Sécurité et fiabilité des communications sol–air en aéronautique
Les communications entre les avions et les stations au sol sont vitales
pour la sûreté des vols. Elles doivent être fiables et résistantes aux
attaques. Pour cela on utilise trois types de solutions : l’authentification
forte des émetteurs/récepteurs, des systèmes de détection et de
prévention d’intrusion (IDS/IPS) adaptés à l’aéronautique, et la redondance
et la résilience des réseaux. Ces mesures garantissent que seuls des
émetteurs connus transmettent des messages légitimes, que les attaques
ou anomalies sont rapidement repérées et bloquées, et que les
communications continuent même en cas de panne.
1. Authentification forte des émetteurs/récepteurs
L’authentification forte vise à vérifier l’identité des équipements qui
envoient ou reçoivent des messages sol–air. Autrement dit, chaque avion
et chaque station au sol doit prouver qu’il est bien celui qu’il prétend être.
Sans cela, un attaquant pourrait usurper l’identité d’un avion ou d’un
contrôleur, en envoyant de fausses consignes. Par exemple, des études
montrent que le protocole CPDLC (liaison de données pilote–contrôleur) «
n’offre pratiquement aucune authentification ni confidentialité ».
Autrement dit, aujourd’hui CPDLC et l’ancien ACARS peuvent être écoutés
et même falsifiés sans difficulté.
Objectif : Empêcher les usurpations d’identité et les messages falsifiés. Un
avion, pour communiquer, doit prouver son identité de manière fiable. Les
stations au sol doivent aussi être authentifiées pour que l’avion sache
qu’elles sont légitimes.
Mécanisme : On utilise des méthodes cryptographiques et parfois des
multiples facteurs. Par exemple :
Certificats et clés cryptographiques : Chaque avion et chaque installation
au sol possède une clé secrète ou un certificat numérique. Lorsqu’un
message est envoyé, il est signé ou chiffré avec cette clé. Le récepteur
vérifie alors la signature ou déchiffre le message pour s’assurer qu’il vient
bien de l’émetteur autorisé.
Authentification mutuelle : Avion et tour de contrôle peuvent procéder à
un échange défi-réponse où chacun prouve son identité à l’autre grâce à
un algorithme de cryptographie (par exemple IPSec). Les tunnels cryptés
(VPN) établis entre avions et centres de contrôle authentifient l’origine de
chaque message et garantissent son intégrité.
Multi-facteurs : Au-delà des clés, des facteurs supplémentaires (jetons
physiques, codes dynamiques, etc.) peuvent renforcer la confiance.
Comme l’explique un rapport sur la cybersécurité aérienne, «
l’authentification forte » (souvent multi-facteurs) vérifie l’identité des
dispositifs, réduisant ainsi les risques de piratage.
Grâce à ces procédés, une station n’acceptera par exemple que les
données signées par la clé d’un avion connu. De même, l’avion
n’exécutera pas d’instruction provenan » d’une source inconnue.
L’authentification forte limite fortement les détournements de
communication, ce qui est crucial pour la sécurité (on évite par exemple
des « faux » ordres de descente ou de déviation).
2. Systèmes de détection et de prévention d’intrusion (IDS/IPS)
Les IDS (Intrusion Detection System) et IPS (Intrusion Prevention System)
sont des systèmes qui surveillent en permanence les flux de
communication pour repérer des comportements anormaux ou
malveillants. Ils sont essentiels pour intercepter les attaques visant les
liaisons sol–air.
Rôle d’un IDS : Il analyse le trafic (messages ACARS, ADS-B, CPDLC…) à la
recherche de modèles suspects ou d’anomalies. Par exemple, un IDS
aéronautique pourrait détecter un message ADS-B falsifié (indiquant une
fausse position d’avion) ou des commandes incorrectes dans le flux
ACARS. Lorsqu’une activité anormale est identifiée, l’IDS alerte
immédiatement les opérateurs. Comme le note un article sur la
cybersécurité aéronautique, « la surveillance continue et les outils de
détection d’intrusions (IDS) jouent un rôle vital » en repérant rapidement
les activités suspectes.
Rôle d’un IPS : C’est un IDS actif qui non seulement détecte les intrusions,
mais bloque aussi automatiquement le trafic malveillant. Il peut, par
exemple, couper instantanément une liaison infectée ou isoler un
émetteur pirate. Les solutions professionnelles adaptent cette idée au
secteur aéronautique : Stormshield décrit des firewalls certifiés haute
disponibilité avec un « système de prévention d’intrusion (IPS) optimisé
pour de faibles latences » afin de ne pas perturber les communications
critiques.
Contexte aéronautique : Les IDS/IPS spécifiques à l’aérien comprennent
souvent des signatures ou modèles du trafic légitime (e.g. format et
rythme normal des trames ADS-B ou ACARS). De plus, ils intègrent des
fonctions avancées comme l’apprentissage automatique pour détecter les
anomalies subtiles dans les données de vol. Par exemple, un IDS sur ADS-B
compare la vitesse ou l’altitude rapportée par un avion à sa trajectoire
réelle ; si un avion « fantôme » apparaît, l’IDS le signalera. Ces systèmes
protègent ainsi les réseaux aéronautiques d’attaques de spoofing,
d’injection de paquets ou de dénis de service.
3. Redondance et résilience des réseaux
La redondance consiste à dupliquer ou multiplier les composantes
critiques d’un réseau pour éviter tout point de défaillance unique. La
résilience est la capacité du système à rester opérationnel malgré des
pannes ou attaques partielles. Dans le contexte aéronautique, ces
principes garantissent que la communication sol–air ne tombe pas en
panne, même en cas de défaillance d’une liaison ou d’une station.
Multiples canaux de communication : Un avion dispose souvent de
plusieurs moyens de liaison (VHF, HF, satellite, datalink ACARS/CPDLC). Si
une liaison est brouillée ou hors service, il bascule automatiquement sur
une autre. Par exemple, les messages importants peuvent être envoyés
simultanément via un canal HF en secours d’un canal VHF. Les centres au
sol sont aussi dupliqués : plusieurs tours de contrôle ou centres ATC
peuvent prendre le relais en cas de panne ou d’attaque sur un site.
Réseaux maillés et reconfiguration automatique : Les infrastructures sol–
sol (centres de contrôle, centres de données) utilisent des réseaux maillés
à haute disponibilité. En cas de coupure d’une liaison, le trafic est
automatiquement routé par un chemin alternatif. Comme le souligne le
régulateur français Arcep, la résilience repose notamment sur « la mise en
place des redondances, bouclages, [et] la reconfiguration automatique du
réseau en cas d’incident ». Concrètement, cela signifie que des nœuds de
secours et des liaisons doublées permettent au réseau de « recouvrer le
fonctionnement nominal le plus rapidement possible ».
Équipements redondants : Les composants critiques (serveurs, interfaces
radio, antennes) sont doublés. Si un équipement tombe en panne, son
backup prend immédiatement le relais sans perte de service. Par exemple,
un centre ATC a souvent une alimentation électrique et un hardware
doubles. Stormshield note l’importance d’une « infrastructure disponible et
résiliente, capable de résister en cas de panne » dans le secteur aérien.
De plus, certaines solutions intègrent des modes « bypass » qui
maintiennent le trafic même si l’équipement de sécurité (firewall/IPS)
échoue.
Importance opérationnelle : La redondance prévient les interruptions de
communication qui pourraient avoir des conséquences graves (par
exemple, perte de contact entre l’avion et le contrôleur). Elle rend le
système plus robuste face aux attaques en masse (comme les DDoS) et
aux pannes. En somme, grâce à des réseaux redondants et résilients, les
échanges aéronautiques critiques restent fiables même en cas d’attaque
ou de défaillance, contribuant directement à la sécurité des vols.
Sources : Cette explication s’appuie sur diverses études et
recommandations en cybersécurité aéronautique, qui soulignent
l’importance de l’authentification forte, de la détection d’intrusions et de
la redondance dans les systèmes de communication aérien.