La cybermenace et le transport aérien

La recherche d’une plus grande effi­cac­ité du trans­port aérien et la demande accrue des pas­sagers d’accéder à de nou­veaux ser­vices ont été ren­dues pos­si­bles par une large con­nec­tiv­ité grâce à la numéri­sa­tion crois­sante du monde de l’aviation. Mais cette con­nec­tiv­ité risque d’affecter la sécu­rité des vols. Les risques liés aux cyber­at­taques ont con­sid­érable­ment évolué ces dernières années. L’AAE s’est penchée sur ce sujet afin de faire le point sur ces risques : quelles sont ses recommandations ?

Le groupe de tra­vail de l’Académie de l’air et de l’espace (AAE) a cen­tré sa réflex­ion sur le sujet suiv­ant : des cyber-attaques peu­vent causer des acci­dents ou créer des inci­dents graves qui met­tront en dan­ger les pas­sagers et équipages. Com­ment en réduire les risques d’occurrence et prévenir leurs conséquences ?

Des acteurs nombreux et connectés

Le monde du trans­port aérien forme un « sys­tème de sys­tème » com­posé d’éléments var­iés : avions commer­ciaux, organ­ismes de con­trôle de la cir­cu­la­tion aéri­enne, aéro­ports, cen­tres de con­trôle opéra­tionnel des com­pag­nies aéri­ennes, usines de con­struc­tion aéro­nau­tique, motoristes, équipemen­tiers, entre­pris­es de main­te­nance aéro­nau­tique, réseaux de radio­communications ter­restres et satel­li­taires, moyens de radion­av­i­ga­tion ter­restres et satel­li­taires, moyens de sur­veil­lance. Tous ces acteurs sont de plus en plus con­nec­tés et échangent entre eux des don­nées essen­tielle­ment numériques. Ils sont égale­ment reliés à Inter­net et à des Clouds. Des per­son­nes inter­vi­en­nent con­stam­ment dans ces échanges : équipages – con­trôleurs aériens – agents des cen­tres d’opérations des com­pag­nies et des aéro­ports – four­nisseurs de liaisons et de don­nées – répara­teurs… Autant de risques d’introduire des failles poten­tielles util­is­ables par des cyberattaquants.

Les vulnérabilités du transport aérien

Il con­vient de traiter la cyber­sécu­rité dans l’aviation civile com­mer­ciale avec une approche sys­tème et de car­togra­phi­er les flux de don­nées de bout en bout. L’analyse effec­tuée mon­tre qu’il peut exis­ter des vul­néra­bil­ités dans l’écosystème du trans­port aérien. On peut citer les points de vig­i­lance suiv­ants : les com­mu­ni­ca­tions numériques entre le bord et le sol ; les équipements en cab­ine pas­sagers par­tic­i­pant au diver­tisse­ment des pas­sagers ; les équipements indi­vidu­els (smart­phones, tablettes, ordi­na­teurs), qu’ils appar­ti­en­nent aux pas­sagers ou au per­son­nel nav­i­gant ; les liaisons de don­nées au sol, avion à la passerelle ou au roulage ; la chaîne de main­te­nance des équipements.

Les attaques con­tre le trans­port aérien peu­vent être par « déni de ser­vice » ou par brouil­lage, con­sis­tant à blo­quer la récep­tion des sig­naux. D’autres attaques pos­si­bles sur les liaisons de com­mu­ni­ca­tion peu­vent résul­ter du leur­rage avec la trans­mis­sion de fauss­es don­nées, soit au sol, soit à bord des avions. Suiv­ant la cor­rup­tion de ces don­nées, les con­séquences peu­vent être sérieuses si aucun moyen de véri­fi­ca­tion de la disponi­bil­ité, de l’authenticité, de l’intégrité, de la con­fi­den­tial­ité et de la traça­bil­ité des infor­ma­tions n’est prévu. Ces attaques peu­vent aus­si con­cern­er les logi­ciels opéra­tionnels, à bord ou au sol. La présence de codes malveil­lants pro­gram­més pour déclencher des actions nocives à un cer­tain moment est évidem­ment une men­ace importante.

“L’avion et son équipage doivent être capables d’être autonomes,
tout en étant à la fois connectés et cyber-résilients.”

Gestion des risques

L’aviation civile est de plus en plus con­nec­tée grâce aux moyens de com­mu­ni­ca­tion mod­ernes (Inter­net, etc.) qui per­me­t­tent des débits élevés pour les pas­sagers et pour les équipages. Les sys­tèmes au sol sont égale­ment de plus en plus con­nec­tés avec le développe­ment des nou­veaux sys­tèmes de ges­tion du traf­ic aérien (SESAR en Europe et NextGen aux USA). Cette ouver­ture des sys­tèmes aug­mente de manière sig­ni­fica­tive les sur­faces d’attaque du trans­port aérien. En con­séquence, dans cette trans­for­ma­tion numérique les mod­èles de sûreté et de sécu­rité doivent rapi­de­ment évoluer pour démon­tr­er la prise en compte de la cyber­sécu­rité. L’avion et son équipage ne peu­vent plus être « isolés » le temps du vol, mais doivent être capa­bles d’être autonomes, tout en étant à la fois con­nec­tés et cyberrésilients.

Les cyber­at­taquants sont capa­bles d’exploiter les failles dans les défens­es fix­es des sys­tèmes, inclu­ant les pare-feux (fire­walls) et autres pro­tec­tions. Une pro­tec­tion physique, sans com­mu­ni­ca­tion filaire ou radio, n’est plus pos­si­ble dans un monde dig­i­tal­isé et con­nec­té. Cepen­dant, quelques mesures assez sim­ples peu­vent per­me­t­tre de ralen­tir la plu­part des attaquants.

Une entité coor­di­na­trice de haut niveau doit faire appli­quer à tous les acteurs une poli­tique de sécu­rité définie au préal­able. En effet, quand des modes opéra­toires de défense sont effec­tive­ment util­isés, il faut que les respon­s­abil­ités soient claires à tout moment entre les acteurs. Dans les actions de défense, il faut bien dis­tinguer : la con­nais­sance des chemins d’entrée des attaques ; la sur­veil­lance, pour détecter et iden­ti­fi­er rapi­de­ment attaquants et attaques ; les mis­es à jour des sys­tèmes attaqués par des cor­rec­tifs de logi­ciel (patch­es) ; et les actions de parade, elles-mêmes, inclu­ant l’annihilation des attaques et de leurs conséquences.

Ces actions de défense ont des réper­cus­sions sur l’organisation et la ges­tion des sys­tèmes, et néces­si­tent la mise en place de ressources humaines dignes de con­fi­ance et com­pé­tentes dans les dernières tech­nolo­gies, inclu­ant des hack­ers pro­fes­sion­nels inven­tifs, et col­lab­o­rant au mieux avec leurs col­lègues des organ­ismes de cyber­sécu­rité des pays amis.

Quelques recommandations

In fine, l’AAE exprime qua­torze recom­man­da­tions. Par­mi ces qua­torze recom­man­da­tions, trois ont été classées « essentielles » :

Recom­man­da­tion R11 : Tous les acteurs cer­ti­fiés du trans­port aérien doivent avoir l’obligation de déc­la­ra­tion, de partage, puis de traite­ment sys­té­ma­tique des cyber-incidents.

Recom­man­da­tion R12 : Il est urgent de dévelop­per un cadre régle­men­taire mon­di­al et har­mon­isé de la cyber­sécu­rité de l’aviation.

Recom­man­da­tion R14 : L’Organisation de l’aviation civile inter­na­tionale doit être leader et coor­don­ner au niveau mon­di­al toutes les activ­ités con­tribuant à ren­forcer la cyber­sécu­rité dans l’aviation civile.

Pour lire le dossier com­plet de l’AAE en ligne : https://academieairespace.com/publications/les-dossiers/dossier-n-45-cybermenaces-visant-le-transport-aerien/

---

Articles similaires :

Gou­ver­nance de l’Internet et gou­ver­nance sur l’Internet Dévelop­per une indus­trie française et européenne de confiance Sécu­rité des sys­tèmes d’information : la néces­saire clar­i­fi­ca­tion des rôles La sécu­rité de l’internet des objets industriels Cyber et sys­tèmes d’information de san­té : le cas du Ser­vice de san­té des armées Cyber et domotique