En 2021, le film Don’tt Look Up, (Ne regardez pas en haut) avait marqué les esprits. Ce même titre pourrait être repris en ce qui concerne la cybersécurité des satellites de communication. Il apparaît que 40 % des données qu’ils diffusent sont transmises sans aucun chiffrement. Ces données peuvent donc être interceptées et lues par presque n’importe qui.

Cette carencecarence en matièrematière de cybersécurité repose sur un principe désuet. Jusqu’à présent, la sécurité du secteur était assurée par une seule stratégie plutôt optimiste : la certitude que personne n’irait jamais vérifier ni scanner les transmissionstransmissions des satellites. Autrement dit, les gestionnaires de ces satellites imaginaient que personne « ne regarderait en haut ».

Désormais, avec la militarisation à marche forcée de l’espace, ce stratagème ne tient plus. Pour prouver la défaillance de protection des données du système de communication par satellites, il suffit d’investir moins de 700 euros dans une antenne parabolique et quelques équipements. Ce matériel, accessible au grand public, permet d’intercepter et de lire en clair un déluge de SMS, d’appels, de données confidentielles d’entreprises, de gouvernements et même des secrets militaires.

Pour s’en convaincre, il faut lire l’étude récente présentée par un groupe de chercheurs de l’université de Californie à San Diego et de l’université du Maryland à College Park, lors d’une conférence de l’Association for Computing Machinery à Taïwan.

« Don’t look up ! »

Ces chercheurs ont simplement pointé une antenne parabolique vers des satellites géostationnairessatellites géostationnaires pendant trois ans. Ils ont pu observer clandestinement toutes les données non chiffrées qu’elle captait. Les résultats sont stupéfiants : environ la moitié des communications des satellites géostationnaires qu’ils scannaient n’étaient pas protégées.

L’antenne était positionnée sur le toittoit d’un bâtiment universitaire du quartier balnéaire de La Jolla, à San Diego, dans le cônecône d’émissionémission de ces satellites. Les chercheurs ont passé des mois à interpréter les signaux obscurs, mais non protégés, pour finalement pouvoir consulter les appels et les SMS des Américains, notamment sur le réseau de télécommunication T-MobileMobile et des réseaux mexicains. Ces opérateurs exploitent les satellites pour allonger la couverture cellulaire via des antennes relais dans les zones éloignées (montagnes, désertsdéserts).

En neuf heures, l’équipe a pu récupérer l’ensemble des communications satellites de T-Mobile, ainsi que les numéros de téléphone de plus de 2 700 utilisateurs. Seule limitation : ils ne pouvaient lire ou entendre que la partie des échanges envoyés vers les antennes-relais éloignées.

Les chercheurs se sont équipés de matériel accessible par le grand public : une parabole à 185 dollars, un support de toit à 140 dollars avec un moteur à 195 dollars, et une carte tuner à 230 dollars. L’un des seuls obstacles fut l’ajustement de la parabole. Pour l’analyse des protocoles de données collectées, leur outil en open source disponible sur GitHub est accessible par tout le monde… © UC San Diego

Les grandes oreilles, c’est vous

De façon anecdotique, les données de navigation Wi-Fi des passagers à bord des avions de ligne étaient également disponibles. Plus inquiétant, des communications vers et depuis des infrastructures critiques (compagnies d’électricité, plateformes pétrolières et gazières) n’étaient pas non plus protégées.

Pire encore : les communications confidentielles de l’armée ou des forces de l’ordre américaines et mexicaines étaient aussi disponibles en clair. Ces données pointaient précisément la localisation du personnel, des équipements et des installations.

Le plus dramatique, c’est qu’avec les limitations de leur antenne, ce test d’écoute clandestine n’a porté que sur seulement 15 % des satellites géostationnaires en service. Pour les chercheurs, la quantité de données exposées et sans doute bien plus conséquente. C’est ainsi qu’ils l’estiment à au moins 40 % des données transmises par satellites.

Les chercheurs indiquent avoir alerté durant près d’un an les entreprises et les agences les données sensibles qui ont été exposées. La plupart, dont T-Mobile, ont rapidement chiffré ces communications pour protéger les transmissions. Mais pour ce qui est des données les plus sensibles, celles des infrastructures critiques américaines, rien n’a encore été corrigé. Il est probable que cela ne soit pas fait avant des années, voire jamais selon les chercheurs.

Si, avec un petit budget, n’importe qui peut intercepter ces données, il est très probable que les services de renseignement d’autres pays le fassent depuis longtemps. Et ce qui est valable pour ces satellites diffusant leurs données sur cette partie des États-Unis ou du Mexique l’est sans doute aussi pour les satellites d’autres nations comme la Russie, la Chine ou encore les pays européens, dont la France.