Cyberespace : une intersection redoutable ?

Enfin, le sabotage par rançongiciel ou déni de service (DDoS) aurait de graves conséquences : perte de contrôle du satellite, destruction. Ces attaques par chaîne de frappe (kill chain) ont pour origine l’ingénierie sociale, débutent par des campagnes d’hameçonnage (phishing) et exploitent les éventuelles failles des comptes informatiques. En effet, elles soulignent la criticité des opérateurs du segment sol dans les centres de contrôle satellitaire, chargés de la télémétrie et du pilotage orbital. Ainsi, après la prise de contrôle par des hackers d’un satellite de NASA en 2008, puis le contournement de la cryptographie quantique des nouveaux satellites russes et chinois, Kaspersky indiquait en 2019 que les attaques par déni de service visant les communications satellitaires étaient en hausse de 193 %.

Des acteurs inégalement investis dans la réponse aux menaces cybernétiques
Paradoxalement, la prise en compte des risques cybernétiques sur les infrastructures spatiales par les acteurs étatiques et non étatiques est relativement récente au vu des 113 piratages majeurs de satellites identifiés depuis 1957 (7). D’où provient ce réveil des consciences parfois volontairement tardif ? Plusieurs raisons émergent :

• le principe de sécurité par l’obscurité a semblé se suffire à lui-même pendant nombre d’années ;

• la galaxie d’acteurs du domaine spatial limite autant la coordination que la régulation ;

• les efforts gouvernementaux se sont focalisés sur la lutte contre la prolifération des armes cinétiques dans l’espace plus que sur les menaces cybernétiques (8) ;

• la rentabilité des COTS satellites, pions de base des nouvelles constellations de satellites, n’est pas toujours compatible avec une conception nativement durcie (security by design), indispensable contre les hackers.

Cependant, le réveil ne sonne pas pour tous à la même heure. Par exemple, la National Space Policy britannique (2015), de même que le Space Industry Act (2018), ne mentionne que des « malicious counter-­space technologies » (« technologies anti-­espace malveillantes ») sans user une seule fois du préfixe cyber. Les États agissent plus concrètement à l’échelle européenne. Dotant l’Agence spatiale européenne (ESA) d’un budget en très nette hausse (14,4 milliards d’euros contre 10 milliards en 2016), la réunion interministérielle Space19+ a de même décidé la création de nouveaux outils : un centre d’excellence de la sécurité spatiale (9) et un centre des opérations de sécurité dans l’espace (10). Tous deux seront basés au sein du Centre européen de sécurité et d’éducation spatiales de l’ESA en Belgique (ESEC de Redu, opérationnel en 2022), dont l’objectif est de développer des connaissances en matière de sensibilisation, de détection, d’enquête et de réponse pour contrer les cyberattaques spécifiques aux systèmes spatiaux (11).

Outre-Atlantique, la Maison-­Blanche a publié en 2020 un mémorandum sur la cybersécurité de ses systèmes spatiaux (12). Combinant les directives de la stratégie de sécurité nationale (13) (2017) et de la cyberstratégie nationale (14) (2018), cet ensemble de bonnes pratiques n’a pas de valeur contraignante. Toutefois, il souligne l’importance du partage de l’information en s’appuyant sur le centre d’analyse et de partage de l’information spatiale (15) créé en 2019, tout en insistant sur l’impérieuse nécessité de la conception nativement durcie, afin de penser la cybersécurité en amont des programmes spatiaux.

Dans le cadre des activités spatiales relevant de la sécurité nationale, cette conception nativement durcie s’appuie notamment sur la Committee on National Security Systems Policy 12 (CNSSP‑12). La mise à jour de cette dernière était jusqu’à présent de la seule responsabilité du gouvernement américain. Il a depuis peu mis en place le groupe de travail sur la sécurité informatique de l’espace commercial (16) afin que les opérateurs commerciaux s’impliquent davantage dans ce domaine. Le manque d’investissement par les opérateurs privés est en effet déploré par l’Institut national des normes et de la technologie (17) qui, en relation avec le Département de la Défense, participe à l’élaboration du cadre sécuritaire des programmes spatiaux (18).
Ainsi, les États-Unis semblent se mettre en ordre de bataille, même s’ils n’en demeurent pas moins « les meilleurs parmi les pires » («  the best among the worst (19) ») pour nombre de chercheurs. D’autres acteurs majeurs de l’espace ont aussi investi le champ de la cybersécurité spatiale : le satellite chinois Micius et sa cryptologie quantique en sont un exemple, tandis que la Russie a fait de ses systèmes SCADA (20) non connectés la base de sa sécurité, notamment spatiale (21).

La posture française

Ambitionnant d’être « la troisième puissance spatiale mondiale (22) », la France est concernée au tout premier chef par la sécurité de l’espace : celui-ci est « un enjeu majeur, une priorité absolue (23) » pour la ministre des Armées. L’approche (qualifiée d’espionnage par la ministre) du satellite franco-italien ATHENA-FIDUS (permettant des communications militaires sécurisées) par le satellite russe Luch Olymp semble avoir été un révélateur des menaces pesant sur l’espace extra-­atmosphérique. De fait, le programme d’armement « Maîtrise de l’espace » intégrera deux volets : la surveillance et la défense active. Il s’agit notamment de renouveler les satellites français d’observation CSO et de communication SYRACUSE, de lancer des satellites d’écoute électromagnétique (CERES), de moderniser le radar de surveillance spatiale GRAVES, d’équiper les futurs satellites de caméras ou encore de lancer des nanosatellites patrouilleurs potentiellement dotés de capacités offensives telles que des lasers de puissance.

Ce programme ambitieux permet à la France de compter sur une constellation de satellites régaliens. Toutefois, dans le cadre de systèmes toujours plus connectés, le nombre croissant de satellites va mécaniquement augmenter la surface d’exposition aux cyberattaques. Que se passerait-il si, par exemple, un groupe de hackers prenait le contrôle d’un nanosatellite patrouilleur pour le transformer en engin de destruction ?

En 2019, pour répondre à ces enjeux, le ministère des Armées a dévoilé une stratégie spatiale de défense. Cette stratégie considère notamment les menaces cybernétiques pouvant « cibler indifféremment les segments sol, de communication et spatiaux, ou les parties logicielles associées (24) ». Outre la création du grand commandement de l’espace, placé sous l’autorité de l’armée de l’Air, devenue en conséquence armée de l’Air et de l’Espace, notons également la montée en puissance au sein de l’École de l’air d’un Centre d’excellence en cyberdéfense (CEC). Ses missions sont la formation (lancement d’une chaire de recherche et d’enseignement consacrée au champ de la cyberdéfense et de la cybersécurité en milieu aérospatial), l’innovation, en partenariat avec le ministère des Armées et les grands industriels du secteur aérospatial, et le maintien d’un lien étroit avec les acteurs opérationnels de la cyberdéfense, contribuant au retour d’expérience sur la cybernétique du domaine aérospatial.

Dans le domaine civil, le Centre national d’études spatiales (CNES) a créé en 2016 une communauté d’experts en cybersécurité (COMET CYB), qui cherche à réunir les conditions favorables d’échange et d’innovation en s’appuyant sur les retours d’expérience sur la cybersécurité spatiale. Ainsi, sa conférence de 2021 aura pour thème « enjeux et contraintes de la cybersécurité sur les opérations de lancement ». De même, l’adoption de la directive européenne NIS (sécurité des réseaux et des systèmes d’information), complétée par les travaux de l’ANSSI (Agence nationale de la sécurité des systèmes d’information, membre du groupe d’experts européen œuvrant à la sécurité du système Galileo) pour sa déclinaison française, contribue au renforcement de la cybersécurité et de la coopération des opérateurs de secteurs clés tels que celui de l’espace.

.
Votre panier