«Il existe une faille de sécurité majeure» avec le futur F-35 suisse
Conçu comme un concentré d’intelligence connectée, le futur avion de combat de la Suisse, le F-35, repose sur un système de données centralisé aux Etats-Unis. Une architecture qui soulève, selon le Pôle enquête de la RTS, d’importantes questions de souveraineté numérique et de cybersécurité.
Le cœur de cette connectivité repose sur deux systèmes successifs: Alis (Autonomic Logistics Information System), puis Odin (Operational Data Integrated Network), déployé depuis 2022, selon le site spécialisé Avion de chasse. Odin relie les avions, les centres de maintenance et les serveurs du constructeur Lockheed Martin, installés sur sol américain. L'objectif? Centraliser la logistique, la formation et les données de mission. Autrement dit, toutes les informations critiques transitent par des infrastructures américaines.
Mais il y a un problème
Face aux inquiétudes des pays acquéreurs au sujet de leur souveraineté, des pare-feux ont été installés pour filtrer les échanges de données. Mais, détail piquant souligné par la RTS, ces outils de protection sont livrés par une entité liée au Département américain de la défense. En Norvège, les autorités admettent pouvoir «retarder ou filtrer les données souveraines», tout en restant dépendantes du matériel américain.
Le Royaume-Uni, lui, a choisi de développer son propre pare-feu, Tiger Trap. «C’est la preuve que les alliés cherchent à réduire une dépendance technologique», estime le général français Jean-Marc Vigilant, cité par nos confrères.
Et chez nous?
Pour la Suisse, qui recevra ses premiers F-35 en 2027, l’Office fédéral de l’armement Armasuisse assure que les données transmises via le nouveau réseau Odin «seront contrôlées de manière indépendante et souveraine».
Mais la RTS précise que Berne n’aura pas de centre de traitement autonome: les mises à jour des fichiers de menaces se feront sur sol américain.
L'autre problème pointé du doigt
L'affaire ne s'arrête pas là. La RTS fait de nouvelles révélations ce vendredi matin. Andy Jenkinson, expert britannique en cybersécurité et directeur de Cybersec Innovation Partners, une société spécialisée dans la gestion de certificats numériques et la détection d’indicateurs de compromission à grande échelle, interrogé dans La Matinale l'assure:
Auteur de plusieurs ouvrages de référence, Jenkinson a détaillé ses analyses à la RTS. Ainsi, le site web du constructeur Lockheed Martin et ceux de deux sociétés partenaires «ne sont pas suffisamment sécurisés» et seraient exposés à un risque de cyberattaque. Il affirme:
Des hackers pourraient exploiter ces failles pour infiltrer le système en ciblant le DNS, le dispositif qui traduit les noms de domaine en adresses chiffrées, estime l'expert cité par nos confrères. Objectif? Voler des données ou en injecter de malveillantes, un risque qui, selon lui, «pourrait remonter jusque dans le cockpit de l’avion», connecté à internet. Il alerte:
Andy Jenkinson, sommité dans le domaine, a rassemblé ces infos dans un rapport envoyé au constructeur américain en 2023. Il n'a jamais eu de nouvelles.
Comment réagit la Suisse?
Nos confrères de la RTS ont, encore une fois, tendu le micro à Armasuisse, chargée de l’achat de l’appareil. L'organe fédéral estime que ce rapport «ne permet pas de tirer de conclusion quant à la cybersécurité du F-35». De son côté, le Département de la Défense assure que les systèmes d’information de l’avion sont «robustes et multicouches». (jah)