Sécurité des voitures connectées : l’importance de la méthode
Connectée, de plus en plus intelligente, l’automobile est en pleine mutation. Mais cette évolution a un revers : véritable plateforme informatique, la voiture devient une cible de plus en plus attrayante...
En partenariat avec le Groupe PSA, Thales a développé une méthodologie permettant d’identifier les risques et les mesures à mettre en œuvre pour renforcer la sécurité informatique des véhicules connectés.
Capables d’échanger de l’information entre elles (par exemple sur l’état de la route ou le trafic routier) ou avec leur écosystème et, bientôt, de se déplacer sans l’intervention du conducteur, les voitures modernes offrent de nouvelles fonctionnalités qui améliorent la qualité de conduite et renforcent la sécurité du passager. Contrôlées par des systèmes embarqués et interconnectés, elles confrontent cependant les constructeurs à des problématiques de sécurité informatique inédites pour le secteur.
Prise de contrôle à distance et autres vulnérabilités
Aujourd’hui, les véhicules s’appuient sur une multitude de calculateurs embarqués (ECU[1]) qui régissent aussi bien les systèmes d’information et de divertissement que les fonctions les plus critiques : l’injection, le freinage et, pour un nombre croissant de véhicules dotés de fonctions d’aide à la conduite ou au stationnement, la direction.
Des dispositifs tels que les clés USB, Bluetooth, puces GSM embarquées, wifi…, désormais très courants à bord, sont autant de portes d'entrée possibles pour un hacker désireux d'accéder aux différents calculateurs de bord du véhicule, dont le niveau de sécurité serait, estime-t-on, équivalent à celui des PC aux débuts d’Internet…
Un constructeur automobile a ainsi été mis sous le feu des projecteurs en juillet 2015 à la suite d’une spectaculaire démonstration de prise de contrôle à distance par des chercheurs en sécurité qui ont exploité une vulnérabilité du système multimédia du véhicule. A partir d’un ordinateur externe, ils ont ainsi pu prendre la main sur les essuie-glaces, changer le volume de la radio, actionner les freins mais aussi tourner le volant et couper le moteur.
Autre point névralgique en termes de sécurité : les applications web qui permettent d’échanger des informations entre le véhicule et/ou le conducteur et le système informatique du constructeur. Si le processus d’authentification n’est pas assez sécurisé, un attaquant peut entrer sur le compte d’un utilisateur et prendre la main sur le véhicule.
Même facilité déconcertante pour récupérer, via des outils illicites disponibles sur internet, le code de démarrage du moteur, plus ou moins bien sécurisé dans l’ECU correspondant, et reprogrammer de nouvelles clés vierges permettant de démarrer – et voler – un véhicule. « 40 millions d’automobilistes » a ainsi dévoilé que ¾ des voitures volées en France en 2014 ont été piratées électroniquement.
Les nombreux tests réalisés par des ingénieurs spécialistes de la sécurité informatique ont démontré la vulnérabilité des voitures connectées. Une grande partie des véhicules proposés par les grandes marques ont été testés… et piratés. Les questions de sécurité et d’authentification doivent aujourd’hui être sérieusement prises en compte en faisant appel à des experts du domaine.
Evaluer les risques avec précision et pragmatisme
Leader en systèmes d'information critiques, cybersécurité et protection de données, Thales s’est associé au Groupe PSA pour élaborer une méthodologie permettant d’aborder la sécurité d’un système embarqué automobile de façon globale et pragmatique.
³¢â€™expérience démontre que pour être efficace, comprise et économiquement viable, la sécurité informatique doit être prise en compte le plus en amont possible. Combinant deux méthodologies complémentaires, la méthode orientée métier - c’est-à -dire adaptée au contexte automobile - d’analyse de risques développée par Thales et le Groupe PSA permet d’identifier les risques et contre-mesures de sécurité avant toute spécification.
Elle déroule 5 étapes clés, issues des méthodologies EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) de l’ANSSI[2] et TVRA ((Threat, Risk, Vulnerability Analysis) de l’ETSI[3] suivant le schéma suivant :
[[asset:image:228056 {"mode":"original","align":"","field_admin_bool_link_target":[0],"field_admin_bool_image_filter":[0]}]]
La combinaison de ces deux méthodes permet d’obtenir à la fois une évaluation des risques sur les données gérées par les fonctions embarquées en cas d’atteinte en Disponibilité, Intégrité, Confidentialité et Preuve (DCIP) et une vision technique sur les composants de l’architecture se fondant sur une évaluation TVRA complète et précise (étape 3).
³¢â€™Ã©valuation des risques EBIOS s’obtient en croisant la gravité des évènements redoutés avec les vraisemblances des menaces.
[[asset:image:228061 {"mode":"original","align":"","field_admin_bool_link_target":[0],"field_admin_bool_image_filter":[0]}]]
La voiture, un système d’information comme un autre
La problématique de sécurisation d’un système embarqué rejoint finalement celle d’un système informatique classique : à titre d’exemple, les mesures de sécurité pourront couvrir la sécurité périmétrique du système étudié, mais également les problématiques d’authentification mutuelles entre composants électroniques, la protection de l’OS et du code embarqué dans les composants, ou la protection des données.
Dans un système embarqué automobile, Thales préconise en priorité les mesures de sécurité suivantes :
- Les composants internes, comme les contrôleurs les plus critiques du système (contrôleur moteur par exemple), doivent être protégés des attaques de type DoS[4] via les interfaces externes telles que la prise OBD (prise « diagnostic » utilisée par les garagistes), par des systèmes de détection/prévention d’intrusion (IDS/IPS).
- ³¢â€™accès au système via l’interface OBD de diagnostic doit être soumis à une authentification mutuelle par certificats X509.
- Les composants internes doivent embarquer des mécanismes d’authentification utilisant un algorithme cryptographique robuste (exemple algorithme MAC). Cette solution permet d’éviter le remplacement d’un ECU par un autre ECU malveillant.
- Les micro-logiciels et autres applicatifs des ECU seront signés à l’aide d’un algorithme cryptographique de signature électronique (exemple : RSA 2048), avec éventuellement l’utilisation d’un HSM[5] pour protéger la clé privée.
- Les données les plus sensibles du système (données secrètes du véhicule et données personnelles de l’utilisateur) seront chiffrées à l’aide d’un algorithme cryptographique robuste (exemple : AES 256).
A lire également :
Voiture connectée, dans le n°5 du magazine Innovations (avril 2016)