Sécurité des systèmes d’information navals

Menace cyber

Le 20e siècle a connu un essor important des technologies numériques. D’abord exploitées pour leur efficience à réaliser des tâches requérant une automatisation des moyens de calcul, elles ont aussi amené de nouveaux usages notamment grâce à l’ajout d’interfaces de communications standardisées et peu chères (Atzori et al., 2010). Toutefois, la prolifération massive de ces technologies a engendré de nouveaux risques pour la sécurité de leurs usagers, des équipements et des données. En effet, les outils numériques n’ont pas toujours été conçus en prenant en compte la malveillance possible d’un ou plusieurs utilisateurs. De plus, leur mise en réseau massive expose désormais ces outils numériques à des menaces mondiales; par opposition aux menaces physiques  qui sont plutôt locales, c’est-à-dire que l’attaquant a un accès direct à sa cible. Encouragés par cette déformation des distances et l’anonymat relatif qu’elle procure, les attaques utilisant les technologies numériques ont connu une importante évolution tant en volume qu’en sophistication (Choo, 2011).

Dans ce travail, nous considérons comme étant un attaquant toute entité ayant des intentions malveillantes à l’égard d’un système d’information. Qu’il s’agisse de groupes ou d’individus isolés, les attaquants sont le plus souvent motivés par des raisons idéologiques ou financières. Les activistes (ou hacktivistes) cherchent à perturber les activités ou entacher la réputation de leur cible (ANSSI, 2017). Les criminels recherchent le gain financier en rançonnant leurs victimes ou en revendant les données dérobées (e.g. espionnage industriel) (Mohurle et Patil, 2017). Les états s’espionnent (Langner, 2011) ou cherchent à bouleverser l’équilibre politique (Untersinger, 2017). Quelques soient leurs motivations, les attaquants potentiels disposent de plus en plus de moyens techniques, financiers et humains pour arriver à leurs fins .

Techniquement, une attaque est une action ou une suite d’actions qui consiste à exploiter une ou plusieurs vulnérabilités du système ciblé afin d’en perturber le fonctionnement. Cette perturbation altère la confidentialité, l’intégrité, la disponibilité voire la traçabilité de l’information manipulée par le système (Disterer, 2013). Selon la complexité de l’attaque et les défenses mises en œuvre, différents moyens peuvent être utilisés parmi lesquels :
• Attaques matérielles : elles ciblent directement le composant physique et ont pour but principal l’extraction d’informations sensibles. Ces attaques sont spécifiques à une plateforme donnée et peuvent se révéler onéreuses. Exemples : Attaques par canaux cachés (Kocher et al., 1999 ; Genkin et al., 2014), démarrage à froid (Yitbarek et al., 2017), attaques ciblant les réseaux sans-fils (Juels, 2006 ; Shiu et al., 2011).
• Attaques logicielles : elles ciblent les vulnérabilités résultant de la conception du programme. Ces vulnérabilités sont dues à une mauvaise programmation (e.g. utilisation de fonctions non sécurisées) ou une sousutilisation des options de sécurité du compilateur (ASLR, stack protector). Exemples : injection de code (Halfond et al., 2006), dépassement de tampon, XSS/CSRF.
• Attaques réseau : elles exploitent les failles dans la conception des protocoles. Nous regroupons sous cette appellation les attaques qui détournent la sémantique du protocole autant que celles qui utilisent le séquencement des actions permises par celui-ci. Exemples : DNS/IP spoofing (Ehrenkranz et Li, 2009), Homme du milieu, Déni de service (Srivastava et al., 2011)
• Attaques cryptographiques : elles ciblent directement les primitives cryptographiques utilisées (Boneh, 1999).
• Ingénierie sociale : elles exploitent des biais du comportement humain. Elles ne sont pas directement considérées comme des cyberattaques mais sont souvent employées pour faciliter une intrusion. Exemples : hameçonnage, biais cognitifs, point d’eau, typosquatting.

Enfin, selon les objectifs de l’attaquant, ses actions peuvent être ciblées ou non (BIMCO et al., 2016). Par exemple, une attaque par point d’eau ou par hameçonnage s’adressent à un nombre de cibles le plus important possible afin d’en maximiser la portée. Au contraire, les attaques ciblées nécessitent plus d’investissement financier et humain pour produire des effets. Ces attaques sont toutefois plus difficiles à détecter car elles sont spécifiques à la cible : le contournement de ses moyens de défense est inclus dans la méthodologie de l’attaquant. Une attaque ciblée nécessite de contourner plusieurs protections. La méthodologie poursuivie par l’attaquant peut alors se résumer selon la cyber killchain (Yadav et Rao, 2015) :
1. Reconnaissance : l’attaquant s’informe sur sa cible afin de déterminer les vulnérabilités exploitables.
2. Armement : L’attaquant prépare une arme qui exploite les vulnérabilités découvertes.
3. Livraison : L’attaquant envoie son arme à l’environnement ciblé.
4. Exploitation : L’arme se déclenche sur le système cible et exploite les vulnérabilités.
5. Installation : L’attaquant prend possession du système et s’octroie des accès durables.
6. Contrôle : L’attaquant met en place un accès privilégié vers un système sous son contrôle pour envoyer des commandes ou stocker les information exfiltrées.
7. Action : L’attaquant réalise son objectif (e.g. exfiltration de données, destruction du système, effacement de traces, etc.) .

D’autres méthodologies existent mais reposent également sur les phases de reconnaissance-armement, de livraison de la charge, de l’implantation dans le système puis de la réalisation de l’attaque proprement dite (BIMCO et al., 2016). Sans prétendre à l’exhaustivité, cette section a présenté une liste des motivations et moyens d’une entité cherchant à compromettre un système d’information. Les propos développés dans cette section ne sont pas spécifiques au domaine maritime. En effet, les motivations d’un attaquant ne dépendent que de lui-même. La concrétisation de ses objectifs est quant à elle dépendante des caractéristiques de la cible. C’est l’objet de la section suivante qui expose la surface d’attaque des infrastructures du domaine maritime, en particulier les navires

Systèmes navals

Le domaine maritime n’a pas échappé à la numérisation mais a accordé peu d’attention à l’aspect sécurité (Cimpean et al., 2011). Le tableau 1.1 montre les menaces pouvant peser sur les systèmes d’information dans le domaine maritime. Ces menaces peuvent se décomposer en trois grands axes selon les cibles (Bothur et al., 2017) : les systèmes industriels et automates embarqués, les infrastructures portuaires ainsi que les systèmes liés à la navigation, à son contrôle et à la sécurité nautique, avec des vulnérabilités particulières autour du système de positionnement GPS et de l’Automatic Identification System (AIS). Chaque cible comporte des contraintes spécifiques qui rendent parfois difficiles la mise en œuvre d’outils classiques de sécurité. Par exemple, les systèmes industriels embarqués sur les navires sont soumis à de fortes contraintes de disponibilité, voire de performance. En effet, les automates industriels sont chargés d’assurer la régulation des processus, l’acquisition et le traitement de données ainsi que le contrôle des équipements physiques (e.g. valves, pompes, turbines, etc.) (ANSSI, 2015). Selon les fonctions assurées par l’automate, son dysfonctionnement peut entraîner la perte du contrôle de la propulsion, de l’énergie voire du système de combat dans le cas d’un navire militaire. Du fait des fortes contraintes de disponibilité imposées par ces systèmes, les dispositifs de sécurité intégrés doivent répondre aux mêmes contraintes, y compris lorsque l’automate doit répondre dans un temps donné (e.g. commande de refroidissement du moteur). Par conséquent, les dispositifs classiques de sécurité ne peuvent pas toujours être utilisés. Il convient alors d’assurer une défense à la périphérie de ces systèmes industriels.

De plus, ces derniers sont parfois soumis à des conditions extrêmes de fonctionnement (températures, poussières, vibrations). Afin de réduire les risques liés à une intervention humaine et de faciliter leur administration, celle-ci est parfois réalisée par un opérateur distant : un moteur à fond de cale n’est pas facilement accessible mais nécessite une supervision régulière du fait de son importance critique pour le bon fonctionnement du navire. Enfin, les navires ont souvent une très longue durée de vie pouvant atteindre plusieurs dizaines d’années. De ce fait, en l’absence de mises à jour, les logiciels utilisés deviennent rapidement obsolètes au regard de l’évolution des technologies de l’information. Pour des raisons de stabilité puis de compatibilité, les logiciels embarqués sont peu mis à jour (e.g. présence durable de Windows XP). Au contraire, l’écosystème numérique se renouvelle très rapidement ce qui conduit à des incidents tels que celui subi par l’armateur Maersk, victime d’un rançongiciel ciblant des machines Windows non mises à jour. Les systèmes industriels embarqués posent de nombreux défis techniques du point de vue de la sécurisation des navires mais ce ne sont pas les seuls : les systèmes de navigation sont également vulnérables (Schmidt et al., 2016). Le système de navigation permet au navire de se mouvoir en mer sur la base d’informations fournies par les capteurs. La plupart des informations acquises par le système de navigation sont ensuite diffusées au sein du système. Par exemple, la mesure du temps à partir des horloges des satellites du système GPS sert de référence au reste des équipements du navire. Ces équipements (GPS, AIS, . . .) n’ont cependant pas été conçus en tenant compte des possibilités de malversations et leurs informations ont été prouvées falsifiables à peu de frais (Balduzzi et al., 2014). Par ailleurs, la mise à jour des logiciels de passerelle, quand ceux-ci ne sont pas reliés à un réseau, est réalisée via des médias amovibles provenant de réseaux parfois non contrôlés (e.g. prestataire externe) (BIMCO et al., 2016). En conséquence, du fait de leur rôle prépondérant au sein des navires, les systèmes de navigation constituent des cibles de choix pour des pirates et ce d’autant plus qu’il n’offrent peu ou pas de protection contre les malversations dont il pourraient être victimes. Enfin, les infrastructures portuaires posent également de multiples défis concernant leur sécurité ainsi que celle des navires. En effet, le navire n’est plus seul, isolé en pleine mer, mais reste en contact régulier avec de multiples acteurs du monde maritime (Fitton et al., 2015). L’information circule au travers de multiples canaux ayant chacun ses spécificités en termes d’accessibilité, de fiabilité et de sécurité. Par exemple, un câble sous-marin est moins sujet aux altérations de l’information qu’une liaison satellite mais il est plus difficile de relier un navire à un câble que d’établir une connexion satellite. Au contraire, les sites terrestres privilégient les communications par câble pour leur fiabilité. Tous les acteurs échangent donc de l’information au travers de divers moyens de communication, chacun disposant de ses propres vulnérabilités. Cette forte hétérogénéité des moyens de communications est combinée à un nombre élevé d’acteurs interagissant simultanément, notamment dans les ports (e.g. chargement/déchargement, mise à quai, transport de containers). Dans ces conditions, il devient difficile de déterminer d’où provient une information et donc a fortiori de lui faire confiance. Chaque acteur manipulant une information possède en effet des vulnérabilités qui lui sont spécifiques ainsi que sa propre politique de sécurité associée (Tam et Jones, 2018) ; au sein d’un système, une politique de sécurité spécifie qui doit accéder à quoi et dans quelles circonstances (Dacier, 1994). Chacun est donc soumis à diverses menaces qui peuvent altérer ses informations qui sont ensuite diffusées aux acteurs à proximité. À chaque étape de son acheminement, vers le navire dans notre contexte, l’information est donc soumise à une multitude de risques menaçant son intégrité, ce qui remet en cause la confiance que l’on peut lui accorder. Qu’il soit à terre pour gérer les marchandises et la mise à quai des navires ou embarqué en tant que membre d’équipage ou touriste en croisière, l’humain est partie prenante dans la sécurité du navire. En effet, il produit, traite et consomme de l’information au même titre que les autres éléments du navire. La formation de l’équipage à la gestion des incidents liés aux technologies  est donc primordiale afin d’assurer la sécurité du navire. De plus, l’automatisation des navires modernes réduit la taille des équipages et augmente donc la responsabilité de chacun de leurs membres. Un incident de sécurité est le signe d’une défaillance des moyens (automatisés) de protection et demande donc une importante contribution humaine pour être traité. Par conséquent, la formation en cybersécurité des personnes devient d’autant plus nécessaire au regard de leur rôle prépondérant dans la gestion des cyber-risques. Outre les erreurs (non intentionnelles) du personnel naviguant, ceux-ci peuvent également délibérément porter atteinte à la sécurité du système en ignorant la politique de sécurité (non-malveillance) ou en y contrevenant directement dans l’intention de nuire (Arduin, 2018). L’humain fait donc partie intégrante du système d’information du navire et doit à ce titre être pris en compte lors de l’élaboration de systèmes de sécurité.

Table des matières

Introduction générale
1 Sécurité des systèmes d’information navals
1.1 Menace cyber
1.2 Systèmes navals
1.3 Typologie des moyens de sécurisation
1.3.1 Identifier
1.3.2 Protéger
1.3.3 Détecter
1.3.4 Répondre & Récupérer
1.4 Détection d’attaques cyber : cas des systèmes navals
2 La confiance : définitions et modélisations
2.1 Une notion complexe
2.1.1 Un concept économique
2.1.2 Un concept social
2.1.3 Confiance et réseaux informatisés
2.1.4 Gestion de confiance dans les systèmes d’information
2.2 Modéliser et mesurer la confiance
2.2.1 Modèles de confiance
2.2.2 Mesures
2.2.3 Propagation
2.3 Discussion
3 Modélisation pour la sécurité d’un système d’information
3.1 Systèmes d’information et complexité
3.1.1 Modéliser un système d’information : pré-requis
3.1.2 Caractérisation des systèmes complexes
3.1.3 Principes de modélisation des systèmes complexes
3.2 Modélisation d’un système d’information
4 Modéliser et mesurer la confiance au sein d’un système d’information
4.1 Modélisation de la confiance
4.1.1 Compétence
4.1.2 Sincérité
4.1.3 Risque et connaissance
4.2 Mesures de la confiance
4.2.1 Mesurer la compétence des sources
4.2.2 Mesurer la sincérité des sources
4.2.3 Mesurer la confiance des sources
4.3 Propagation de confiance dans un système d’information
4.3.1 Propagation horizontale
4.3.2 Propagation verticale
4.4 Discussion
5 Simulations et expérimentations
5.1 Conception d’un simulateur
5.1.1 Conception d’un système d’information de scénarisation de données et d’évaluation de la confiance
5.1.2 Implémentation
5.2 Expérimentations
5.2.1 Scénarios
5.2.2 Résultats
5.3 Discussion
Conclusion

Télécharger le rapport complet