissait la semaine dernière : Curieusement, j'ai vuressurgir le produit Validy dans les discussions il y a quinze jours-’. Curieux, en effet.

économie espionnage informatique Politique A la une Eco

Un livre sur BHL annulé : l'auteur dénonce une censurePar Zineb Dryef

Le PS réclame "la démission de la ministre de l'Outre-mer"Par Julien Martin

"Roué de coups par des policiers à une fête chez moi"Par Ronan Kerneur

Le péril musulman en Europe, cette marotte américainePar Justin Vaïsse

"Les anti-OGM, pas accessibles à des arguments rationnels"Par Sophie Verney-Caillat

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

6 sur 8 16/02/2010 23:30

Page 31: Dossier complet validy aux candidats à la présidence de la république

URL source: http://eco.rue89.com/2008/05/12/validy-les-deboires-dune-start-up-au-pays-des-espions

Links:

[1] http://www.validy.com/fr/

[2] http://java.sun.com/javaone/sf/

[3] http://www.cnaparis.com/pages_htm/cercle.htm

[4] http://fr.wikipedia.org/wiki/Direction_de_la_Protection_et_de_la_Sécurité_de_la_défense

[5] http://www.nsa.gov/home_html.cfm

[6] http://www.zteic.com/en/about.aspx

[7] http://www.minalogic.org/

[8] http://www-leti.cea.fr/scripts/home/publigen/content/templates/show.asp?P=235&

L=FR&MASTER=MASTER_WWWLETIHOME

[9] http://tima.imag.fr/

[10] http://www.tiempo-ic.com/

[11] http://www.minalogic.org/posters2007/Sectoken.pdf

Validy, les déboires d'une start-up au pays des espions http://eco.rue89.com/print/9024

8 sur 8 16/02/2010 23:30

Page 32: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 33: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 34: Dossier complet validy aux candidats à la présidence de la république
Page 35: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 36: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 37: Dossier complet validy aux candidats à la présidence de la république

Sujet: RE: Validy Courrier au Premier Ministre le 17 Novembre 2005

De : [email protected]

Date : 22/06/2006 19:49

Pour : [email protected]

Bonjour Monsieur Sgro,

Merci tout d'abord de vos deux messages, le premier portant sur l'articlequi décrit la technologie Validy et le second, donc, me mettant dans laconfidence du courrier que vous avez adressé en novembre dernier au PremierMinistre.

Le fait que votre technologie fut "nominée" pour le Prix européen IST 2006montre de façon éclatante la reconnaissance dont jouit cette technologie ausein de la communauté des acteurs européens des technologies de la sociétéde l'information. Entre 50 à 70 sociétés et technologies sont nominéeschaque année, ce qui, à la dimension de l'Europe, constitue un petit nombreet souligne d'autant plus le mérite dont votre société peut se prévaloir enayant reçu cette distinction.

J'ai adressé la présentation de la technologie Validy à mon collègue JacquesBus, chef de l'unité INFSO.D.4 "ICT for trust and security". Je me dis queValidy pourrait peut-être considérer de jouer un rôle comme partenaire dansl'un des projets de R&D du prochain programme-cadre ("ICT in FP7"). Je vousinvite, le moment venu, à contacter M. Patrick Schouller (voir son site webhttp://www.evariste.org/actu/schouller/ ) et à suivre ses conseils pour vouspréparer à entrer dans le 7ème PCRD.

La question des intelligences économiques est complexe, comme vous lereconnaissez vous-même dans le courrier adressé au PM français. D'un côté,le "complexe" militaro-industriel essaie de s'approprier à bas prix destechnologies de sécurité innovantes ; de l'autre, le jeu de la concurrenceinternationale rend nécessaire, en raison de l'ampleur des investissementsrequis pour investir et du raccourcissement du cycle de vie des produits,d'obtenir des renseignements stratégiques au stade le plus précoce possiblepour pouvoir en tirer un avantage compétitif. Les PME innovantes (qui, enFrance, n'ont traditionnellement jamais eu les faveurs de la puissancepublique) sont souvent les premières victimes des nouvelles règles de laconcurrence mondiale.

Votre société n'est sans doute pas seule dans ce cas, à la fois reconnue auplan européen et international pour sa capacité d'innovation et fragiliséeau plan national par le jeu obscur des différents pouvoirs économiques. LaCommission européenne a récemment créé une Task Force sur la compétitivitédans le secteur des TIC (http://ec.europa.eu/enterprise/ict/taskforce.htm ethttp://ieetti.over-blog.com/article-2962102.html ), que vous pourriez tenterd'approcher, voire de rejoindre, puisqu'elle comporte un volet sur les PMEet l'intelligence économique. Au vu des informations dont je disposedésormais concernant la situation de Validy, il me semble qu'indépendammentdes initiatives que vous pourriez être amené à prendre au niveau français,vos efforts devraient être tournés vers l'Europe (sans pour autant négliger,bien sûr, les opportunités de contacts et d'investissements que vous semblezavoir à l'international).

Je vous souhaite bonne chance dans vos entreprises et espère qu'en 2007,lorsque débutera le 7ème PCRD, vous aurez l'occasion d'entrer dans unconsortium pour concevoir et mettre en oeuvre un projet intégré sur lestechnologies de sécurité.

Cordialement,

RE:ValidyCourrierauPremierMinistrele17Novembre2005

1sur2 17/02/201215:24

Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Surligner
Gilles SGRO
Rectangle
Page 38: Dossier complet validy aux candidats à la présidence de la république

Gérald SantucciHead of UnitICT for Enterprise NetworkingDG Information Society and MediaEuropean Commission - BU29 02/20BE-1049 BrusselsTel.: +32-(0)2-296.89.63Fax: +32-(0)2-296.83.87e-mail: [email protected]

-----Original Message-----From: Gilles Sgro [mailto:[email protected]] Sent: Monday, June 19, 2006 5:56 AMTo: SANTUCCI Gerald (INFSO)Subject: Validy Courrier au Premier Ministre le 17 Novembre 2005

Bonjour,

Voici le courrier que j'ai envoyé au premier ministre le17 Novembre 2005.

Resté sans réelle réponse à ce jour...

Nous aurons probablement besoin de l'Europe pour faire respecter le droit!!!

Cordialement,Gilles Sgro

Le message est prêt à être envoyé avec le fichier suivant ou les liens joints :courrierpremierministreVillepin.pdf

Remarque : pour se protéger de virus informatiques, il se peut que les programmes de messagerie électronique évitent d'envoyer ou de recevoir certains types de pièces jointes. Vérifiez les paramètres de sécurité de votre messagerie électronique pour déterminer de quelle manière les pièces jointes sont gérées.

-- ******************************

Gilles SGRO - VALIDYZI - 5, rue Jean Charcot26100 Romans - FRANCETel. : +33 (0)4 75 717 717Fax : +33 (0)4 75 717 718www.validy.com <http://www.validy.com>

RE:ValidyCourrierauPremierMinistrele17Novembre2005

2sur2 17/02/201215:24

Gilles SGRO
Surligner
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 39: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Page 40: Dossier complet validy aux candidats à la présidence de la république
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle
Gilles SGRO
Rectangle