Alors que les menaces ne cessent de croître dans le cyberespace, un nouveau risque pèse sur le monde de l’aéronautique : le cyberespionnage. Ce dernier pose de nouvelles questions et de nouveaux doutes concernant la sûreté de l’écosystème aérien. C’est en cela que notre expert Michaël Simantov nous propose d’étudier les atouts et les vulnérabilités qui composent la situation actuelle du monde aérien face à la menace cyber.
Première partie ici.
Le cyberespionnage
Il a donné un avantage aux Chinois, en effet grâce à leurs techniques avancées d’espionnage économique et de rétro-ingénierie, l’Empire du milieu a économisé environs 25 ans de R&D et des milliards de dollars d’investissements. Notre expert M. Simantov nous montre alors deux photos de drones, un chinois et un américain. Ces drones n’ont pas de ressemblance frappante immédiate mais certains détails laissent entrevoir l’inspiration américaine du drone chinois. M. Simantov déplore ces actes car ce sont des emplois qui sont supprimés, des pans de l’économie qui sont sapés, et de nouveaux risques de cyberguerre. Pour illustrer ces propos il nous propose une étude de cas.
Le cas Airbus
Le 30 janvier 2019, Airbus annonce officiellement avoir subi un « incident de cybersécurité » dans les Systèmes Informatiques de sa branche d’aviation commerciale. De nombreuses données personnelles d’employés ont été consultées mais ce qui était réellement visé, ce sont les documents techniques relatifs à la certification du groupe. L’ANSSI a révélé après enquête qu’il s’agissait d’une attaque de type APT (Advanced Persistent Threat). "Le schéma d'attaque est très proche de ceux du groupe « APT-10 », il est probablement même plus complexe et sophistiqué que ce que nous observions jusqu'à présent", précise une source au fait du dossier. L'appellation « APT-10 » fait référence à un groupe de hackers chinois opérant depuis la Chine et lié, selon les États-Unis, aux services de renseignement chinois.
Après une enquête de deux semaines, les cyberinvestigateurs ont déterminé que ce n’était pas Airbus la cible principale mais l’un de ses fournisseurs qui fût une porte d’accès directe aux SI d’Airbus. On parle même d’une intrusion en interne. Certains employés ont été suspectés de connivence avec le groupe APT-10. Cette histoire rappelle d’ailleurs l’attaque dont a été victime le géant français motoriste Safran en 2014.
Comment réellement attribuer cette attaque aux chinois ? Des experts du groupe géant informatique américain, Symantec, indiquent : "D’un point de vue technique, il est très compliqué de savoir qui est le coupable. On peut, par exemple, trouver dans le code source de l’attaque, des idéogrammes propres à tel ou tel pays mais ils peuvent être ajoutés par les hackers pour accuser un État plutôt qu’un autre. En revanche, le facteur humain (qui est le hacker ?) ou la méthode employée sont des éléments qui peuvent permettre d'attribuer une attaque."
La situation actuelle
Les atouts
La situation actuelle est plutôt favorable concernant la capacité du domaine aérien à gérer ce genre de risque. Or, dans un environnement aussi complexe, en termes d’acteurs, de technologie, de réglementation, de situations économique et politique, c’est une réelle performance. Cette prouesse, poussée par la coopération internationale, permet d’affirmer que l’avion est l’objet le transport le plus sûr au monde. En 2017 on ne note aucun incident notoire, ce qui confirme la sûreté de ce moyen de transport. Pourtant la confiance dans le secteur aérien n’a jamais été aussi fragile qu’aujourd’hui.
Pourtant, d’après les experts de ce domaine, le cyber n’est qu’un problème mineur comparé aux risques complexes qu’ils ont l’habitude de gérer. Mais alors comment en sommes-nous arrivés à cette affirmation, à savoir que l’avion est le moyen de transport le plus sûr ? C’est grâce à la « Safety », qui regroupe l’ensemble des efforts pour prévenir le risque d’accidents et tout risque pouvant provoquer atteinte à l’intégrité physique (blessures et décès entre autres). Cela comprend deux concepts importants, la redondance et la résilience, le tout contraint par une forte activité normative (OACI qui édicte les normes et recommandations sur le transport aérien avec plus de 12 000 normes). Cela se décline ensuite au niveau national.
On retrouve aussi la Culture Safety, qui pousse toute personne à travailler dans le secteur aéronautique à se sentir responsable et investi dans sa mission de sûreté. Selon M. Simantov, cela doit se porter comme une valeur, c’est une véritable conviction. Cela doit s’inscrire dans la foi des employés du secteurs aéronautique, c’est une culture qui doit être mise en avant.
Un autre atout est d’apprendre de ses erreurs. Cela signifie qu’au moment d’un accident, le temps de l’enquête est primordial car il permet de comprendre la défaillance, de l’apprécier et d’en apprendre afin de renforcer la sûreté du transport aérien. Les défaillances passées doivent être étudiées pour comprendre et appréhender les futures défaillances.
M. Simantov soulève un autre point intéressant qui pousse à la sensibilisation générale et cela se fait à travers le partage de l’information. En effet, la sûreté ne doit pas être perçue comme un domaine compétitif. Le partage crée la confiance. Pour ce faire, il convient de partager les informations contextualisées en temps réel, ce qui implique d’être proactif. Il faut apprendre à partager en toute transparence des incidents en cercle de confiance. Des partenariats publics et privés doivent être mis en place pour permettre un apport efficace à la réglementation (RGPD, NIS etc…). Bien sûr, cela implique un vrai partage interdisciplinaire, un partage des pratiques et des rétex entre cybersécurité et Safety, d’intégrer la cybersécurité dans le Framework « Safety » et de collaborer sur les enquêtes post-incidents. A ce titre, Boeing et Airbus se font s’affrontent sur de nombreux points, mais coopèrent toujours sur ces points importants de sûreté. Le partage crée la confiance.
Les vulnérabilités
On parle d’un long cycle de vie pour les avions. En effet, pour la conception on compte dix ans, pour la production, entre vingt et quarante ans et reste, en opération, encore vingt-cinq ans. Par exemple le Boeing 747 vol depuis cinquante ans, donc les conceptions ont eu lieu il y a encore plus longtemps. Cependant, les menaces elles évoluent au fur et à mesure de la vie de l’avion. Au moment de la conception les attaques visent l’espionnage, lors de la production c’est pour l’atteinte à la production et la perturbation logistique. Enfin, lors de la mise en opération de l’avion, sabotage, atteinte à l’exploitation, vol et trafic sont autant d’objectifs des cyberattaques. Donc les cybermenaces se renouvellent très rapidement.
Les acteurs multiples qui composent le monde aéronautique représentent aussi un facteur de vulnérabilité. En effet, les sous-traitants peuvent être de nature très diverses (TPE, PME, grands groupes…), et donc avec des niveaux de cybersécurité très hétérogènes. Entre les étapes du développement, de la production, de l’opération, de nombreux acteurs sont proches des SI. Notamment lors du stationnement en aéroport ou lors des phases de MRO (maintenance). Ces sous-traitants collaborent autour de flux d’informations avec des SI interconnectés.
La connectivité en vol, une nouvelle vulnérabilité, depuis que l’avion devient un objet connecté :
- Services aux passagers (Wifi, IFE)
- Paperless cockpit (EFB – Aide à la navigation, cartes, checklist, calculs de performances etc…)
Toute cette connectivité de l’objet l’expose de plus en plus aux cybermenaces. Par exemple, le système ACARS, un système de transmission de données entre un avion et une station au sol (plan de vol, météo, état des équipements de bord, carburant etc…). Cependant, ces informations qui transitent entre l’appareil et le sol ne sont pas protégées, ni chiffrées donc vulnérables à l’interception ou à l’écoute. Donc la surface d’exposition augmente encore plus car le meilleur moyen d’attaquer l’appareil c’est en passant par FMS (Flight Management System) qui calcule la trajectoire, la localisation et le plan de vol.
La gestion du trafic aérien soumet aussi les appareils aux cybermenaces. En effet, afin de soutenir le développement du trafic aérien et d’améliorer les informations fournies aux pilotes et aux contrôleurs aériens, un grand programme de modernisation de la gestion trafic aérien est en cours. Cependant les cybermenaces n’ont pas été prises en comptes lors de sa conception. La gestion du trafic aérien s’appuie par exemple sur le système de surveillance ADSB (Automatic Dependent Surveillance Broadcast) qui permet de localiser un avion, ou alors permet à l’avion de transmettre à d’autres avions, soit des stations au sol soit sa position. Des communications entre les tours de contrôles et les avions s’opèrent tout comme une dépendance vis-à-vis du GPS. Tout cela n’est pas sujet au chiffrement donc toutes les communications peuvent librement être mises sur écoute. Il en va de même pour SWIM qui est l’intranet aérien qui vise à oublier les communications point à point c’est-à-dire une communication d’un avion à une tour de contrôle pour pousser à une communication plus précise et qui pousse à décentraliser l’information. Encore une fois le système n’est pas sécurisé.
Donc la prise de conscience et la sensibilisation sont deux concepts à introduire dans le domaine de la menace cyber et l’aviation. Le secteur aéronautique sait gérer les risques complexe mais encore doit-il en avoir conscience. Donc ce sont des attaques qui visent l’ensemble du spectre de l’écosystème aérien qui comprend et des points forts et des points faibles. Pour répondre à la question initiale « est-ce qu’une cyberattaque peut faire crasher un avion ? » C’est encore trop difficile de répondre selon M. Simantov, qui se range derrière la réponse apportée par la DHS (Department of Homeland Security) qui, après étude, indique que c’est techniquement faisable. Il termine sur cette citation de Patrice Caine, PDG de Thalès « Le moment décisif c’est maintenant ! »
Le cyberespionnage fait partie des nouvelles menaces qui pèsent sur le monde de l’aéronautique. Problème souvent ignoré, voire moqué, la menace n’en reste pas moins réelle. De nombreux cas ont montrés qu’il est bel et bien et techniquement possible de réaliser une cyberattaque. De nouveau, l’appareil a un long cycle de vie comparé aux menaces cybers qui ne cessent de se multiplier, de se moderniser et de se complexifier sur un cycle de vie plus court. Cette menace est donc à prendre au sérieux et il est important d’instaurer une culture de la formation et de l’information sur ce sujet. La sensibilisation reste la clé de l’apprentissage et de l’amélioration de détection des risques et des signaux faibles.
Club Risques AEGE.