L'Usine Auto

[Avis d’expert] Comment protéger les véhicules connectés contre les tentatives de piratage ?

,

Publié le

Tribune Les nouvelles générations de véhicules connectés ou semi-autonomes embarquent des technologies de plus en plus complexes, les rendant plus vulnérables aux tentatives de cyberattaques. La meilleure défense étant parfois l’attaque, la sécurité offensive semble s’imposer comme une approche payante auprès des principaux constructeurs mondiaux.

[Avis d’expert] Comment protéger les véhicules connectés contre les tentatives de piratage ? © Hyundai

Le premier programme de bug bounty, véritable chasse aux vulnérabilités informatiques avec primes à la clé, est né dans les années 80 aux Etats-Unis. A l’époque, la société d’ingénierie Hunter & Ready lance son système d'exploitation en temps réel VRTX (Versatile Real-Time Executive), une technologie permettant de contrôler à distance le télescope Hubble. Dans la foulée, elle fait paraître une annonce dans la presse, promettant une récompense aux hackers qui parviendraient à détecter une faille de sécurité dans ce système. La récompense : une Volkswagen Beetle.

De simples récompenses, les voitures sont ensuite devenues les propres sujets des programmes de bug bounty. Une partie des plus grands constructeurs mondiaux se sont en effet lancés dans l’aventure de la sécurité offensive, invitant les pirates éthiques à mettre les systèmes de sécurité de leurs derniers modèles à l’épreuve d’assauts répétés.

Selon un rapport de Juniper Research, 775 millions de véhicules privés seront connectés d’ici 2023, contre 330 millions en 2018. Les voitures sont devenues de véritables concentrés de technologies complexes, notamment avec l’intégration de processeurs, de serveurs cloud et d’applications dans les ordinateurs de bord. Et avant même de considérer les voitures connectées et les véhicules autonomes, force est de constater que la plupart des voitures modernes possèdent déjà un GPS, des systèmes multimédias avec WiFi intégré, un système de surveillance et des clés connectées. A ceci s’ajoute la conception, le développement, la fabrication, le financement, la commercialisation et la vente des véhicules, également largement soutenus par l’informatique. Autrefois pour sécuriser une voiture, il suffisait d’ajouter un verrouillage au volant. La surface d'attaque d'un véhicule moderne est désormais bien plus complexe. Les constructeurs automobiles doivent ainsi intégrer la cyber sécurité au même titre que n'importe quelle entreprise numérique moderne.

De nombreuses failles à exploiter

Lorsqu’un cybercriminel veut exploiter une faille de sécurité d’un véhicule, il tente en premier lieu de forcer son ouverture pour le voler. Le plus souvent la faille émane d’un faible chiffrement dans la transmission du module RF (radiofréquence).

Il s’avère en outre que la plupart des protocoles réseau CAN (Controller Area Networks) ont la particularité d’être fondamentalement conçus sans sécurité. Lorsqu’un pirate obtient un accès physique aux données du protocole réseau CAN, il accède de manière privilégiée à de nombreuses fonctions du véhicule. Hacker le réseau physique des véhicules revient donc à accéder au protocole réseau CAN. Les pirates peuvent y accéder en connectant un ordinateur directement au port On Board Diagnostics II (OBDII) du véhicule ou même à distance. Ils peuvent également utiliser des logiciels de rétro-ingénierie (parfois gratuits), pour comprendre le fonctionnement des protocoles de communication interne des véhicules.

La rétro-ingénierie est d’autant plus facilitée que les protocoles de communication des véhicules sont normalisés, et pour la plupart régis par des normes internationales (UDS, XCP, CCP, LIN). En accédant à ces informations, les pirates sont en mesure d'identifier les retours positifs et d’en déduire certaines fonctions types. Les technologies généralement utilisées pour pirater un véhicule connecté incluent les radios définies par logiciel, ou SDR (hackRF, bladeRF, ubertooth/yardstick) qui capturent les échanges RF (radio fréquence) avec le véhicule et rejouent, relaient ou cassent le chiffrement du signal.

Il existe d’autres points d’accès aux véhicules, comme par exemple le Bluetooth, systématiquement activé une fois que le véhicule roule, le WiFi, les capteurs d’aide à la conduite (ADAS) ou encore le capteur de surveillance de la pression des pneus (TPMS). Et dans leur volonté d’alléger le poids des pièces pour gagner en efficacité, les constructeurs optent davantage pour des solutions sans fil, avec tous les risques que cela implique en matière de sécurité. Cela ouvre la voie à de nouveaux points d'accès encore inconnus des pirates.

Un fossé de connaissances à combler

Si les failles peuvent sembler nombreuses, il faut quand même préciser que pirater une voiture n’est pas à la portée de n’importe quel hacker, tant les technologies des véhicules connectés sont complexes. Cela coûte également de l’argent. Il faut par exemple plusieurs milliers d’euros, rien que pour obtenir les documents nécessaires au piratage d’un protocole réseau CAN. Et cet investissement seul n’est rien. La technologie CAN est tellement complexe qu’il faut être un ingénieur automobile ou assimilé pour comprendre son fonctionnement. Les Radiofréquences peuvent également nécessiter des mois d'études pour comprendre leur fonctionnement. 

Dans le paysage de la menace, les outils exploités par les hackers répondent bien souvent exclusivement à des usages ponctuels spécifiques. Le coût d'entrée pour un hacker amateur dans l’industrie automobile est extrêmement élevé avec des outils pouvant aller jusqu’à 20 000 euros selon la technologie testée, le coût des licences et la qualité des outils. A l’évidence, il faut aussi pouvoir disposer d’un véhicule à tester, et finalement très peu sont prêts à pirater leur principal moyen de transport. Au final, le véritable challenge est qu’il est très difficile de faire ses premiers pas en tant que pirate dans le secteur automobile (quel que soit le côté de sa force) et par conséquent difficile pour les nouveaux talents de la communauté de hacking éthique d'apporter une réelle valeur ajoutée à ce problème de sécurité.

Confrontés à ces nouveaux et nombreux défis, les constructeurs automobiles sont de plus en plus nombreux à appréhender les bienfaits des programmes de sécurité organisés en crowdsourcing. En prenant le virage de la sécurité collaborative, les constructeurs favorisent des mesures proactives comme le recours au hacking éthique. Les véhicules connectés n’échappent pas aux règles de l’informatique traditionnelle, le risque zéro des systèmes ne peut être garanti à 100% et le développement de l’autonomie au sein des véhicules va continuer de les vulnérabiliser.

General Motors, un constructeur engagé dans la sécurité offensive

GM est l’un des constructeurs les plus avancés technologiquement et a reconnu depuis longtemps la nécessité d’anticiper les risques potentiels de sécurité. Le constructeur a commencé par développer un programme de divulgation des vulnérabilités (VDP), qui a permis d’identifier plus de 700 bugs en 2 ans.

L’un des hackers éthiques impliqués dans le programme a par exemple pu informer GM qu’il existait un moyen de contourner les limites de données sur le système de point d'accès Wi-Fi OnStar du véhicule. Ce point d'accès étant disponible dans plus de 4 millions de véhicules GM en circulation, les conséquences face à cette vulnérabilité potentielle auraient pues être graves...

Dès que les vulnérabilités sont remontées, GM peut corriger les bugs rapidement, en mettant à contribution ses équipes de sécurité internes. Et bien que GM disposait déjà d’une équipe de sécurité expérimentée, le constructeur a reconnu la valeur ajoutée d’une communauté de hackers éthiques pour détecter des bugs qu'ils n’auraient pas trouvé sans eux.

Et ce programme ne profite pas qu’à GM. Les bénéfices s'étendent également à ses principaux fournisseurs et à ses partenaires, faisant de la politique de divulgation des vulnérabilités de GM, l’une des plus complètes de tous les secteurs.

La sécurité offensive dans le secteur automobile n’en est qu’à ses prémices, mais comme la technologie connectée est de plus en plus présente dans les véhicules, les constructeurs ont tout intérêt à prendre ce virage, d'autant plus que les consommateurs sont particulièrement préoccupés par les menaces qui pèsent sur les véhicules physiques. Les cybercriminels tenteront toujours de garder une longueur d'avance et d'explorer d’autres voies créatives pour tirer profit des technologies émergentes. Permettre aux chercheurs experts en sécurité d'avoir la même liberté de tester est la clé pour assurer la sécurité des véhicules du futur.

Par Thaddeus Bender, responsable des programmes techniques, HackerOne

Les avis d'experts sont publiés sous l'entière responsabilité de leurs auteurs et n'engagent en rien la rédaction de L'Usine Nouvelle

 

Réagir à cet article

Testez L'Usine Nouvelle en mode abonné. Gratuit et sans engagement pendant 15 jours.

Les entreprises qui font l'actu

Créez votre compte L’Usine Connect

Fermer
L'Usine Connect

Votre entreprise dispose d’un contrat
L’Usine Connect qui vous permet d’accéder librement à tous les contenus de L’Usine Nouvelle depuis ce poste et depuis l’extérieur.

Pour activer votre abonnement vous devez créer un compte

Créer votre Compte