Entretien avec Yvon Kermarrec, Directeur de la Chaire Cyber Sécurité Navale : Protéger les navires contre les pirates des temps modernes

30 May 2018
#interview, #cybersecurite, #maritime

Longtemps considérée comme accessoire, la cybersécurité des systèmes navals prend de l’importance depuis quelques années. Les navires ne sont plus perçus à tort comme des objets isolés en mer, protégés de fait de toute attaque informatique. Yvon Kermarrec, chercheur en informatique à IMT Atlantique, dirige une chaire de recherche sur la thématique de la cybersécurité en partenariat avec l’École navale, Thales et Naval Group. Il détaille pour nous les cyber-risques qui touchent les navires militaires et civils, ainsi que les approches adoptées pour s’en protéger.

Les navires sont-ils autant vulnérables aux attaques informatiques que d’autres systèmes ?

Yvon Kermarrec : Les navires ne sont plus isolés, même au milieu de l’océan Atlantique. Les bateaux de commerce communiquent beaucoup, avec des ports, les autorités ou des centres météo par exemple. Ils doivent se tenir informés sur les courants, les conditions climatiques, la position des icebergs… Ils doivent aussi informer les armateurs et les ports d’arrivée lorsqu’ils ont des retards. Pour les navires militaires, il faut ajouter les communications afin de coordonner les opérations avec les autres bâtiments navals, les avions de chasse, les centres de commandements… Il y a donc de nombreux flux de données qui circulent depuis un bateau et vers celui-ci. Et ces flux sont autant vulnérables que ceux qui connectent une voiture intelligente à son infrastructure, ou un ordinateur à son réseau.

Quelles sont les risques d’une cyberattaque sur un bateau ?

YK : Les cyberattaques sont nombreuses. Par exemple, le logiciel de combat d’une frégate militaire compte plusieurs millions de lignes de code, sans compter les systèmes de contrôle et de gestion du bateau lui-même — de ses moteurs et de sa direction, en particulier. Parmi les attaques, le pirate peut altérer les cartes numériques utilisées pour la navigation ou des données GPS pour tromper le capitaine sur la position de son bateau. Cela peut conduire à perdre le navire en mer ou à le faire échouer en le dirigeant vers un écueil ou un récif. C’est une technique qui peut intéresser des pirates souhaitant récupérer la marchandise d’un porte-container. Il est aussi possible d’attaquer les commandes du moteur et d’exécuter des manœuvres à pleine vitesse qui vont détruire la propulsion, et pousser le bateau à la dérive. Enfin, on peut imaginer aussi d’exécuter l’ouverture d’une porte d’un ferry alors qu’il est au large, ce qui va conduire à une voie d’eau importante, et potentiellement au naufrage.

À quoi ressemblent les attaques informatiques d’un bateau ?

YK : Elles peuvent être génériques, c’est-à-dire des attaques de masse qui ne visent pas spécifiquement le bateau mais qui vont l’impacter. Il va s’agir par exemple de phishing par mail qui va conduire un employé à bord ou un touriste sur un navire de croisière à ouvrir un mail qui contient un virus. Celui-ci va se propager dans le système informatique du bateau. Rien n’empêche d’avoir un rançongiciel [ou ransomware] à bord, bloquant tous les ordinateurs de bord et exigeant une rançon en échange du déblocage. Et puis les attaques peuvent aussi être spécifiques. Un criminel se débrouille pour installer un logiciel espion à bord, ou pour convaincre un opérateur de bord de le faire. Ce logiciel peut alors espionner, contrôler les équipements et transmettre des informations sensibles : les positions du bateau, ses actions… Parvenir à installer un tel logiciel sur un bâtiment militaire pose de sérieux soucis de sécurité.

Comment détecter toutes ces attaques ?

YK : C’est le gros challenge, et c’est ce qui motive une partie de nos recherches. L’idée est de détecter des anomalies, des choses qui ne devraient pas se passer en temps normal. Nous allons chercher des signes avant-coureurs des attaques. Typiquement sur un ferry en croisière, un message d’ouverture de porte extérieure est anormal. Pour anticiper l’ouverture de la porte, nous essayons de détecter tous les ordres qui vont se placer en amont et analyser le contexte de ces actions.

Une fois que l’attaque est détectée, quelle stratégie adopter ?

YK : Le premier point, c’est d’accepter que le système va être attaqué. Ensuite il faut mesurer l’impact pour faire un état des lieux et éviter de tout arrêter. Tout cette partie est appelée la cyber-résilience : faire en sorte que le maximum de fonctions soient conservées pour limiter les conséquences de l’attaque. Si le système de navigation est touché, comme par exemple les informations GPS, le capitaine doit pouvoir couper cette partie du système et conserver les commandes de pilotage. Certes sans GPS ce n’est pas pratique, mais il y a toujours la possibilité de sortir une carte le temps que le système de navigation soit redémarré ou réinstallé. Dans le cas d’une action sur la porte extérieure du navire en pleine mer, il va plutôt choisir d’arrêter tout le système de contrôle des ouvertures. Et si jamais il faut ouvrir ou fermer d’autres portes, les équipes à bord le feront manuellement. C’est fastidieux, mais bien moins que de devoir faire face à une voie d’eau. Les recherches sur ces thématiques de détection et d’action lors d’attaques consistent à trouver des moyens d’isoler les systèmes entre eux et à assurer que les attaques ne se propagent pas de l’un à l’autre. En parallèle, nous travaillons aussi sur des systèmes de défense par des mécanismes de chiffrement. Dans ce cas nous nous retrouvons dans des problématiques connues et similaires à ce qui est fait dans l’internet des objets pour protéger des objets connectés.

Au final, tout cela est très semblable à ce qui est fait pour des voitures communicantes. Pour autant, ces problématiques sont-elles bien prises en compte dans le milieu marin ?

YK : Elles commencent à faire leur chemin, mais pendant longtemps le bateau était vu comme une petite usine isolée en mer qui ne craignait pas grand-chose sur le plan informatique. L’un des grands enjeux est la sensibilisation. Souvent, la cybersécurité est vue comme une contrainte par les marins. Pour eux, elle se résume à des actions qu’ils ne peuvent pas effectuer. Or nous connaissons tous les limites du modèle de l’interdiction sans explication… Tous les marins et acteurs sont donc concernés et peuvent être impactés individuellement et collectivement.

Qu’est ce qui est fait pour sensibiliser le milieu maritime à ces questions ?

YK : À notre échelle, la chaire de cyber-défense des systèmes navals implique l’École navale et IMT Atlantique. Pour l’École navale, nous avons élaboré un cursus cybersécurité pour les élèves officiers. En présentant des cas d’étude concrets et organisé des travaux pratiques sur les plateformes développées par les doctorants de la chaire. Dans les discussions que nous avons avec des entreprises, nous constatons que les armateurs prennent aujourd’hui le risque cyber très au sérieux. Sur un plan plus global, l’agence nationale de la sécurité des systèmes d’information (ANSSI) et l’organisation maritime internationale (OMI) se sont saisi de la cybersécurité des navires et des infrastructures portuaires. Elles répondent ainsi aux préoccupations grandissantes du secteur maritime civil. Le sujet a vraiment pris un coup d’accélérateur du fait de l’actualité et de la concrétisation des menaces. À présent, les risques informatiques pour les navires sont considérés très sérieusement, car leurs conséquences peuvent impacter fortement les échanges internationaux ou l’environnement. Après tout, c’est quand même le milieu maritime qui a donné naissance au terme de « pirate » et les enjeux et challenges sont considérables pour les personnes et les nations.