Le CYD Campus identifie les vulnérabilités du système d'alerte de collision TCAS II des avions civils
La semaine dernière, les autorités de sécurité américaines ont confirmé de graves faiblesses dans le système d'alerte de collision de l'aviation civile. Un projet de recherche mené en amont par le Cyber-Defence Campus d'armasuisse Science et Technologie (S+T) en collaboration avec des chercheurs italiens a largement contribué à la découverte de ces failles.
Samuel Albrecht et Andrea Thäler, Cybersécurité et Data Science, Domaine de Compétences Science et technologie
En bref
Le CYD Campus de l'Office fédéral de l'armement a soumis le système d'alerte de collision «Traffic Alert and Collision Avoidance System (TCAS) II» de l'aviation civile à une analyse technique complète de sécurité. Les fabricants et les autorités aéronautiques ont été informés en Europe et aux États-Unis. Les vulnérabilités publiées ont été classées par l'agence américaine de cyberdéfense (CISA) et l'autorité fédérale de l'aviation (FAA) des États-Unis comme étant respectivement de gravité moyenne et grave.
Le 11 décembre 2024, un Boeing 737-800 est en train d'atterrir à l'aéroport John F. Kennedy de New York. Ce qui semble d'abord être un atterrissage normal devient soudain inhabituel. Un avertissement de collision apparaît alors sur l'écran TCAS de l'avion. Le système TCAS demande alors au pilote d'éviter immédiatement la collision potentielle et de monter à 3 700 pieds, ce qu'il fait conformément aux instructions. Par la suite, le contrôle aérien et le pilote constatent qu'il n'y avait pas d'autre objet volant à proximité et qu'il n'y a jamais eu de risque de collision. S'agit-il d'un problème technique ou d'une nouvelle cyber-attaque ?
Recherche au CYD Campus
Les chercheurs du CYD Campus se penchent sur ce sujet depuis plus de 5 ans déjà. Le Cyber Avionics Lab mis en place à Thoune permet d'étudier les cyberattaques contre les systèmes aéronautiques certifiés. Il y a plusieurs années déjà, les chercheurs du CYD Campus ont fait œuvre de pionnier dans ce domaine. Divers systèmes tels que l'ADS-B, le MLAT, le CDPLC et le GPS ont été examinés à la loupe afin de montrer comment ces systèmes d'aviation numérique réagiraient à des cyberattaques réalistes.
Au cours des deux dernières années, une équipe du CYD Campus, en collaboration avec des chercheurs italiens, a étudié le TCAS II. Ce système est obligatoire dans l'aviation civile pour les avions pesant plus de 5 700 kg ou transportant plus de 19 passagers. Il sert de mesure de dernier recours pour éviter les collisions lorsque toutes les autres procédures visant à maintenir la distance entre les objets volants ont échoué. En cas d'alerte de collision, les pilotes doivent immédiatement ajuster leur altitude de vol vers le haut ou le bas. Suite à la collision d'Überlingen en 2002, les pilotes se sont engagés à suivre les instructions du TCAS.
À l'automne 2023, l'équipe est parvenue à déclencher de fausses alertes sur un cockpit de pilote dans son laboratoire, à l'aide d'un processeur TCAS certifié de Garmin et avec sa propre configuration radio. Ces résultats ont ensuite été démontrés à l'été 2024 lors de la conférence DEF CON Hacker à Las Vegas et lors de la conférence sur la sécurité Usenix à Philadelphie.
Depuis le signalement initial du CYD Campus à l'été 2024, plusieurs agences de sécurité et d'aviation dans le monde se sont penchées sur ce problème. La CISA, l'agence américaine de cybersécurité du ministère de la Sécurité intérieure, a été la première organisation à publier un avis de sécurité le 21 janvier 2025, en collaboration avec la FAA des États-Unis. Elles ont classé les deux vulnérabilités trouvées sur le CYD Campus comme étant respectivement de niveau moyen et de niveau élevé. Cette classification est déterminante pour les autres régions concernées en dehors des États-Unis, qui exigent le TCAS, y compris l'Europe.
Perspectives et conclusion du point de vue du CYD Campus
Selon la FAA, il n'existe actuellement aucune contre-mesure pratique. En revanche, la réussite d'une telle attaque implique en pratique certaines contraintes et un niveau de complexité élevé. Néanmoins, le risque ne doit pas être sous-estimé et il est recommandé aux organisations concernées de prendre des mesures compensatoires pour détecter ce type d'attaque, afin de pouvoir réagir de manière appropriée si cela se produit.