Entre les lampadaires et les nombreux capteurs, l’éclairage public intègre aujourd’hui des technologies afin de connecter ses services. Les cœurs de villes intelligentes, ou smart cities, cherchent ainsi à optimiser leur efficacité opérationnelle tout en améliorant l’expérience de leurs utilisateurs, le tout dans un cadre généralisé de réduction des coûts. Troisième papier d’une série d’articles consacrés aux enjeux de cybersécurité dans les villes connectées et smart.
Derrière cette modernisation des usages de l’environnement urbain, le même problème que pour les autres éléments de la smart city : plus une ville est connectée, plus elle est exposée aux cyberattaques. Quels sont les risques cyber associés ? Quelle posture de cybersécurité adopter pour faire face à ces nouveaux enjeux ? Réponse dans cet article.
Un éclairage public de plus en plus connecté
À l’intérieur de la ville connectée, assurer la cybersécurité des infrastructures gérant les énergies, l’eau ou encore la mobilité urbaine apparait comme des évidences. Pourtant, l’éclairage public doit également être surveillé, monitoré et protégé – car chaque dispositif de la ville connectée va remonter de la donnée. Les lampadaires, capteurs et autres périphériques constituent alors une partie entière de l’Internet des objets (IoT) qui fait vivre cette ville connectée. Conséquence directe : le parc d'éclairage public est un élément très énergivore de la ville. À l’heure de la sobriété énergétique, l’éclairage public engloutit pas moins de deux milliards d’euros de budget des collectivités locales, selon un rapport de la Cour des comptes en France en 2021. Si la ville intelligente a pour objectif l'optimisation des coûts de fonctionnement, elle a également pour mission d’améliorer la sécurité des habitants. En jeu : la continuité de service des collectivités.
Derrière le sujet de l'éclairage public, le remplacement du parc existant peut servir autant des questions écologiques, économiques que de cybersécurité. « En mettant en réseau les luminaires et les points de contrôle d’éclairage dans une architecture centralisée, le système d’éclairage devient programmable et capable de générer des données, explique un article du site Le monde de l'électricité en ligne. Ces données peuvent être appliquées à des stratégies telles que l’optimisation de l’utilisation de l’espace, le suivi des stocks et la fourniture de services selon la localisation. Ces stratégies peuvent à leur tour avoir des effets tangibles sur la réduction des coûts, l’efficacité des processus, la stratégie de marque et la satisfaction des occupants. » En équipant les lampadaires de capteurs, l’éclairage public devient intelligent (« smart public lighting ») : il est capable de détecter la présence ou l’absence de personnes pour adapter la luminosité et d’inspecter les équipements pour signaler des pannes ou anticiper des opérations de maintenance.
Mais avec cette hyperconnexion, la ville intelligente étend sa surface d’attaque. Et en plus d’être sensible, son infrastructure entière peut devenir vulnérable.
Un éclairage public vulnérable aux cyberattaques
La multiplication de ces équipements connectés dans les environnements urbains apporte son lot de contraintes et de menaces cyber. Une complexité accrue qui s’explique par la diversité des équipements utilisés comme des capteurs (température, humidité, mouvement), des balises GPS, des sondes ou encore des actionneurs qui se retrouvent installés sur des éléments fixes ou en mouvement. Double complexité supplémentaire : ces équipements sont accessibles à distance, notamment pour les questions de maintenance ; pour des acteurs variés (propriétaires, délégataires et sous-traitants) qui n’ont pas les mêmes compétences ou appétences pour les questions de cybersécurité...
Sur ce sujet de l’éclairage public, la surface d’attaque correspond ni plus ni moins à l’intégralité du réseau mis en place : l’architecture centralisée est vulnérable, tout comme les données qui y transitent. Si les données relatives à l'activité ou à l'intensité de l'éclairage semblent peu attractives pour les cyber-criminels, celles liées aux accès le sont bien davantage. Car après avoir accédé aux objets connectés, les cyber-criminels peuvent rebondir, grâce à des mouvements latéraux, vers d'autres réseaux internes des villes connectées. Et dans cet environnement informatique, les traditionnels spywares (logiciels espions), vers informatiques ou autres ransomwares sont des menaces réelles pour les environnements de contrôle et supervision. Pour récupérer ces accès, les cyberattaques de sniffing (attaques par reniflage) consistent à intercepter les flux de données qui transitent entre les luminaires, les points de contrôle d’éclairage et le système de télégestion. Enfin, le volume important de points sur le réseau le rend particulièrement attractif aux yeux des cyber-criminels pour lancer des attaques DDoS (attaques par déni de service distribué). Sur ce sujet, un parallèle peut être fait avec les caméras de surveillance connectées dans l'environnement urbain. En 2021, des experts en cybersécurité ont ainsi découvert que le botnet Moobot, basé sur Mirai, ciblait une faille dans des équipements de l'entreprise chinoise Hikvision, un acteur majeur sur le marché mondial des caméras de surveillance. Une faille pouvant être utilisée par des cyber-criminels pour lancer des cyberattaques par DDoS.
Sur ce sujet de l’éclairage public, la surface d’attaque correspond ni plus ni moins à l’intégralité du réseau mis en place.
Outre les perturbations immédiates des services, les coûts associés à la remédiation des systèmes affectés et à la sécurisation contre de futures attaques peuvent être considérables.
Quelle posture de cybersécurité adopter pour l’éclairage public ?
En adoptant une posture de cybersécurité de bout en bout, ces environnements urbains peuvent mettre en place des stratégies permettant de réduire le risque. Pour cela, il faut réussir à reconstituer l’architecture de la ville connectée et ainsi considérer les différentes couches des réseaux industriels jusqu’aux équipements de l’éclairage public connecté présents dans les rues. Pour cela, la notion de cyber défense en profondeur permet d’orienter la cybersécurité des environnements urbains : une approche qui vise à sécuriser chaque sous-ensemble du système et qui s'oppose à la vision d'une sécurisation du système uniquement en périphérie.
C’est pourquoi le cloisonnement, la segmentation réseau, le contrôle de flux, le chiffrement des canaux de communication ou encore l'authentification multifactorielle pour accéder aux systèmes critiques doivent être des éléments prioritaires à mettre en place. En complément, la mise à jour continue des logiciels des équipements connectés permet de prévenir les failles de sécurité et de répondre efficacement aux évolutions constantes des cyber-menaces – malheureusement, souvent plus facile à dire qu’à faire… Cette posture se décline également avec la sauvegarde régulière des données collectées par la ville et la mise en œuvre d’une politique de gestion des risques avec notamment des procédures robustes pour gérer les incidents de sécurité. L'objectif étant de créer un environnement sécurisé où l'information peut circuler librement. Car c’est ici l'enjeu principal pour pouvoir opérer un service intelligent : distribuer une information confidentielle, authentifiée, intègre et fiable au sein du réseau.
Les villes connectées font donc face à un double défi quand il est question d’éclairage public et d’environnement urbain : exploiter les avantages des nouvelles technologies tout en sécurisant leurs infrastructures contre les cyberattaques. L'adoption de stratégies de cybersécurité cohérentes et efficaces, appuyées par une connaissance approfondie des solutions utilisées, est alors une condition de la réussite des villes connectées.
