La voiture connectée, un ordinateur sur roues facilement piratable

De plus en plus de données sensibles sont générées par les voitures, qui font face à des menaces courantes dans l'informatique, comme les ransomwares ou les attaques contre des serveurs Web.

La voiture connectée est l'un des thèmes centraux de la mobilité et selon Gartner, il faudra compter 250 millions de voitures connectées sur la route d’ici 2020. De nombreux modèles de véhicules de différents constructeurs sont déjà commercialisés aujourd'hui, et dans quelques années seulement, la connexion permanente entre le véhicule, les systèmes back-end des constructeurs et autres partenaires de service et l'Internet (5G ou WIFI) sera devenu standard.

Cependant, de plus en plus de données (personnelles, financières etc.) sont générées, échangées, traitées dans les voitures. Cela peut également créer de nouveaux dangers, car les voitures deviennent de plus en plus des centres de données roulants, et sont exposées non plus à des scénarios d'attaque individuelle mais à des menaces désormais courantes dans l‘IT, à l’image des ransomwares ou des attaques contre des serveurs Web.

Depuis la première démonstration en 2015 de la vulnérabilité des voitures connectées, plusieurs failles ont été mises en évidence pouvant faire l’objet d’attaques variées : via les interfaces média, sur les systèmes back-end via le web ou agissant directement pour influencer ou détourner les capteurs du véhicule ou la communication entre véhicules (Car2X). Le danger potentiel devient particulièrement élevé : ce type d’attaque peut déclencher ou empêcher un freinage d'urgence.

Face à des systèmes de plus en plus complexes, dans lesquels la protection de l’usager est en jeu, la sécurité doit être un des éléments clés dans les voitures connectées. Lors de la conférence DIVMA sur la sécurité, qui s’est tenue à Bonn, en Allemagne en 2017, les chercheurs ont notamment pointé un problème de sécurité sur les protocoles CAN (Controlled Area Network). La question du cycle de vie des produits a aussi été soulevée : comment les fournisseurs et les fabricants peuvent fournir des mises à jour de sécurité à des véhicules roulant depuis plus de 20 ans et ayant eu plusieurs propriétaires ?

Protection de bout en bout

Quelle que soit la réponse, une voiture connectée ne sera sécurisée que si elle est construite avec une sécurité intégrée dès le premier jour, et ce tout au long de son cycle de vie : de la conception à la production, en passant par l'exploitation et le démantèlement. Si les constructeurs automobiles intègrent de plus en plus cette culture de la sécurité, la chaîne d'approvisionnement est complexe et fragmentée. Un seul bout de la chaîne n’est pas l’unique responsable de la sécurisation. La voiture connectée et sa sécurité sont également du ressort des équipementiers et des fournisseurs de composants et de logiciels électroniques. Les 3 couches de la voiture connectée doivent être protégées, afin d’atténuer le risque qu’un composant ou un service soit compromis : celle du véhicule, du back-end et du cloud, ainsi que la couche réseau.

En ce qui concerne la couche réseau, les défis sont complexes puisqu’il existe de multiples systèmes de communication avec les partenaires externes pour fournir différents services : mises à jour en direct, streaming, communication avec d'autres véhicules et l'infrastructure, caractéristiques de navigation, etc. Les architectures traditionnelles sont intrinsèquement dépourvues de chiffrement afin d'assurer la légèreté et une transmission sans faille des données et de la connectivité, mais ce n'est plus suffisant pour protéger le véhicule. L’authentification à base de certificats et le chiffrement sont maintenant essentiels pour valider l'identité de l'appareil et pour l'envoi des données à d'autres tiers.

La cybersécurité, nouveau différenciateur

Il est très possible qu'un constructeur automobile commercialise ses véhicules en argumentant sur leur sécurité, même si de telles affirmations attireront indéniablement l'attention des cyber-attaquants. Quoiqu’il arrive les fabricants ont besoin d'avoir l'assurance que leurs fournisseurs prennent en charge la sécurité de leurs produits et services. Les fournisseurs doivent prendre en compte le fait que la sécurité deviendra probablement un facteur de décision dans les partenariats à l'avenir. Au fur et à mesure que les voitures connectées sont conçues, il est temps de voir la sécurité comme un moteur d’innovation pour le secteur automobile plutôt que de la percevoir comme une entrave.

Au même titre que toute autre entreprise de l’IT, les constructeurs et parties prenantes doivent mettre en place des stratégies pour empêcher les failles et intrusions. Au-delà d’une surveillance en continu, la création d'un plan d'action est nécessaire, incluant des évaluations de la vulnérabilité et des tests de contrôle de routine afin de vérifier régulièrement la sécurité des composants, de l'infrastructure back-end jusqu'aux systèmes embarqués du véhicule.

Le RGPD augmente les attentes

La confidentialité des données est également un élément essentiel pour les conducteurs de voitures connectés. Il existe toujours une ignorance au sujet des renseignements personnels qu'une voiture stocke. Mais ces données peuvent rapidement se retrouver entre les mains d'un hacker. LeRGPD est et sera un moteur également dans l’industrie automobile : les clients commenceront à demander plus d'informations sur la protection de leur vie privée et les politiques de sécurité mises en place par les constructeurs.

Les États-Unis étaient d’ailleurs précurseurs sur cette thématique, puisqu’ils ont introduit, dès 2017 une politique de sécurité et de protection de la vie privée Your Car Act (SPY Car), afin d’améliorer la confidentialité et la sécurité des données de base dans l'industrie automobile. La loi SPY demande que toutes les voitures soient équipées d’un système capable de détecter, de signaler et d'arrêter une atteinte à la sécurité des renseignements personnels. Les fabricants qui choisiraient de ne pas l’inclure se verraient imposer une amende de 5 000 $ par véhicule. Cette loi va d’ailleurs plus loin, en appelant à l’installation d’un tableau de bord pour montrer au conducteur comment le fabricant s'est engagé à sécuriser les systèmes embarqués de la voiture. Elle exige également que chaque voiture notifie au conducteur quelles données sur la conduite sont recueillies, avec la possibilité pour le conducteur de retirer des données si nécessaire.

Cela va prendre un certain temps avant que les standards de la cybersécurité soient largement répandus et adoptés par l'industrie automobile, et un changement de paradigme dans la conception des véhicules est nécessaire avant que les voitures connectées puissent être protégées avec succès contre les cyberattaques. La sécurité lors de la conception doit être l'objectif principal pour l'industrie, mais doit être étendue tout au long du cycle de vie du véhicule. Toutefois, une collaboration efficace entre les fabricants, les fournisseurs, les gouvernements, les organismes de réglementation et les experts de la cybersécurité permettra de trouver l'équilibre entre la conception et la sécurité des véhicules connectés.