Les menaces « zero-day » vont-elles toucher les véhicules ?

00:00 Introduction à la cybersécurité automobile

Aujourd’hui, dans le cadre de « The Garage », nous enregistrons en direct depuis le salon AutoTech Detroit avec VicOne. VicOne est la filiale automobile de Trend Micro, leader dans le domaine de la cybersécurité. Dans la master class d’aujourd’hui consacrée à la cybersécurité automobile, nous abordons la nature des menaces de cybersécurité pesant sur les véhicules, ainsi que la manière dont les véhicules connectés (SDV) peuvent faire évoluer le paysage des cybermenaces. Nous abordons également les programmes tout à fait uniques que VicOne et Trend Micro utilisent pour aider les entreprises à détecter les menaces « zero-day » pesant sur leurs produits et leurs véhicules, et nous expliquons même en quoi l’ AI e est une arme à double tranchant en matière de cybersécurité.

Allons-y.

00 h 45 : Présentation de l'invité

Bienvenue sur The Garage. Je m'appelle John Heinlein, directeur marketing chez Sonatus. Nous enregistrons en direct depuis le salon AutoTech à Détroit, et notre invité aujourd'hui est William Dalton, de VicOne.

Willy, bienvenue sur the garage. Je suis ravi d'être ici. Nous sommes très heureux de faire ta connaissance et de t'accueillir dans notre podcast. Commence par te présenter.

Parlez-nous un peu de vous et de votre parcours. Oui. Je m'appelle William Dalton. Je suis ravi d'être ici, à AutoTech, cette semaine, et de m'entretenir avec vous.

Mon parcours est varié. J'ai commencé ma carrière en tant qu'ingénieur et programmeur informatique. J'ai exercé cette activité pendant sept ans dans le secteur de la sous-traitance en fabrication électronique. Et, au cours de cette période, nous avons mis au point des systèmes de contrôle de la production.

Puis j'ai rejoint Trend Micro en 2004 en tant qu'administrateur de bases de données. Eh bien, ça fait maintenant presque plus de vingt ans. Oui. Plus de vingt ans.

Et, presque chaque année ou tous les deux ans, j’ai changé de poste d’une manière ou d’une autre. J’ai commencé dans l’ingénierie, puis je suis passé à la gestion technique, avant de travailler sur des projets internationaux aux côtés de notre PDG actuel, Max Cheng, chez VicOne. Et, tous les deux ans, j’ai changé de poste, passant de fonctions techniques à des fonctions opérationnelles puis commerciales, au cours de ces vingt dernières années. Et, il y a deux ans et demi, j’ai eu l’occasion de rejoindre Max chez VicOne, une filiale de Trend Micro qui se consacre à la résolution de problèmes dans le secteur automobile.

C'est génial. On reparlera de VicOne dans un instant, mais tu dois commencer par nous raconter une anecdote amusante à ton sujet. Bien sûr. Ce n'est pas vraiment drôle.

Je pense que beaucoup de gens le font de nos jours, mais je brasse ma propre bière, ce qui n’est sans doute pas si étonnant pour quelqu’un qui vient d’Irlande. Mais j’ai mon propre pub, et je pratique en fait le surcyclage. Ainsi, chaque fois qu’il y a quelque chose à jeter, j’essaie de trouver un moyen de le réutiliser. Et au fil des années, j’ai accumulé divers objets pour le pub.

Certains sont des lits, d'autres des vieux meubles de récupération. Et c'est… c'est un mélange hétéroclite, en quelque sorte. Et j'invite régulièrement des amis chez moi.

Du coup, j’ai dû trouver un moyen de produire de la bière à moindre coût, d’avoir un sujet de conversation sympa et d’apprendre quelque chose en cours de route. Voilà, c’est une petite anecdote à mon sujet. Tu nous montrais des photos de ça, et on dirait que quand tu parles d’« upcycling », les gens ont du mal à se représenter concrètement de quoi il s’agit. Mais si tu nous envoies une photo, on l’intégrera à l’épisode pour que les gens puissent la voir.

C'est un magnifique espace dédié au travail du bois, un endroit magnifique qui ferait l'envie de n'importe qui. J'ai déjà partagé cette anecdote, ou plutôt une variante de celle-ci, plus tôt dans l'année, mais je ne peux m'empêcher de la raconter à nouveau : il y a de nombreuses années, alors que je travaillais dans l'Oregon, aux États-Unis, j'ai appris à brasser de la bière. Je me suis donc adonné au brassage amateur pendant plusieurs années, et c'est vraiment très amusant car ça relève un peu de la science. N'est-ce pas ?

Il y a beaucoup d'erreurs. Ouais. Beaucoup d'erreurs. L'avantage de la fabrication de bière par rapport à la distillation, qui est illégale dans la plupart des endroits, c'est qu'on ne risque pas de se tuer.

Ça aura juste mauvais goût. Ça aura mauvais goût. Ouais. Avec la distillation, tu peux te tuer si tu… Mes amis, eux, sont encore en vie.

Exactement. Mais ils ont connu quelques séances difficiles.

Très bien. Très bien.

03 h 49 : Présentation de VicOne

Parfait. Parlez-nous donc de VicOne, de ses origines et de vos principaux axes d'activité.

VicOne a donc été constituée en mai 2022, mais s'appuie sur de nombreuses années de recherche menées par Trend Micro dans le secteur automobile. Et l’une des conclusions, vous savez, en 2017, lorsqu’ils ont commencé ces recherches, c’est qu’ils se sont rendu compte que les défis en matière de cybersécurité, notamment avec l’avènement du SDV, l’électrification et l’évolution de la réglementation, faisaient que la manière de résoudre les problèmes de cybersécurité dans le secteur automobile était très différente de celle du domaine des entreprises. Exactement. Ils ont donc pris la décision délibérée d’investir dans ce secteur pour créer une société distincte, fonctionnant à un rythme différent, entretenant un niveau d’engagement différent avec les clients et proposant une gamme de produits différente.

Nous avons donc mené toute une série d’analyses de marché approfondies, en travaillant sur différents concepts de validation et d’évaluation de la valeur, avec différents profils de clients, afin de développer un ensemble de solutions adaptées au secteur automobile. Nous avons ensuite lancé ce projet en mai 2022. Au cours de cette période, nous avons connu une croissance phénoménale en termes de modifications et d’adaptations de nos produits en fonction des besoins des clients. Car il y a toujours une dimension de co-conception dans ce processus.

Bien sûr. Que ce soit intégré au véhicule ou en externe, ou encore intégré à nos processus, à nos pratiques opérationnelles ou à vos exigences réglementaires. Il s’agit donc généralement d’une approche très sur mesure. Et, dans le cadre de la mise sur le marché de ces produits, nous avons noué un grand nombre de partenariats.

Tout, vous savez, depuis le domaine des SDV jusqu’aux systèmes embarqués et non embarqués, mais aussi les solutions et les fournisseurs de solutions, afin d’offrir un large éventail de fonctionnalités en fonction des besoins des clients. Ça a donc été une aventure passionnante et très dynamique. Exactement. Et un parcours très intéressant jusqu’à présent, qui m’a permis de comprendre les problèmes des clients et de les résoudre.

C'est super.

05 h 42 : Passage aux véhicules définis par logiciel

Donc, vous savez, dans ce podcast, on parle beaucoup du SDV et des logiciels embarqués. Et quand je discute avec des clients ou des professionnels du secteur, je constate parfois une certaine réticence à passer au SDV, car ils ont l’impression que cette augmentation de la quantité de logiciels va élargir la surface d’attaque. Je pense que c’est vrai.

Quel est votre point de vue sur cette transition vers le SDV et la cybersécurité ? C'est une évolution inévitable. Nous l'avons déjà observée dans le secteur des entreprises : les réseaux définis par logiciel, les réseaux étendus (WAN) définis par logiciel, les centres de données définis par logiciel et le stockage défini par logiciel.

Tout devient « défini par logiciel ». Le logiciel envahit tous les domaines. Et la raison en est, bien évidemment, que cela apporte d’énormes gains d’efficacité en ce qui concerne les cycles de livraison logicielle, les mécanismes de livraison, la fréquence et les itérations permettant de mettre à jour vos produits et d’en garantir la sécurité, ou encore d’ajouter des fonctionnalités supplémentaires, tout en respectant un profil de coûts raisonnable. C’est donc un concept très éphémère en termes d’utilisation.

N'est-ce pas ? Donc, en fonction de vos besoins du moment, vous utilisez les ressources nécessaires pour répondre à ces besoins. C'est donc bien plus rentable à bien des égards. Ça va donc se faire.

C’est, en effet, ce que l’on constate actuellement : les véhicules électriques nécessitent des mises à jour logicielles régulières, notamment pour intégrer des modifications. Et ce changement d’architecture permet, une fois la voiture sortie de production, d’y intégrer de nouvelles modifications. Cela nécessite un changement radical par rapport à la méthode traditionnelle de déploiement logiciel, où le couplage entre logiciel et matériel est très important. Dans ce cas précis, on procède à l’abstraction d’une grande partie du logiciel, qui fonctionne alors de manière indépendante, puis on dispose d’une couche d’abstraction par rapport au matériel.

Les avantages que cela apporte, non seulement aux constructeurs automobiles mais aussi aux consommateurs, sont donc énormes, et c’est ce qu’ils exigeront. Ce sera donc le consommateur qui dictera le marché. C’est un point vraiment intéressant que vous soulevez, celui de la capacité à mettre à jour, car bon nombre des piratages automobiles les plus célèbres, comme celui de la Jeep Cherokee, que beaucoup de gens connaissent, concernent des véhicules qui ne sont pas définis par logiciel.

Ce sont des véhicules classiques. Du coup, on se dit : « Oh là là ! Si je crée un véhicule défini par logiciel, il sera vulnérable au piratage. » Eh bien, les véhicules classiques sont eux aussi vulnérables au piratage, mais il est sacrément plus difficile de réparer un véhicule qui n’est pas défini par logiciel.

Avec un véhicule défini par logiciel (SDV), il est possible d'apporter des améliorations. On peut installer des correctifs. On peut réagir beaucoup plus rapidement à ces menaces. Je pense donc que certaines personnes se trompent en pensant que les SDV, même s'ils présentent potentiellement une surface d'attaque plus étendue, offrent également une plus grande capacité à réagir plus rapidement aux attaques.

C'est l'une des activités de votre entreprise.

Exact.

08 h 08 : La cybersécurité dans les véhicules définis par logiciel

Oui. Je veux dire, on a réussi à faire une démonstration avec l'un de nos partenaires au CES, où ils ont effectivement pu mettre à jour à distance la… mémoire flash

la voiture… et en fait, cela permet d'anticiper et d'atténuer un risque. Donc, vous voyez, c'est, c'est bien réel. Et pour revenir à ce que vous disiez, vous savez, les véhicules traditionnels, les attaques auxquelles nous sommes confrontés, ce sont les mêmes types d'attaques que celles que l'on observe dans le secteur des entreprises.

Ce sont les mêmes types de vulnérabilités. Ce sont les mêmes types de problèmes que nous constatons. Donc, ils se situent toujours au niveau des puces. Ils se situent au niveau logiciel.

Il s'agit non pas de systèmes non mis à jour, mais d'une gestion des accès mal gérée. Ce sont donc les mêmes types de problèmes que l'on observe dans le secteur des entreprises, mais aussi dans celui de l'automobile. Et cela vaut aussi bien pour les systèmes « software-defined » que pour les systèmes traditionnels. D'accord.

D'accord.

08 h 59 Déploiement de solutions de cybersécurité

Alors, lorsque vous déployez vos solutions, sont-elles déployées dans le cloud, dans le véhicule, ou les deux ? Parlez-nous-en. Elles sont donc déployées de toutes les manières possibles.

Nous utilisons donc à la fois le traitement embarqué et hors bord. Et nous pensons que c’est vraiment nécessaire, car si l’on se contente d’une protection hors bord, cela signifie qu’au moment où la voiture est déconnectée du cloud – ce qui se produira en cas d’attaque, car ce sera l’une des étapes que les pirates suivront –, on perd le contrôle. Or, en intégrant les solutions au véhicule, on peut effectivement conserver un certain niveau de contrôle pour atténuer ces attaques. Nous disposerions donc de notre solution IDS.

On l'appelle xCarbon. IDS signifie « système de détection d'intrusion ». Détection d'intrusion. IDPS, en fait. Parfait. Mécanismes de détection et de prévention des intrusions.

Parfait. Nous disposons donc d’une technologie issue de Trend. Et l’un des points que j’ai évoqués tout à l’heure, lorsque nous avons quitté Trend, concerne les trois éléments distincts que nous avons apportés : la propriété intellectuelle, les compétences et l’indépendance financière stratégique. Une partie de cette propriété intellectuelle est constituée par la technologie IDPS, qui est déployée dans les centres de données d’entreprise depuis de nombreuses années.

Et il s’agit en réalité d’une protection intégrée au niveau de la structure réseau, avec une inspection approfondie de chaque paquet, afin de sécuriser les centres de données des plus grandes multinationales et même des constructeurs automobiles du secteur. Je pense que huit des dix plus grands constructeurs automobiles utilisent notre technologie IDPS dans leurs centres de données. Cette technologie est en service depuis de nombreuses années, et nous en avons adapté une partie aux véhicules. Ainsi, que l’on souhaite intervenir au niveau de la couche réseau ou de la couche CAN, ou encore au niveau de l’hôte, il est possible d’analyser tous les différents types d’attaques pouvant affecter le véhicule.

Ainsi, si vous observez des comportements anormaux, si vous analysez les différents signaux émis par le véhicule pour identifier les différentes TTP (outils, techniques ou pratiques) utilisées par les acteurs malveillants, vous pouvez effectivement atténuer ces menaces et les neutraliser directement dans le véhicule. Parfois, il est judicieux de prendre des décisions au sein même du véhicule, mais dans d’autres cas, il est préférable de les prendre en dehors. Ainsi, si vous souhaitez examiner une situation globale concernant des attaques visant plusieurs véhicules, vous ne pouvez pas le faire à partir d'un véhicule isolé. Exactement.

Il faut donc combiner ces deux éléments. Et, comme je l’ai dit, nous disposons d’un mécanisme de détection d’intrusion intégré au véhicule qui signale ces incidents et les transmet à l’extérieur. Grâce à notre IDPS, nous pouvons également prendre ces décisions directement dans le véhicule. De plus, nous avons la possibilité d’appliquer des ensembles de règles ou des correctifs au véhicule sans avoir à passer par tout le processus de test et de validation logicielle.

En fait, vous pouvez atténuer le problème avant même de… Si vous voulez, on peut appeler ça une solution « de dépannage ». Vous mettez donc cette solution en place pour gagner suffisamment de temps afin de mener à bien le processus de test et de vérification. Exactement. Une solution provisoire d'atténuation.

Exactement. Et, du côté hors bord, si, là encore, vous avez besoin d’examiner des décisions à un niveau macro, cela se fait généralement dans notre SOC dédié aux véhicules, xNexus, qui recueille, comme vous le savez, les données télémétriques du véhicule. Il pourrait capter tous les différents signaux. Mais, en règle générale, nous nous contentons d’envoyer uniquement les informations nécessaires.

L’un des défis auxquels sont confrontés les équipementiers actuellement, c’est qu’ils mènent cette bataille qui consiste à envoyer toutes ces informations hors bord, ce qui coûte très cher, car ils doivent en gros tout envoyer, puis utiliser une modélis AI e dans le système hors bord pour tenter de faire le tri parmi toutes ces données. Ce que nous faisons, c’est que nous effectuons ce traitement à bord. Exactement. Et, en réalité, nous n’envoyons hors bord que les informations pertinentes.

Cela permet donc de réduire les coûts et le temps de traitement pour l’analyste qui s’occupe concrètement de ces données. Et lorsque nous y ajoutons nos capacités en matière de menaces – nous disposons d’une vaste expérience dans ce domaine –, nous intégrons également ces connaissances dans nos solutions. Nous superposons donc les informations sur les menaces. En somme, il s’agit de phénomènes que nous observons dans la réalité.

Certains acteurs malveillants mènent des activités malveillantes. Nous croisons ensuite ces informations avec les données du véhicule et les flux provenant de la gestion des vulnérabilités. Ainsi, lorsque nous examinons la chaîne d’approvisionnement, les actifs correspondent à l’architecture du véhicule. Nous établissons ensuite des corrélations entre la menace pesant sur l’actif et les informations que nous observons au sein du véhicule, ce qui nous offre une vue d’ensemble complète de ce qui se passe à tous les niveaux.

Nous pouvons alors mettre en place les mécanismes adéquats pour nous prémunir contre ces situations. Nous transmettons ensuite ces informations à l’analyste du VSOC, qui les synthétise avant de les transmettre à l’équipe PSIRT ; celle-ci se chargera alors d’atténuer le risque et de mettre en place une solution à long terme. Et c’est en gros ainsi que nous procédons. Juste pour information, je suppose que le VSOC est le centre d’opérations de sécurité des véhicules, généralement géré par le constructeur automobile. Oui.

Quelqu'un qui surveille les menaces depuis son... Oui. Ça peut être un SOC dédié aux véhicules ou ce qu'on appelle un SOC produit. Mhmm. Donc, selon le secteur de l'organisation concerné, si c'est plutôt du côté informatique, on parle généralement de VSOC.

Si l'on parle de sécurité des produits, cela ressemblait à un centre d'opérations dédié à la sécurité des produits. On pourrait aussi l'appeler un système de détection et d'intervention transversal. Exactement. En gros, ce système recueille différentes données provenant de divers systèmes, puis les intègre aux pratiques opérationnelles au sein du constructeur. C'est formidable.

Ça commence à ressembler à un cours de haut niveau sur la cybersécurité. Formidable. Je vais m'arrêter là. Nous proposons également des solutions pour la protection des bornes de recharge pour véhicules électriques.

Donc, en ce qui concerne la recharge des véhicules, nous savons qu’il s’agit là d’une autre voie d’attaque. Que ce soit par liaison radio, via le système de recharge du véhicule, via l’infrastructure cloud, via la couche API, via le système IVI ou directement sur le véhicule lui-même, la surface d’attaque est considérablement élargie. Et puis, on introduit également beaucoup de nouvelles technologies. N’est-ce pas ?

Donc, vous abordez le sujet de la SDV et de l’abstraction qui s’opère. Nous utilisons une architecture consolidée sur les contrôleurs de domaine et les contrôleurs de zone, ce qui permet d’observer une abstraction et une ségrégation des charges de travail. Exactement. On assiste ainsi à l’apparition d’hyperviseurs, de la sécurité des conteneurs, et tout cela s’accompagne également de nouveaux défis.

Et c'est ce qui m'amène à évoquer les défis traditionnels liés à la sécurité dans les véhicules d'aujourd'hui. C'est là que l'on assiste à une véritable « tempête parfaite » : d'un côté, les technologies traditionnelles, comme le matériel et les logiciels embarqués, et de l'autre, le SDV et la technologie nécessaire à sa mise en œuvre. C'est une opportunité qui ne demande qu'à être saisie.

14 h 55 : Intégration de solutions de cybersécurité

Vous avez donc évoqué le fait que vos solutions s'exécutent parfois dans le cloud, parfois à bord du véhicule. Pour en parler un instant, à bord du véhicule précisément, de quel type de ressources disposez-vous… où s'exécutent-elles à bord du véhicule ? Quel type de ressources utilisez-vous ? Nous menons donc une réflexion sur la conception, que ce soit avec un constructeur automobile ou un équipementier de premier rang, afin de déterminer quel est le meilleur emplacement pour cela.

Tout dépend donc vraiment de l'architecture. Leurs architectures sont très variées. En général, on en trouve notamment au niveau du TCU. On en trouve peut-être aussi dans le système ADAS, ou encore dans le domaine de l'IVI.

Nous travaillerions donc, disons, avec le fournisseur pour déterminer quelle est la meilleure façon de procéder. En général, cela se passe bien, et nous avons déjà établi de nombreux partenariats avec certains des principaux fabricants de puces pour assurer une pré-intégration. Je vais vous donner un exemple : NXP. Nous avons intégré notre solution à leur solution GoldBox.

Et, en substance, cela peut accélérer la mise sur le marché pour les fournisseurs de premier rang et les équipementiers, leur permettant ainsi de déployer et d’exploiter certaines fonctionnalités d’accélération matérielle. Dans certains cas, cela permet même de réduire le travail d’intégration. En général, ce processus est très rapide pour nous. Nous pouvons mener à bien ce projet, même s’il s’agit, par exemple, d’une nouvelle architecture ou d’un nouveau fabricant de puces – ou d’un SoC –, en deux à trois semaines.

C'est vraiment un excellent processus. Et puis, bien sûr, le processus d'intégration prend un peu plus de temps quand on travaille avec eux, mais la validation se fait vraiment, vraiment rapidement. Et donc, oui, c'est comme ça que nous travaillons avec les équipementiers et dans le domaine de l'embarqué. Et puis, j'ai raté une partie de la question…

La question, ce sont les ressources. Ah oui, d'accord. Notre empreinte écologique est très faible. C'est l'un de nos principaux atouts qui nous distinguent de certains autres acteurs du secteur.

En réalité, nous n'utilisons que le strict minimum de ressources pour exécuter cette charge de travail, qui peut alors tourner directement au niveau de l'application. Mais elle peut également s'intégrer à certaines des capacités matérielles de la puce. Je reprends donc l'exemple de NXP. Imaginons qu'ils disposent d'une NPU, ce qui est le cas.

Et si vous souhaitez effectuer des opérations telles que, par exemple, l’inspection des paquets, et que vous souhaitez le faire à la vitesse du réseau, il est alors possible d’utiliser une partie de l’espace mémoire disponible pour le faire à grande vitesse, ce qui pourrait en surprendre certains d’entre vous. Nous avons donc la possibilité d’exploiter certaines capacités matérielles pour répondre à des besoins spécifiques. Mais comme je l’ai dit, tout dépend de chaque cas d’utilisation particulier et, en réalité, des exigences de sécurité définies par l’équipe de sécurité de chaque service. C’est un point important.

Et c'est également ce que fait Sonatus . Nous avons, par exemple, un partenariat avec NXP, et nous sommes en phase de production avec eux. Nous exploitons des fonctionnalités spécifiques telles que l'accélération des paquets et l'accélération du transfert de paquets ; il est donc très judicieux d'utiliser les ressources du fournisseur de puces ou de l'ECU sur lequel vous travaillez. Nous étions donc

on parlait hier, et toi, toi…

17 h 36 Pwn2Own

Vous disposez de ce programme exceptionnel, mis en place en collaboration avec Trend Micro, pour aider les entreprises à identifier les menaces « zero-day » présentes dans leurs produits.

Parlez-nous de ce programme. C'est vraiment incroyable. Oui. C'est une histoire incroyable. Ça s'appelle Pwn2Own, et nous sommes les premiers à avoir organisé un Pwn2Own dédié au secteur automobile depuis deux ans.

Et cela fait maintenant deux ans que nous organisons cet événement avec succès au Japon, à Tokyo, chaque mois de janvier. C'est un véritable succès, notamment dans le secteur automobile. Mais je vais d'abord vous présenter brièvement l'historique de Pwn2Own. Il s'agit en gros d'un programme de primes destiné à récompenser les meilleurs hackers éthiques du monde.

Les hackers « white hat ». Ouais. Ouais. Les gentils. Ouais. Et, en gros, pour s’affronter dans le but d’identifier des failles « zero-day ».

18 h 23 : Comprendre les vulnérabilités « zero-day »

Peut-être pourriez-vous expliquer à notre invité ce qu’est une menace « zero-day ». Une vulnérabilité « zero-day » est une faille pour laquelle le « zéro » représente le délai de correction : il faut y remédier immédiatement, car ces failles n’ont jamais été observées auparavant. Oui. Il s’agit donc de menaces inédites, de failles inédites qui n’avaient jamais été identifiées auparavant.

Que ce soit par le fournisseur ou par le grand public. Et tant que ce délai, c'est-à-dire le délai à partir de zéro, existe, ces failles sont exploitables. Il est donc dans l'intérêt de tous de réduire ce délai autant que possible, d'appliquer les correctifs et d'atténuer le risque au maximum. C'est ce qu'on appelle une « faille zero-day ».

Nous ne participons donc pas à l'événement Pwn2Own. Le groupe ZDI (Zero Day Initiative) gère un programme de prime aux failles dans le cadre duquel il achète des exploits en général. Mais l'événement Pwn2Own a pour but d'identifier des exploits « zero-day ». Et nous menons cette initiative avec succès depuis 2007, je crois. Cela fait donc de très nombreuses années que nous menons cette initiative chez Trend Micro, puis plus récemment avec VicOne pour le Pwn2Own Automotive.

Et, comme je l’ai dit, c’est vraiment la crème de la crème. Pour donner un exemple, l’année dernière, nous avons identifié quarante-neuf failles « zero-day » en trois jours. Quand on y réfléchit, en comparaison avec l’ensemble du secteur, il y a eu trente-huit failles « zero-day » identifiées dans l’ensemble du secteur automobile sur toute l’année. Le fait qu’en seulement trois jours, grâce à des personnes très motivées, hautement qualifiées et fortement incitées, dans un environnement contrôlé, on puisse identifier autant de vulnérabilités permet de tirer plusieurs conclusions.

Tout d'abord, il existe de nombreuses failles faciles à exploiter ; d'ailleurs, comme le montrent les résultats, il s'agit de risques très classiques et d'exploits qui ont déjà été utilisés.

20 h 14 : Stratégie pour le concours Pwn2Own

La deuxième, c'est que cela fait en quelque sorte office de signal d'alarme : à terme, deux phénomènes se produiront simultanément, ce qui entraînera un bouleversement majeur pour le secteur. Premièrement, les obstacles techniques à l'entrée, dont pourraient tirer parti les acteurs malveillants, deviendront moins élevés. Et on commence déjà à le constater, d'une certaine manière.

Mais ce qui est sans doute le plus convaincant, c'est qu'une fois qu'ils auront identifié une opportunité de monétisation, c'est là que ça changera vraiment la donne. D'accord ? Donc, pour revenir un peu sur l'histoire de Pwn2Own. L'objectif du point n° 1 est, premièrement, de nouer un partenariat avec le fournisseur.

Donc, un fournisseur, vous voyez, comme Tesla qui a été le sponsor principal pendant les cinq dernières années du concours « Pwn2Own Automotive ». Il met un véhicule complet à la disposition des hackers pour qu'ils puissent s'y attaquer. D'ailleurs, s'ils y parviennent, ils peuvent le garder.

Ouais. Raconte-nous cette histoire. C'est vraiment intéressant. Ouais. Parce que, enfin, d'abord, la valeur de revente d'une voiture piratée n'est pas très élevée.

N'est-ce pas ? Il est donc sans doute judicieux de leur fournir le véhicule, mais cela constitue une bonne incitation pour qu'ils s'y mettent. Par ailleurs, il existe, comme vous le savez, des fournisseurs de bornes de recharge pour véhicules électriques qui envoient leurs composants à des fins de tests d'intrusion. Mais la plupart des solutions sont disponibles dans le domaine public.

Ils essaient alors de le pirater. Et on se rend compte que beaucoup d'entre eux sont en concurrence les uns avec les autres. N'est-ce pas ? Certains vont même jusqu'à essayer, jusqu'à la dernière minute, d'identifier des failles, en espérant que le fournisseur n'aura pas publié de correctif la semaine précédente, afin de pouvoir les exploiter lors de l'événement.

Ils mettent en place un système de tirage au sort pour déterminer qui commence. Ils exécutent leur script pour montrer comment l'attaque fonctionne. Celle-ci est validée par nous, ainsi que par le fournisseur. Et, si elle aboutit, ils remportent une récompense financière.

Et ils remportent des points. Le vainqueur est alors sacré « maître du Pwn2Own ». C'est donc une compétition extrêmement disputée. Nous distribuons des prix allant de 800 000 à plus d'un million et demi, selon les cas. Ce sont de véritables prix en argent !

Oui. C'est vrai, je veux dire, ce sont vraiment la crème de la crème. Ce sont des personnes qui repèrent des failles que personne d'autre ne parvient à détecter. Des personnes extrêmement compétentes.

Et parfois, ce sont des groupes, parfois des particuliers. On a donc beaucoup de groupes très célèbres qui s’affrontent. C’est un peu comme un circuit, mais Pwn2Own est le Saint Graal de ce circuit. Maintenant, ce qu’on fait, c’est qu’une fois qu’on a identifié la faille, la question est : pourquoi on fait ça ?

N'est-ce pas ? Donc, la prime est en fait versée à la fois par le fournisseur et par nous. Nous la partageons donc entre nous. Et ensuite, nous devenons propriétaires de la propriété intellectuelle.

Nous comprenons ainsi les techniques, tactiques et procédures (TTP) qui ont été utilisées, comment l'exploitation s'est déroulée, et quels sont les différents éléments que nous pouvons intégrer à nos produits pour protéger nos clients. Nous collaborons ensuite avec le fournisseur pour mener à bien le processus de divulgation. L'objectif est de garantir une divulgation responsable. Nous appliquons cette approche avec succès dans le secteur des entreprises depuis de très nombreuses années ; il s'agit d'une pratique bien établie, adoptée par tous.

D'accord.

23 h 10 : Divulgation d'une faille de sécurité dans le secteur automobile

De plus, le délai de préavis est généralement de quatre-vingt-dix jours. La difficulté dans le secteur automobile réside dans le fait que la divulgation comporte un aspect lié à la sécurité très différent. Par ailleurs, le mécanisme de divulgation est très complexe.

Donc, en ce qui concerne l’aspect sécurité, je pense que nous comprenons tous. Vous savez, s’il arrive qu’un acteur malveillant puisse exploiter un véhicule, ce qui a des implications en matière de sécurité et, disons, de vie humaine, la complexité réside dans le fait qu’il existe de nombreux niveaux différents dans la chaîne d’approvisionnement des équipementiers. En fin de compte, c’est l’équipementier qui est responsable, mais il y a des fournisseurs de premier rang, des fournisseurs de deuxième rang. Le cycle de vie est long.

Certains de ces véhicules circulent depuis, disons, jusqu’à vingt, vingt-cinq ans dans certains cas. Et les équipes d’ingénieurs qui ont conçu ces composants matériels et logiciels travaillent-elles toujours ? Ont-elles toujours accès au code source ? Ont-elles la capacité de publier un correctif ? Qu’est-ce que cela implique d’un point de vue opérationnel et en termes de coûts ?

Dans quels délais peuvent-ils s’en charger ou établir des priorités compte tenu de leurs engagements actuels ? Quelles en sont les implications et les garanties ? Vous voyez ce que je veux dire ? Il y a donc tout un ensemble de défis opérationnels, de risques – qu’ils soient juridiques ou liés aux assurances – dont ils doivent tenir compte.

Ce n'est donc pas une situation facile à résoudre ; nous devons donc travailler en étroite collaboration avec les équipementiers et les fournisseurs afin de définir un mécanisme leur permettant de réduire ce risque, puis de le rendre public.

24 h 46 : Les menaces de cybersécurité dans d'autres secteurs d'activité

Vous nous avez fait part de quelques anecdotes issues d’autres secteurs d’activité, tirées de votre expérience chez Trend Micro… puisque vous y avez travaillé pendant longtemps avant de rejoindre récemment VicOne. Certaines d’entre elles sont de véritables histoires d’horreur illustrant l’impact que les menaces de cybersécurité peuvent avoir sur d’autres types d’entreprises. Souhaitez-vous nous en faire part ?

Oui. Donc, avant de passer aux exemples concrets, je pense qu’il faut s’attarder plus particulièrement, dans le secteur automobile, sur la divulgation déterministe. En effet, lorsque je parle des défis liés à la coordination ou à la divulgation, cela relève en quelque sorte de la divulgation déterministe, car, comme vous le savez, les équipementiers et les fournisseurs de premier rang doivent effectuer des tests d’intrusion. Et ils disposent de leurs propres programmes de prime aux bogues.

Ils ont peut-être leurs propres méthodes pour identifier les risques au niveau, disons, de l'architecture, des logiciels et des composants eux-mêmes. Mais c'est à eux de décider du moment où ils divulguent ces informations. N'est-ce pas ? J'ai évoqué les deux points d'inflexion.

À quel moment les barrières techniques à l’entrée baissent-elles et la monétisation atteint-elle des sommets ? Une fois que cela se produira – et cela se produira, j’en suis convaincu –, je pense qu’à un certain moment, la situation ne sera plus déterministe. Il faudra alors réagir et prendre des décisions très, très rapidement dans un contexte extrêmement complexe, ce qui est déjà difficile à faire dans le monde d’aujourd’hui. Et tout cela sous la pression du temps et sous le regard scrutateur du public.

N'est-ce pas ? Ça a donc changé la donne. Pour en revenir à votre question, j’ai pu constater de mes propres yeux, même en Irlande – qui est pourtant un petit pays –, que beaucoup de gens sont victimes de piratage. J’ai de nombreux amis qui occupent le poste de RSSI, et nous constatons que, dans toutes sortes de situations, des personnes et des entreprises se font pirater sans arrêt. Mhmm.

La plupart de ces incidents ne sont pas rendus publics. Je me souviens de trois conversations précises au cours desquelles un de mes amis, qui occupe le poste de RSSI, m’a appelé pour me dire : « Je suis dans le pétrin. » Dans un cas, par exemple, la personne venait littéralement d’intégrer l’entreprise depuis quelques semaines et toutes les opérations étaient à l’arrêt à l’échelle mondiale. Dans un autre cas, ce sont des établissements médicaux qui ont été touchés.

Et quand cela arrivera, cela fera de vous un bon ou un mauvais RSSI. C'est certain. C'est une expérience que vous n'oublierez jamais. Vous devrez prendre un grand nombre de décisions cruciales sous une pression extrême et dans un laps de temps très court.

Et souvent, peu importe le volume de travail fourni, le nombre d’exercices théoriques organisés ou de simulations préparées, on ne peut pas vraiment se préparer à ce genre d’événement. Et puis, il y a le stress, notamment le stress personnel auquel ils sont soumis pour faire face à cette situation. Vous voyez ce que je veux dire ? Vous avez, vous savez, des obligations envers le public s’il s’agit d’un organisme public.

Vous avez affaire à des tiers qui interviennent et proposent leurs services ; peut-être que le conseil d’administration recommande à quelqu’un de venir pour essayer de comprendre ce qui s’est passé et d’obtenir des réponses. Tout le monde veut être tenu informé régulièrement. Et votre équipe va être stressée et épuisée à force d’essayer de démêler tout ça. C’est un véritable cauchemar.

Et j'en ai fait l'expérience personnellement. Ce n'est donc pas quelque chose que l'on a envie de vivre souvent. Je suis presque sûr que chaque RSSI y est confronté au moins une fois dans sa vie, mais ce n'est vraiment pas une situation agréable à vivre. Oui.

Du coup, ça a tendance à rendre les gens réticents, du genre : « Oh là là, on ne devrait pas installer de logiciels dans les véhicules, et on ne devrait pas faire ça. » Mais en réalité, nous disposons de techniques. Il existe des bonnes pratiques dans le domaine de l'informatique d'entreprise pour résoudre ces problèmes.

La technologie ne cesse de progresser. Trend Micro continue de garder une longueur d’avance dans ce domaine. Alors, quand on pense au secteur automobile, quelle recommandation feriez-vous à l’industrie pour mettre en œuvre ces pratiques dans ce domaine ? Oui.

Donc, les demandes vont dans ce sens, et ça va se faire de toute façon. Je veux dire, la question est de savoir comment s'y prendre, si on doit le faire du point de vue de la sécurité. On devrait le faire, car les avantages – qu'ils soient économiques, commerciaux, en termes de délais de mise sur le marché ou opérationnels – l'emportent sur les risques. La question est de savoir comment gérer ces risques.

Et nous avons constaté que cela pouvait être géré avec succès, à mesure que les technologies « software-defined » ont fait leur apparition dans le monde de l’entreprise. Il existe des moyens d’atténuer ces risques et de garder une longueur d’avance sur eux. Ainsi, plus vous vous investissez dans la sécurité proactive, plus vous investissez pour comprendre les types de scénarios susceptibles de se produire, pour intégrer la sécurité dès la conception, pour mettre en place des mécanismes opérationnels très solides permettant de gérer un incident, mais aussi pour déterminer, tout au long du cycle de vie de l’attaque, quelles sont vos mesures d’atténuation tout au long de ce cycle. Et pour vous assurer que vous êtes bien protégé dans tous ces domaines.

Le concept de « véhicule défini par logiciel » n'est pas différent. C'est simplement un autre moyen de s'assurer que vous êtes protégé. Mon conseil est donc de ne pas modifier votre stratégie en matière d'adoption de cette technologie. Assurez-vous simplement de la sécuriser correctement.

D'accord.

29 h 45 : Le rôle de l'AI e dans la cybersécurité automobile

Mais, vous savez, l’ AI, c’est un sujet très important aujourd’hui. Elle est de plus en plus omniprésente dans de nombreuses régions du monde, bien sûr, mais aussi dans les véhicules. Parlez-moi des avantages et des inconvénients de l’ dans les véhicules en matière de cybersécurité.

Je vais donc faire le lien avec l’événement Pwn2Own. D’accord ? Et récemment, nous avons accueilli Sina, qui est le champion du Pwn2Own cette année. C’est un participant individuel, et il affronte des équipes comme Synacktiv et de nombreux autres groupes composés de plusieurs personnes, vous savez, des individus extrêmement compétents et de haut niveau, qui tentent d’identifier des vulnérabilités.

Et je lui ai posé la question, vous savez, à propos de AI. Et, bien qu’il ait affirmé ne pas être un expert en AI , sa réponse a été : « Je développe des modèles AI qui m’aident à me décharger du travail répétitif ou du type de travail que je n’ai tout simplement pas le temps de faire, mais que je dois accomplir pour pouvoir réellement comprendre toutes ces situations d’attaque. » Il a donc déclaré être un hacker « white hat » — un hacker « white hat » — utilisant l'AI e pour accroître sa productivité dans le domaine du hacking « white hat ». Exactement.

Et c'est ainsi qu'il peut rivaliser avec des groupes. J'en ai donc tiré la conclusion suivante : c'est un type qui pratique, disons, le piratage éthique. Et s'il s'agissait en réalité d'un acteur malveillant ? Dans ce cas, ils pourraient également tirer parti de AI pour les aider à réussir encore davantage dans leurs tentatives.

Voilà donc pour ce premier aspect. N'est-ce pas ? Mais on constate également qu'il est possible d'utiliser l'AI à des fins de protection, notamment en exploitant divers modèles pour identifier des schémas de comportement, notamment des modèles d'anomalies. On peut le constater notamment en matière de filtrage, en fonction des différents événements détectés sur les véhicules.

On constate cela en termes de corrélation, notamment au regard des différents schémas de comportement que l’on observe. Vous savez, nous avons évoqué les données internes et externes, mais aussi celles provenant de différents systèmes. Il peut être intéressant d’examiner les différentes activités à travers ces sources, non pas en les considérant comme des ensembles isolés, mais en ayant une vue d’ensemble. Ainsi, pour toutes ces tâches, vous pouvez utiliser l’ AI e afin d’accélérer le processus là où l’être humain ne peut tout simplement pas y parvenir.

Tu vois ce que je veux dire ? Lire les journaux de bord directement depuis le véhicule. Tu vois ce que je veux dire ? Il va falloir trouver d'autres moyens pour aller au-delà des simples ensembles de règles, comme on le fait habituellement.

Vous voyez ce que je veux dire ? Et donc, il faut aller sur AI : on voit bien que certains vont utiliser AI pour attaquer, mais on peut aussi utiliser AI pour se défendre. La question, c’est : qui va remporter la course et qui saura s’adapter le plus rapidement ?

32:13 Conclusion et perspectives d'avenir

C'est une perspective très intéressante sur le double tranchant de l'AI e en matière de cybersécurité.

Willy, cette conversation a été formidable. Nous avons abordé un large éventail de sujets. J'ai énormément appris. Merci d'être venu nous rendre visite.

Et nous sommes ravis de collaborer avec vous. Nous avons hâte de poursuivre cette collaboration à l'avenir via Sonatus, et merci d'avoir participé à l'émission. Merci beaucoup. Si vous avez apprécié l'épisode d'aujourd'hui, n'hésitez pas à le « liker » et à vous abonner pour découvrir d'autres épisodes comme celui-ci.

Vous pouvez également nous retrouver sur YouTube, sur le site Sonatus , sur Apple Podcasts et sur Spotify. Nous avons hâte de vous retrouver très bientôt pour un nouvel épisode de « The Garage ».