Volkswagen : des millions de clefs de contact piratables

Pas un seul jour ne passe sans qu'un nouveau piratage de voiture fasse la une des infos. Après la Jeep Cherokee (groupe Fiat-Chrysler) et la Tesla, c'est au tour du groupe Volkswagen d'être touché. C'est par le biais du site d'informations néerlandais NOS que l'on apprend que des millions de véhicules du groupe allemand Volkswagen (Audi, Seat, Skoda, Porsche, Lamborghini et Bentley) sont piratables par leurs clefs de contact. Tout commence par une étude menée par l'université néerlandaise de Radboud qui a mis en lumière une faille de sécurité sur des clefs de contact équipées de la puce Megamos Crypto. Les chercheurs ont réussi à percer le code secret et à découvrir ainsi des défauts de conception — outre le fait que le code pour immobiliser le véhicule n'avait pas été programmé correctement.

L'un des trois chercheurs, Roel Verdult, explique que la puce possède un code long dont seule une "petite partie" est utilisée par le groupe Volkswagen. De fait, pirater la clef devient plus facile : 10 minutes suffisent pour cracker le code à l'aide d'un ordinateur. Alors que s'il était utilisé dans sa totalité, il faudrait des années pour trouver le code, selon Roel Verdult.

Cette puce qui équipe depuis une quinzaine d'années les clefs de contact des différents véhicules du groupe Volkswagen est également utilisée chez Honda, Fiat et Peugeot. Le constructeur allemand reconnaît qu'il y a un problème de sécurité concernant "l'immobilisation des anciens modèles de voiture qui ne possèdent pas le même niveau de sécurité que les voitures actuelles (…)".
 
Volkswagen n'a pas la l'intention ni la capacité, pour l'instant, de battre le rappel des millions de véhicules incriminés : "Un changement dans le matériel de voitures déjà en circulation n'est généralement pas possible". C'est aux propriétaires de prendre les dispositions adéquates pour mieux sécuriser leurs véhicules. Le tout à leurs frais. Nul doute qu'une plainte collective (class action) devrait sûrement faire bouger les choses…
 
Un rapport qui dérange

Le plus grave dans cette affaire est que le groupe Volkswagen était au courant de la vulnérabilité de ses clefs de contact depuis… 2013. Dès 2012, MM. Roel Verdult, Flavio D. Garcia et Baris Ege, chercheurs en sécurité informatique de l'université de Radboud en Hollande, avaient donc découvert des failles de sécurité dans la puce Megamos utilisée dans ces clefs de contact. Forts de leurs résultats, les scientifiques avaient immédiatement averti le fabricant de la puce tandis qu'un article sur le sujet devait être présenté au symposium de la sécurité informatique (USENIX) en 2013. Malheureusement, cette publication ne vit pas le jour, car interdite par la Haute Cour de justice d'Angleterre et du pays de Galles (EWHC) à la demande du groupe Volkswagen. Motif : la divulgation d'un tel rapport aurait été dommageable en encourageant les potentiels voleurs à dérober des "millions de Volkswagen". Pour Roel Verdult, l'un des trois chercheurs, c'est l'incompréhension : "Volkswagen a bloqué notre publication au lieu de venir autour de la table discuter du problème avec nous".
 
Finalement, Volkswagen a dû lever l'interdiction du rapport en question. Ce dernier sera finalement présenté à l'édition 2015 de USENIX qui se tient dès aujourd'hui et pendant deux jours à Washington D.C. À l'heure actuelle, ni le groupe Volkswagen ni les autres constructeurs touchés par ce problème n'ont réagi.

À titre d'information, lors du dernier DefCon 2015 (conférence mondiale à Las Vegas réunissant tous les experts en sécurité informatique), Elon Musk, PDG de Tesla Motors, a remercié Marc Rogers et Kevin Mahaffey, tous deux experts en sécurité informatique, pour avoir réussi à pirater une Tesla Model S. Résultat, un patch de sécurité était disponible dès le jour suivant. Plus discrètement, le groupe Fiat-Chrysler avait mis en place un patch de sécurité pour tous les propriétaires de véhicules du conglomérat dotés du système UConnect. Pas question de faire l'autruche…Où l'on apprend qu'une étude d'une université néerlandaise, datée de 2012 et portant sur une faille de sécurité affectant des clefs de contact de voiture, avait été interdite de publication par la Haute Cour de justice de Londres à la suite d'une requête du groupe Volkswagen largement impliqué dans ce rapport...