Pirater des bateaux ? Un risque démontré par trois chercheurs

Marco Balduzzi, docteur en sécurité IT appliquée de Telecom ParisTech, Kyle Wilhoit, de Trend Micro, et Alessandro Pasta, chercheur indépendant, se sont penchés sur la vulnérabilité du système d’identification automatique des bateaux (AIS). Un système loin d’être anodin puisqu’il permet de suivre les navires, avec une gestion centralisée pour les autorités portuaires, mais aussi aux bateaux de communiquer entre eux, avec des applications telles que l’aide à la navigation, l’évitement de collision, la facilitation des recherches et des secours, etc. Il est requis pour les navires de plus de 300 tonnes et pour ceux dédiés au transport de passagers. Il serait déployé sur environ 400 000 bateaux à ce jour, avec une perspective de plus d’un million en 2014. Le système est ouvert sur Internet. Il permet de suivre ainsi le trafic maritime. Toutes les 3 à 30 secondes, chaque navire équipé fournit sa position, sa vitesse et son cap. Il indique également sa nature.

Les chercheurs ont identifié plusieurs typologies d’attaques potentielles. A commencer par la diffusion d’informations usurpant l’identité de leur émetteur. Pire, ils assurent qu’il est possible de détourner purement et simplement via la passerelle de gestion des messages du système d’identification automatique des navires.

Par radio, le signal n’intègre ni authentification ni vérification d’intégrité. Son piratage est toutefois «difficile et coûteux.» Mais pour les chercheurs, il n’est pas impossible de créer de faux signaux AIS... en logiciel, en s’appuyant sur des radios à définition logicielle. Des équipements «accessibles à beaucoup, y compris aux méchants,» relèvent les trois chercheurs dans leur présentation.

Premier type d’attaque dont ils ont réalisé la démonstration : la création d’un faux signal de détresse pour homme à la mer. Seconde attaque, faire littéralement disparaître, temporairement, un bateau. Troisième, enfin, émettre de faux signaux AIS alertant d’un risque imminent de collision avec un obstacle fictif afin de détourner des navires de leur trajectoire nominale, ou encore en envoyer de fausses alertes météo.

Pour eux, c’est simple : AIS est devenu essentiel pour la marine internationale mais le système est «cassé au niveau de l’implémentation» comme à celui «du protocole même.»