Décryptage / Piratages automobiles : le spectre plane

L'enquête qui a mené au piratage d'une voiture la semaine dernière - un fait révélé par le très réputé magazine américain Wired - n'a pas fini de faire couler de l'encre. Pour rappel, deux chercheurs informatiques, Charlie Miller et Chris Valasek, ont pris le contrôle d'une Jeep Cherokee, imposant au conducteur (un journaliste du magazine) des manœuvres qu'il ne souhaitait pas. En l'occurrence, celui-ci avait notamment vu la radio du véhicule fonctionner toute seule puis les essuie-glaces se déclencher. Beaucoup plus inconfortable et alarmant: les pirates étaient aussi intervenus sur le moteur, poussant le vice jusqu'à la coupure totale des cylindres ou l'évanouissement des freins malgré la sollicitation de la pédale (voir la vidéo ci-dessous).

Réaction

Premier concerné par cette affaire, le groupe Fiat-Chrysler Automobiles n'a évidemment pas tardé à réagir via son blog. Bien que le groupe ne nie pas la réalité du piratage, FCA a tenu à souligner que « Miller et Valasek ont travaillé pendant un an pour intentionnellement pirater la voiture appartenant à Miller dans le cadre de leur projet de recherche sur la cybersécurité dans le domaine automobile et ont approché FCA concernant certains aspects de leurs travaux ». Le groupe a ajouté qu'à sa connaissance « il n'y a pas eu un seul cas d'incident réel de piratage illégal et non autorisé d'un véhicule de la marque ».

Mise à jour

FCA tente évidemment de minimiser les faits et le constructeur s'est voulu rassurant face à ce qui s'avère être en réalité une véritable crise. FCA a indiqué qu'il avait créé une mise à jour pour le logiciel concerné du UConnect équipant certains de ses modèles 2013, 2014 et 2015 (les pick-up Ram 2013-2014, les Jeep Grand Cherokee 2014, les Dodge Durango 2013-2014, les Chrysler Viper 2014, les Jeep Cherokee 2014 et certains modèles de Chrysler 200 millésime 2015) et que celle-ci était disponible pour téléchargement à partir d'une clé USB. Les propriétaires pourront soit se rendre chez leur concessionnaire pour procéder à l'installation, soit le faire chez eux, la procédure n'exigeant que 45 minutes, véhicule à l'arrêt.

Un vrai problème de fond

Ce n'est pas la première fois que les véhicules connectés posent la question de la sécurité ou des risques de piratage car, comme le rappelait le journal Le Monde, les deux pirates engagés par Wired n'en sont pas à leur coup d'essai. Ces deux informaticiens ont en effet commencé à travailler sur la voiture connectée dès 2012. En 2013, ils avaient fait une démonstration en se branchant sur le tableau de bord et en désactivant les freins tandis qu'en 2014, ils avaient établi une liste des véhicules les moins bien protégés. Dont la Jeep Cherokee piratée la semaine dernière. Dans ce dernier cas, Charlie Miller et Chris Valasek se sont appuyés sur le système Uconnect connectés à internet et dont il connaissaient l'adresse IP. Une fois dans l'interface, les deux chercheurs ont ensuite accédé aux autres systèmes informatiques avant de s'attaquer aux commandes physiques. Un protocole qui pourrait bien s'appliquer à beaucoup d'autres automobiles et, forcément, à celles qui sont moins bien sécurisées.

Prendre des mesures

En 2014, Chris Valasek s'inquiétait déjà que les constructeurs ajoutaient régulièrement des nouveaux outils sans prendre en compte les risques pour la sécurité. Une évidence que confirmait dès 2013 le chercheur Stefan Savage au magazine Forbes, précisant qu'il s'agit « de vulnérabilités semblables à celles des PC du début au milieu des années 1990, quand les ordinateurs commençaient à se connecter à internet ». Manifestement, le sujet inquiète, même les autorités puisqu'à la suite de cette affaire, les sénateurs américains Ed Markey et Richard Blumenthal ont évoqué une future loi imposant de nouveaux standards de sécurité informatique aux constructeurs.

Et en Europe ?

Mais ces mesures ne concerneraient toutefois que le territoire américain. On se demande dès lors quelle sera la réaction de l'Europe, même si Hervé Schauer, directeur général de HSC by Deloitte et spécialiste conseil et audit en sécurité des systèmes d'information, indiquait au site Solutions Numériques « que les Européens sont un peu plus au courant que les autres, et les Japonais un peu en retard ». Et l'homme de préciser que « en Europe, les constructeurs procèdent à des audits de sécurité et font appel à des sociétés spécialisées. Le micro constructeur américain Tesla a publiquement beaucoup recruté en sécurité, ils ont organisé des concours de piratage de leur voiture. Mais Tesla, ce n'est pas Toyota, ni apparemment Chrysler. Il ne faut pas oublier qu'un constructeur de voiture fait le design et l'assemblage de composants conçus séparément, il est un intégrateur, et tout est mis sur le même réseau et le même ordinateur de bord. Il y a alors des problèmes d'homogénéité inévitables ».

150 millions en 2020

Rappelons que, selon le cabinet IHS, 36 millions de voitures connectées sont actuellement en circulation, un chiffre qui pourrait atteindre les 150 millions d'unités d'ici à 2020. Assurément, et au-delà du sensationnalisme du reportage de Wired, la démarche du magazine a au moins le mérite d'attirer l'attention sur des failles trop longtemps ignorées des utilisateurs qui sont finalement les premiers exposés.

Découvrez ici la vidéo tournée par Wired sur le piratage de la Jeep Cherokee