Il a fallu 10 mois à Charlie Miller, ingénieur en sécurité chez Twitter, et à Chris Valasek, directeur Security Intelligence chez IOActive, pour arriver à pirater les unités de contrôle électronique (ECU), c'est-à-dire les réseaux des systèmes informatiques intégrés de deux véhicules - une Ford Escape 2010 et une Toyota Prius 2010 -  et voir à quelles fonctions ils pouvaient accéder. Après avoir connecté un ordinateur portable au réseau de communication ECU, et en envoyant certains codes malveillants au système, ils ont pu notamment désactiver les freins alors que le véhicule était en marche, faire bouger le volant de direction, agir sur l'accélération, jusqu'à endommager le moteur, décrocher la ceinture de sécurité, afficher de fausses information au compteur et tromper les jauges de carburant, allumer et éteindre les feux du véhicule, et activer le klaxon à l'excès. Les chercheurs ont également trouvé un moyen de réaliser des attaques persistantes en modifiant le firmware de l'ECU pour envoyer de mauvais signaux, même quand ils n'étaient plus physiquement connectés aux unités de contrôle.

Quelques semaines avant cette présentation sur la conférence Defcon 21, le vendredi 2 août, les deux chercheurs ont livré aux constructeurs Ford et Toyota un document expliquant comment ils avaient piraté les systèmes de ces véhicules. Selon ce qu'ils ont relaté, Toyota a déclaré que, de son point de vue, cela n'était pas un piratage et que les efforts de l'entreprise en matière de sécurité étaient centrés sur la prévention des attaques à distance, soit à l'extérieur de la voiture, et non celles impliquant l'accès physique au système de contrôle. Le but était de savoir ce qui pouvait se passer en cas de piratage du réseau ECU, comme l'ont indiqué les chercheurs. Selon eux, « il n'y a pas de différence entre un accès local ou à distance, car l'accès à l'ECU ouvre la porte à l'ensemble du réseau et permet d'injecter des commandes ». Charlie Miller est certain que d'autres chercheurs trouveront les moyens d'attaquer ces systèmes à distance, rapportent nos confrères d'IDG News Service présents sur Defcon 21. « L'industrie du logiciel ne sait pas écrire de logiciels imparables. Il n'y a donc aucune raison de croire que les constructeurs automobiles en sont davantage capables », a souligné Charles Miller.

Inciter d'autres chercheurs à travailler sur la question

« Le code des systèmes auquel on peut accéder à distance - celui des unités télématiques, des capteurs de pneus, ceux qui utilisent le Bluetooth et le Wi-Fi - est potentiellement truffé de failles », a-t-il ajouté. « Je suis sûr que si l'on commence à chercher, on va trouver un grand nombre de vulnérabilités ». C'est en partie la raison pour laquelle Charlie Miller et Chris Valasek ont décidé de communiquer les détails de leur recherche, y compris sur le type d'équipement, les câbles et les logiciels qu'ils ont utilisés. Le document de recherche complet et les outils logiciels créés par les deux chercheurs pour interagir avec l'ECU, ainsi que le code utilisé pour injecter des commandes spécifiques, devaient être livrés pendant le week-end.

«Nous voulons inciter d'autres chercheurs à travailler sur la question, avec d'autres voitures ou sur les mêmes voitures », a encore déclaré Charlie Miller. « Il nous a fallu dix mois pour faire aboutir ce projet, mais si nous avions eu les outils dont nous disposons aujourd'hui, il nous en aurait fait deux. Nous voulons faciliter le travail à tous ceux qui voudront s'impliquer dans ce type de recherche ». Celui-ci admet que ces outils peuvent permettre à des gens mal intentionnés de pirater ces systèmes. « Mais, de toutes les façons, si c'est si facile à faire, cela peut arriver. Ça prendrait juste un peu plus de temps », a-t-il avancé. « Si notre seule protection, c'est de dire que personne ne prend la peine de se lancer dans ce type de recherche, alors on ne peut pas affirmer que ces systèmes sont sécurisés », a déclaré Charlie Miller. « Je pense que le mieux est de mettre tout ça à plat, d'identifier les problèmes et d'en parler ».

Des failles liées à des problèmes de conception

« Cependant, il ne sera pas facile de corriger ces failles parce que la plupart sont liées à des problèmes de conception », a déclaré Charlie Miller. « Il ne suffira pas aux constructeurs automobiles de livrer un correctif pour les résoudre », explique encore le chercheur. « Ils doivent complètement repenser leurs systèmes. Par exemple, à l'heure actuelle, la communications des ordinateurs de voiture les uns avec les autres ne requiert aucune authentification, parce qu'ils ont besoin de réagir et envoyer des signaux rapidement dans des situations potentiellement dangereuses », explique le chercheur. L'introduction de procédures d'authentification va ajouter de la latence. Cela signifie que les systèmes doivent être équipés de processeurs plus rapides, qui coûtent plus chers, avec une incidence sur les prix des voitures », a-t-il dit.

« Nous ne savions pas qu'une telle recherche était en cours, et nous l'avons appris par les médias », a déclaré samedi par courriel Cindy Knight, directrice de la communication chez Toyota Motor Sales. «  Toyota prend très au sérieux toute forme de manipulation sur ses systèmes de contrôle électroniques », a-t-elle déclaré. « Nous veillons à les rendre robustes et sécurisés, et nous continuerons à les tester et à les améliorer », a-t-elle ajouté. « Il est important de noter que la démonstration de cette intrusion, très médiatisée, repose sur une présence physique à l'intérieur du véhicule, un démontage du tableau de bord et une connexion câblée », a fait valoir Cindy Knight. « Tout cela serait très vite repéré par le conducteur ». De son côté, Ford Motor Co. aux États-Unis n'avait pas encore répondu à la demande de commentaires de notre confrère d'IDG News Service au moment de la publication de l'article.