Comment ma rencontre avec Jeff Goldblum à Rome m'a amené à envoyer des milliers d'échantillons de logiciels malveillants dans l'espace

My voyage en famille à Rome s'est très bien passé ; m'éloigner du bureau pendant une semaine, découvrir la ville, me promener dans les sites historiques, savourer la cuisine locale et simplement profiter de ces moments avec ma famille, c'était exactement ce dont j'avais besoin.

Un jour, en nous promenant dans une petite ruelle ombragée, nous sommes tombés par hasard sur un cours de cuisine consacré aux pâtes et au tiramisu. Ça avait l’air sympa, et comme le dit le proverbe : « À Rome, fais comme les Romains. » Pendant quelques heures, j’ai troqué les logiciels malveillants, la cybersécurité et les infrastructures critiques contre de la farine, des œufs, de l’eau, le sens du timing, la pression et la patience.

Plus je prenais mes marques dans ce cours, plus je me rendais compte que même la fabrication des pâtes relevait d’un véritable savoir-faire. Cela semble simple vu de l’extérieur, mais si l’on tient au résultat, les petits détails comptent. Trop d’eau altère la pâte. Une pression trop forte modifie la texture. Si l’on précipite le processus, le résultat ne sera pas tout à fait à la hauteur.

Cela vaut aussi bien pour l'alimentation que pour le monde des affaires et la cybersécurité.

À la fin du cours, il s'est passé quelque chose de tout à fait inattendu : j'ai rencontré Jeff Goldblum.

Il était chaleureux, drôle, élégant et très humain. Comme la plupart des gens qui le rencontrent, j’ai pensé à ses rôles emblématiques au cinéma, au piano jazz et à sa capacité unique à rester accessible malgré sa célébrité. C’était avant que mon esprit de spécialiste de la cybersécurité ne prenne le dessus.

Je n'arrêtais pas de repenser à une scène du film *Independence Day* de 1996, dans laquelle son personnage, David Levinson, infecte le vaisseau-mère extraterrestre avec un logiciel malveillant.

Le timing est ici essentiel. Le secteur spatial semble entrer dans un nouveau cycle d'essor, qui va bien au-delà des fusées, de la NASA et de l'introduction en bourse de SpaceX.

Le contexte est mondial. Amazon Kuiper se lance dans la course au haut débit par satellite. L’Europe développe IRIS²: une constellation de connectivité sécurisée et souveraine destinée aux communications gouvernementales, à la gestion des crises, aux infrastructures critiques et aux services cryptés. La Chine avance à grands pas avec des programmes de constellations de grande envergure tels que « Thousand Sails » et « Guowang ». L’Inde étend ses ambitions en matière de satellites spatiaux et de défense. Le Japon investit davantage dans la sécurité spatiale. Des opérateurs tels que Viasat, OneWeb, Planet, Maxar, Intelsat, Iridium, Eutelsat, SKY Perfect JSAT et d’autres développent en orbite des services de communication, d’imagerie, de navigation, de défense et de données.

Le débat va désormais au-delà de la simple utilisation des satellites comme infrastructure de communication. Elon Musk a évoqué la possibilité de mettre en orbite des centres de données dédiés à l’IA, arguant que la Terre est limitée en énergie alors que l’espace bénéficie d’un ensoleillement constant. L’année dernière, Starcloud a lancé un engin spatial équipé d’une puce Nvidia H100 et a démontré qu’il était possible d’exécuter une version du modèle d’IA Gemini de Google depuis l’espace. Par ailleurs, Google a dévoilé le projet Suncatcher, qui vise à explorer des grappes de satellites équipés de TPU et de liaisons optiques, ainsi que son intention de lancer des prototypes de satellites en 2027.

Il s'agit là d'un tout autre type d'économie spatiale.

Le secteur spatial évolue : des transports à la communication, de la communication aux données, des données au calcul, et du calcul à l'intelligence artificielle. Il devient une couche d'infrastructure numérique mondiale impliquant des États-nations, des opérateurs commerciaux, des agences de défense et des chaînes d'approvisionnement multinationales.

...et chaque couche de l'infrastructure numérique finit par devenir une cible cybernétique.

Bon nombre de ces incidents ont également mis en évidence les limites d'un recours exclusif aux pare-feu traditionnels et aux systèmes de sécurité basés sur la détection.

Lors de l'intrusion subie par le JPL de la NASA en 2018, les pirates ont compromis un compte externe et se sont déplacés latéralement au sein de réseaux mal segmentés. Les défenses périmétriques se sont révélées insuffisantes une fois la confiance établie. Lors de l'attaque contre Viasat KA-SAT en 2022, les pirates ont accédé à un réseau de gestion de confiance via un chemin VPN/pare-feu compromis et ont émis des commandes de gestion légitimes.

Une fois encore, le problème ne résidait pas simplement dans la détection du trafic malveillant, mais dans le fait de ne pas avoir utilisé une passerelle unidirectionnelle, qui aurait imposé, de par sa conception même et non par le biais d'une politique, un flux de données à sens unique, empêchant ainsi les attaquants d'atteindre les systèmes critiques dès le départ.

Une fois que nous avons identifié le risque et les causes profondes des incidents signalés, comment y remédier ?

La cybersécurité spatiale partage bon nombre des causes profondes de la cybersécurité traditionnelle, mais elle comporte deux dimensions supplémentaires qui changent la donne : le temps et l'environnement.

Sur Terre, si un problème survient, nous partons du principe que nous pouvons nous connecter, inspecter, corriger, restaurer ou envoyer quelqu’un sur place. Dans l’espace, bon nombre de ces principes ne s’appliquent plus. Les communications sont plus lentes, plus coûteuses, plus limitées et deviennent de plus en plus difficiles à mesure que l’on s’éloigne de la Terre.

La Lune est suffisamment proche pour que les signaux mettent un peu plus d’une seconde pour aller et revenir, mais cela entraîne tout de même un délai aller-retour de plus de deux secondes. Pour Mars, le temps de transmission peut varier entre environ 4 et 24 minutes aller simple, selon la position respective de la Terre et de Mars sur leurs orbites. Pour les missions dans l’espace lointain, le problème s’aggrave encore davantage. Voyager est si loin que la communication peut prendre près d’une journée entière aller simple.

Cela modifie le modèle de cybersécurité.

Les outils de sécurité modernes reposent de plus en plus sur une interaction constante avec le cloud : vérifications de réputation, contrôles de hachage, mises à jour de signatures, mises à jour de modèles d’IA (une dépendance croissante à mesure que les systèmes basés sur l’IA se déploient en orbite), soumissions vers des environnements de test, envois de données télémétriques et verdicts centralisés. Sur Terre, cela fonctionne car la connectivité est rapide et fiable. Dans l’espace, il devient dangereux de supposer que le même modèle fonctionnera.

Sur la Lune, certaines de ces opérations restent techniquement possibles, mais il ne faut pas compter dessus. Chaque consultation du cloud entraîne un délai. Chaque soumission vers le bac à sable doit faire l'aller-retour avec la Terre. Chaque session de bureau à distance devient plus lente. Chaque transfert volumineux de données d'analyse judiciaire entre en concurrence avec la bande passante de la mission. Si la liaison avec la Terre est encombrée, dégradée, saturée ou indisponible, la sécurité basée sur le cloud perd de sa fiabilité.

Si cela s'avère déjà difficile sur la Lune, cela devient nettement plus compliqué sur Mars, et impossible à réaliser en temps réel dans l'espace lointain.

Il en va de même pour les correctifs. Si vous menez une mission spatiale pendant de nombreuses années, vous ne pouvez pas partir du principe que vous pourrez appliquer des correctifs à votre infrastructure comme vous le feriez pour un ordinateur portable, un serveur ou une charge de travail dans le cloud. Un vaisseau spatial peut fonctionner avec du matériel obsolète, une mémoire limitée, des processeurs résistants aux radiations, une bande passante restreinte, une alimentation électrique limitée et une fenêtre de communication très réduite.

Si la mise à jour est erronée, si la commande est mal formée ou si le logiciel se comporte différemment en vol par rapport à la simulation, la récupération peut s'avérer difficile, voire impossible.

Voyager en est un parfait exemple. La NASA a lancé Voyager 1 et Voyager 2 en 1977, et l'équipe continue de les entretenir près de cinq décennies plus tard. Mettre à jour ou corriger les logiciels d'un engin spatial aussi ancien et aussi éloigné nécessite un travail d'ingénierie extraordinaire. Mais cela démontre également que la mise à jour d'un engin spatial est un processus lent, risqué et qui n'a rien à voir avec la mise à jour des systèmes sur Terre.

Galileo constitue un autre exemple édifiant. Après son lancement, l’antenne à gain élevé de Galileo n’a pas pu se déployer complètement, ce qui a empêché le vaisseau spatial d’utiliser la liaison de communication à haut débit prévue. La NASA et le JPL ont néanmoins pu obtenir des résultats scientifiques majeurs grâce à la compression des données, à des modifications logicielles et à une planification minutieuse de la mission. Cela a mis en évidence un point essentiel : dans l’espace, ce sont les contraintes de communication qui définissent les missions.

La question de la cybersécurité est simple : que faire lorsque l'on ne peut compter ni sur une communication rapide, ni sur une visibilité constante, ni sur une intervention via le cloud, ni sur l'envoi d'une personne sur place ? Je propose trois stratégies.

La détection reste utile, en particulier sur les systèmes au sol, les terminaux et les environnements d’entreprise liés à la mission, mais elle suppose que l’on puisse repérer l’attaque, puis l’analyser, y répondre et rétablir la situation rapidement. Dans l’espace, cette hypothèse est peu fiable, car la visibilité peut être limitée, les communications peuvent être retardées, la puissance de calcul peut être restreinte et la restauration peut s’avérer lente, voire impossible. Au moment où l’on détecte le problème, la mission pourrait déjà être compromise.

C'est pourquoi la stratégie doit être la préventionavant la confiance.

Chaque fichier, mise à jour logicielle, modèle d’IA, paquet de données utiles, paquet de commandes et support amovible doit être considéré comme non fiable jusqu’à ce qu’il ait été inspecté, validé, nettoyé et approuvé. Il convient de recourir à l’analyse multi-niveaux, au sandboxing, à la neutralisation et à la reconstruction du contenu (CDR), à la validation de schémas, aux mises à jour signées, aux listes blanches, à la validation des commandes et aux pistes d’audit avant que quoi que ce soit n’atteigne l’environnement de mission.

Ne traitez pas le centre de contrôle de mission comme un service informatique d'entreprise classique et ne laissez pas les systèmes d'ingénierie interagir librement avec les systèmes opérationnels. Veillez à ce que l'accès des fournisseurs soit restreint, temporaire, consigné et isolé, et séparez rigoureusement les stations au sol, les voies de commande, les systèmes de mise à jour logicielle, les environnements de test et les outils de collaboration.

Aucun ordinateur portable compromis, aucune information d'identification volée, aucun fichier infecté, aucune mise à jour défectueuse ni aucune faille chez un fournisseur ne devrait pouvoir affecter les opérations de mission.

Les pare-feu sont importants, mais pour les chemins de transmission les plus sensibles, je ne me fierais pas uniquement à un pare-feu. Les pare-feu sont contrôlés par des logiciels, ce qui signifie qu’ils peuvent être mal configurés, contournés ou compromis. Une diode de données ou une passerelle unidirectionnelle constitue une meilleure solution, car elle impose un flux de données unidirectionnel de par sa conception même, et pas seulement par le biais d’une politique.

Le lancement d’un MetaDefender Kiosk était notre première mission spatiale, et non un simple coup de pub. À mes yeux, la mission Kiosk incarne ce qui, selon moi, constitue les fondements de la cybersécurité dans l’espace : un traitement informatique indépendant, la prévention avant la confiance, une sécurité déterministe des fichiers et du matériel capable de fonctionner dans des environnements hostiles.

Tout d'abord, il s'agit d'un système autonome. Bien que nous l'ayons envoyé à une altitude extrême, il n'était pas connecté au cloud pendant la mission. Il utilisait des ressources de calcul locales et fonctionnait selon un modèle « air-gapped ». Nous prévoyons d'intégrer une passerelle de données unidirectionnelle ou une diode de données lors d'une prochaine mission.

Deuxièmement, le Kiosk la technologie Deep CDR™ pour analyser des milliers d’échantillons de logiciels malveillants provenant d’une USB au cours de la mission, dans un environnement de test contrôlé et isolé. La technologie Deep CDR™ est déterministe, ce qui signifie qu’elle n’a pas besoin de deviner si un fichier est malveillant. Elle part du principe que le fichier peut être malveillant, supprime le contenu actif à risque et régénère une version propre. Si le processus est correctement verrouillé, il n’est pas nécessaire de procéder à des mises à jour fréquentes des signatures pour prévenir de nombreuses menaces inconnues liées aux fichiers, car le Kiosk le fichier avant de lui accorder sa confiance.

Enfin, nous avons testé le matériel dans un environnement hostile. Le Kiosk a dû faire face à des températures extrêmes, à une faible pression, à des mouvements violents, à l'éclatement du ballon, à des forces G élevées pendant la descente, à des rotations, à des chutes et même à un atterrissage dans une rivière. Il a continué à fonctionner pendant un certain temps après tout cela. C'est important, car la cybersécurité spatiale est un problème à la fois logiciel et matériel.