Une voiture moderne n’est pas un seul ordinateur, elle en compte entre 70 et 150 — les calculateurs (ECU, Electronic Control Unit) qui gerent tout, du moteur aux freins jusqu’a l’ecran d’infodivertissement et aux leve-vitres, tous en communication les uns avec les autres sur des reseaux embarques. Pendant l’essentiel de l’histoire de l’automobile, ce reseau etait pratiquement coupe du monde exterieur, donc la securite n’etait pas vraiment une priorite de conception. Cela a cesse d’etre vrai des que les voitures ont commence a embarquer de serie des modems cellulaires, du Wi-Fi, du Bluetooth et une connectivite applicative : le meme reseau qui commande les freins est desormais, en principe, accessible depuis tres loin en dehors de la voiture. La cybersecurite automobile est la discipline nee precisement pour combler cet ecart.
La demonstration qui a change l’industrie : Jeep Cherokee, 2015
Le moment ou le risque a cesse d’etre theorique fut une demonstration de 2015 par les chercheurs en securite Charlie Miller et Chris Valasek, qui ont pris le controle a distance de la direction, des freins et de la transmission d’une Jeep Cherokee via sa connexion cellulaire, pendant qu’un journaliste la conduisait sur une autoroute reelle — entierement via internet, sans jamais avoir d’acces physique a la voiture. La chaine d’attaque partait du modem cellulaire du systeme d’infodivertissement, traversait le reseau interne de la voiture, et atteignait des systemes critiques pour la securite jamais concus en pensant a un point d’acces connecte a internet. L’affaire a declenche un rappel de 1,4 million de vehicules et reste le cas de reference que toute l’industrie cite pour justifier les investissements en cybersecurite automobile.
Pourquoi le bus CAN n’a jamais ete concu pour etre defendu
La majeure partie de la communication interne d’une voiture passe encore par le bus CAN (Controller Area Network), un protocole concu dans les annees 1980 pour la fiabilite et la simplicite, pas pour la securite : n’importe quel appareil sur le bus peut diffuser un message, et tous les autres appareils lui font confiance et agissent en consequence, sans aucune authentification integree de qui l’a reellement envoye. Ce choix de conception explique exactement pourquoi l’attaque de la Jeep a fonctionne une fois le reseau interne atteint : de l’interieur, une unite d’infodivertissement compromise pouvait envoyer des messages qui, pour les calculateurs de direction et de freinage, semblaient exactement aussi legitimes que ceux provenant des capteurs reels. Ajouter une authentification a un protocole vieux de trois decennies et utilise par litteralement tous les calculateurs de la voiture n’est pas realiste, si bien que la reponse de l’industrie s’est concentree sur le confinement du probleme plutot que sur la reecriture du protocole.
La segmentation : eloigner le systeme de divertissement des freins
La principale correction structurelle est la segmentation du reseau : au lieu d’un reseau CAN unique et plat ou chaque calculateur peut atteindre tous les autres, les architectures modernes divisent la voiture en domaines separes — groupe motopropulseur et systemes critiques pour la securite sur un segment, infodivertissement et connectivite sur un autre — relies via un calculateur passerelle central qui filtre et controle le trafic autorise a passer entre eux. Un attaquant qui compromet le systeme d’infodivertissement, le point d’acces le plus expose car c’est celui qui communique avec l’exterieur, devrait en principe se heurter a un goulot d’etranglement controle plutot qu’a un chemin direct vers les freins. Une seconde couche, les systemes de detection d’intrusion (IDS), surveille le trafic CAN sur le reseau interne a la recherche du type d’anomalies que produit un calculateur compromis — messages envoyes a la mauvaise frequence, depuis le mauvais noeud, ou avec des valeurs invraisemblables — et peut les signaler ou les bloquer meme sans connaitre a l’avance l’attaque specifique.
Les mises a jour a distance : la solution et le nouveau risque, en meme temps
L’autre grand changement, ce sont les mises a jour logicielles a distance (OTA, over-the-air), qui permettent aux constructeurs de corriger une vulnerabilite sur toute une flotte a distance au lieu d’exiger un passage chez le concessionnaire — genuinement utile pour combler rapidement des failles de securite, et l’une des raisons pour lesquelles Tesla en particulier traite la cybersecurite comme un probleme logiciel continu plutot que comme une certification materielle ponctuelle. Mais un mecanisme de mise a jour est aussi, par definition, un canal capable de pousser du nouveau code sur du materiel critique pour la securite, ce qui en fait a son tour une cible de grande valeur : les constructeurs s’appuient desormais sur la signature cryptographique du code et le demarrage securise (secure boot) pour qu’un calculateur n’accepte et n’execute qu’une mise a jour portant une signature valide du constructeur, en refusant tout le reste quelle que soit son origine declaree.
C’est desormais la loi, pas seulement une bonne pratique
Depuis juillet 2024, chaque nouvelle homologation de vehicule vendu dans l’UE doit respecter le reglement UNECE n° 155, qui impose aux constructeurs de gerer un systeme de gestion de la cybersecurite (CSMS) certifie couvrant tout le cycle de vie du vehicule, de la conception jusqu’a la mise a la casse, et non plus seulement au moment de la vente. Son pendant, le reglement UNECE R156, fait l’equivalent specifiquement pour les mises a jour logicielles, exigeant un processus certifie pour la maniere dont elles sont developpees, validees et distribuees. A eux deux, ces reglements ont transforme la cybersecurite automobile d’un choix d’ingenierie interne en une condition legale prealable pour homologuer une nouvelle voiture en Europe.
La recherche europeenne qui pousse plus loin detection et resilience
Trois projets europeens complementaires, tous soutenus par le partenariat CCAM (Connected, Cooperative and Automated Mobility) — la cybersecurite n’a pas de cluster CCAM dedie a proprement parler, mais releve des clusters Vehicle Technologies et Key Enabling Technologies — s’attaquent a differents niveaux du probleme decrit ci-dessus. CARAMEL (“Artificial Intelligence based cybersecurity for connected and automated vehicles”, H2020, coordonne par Fundació i2CAT en Espagne, €5,0M, 2019-2022) a applique le machine learning directement a la detection d’intrusion, visant a reperer des schemas d’attaque que des systemes bases sur des regles fixes manqueraient. SELFY (“SELF assessment, protection & healing tools for a trustworthY and resilient CCAM”, Horizon Europe, coordonne par Fundació Eurecat en Espagne, €6,0M, 2022-2025) est alle plus loin, en construisant une boite a outils qui ne se contente pas de detecter une attaque mais y repond activement et s’en remet — le niveau de “guerison” que la seule detection d’intrusion n’offre pas. Un projet Horizon Europe jumeau, du meme appel 2022, CONNECT (“Continuous and Efficient Cooperative Trust Management for Resilient CCAM”, coordonne par Technikon en Autriche, €5,66M, 2022-2025), s’est attaque specifiquement au volet relation de confiance : comment des vehicules et des infrastructures qui n’ont jamais interagi auparavant peuvent etablir une confiance mutuelle suffisante pour partager en toute securite des donnees critiques pour la securite, directement lie a la communication V2X decrite dans notre precedent article sur le sujet.
Photo : © Car-Shooters