Cette idée me revient à chaque élection. Quand les campagnes s’échauffent, l’actualité se remplit d’intrusions, de fuites, de botnets et d’opérations d’influence, et je me surprends à sentir que les attaques montent, qu’il y a un rythme derrière les gros titres : des années calmes, puis des poussées, agglutinées autour des moments où manipuler l’opinion rapporte le plus. Et chaque fois, j’ai envie de le voir de mes yeux. Dézoomer sur trente ans d’incidents, regarder la densité monter et redescendre, faire glisser la vue sur 2016, 2020, 2024, et vérifier si la vague que je ressens est une vague qui existe.
Je n’ai trouvé nulle part où le faire. L’impression est restée une impression, invérifiable dans un sens comme dans l’autre, et c’est pour ce genre d’idée qui gratte que ce site existe.
Breachline est l’instrument que je voulais. Il met toute l’histoire sombre de l’informatique sur une seule frise chronologique, belle et zoomable. Tous les bugs, virus, vers, intrusions, vulnérabilités, vagues de rançongiciels et opérations liées à un État qui ont compté y figurent, du ver Morris de 1988 à LoveLetter en 2000, puis à WannaCry en 2017, jusqu’à ce qui s’est passé mardi dernier, chacun sous la forme d’un point daté, catégorisé et sourcé sur une ligne horizontale infinie. Faire défiler, c’est voyager dans le temps, et zoomer fait passer des décennies aux années, puis aux jours. De loin, vous voyez la densité, les époques, les poussées. De près, vous voyez les événements, chacun s’ouvrant sur un résumé, ses catégories et ses sources.
L’assemblage est le produit
Mes recherches ont fait remonter une bizarrerie. Tout ce qu’il faut existe déjà, sauf l’instrument lui-même. Le CSIS tient à jour une liste sérieuse d’incidents cyber majeurs, mais c’est une liste chronologique, pas un instrument visuel. La frise des virus et des vers sur Wikipédia a de la profondeur historique, sous forme de texte linéaire. Il existe des frises pédagogiques statiques, des plateformes génériques de frises collaboratives, sans aucune orientation sécurité, et au moins un très joli moteur de frise zoomable en open source, sans le moindre contenu cyber dedans. Chaque pièce a le défaut que les autres résolvent.
Breachline est donc un travail d’assemblage, pas un projet de recherche ni une entreprise démesurée de collecte de données. Il réunit des recettes techniques déjà éprouvées, des données existantes sous licence ouverte comme corpus de départ, et une interface qui assume ses partis pris. Le principe de design de mes toutes premières notes tient encore et mérite d’être recopié tel quel : le défilement doit être délicieux. Si traverser trois décennies de catastrophes numériques ne donne pas la sensation de survoler un paysage, rien d’autre dans le projet n’a d’importance, parce que toute la valeur d’une frise tient à l’envie de continuer à la parcourir.
Fonctionnalités clés
- Une ligne, un zoom infini. Les décennies se replient en bandes de densité ; les jours se déplient en incidents individuels. Pas de pagination, pas de page par année, pas de PDF. La navigation est l’interface.
- Des événements comme objets sourcés. Chaque point porte une date, un titre, un court résumé, des catégories et au moins une source. Pas de source, pas d’événement ; cette règle est absolue et appliquée dès la soumission.
- La catégorie en couleur, l’impact en taille. Logiciels malveillants, vulnérabilités, fuites de données, rançongiciels, opérations liées à des États, campagnes d’influence : une couleur pour chacun ; la taille d’un point reflète son impact selon des critères publiés. Réduire l’impact à un seul chiffre revient pourtant à produire un jugement éditorial déguisé en nombre. Les critères sont publics, discutables et versionnés, ce qui est la seule façon honnête d’en attribuer un.
- La couche de densité. La fonctionnalité fondatrice, pour la question qui a tout déclenché : une vue qui rend la fréquence des incidents dans le temps sous forme de paysage, avec des calques de contexte optionnels, périodes électorales, conflits majeurs, pour que chacun puisse poser le motif qu’il soupçonne à côté du relevé et regarder. L’outil trace les deux courbes ; il refuse de tracer la conclusion.
- L’attribution avec des niveaux de confiance. C’est là qu’une frise cyber devient adulte, ou bien une surface de propagande. « Attribué à », dans ce domaine, est une affirmation portée par quelqu’un : un gouvernement, un éditeur de sécurité, un journaliste. Breachline n’affirme jamais qu’un État a fait quelque chose ; il indique qui a formulé l’attribution et avec quel degré de confiance, sur la fiche de l’événement elle-même. Les attributions contestées s’affichent comme contestées.
- La contribution publique, ennuyeuse à dessein. Un formulaire de soumission avec des champs obligatoires et des sources obligatoires, un statut proposé/validé/rejeté, et un historique de modifications visible. Pas de gamification : les points et les badges attirent du volume, et c’est par le volume sans vérification qu’une frise sourcée pourrit.
- Fait pour être intégré. N’importe quelle tranche de la ligne, une année, une grappe d’incidents, une catégorie, peut être intégrée dans un article, un cours ou une présentation de conférence. Les intégrations sont la distribution.
Ce qui coince, honnêtement
Premièrement, la question fondatrice doit rester une question. Supposons que la vue de densité montre bel et bien des poussées autour des élections. Cela ne prouverait toujours pas ce dont mon intuition est persuadée, parce que la frise enregistre des incidents documentés, et la documentation a ses propres rythmes : les éditeurs de sécurité publient davantage pendant les cycles d’actualité, les journalistes cherchent plus fort quand les élections approchent, et les lois sur la notification ont changé ce qui est signalé tout court. Plus d’attaques visibles et plus d’attaques, ce n’est pas le même fait. Le travail de Breachline est de rendre le relevé visible et d’intégrer le biais de signalement au débat, pas de blanchir mon pressentiment en graphique. Rendre cette distinction lisible pour le commun des mortels serait même, à mes yeux, la plus belle contribution du projet.
Deuxièmement, le champ de mines de l’attribution mérite son propre paragraphe, parce que les opérations d’influence sont la catégorie par laquelle ce projet touche à la géopolitique. L’intrusion de 2016 dans un parti politique américain, attribuée par les agences de renseignement américaines aux services russes, compte parmi les événements les mieux documentés en son genre. Beaucoup d’autres reposent sur un unique rapport d’éditeur et une accumulation de peut-être. Une frise qui aplatit ce spectre en points d’apparence identique devient de la désinformation sur la désinformation. Encoder l’incertitude est le cœur moral du produit, pas un simple bonus.
Troisièmement, le tapis de course. Les incidents arrivent chaque semaine, et une frise qui cesse visiblement d’être mise à jour meurt en public, car le vide après son dernier événement se lit comme un abandon. La pérennité doit être conçue dès le départ : des imports semi-automatisés depuis les listes publiques entretenues, une petite équipe de relecture et un partenaire institutionnel, un laboratoire universitaire ou une association de sécurité, comme point d’ancrage durable.
Et quatrièmement, la rétention. Les frises sont des produits qu’on visite une seule fois. On arrive, on survole, on ressent des choses, on repart. Et c’est très bien ainsi, parce que c’est une ressource, pas une startup. Ses indicateurs de succès sont les citations, les intégrations, les salles de classe et les journalistes qui l’ouvrent à l’heure du bouclage, pas les utilisateurs actifs quotidiens.
Monétisation
La réponse est la même que pour mon Obscurantism Clock, le projet frère de celui-ci. C’est un projet civique, et faire comme s’il s’agissait d’une aventure entrepreneuriale le ruinerait. Les coûts sont presque nuls, une architecture d’abord statique sur un hébergement gratuit avec des données JSON versionnées. Pour le faire vivre, je vois des subventions dans le champ de la culture numérique et de l’éducation à la sécurité, des crédits de sponsoring d’entreprises de sécurité qui veulent être associées au projet sans peser sur la ligne éditoriale (une clause à inscrire noir sur blanc dans n’importe quel accord), et peut-être un palier de soutien pour l’API d’intégration propre. Les données, elles, restent ouvertes, parce que le corpus de départ vient de sources ouvertes et que la légitimité du projet dépend de ce qu’il rend aux mêmes conditions.
Prochaines étapes : comment je la construirais
La phase un est un prototype statique avec une centaine d’événements dans une seule catégorie (l’histoire des logiciels malveillants s’impose naturellement, puisque le corpus de Wikipédia est profond et sous licence ouverte) et une seule obsession : rendre le zoom et le défilement merveilleux. Pas de comptes, pas de soumissions, pas de filtres. Si cent points sur une ligne ne donnent pas au visiteur l’envie de continuer à la faire glisser, arrêtez-vous là, vous n’aurez rien perdu.
Ensuite, l’hygiène des licences, avant le passage à l’échelle. Le contenu de Wikipédia est en CC BY-SA et exige l’attribution et le partage à l’identique, les moteurs de frise ouverts et les archives d’événements sur GitHub portent leurs propres licences à respecter, et les listes institutionnelles comme celle du CSIS, on les cite et on y renvoie par un lien, on ne les aspire jamais en bloc. Un après-midi passé à lire des licences ne coûte rien ; reprendre un corpus après coup, si.
Puis les catégories, la couche de densité, le modèle d’attribution, et seulement après tout cela, la contribution publique avec son processus de relecture. La communauté est la dernière brique, pas la première, parce qu’une file de relecture vide avec des règles claires vaut mieux qu’une file pleine sans aucune règle.
Pour finir
Breachline raconte l’histoire sombre du monde connecté sur une ligne que vous pouvez survoler. Il est fait pour montrer des motifs sans les affirmer, et pour traiter la question « qui a fait ça » avec l’honnêteté qu’elle mérite. Il appartient à la même famille que mon Obscurantism Clock, des instruments pour voir les choses lentes et inquiétantes, et il est aussi du même sang que ThreatShield. Tous deux sont des outils pour un web qui n’a jamais été aussi utile ni aussi peu digne de confiance.
Si vous le construisez, dites-le-moi, et envoyez-moi le lien avec la vue dézoomée jusqu’en 1988. Je veux voir tout le paysage d’un coup, et ensuite je veux le faire glisser, lentement, vers aujourd’hui.
