Une caméra peut créer un problème de sécurité sans transmettre une seule image secrète. C’est précisément ce que montre l’incident découvert sur les drones navals britanniques K3 Scout : des caméras installées à bord envoyaient des messages techniques, de type « heartbeat », vers une adresse Internet en Chine.
The Telegraph a révélé l’affaire, également décrite par The Wall Street Journal et The Times. Un heartbeat est généralement un petit paquet de données destiné à signaler qu’un appareil est connecté et fonctionne. Les informations publiques disponibles ne démontrent pas l’envoi d’un flux vidéo classifié ou de photographies de renseignement vers la Chine.
Le ministère britannique de la Défense a indiqué que le comportement avait été détecté lors d’une évaluation des vulnérabilités cyber. La connexion Internet des caméras a ensuite été supprimée. Selon le ministère, l’enquête n’a trouvé aucune preuve que des données ou des systèmes sensibles aient été consultés, compromis ou transmis à l’extérieur.
Cette nuance est essentielle, mais elle ne rend pas le phénomène banal. Dans un système militaire, la sécurité dépend aussi des métadonnées et de la maîtrise des chemins réseau. Un simple message périodique peut indiquer quand un appareil est actif. Surtout, il prouve qu’un sous-système possède une route de communication vers l’extérieur qui doit être comprise et justifiée.
Le K3 Scout est un navire de surface sans équipage développé par Kraken Technology Group. Le Royaume-Uni en a acquis 20 dans le cadre de Project Beehive. La Royal Navy présente la plateforme comme utilisable pour la surveillance, la protection des forces et des frappes de précision. En juillet, elle a également montré un essai de largage aérien destiné à accélérer le déploiement de ces appareils.
QinetiQ a par ailleurs indiqué à Janes travailler à la préparation de K3 pour un éventuel déploiement dans la zone du détroit d’Ormuz. Dans un environnement aussi sensible, même des informations apparemment modestes sur le fonctionnement d’un capteur peuvent prendre une valeur opérationnelle.
L’incident illustre surtout un problème de données à l’échelle de la chaîne d’approvisionnement. Une plateforme militaire moderne réunit des dizaines de sous-systèmes. Une caméra achetée à un fournisseur peut intégrer son propre firmware, ses fonctions de diagnostic, un mécanisme de mise à jour ou un service cloud conçu à l’origine pour le marché civil. Chaque fonction devient une dépendance potentielle.
Le programme est déjà international. Kraken affirme avoir lancé la production en série du K3 Scout sur le site Rheinmetall Blohm+Voss de Hambourg en avril. En mai, l’entreprise a annoncé un accord avec le US Special Operations Command pouvant atteindre 49 millions de dollars. Un même composant peut donc être soumis à plusieurs régimes de contrôle et de certification.
Le Royaume-Uni avait déjà reconnu la présence de produits fabriqués en Chine dans certaines chaînes d’approvisionnement de la Défense et disait appliquer des vérifications renforcées aux équipements de surveillance. En juin, le gouvernement a aussi annoncé le retrait de certains dispositifs de surveillance liés à des entreprises soumises au droit chinois du renseignement sur des sites sensibles.
The Telegraph a cité une source anonyme affirmant que certaines caméras auraient pu rester actives après l’arrêt des bateaux. Cette affirmation n’est pas confirmée indépendamment dans les informations publiques et doit rester distincte du trafic heartbeat établi.
La suite dépendra moins du remplacement d’un modèle de caméra que de la qualité de l’inventaire technique. Pour les systèmes autonomes, connaître l’origine d’un composant ne suffit plus. Il faut aussi mesurer ce qu’il fait réellement sur le réseau, identifier ses logiciels internes et vérifier qu’aucune fonction de télémétrie ne survit à l’intégration dans un environnement militaire.