Sécurité du bus CAN : La bataille invisible de la cybersécurité dans les véhicules connectés

L’intégration croissante de la connectivité numérique dans les véhicules modernes a élevé l’importance de la cybersécurité, en particulier dans le système de bus Controller Area Network (CAN).

Conçu à l’origine pour une communication efficace entre les unités de contrôle électronique (ECU), le bus CAN manque de mesures de sécurité intégrées, ce qui en fait une cible privilégiée pour les menaces cybernétiques.

Cet article explore les vulnérabilités du bus CAN, y compris le manque d’authentification et de cryptage, la susceptibilité aux attaques par déni de service et par rejeu, ainsi que les risques croissants posés par la connectivité sans fil.

Pour relever ces défis, nous présentons une approche multicouche de la sécurité du bus CAN, incorporant des systèmes de détection et de prévention d’intrusion (IDPS), l’authentification et le cryptage des messages, des passerelles sécurisées, la segmentation du réseau et des mécanismes de démarrage sécurisé.

Une contribution clé de cette étude est l’analyse des réseaux neuronaux profonds pour la détection d’anomalies, qui permet l’identification en temps réel d’activités malveillantes.

De plus, nous examinons l’efficacité de l’authentification cryptographique et des techniques de cryptage léger pour protéger les communications à l’intérieur du véhicule.

Les résultats soulignent le besoin critique d’une stratégie proactive de cybersécurité, en mettant l’accent sur les solutions de sécurité pilotées par l’IA, la cryptographie post-quantique et la protection basée sur la blockchain pour lutter contre les vecteurs d’attaque en évolution.

En mettant en œuvre ces défenses, l’industrie automobile peut améliorer la sécurité des véhicules, protéger l’intégrité des données et renforcer la confiance des consommateurs dans un paysage de plus en plus connecté.

Introduction : Les menaces invisibles dans les véhicules connectés

À mesure que les véhicules évoluent en machines numériques sophistiquées, l’importance de la cybersécurité dans l’industrie automobile n’a jamais été aussi grande.

Le bus Controller Area Network (CAN), développé à l’origine pour simplifier la communication à l’intérieur du véhicule entre les unités de contrôle électronique (ECU), est devenu une cible privilégiée pour les menaces cybernétiques.

Bien que son efficacité dans la gestion des fonctions du véhicule soit indéniable, son manque de protocoles de sécurité intégrés laisse les véhicules modernes vulnérables à une nouvelle génération de cyberattaques.

Les cybercriminels exploitent de plus en plus les faiblesses des réseaux CAN, menaçant la sécurité des véhicules, l’intégrité des données et la confiance des consommateurs.

Avec l’adoption rapide des véhicules connectés et autonomes, comprendre les vulnérabilités du bus CAN et mettre en œuvre des mécanismes de protection à la pointe de la technologie n’est plus une option, c’est une nécessité.

Pourquoi la sécurité du bus CAN est-elle critique

La sécurité du bus CAN est cruciale car les véhicules modernes dépendent de ce protocole pour gérer tout, du contrôle du moteur et des systèmes de freinage aux fonctionnalités d’infodivertissement et d’assistance au conducteur.

Un bus CAN compromis peut entraîner des conséquences catastrophiques, y compris une accélération involontaire, une défaillance de freinage et un détournement à distance des véhicules.

Le célèbre piratage de Jeep Cherokee en 2015 a démontré comment des attaquants pouvaient manipuler à distance les fonctions d’un véhicule, incitant l’industrie à prioriser la sécurité du CAN.

Une étude de Miller et Valasek (2015) a démontré que les attaques sur le bus CAN pouvaient provoquer des dysfonctionnements de direction et de freinage, prouvant qu’il ne s’agit pas d’un risque théorique mais d’une menace réelle.

Avec l’essor de la communication Véhicule-à-Tout (V2X), des mises à jour Over-the-Air (OTA) et de la gestion de flotte connectée au cloud, la surface d’attaque des véhicules s’élargit.

Des recherches de Petit et Shladover (2014) montrent que les vecteurs d’attaque sans fil augmentent considérablement le potentiel d’exploitation à distance du bus CAN, rendant les hypothèses de sécurité traditionnelles obsolètes.

Vulnérabilités du bus CAN : Une plongée approfondie

Malgré son efficacité, le protocole CAN n’a pas été conçu avec la cybersécurité à l’esprit. Certaines des principales vulnérabilités incluent :

1. Manque d’authentification et de cryptage

Contrairement aux protocoles de communication modernes, les messages du bus CAN manquent de mécanismes d’authentification, ce qui signifie que n’importe quelle ECU sur le réseau peut envoyer et recevoir des messages sans vérification.

Les attaquants exploitant un accès physique ou à distance non autorisé peuvent injecter des commandes malveillantes, pouvant potentiellement remplacer des fonctions critiques pour la sécurité.

Des études de Woo et Kim (2015) indiquent que l’ajout de codes d’authentification de message (MAC) pourrait prévenir les attaques de spoofing, mais la mise en œuvre reste un défi en raison des contraintes de bande passante.

2. Modèle de communication par diffusion

Puisque toutes les ECU partagent le même bus et reçoivent tous les messages transmis, un seul nœud compromis peut manipuler le comportement du véhicule.

Des recherches de Checkoway et al. (2011) ont trouvé que compromettre un système d’infodivertissement peut permettre un mouvement latéral à travers le réseau CAN, affectant les systèmes critiques du véhicule.

3. Attaques par déni de service (DoS)

Une attaque courante sur le bus CAN consiste à inonder le réseau avec des messages de haute priorité, submergeant le système et bloquant les signaux légitimes.

Une étude de Choi et al. (2018) a démontré que les attaques DoS pouvaient provoquer des dysfonctionnements des airbags, des défaillances de freinage et des anomalies sur le tableau de bord.

4. Attaques par rejeu

Les attaquants peuvent capturer des messages CAN valides et les renvoyer plus tard, rendant difficile pour les véhicules de distinguer entre les commandes légitimes et frauduleuses.

Groll et Rieke (2019) proposent des horodatages cryptographiques pour atténuer les attaques par rejeu, bien que la mise en œuvre dans le monde réel fasse face à des défis de surcharge computationnelle.

5. Exploits à distance et surfaces d’attaque sans fil

L’intégration du Wi-Fi, du Bluetooth et de la communication cellulaire élargit les vecteurs d’attaque au-delà de l’accès physique.

Des recherches de Koscher et al. (2010) ont confirmé que la connectivité sans fil pouvait être exploitée pour injecter à distance des commandes sur le bus CAN, démontrant la nécessité d’une sécurité renforcée des passerelles.

Sécuriser le bus CAN : Présent et avenir

Pour lutter contre ces vulnérabilités, les leaders de l’industrie déploient une approche multicouche combinant des stratégies de sécurité matérielle et logicielle.

1. Systèmes de détection et de prévention d’intrusion (IDPS)

La détection basée sur des signatures est une technique fondamentale utilisée dans les systèmes de détection et de prévention d’intrusion (IDPS) pour identifier les menaces cybernétiques connues dans les réseaux CAN automobiles.

Cette méthode repose sur une base de données de signatures d’attaque prédéfinies, des motifs uniques associés à des activités malveillantes, telles que les injections de commandes non autorisées, les attaques par rejeu ou les messages ECU falsifiés.

Lorsque le trafic du bus CAN est surveillé, le système compare chaque message à ces signatures stockées pour détecter et signaler les activités suspectes en temps réel.

La détection d’anomalies par des réseaux neuronaux profonds (DNN) est une méthode avancée spécifiquement conçue pour traiter les vulnérabilités au sein du réseau Controller Area Network (CAN).

Comme le bus CAN manque de fonctionnalités de sécurité natives telles que l’authentification et le cryptage, il devient très susceptible aux menaces cybernétiques, y compris les attaques par ransomware.

Pour y remédier, des recherches récentes de Zhou et al. (2019) ont proposé un système innovant qui exploite des réseaux neuronaux profonds pour la détection d’anomalies en temps réel des messages du bus CAN.

Cette méthode consiste à traiter la détection d’anomalies comme un problème de modélisation inter-domaines, où les séquences de paquets de données du bus CAN sont traitées simultanément.

Plus précisément, les paquets de données sont organisés en trois groupes : ancre (données connues comme bonnes), positif (données opérationnelles normales) et négatif (données anormales) - et alimentés dans une architecture de réseau neuronal profond utilisant une stratégie d’entraînement à poids partagés.

Cette approche utilise un réseau de fonction de perte triplet intégré, initialement utilisé dans la reconnaissance faciale, pour optimiser les distances entre ces groupes.

Le DNN vise à minimiser la distance entre les points de données ancrés et positifs (comportements normaux), tout en maximisant simultanément la distance entre les points de données ancrés et négatifs (comportements anormaux).

Le réseau neuronal profond extrait des vecteurs de caractéristiques distinctifs des messages du bus CAN, qui encapsulent des motifs comportementaux critiques tels que les fréquences de messages, les séquences d’ID de messages et le contenu de la charge utile.

Lorsqu’il est déployé dans des scénarios en temps réel, ce système surveille en continu les messages CAN entrants, identifiant rapidement les écarts par rapport au comportement de référence appris.

Lorsqu’une activité anormale indicative d’un ransomware ou d’une manipulation malveillante est détectée, l’IDPS déclenche des alertes immédiates et des réponses protectrices automatisées telles que l’isolement du réseau ou la suspension de l’ECU.

Complétant la détection basée sur les anomalies, la segmentation du réseau renforce davantage la sécurité du bus CAN en divisant l’infrastructure de communication interne du véhicule en segments isolés.

Cette approche sépare les systèmes critiques pour la sécurité, tels que la direction, le freinage et les airbags, des systèmes non critiques comme l’infodivertissement et la télématique. Les unités de contrôle électronique (ECU) de passerelle appliquent des politiques de communication strictes, restreignant les mouvements latéraux et empêchant la propagation des ransomwares à travers les réseaux de véhicules.

2. Authentification et cryptage des messages

L’authentification des messages garantit que les messages proviennent de sources légitimes et restent inchangés pendant la transmission. Des techniques telles que les codes d’authentification de message basés sur des hachages (HMAC) offrent une solution fiable et efficace.

Zhang et al. (2021) ont démontré l’efficacité de la combinaison de HMAC avec l’algorithme de cryptage léger (TEA), qui offre une forte sécurité contre les modifications non autorisées des messages et les attaques par rejeu tout en imposant un surcoût de performance minimal.

De plus, des méthodes d’authentification basées sur le matériel, telles que les fonctions physiques non clonables (PUFs), utilisent des caractéristiques de fabrication uniques des ECU pour générer des identifiants cryptographiques sécurisés, réduisant considérablement les risques d’accès non autorisé.

Le cryptage complète l’authentification en protégeant la confidentialité des messages, garantissant que seules les ECU autorisées peuvent interpréter les données transmises.

Les méthodes de cryptage symétrique sont privilégiées pour une utilisation automobile en raison de leurs exigences computationnelles minimales, permettant un cryptage rapide et efficace des messages adapté à la communication en temps réel.

Des protocoles tels que les protocoles de cryptage et d’authentification légers (LEAP) sont spécifiquement conçus pour les environnements automobiles, équilibrant une sécurité robuste avec les exigences de performance.

LEAP exploite des algorithmes de chiffrement par flux légers et améliorés en matière de sécurité pour fournir une authentification et un cryptage simultanés, garantissant des communications CAN sécurisées sans introduire de latence significative ou de contraintes de ressources.

3. Passerelles sécurisées et segmentation du réseau

La segmentation du réseau est devenue une stratégie de cybersécurité cruciale pour protéger les bus Controller Area Network (CAN) automobiles contre les menaces cybernétiques.

Cette approche consiste à diviser logiquement le réseau interne du véhicule en plusieurs segments isolés, chacun avec des protocoles de sécurité distincts.

En restreignant la communication entre ces segments, la segmentation minimise efficacement le potentiel pour les attaquants de se déplacer latéralement à travers le réseau, limitant considérablement la propagation des menaces.

Même si un segment est compromis, la segmentation garantit que les systèmes critiques—tels que le freinage, la direction ou le contrôle de sécurité—restent sécurisés et opérationnellement non affectés.

Les mises en œuvre avancées de la segmentation du réseau utilisent des unités de contrôle électronique (ECU) de passerelle qui appliquent des règles de communication strictes et surveillent le trafic réseau en temps réel.

Ces passerelles agissent comme des points de contrôle de sécurité dédiés, analysant en continu les flux de messages pour détecter des activités anormales ou non autorisées.

Si un comportement malveillant est détecté, l’isolement immédiat du segment affecté se produit, garantissant que les fonctionnalités critiques restent protégées.

Cette méthode non seulement empêche l’escalade des menaces cybernétiques, mais facilite également une réponse et une récupération rapides, maintenant la sécurité et l’intégrité opérationnelle des systèmes automobiles.

4. Démarrage sécurisé et vérification de l’intégrité du firmware

Assurer l’intégrité et l’authenticité du firmware est primordial pour protéger le Controller Area Network (CAN) contre les menaces cybernétiques potentielles.

Deux mécanismes critiques employés pour atteindre cet objectif sont le démarrage sécurisé et la vérification de l’intégrité du firmware. Ces processus fonctionnent de concert pour empêcher l’exécution de code non autorisé et maintenir la fiabilité des systèmes à l’intérieur du véhicule.

Démarrage sécurisé : Établir une chaîne de confiance

Le démarrage sécurisé est un protocole de sécurité qui garantit que le système embarqué d’un véhicule démarre en utilisant uniquement des logiciels qui sont vérifiés et de confiance.

Il établit une chaîne de confiance (CoT), commençant par une racine de confiance (RoT) immuable intégrée dans le matériel, qui vérifie chaque couche de logiciel suivante avant l’exécution.

Ce processus empêche le chargement de code malveillant ou altéré pendant la séquence de démarrage.

La mise en œuvre du démarrage sécurisé implique :

2. Racine de confiance (RoT) : Un composant immuable, souvent stocké dans une mémoire morte (ROM), contenant le code initial et les clés cryptographiques nécessaires pour la première étape de vérification.

3. Vérification du chargeur de démarrage : La RoT vérifie la signature numérique du chargeur de démarrage en utilisant la cryptographie asymétrique (par exemple, RSA ou ECC). Si la signature est valide, le chargeur de démarrage est exécuté ; sinon, le processus de démarrage est arrêté.

4. Vérification du système d’exploitation et des applications : Le chargeur de démarrage, maintenant de confiance, vérifie le système d’exploitation et les applications de manière similaire, garantissant que chaque composant est authentifié avant l’exécution.

Ce processus de vérification en couches garantit que seuls des logiciels authentifiés sont chargés, protégeant le réseau CAN contre les menaces cybernétiques potentielles.

Vérification de l’intégrité du firmware : Assurer une confiance continue

Au-delà du processus de démarrage initial, la vérification de l’intégrité du firmware surveille en continu l’intégrité du firmware pendant le fonctionnement. Cela implique :

• Hachage cryptographique : Générer un hachage du code du firmware et le comparer à une valeur connue comme bonne. Toute différence indique une altération potentielle.

• Signatures numériques : Utiliser des signatures numériques pour vérifier que les mises à jour du firmware proviennent de sources de confiance et n’ont pas été altérées pendant la transmission.

Ces mesures garantissent que toute modification non autorisée du firmware est détectée rapidement, maintenant la sécurité du réseau CAN. 

Mise en œuvre dans les systèmes automobiles

La mise en œuvre du démarrage sécurisé et de la vérification de l’intégrité du firmware dans les véhicules implique l’intégration de ces mécanismes dans les unités de contrôle électronique (ECU) qui gèrent diverses fonctions au sein du véhicule. Cette intégration nécessite :

• Support matériel : Les ECU doivent être équipées de modules de sécurité matériels capables d’effectuer des opérations cryptographiques nécessaires pour le démarrage sécurisé et les vérifications d’intégrité.

• Architecture logicielle : Le logiciel doit être conçu pour prendre en charge les séquences de démarrage sécurisé et la vérification de l’intégrité en cours d’exécution sans compromettre les performances.

Une étude sur le processeur de réseau de véhicule S32G274A a démontré l’intégration pratique des mécanismes de démarrage sécurisé post-quantique, soulignant la faisabilité et l’importance de ces mesures de sécurité dans les systèmes automobiles modernes. 

Conclusion : La route à suivre pour la cybersécurité automobile

L’évolution rapide des véhicules connectés a apporté une commodité sans précédent, mais elle a également exposé des vulnérabilités critiques dans l’architecture du bus CAN.

Alors que les menaces cybernétiques continuent de croître en sophistication, sécuriser les réseaux automobiles n’est plus une option, c’est impératif.

Les recherches et les attaques réelles mises en évidence dans cet article démontrent le besoin urgent d’une stratégie de défense proactive et multicouche.

En intégrant la détection d’anomalies alimentée par l’IA, l’authentification cryptographique, des passerelles sécurisées et la conformité réglementaire, les fabricants automobiles peuvent renforcer la sécurité du bus CAN contre les menaces cybernétiques émergentes.

À mesure que la technologie avance, l’industrie doit également investir dans des solutions tournées vers l’avenir telles que la cryptographie post-quantique, la sécurité basée sur la blockchain et les réseaux auto-réparateurs pour rester en avance sur les vecteurs d’attaque en évolution.

L’avenir de la cybersécurité automobile dépend d’un effort collaboratif entre les fabricants, les décideurs et les experts en cybersécurité.

Ce n’est qu’à travers une innovation continue et une vigilance que nous pouvons garantir que les véhicules de demain restent sûrs, résilients et dignes de confiance.

Dans cette bataille de cybersécurité à enjeux élevés, sécuriser le bus CAN ne concerne pas seulement la protection des données, mais aussi la sauvegarde des vies sur la route.

Références

2. Miller, C., & Valasek, C. (2015). “Exploitation à distance d’un véhicule passager non altéré.”

3. Petit, J., & Shladover, S. E. (2014). “Cyberattaques potentielles sur les véhicules automatisés.”

4. Koscher, K., Czeskis, A., Roesner, F., et al. (2010). “Analyse de sécurité expérimentale d’une automobile moderne.”

5. Woo, S., & Kim, J. (2015). “Un code d’authentification de message pratique pour la sécurité du bus CAN.”

6. Choi, W., Woo, S., & Kim, Y. (2018). “Attaques par déni de service sur les réseaux CAN.”

7. Dorri, A., Kanhere, S. S., Jurdak, R., & Gauravaram, P. (2017). “Blockchain pour la sécurité et la confidentialité de l’IoT.”

8. Thiruloga, S., Kukkala, V. K., & Pasricha, S. (2021). “Détection d’anomalies basée sur l’IA dans les réseaux automobiles.”

9. Zhou, Aiguo & Li, Zhenyu & Shen, Yong. (2019). Détection d’anomalies des messages du bus CAN à l’aide d’un réseau neuronal profond pour les véhicules autonomes.

10. Zhang, et al. (2021). “Méthode d’authentification combinant HMAC-SHA256 avec l’algorithme de cryptage léger pour la sécurité du bus CAN.” SAE International.

11. Siddiqui, et al. (2017). “Communication sécurisée sur le bus CAN : Un cadre d’authentification mutuelle basé sur PUF.” ResearchGate.

Sources d’images

• Source de l’image 1 : Emad Aliwa, Omer Rana, Charith Perera, et Peter Burnap. 2021. Cyberattaques et contre-mesures pour les réseaux à l’intérieur des véhicules. ACM Comput. Surv. 54, 1, Article 21 (janvier 2022), 37 pages. https://doi.org/10.1145/3431233

• Source de l’image 2 : Zhou, & Li, & Shen,. (2019). Détection d’anomalies des messages du bus CAN à l’aide d’un réseau neuronal profond pour les véhicules autonomes. Sciences Appliquées. 9. 3174. 10.3390/app9153174.

• Source de l’image 3 : Article de recherche d’embeddedcomputing ” Démarrage sécurisé : Une fonctionnalité de sécurité intégrale pour le stockage de code, les systèmes d’exploitation et le stockage de données” Lien : https://embeddedcomputing.com/technology/storage/secure-boot-an-integral-security-feature-for-code-storage-operating-systems-and-data-storage

Cette histoire a été publiée à l’origine le 21 mai 2024.