⚛️ Cyber‑attaque d'une centrale nucléaire
Contexte, scénarios de menace et apprentissages des incidents cyber dans le secteur nucléaire critique.
Anatomie d'une cyberattaque nucléaire
L'intégration du numérique dans les systèmes de contrôle-commande (I&C) des centrales nucléaires présente des avantages en efficacité et en automatisation, mais expose également ces infrastructures, autrefois isolées (air-gapped), à des menaces cyber-physiques sophistiquées.
Les installations nucléaires sont devenues des cibles stratégiques en raison de leur rôle vital et de l'impact psychologique et économique qu'une compromission pourrait avoir.
L'approche est pédagogique, cherchant à fournir une compréhension factuelle des vecteurs d'attaque pour l'élaboration de défenses efficaces, plutôt que de susciter l'alarmisme.
🌍 Géopolitique – Industrie – Hacking
La menace cybernétique contre les installations nucléaires se situe à l'intersection de trois domaines :
Géopolitique
Les installations nucléaires sont des cibles primordiales dans les conflits modernes. Une attaque, même sans catastrophe radiologique, peut avoir des conséquences psychologiques, économiques et politiques dévastatrices.
🎯 Motivations étatiques
Industrie
La sécurité des centrales dépend désormais de l'intégrité de systèmes de contrôle-commande (I&C) numériques complexes. Cette dépendance logicielle pour les fonctions vitales de protection et de régulation a créé une nouvelle surface d'attaque.
Hacking
Seuls des acteurs disposant de ressources considérables, comme des États-nations, possèdent l'expertise nécessaire pour lancer des attaques capables de pénétrer les systèmes de sécurité des centrales.
⚛️ Les fondements du réacteur à eau pressurisée (REP)
Comprendre les lois physiques et les principes d'ingénierie qui régissent un réacteur est essentiel pour analyser une cyberattaque.
De la fission à l'électricité : le cycle thermodynamique
La fission nucléaire de l'uranium-235 libère une chaleur immense, convertie en électricité via un cycle thermodynamique de Rankine impliquant trois circuits d'eau isolés :
🔄 Les trois circuits
Le cœur du réacteur : combustible, modérateur et contrôle
🧱 Composants du cœur
L'art du contrôle : criticité et coefficients de réactivité
La puissance du réacteur est liée à sa criticité (facteur de multiplication des neutrons, k) :
🎯 États de criticité
Le point de rupture : la crise d'ébullition (DNB)
Le "Departure from Nucleate Boiling" (DNB) est un seuil critique où un film de vapeur isolant se forme, empêchant le transfert de chaleur et pouvant mener à la fusion du cœur.
📚 Acteurs, motivations et précédents notables
Le contexte des opérations cybernétiques stratégiques
Les attaques contre les installations nucléaires civiles sont des actes graves, nécessitant des ressources et une expertise étatiques. Les motivations sont stratégiques : non-prolifération, avantage militaire, ou guerre psychologique pour déstabiliser.
Leçon n°1 – Stuxnet : la maîtrise du processus physique
Stuxnet (2010) a démontré la capacité d'une cyberattaque à causer des dommages physiques. En manipulant les automates programmables (PLC) des centrifugeuses d'enrichissement d'uranium à Natanz, les attaquants ont provoqué la désublimation de l'UF₆, entraînant la destruction des centrifugeuses.
🔑 Clés du succès
Leçon n°2 – Trisis : le ciblage direct des systèmes de sûreté
Trisis (2017) a ciblé un système instrumenté de sécurité (SIS) Triconex, prouvant qu'il est possible de modifier la logique du contrôleur de sûreté, quelle que soit la position de la clé physique.
⚙️ Technique d'exploitation
🧠 La cible – Teleperm XS
La plateforme Teleperm XS (TXS) de Framatome, largement utilisée pour les fonctions critiques des centrales nucléaires, est au centre de ce scénario d'attaque.
Architecture d'un cerveau numérique de sûreté
L'architecture de TXS est conçue pour une fiabilité maximale, avec des unités fonctionnelles clés :
🔧 Unités fonctionnelles
La « Service Unit » : porte d'entrée privilégiée
La "Service Unit" (SU) est un ordinateur standard (COTS) sous Linux SUSE, utilisé par les ingénieurs de maintenance. Elle a un accès privilégié bidirectionnel au réseau de sûreté via la MSI.
🔑 Capacités d'accès
Vulnérabilité de l'interlock logiciel
La directive américaine "Staff Position 10" exige des verrouillages matériels, mais l'implémentation de TXS contourne cette règle :
⚠️ Faille de conception
Confiance aveugle : la faiblesse du CRC32
Le système TXS utilise des sommes de contrôle CRC32 pour l'authenticité des firmwares. Cependant, le CRC32 est inefficace contre les manipulations intentionnelles.
💣 Exploitation possible
💥 Scénario d'attaque : SLOCA
Cette section développe un scénario d'attaque pour illustrer comment une cyberattaque pourrait provoquer la fusion du cœur d'un REP.
La méthodologie de l'attaquant : les « 4 D »
L'approche de l'attaquant est stratégique, visant bien plus que la simple destruction :
💀 Les quatre objectifs
L'événement initiateur : ouverture forcée des PSRVs
Le scénario est un accident par petite brèche du circuit primaire (SLOCA), initié cybernétiquement. Un implant malveillant force l'ouverture simultanée et maintenue de deux des trois vannes de sûreté du pressuriseur (PSRVs).
Paralyser les contre-mesures
L'attaque anticipe et paralyse les contre-mesures :
🚫 Neutralisation des défenses
Simulation « Cyber Three Mile Island »
Une simulation avec le logiciel PCTran a montré une dégradation rapide du réacteur, menant au dénoyage du cœur en moins d'une heure.
| Temps | Événement Clé | Conséquence Physique |
|---|---|---|
| 0 s | Début attaque : 2 PSRVs ouvertes | Début SLOCA, chute pression circuit primaire |
| 69 s | Arrêt d'urgence (SCRAM) | Production s'arrête, chaleur résiduelle demeure |
| 79 s | Inhibition Injection Sécurité | Blocage injection d'eau borée compensatrice |
| 98 s | Rupture disques PRT | Réfrigérant se déverse dans l'enceinte |
| 520 s | Début ébullition dans le cœur | Formation de vides (vapeur) dans le cœur |
| 3029 s (49 min) | Dénoyage du cœur | Combustible non refroidi → fusion imminente |
🔬 Conclusion et ressources
Une cyberattaque physique contre un réacteur nucléaire moderne est un risque complexe mais plausible. La vulnérabilité réside dans la convergence d'une cible accessible (Service Unit), de protections par interlock logicielles (non matérielles), de vérifications d'intégrité de firmware faibles (CRC32), et d'une manipulation précise de la physique du réacteur.
Risques et perspectives
Un accident de type Tchernobyl est improbable dans un REP moderne, mais un scénario de « Cyber Three Mile Island » (fusion du cœur contenue) est concevable, avec des conséquences économiques, politiques et psychologiques incalculables.
Défenses et recommandations
- Transparence : Publication des recherches et vulnérabilités
- Recherche offensive éthique : Red team et tests d'intrusion
- Formation continue : Sensibilisation des équipes
- Cadres réglementaires : AIEA et ANSSI
Remerciements et ressources
Un immense merci à Ruben Santamarta pour son travail de recherche exceptionnel :