C2 SENTINELLE
Station sol de l'opération. Chaque ordre est signé avec la clé du C2 et porte sa preuve de statut : le drone vérifie d'abord qui ordonne, puis si lui a le droit de le faire.
Ordres à RAPACE-07
Pilote
Un humain du registre VaultysClaw, propriétaire du Terminal pilote ↗ qu'il porte. Le terminal signe avec sa propre clé ; son certificat n'accorde que fleet:command.flight : décoller, patrouiller, rentrer. Rien d'autre, même quand le drone en aurait le droit.
Ordres du pilote à RAPACE-07
Ce que contrôle le tiers
Actions de l'attaquant
Identité
- Acteur
- RAPACE-07 dans le plan de contrôle ↗
- DID
- –
- Certificat
- –
- Preuve
- –
Droits accordés par son certificat
Profil « reconnaissance » : voler, patrouiller, capter, partager. Pas de largage, pas de sortie de zone, pas d'Internet, pas de commandement d'autres drones.
Ce que la flotte pense de lui, maintenant
Modèle de sécurité
Deux décisions pour chaque ordre. L'émetteur doit avoir le droit de l'ordonner (C2 : tout ; pilote : le vol seulement), et le drone doit avoir le droit de l'exécuter. Les deux se vérifient par signature, hors ligne.
Ce qui est garanti. Un ordre non signé par un émetteur autorisé est rejeté. Un drone ne fait que ce que son certificat accorde. Une preuve ne se forge pas sans la clé du plan de contrôle. Une révocation coupe le drone de toute la flotte en moins d'un TTL.
Ce qui ne l'est pas. Un tiers peut compromettre un drone via son outil de communication : jusqu'à la révocation, il agit avec les droits de ce drone — d'où le moindre privilège. Hypothèse : le contrôleur de vol reste un composant de confiance distinct du module de communication.
Décision
Réponse à incident
…ou révoquer depuis le plan de contrôle ↗Écriture irréversible dans le registre. Le drone n'a pas à coopérer : chaque pair refuse ses messages dès que sa dernière preuve « active » dépasse le TTL de 6 s.