Résumé
La menace des cyberattaques automobiles concernera tous les usagers de la route, quel que soit leur véhicule. La protection du « backend » d'un véhicule—là où tous les IT assets sont stockés et contrôlent la vitesse, la direction, la géolocalisation, et bien plus encore—sera la priorité numéro 1. Mais comment inciter les conducteurs à mettre à jour le système d'exploitation de leur voiture dans les meilleurs délais, quand on sait à quel point ils tardent à mettre à jour leurs ordinateurs et leurs téléphones ?
HOST: Shawn Surber, directeur principal de la gestion des comptes techniques, Tanium
GUEST: Jennifer Tisdale, CEO, Grimm
Notes de l'épisode
Découvrez ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber.
- Comment les dirigeants d'entreprise peuvent-ils se prémunir contre les piratages informatiques dans le secteur automobile ?
- Le piratage automobile, la prochaine frontière de la cybersécurité
Transcript
L'entretien suivant a été modifié pour plus de clarté.
Jennifer Tisdale: Il se passe tellement de choses dans le domaine de l'automobile et des nouvelles technologies qu'il est presque impossible d'anticiper tous les scénarios susceptibles de mal tourner. Le cloud semble être l'environnement back-end qui hébergera une grande quantité de données, et je pense qu'il représente une cible de choix pour la curiosité des hackers.
Shawn Surber: Bonjour, je suis Shawn Surber, et aujourd'hui dans Let's Converge, nous parlons de véhicules autonomes et de cybersécurité. L'ère des voitures sans conducteur approche, et avec elle, les inévitables cyberattaques et problèmes de sécurité. La menace des cyberattaques automobiles concernera tous les usagers de la route, quel que soit leur véhicule. Les chercheurs s'intéressent en particulier à la protection du back-end de ces véhicules, et je ne parle pas des feux arrière. Le back-end désigne l'ensemble des IT assets qu'un cybercriminel pourrait chercher à compromettre—l'itinéraire choisi par le véhicule, la façon dont il mesure la vitesse des autres voitures, et la gestion de la priorité de passage.
Notre invitée aujourd'hui est Jennifer Tisdale, CEO de Grimm Cyber, une entreprise qui aide les fournisseurs automobiles à identifier et à atténuer les vulnérabilités de sécurité. Elle a également exercé en tant que conseillère en stratégie de cybersécurité pour Mazda Amérique du Nord et est responsable du programme de cybermobilité pour la Michigan Economic Development Corporation. Bienvenue dans l'émission, Jennifer.
Tisdale: Merci de me recevoir, Shawn. C'est avec grand plaisir que je m'entretiens avec vous.
Surber: Parfait. Entrons dans le vif du sujet. Une question fondamentale s'impose : Avez-vous déjà voyagé dans un véhicule sans conducteur ?
Tisdale: Oui. C'était une démonstration. C'était lors d'une conférence, dans un environnement très contrôlé. Ce n'est donc peut-être pas un bon indicateur de ce que cela donnera lorsque ces véhicules seront en circulation sur la route. Pour quelqu'un comme moi qui aime tout contrôler, il faut un temps d'adaptation pour se retrouver dans un véhicule sans conducteur, qui utilise des capteurs pour se repérer sur un parcours. C'est un peu déconcertant.
Surber: Oui, ce serait pareil pour moi. Je ne suis même pas un grand fan de voyager à l'arrière d'un taxi.
Tisdale: Tout à fait. Il faut savoir lâcher prise.
Surber: Par le passé, lorsque des personnes s'introduisaient dans un véhicule, elles cherchaient à voler la voiture, ses composants ou son contenu, ou simplement à faire un tour. En ce qui concerne ces véhicules autonomes, qui pensez-vous seront les principaux instigateurs de menaces et qu'est-ce qui les poussera à pirater des véhicules autonomes ?
Tisdale: Je pense que la motivation principale pour pirater ou s'introduire virtuellement dans ces véhicules sera toujours la même : l'argent est le moteur. L'époque des pieds-de-biche et des démarrages à chaud est révolue ; désormais, tout passera par d'autres moyens pour manipuler le code et amener le véhicule à faire ce que l'on souhaite, l'argent restant la motivation principale. En matière de vol automobile, des discussions ont lieu au sein du gouvernement sur ce que pourrait représenter la prise de contrôle à distance d'un véhicule à grande échelle, et sur la distance depuis laquelle cela serait possible. Que se passerait-il en cas d'incident plus large et plus répandu touchant un gestionnaire de flotte ou une marque, un modèle et une finition particuliers de véhicule — à quoi cela ressemblerait-il et qu'est-ce que cela pourrait impliquer ? Ce sont là des questions qui, pour l'heure, restent en grande partie sans réponse. Mais je pense que nous nous rapprochons chaque jour de la compréhension de ce que cela pourrait être, au-delà de ce que j'appellerais la petite criminalité, et peut-être même dans le domaine de ce qui pourrait constituer un enjeu de sécurité nationale, voire quelque chose de plus grave encore.
Surber: Tout à fait. En tant que professionnel de la cybersécurité depuis de nombreuses années, il est rassurant de voir que les gens envisagent ces scénarios. Du genre : et si, et si, et si ? Et ensuite, en suivant chacune de ces pistes jusqu'au bout, car de nombreux groupes différents participent à la protection de ces véhicules. Il y a les constructeurs automobiles, les fournisseurs de logiciels et de services, les propriétaires de véhicules, bien sûr, et le rôle que les gouvernements joueront pour garantir la sécurité de ces appareils. Parlons-en un peu. Commençons par les constructeurs automobiles. Selon vous, dans quelle mesure seront-ils réactifs face au risque de Cyberattaques et aux Cyberattaques au moment où elles surviennent ?
Tisdale: Ils n'auront pas d'autre choix que d'être réactifs. C'est un secteur relativement nouveau, n'est-ce pas ? Ce n'est qu'à partir de 2015 que nous avons eu le premier retentissement médiatique avec le piratage de la Jeep.
Surber: Pour ceux qui ne le savent pas, c'est à ce moment-là que deux chercheurs en sécurité ont démontré qu'ils pouvaient prendre le contrôle à distance des freins et de la direction d'une Jeep Cherokee. Ils ont réussi à exploiter une faille dans la connexion cellulaire du véhicule. Chrysler a dû procéder à un rappel pour y appliquer un Patch.
Tisdale: C'était un tournant dans l'industrie, car cela a forcé la discussion. Mais les constructeurs automobiles, de 2015 à 2022, ont fourni un travail considérable, non seulement pour déterminer comment réagir, mais aussi comment adopter une approche proactive. Ainsi, en tant que professionnel de la cybersécurité, cela me donne un certain niveau de confiance quant au fait qu'ils s'attaquent à la cybersécurité des véhicules du mieux possible durant la phase de R&D.
Le secteur automobile fonctionne sur un cycle de production de cinq ans, ce qui signifie que des véhicules qui ne seront pas sur la route avant cinq ans font déjà l'objet d'une analyse en matière de sécurité, ce qui est très rassurant. Là où je pense que cela entre dans une zone grise, c'est avec les systèmes existants et la difficulté de déterminer comment maintenir la sécurité tout au long du cycle de vie. Et cela, je crois, sera en grande partie Pilotez par l'ensemble des parties prenantes impliquées.
Surber: Je pense que la maintenance est un élément clé ici, n'est-ce pas ? Vous savez, traditionnellement, lorsqu'un problème survient, un rappel est émis, vous amenez le véhicule chez le garagiste, et ils le réparent. Avec cette nouvelle ère des mises à jour à distance, nous allons voir apparaître un tout autre aspect : des mises à jour forcées, des mises à jour que les consommateurs peuvent accepter ou refuser. Qu'en est-il de cette voie de mise à jour à distance en tant que vecteur d'attaque ? Cela vous préoccupe-t-il ?
Tisdale: Oui, c'est une source de préoccupation. Je le constate en permanence, notamment avec mes beaux-parents et mes enfants : s'ils n'acceptent pas les mises à jour de sécurité sur leurs appareils personnels, que se passe-t-il s'ils refusent de les accepter dans leur véhicule ? C'est une chose lorsqu'il s'agit de protéger nos données et nos informations personnelles, mais c'en est une autre si la mise à jour peut avoir un Impact sur notre vie et notre intégrité physique, n'est-ce pas ?
Surber: Avec plaisir. Nous le voyons tous, même dans les environnements d'entreprise traditionnels : déployer des Patches et amener les utilisateurs à redémarrer leurs systèmes — vous savez, nous ne pouvons pas redémarrer ces appareils car ils sont critiques à certains moments. Mais c'est une tout autre situation lorsque vous conduisez sur la route. Je veux dire, il est évident qu'un redémarrage du système ne peut pas avoir lieu pendant la conduite, mais les propriétaires de ces véhicules vont-ils être contraints d'attendre, au moment de démarrer leur voiture, quelques minutes le temps que ces mises à jour s'effectuent ?
Tisdale: Oui. Et je ne pense pas qu'il soit erroné de considérer [la voiture] comme un appareil. Je pense que c'est tout à fait juste. Il peut y avoir un délai, mais ce que nous observons dans le secteur aujourd'hui, c'est que de nombreux véhicules utilisent des applications, des applications mobiles qui vous informent lorsque votre voiture est due pour un entretien ou une maintenance. Vous recevrez donc une notification lorsqu'une mise à jour de votre logiciel sera nécessaire. S'il s'agit de quelque chose susceptible d'avoir un Impact sur ce que j'appellerais les fonctions critiques du véhicule, son fonctionnement, il se peut même que le propriétaire doive se rendre chez le concessionnaire pour l'effectuer. Je pense que cette pratique standard est en cours d'élaboration.
Nous souhaitions également aborder le rôle du gouvernement dans ce domaine. Et je pense qu'à terme, nous verrons apparaître des réglementations visant à traiter la cybersécurité sous l'angle de la cybersûreté. Je dois souvent rappeler aux gens que nous n'aurions peut-être pas d'airbags ni de ceintures de sécurité dans nos voitures si un organisme gouvernemental n'avait pas imposé des normes de sécurité aux véhicules. Et je pense qu'à terme, nous verrons la cybersécurité gérée de la même façon.
Surber: Pensez-vous que la réglementation gouvernementale soit la meilleure voie à suivre ? Ou préféreriez-vous voir une coalition de fabricants élaborer ses propres réglementations internes, qu'ils pourraient s'imposer mutuellement, de manière encore plus stricte que ne pourrait le faire le gouvernement ?
Tisdale: Je ne pense pas que quiconque dans le secteur souhaite que le gouvernement dicte la façon dont les entreprises doivent fonctionner. Les propriétaires de véhicules, dans la plupart des États du pays, devraient avoir le droit de réparer les biens qu'ils achètent. Nous avons beaucoup de passionnés de bricolage. Je suis à Detroit, où tout le monde aime modifier ses véhicules, les améliorer et comprendre leur fonctionnement. Et nous verrons cette tendance se poursuivre à mesure que nous évoluerons vers un système de véhicules autonomes. Alors, laissons-nous les gens modifier eux-mêmes leurs voitures ? Vous savez, c'est un point d'interrogation. Pour l'instant, oui, mais je vois comment cela pourrait devenir problématique lorsqu'il s'agit des fonctions de sécurité critiques d'un véhicule pilotées par logiciel. Alors, à quel moment le gouvernement pourrait-il intervenir ? Je pense que dès qu'il existe un risque de préjudice physique ou de dérapage rapide, que ce soit par une manipulation intentionnelle ou non du code susceptible de nuire à autrui, les autorités interviendront dans ce domaine.
Tisdale: Je serais contre une situation où nous aurions 50 des États avec 50 des lois différentes. Cela ne fonctionnerait pour personne, mais c'est pourtant la discussion que nous entendons en ce moment. Certains États envisagent de modifier les lois sur le droit à la réparation, précisément autour de cette question : qui peut accéder au système et que peut-on faire avec le code, quels sont les droits du consommateur et quelles en sont les limites. Certains États que je suis de près envisagent d'en faire un acte criminel si vous piratez un véhicule sans appartenir au secteur, sans être chercheur ou sans faire partie du monde académique. Et je pense que c'est également une pente très glissante. Les États doivent donc se concerter, ainsi qu'avec le gouvernement fédéral, pour déterminer la manière dont ils souhaitent traiter ces questions. Mais c'est tellement nouveau, Shawn — tout le monde essaie d'être proactif, sans pour autant avoir une bonne compréhension de ce à quoi ils ont affaire, surtout au niveau gouvernemental.
Surber: Le droit à la réparation est un point intéressant. Je connais toutes sortes de façons dont les gens modifient et améliorent les performances des véhicules en introduisant simplement une programmation différente dans le jeu de puces. Je pense que nous allons voir émerger une approche de type jardin fermé, où il serait possible de modifier certaines zones, mais cela nécessiterait un niveau de sécurité supplémentaire, voire des dispositifs de sécurité physiques réservés aux concessionnaires et aux centres de réparation agréés, entre autres. Car vous avez tout à fait raison : si vous augmentez la puissance du moteur tout en désactivant les capteurs de mouvement, cela pourrait poser un vrai problème.
Tisdale: C'est un domaine à surveiller ; il suscite de plus en plus d'attention depuis environ un an. Et je prévois que cela ne fera qu'augmenter.
Surber: Tout à fait. Nous avons beaucoup parlé de la sécurité des véhicules eux-mêmes, mais qu'en est-il du back-end, c'est-à-dire l'ensemble des serveurs, des systèmes et du code ? Selon vous, quels sont les aspects auxquels les chefs d'entreprise doivent porter une attention particulière pour sécuriser le back-end du système ?
Tisdale : Oui, nous devons garder à l'esprit que tout cela a pour objectif d'atteindre zéro décès. D'accord ? Zéro décès lié aux véhicules. Tout à fait. L'industrie et le gouvernement peuvent s'accorder sur ce point : c'est l'objectif ultime, n'est-ce pas ? À mesure que les véhicules se rapprochent des systèmes entièrement autonomes, ils dépendront de la communication avec leur environnement opérationnel, qui repose sur ce que l'on appelle les systèmes ITS, les systèmes de transport intelligents, c'est-à-dire les capteurs et les technologies intégrés dans la chaussée. C'est ce qui nous permettra d'atteindre des villes intelligentes qui fonctionneront en parfaite synergie avec nos voitures intelligentes. J'aime les appeler « voitures connectées » parce que ça m'amuse, mais nous aurons ces voitures connectées sur la route qui communiqueront avec les autres véhicules à côté d'elles, devant elles, derrière elles.
Tisdale: Ils communiqueront avec ces panneaux d'affichage numériques qui vous transmettent les mises à jour, n'est-ce pas ? Vous êtes à 15 miles de la prochaine sortie et vous avez un accident, vous vous rabattez sur la droite ou autre, n'est-ce pas ? Tout cela va donc interagir avec le véhicule lui-même. Le cloud est donc une cible de choix, car il s'appuiera sur l'IA et l'apprentissage automatique. Toutes ces données seront collectées pour prendre des décisions en temps réel concernant le fonctionnement du véhicule, et ces informations seront transmises au système ITS. Tout cela alimentera des fonctionnalités de sécurité telles que les systèmes d'aide à la conduite, en coopération avec la route elle-même et le système ITS, afin de prévenir les accidents, d'améliorer la sécurité routière et, dans l'ensemble, d'optimiser la fluidité du trafic. C'est donc ce backend cloud, et que se passe-t-il si vous parvenez à y pénétrer, à manipuler les données, à faire croire au véhicule qu'il doit tourner à gauche plutôt qu'à droite ?
Tisdale: Ce sont des points qui me semblent particulièrement importants. Ce que je déplore, c'est de voir trop d'entreprises se précipiter sur ce marché, n'est-ce pas ? Tout le monde veut être le premier, mais être le premier comporte de nombreux risques. Je pense que dans cette discussion, l'industrie surveille Tesla de très près, pour observer ce qui se passe. Nous n'avons même pas encore exploré la prochaine évolution des moteurs à combustion vers les véhicules électriques, ni l'interconnectivité avec le réseau, la façon dont ils alimenteront les routes et transféreront l'énergie. Il se passe tellement de choses dans le domaine de l'automobile et des nouvelles technologies qu'il est presque impossible d'envisager tous les scénarios susceptibles de mal tourner. Mais le cloud semble être l'environnement en arrière-plan qui hébergera une grande quantité de données. Et je pense que cela attise la curiosité des hackers, pour être honnête.
Surber: Les concepts disponibles pour les consommateurs dans un monde de conduite autonome sont très séduisants. Je me souviens d'avoir vu une vidéo il y a de nombreuses années qui parlait de convois de voitures, n'est-ce pas ? Où vous êtes sur une autoroute et vous pouvez relier toute une série de voitures, ce qui vous permet de circuler bien plus vite que ce que nous sommes autorisés à conduire nous-mêmes, mais de façon bien plus sécurisée. Et je trouve cela vraiment formidable. C'est très impressionnant, mais cela nécessitera des capacités de traitement considérables en arrière-plan. Cela nécessitera des millions, voire des milliards de lignes de code. Et avec chaque ligne de code vient l'opportunité d'un bug, d'une erreur ou d'une vulnérabilité.
Tisdale: On a l'impression que nous faisons un simple échange, un transfert de responsabilité sur ce qui peut mal tourner.
Surber: Les piratages de véhicules remontent en fait à 2010, quand, je crois, une Chevy Impala avait vu son système OnStar piraté. Vous avez évoqué le piratage de la Jeep en 2015, et auparavant nous avions eu 25 Tesla compromises via une application tierce. Parlons donc du rapport 2021 Global Automotive Security Report, qui indiquait que 57% des piratages automobiles recensés en 2021 avaient été réalisés par des acteurs malveillants. Nous savons donc qu'il ne s'agit pas d'un simple problème théorique, n'est-ce pas ? Nous savons que, bien que de nombreux chercheurs et experts en sécurité s'efforcent de détecter les vulnérabilités en amont, les personnes malveillantes sont déjà à l'œuvre, et 40% de ces violations concernaient des serveurs — ce back end dont nous parlions, qui communique avec ces véhicules connectés. Alors, que faisons-nous aujourd'hui face à cela ?
Tisdale: Nous devons avoir davantage de personnes qui examinent ces systèmes, pour être honnête. Et bien souvent, l'un des problèmes majeurs — qui ne se limite pas au secteur automobile — est que les budgets nécessaires à ce type de travail ne sont pas une priorité. Et s'ils le font, ils ont des équipes internes de red team qui s'en chargent, et on commence à jouer sur la ligne entre ce qui est suffisant et jusqu'où on peut aller trop loin. Il s'agit donc d'établir une cohérence sur ce qu'ils doivent examiner, à quelle fréquence ils doivent le faire, et jusqu'à quel niveau de profondeur ils doivent aller. Je suis opposé à la conformité dans le sens où je ne crois pas qu'il suffise de cocher une case ; je pense que nous devons faire un peu mieux que cela en tant qu'industrie, en tant que collectif. Et je pense que je suis probablement minoritaire sur ce point. Peut-être pas en théorie — en théorie, tout le monde serait d'accord pour dire qu'on veut faire plus que cocher une case — mais en pratique, le temps et l'argent que cela demande sont quelque peu prohibitifs.
Surber: Oui, je suis d'accord. La conformité n'est pas synonyme de sécurité. Mais je crois que nous reconnaissons tous que la conformité obtient des budgets. C'est exact. Et cela devient donc un problème récurrent. Et il existe des étapes fondamentales que toutes les parties prenantes peuvent mettre en œuvre pour protéger les systèmes, en particulier le backend, mais aussi le frontend, comme l'hygiène cyber de base, la gestion du patching, la gestion de la chaîne d'approvisionnement, notamment les logiciels, les nomenclatures, et la connaissance de ce qui est intégré dans les logiciels utilisés pour développer vos propres solutions, n'est-ce pas ? Tout cela vise à limiter les risques de première, deuxième et troisième partie. En tant qu'industrie informatique, nous savons comment procéder. Pensez-vous que ces mesures sont appliquées de manière efficace dans ce nouveau contexte ?
Tisdale: Les bases de la sécurité embarquée sont gérées de façon satisfaisante aujourd'hui. Je dis cela avec prudence. Peuvent-ils faire davantage ? Oui, sans aucun doute. Ils peuvent faire davantage. Peuvent-ils y consacrer un budget plus important ? Absolument. Peuvent-ils Engage davantage avec la communauté de recherche ? Tout à fait. Mais je pense que, dans l'ensemble, ils ont réalisé des progrès considérables par rapport à leur situation il y a seulement quelques années.
Surber: Eh bien, Jen, merci pour le temps que vous nous avez accordé aujourd'hui. Avez-vous des réflexions finales à nous partager alors que nous nous engageons avec détermination vers cet avenir ?
Tisdale: Oui. J'aime la technologie. J'aime les avantages que les transports de demain apporteront à nos communautés, ainsi qu'aux populations sous-représentées à travers le monde qui n'ont pas accès aux transports. Je pense que les aspects positifs l'emportent sur les craintes. Oui, il y a de quoi s'inquiéter. Des personnes s'en occupent, et je pense que nous voyons de nombreuses nouvelles parties prenantes s'engager et s'impliquer, tout comme vous, et nous ne pouvons jamais avoir trop de personnes qui examinent le problème et nous aident à le résoudre. Je ne laisserais donc pas cette conversation décourager les gens face à ce que l'avenir nous réserve en matière de systèmes connectés, automatisés et, à terme, autonomes. Je suis vraiment enthousiaste à ce sujet. Nous devons simplement faire preuve d'intelligence. Nous devons être plus intelligents que notre voiture intelligente.
Surber: Voilà. Ce sera un défi de taille, mais je pense que nous pouvons y arriver. .
Surber: Je me suis entretenu aujourd'hui avec Jennifer Tisdale, CEO de Grimm Cyber. Si vous souhaitez en savoir plus sur les problèmes de cybersécurité liés aux véhicules autonomes, consultez Focal Point, le magazine en ligne de Tanium dédié à l'actualité cyber. Vous trouverez des liens vers plusieurs articles dans les notes de l'émission. Ou rendez-vous sur tanium.com pour découvrir d'autres conversations avec les leaders du monde des affaires et les experts en sécurité d'aujourd'hui.
Pensez à vous abonner à Let's Converge sur votre application de podcast préférée. Et si cet épisode vous a plu, n'hésitez pas à nous attribuer une note de cinq étoiles. Merci de votre écoute. Nous avons hâte de partager de nouvelles perspectives cyber dans le prochain épisode de Let's Converge.
