Dossier • Si votre camion devenait incontrôlable

Si votre camion devenait incontrôlable

Les règlements UN R155 et UN R156, relatifs à la cybersécurité dans le monde automobile, deviennent obligatoires à compter de juillet 2022 pour tout processus d’homologation d’un nouveau type de véhicule, qu’il soit moteur ou remorqué. Ils concernent donc aussi les utilitaires et les poids lourds.

Ce ne sont pas que des légendes de geeks: des attaques à distance de véhicules ont bien eu lieu. En fait, dès qu’il existe une connexion entre le véhicule et des sources externes, il y a un risque de piratage. La mode des systèmes keyless (sans clé de contact), des connexions Apple CarPlay ou Android, ou une simple liaison Bluetooth avec un smartphone constituent autant d’opportunités pour les attaques. Parmi les exemples notoires, on peut citer le cas de ce SUV américain, en 2015, qui s’est retrouvé dépourvu de freins et de contrôle de direction. Le système multimédia Uconnect de la Jeep a permis aux pirates d’échanger directement avec le réseau CAN de bord, exploitant malicieusement le manque de cloisonnement entre ces réseaux. En 2016, deux chercheurs britanniques ont révélé une vulnérabilité dans l’API hébergée sur le serveur de backend d’un constructeur automobile Nissan. Elle permettait, entre autres, de connaître les trajets effectués et de contrôler le chauffage à distance sans authentification, en se basant uniquement sur le numéro de série du véhicule et le pays. Lors d’une autre expérience, des spécialistes de la sécurité informatique sont parvenus à tromper le logiciel de conduite Autopilot d’une Tesla et à la faire dévier sur la voie venant en sens inverse. « D’autres incidents, dont certains ne sont pas le fait de pirates à chapeau blanc, devront aussi être analysés avec diligence et avec la plus grande attention », affirme Gido Scharfenberger-Fabian, chef de projet au sein du groupe de travail de l’ISO WG 11, en charge de la cybersécurité des équipements électriques et électroniques des véhicules routiers. •••

L’étendue du périmètre de piratage

De source AFP, en 2019, Upstream a recensé plus de 150 incidents connus de cybersécurité automobile, deux fois plus qu’en 2018. Selon la société, la plupart des piratages concernaient le verrouillage à distance des voitures, mais de plus en plus d’actions visent les connexions aux serveurs ou aux applications mobiles. En 2020, des chercheurs britanniques révèlent des faiblesses sur des modèles Ford et Volkswagen permettant l’accès aux fonctions sensibles, telles que le contrôle de traction, depuis l’équipement multimédia. À cela s’ajoute profusion d’informations que le véhicule collectait sur son usager et qu’ils ont pu récupérer (trajets, position, alarmes, etc.). Ces mêmes chercheurs ont pu extraire et analyser des parties du code source embarqué, et identifier un mot de passe wifi (celui d’une usine). D’où la prise en compte par le groupe de travail de la construction des véhicules de la Commission économique pour l’Europe des Nations UNECE WP.29 de l’ensemble de la chaîne d’approvisionnement. À juste titre : en 2018, une erreur de configuration et un défaut de contrôle d’accès sur un serveur d’un fournisseur ont rendu possible l’accès en lecture et en écriture aux données. Lesquelles, remontées par les véhicules (localisation, etc.), étaient accessibles par simple modification d’un paramètre (ID) dans l’URL d’accès. Les règlements UN R155 et UN R156 entrant en application cet été portent sur les exigences organisationnelles et techniques de cybersécurité couvrant les véhicules, les moyens de production et l’approvisionnement logistique. Cela fait suite à l’incroyable développement de l’électronique de bord, les véhicules industriels ou voitures électriques pouvant compter jusqu’à 150 calculateurs (ou ECU). L’inflation suit aussi, comme en bureautique, les logiciels eux-mêmes. Selon le cabinet Mc Kinsey, on passerait de 100 millions de lignes de codes à 300 millions d’ici à 2030. Les véhicules utilisent diverses technologies allant des ports physiques de diagnostic dans la voiture (port OBD-II) aux serveurs backend chez les constructeurs ou dans le Cloud, en passant par les réseaux de communication sans fil, les ports multimédias, les applications mobiles et bien d’autres interfaces. Les points d’entrées pour d’éventuelles attaques se multiplient au gré de la commercialisation d’interfaces du genre Apple CarPlay, Android, ou d’échanges via Bluetooth à bord. Et les enjeux de sécurité deviennent critiques, puisque l’électronique ne pilote pas seulement le moteur mais les systèmes de freinage, le système de direction (via les aides au maintien de file) ou les commandes sans liaison mécanique du type driveby-wire. Le pire peut être redouté avec les véhicules autonomes. Les autorités de régulation ont donc exigé la prise en compte de la cybersécurité dans la conception, l’utilisation des systèmes et des véhicules. Le sujet est mondial, que l’on en juge : propositions au Congrès des États-Unis, la loi sur la cybersécurité (Cybersecurity Act) et le GSR dans l’UE, le programme ICV en Chine et les nouvelles directives de JASPAR au Japon. Il faut donc inclure, à compter de ce mois de juillet 2022, la réglementation UNECE WP.29 pour les constructeurs de véhicules moteurs et remorques. Elle s’appuie sur des standards comme l’ISO/SAE DIS 21434 (autour de l’ingénierie de la cybersécurité) et l’ISO/AWI 24089 (spécifique au système de management de la mise à jour des logiciels).

Avec l’arrivée de l’électronique, le nombre de calculateurs sur un camion peut atteindre les 150.

Les effets du règlement

La réglementation s’applique aux véhicules moteurs mais aussi aux remorques et semi-remorques, dès lors qu’il y a au moins un ECU à bord. Les non-conformités pourront avoir pour conséquence un refus de délivrance de certificat par type de véhicule (à partir du 6 juillet 2022), voire une impossibilité d’obtenir le certificat d’immatriculation (à partir du 7 juillet 2024). La réglementation impose aux constructeurs et sous-traitants un Cyber

Les logiciels devraient passer d’ici 10 ans de 100 à 300 millions de lignes de code.

Security Management System (CSMS) couvrant le cycle de vie du véhicule et le cycle de production industrielle. La réglementation exige également la mise en place d’un système de management des mises à jour des softwares (SUMS) présents dans le véhicule. Cela s’apparente aux démarches de certification ISO : on liste les risques et on met en face les mesures prises. Les textes UN R155 et UN R156 listent les sources de menaces (internes, externes, malveillantes ou accidentelles). Dans la logistique de l’industrie automobile, ce sont les normes ISO 27001 qui sont exigées pour protéger la donnée présente à tous les niveaux, du cœur du véhicule au véhicule étendu jusqu’au backend. La mise en pratique passera par des chantiers significatifs et coûteux en temps et en ressources. Ces standards sont en effet nouveaux, la 21434 notamment, ce qui nécessite une montée en compétences de l’ensemble des parties prenantes dans l’homologation d’un CSMS. Ces standards couvrent aussi un périmètre très large, ce qui nécessite une coordination d’équipes de diverses compétences et mondes (OT ou Operationnal Technologies, embarqué, SI ou système informatique, etc.). Pour les constructeurs et les équipementiers, surtout les nouveaux entrants, les défis à relever sont l’outillage et les compétences techniques pour assurer une production sécurisée (logicielle et matérielle), des tests de sécurité de qualité (pentest, revue de code, etc.), plus le maintien en condition de sécurité une fois le véhicule en circulation. À cela s’ajoutent la détection et le traitement des incidents d’une nature différente que ceux traités aujourd’hui. Il va falloir en effet des compétences et des outils supplémentaires pour protéger, surveiller, tester des technologies liées aux véhicules. Pour les tests, il faut être capable de couvrir en même temps des applications web, des applications embarquées et des bus CAN internes. « Hélas, il n’existe pas de technologie sûre pouvant être normalisée », reconnaît Markus Tschersich de l’ISO. Faute de garantir la sécurité des codes, les nouveaux règlements demandent que la cybersécurité soit prise en compte. Le but est la mise en œuvre généralisée de la norme dans les pratiques d’ingénierie courantes du secteur, ainsi qu’une meilleure connaissance des enjeux grâce à l’intégration de la norme dans le programme de formation des ingénieurs.

Un nouveau marché

Les spécialistes de l’homologation de véhicules se sont emparés de ce nouveau marché, quitte à s’associer à des acteurs de l’information. Ainsi, Apsys (société de conseil et d’études, filiale d’Airbus), Capgemini (société de conseil et de services informatiques) et l’UTAC Ceram Millbrook (société de services dans les tests et les homologations pour l’industrie automobile) ont annoncé un partenariat commercial et technique. Elles vont proposer des tests d’intrusion sur tout type de véhicule (navettes, voitures, camions, véhicules militaires, etc.) dans un environnement au plus proche des conditions réelles de circulation : villes, autoroutes, sections interurbaines, etc. Dans le cadre de l’accord signé entre les trois entreprises, le centre d’essais pour véhicules autonomes Teqmo situé à Linas-Montlhéry (Essonne) offrira un espace physique sécurisé pour conduire ces tests. Le fabricant de composants LG Electronics a fait l’acquisition de la start-up israélienne Cybellum, spécialisée dans la cybersécurité automobile. En effet, les véhicules connectés concentrent plusieurs vecteurs d’attaques avec le développement de services connectés : capteur de pression, modem 4G/LTE (accès Internet), wifi (partage de connexion), Bluetooth (connexion des terminaux mobiles au véhicule), RFID (ouverture des portes), prises USB internes ou encore le port ODB. Pour les carrossiers-constructeurs, voilà un nouveau poste de (sur)coût.