Une voiture qui peut être piratée à distance : c’est arrivé !

De temps en temps (à quelques années d’intervalle), quelque chose de terrible a lieu dans l’univers cybernétique. C’est une sorte d’événement dramatique, auquel personne ne s’attend, et qui bouleverse véritablement le monde. Pour la plupart des « citoyens », ce n’est apparemment que la dernière des mauvaises surprises que réserve inévitablement le monde cybernétique. Alors que mes collègues et moi, nous secouons la tête, clignons des yeux, faisons la grimace et soulevons un sourcil à la manière de Roger Moore, tout en poussant une exclamation du style : « Nous vous attendions, M. Bond. Pourquoi avez-vous mis autant de temps ? ».

Etant donné que nous étudions et analysons en continu les principales tendances du côté obscur d’Internet, nous avons une certaine idée de qui se trouve derrière cet acte glauque. Nous imaginons également quelles peuvent en être les motivations. C’est ainsi que nous pouvons prévoir la manière dont les choses vont évoluer.

Chaque fois qu’un tel événement « inattendu » se produit, je me retrouve dans la situation inconfortable de devoir donner un discours (ou plutôt, des discours) dans le genre de « Bienvenue dans une nouvelle ère ». Je dois le reconnaître, je ne fais que reprendre des paroles que j’avais prononcées il y a quelques années. En plus, je n’ai qu’à mettre à jour un ancien discours, en ajoutant une phrase du style : « je vous avais mis en garde contre ça, mais vous pensiez que je me montrais alarmiste simplement pour vendre mes produits » !

Voilà, vous avez compris (personne n’apprécie d’entendre « je vous l’avais bien dit », alors je vais passer à autre chose). 🙂

Alors, de quoi s’agit-il cette fois-ci ? En réalité, cela concerne un secteur auquel je tiens beaucoup : celui du monde automobile !

Il y a quelques jours, le journal WIRED a publié un article dont la première phrase était : « je roulais à 110 km/h aux abords du centre-ville de Saint-Louis quand l’exploit a commencé à se produire ». Mince !

Hackers Remotely Kill a Jeep on the Highway—With Me In It http://t.co/b5t9A5WVKg Thx @nudehaberdasher, @0xcharlie for not quite murdering me

— Andy Greenberg (@a_greenberg) July 21, 2015

L’article se poursuit par la description d’une expérience menée par des hackers chercheurs en sécurité, provoquant à distance l’accident d’une voiture intelligente. Les chercheurs ont disséqué (pendant plusieurs mois) le système informatique Uconnect d’une Jeep Cherokee. Ils ont finalement trouvé une vulnérabilité et sont parvenus à prendre le contrôle des fonctions principales du véhicule via Internet (alors que le journaliste de WIRED conduisait sur l’autoroute) ! Je ne plaisante pas ! Et nous ne parlons pas là d’un « cas de laboratoire » isolé ne concernant qu’une seule voiture. Non, la faille que les chercheurs ont trouvée et exploitée concerne près d’un demi-million de véhicules. Oups ! Et mince, encore !

Toutefois, le problème de sécurité des voitures « intelligentes » n’a rien de nouveau. La première fois que j’en ai « plaisanté », c’était en 2002. Bon d’accord, c’était un poisson d’avril. Mais maintenant, c’est devenu réel ! Vous savez ce qu’on m’avait répondu ? Faites attention à vos souhaits plaisanteries (il y a toujours quelque chose de vrai dans les blagues). 🙂

Non seulement le problème n’a rien de nouveau, mais en plus, il est presque normal qu’il s’aggrave : les fabricants industriels se battent pour avoir des clients. Or, il est rare que l’un de ces derniers ne transporte pas en permanence un smartphone. Ainsi, il est normal que les voitures (les plus chères et les plus rapides) se transforment progressivement en extensions (des téléphones, non des utilisateurs – juste au cas où je me serais mal exprimé).

Les voitures intelligentes ont de plus en plus de fonctions de contrôle qui appartiennent au domaine des smartphones. Et le système Uconnect n’est pas le seul à être utilisé. En effet, presque tous les constructeurs automobiles possèdent leur propre technologie, certaines plus avancées que d’autres. Par exemple : Volvo On Call, BMW Connected Drive, Audi MMI, Mercedes-Benz COMAND, GM Onstar, Hyundai Blue Link, etc.

Il est bien beau que de plus en plus d’importance soit accordée au confort du conducteur moderne. Le problème, dans cette « course au armement » des constructeurs automobiles pour essayer de se dépasser entre eux, est que la question primordiale de la sécurité informatique est souvent ignorée.

Pourquoi ?

Premièrement, les constructeurs pensent qu’arriver en tête du Jones est essentiel : les meilleures fonctionnalités technologiques permettent de vendre plus de voitures. « La sécurité ? Parlons-en plus tard, d’accord ? Nous aurions dû lancer cela hier ».

Deuxièmement, les voitures contrôlables à distance représentent un marché avec de bonnes perspectives.

Troisièmement, il existe une tendance (toujours d’actualité) dans l’industrie automobile qui consiste à voir toutes les technologies informatisées des voitures comme quelque chose d’à part, de mystérieux, de difficile (eh oui !) et de pas très intuitif. Ainsi, aucun géant de l’industrie automobile n’a très envie de « se salir les mains » avec le thème de la sécurité informatique. Par conséquent, les personnes qui conçoivent les voitures intelligentes n’ont pas souvent les connaissances suffisantes pour garantir la sécurité de la technologie.

Tous ces éléments s’ajoutent à une situation où les voitures à la mode risquent de plus en plus de se faire pirater, et donc de se faire voler. Magnifique ! C’est exactement ce dont le monde a besoin maintenant !

Que s’est-il passé ?

D’accord, nous n’avons exposé que les grandes lignes du problème. A présent, voyons plus en détails les aspects techniques qui se cachent derrière la phrase : « Mais mince, qu’est-ce qui se passe ? »

En 1985, Bosch a développé le CAN. Je ne parle pas là du groupe de rockeurs avant-gardistes du même nom (qui s’est formé en 1968), mais du « Controller Area Network », c’est-à-dire d’un « bus » (réseau de communications à bord) qui permet de connecter différents appareils et de réguler les données échangées entre eux. En réalité, ces appareils possèdent des microcontrôleurs qui fonctionnent sans ordinateur central.

Par exemple, si quelqu’un appuie sur le bouton « AC » du tableau de bord, le microcontrôleur du tableau de bord envoie un signal au microcontrôleur de l’air conditionné disant : « Mets-toi en marche, le conducteur veut que l’atmosphère se refroidisse ». Ou si quelqu’un appuie sur la pédale de frein, le microcontrôleur du mécanisme de pédale envoie des instructions aux plaquettes de frein afin qu’elles se resserrent autour des disques.

Autrement dit, le système électronique d’une automobile est un réseau informatique du type pair à pair (ou « peer-to-peer ») conçu il y a plus de 30 ans ! Encore mieux : malgré les mises à jour et les améliorations du CAN effectuées pendant tout ce temps, le système ne possède toujours aucune fonction de sécurité ! Il fallait peut-être s’y attendre. En effet, quelle sécurité peut-on attendre, par exemple, d’un port série ? CAN est également un protocole de niveau bas, et il est clairement indiqué que sa sécurité doit être assurée par l’appareil ou l’application qui l’utilise.

Peut-être que les constructeurs automobiles n’ont pas lu le guide d’instructions. Ou peut-être qu’ils sont trop occupés à essayer de conserver une longueur d’avance sur leurs concurrents et de développer les meilleurs caractéristiques d’une voiture intelligente.

Quelles que soient les explications, la principale cause de tous les problèmes demeure : certains constructeurs automobiles continuent d’ajouter de plus en plus de contrôleurs au bus CAN, sans prêter attention aux règles de sécurité fondamentales. Dans le même bus, qui n’a aucun contrôle d’accès ou de caractéristiques de sécurité, ils regroupent tout dans un même système informatique qui contrôle absolument tout. En plus, le système est connecté à Internet. N’importe quoi !

Tout comme pour les vastes réseaux informatiques (par exemple, Internet), il est également nécessaire pour les voitures de « diviser les responsabilités » des contrôleurs. Les tâches réalisées dans une voiture et les communications avec le monde extérieur (qui peuvent être, par exemple, l’installation d’une application sur le système des médias par une boutique en ligne, ou l’envoi d’un rapport de performances du véhicule au constructeur) doivent être entièrement sécurisées et séparées des commandes du moteur, du système de sécurité et d’autres systèmes essentiels du véhicule.

Si vous présentez une voiture à un spécialiste en sécurité informatique, ainsi que les nombreuses fonctions qui peuvent être contrôlées, par exemple, par des applications Android, il serait en mesure de vous prouver en un rien de temps une dizaine (ou plus) de manières différentes de contourner la « protection » et de prendre le contrôle des fonctions à partir des applications. Un tel expert vous expliquerait également en quoi une voiture n’est pas si différente qu’un compte en banque. En effet, les comptes en banque peuvent être piratés par le biais de technologies spécialement conçues dans ce but (avec, dans leur cas, par des chevaux de Troie bancaires). Toutefois, une méthode encore plus puissante pourrait être employée afin de pirater une voiture, à l’image d’un compte bancaire : l’utilisation d’une vulnérabilité, comme cela a été le cas avec la Jeep Cherokee.

Quelques raisons de se réjouir ?

Il y en a quelques-unes.

De nos jours, l’industrie automobile semble être bien consciente (à l’image du reste du monde) de la gravité des problèmes de cybersécurité au sein de son secteur (et ce, grâce à des chercheurs en sécurité informatique comme ceux de WIRED, même si certains constructeurs ont du mal à exprimer ouvertement toute leur gratitude).

Pour appuyer cette constatation, l’Alliance of Automobile Manufacturers américaine a annoncé très récemment la création d’un Centre d’analyse et de partage des informations. Il « servira de noyau central pour l’intelligence et l’analyse, et permettra d’échanger en temps voulu des informations relatives à des menaces cybernétiques ou à des vulnérabilités potentielles, que ce soit dans les composés électroniques des voitures ou dans les réseaux associés aux véhicules. » Super. Mais je ne vois pas comment ils comptent faire sans l’intervention de quelques personnes spécialistes du monde de la sécurité.

Et l’industrie automobile n’est pas la seule à avoir réagi rapidement : quelques heures seulement après la publication de l’article de WIRED (apparemment, le timing était une coïncidence), les Etats-Unis ont promulguaient une nouvelle loi fédérale portant sur la standardisation des technologies utilisées dans l’industrie automobile en lien avec le secteur de la cybersécurité. Entre temps, nous sommes loin de nous tourner les pouces ou de croiser les bras : nous travaillons activement avec plusieurs marques automobiles afin de les conseiller pour prévoir des mesures de cybersécurité sur leurs voitures intelligentes.

Ainsi, comme vous pouvez le constater, il y a une lumière au bout du tunnel.

Cependant…

… Cependant, les problèmes de cybersécurité décrits ci-dessus ne se limitent pas à l’industrie automobile.

CAN et d’autres standards du même genre sont utilisés dans la production industrielle, le secteur de l’énergie, les transports, les services publics, les « maisons intelligentes », même dans l’ascenseur de votre bureau. En deux mots : DE PARTOUT ! Et le même problème apparaît de partout : le nombre de fonctionnalités de toutes ces nouvelles technologies augmente, sans que le thème de la sécurité ne soit pris en compte!

Apparemment, le plus important est toujours d’améliorer au plus vite les technologies pour devancer la concurrence, pour qu’elles soient sur Internet et pour que les gens puissent y accéder en se connectant depuis leurs smartphones. Et après, on se demande comment il est possible de prendre le contrôle d’un avion depuis un système d’entraînement !

Find myself on a 737/800, lets see Box-IFE-ICE-SATCOM, ? Shall we start playing with EICAS messages? "PASS OXYGEN ON" Anyone ? 🙂

— Chris Roberts (@Sidragon1) April 15, 2015

Que faut-il faire ?

Nous devrions commencer par revenir aux technologies utilisées avant Internet, comme des avions à hélices avec des systèmes de contrôle mécanique analogiques…

Non, c’est une blague ! 🙂 Personne ne voudrait remonter le temps et, de toute façon, ça ne fonctionnerait pas : les technologies du passé sont lentes, encombrantes, inefficaces, peu pratiques et… encore moins sécurisées ! Non, nous ne ferons pas marche arrière ! Nous irons toujours de l’avant !

Dans notre ère des polymères, des biotechnologies et de tous les appareils numériques, les avancées entraînent des résultats fous ! Regardez simplement autour de vous – et dans vos poches. Tout bouge, tout vole, tout est communiqué, tout est envoyé, reçu et échangé… et à une vitesse bien plus grande que par le passé. Les voitures (et les autres véhicules) appartiennent à ce tout.

Et ces éléments rendent la vie beaucoup plus confortable et agréable. De plus, la numérisation permet de résoudre de nombreux problèmes de fiabilité et de sécurité. Malheureusement, en même temps, elle crée de nouveaux problèmes. Et si nous poursuivons notre course effrénée vers l’avant, sans jeter un coup d’œil en arrière, en improvisant pendant que nous nous ruons vers les meilleures fonctionnalités, alors à la fin, nous nous retrouverons devant des conséquences imprévues et peut-être même fatales ! Un peu comme ce qui est arrivé au Zeppelin.

Il existe une alternative, qui est bien meilleure. Nous avons besoin de standards industriels : une architecture nouvelle et moderne et une attitude responsable pour développer des caractéristiques, en accordant une priorité à la sécurité.

Somme toute, l’article de WIRED nous a présenté une étude très intéressante. Et il sera encore plus intéressant de voir comment les choses évolueront dans l’industrie automobile à partir de maintenant. Au fait, pendant la conférence Black Hat qui se tiendra au mois d’août à Las Vegas, les auteurs du piratage feront une présentation. Cela vaudra le coup d’y assister…

Les voitures intelligentes peuvent être piratées à distance. Devons-nous retourner à l’âge de pierre ? Explications par @E_KasperskyTweet

PS : Vous pouvez penser que c’est une rétrogression (je parlerais plutôt de paranoïa), mais indépendamment du niveau d’intelligence d’une voiture connectée, je préférerais tout déconnecter directement (si seulement c’était possible). Bien sûr, ça ne l’est pas. Par exemple, il devrait y avoir un bouton à côté de celui des feux de détresse du type : « Déconnexion » !

PS (bis) : Vous me répondriez : « vous rêvez, Kasper  » ! Et vous auriez peut-être raison : bientôt, étant donné l’évolution des choses, une voiture qui ne serait pas connectée au « cloud » ne démarrera tout simplement pas !

PS (bis, bis) : Mais le cloud, et toutes les voitures qui y sont connectées, seront très vite piratées par le biais de fonctions vraiment essentielles, comme la reconnaissance faciale du conducteur pour régler automatiquement les rétroviseurs et le siège.

PS (bis, bis, bis) : Les voitures avanceront toutes seules, tout en étant reliées à un réseau numérique en particulier, et des pop-ups apparaîtront directement sur les pare-brises ! Pendant les pauses publicitaires, le contrôle sera repris et redirigé automatiquement en mode Google.

PS (bis, bis, bis, bis) : Quoi d’autre pourriez-vous ajouter à ce déversement de pensées désorganisées ? 🙂