Réseau air-gappé.

Un réseau air-gappé n'a aucune connexion directe avec des réseaux moins fiables ; les données ne franchissent la frontière que par des moyens contrôlés — supports amovibles, diodes de données ou stations de transfert de type kiosque. Les air gaps protègent les systèmes de sûreté des centrales nucléaires, les réseaux militaires classifiés, le cold storage de cryptomonnaies, l'infrastructure électorale et des pans d'ICS, en partant du principe que l'isolement physique oblige l'attaquant à franchir le fossé.

L'histoire montre que le fossé est franchissable. Stuxnet (découvert en 2010) a atteint l'usine d'enrichissement de Natanz (Iran) sur supports USB et s'est propagé dans le réseau isolé via des 0-days comme la faille de fichiers LNK CVE-2010-2568. Le ver agent.btz a franchi les réseaux classifiés du Central Command américain en 2008 via une clé USB, déclenchant l'opération Buckshot Yankee et une interdiction durable des supports amovibles au DoD. Au-delà de l'USB, des chercheurs menés par Mordechai Guri à l'université Ben-Gourion ont démontré tout un catalogue de canaux cachés qui exfiltrent des données d'un hôte réellement déconnecté : AirHopper (radio FM depuis le bus GPU), Fansmitter (acoustique, en variant les RPM du ventilateur), BitWhisper (thermique) et LANtenna (RF depuis le câblage Ethernet). À faible débit mais bien réels, ils montrent qu'un air gap ralentit, sans jamais l'éliminer, un adversaire déterminé déjà présent.

flowchart LR
  subgraph Untrusted["Entreprise / Internet"]
    A[Attaquant]
  end
  subgraph Gap["Frontière contrôlée"]
    B[USB / support amovible]
    C[Diode de données - unidirectionnelle]
    D[Kiosque / station de scan]
  end
  subgraph AirGap["Réseau air-gappé"]
    E[Poste d'ingénierie]
    F[Automates ICS / SIS]
  end
  A -.->|USB infecté / chaîne d'appro| B
  B --> E
  C --> E
  D --> E
  E --> F
  F -.->|Canal caché :<br/>RF, acoustique, thermique| A

Les programmes efficaces associent l'air gap à une politique stricte de contrôle des supports, un firmware signé et vérifié, une détection d'intrusion sur l'hôte, des diodes de données pour la télémétrie unidirectionnelle et une surveillance des activités anormales de périphériques, d'USB ou de RF — en traitant l'air gap comme une couche de défense en profondeur, pas comme une garantie.