Des millions d'autos Volkswagen hackables

Près de 100 millions de véhicules du fabricant Volkswagen sont déverrouillables à distance par piratage informatique

(CCM) — Une équipe de chercheurs de l’Université de Birmingham et de la société de sécurité allemande Kasper & Olswald ont réussi à trouver deux failles différentes permettant de déverrouille à distance des véhicules de marque des marques Volkswagen, Audi ou encore Seat. Environ 100 millions de véhicules, construits entre 1996 et 2016 sont concernés. Pour réussir ce tour de force, les chercheurs ont exploités deux failles cryptographiques utilisés par les télécommandes d’ouverture des véhicules.

La première faille réside dans la clé de chiffrement du véhicule : il en existe seulement 4 différentes pour l’ensemble des 100 millions de véhicules. Elles ont été assez faciles à trouver en pratiquant la rétro-ingénierie sur quelques véhicules test. La seconde faille concerne la transmission radio utilisée par la télécommande. Grâce à un équipement qui leur a coûté une quarantaine de dollars, les chercheurs ont réussi a créer une petite radio pouvant capter le code transmis par la télécommande. Ils ont ainsi été à même donc été à même de le copier et d’ouvrir les véhicules.

A l’occasion du symposium Usenix Security qui se tenait cette semaine à Austin, les chercheurs ont démontré qu’il était possible pour un hacker utilisant ce système d’ouvrir un véhicule en étant à moins de 90 mètres de distance. Bien entendu, cette présentation n’est pas une nouveauté pour Volkswagen. En effet, les chercheurs ont averti le constructeur auto allemand de leurs découvertes dès novembre 2015. Ce dernier a accepté que les chercheurs puissent publier leur découverte s’ils ne divulguaient pas les informations les plus sensibles comme les clés de chiffrement globales.

Si ce problème ne peut pas être résolu pour le moment, Volkswagen a cependant communiqué qu’il était impossible de démarrer un véhicule avec ce système, ou si la voiture avait été fermée par la serrure mécanique. La compagnie ajoute que la faille ne concerne pas l’ensemble des modèles, dont ceux produits à partir de 2016.

Les chercheurs ont de leur coté prévenu qu’ils avaient également trouvé une autre faille dans la clé de cryptage de la puce HiTag2 équipant les télécommandes de nombreux véhicules des marques Renault, Alfa-Roméo, Peugeot et Nissan…