Peut-on hacker… les satellites?

En 2019, l’armée française va prendre de nouvelles dimensions. Le 17 janvier dernier, le ministère des Armées a remis au président de la République un rapport, commandé en juillet 2018, sur la défense spatiale et les orientations à suivre sur le sujet. Pour Florence Parly comme pour les auteurs, les parlementaires Olivier Becht (AGIR, centre droite) et Stéphane Trompille (LREM), la situation est claire : la France doit se préparer à la guerre spatiale, en renforçant ses moyens militaires mais aussi en se dotant d’une doctrine à la fois défensive et offensive. Coût estimé des opérations : 2 à 3 milliards d’euros. Le 19 décembre, un lanceur Soyouz mettait en orbite le nouveau satellite d’observation français CSO-1 (Composante Spatiale Optique), premier d’une série de trois, qui remplace l’ancienne génération Helios. Parallèlement, d’ici 2025, l’armée renouvellera l’ensemble du matériel spatial français, pour un coût de 3,6 milliards d’euros.

Une vue d’artiste du satellite CSO/MUSIS. // Source : © CNES/Mira Productions/PAROT Rémy, 2018

Quelques jours plus tard, le 22 janvier, la ministre des Armées dévoilait également la nouvelle doctrine militaire cyber du pays, faisant la part belle à l’offensive.  Comme prévu par la loi de Programmation militaire (entrée en vigueur au 1^er janvier), la France se dotera de 4000 cyber-combattants et investira 1,6 milliard d’euros dans les six ans pour s’imposer sur le terrain de la cyberguerre. Le ministère des Armées l’a compris, jusque dans la course aux armements, l’espace et le cyberespace sont intimement mêlés. La démonstration a été brutale : le 11 septembre 2018, Florence Parly révélait que le satellite russe Luch-Olymp avait approché « un peu trop près » Athena-Fidus, un satellite géré conjointement par la France et l’Italie, lancé en 2014 et dédié aux communications militaires sécurisées.

Le 11 septembre 2018, Florence Parly révélait que le satellite russe Luch-Olymp avait approché « un peu trop près » un satellite géré par la France et l’Italie

« Tenter d’écouter vos voisins n’est pas seulement inamical, cela s’appelle un acte d’espionnage », déclarait alors Florence Parly en précisant que la France avait « pris les mesures qui s’imposaient ». Selon la ministre, Luch-Olymp aurait ensuite tenté de s’approcher d’autres satellites en orbite. « Non, l’espionnage et les actes offensifs, ça n’arrive pas qu’aux autres. Oui, nous sommes en danger, nos communications, nos manœuvres militaires comme nos quotidiens sont en danger si nous ne réagissons pas », concluait alors Florence Parly. Depuis, la France a bel et bien réagi en se lançant officiellement dans l’arène de la cyberguerre spatiale.

La croissance au détriment de la sécurité

Pour nous autres terriens, à première vue, l’espace n’apparaît pas comme un enjeu guerrier majeur. Et pourtant : actuellement, 1958 satellites sont en orbite (et en activité) autour de la Terre, et en visualisation interactive c’est plus impressionnant encore. La majorité de ceux-ci est utilisée pour les réseaux de télécommunications. Le reste est réparti entre le réseau Global Navigation Satellite System (GNSS, qui englobe le système GPS) , les programmes de surveillance du climat, les réseaux de satellites météorologiques et les appareils de surveillance et de communication militaire. Les bourses mondiales sont synchronisées grâce à eux. Le transport maritime et aérien en dépend. Et cette dépendance s’accroît : en 2016, selon le rapport annuel de l’Association de l’industrie du satellite (SIA), le marché représentait 268 milliards de dollars. Le marché a doublé en dix ans, et il n’y a jamais eu autant d’appareils en orbite basse et/ou géostationnaire.

Le site Stuffin.space permet d’afficher une représentation en 3D des milliers de satellites en orbite autour de la Terre. Les points rouges sont des satellites tandis que les points bleus sont des débris de fusées de lancement.

Malgré l’embouteillage au-dessus de nos têtes, la cybersécurité des satellites est restée longtemps sous-évaluée, voire ignorée, autant par le secteur privé que par les agences gouvernementales (excepté, forcément, pour la conception des satellites-espions). Les satellites sont pourtant aussi vulnérables que n’importe quel appareil informatique connecté. En septembre 2016, le think-tank britannique Chatham House publiait un rapport explosif sur l’état du matériel orbital. Patricia Lewis, directrice de recherche du think-tank, affirmait alors à Wired qu’« une grande partie de l’infrastructure est là-haut sans qu’on puisse faire quoi que ce soit – ce sont des technologies très anciennes, et aucune protection cyber n’y a été incluse  ». En avril et juillet dernier, deux autres rapports sur l’état de la cybersécurité spatiale, publiés par les think tanks américains Belfer Center et  Council of Foreign Relations (CFR), soulignaient à leur tour l’attentisme des régulateurs et des fabricants. Étrangement, les experts en cybersécurité réquisitionnés lors du dernier forum de l’industrie, en juin dernier, estiment quant à eux qu’elle s’en sort « étonnamment bien ». C’est vrai, l’espace n’a pas encore connu son 11-septembre cyber.

Un test de rotation vertical du satellite météorologique GOES-R, en 2016. // Source : NOAA Photo Library via Flickr

Le brouillage de signal, rien de plus simple

Si aucune catastrophe majeure n’est encore à déplorer, l’orbite terrestre est sans aucun doute un théâtre de la cyberguerre. En juin dernier, Symantec révélait qu’un groupe chinois, baptisé Thrip, avait tenté d’infecter un satellite de communications, ainsi qu’une entreprise d’imagerie géospatiale et de cartographie. En 2015, un groupe russe, Turla, avait quant à lui pris le contrôle d’un satellite pour infecter indirectement les ordinateurs de ses cibles, armé d’une simple parabole. Hacker un satellite est relativement aisé : la majorité d’entre eux sont de simples relais d’ondes radio. Le plus gros risque réside donc dans le brouillage ou l’écoute de leur signal, et un petit logiciel à 25 dollars comme SkyGrabber suffit parfois à intercepter le flux vidéo de drones militaires américains…

Côté brouillage, la Russie, la Chine ou le Japon développent actuellement des appareils prévus pour le faire depuis l’espace, mais la Corée du Nord prouvait encore en 2016 que déjà depuis la terre, des brouillages (des signaux GPS dans ce cas précis) sont possibles. En 2012, les pays touchés par le printemps arabe en faisaient régulièrement usage et l’Iran assure en être régulièrement victime.Reste le motif de propagande idéologique  : en 2007, les Tigres tamouls inaugurent la pratique en brouillant le signal d’un satellite américain, opéré par Intelstat, pour le remplacer par leurs propres émissions.

Un PSMA (Poste de Secours Medical Avance) déployé en Guyane lors d’une simulation de crash aérien en zone difficile. Un matériel médical d’urgence permettant de faire un premier état des lieux et de déployer un réseau de communication sécurisé,  via des satellites, sur site et avec des centres distants décisionnels. // Source : © CNES/ESA/Arianespace/GUILLON Jean-Michel, 2008

Au-delà du brouillage, des vulnérabilités plus profondes et plus inquiétantes ont été mises à jour. Certains parcs satellites vieillissants étaient par exemple si faciles à écouter qu’en 2015, la conférence de hackers Chaos Communication Camp démontrait que n’importe qui doté d’une antenne et d’un petit logiciel pouvait écouter les satellites de l’entreprise de télécoms Iridium… avec les badges d’accès à la conférence, de marque Rad1o (depuis, Iridium a mis à jour sa flotte).  Et les failles ne se limitent pas au secteur commercial. En 2014, la National Oceanic and Atmospheric Administration (NOAA) américaine révélait que les bases terrestres du Joint Polar Satellite System’s (JPSS), qui reçoivent les données des satellites placés en orbite aux pôles, étaient exposées aux attaques. La même année, près de 10 000 terminaux à très petite ouverture (VSAT), des antennes au sol utilisées par l’armée américaine pour communiquer, étaient accessibles via le mot de passe par défaut. Idem pour le système SATCOM, largement utilisé dans l’aviation civile et militaire, épinglé à deux reprises, en 2014 et 2018, par la firme IOActive.

Lors de sa dernière intervention, le chercheur Ruben Santamarta d’IOActive, spécialiste des vulnérabilités des infrastructures critiques, expliquait qu’il était même possible de repositionner une antenne satellite pour mener une « attaque de radio fréquence à haute intensité »  capable de griller les systèmes électriques au sol. Un peu comme dans Meurs un autre jour, sans les jeux de lumière.

Légalement, la cyberattaque spatiale est une zone grise

Pour anticiper la multiplication exponentielle du nombre d’appareils en orbite, puisque la tendance est désormais au déploiement de flottes de mini-satellites CubeSats (le 4 décembre, SpaceX en plaçait 64 sur orbite simultanément), agences spatiales nationales et fabricants ont pris les réflexes d’une bonne cyber-hygiène : formation du personnel, coopération public-privé, surveillance des menaces, mises à jour régulières des systèmes… La Chine a déjà testé un satellite de communication au protocole de chiffrement quantique, théoriquement indéchiffrable. En janvier 2018, le Luxembourg lançait GovSat-1, un satellite de communication décrit comme « hautement sécurisé ». L’américain Eutelsat prépare une nouvelle génération de satellites, Quantum, pour cette année.

Des ingénieurs testant le système d’un satellite GOES-R, en 2014. // Source : NOAA Satellites via flickr

Depuis 2017, l’OTAN investit 3 milliards de dollars dans sa cyberdéfense spatiale. La Nasa met à jour ses flottes de satellites. L’agence spatiale européenne (Esa) sous-traite à Leonardo la protection du système de navigation Galileo (Thales sécurise les installations au sol) et prépare l’avenir du de la transmission (et du chiffrement) des données satellitaires avec un consortium dirigé par SES. L’industrie, dans son ensemble, a reçu le message : l’orbite terrestre n’est plus un endroit sûr.

L’industrie, dans son ensemble, a reçu le message : l’orbite terrestre n’est plus un endroit sûr.

Reste néanmoins un problème de taille : la faiblesse, voire l’absence de cadre légal encadrant la cyberguerre spatiale. Le « traité de l’espace » des Nations Unies, signé en 1967 ambitionnait de maintenir la paix et la coopération internationale au-delà des frontières terrestres, mais les États-Unis l’ont rendu caduc et considèrent désormais le cosmos comme une « zone de guerre ». Le comité de désarmement des Nations Unies (CICR) planche sur un traité spécifique, mais ses propositions sont encore en discussion. Ni le groupe d’experts gouvernementaux (GEG) sur l’espace, ni celui sur le cyberespace n’ont intégré la question à leurs agendas respectifs.  Le Code de conduite des activités spatiales de l’Union européenne fait l’impasse sur la sécurité de l’information. Tandis que la course aux armements spatiaux redouble d’intensité, la coopération internationale est au point mort.

Préparation du satellite Athena Fidus au centre spatial guyanais avant son lancement, en 2014. Athena Fidus fournit des services de télécommunications aux forces militaires et aux Securites Civiles française et italienne. // Source : © CNES/ESA/Arianespace/Optique Vidéo CSG, 2014

Seul reste l’article 51 de la Charte, qui protège la réponse militaire d’un État-nation envers un autre dans le seul cadre de la « légitime défense », une notion particulièrement ouverte à l’interprétation dans le scénario d’une attaque informatique. L’intersection de cyberespace et de l’espace orbital est une zone grise, ce qui explique pourquoi tout le monde – y compris la France – peut se permettre d’y apparaître offensif. Longtemps, les puissances militaires se sont abstenues de le faire, préférant à l’escalade de l’armement de fréquentes et subreptices escarmouches ; avec l’entrée de la Chine sur le plateau de jeu, la subtilité n’est plus à l’ordre du jour. Au-delà du renforcement des protocoles de cybersécurité des satellites, ce qui manque cruellement à l’orbite terrestre, c’est un cadre légal multilatéral contraignant pour réguler la piraterie informatique spatiale.