La cybersécurité est un sujet hautement sensible dans la sphère civile, mais encore plus lorsqu’il s’agit d’aérien. Comment s’assurer que matériels et systèmes d’information des avions sont étanches face aux attaques extérieures ?
Les cyberattaques sont aujourd'hui omniprésentes. La cybermenace plane sur tous les systèmes d'informations. Ainsi, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) intervient sur une vingtaine d'attaques par an sur les 250 opérateurs d'importance vitale (OIV) répertoriés en France même si ceux-ci ne s'en vantent pas pour des raisons compréhensibles. L'article 22 de la loi de programmation militaire (LPM) oblige les OIV privés et publics à renforcer la sécurité de leurs systèmes d'information critiques qu'ils exploitent afin d'augmenter leur résilience.
D'autant que "la digitalisation des activités humaines a un impact fort sur le fonctionnement de nos sociétés. L'IA, le Big Data et la cybersécurité sont corrélés. Le cyberespace, qui grandit, crée des défis énormes en termes de sécurité. Le risque systémique doit s'ancrer dans notre culture", a estimé, à l'occasion du Paris Air Forum organisé le jeudi 21 juin par La Tribune, le directeur général adjoint de l'ANSSI, Emmanuel Germain. "Depuis dix ans, il y a une accélération de la communication, avec le cloud, l'Internet des objets (IoT) et ses milliards d'objets mal protégés, et des logiciels partout", a pointé le directeur général adjoint de Thales en charge des systèmes d'information et de communication sécurisés, Marc Darmon.
"Les cybersabotages peuvent arrêter totalement le fonctionnement des entreprises, comme on l'a vu avec Saint-Gobain (en juin 2017 NdA) et TV5 monde (en avril 2015 NdA). La cyberprotection a quatre missions : 1, anticiper et détecter précocement la menace ; 2, empêcher le passage à l'acte ; 3, aider à la prise de décision ; et 4, intervenir à distance ou sur site" a expliqué Marc Darmon, qui préconise une bonne "hygiène informatique".
Un avion a-t-il déjà fait l'objet d'une cyberattaque?
Un hacker capable de prendre le contrôle de n'importe quel système d'information fait peur, surtout quand il s'agit de celui d'un aéronef. Pour Emmanuel Germain, il faut éviter de tomber dans le catastrophisme : "En 2013, un chercheur a évoqué la possibilité de pénétrer les cockpits d'avion, mais il n'en a jamais apporté la preuve. En 2015, un autre chercheur a assuré avoir hacké un système de divertissement d'un avion de ligne, mais sans en apporter la confirmation là encore. Lors de la dernière conférence Black Hat (événement qui rassemble experts des agences gouvernementales et hackers, Ndlr), quelqu'un a évoqué une possible pénétration du système d'information d'un avion de ligne en vol en utilisant ses communications satellites. Ça fait parler".
Le directeur général de la DGAC, Patrick Gandil, a confirmé les propos rassurants du numéro deux de l'ANSSI, affirmant que la menace emblématique de la prise de contrôle d'un avion n'a jamais été avérée : "les constructeurs ont leurs propres équipes de hackers qui testent leurs défenses. Même en cas d'éventuelle prise de contrôle à distance de l'auto-pilote, il suffit de le déconnecter manuellement". En outre, a-t-il fait expliqué, "nous réagissons rapidement grâce à l'ANSSI en France. La sécurité aérienne fait l'objet de méthodes de supervision systématiques et les retours d'expérience nous montrent que notre pays est plutôt bien protégé".
Panneaux d'affichage hackés
En revanche, des aéroports ont déjà subi des perturbations, comme au Vietnam en 2006, où tous les panneaux d'affichage avaient été piratés pour faire passer un message politique. "Cela donne une bonne idée de ce qui peut arriver. Affichage, enregistrement, bagages : la pagaille peut durer des heures voire des jours, entraînant des pertes financières et pénalisant des milliers de passagers. Une panne d'une demie-journée du système de contrôle européen des plans de vol est équivalent à la moitié du chaos causé par l'éruption du volcan islandais l'Eyjafjöll en 2010", a souligné Patrick Gandil.
Newsletter
Industrie et service
Chaque jour à 13h, l’essentiel de l’actualité industrielle.
"Cela ne tuera personne même si on trouve parfois de grosses failles de sécurité, a estimé le patron de la DGAC. Une pagaille est possible, comme un blocage des portes automatiques d'un aéroport. Ce n'est pas dangereux, mais ça marche moins bien".
Les industriels, comme Thales, apportent une réponse technologique en identifiant les attaques "zero day" (qui n'ont encore jamais eu lieu, Ndlr) au milieu de milliards d'informations envoyées par leurs clients. "L'IA et ses algorithmes d'apprentissage permettent de détecter les comportements anomaux sur les systèmes d'information", rassureMarc Darmon.
