Les virus in­for­ma­tiques: théorie, pratique et ap­pli­ca­tions

Fred Cohen n'a pas seulement nommé le virus. Il l'a formalisé. Dans sa thèse du milieu des années 1980, il reprend le modèle le plus abstrait de l'informatique, la machine de Turing imaginée dans les années 1930, et y définit précisément ce qu'est une séquence virale. Ce choix n'est pas décoratif. La machine de Turing est le modèle universel : tout ce qu'un ordinateur peut calculer, elle peut le calculer. Démontrer quelque chose sur elle, c'est le démontrer pour toute l'informatique possible.

Le résultat que Cohen établit est celui que Filiol place au cœur de tout : déterminer si un programme quelconque est un virus est un problème indécidable. Indécidable au sens strict, mathématique, du terme. Il n'existe pas et il ne peut pas exister d'algorithme qui, pour n'importe quel programme qu'on lui soumet, réponde correctement par oui ou par non. La démonstration s'appuie sur un raisonnement par l'absurde dans l'esprit du fameux problème de l'arrêt de Turing : si une telle machine de détection existait, on pourrait construire un programme qui la prend en défaut à coup sûr.

La théorie posée, Filiol ouvre le capot. Un virus n'est pas une entité magique : c'est du code qui doit résoudre des problèmes très concrets. D'abord trouver des cibles. Un virus de fichier cherche des programmes exécutables sur le disque ; un virus de secteur d'amorçage vise la zone que l'ordinateur lit au démarrage ; les macro-virus, apparus massivement dans les années 1990, se logent dans les documents bureautiques, parce qu'un traitement de texte moderne embarque, lui aussi, un langage de programmation.

Ensuite, se reproduire sans se faire repérer. C'est là que l'ouvrage devient fascinant, parce qu'il montre une véritable escalade d'ingéniosité. Les premiers virus se contentaient de recopier une séquence identique — facile à détecter, il suffit de reconnaître la signature. Alors sont venus les virus chiffrés, qui brouillent leur propre corps et ne laissent apparent qu'un petit module de déchiffrement. Puis les virus polymorphes, qui changent ce module à chaque infection, de sorte qu'aucune copie ne ressemble à la précédente. Et au sommet, les virus métamorphes, qui réécrivent entièrement leur code à chaque génération tout en gardant la même fonction — comme un texte qu'on reformulerait intégralement sans changer son sens.

Si la détection parfaite est mathématiquement impossible, à quoi bon se défendre ? La réponse de Filiol est celle d'un stratège, pas d'un marchand de solutions miracle. On ne cherche pas l'invulnérabilité, qui n'existe pas. On cherche à élever le coût de l'attaque, à gagner du temps, à réduire la surface exposée. La sécurité devient une affaire de rapport de forces et de gestion du risque, pas de forteresse étanche.

De là découle une vision qui tranche avec le confort commercial du secteur. Les antivirus à base de signatures — reconnaître un virus déjà connu à sa carte d'identité — sont utiles mais structurellement en retard : ils ne voient que ce qu'ils ont déjà rencontré. Face aux virus polymorphes et métamorphes, la signature s'effondre, puisque chaque copie est différente. Il faut passer à l'analyse de comportement, à l'étude de ce qu'un programme tente de faire plutôt que de ce à quoi il ressemble. Mais l'indécidabilité rôde toujours : analyser un comportement, c'est encore approximer, avec sa part d'erreurs et d'angles morts.

L'ouvrage de Filiol fait le trajet complet, de l'abstrait au concret : il part d'une définition mathématique du virus, passe par le théorème d'indécidabilité de Cohen, descend dans la mécanique réelle du code, et remonte vers les stratégies de défense. À chaque étage, la même idée directrice tient le fil : le virus n'est pas un mal mystérieux, c'est un objet qu'on peut définir, formaliser, construire et, dans certaines limites, combattre. La peur recule à mesure que la compréhension avance.