La connectivité Over-The-Air signifie des mises à jour rapides, mais de nouveaux défis de sécurité

Grâce à l'accélération de l'informatisation des systèmes de véhicules, la mise à jour et la sécurisation du firmware de contrôle représentent une nouvelle responsabilité pour les fabricants automobiles. La connectivité par ondes permet de pousser silencieusement des correctifs cruciaux, en particulier ceux qui ferment les failles de sécurité, vers des milliers de voitures sans intervention de l'utilisateur. Cela dit, il est important de réaliser qu'une solution over-the-air présente une épée à double tranchant : si elle n'est pas correctement mise en œuvre, les systèmes matériels des véhicules peuvent être exposés à des attaques. Il est absolument critique de s'assurer que non seulement le système de mise à jour est sécurisé, mais que l'approche de conception utilisée est intrinsèquement résiliente.

Imaginez-vous en train de conduire une voiture. C'est un nouveau modèle que vous venez d'acheter, et jusqu'à présent, vous l'adorez. Vous êtes sur votre trajet quotidien sur l'autoroute, la stéréo diffuse votre musique préférée, la climatisation est juste parfaite. Soudain, la stéréo s'éteint. Étrange, pensez-vous. Avez-vous appuyé sur un bouton ? Puis la climatisation s'arrête, et les bouches d'aération commencent à souffler de l'air chaud à plein régime. Que se passe-t-il ici ? Alors que vous cherchez à comprendre, les freins se déclenchent soudainement, avec force. La voiture derrière klaxonne sauvagement, évitant de justesse de vous rentrer dedans. Terrifié, vous faites de votre mieux pour vous ranger sur le côté. Malgré vos tentatives vaines de comprendre, rien n'explique la rébellion pure et simple de votre voiture. Pour un constructeur automobile, c'est un désastre en termes de relations publiques.

Un problème évitable

Cette situation angoissante peut sembler tirée par les cheveux, mais un groupe de pirates informatiques a démontré qu'elle était tout à fait possible. Comme documenté par Wired Magazine, presque tous les systèmes clés d'un Jeep Cherokee de dernière génération pouvaient être contrôlés à distance. Une vulnérabilité dans le système "UConnect" de ce SUV, partagé par toute la gamme de Fiat Chrysler Automobiles, permettait une attaque via Internet grâce à la connexion cellulaire intégrée du système. Puisque presque toutes les fonctionnalités du Cherokee sont contrôlées électroniquement, cela transformait un véhicule de deux tonnes en un jouet télécommandé de luxe. Une fois informé de l'expérience de piratage, Fiat Chrysler a été contraint de rappeler 1,4 million de voitures équipées de manière similaire, à grands frais. Cependant, le tumulte aurait pu être facilement résolu en utilisant des mises à jour par voie aérienne.

Une solution : Les mises à jour par voie aérienne

Grâce à l'accélération de l'informatisation des systèmes de véhicules, la mise à jour et la sécurisation du firmware de contrôle constituent une nouvelle responsabilité pour les fabricants automobiles. La connectivité par ondes permet de pousser silencieusement des correctifs cruciaux, notamment ceux qui ferment les failles de sécurité, vers des milliers de voitures sans intervention de l'utilisateur. Cela dit, il est important de réaliser qu'une solution par ondes présente un double tranchant : si elle n'est pas correctement mise en œuvre, les systèmes matériels des véhicules peuvent être exposés à des attaques. Il est absolument critique de s'assurer que non seulement le système de mise à jour est sécurisé, mais que l'approche de conception utilisée est intrinsèquement résiliente.

Les meilleures pratiques pour les mises à jour par ondes sont encore en évolution, mais peuvent être facilement résumées : maintenir les choses séparées. Plus il y a de couches, d'obfuscation et de sandbox ajoutés aux systèmes clés du véhicule, mieux c'est. En pratique, cela signifie que les actifs cibles tels que les Unités de Contrôle Moteur et le Réseau de Contrôleurs doivent être isolés par des pare-feu du matériel d'infodivertissement et de téléphonie et mis à jour séparément. Bien que les avantages en termes d'économie de coûts d'une approche de conception consolidée soient attrayants, une approche stratifiée est beaucoup plus résiliente.

Les concepteurs de matériel embarqué devraient également envisager d'utiliser davantage de solutions prêtes à l'emploi, en particulier celles qui fonctionnent sur des systèmes d'exploitation standard de l'industrie. Non seulement cela permettra de réduire les coûts de développement, mais une approche interne pourrait ne pas accorder suffisamment d'attention aux failles de sécurité potentielles. Enfin, pour une sécurité absolue, envisagez de laisser les systèmes les plus critiques en dehors d'un programme de mise à jour par voie hertzienne. Les unités de contrôle principales (ECU) et les contrôleurs d'airbag, par exemple, peuvent être mis à jour lors des visites chez le concessionnaire et des bulletins de service technique.

Sécurité sans compromis : Le Gestionnaire de Mise à Jour Over-the-Air

Ce dernier point peut sembler être une échappatoire, mais il ne doit pas l'être. Il est possible de maintenir tous les systèmes du véhicule à jour de manière sécurisée, mais cela exige une petite réflexion à travers une approche novatrice. Utiliser un gestionnaire de mise à jour indépendant, ou un ordinateur léger en charge des mises à jour assure une sécurité maximale. Cette unité, qui fait office de pare-feu pour les systèmes critiques par rapport à l'équipement de communication réel, agit comme un "contrôle des passeports" pour les mises à jour de firmware entrantes.

En utilisant soit un chiffrement/déchiffrement intégré, soit un vérificateur cryptographique, le gestionnaire de mise à jour à distance vérifie le fichier de mise à jour pour en assurer l'authenticité. Si le firmware a été altéré ou est faux, le gestionnaire de mise à jour à distance rejette le fichier. Lorsqu'il est mis en œuvre conjointement avec la sécurité de la communication, comme TLS, ce système est théoriquement infaillible. Les commandes matérielles critiques restent isolées et les mises à jour du firmware peuvent être distribuées sans inquiétude.

Les constructeurs automobiles commencent progressivement à prendre conscience des nouvelles responsabilités que créent les systèmes modernes des voitures et du rôle que joue la sécurité. À première vue, il peut sembler qu'une solution sécurisée et robuste condamne les développeurs à des coûts et des charges opérationnelles plus élevés. Cependant, cela ne doit pas nécessairement être le cas. Grâce à l'utilisation d'un outil de développement moderne conscient de la sécurité, comme Altium TASKING^®, atteindre des niveaux élevés de résilience ne sera pas un casse-tête. Il fournit un environnement de développement intégré pour les systèmes embarqués et est conçu en tenant compte des besoins uniques des applications automobiles.

Conforme à MISRA C et CERT C, permet un développement rapide pour des unités matérielles stratifiées sans sacrifier la fiabilité ou la sécurité. Il permet de manière rentable les mises à jour par voie aérienne avec un développement de firmware ciblé et une longue liste de solutions matérielles prises en charge. Plus important encore, il facilite et simplifie la création de code compilant rapidement, à faible impact, qui est très résistant aux vulnérabilités et aux attaques. Parlez à Altium aujourd'hui pour en savoir plus sur ce que cela peut faire pour votre application automobile particulière.