Quelques jours seulement après la démonstration du spectaculaire hack d’une Jeep Cherookee, une nouvelle affaire ébranle le petit monde de la voiture connectée.
Cette fois, c’est une équipe de chercheurs de l’université de San Diego en Californie qui appelle à la méfiance vis à vis des appareils OBD que l’on peut brancher à la prise de diagnostic d’une voiture.
Car à partir d’un de ces petits boitiers, ils ont réussi à prendre le contrôle d’un véhicule –une jolie Corvette- en lui envoyant de simples commandes par SMS. Ils ont notamment pu activer les essuie-glaces, forcer et même… couper les freins de la voiture ! Regardez plutôt la vidéo ci-dessous :
Ils présenteront le fruit de leurs recherches à la conférence Usenix, qui débute demain à Washington… Mais leur papier est d’ores et déjà en ligne (PDF).
Des boitiers très mal sécurisés
Des boitiers OBD, il en existe des dizaines de modèles différents : certains s’achètent contre quelques euros dans le commerce et permettent, depuis un smartphone, d’obtenir tout un tas d’informations utiles sur votre véhicule. D’autres encore vous sont fournis par des assureurs dans le cadre d’offres de paiement au kilomètre.
C’est d’ailleurs à un modèle utilisé par l’assureur américain Metromile –et conçu par le français Mobile Devices- que nos chercheurs se sont intéressés. Il s’agit d’un modèle de la gamme C4, acheté sur eBay, qui contient un port USB et un modem 2G.
Après avoir analysé en profondeur l’appareil, nos chercheurs se sont rendus compte qu’il contenait plusieurs failles énormes de sécurité : il était facile de s’y connecter via SSH, il acceptait par défaut des commandes par SMS, et surtout, de nombreux dongles du même fabricant partageaient la même clé privée SSH. Autrement dit : après avoir gagné l’accès « root » à leur propre engin acheté à peu de frais sur le web, ils auraient pu être en mesure de compromettre bien d’autres véhicules qui étaient équipés de boitiers similaires ! Et par le biais d’une simple recherche internet, ils ont trouvé pas moins de 1500 cibles. De quoi provoquer un beau carambolage.
Metromile et Mobile Devices, évidemment prévenus avant publication, ont depuis corrigé cette faille. Mais des milliers d’autres véhicules roulent avec des appareils du même genre, peut-être eux aussi truffés de vulnérabilités. Dans les colonnes de Wired, Karl Kosher, un des chercheurs, prévient : « Réfléchissez bien à ce que vous connectez à votre voiture ». C’est dit.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
