"Il faut repenser la sécurité des infrastructures spatiales de bout en bout", Laurent Jaffart (ESA)

L'Usine Digitale : Quels sont les défis techniques à relever pour garantir la sécurité informatique des communications satellitaires ? 

Laurent Jaffart, directeur de la connectivité et des communications sécurisées de l'ESA: C’est une question cruciale. En réalité, on observe des cybermenaces sur les infrastructures de télécommunications spatiales – et pas seulement sur les objets en orbite – depuis au moins 2010.  Cela ne veut évidemment pas dire qu’il n’y en a pas eu d’autres, simplement qu’elles n’ont pas été rendues publiques.

Ce qui est clair, c’est que la fréquence de ces attaques augmente, particulièrement ces cinq dernières années. Les risques liés à la cybersécurité dans l’espace deviennent donc de plus en plus importants, tout comme la nécessité de protéger ces infrastructures critiques. Au-delà des satellites eux-mêmes, ces attaques peuvent avoir des impacts secondaires majeurs sur des systèmes essentiels comme les smart grids, la gestion de l’énergie, les réponses d’urgence ou encore les objets connectés. Les secteurs touchés vont des entreprises aux banques, en passant par les gouvernements.

Aujourd’hui, il devient impératif de repenser la sécurité des infrastructures spatiales de bout en bout – ce qu’on appelle la sécurité ‘end-to-end’. Cela inclut la protection des communications depuis le sol vers le satellite, entre le satellite et l’utilisateur, et dans le sens retour jusqu’à l’infrastructure terrestre, qui est elle-même connectée au réseau.

Concrètement, quelles sont les techniques qui sont ou seront développées pour renforcer la protection des satellites ?

Il y a plusieurs approches complémentaires. La première, c’est d’éviter au maximum que les satellites soient connectés à des réseaux vulnérables. On pourrait imaginer un satellite totalement isolé, non connecté, mais ce n’est évidemment pas réaliste dans le cadre des télécommunications, puisque le but est justement de construire un réseau. Ce qu’on fait donc, c’est une séparation stricte – ou une ségrégation – entre l’exploitation du satellite d’un côté et l’exploitation du réseau de l’autre. Cela permet de limiter les risques qu’un attaquant puisse prendre le contrôle du satellite via le réseau.

Ensuite, il faut tenir compte du fait que les satellites deviennent de plus en plus logiciels – on parle de Software-Defined Satellites. Cela implique que la sécurité passe par le développement et la validation rigoureuse du code embarqué. On teste le logiciel en amont avec des menaces connues, mais aussi en continu, avec les nouvelles vulnérabilités découvertes, pour s’assurer que le satellite reste protégé dans le temps. À cela s’ajoute la sécurisation des infrastructures au sol : contrôle d’accès strict, personnels habilités, antennes protégées… C’est indispensable pour éviter les intrusions physiques ou logiques.

Et enfin, il y a les menaces plus militaires. On a vu par exemple, au début du conflit en Ukraine, les Russes détruire un de leurs propres satellites avec un missile lancé depuis le sol. C’était un acte de démonstration de force. Mais cela pose un autre problème : la génération de débris spatiaux. Ces débris restent longtemps en orbite et peuvent provoquer des collisions en chaîne.

Dans l’espace comme dans les océans, la pollution n’est jamais locale. Une action irresponsable peut avoir des conséquences globales. C’est pourquoi la sécurité passe aussi par une gouvernance internationale et un engagement pour des comportements responsables.

Qu’en est-il des technologies de chiffrement, notamment en lien avec le post-quantique ? Est-ce qu’elles sont déjà utilisées ou en cours de développement dans ce domaine ?

Absolument.  Le chiffrement est une technologie bien maîtrisée, mais il s’agit d’une course permanente entre ceux qui cherchent à le renforcer et ceux qui cherchent à le casser. Aujourd’hui, on se tourne vers des approches plus avancées, comme la génération de clés quantiques, qui offrent un niveau de sécurité bien supérieur.

Mais en parallèle, l’informatique quantique progresse aussi rapidement, et à terme, elle pourrait menacer ces systèmes de chiffrement. C’est pourquoi nous travaillons également sur des mécanismes permettant de distribuer régulièrement de nouvelles clés, notamment via des technologies de distribution quantique. Concrètement, on parle d’échanges de photons, dont l’état permet de générer des clés inviolables. Sur Terre, ces échanges sont limités par les performances des fibres optiques : aujourd’hui, on ne dépasse pas 70 à 100 kilomètres, car on ne peut pas répéter le signal sans altérer l’information.

En revanche, depuis l’espace, la lumière circule dans le vide sur de très longues distances sans perturbation. Cela ouvre la voie à une distribution de clés quantiques à très grande échelle, entre des points très éloignés sur la planète. C’est l’un des grands axes de développement actuels.

Toutes ces recherches sur les technologies quantiques sont-elles menées exclusivement en interne à l’ESA, ou bien impliquent-elles aussi des partenaires extérieurs, comme des start-up ou des laboratoires universitaires ?

Non, c’est vraiment un travail collectif à l’échelle européenne. L’ESA regroupe 23 États membres, et sur le quantique en particulier, il y a un fort engouement. Cela mobilise un écosystème très large : laboratoires de recherche, startups, grandes entreprises… On voit même des acteurs industriels prêts à prendre des risques pour faire avancer les technologies, avec l’objectif qu’elles soient adoptées comme standards de protection des données sensibles.

Les banques, par exemple, s’y intéressent de près pour sécuriser les échanges de données de leurs clients. C’est aussi le cas dans la santé ou pour certaines opérations gouvernementales. Il est donc essentiel de collaborer avec tout l’écosystème – y compris avec la Commission européenne. Nous participons d’ailleurs à des projets comme EuroQCI, qui vise à mettre en place une infrastructure européenne d’échange sécurisé de données hautement sensibles.

Existe-t-il aujourd’hui un centre européen spécifiquement dédié à la cybersécurité spatiale, un CERT dédié aux satellites pour détecter les incidents et coordonner les réponses ?

À l’ESA, nous avons effectivement un centre en Belgique qui centralise nos efforts en matière de recherche, de partage des connaissances et de développement de méthodes de protection. Mais ce n’est pas tout. Nous avons aussi récemment lancé un contrat avec l’Estonie pour créer un 'cyber range', c’est-à-dire un environnement de simulation qui permet de tester les satellites au sol contre toutes les attaques connues, avant leur lancement.

Ce type de dispositif permet non seulement de vérifier la robustesse des systèmes, mais aussi d’organiser des exercices – type Red Team/Blue Team – et de former les opérateurs à détecter et réagir à des menaces. L’Estonie, d’ailleurs, abrite le centre cyber de l’OTAN, ce qui montre la richesse du savoir-faire européen dans ce domaine. La vraie difficulté reste l’anticipation : quelle sera la prochaine attaque ? Comment se préparer au mieux ? C’est un enjeu permanent.

On entend souvent parler des difficultés à recruter dans le domaine de la cybersécurité. Est-ce que c’est un enjeu encore plus marqué pour vous, dans un secteur comme le spatial qui nécessite des compétences très spécifiques ? Ou bien parvenez-vous à attirer suffisamment d’experts ?

On pourrait toujours en avoir plus, bien sûr. Mais globalement, je trouve que nous sommes plutôt bien équipés. Nous avons des experts venus d’horizons variés, de différentes nationalités, et l’espace reste un domaine qui attire. Quand on combine cybersécurité et spatial, on touche à des sujets de pointe qui suscitent beaucoup d’intérêt – chez des profils très qualifiés, hommes et femmes, toutes générations confondues. C’est un terreau fertile. Donc oui, les besoins sont là, mais on arrive à attirer les bons profils.

Avec l’évolution des réglementations européennes, notamment NIS 2, observe-t-on des changements spécifiques pour le secteur spatial ? Etait-il déjà bien couvert par NIS 1 ou cette nouvelle directive modifie-t-elle réellement la donne pour les OIV et OSE du domaine ?

Sous la directive NIS 1, les bases de la cybersécurité ont été établies, mais le secteur spatial n'était pas explicitement reconnu comme faisant partie du champ d'application des systèmes critiques. Avec l'introduction de NIS 2, le secteur spatial est maintenant formellement inclus parmi les 'entités essentielles', qui sont considérées comme des systèmes critiques. Le changement clé avec NIS 2 est que les systèmes spatiaux doivent désormais satisfaire à des exigences de cybersécurité plus strictes et plus formalisées qu'auparavant. Cela élève le niveau d'assurance de la sécurité dans l'ensemble de l'industrie spatiale.