Voitures connectées : 413 failles de sécurité découvertes

Des chercheurs suédois cartographient les failles de vos voitures connectées

Des chercheurs des universités de Gothenburg et de Chalmers (Suède) ont publié dans le Software Quality Journal une étude recensant 413 vulnérabilités logicielles dans les véhicules connectés. Parmi elles, près de 45 % sont classées à haute sévérité. Certaines concernent des systèmes suffisamment proches des fonctions de conduite pour que la question du contrôle des freins et de la direction soit posée, selon Gadget Review. L’étude paraît alors que les voitures modernes embarquent des dizaines d’unités logicielles connectées en permanence à des services extérieurs.

Le résultat dérange, mais il mérite d’être lu avec précision : une faille recensée n’est pas une voiture piratée.

D’où viennent ces 413 failles ?

La répartition que les chercheurs ont établie dit beaucoup sur la nature du problème.

36,2 % des vulnérabilités se trouvent dans des applications externes et des services cloud, c’est-à-dire hors du véhicule lui-même.
23,5 % concernent les composants matériels embarqués, les puces et les systèmes sur puce.
Les failles restantes se distribuent sur sept autres vecteurs d’attaque identifiés dans l’étude.

En parallèle, les chercheurs ont passé au crible 20 projets de logiciels automobiles open source et y ont découvert 827 bibliothèques logicielles vulnérables, soit environ deux fois le nombre de failles individuelles recensées. Ce chiffre ne doit pas être additionné au premier : une bibliothèque vulnérable et une faille identifiée sont deux unités de mesure différentes. Mais l’ordre de grandeur confirme que la surface exposée est bien plus large que l’habitacle.

Ce qui frappe dans ces chiffres, c’est l’origine du problème : la voiture n’est plus un objet fermé. Elle est un nœud dans une chaîne d’approvisionnement logicielle qui relie le conducteur à des applications tierces, à des serveurs distants, à des bibliothèques de code développées par des équipes sans lien direct avec le constructeur. Quand une de ces bibliothèques contient une faille connue et que personne ne l’a mise à jour, la faille monte dans le véhicule sans que le conducteur en sache rien.

Ce que « haute sévérité » veut dire concrètement

Les types de vulnérabilités que les chercheurs ont rencontrés ne sont pas des menaces exotiques propres à l’automobile. Ce sont des failles classiques de l’informatique générale : injection SQL (une technique qui permet à un attaquant d’envoyer des commandes malveillantes à une base de données) et corruption de mémoire (un mécanisme qui peut permettre d’exécuter du code non autorisé). Ces failles sont bien documentées, bien comprises, et leurs correctifs existent. Elles se retrouvent simplement désormais dans des objets qui roulent à 130 km/h.

Les chercheurs distinguent trois niveaux de risque, et ils ne se valent pas.

Le premier est l’exposition des données : historique de localisation, trajets enregistrés, identifiants de compte, informations clients détenues par un service lié. Ce niveau de risque est le plus probable et déjà documenté : certaines applications ont été prises en flagrant délit de traçage des utilisateurs à intervalles réguliers.

Le deuxième est la possibilité théorique qu’un système externe compromis atteigne les réseaux internes du véhicule. Cela dépend de la qualité de l’authentification et du degré d’isolation entre les différents réseaux embarqués. Possible, mais conditionnel.

Le troisième, le contrôle direct des fonctions de sécurité critiques comme les freins ou la direction, est le scénario le plus grave. Les chercheurs n’en ont démontré aucun parmi les 413 failles analysées.

Le précédent Jeep : le pire n’est pas de la science-fiction

En 2015, deux chercheurs en sécurité, Charlie Miller et Chris Valasek, ont pris le contrôle à distance d’une Jeep Cherokee. Via le système d’infodivertissement, ils ont démontré leur capacité à agir sur la transmission, la direction et les freins. Fiat Chrysler a rappelé environ 1,4 million de véhicules en réponse.

Ce cas, rapporté par Gadget Review, établit deux choses en même temps : le scénario catastrophe n’est pas fictif, et il a requis des conditions très spécifiques, menées par des professionnels chevronnés dans un cadre contrôlé. Ce n’est pas une attaque reproductible depuis un parking par n’importe qui.

Mais voilà ce que le précédent Jeep révèle sur la structure du problème : ce n’est pas le moteur qui a été compromis, c’est l’écran tactile. L’écran était connecté à Internet. Internet a servi de porte d’entrée vers les autres systèmes. La chaîne était aussi solide que son maillon le plus faible.

Qui décide, qui paie, qui assume ?

Les chercheurs le notent clairement : la responsabilité principale de sécuriser les applications, les services cloud et les bibliothèques tierces incombe aux constructeurs. Ce sont eux qui choisissent leurs fournisseurs, qui intègrent les composants logiciels dans leurs plateformes, qui définissent les conditions de mise à jour.

Le conducteur, lui, n’a aucune visibilité sur ce que sa voiture exécute comme code, ni sur l’âge des bibliothèques embarquées. Il ne peut pas mettre à jour son véhicule comme il met à jour son téléphone. Et si une faille est exploitée, c’est lui qui en supporte les conséquences, qu’elles soient limitées à ses données de déplacement ou qu’elles touchent à quelque chose de plus grave.

La bonne nouvelle, c’est que la publication de cette étude dans une revue scientifique crée une pression documentée sur les constructeurs. Nommer les 413 failles, les classer, identifier leurs vecteurs : c’est exactement ce qui permet ensuite d’exiger des comptes. La transparence sur les vulnérabilités est, dans ce domaine, la première forme de protection.