La cybersécurité est l’un des enjeux majeurs de notre époque. Les grandes puissances dépensent des milliards pour ériger des lignes de défense numériques aussi solides que possible pour protéger les données des citoyens, la propriété intellectuelle des fleurons de l’entreprise, ou encore des informations stratégiques extrêmement sensibles.
Mais aujourd’hui, la sécurité informatique ne concerne plus seulement les serveurs et terminaux à l’ancienne. Nous assistons en ce moment à ce que certains décrivent comme une nouvelle course à l’espace, menée par des tas d’entreprises privées qui déploient de plus en plus d’engins en orbite. Et puisque nombre d’entre eux collectent et transmettent des données potentiellement très sensibles, plus le temps passe, plus l’aspect cybersécurité devient important pour les opérateurs.
C’est dans ce contexte qu’est apparu CYSAT, une grande convention consacrée exclusivement aux problématiques de cybersécurité dans le contexte de l’espace.
Thales à l’assaut d’OPS-SAT
Avant l’ouverture de la troisième édition, les 26 et 27 avril à Paris, l’Agence spatiale européenne a lancé un défi à plusieurs équipes de spécialistes : elle leur a proposé d’essayer de prendre le contrôle d’un nanosatellite baptisé OPS-SAT. L’objectif : explorer les failles du système.
L’engin n’a pas vraiment vocation à réaliser des observation. Ce satellite à peine plus grand qu’une boîte à chaussures est en fait un vrai petit laboratoire orbital. Son objectif est de tester et de valider différentes technologies et techniques de contrôle et de communication. Il dispose d’un système informatique très performant. L’ESA explique que son ordinateur embarqué est dix fois plus puissant que ceux des autres appareils de l’agence. OPS-SAT était donc la cible parfaite pour cet exercice de cybersécurité.
Plusieurs groupes ont tenté de percer ses lignes de défense. Mais une seule y est parvenue : l’équipe de cybersécurité offensive de Thales, l’un des fleurons de l’industrie française. Cette équipe de hackers éthiques de haute volée a identifié plusieurs vulnérabilités critiques qui auraient toutes pu constituer des surfaces d’attaque exploitables pour un acteur mal intentionné.
Un contrôle total sur le positionnement et le flux de données
Pour commencer, elle a réussi à accéder aux systèmes de positionnement et de contrôle d’attitude. Ce dernier terme désigne l’ orientation de l’appareil dans l’espace par rapport à un objet de référence. En l’occurrence, il s’agit de la Terre. L’équipe a aussi pu accéder directement à la caméra embarquée du satellite. Il s’agit de failles critiques. Ces brèches auraient pu être exploitées par un tiers mal intentionné afin de provoquer des dégâts considérables.
Mais les spécialistes de Thales n’ont pas seulement ouvert la porte numérique du satellite. En exploitant d’autres vulnérabilités, ils sont parvenus à introduire du code malveillant dans son système d’exploitation. Ils ont ainsi pu contrôler le flux de données que l’appareil échange avec la Terre. Cela signifie qu’ils auraient par exemple pu modifier les images capturées par l’engin.
On imagine aisément que ce genre de plaie béante dans le système aurait pu avoir des conséquences très concrètes. Et potentiellement assez dramatiques. Un acteur malveillant aurait par exemple pu utiliser cette faille pour dissimuler des activités ou des infrastructures suspectes.
Selon Thales, c’est la toute première fois qu’un exercice de ce genre est conduit en conditions réelles. « Avec le nombre croissant de systèmes civils et militaires qui reposent sur des satellites aujourd’hui, l’industrie doit tenir compte de l’aspect cybersécurité à chaque étape du cycle de vie du satellite, de la conception à la mise en place en passant par la maintenance », explique Pierre-Yves Jolivet, vice-président de la branche Cyber Solutions de Thales.
« Cet exercice sans précédent était une occasion d’attirer l’attention sur les failles et vulnérabilités potentielles qui peuvent être gérées immédiatement, et d’augmenter la cyber-résilience des satellites et des programmes spatiaux en général, autant au sol qu’en orbite », précise-t-il.
Une conférence sur les détails techniques le 27 mai
L’équipe de choc de Thales et des responsables de l’ESA donneront une présentation commune lors du CYSAT, le 27 avril. Ils reviendront notamment sur le scénario d’attaque. D’après le communiqué de Thales, ils livreront des détails sur « les techniques, tactiques et procédures de cybersécurité » utilisées. Pour les retardataires, il est encore possible de réserver un billet. Cela se passe à cette adresse, et le ticket vous coûtera 200 € pour la version en ligne. Ceux qui cherchent à y assister sur place, en revanche, devront débourser 500 €.
🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.
