La sonde spatiale MAVEN est toujours injoignable autour de Mars. La Nasa continue ses efforts pour reprendre contact avec cette mission. Un nouvel indice de l'état dans lequel se trouverait l'engin est un peu inquiétant.

Refaire le plein d'un satellite en orbite est un vieux projet porté par différentes agences spatiales, mais qui ne s'est jamais réellement concrétisé. Pourtant, malgré les difficultés techniques qu'il reste à dépasser, il se pourrait que cette capacité devienne un enjeu majeur, notamment pour les questions de défense.

Il y a actuellement 7 sondes actives en orbite autour de la planète rouge. Elles ont été développées par les États-Unis, l'Europe, les Émirats arabes unis et la Chine. Mais l'une d'elles ne répond plus, et la Nasa ignore pourquoi.

Une sonde en orbite autour de Mars ne donne plus de nouvelles. La Nasa n'arrive plus à renouer le contact avec la mission spatiale MAVEN, sans comprendre pourquoi.

La NASA se sépare de ses trois navettes électriques futuristes produites par la start-up Canoo, qui a fait faillite. À la place, l'agence spatiale récupère un van vraiment basique.

Personne ne s’en doutait, mais durant 3 ans, les communications entre la Terre et les sondes de la NASA étaient totalement vulnérables au piratage du moindre script kiddy ! Et personne n’était au courant évidemment, et aucun des multiples audits de code qui se sont succédé depuis 2022 n’avait mis à jour ce problème jusqu’à ce qu’une IA s’en mêle !

La faille découverte au bout de 4 jours d’analyse, se trouvait dans CryptoLib , une bibliothèque de chiffrement open source utilisée pour sécuriser les échanges entre les stations au sol et les satellites en orbite. Cette bibliothèque implémente le protocole SDLS-EP (Space Data Link Security Protocol - Extended Procedures) de la norme issue du CCSDS , qui est utilisé un peu partout dans le spatial, y compris pour des missions comme les rovers martiens ou le télescope James Webb.

Le souci donc c’est que ce code contenait une vulnérabilité d’injection de commande. En gros, des données non validées pouvaient être interpolées directement dans une commande shell et exécutées via system() sans aucune vérification. C’est le genre de faille basique qu’on apprend à éviter en première année de développement, sauf que là elle était planquée dans un code quand même bien critique…

C’est la startup AISLE , fondée par des anciens d’Anthropic, Avast et Rapid7, qui a été mandatée pour auditer le code et c’est comme ça que leur système de “cyber reasoning” basé sur l’IA s’est retrouvé à scanner la base de code. Résultat, une jolie faille débusquée par IA 3 ans après des dizaines d’audits et d’analyses humaines.

Bon, avant de paniquer sur une éventuelle chute de satellite en plein sur la tête de votre belle-mère, faut quand même nuancer un peu la chose… Pour exploiter cette faille, un attaquant aurait d’abord eu besoin d’un accès local au système, ce qui réduit significativement la surface d’attaque selon les chercheurs . Donc oui, j’ai abusé en intro avec mon histoire de script kiddy ^^ chè ! Mais quand même, on parle de satellites et de sondes spatiales qui valent des milliards de dollars donc si elle avait été exploitée, ça aurait fait mal à beaucoup de monde.

Et ce n’est pas la seule mauvaise nouvelle pour la sécurité spatiale cette année puisqu’en août dernier, 2 chercheurs allemands de VisionSpace Technologies, Milenko Starcik et Andrzej Olchawa, ont présenté, lors des confs Black Hat USA et DEF CON à Las Vegas, pas moins de 37 vulnérabilités découvertes dans l’écosystème spatial . Sans oublier Leon Juranic de ThreatLeap qui a trouvé diverses failles plus tôt dans l’année.

Le Core Flight System (cFS) de la NASA, ce framework open source déployé sur des missions comme le James Webb ou le lander lunaire Odysseus d’Intuitive Machines, contenait également 4 failles critiques. Deux bugs de déni de service, une Path Traversal, et une vulnérabilité d’exécution de code à distance (RCE). Milenko Starcik a déclaré avoir trouvé des vulnérabilités permettant par exemple de crasher tout le logiciel de bord avec un simple message distant non authentifié .

Lors d’une démo, ils ont montré qu’ils pouvaient envoyer une commande à un satellite pour activer ses propulseurs et modifier son orbite, sans que le changement de trajectoire apparaisse immédiatement sur l’écran du contrôleur au sol. Imaginez le bordel si quelqu’un faisait ça pour de vrai !!

CryptoLib elle-même était criblée de failles : 4 dans la version utilisée par la NASA, 7 dans le package standard dont 2 critiques. Et le système de contrôle de mission Yamcs développé par la société européenne Space Applications Services et utilisé notamment par Airbus présentait aussi 5 CVE permettant une prise de contrôle totale. Sans oublier OpenC3 Cosmos, un autre système utilisé pour les stations au sol, qui comptait à lui seul, 7 CVE incluant de l’exécution de code à distance.

Heureusement les amis, toutes ces horribles vulnérabilités ont été corrigées et la NASA prépare même une mise à jour majeure du cFS pour bientôt avec de meilleures fonctionnalités de sécurité, le support de l’IA et des capacités d’autonomie améliorées.

AISLE affirme que leur outil peut examiner systématiquement des bases de code entières , signaler des patterns suspects et fonctionner en continu à mesure que le code évolue, bref, pour du code critique comme celui des systèmes spatiaux, c’est le top !

Encore une victoire de l’IA ^^

Source

C'est une image inédite à 400 km d'altitude : tous les ports de la Station spatiale internationale sont occupés. Avec l'arrivée récente de capsules SpaceX et russes, l'ISS sature sa capacité d'accueil pour la première fois avec huit véhicules amarrés en même temps.

GITAI est une startup japonaise spécialisée dans la robotique spatiale qui vient de réaliser quelque chose de dingue, à savoir la construction autonome d’une tour de communication de 5 mètres de haut dans un désert reproduisant la surface lunaire.

Et tout ça sans intervention humaine, évidemment !

Leur système repose sur un rover lunaire et trois robots de type “Inchworm” (chenille en anglais). Chacun de ces robots a des bras équipés de pinces aux deux extrémités, ce qui lui permet de se déplacer un peu comme des chenilles arpenteuses et d’effectuer des tâches de construction diverses et variées. Dans la démo en vidéo ci-dessous, vous pouvez voir comment ils assemblent la tour, connectent l’antenne au sommet et branchent les câbles d’alimentation sans oublier de bien vérifier que le courant passe.