Aviation : Boeing jugé trop exposé aux failles de sécurité informatique

L’année 2019 n’aura pas été celle de Boeing. Après le scandale des 737 MAX dont les défaillances ont causé le crash de deux avions, conduisant la plupart des pays à clouer au sol les flottes de 737 MAX en attendant qu’une solution soit apportée, l’entreprise d’ aéronautique doit également faire face à d’importantes critiques concernant la sécurité de ses systèmes d’information.
C’est dans les pages du magazine CSO Online que le constructeur a fait face aux accusations. Le journaliste J.M. Porup y rapporte les propos de la spécialiste en sécurité informatique Chris Kubecka à l’occasion de la conférence Aviation Cyber Security, compte rendu également rapporté par nos collègues de Numerama. Lors de son intervention, la chercheuse ne mâche pas ses mots et affirme que le constructeur aéronautique n’a pas fait preuve du minimum de diligence raisonnable concernant la sécurisation de ses réseaux.
Le problème de sécurité au sein de l’entreprise d’aéronautique serait particulièrement probant. La chercheuse affirme avoir décelé des défaillances de sécurité flagrantes et pourtant faciles à corriger, notamment l’absence d’une connexion sécurisée HTTPS lorsqu’on se rend sur le site de Boeing ou encore l’absence de la spécification technique DMARC, qui permet de limiter les abus par mail (spam et phishing).
Le portail Web Aviation ID utilisé par Boeing est également pointé du doigt par Chris Kubecka. Il présenterait notamment une vulnérabilité de type XSS (cross-site scripting) qui – si elle est exploitée – permet d’injecter du code malveillant, ainsi que des soucis au niveau des normes d’authentifications et d’accréditation.
J.B.