2026-10-31 –, Track 2 (306A) Language: Français
Les protocoles maritimes ont toujours reposé sur un écosystème fermé : appareils certifiés restreints, fréquences réglementées, bureaucratie. Le SDR, l'open source de navigation et la montée des embarcations autonomes représentent un défi pour ces protocoles vieux de 25 ans, conçus pour la sûreté anti-collision et non pour résister à un adversaire.
Avec STRIDE comme colonne vertébrale, cette présentation cartographie la surface d'attaque : du navire fantôme injecté dans un traceur, aux traces qui « téléportent » une cible, de la reconnaissance OSINT gratuite jusqu'au vrai maillon faible que tous ces protocoles rediffusent aveuglément. et comment les mitigations ne couvriront qu'une fraction de l'écosystème.
Le tout en open source, sans émettre un seul watt sur les vraies fréquences et une question qui devient urgente à l'ère des navires sans humain à la barre : contre quoi doivent-ils se protéger quand plus personne ne regarde l'écran ?
Trois protocoles, les vulnérabilités similaires: l'identité déclarée, jamais prouvée et des données manipulables par le client. Des protocoles hérités, mal adaptés à la réalité moderne. Rien, dans un message AIS, un appel DSC ou une balise de détresse, ne relie ce qui est émis à qui prétend l'émettre. La méthodologie STRIDE sert de fil conducteur pour modéliser la menace sur ces protocoles rendus obsolètes ; le reste, c'est de l'écoute, du décodage et du banc d'essai.
1) Lire ce qu'un navire déclare. On part de messages captés, décodés à l'écran. Le numéro d'identité seul en dit déjà long : pays, type de navire, station, balise. Puis l'OSINT : les bases publiques et les sites de suivi de trafic font, gratuitement, tout le travail de reconnaissance d'une usurpation.
2) La faille racine. Ces protocoles ont 25 ans et ont été pensés pour éviter les abordages, pas les adversaires. Les codes correcteurs attrapent le bruit, pas le mensonge. « Safety » n'a jamais voulu dire « security ».
3) L'approche STRIDE, protocole par protocole. Un navire fantôme, une fausse station côtière, la position falsifiée, la flotte fantôme qui éteint son transpondeur pour échapper aux sanctions. Le DSC et ses appels de détresse. Les balises d'homme à la mer, dont le numéro ne renvoie à personne. Et les balises satellitaires 406 MHz et pourquoi toutes ces situations restent, elles, hors de portée d'une démonstration responsable au regard des lois sur les communications.
4) Tout reproduire en vase clos. C'est là que le vrai travail se fait, sans jamais toucher aux ondes réelles et bien au-delà de ce qu'un Flipper Zero permet. Rejouer du trafic capté en boucle fermée, reproduire les attaques, pousser les décodeurs jusqu'à ce qu'ils cassent. Une pile de navigation open source qu'on monte chez soi, une radio logicielle, des Raspberry Pi et leurs HAT : de quoi faire mentir ses propres instruments, et tester des algorithmes de navigation autonome capables d'y résister.
5) Ce que la physique trahit. Un signal proche écrase le vrai, et la cible se met à « téléporter » sur l'écran. Mais la physique protège autant qu'elle expose : un navire fantôme n'a pas d'écho radar, et sur l'eau, quand un radar vous balaye, on peut capter cette illumination, en tirer une direction et reconnaître l'émetteur.
6) En amont : les maillons faibles, et leurs limites. Les protocoles eux-mêmes, le positionnement par satellite (GPS), et les instruments exposés aux attaques classiques de l'IT (Bluetooth, WiFi, NMEA) autant de données rediffusées les yeux fermés. On brouille la source, et un équipement parfaitement honnête propage le mensonge avec autorité. Le problème n'est pas qu'on ne sache pas authentifier un message on sait le faire depuis 40 ans. Il est structurel, et repose sur une flotte de plus en plus vieillissante.
Présenté par François Harvey, professionnel en sécurité de l'information et Instructeur Voile Canada avec une approche qui réconcilie la pratique et la théorie !
François Harvey est consultant en cybersécurité offensive et défensive. Navigateur et instructeur de voile, il suit l'évolution des outils de navigation open source ainsi que des protocoles maritimes (AIS, DSC, balises 406 MHz), là où la sécurité informatique croise la sécurité en mer.