Résumé
La menace de piratage automobile affectera tous les voyageurs, quelle que soit la conduite que vous conduisez. Et la protection du « backend » d’une voiture, où tous les actifs informatiques sont stockés, contrôlant la vitesse, la direction, la géolocalisation, etc., sera la priorité 1. Mais comment pouvons-nous amener les gens à mettre à jour le système d’exploitation de leur voiture en temps opportun lorsque nous savons à quel point ils sont lents à mettre à jour leurs ordinateurs et téléphones ?
HOST : Shawn Surber, directeur principal de la gestion technique des comptes,
TaniumGUEST : Jennifer Tisdale, PDG, Grimm
Afficher les notes
Consultez ces articles dans Focal Point, le nouveau magazine d’actualités cyber en ligne de Tanium.
- Comment les chefs d’entreprise peuvent se débarrasser des piratages automobiles
- Le piratage automobile, la prochaine frontière de la cybersécurité
Transcription
L’entretien suivant a été modifié pour plus de clarté.
Jennifer Tisdale : Il se passe tellement de choses en ce qui concerne l’automobile et les nouvelles technologies qu’il est presque impossible de penser à chaque scénario qui pourrait mal se passer. Mais le cloud semble être l’environnement en arrière-plan qui hébergera beaucoup de données, et je pense qu’il est riche pour la curiosité des pirates informatiques.
Shawn Surber : Bonjour, je suis Shawn Surber, et aujourd’hui sur Let’s Converge, nous parlons de véhicules autonomes et de cybersécurité. Le jour des voitures sans conducteur arrive bientôt, tout comme les inévitables piratages et problèmes de sécurité. La menace de piratage automobile affectera tous les voyageurs, quelle que soit la conduite que vous conduisez. Les chercheurs sont particulièrement intéressés par la protection de l’arrière-plan de ces véhicules, et par là je ne veux pas dire les feux arrière. L’arrière-plan fait référence à tous les actifs informatiques qu’un cybercriminel peut souhaiter modifier : l’itinéraire choisi par un véhicule, la manière dont il suit la vitesse d’autres voitures et qui a le droit de passage.
Notre invitée aujourd’hui est Jennifer Tisdale, PDG de Grimm Cyber, une entreprise qui aide les fournisseurs automobiles à identifier et à atténuer les vulnérabilités de sécurité. Elle a également été conseillère en stratégie de cybersécurité pour Mazda North America et responsable du programme de cyber-mobilité pour la Michigan Economic Development Corporation. Bienvenue au défilé, Jennifer.
Tisdale : Eh bien, merci de m’avoir reçu, Shawn. Je suis vraiment ravi de discuter avec vous.
Surber : merveilleux. Allons-y. Il y a une question de base que nous devons nous éloigner : Avez-vous déjà voyagé dans un véhicule sans conducteur ?
Tisdale : Je l’ai fait. C’était une démo. C’était lors d’une conférence, et c’était dans un environnement très contrôlé. Ce n’est peut-être pas un bon baromètre pour ce à quoi cela ressemblera lorsqu’ils seront en pleine nature et sur la route. Pour une fragilité de contrôle telle que moi-même, il faut s’habituer à se trouver dans un véhicule qui n’a pas de conducteur, c’est-à-dire utiliser la technologie des capteurs pour naviguer dans un parcours. C’est un peu déroutant.
Surber : Oui, ce serait la même chose pour moi. Je ne suis même pas un grand fan de rouler à l’arrière d’une cabine.
Tisdale : à droite. Vous devez lâcher un peu .
Surber : Donc, par le passé, lorsque les gens sont entrés dans une voiture, ils cherchaient à faire glisser la voiture ou les composants, ou le contenu de celle-ci, ou voulaient simplement la sortir pour une sortie joyeuse. En ce qui concerne ces véhicules autonomes, qui, selon vous, sera les principaux activateurs de menaces et qu’est-ce qui les motivera à pirater les véhicules autonomes ?
Tisdale : Eh bien, je pense que la principale motivation pour percer ou pirater virtuellement l’un de ces véhicules sera la même : l’argent est le facteur de motivation. L’époque des barres d’oie et du câblage chaud est révolue, et cela se fera désormais grâce à d’autres opportunités de manipuler le code pour amener le véhicule à faire ce qu’il veut, l’argent étant le principal facteur de motivation. En ce qui concerne le vol automobile, il y a une conversation au sein du gouvernement sur ce à quoi cela pourrait ressembler si le contrôle à distance d’un véhicule pouvait se produire en masse, et à quelle distance. Que se passe-t-il s’il y a un événement plus important et plus généralisé pour un gestionnaire de flotte ou pour une marque, un modèle et un ensemble de garnitures particuliers d’un véhicule, à quoi cela ressemblerait-il et qu’est-ce que cela pourrait être ? Vous savez, ce sont les questions qui sont largement sans réponse sur le moment. Mais je pense qu’ils se rapprochent chaque jour pour comprendre ce que cela pourrait être, au-delà de ce que j’appellerais la petite criminalité, et peut-être même danser dans l’espace de ce qui pourrait être un problème de sécurité intérieure ou quelque chose de plus grand que cela.
Surber : C’est exact. En tant que professionnel de longue date de la cybersécurité, il est bon d’entendre les gens jouer. Comme, OK, et si, et si, et si ? Et ensuite, en suivant chacun d’entre eux, car il y a beaucoup de groupes différents impliqués dans la protection de ces véhicules. Il y a les fabricants de véhicules, les fournisseurs de logiciels et de services, les propriétaires des véhicules, bien sûr, puis le rôle que les gouvernements vont jouer pour s’assurer que ces appareils sont sécurisés. Parlons-en un peu. Commençons par les constructeurs automobiles. Dans quelle mesure pensez-vous qu’ils seront réactifs au potentiel de cyberattaques et de cyberattaques lorsqu’elles se produisent ?
Tisdale : Ils n’auront pas d’autre choix que d’être réactifs. Il s’agit d’un secteur relativement nouveau, n’est-ce pas ? Ce n’est qu’en 2015 que nous avons eu le premier coup médiatique avec le piratage Jeep qui s’est produit.
Surber : Pour ceux d’entre vous qui ne savent pas, c’est à ce moment-là que deux chercheurs en sécurité ont démontré qu’ils pouvaient prendre le contrôle à distance des freins et de la direction d’une Jeep Cherokee. Ils ont pu exploiter un défaut dans la connexion cellulaire de la voiture. Chrysler a dû émettre un rappel pour le corriger.
Tisdale : Cela a changé la donne dans le secteur car cela a forcé la conversation. Mais les constructeurs automobiles de 2015 à 2022 ont fait beaucoup de travail non seulement pour déterminer comment réagir, mais aussi pour être proactifs. Donc, en tant que personne en cybersécurité, cela me donne un certain niveau de confiance qu’ils s’attaquent à la cybersécurité des véhicules du mieux qu’ils peuvent pendant la phase de R&D.
L’automobile a un cycle de production de cinq ans, donc les véhicules qui ne seront pas sur la route pendant cinq ans sont déjà examinés en termes de sécurité, ce qui est très rassurant. Là où je pense qu’il entre dans une zone un peu grise, c’est avec les systèmes existants et essayer de comprendre comment maintenir la sécurité tout au long du cycle de vie. Et cela, je pense, sera largement dirigé par toutes les parties prenantes impliquées.
Surber : Je pense qu’une grande clé ici est la maintenance, n’est-ce pas ? Vous savez, traditionnellement, lorsqu’il y a un problème avec quelque chose, ils émettent un rappel, vous emmenez le véhicule dans l’atelier et ils le résolvent. Avec la nouvelle ère des mises à jour en direct, nous verrons tout un « autre aspect de celle-ci : des mises à jour forcées, des mises à jour que les consommateurs peuvent accepter ou refuser. Qu’en est-il de cette voie aérienne comme vecteur d’attaque ? Cela vous préoccupe-t-il ?
Tisdale : Oui, c’est certainement un sujet de préoccupation. Je le vois tout le temps, en particulier avec mes beaux-parents et mes enfants : s’ils n’acceptent pas la mise à jour de sécurité sur leurs appareils personnels, que se passe-t-il s’ils ne l’acceptent pas dans leur véhicule ? C’est une chose si nous parlons de protéger nos données et nos informations personnelles, mais c’est autre chose s’il s’agit d’une mise à jour qui pourrait avoir un impact sur notre vie et nos membres, n’est-ce pas ?
Surber : Absolument. Nous le voyons tous, même dans les environnements d’entreprise traditionnels, en faisant simplement sortir les correctifs et en demandant aux personnes de redémarrer les systèmes. Oh, vous savez, nous ne pouvons pas redémarrer ces appareils car ils sont essentiels à certains moments. Mais c’est tout « autre chose » lorsque vous roulez sur la route. Je veux dire, évidemment, vous ne pouvez pas redémarrer le système pendant que vous conduisez, mais les propriétaires de ces véhicules seront obligés d’attendre, lorsqu’ils vont mettre leur voiture sous tension, vous savez, seront-ils censés attendre quelques minutes pour ces mises à jour ?
Tisdale : Oui. Et je ne pense pas qu’il soit incorrect de considérer [la voiture] comme un appareil . Je pense que c’est assez exact. Il peut y avoir un temps de latence, mais ce que nous voyons généralement dans le secteur aujourd’hui, tant de véhicules utilisent des applications, vous savez, des applications téléphoniques qui vous indiquent quand votre voiture doit être réparée ou entretenue. Vous recevrez donc un avertissement pour savoir quand la mise à jour doit se produire dans votre logiciel. S’il s’agit de quelque chose qui pourrait avoir un impact sur ce que j’appellerais la fonction critique du véhicule, le fonctionnement du véhicule, il peut même s’agir de quelque chose qu’ils doivent faire chez le concessionnaire. Je pense que la pratique standard est en cours d’élaboration.
Je pense que nous voulions également discuter du rôle du gouvernement dans ce domaine. Et je pense que nous verrons en aval une réglementation qui aide à traiter la cybersécurité du point de vue de la cybersécurité. Je dois souvent rappeler aux gens que nous n’avons pas d’airbags ou de ceintures de sécurité dans nos voitures si un organisme gouvernemental n’avait pas réglementé la sécurité dans le véhicule. Et je pense qu’en cours de route, nous verrons la cybersécurité gérée de la même manière.
Interrogateur : Pensez-vous que la réglementation gouvernementale est la meilleure façon d’y aller ? Ou aimeriez-vous voir une coalition de fabricants trouver leurs propres réglementations internes qu’ils pourraient réellement appliquer les uns sur les autres, encore plus strictement que le gouvernement ne le pourrait ?
Tisdale : Je ne pense pas que quelqu’un dans le secteur souhaite que le gouvernement dicte comment développer son activité. Les personnes qui possèdent les véhicules, dans la plupart des États de ce pays, doivent avoir le droit de réparer les marchandises qu’elles achètent. Nous avons beaucoup de bricoleurs. Je suis à Detroit, où tout le monde aime bricoler avec ses véhicules, les souper, voir comment ils fonctionnent. Et nous verrons que cela continue à mesure que nous avançons dans ce système de véhicule autonome. Alors laissons-nous les gens bricoler sur leurs propres voitures ? Vous savez, il s’agit d’un point d’interrogation. En ce moment, nous le faisons, mais je prévois que ce ne sera peut-être pas une bonne idée lorsqu’il s’agit des fonctionnalités de sécurité critiques d’un véhicule qui sont pilotées par logiciel. Alors, où le gouvernement pourrait-il vouloir intervenir ? Je pense qu’à chaque fois qu’il y a une chance que quelqu’un soit physiquement blessé ou que les choses se passent de côté rapidement en salissant avec du code intentionnellement ou involontairement qui peut causer des dommages aux autres, ils entreront probablement dans cet espace.
Tisdale : Je détesterais nous voir avoir 50 États avec 50 lois différentes. Cela ne fonctionnera pour personne, mais c’est la conversation que nous entendons actuellement. Certains États envisagent de modifier ou de modifier les lois sur le droit à la réparation spécifiquement pour cette conversation sur les personnes qui peuvent entrer en arrière-plan et ce qui peut être fait au code, ce qui est dans les droits d’un consommateur et ce qui ne l’est pas. Certains États que j’ai suivi cherchent à en faire un acte criminel, si vous piratez un véhicule et que vous n’êtes pas dans l’industrie et que vous n’êtes pas chercheur ou membre du monde universitaire. Et je pense que c’est également une pente glissante. Les États doivent donc se réunir ainsi qu’avec le gouvernement fédéral pour comprendre comment ils veulent gérer ces choses. Mais c’est tellement nouveau, Shawn, que tout le monde essaie d’être proactif, mais ils ne sont pas encore tout à fait informés sur ce qu’ils traitent, en particulier au niveau gouvernemental.
Surber : Le droit de réparation est un point intéressant. Je connais toutes sortes de manières dont les gens émergent et modifient les véhicules en introduisant simplement une programmation différente dans le jeu de puces. Je pense que nous allons commencer à voir davantage d’approche de jardin clos où vous pourriez être en mesure de modifier cette zone, mais cela nécessite un niveau de sécurité supplémentaire significatif, peut-être même des appareils de sécurité physique qui ne sont disponibles que pour les concessionnaires et les centres de réparation autorisés et des choses comme ça. Parce que vous avez absolument raison : si vous entrez et que vous augmentez la puissance, mais que vous désactivez les capteurs de mouvement, vous pourriez y avoir un vrai problème.
Tisdale : C’est sans aucun doute un domaine à surveiller ; il a attiré plus d’attention au cours de l’année passée environ. Et je prévois que cela ne fera qu’augmenter.
Surber : C’est exact. Et donc nous avons beaucoup parlé de la sécurité des véhicules eux-mêmes, mais qu’en est-il de l’arrière-plan, de tous les serveurs, des systèmes, du code ? Selon vous, qu’est-ce qui doit particulièrement préoccuper les chefs d’entreprise pour sécuriser l’arrière-plan du système ?
Tisdale : Oui, nous devons garder à l’esprit que toute la raison pour laquelle cela se produit est d’atteindre zéro décès. OK ? Industrie zéro décès de véhicules. Absolument. L’industrie et le gouvernement peuvent convenir d’un point, c’est le jeu final ultime, n’est-ce pas ? Le véhicule à mesure qu’il se rapproche de systèmes entièrement autonomes dépendra de la communication avec son environnement d’exploitation qui s’appuie sur ce qu’ils appellent des systèmes ITS, des systèmes de transport intelligents, qui sont les capteurs et la technologie qui est intégrée dans la route. C’est ce qui va nous amener dans des villes intelligentes qui vont de pair avec nos voitures intelligentes. J’aime les appeler « véhicules cloud » parce que c’est juste humoristique pour moi, mais nous aurons ces véhicules cloud sur la route qui communiquent avec d’autres véhicules à côté d’eux, devant eux, derrière eux.
Tisdale : Ils communiqueront avec ces panneaux d’affichage numériques où ils vous donneront la mise à jour, n’est-ce pas ? Like, you’re 15 miles from whatever exit and you have one accident, get over to the right or whatever, right? Tout cela va donc s’interfacer avec le véhicule lui-même. Cela rend le cloud mûr pour la préparation, car le cloud tirera parti de l’IA et du machine learning. Ils recueilleront toutes ces données pour prendre des décisions très rapides pour le fonctionnement du véhicule et transmettre ces informations au système ITS. Tout cela alimentera les fonctionnalités de sécurité telles que les systèmes d’aide à la conduite et la coopération avec la route elle-même, avec le système ITS lui-même pour prévenir les accidents et augmenter la sécurité routière et, dans l’ensemble, améliorer le flux de trafic ? C’est donc ce backend cloud, et que se passe-t-il si vous pouvez le pénétrer, si vous pouvez manipuler les données, si vous pouvez faire croire au véhicule qu’il devrait tourner à gauche plutôt qu’à droite ?
Tisdale : Ce sont les choses qui m’intéressent vraiment. Ce que je déteste voir, c’est que trop d’entreprises se précipitent sur le marché, n’est-ce pas ? Tout le monde veut être le premier, mais être le premier s’accompagne de nombreux risques. Je pense que dans cette conversation, l’industrie surveille Tesla de très près, vous savez, pour ce qui se passe. Nous n’avons même pas évoqué la prochaine évolution des moteurs à combustion vers les véhicules électriques, cette interconnectivité au réseau et la manière dont ils chargeront les routes et transféreront l’énergie. Je veux dire, il se passe tellement de choses en relation avec l’automobile et les nouvelles technologies qu’il est presque impossible de penser à chaque scénario qui pourrait mal se passer. Mais le cloud semble être l’environnement en arrière-plan qui hébergera beaucoup de données. Et je pense qu’il est riche pour la curiosité des pirates informatiques, assez honnêtement.
Surber : les concepts de ce qui est disponible pour les consommateurs dans un monde de conduite autonome sont si attrayants. Je me souviens avoir vu une vidéo il y a de nombreuses années en parlant de trains automobiles, n’est-ce pas ? Là où vous êtes sur une autoroute et que vous pouvez en fait relier toute une série de voitures et cela vous donne la possibilité de bouger beaucoup, beaucoup plus vite que ce que nous sommes potentiellement autorisés à conduire nous-mêmes, mais d’une manière beaucoup plus sûre. Et je pense que c’est vraiment génial. C’est vraiment cool, mais cela nécessitera d’énormes quantités de traitement en arrière-plan. Cela va nécessiter des millions, voire des milliards de lignes de code. Et avec chaque ligne de code vient l’opportunité d’un bug, d’une erreur ou d’une vulnérabilité.
Tisdale : Cela commence à donner l’impression que nous faisons simplement un échange, un échange de responsabilité pour les domaines où les choses peuvent mal tourner.
Interrogateur : les piratages de véhicules remontent en fait à 2010, alors que, je pense, c’était une Chevy Impala que son système OnStar avait été piraté. Vous avez parlé du piratage Jeep en 2015, et plus tôt, nous avions 25 Teslas compromis via une application tierce. Parlons donc du rapport mondial 2021 sur la sécurité automobile, qui a déclaré que 57 % des piratages automobiles connus en 2021 ont été effectués par des acteurs malveillants. Nous savons donc que ce n’est pas seulement un problème théorique, n’est-ce pas ? Nous savons que bien que nous ayons une tonne de chercheurs et de chapeaux blancs qui essaient de trouver les vulnérabilités à l’avance, nous savons déjà que les méchants le recherchent, et 40 % de ces violations étaient des violations de serveurs, ce back-end dont nous parlions qui communique avec ces véhicules connectés. Alors, que faisons-nous aujourd’hui à ce sujet ?
Tisdale : Nous devons avoir plus de personnes qui examinent ces systèmes, honnêtement. Et plus fréquemment, l’un des problèmes les plus importants n’est pas exclusif à l’automobile, je sais qu’ils ne donnent pas la priorité au budget nécessaire pour effectuer ce type de travail. Et s’ils le sont, ils ont des équipes rouges internes qui le font et, vous savez, vous commencez à danser sur la ligne pour ce qui est suffisamment bon et jusqu’où est trop loin. Ainsi, obtenir une certaine cohérence pour ce qu’ils doivent examiner, à quelle fréquence ils doivent regarder et à quelle profondeur ils doivent aller. Je suis une personne chargée de la lutte contre la conformité dans le sens où je ne pense pas que nous ayons juste besoin de cocher une case ; je pense que nous devons faire un peu mieux que cela en tant qu’industrie, en tant que collectif. Et je pense que je suis probablement dans la minorité à ce sujet. Peut-être pas en théorie, en théorie tout le monde s’accorde à dire que nous voulons faire plus qu’une case, mais dans la pratique, la quantité de temps et d’argent qui prend est un peu prohibitive.
Surber : Oui, je suis d’accord. La conformité n’est pas égale à la sécurité. Mais je pense que nous reconnaissons tous que la conformité obtient un budget. C’est exact. Et donc cela devient un problème continu. Et il y a certaines étapes fondamentales que toutes les parties prenantes peuvent prendre pour protéger les choses, en particulier le back-end, mais même sur le front comme votre cyberhygiène de base, votre gestion des correctifs, votre gestion de la chaîne d’approvisionnement, des choses comme les logiciels, les nomenclatures, savoir ce qui est intégré dans le logiciel que vous utilisez pour rendre votre logiciel, n’est-ce pas ? Il s’agit de limiter les risques de premier, deuxième et tiers. En tant qu’industrie informatique, nous savons comment faire ces choses. Pensez-vous qu’elles sont appliquées efficacement dans ce nouveau monde ?
Tisdale : Les bases de la sécurité embarquée sont aujourd’hui assez bien gérées. Je dis cela avec précaution. Peut-il en faire plus ? Oui, absolument. Ils peuvent en faire plus. Peuvent-ils consacrer plus de budget ? Heck, oui. Peuvent-ils s’engager davantage auprès de la communauté de la recherche ? Absolument. Mais je pense que pour la plupart, ils se sont améliorés par des sauts et des limites par rapport à ce qu’ils étaient il y a quelques années seulement.
Surber : Eh bien, Jen, merci beaucoup pour votre temps aujourd’hui. Y a-t-il des idées de conclusion que vous aimeriez nous laisser alors que nous nous dirigeons audacieusement vers cet avenir ?
Tisdale : Oui. J’adore la technologie. J’adore les avantages que les transports futurs apporteront à nos communautés, aux poches sous-représentées dans le monde entier qui n’ont pas un accès facile aux transports. Je pense que le bien l’emporte sur l’effrayant. Oui, il y a peur. Il y a des personnes qui y répondent, et je pense que nous voyons beaucoup de nouvelles parties intéressées s’engager et s’impliquer, tout comme vous, et nous ne pouvons jamais avoir trop de personnes qui examinent le problème et nous aident à le résoudre. Je ne laisserais donc pas cette conversation effrayer les gens de ce à quoi ressemble l’avenir en termes de systèmes connectés, automatisés et finalement autonomes. J’en suis vraiment ravi. Nous devons juste être intelligents. Nous devons être plus intelligents que notre voiture intelligente.
Surber : C’est parti. Cela va être difficile, mais je pense que nous pouvons le faire.
Surber : J’ai parlé aujourd’hui avec Jennifer Tisdale, PDG de Grimm Cyber. Si vous souhaitez en savoir plus sur les problèmes de cybersécurité liés aux véhicules autonomes, consultez Focal Point, le magazine d’informations en ligne sur la cybersécurité de Tanium. Nous avons des liens vers plusieurs articles dans les notes de spectacle. Ou rendez-vous simplement sur tanium.com pour en savoir plus sur les principaux chefs d’entreprise et experts en sécurité d’aujourd’hui.
Assurez-vous de vous abonner à Let’s Converge sur votre application de podcast préférée. Et si vous aimez cet épisode, veuillez nous donner cette note cinq étoiles. Merci d’avoir écouté. Nous sommes impatients de partager plus d’informations sur le prochain épisode de Let’s Converge.
