Cybersécurité

Étude de cas

Un kit de voiture mains libres utilisait les profils Casque, Accès au répertoire et Distribution audio avancée généralement requis pour réaliser des fonctionnalités telles que la gestion des appels et la diffusion de musique. Le même kit de voiture a signalé des occasions de vol de données d'annuaire téléphonique.

À l'aide d'une analyse de protocole pour examiner la mise en œuvre de Bluetooth, il a été constaté que le mauvais mode de sécurité avait été utilisé, autorisant des demandes d'extraction de profil de poussée d'objet (OPP) non autorisées vers le kit de voiture, entraînant un téléchargement non autorisé de données privées. Le mode de sécurité correct nécessitant une authentification obligatoire pour le service OPP a été activé.

Un examen plus approfondi de la mise en œuvre a révélé que le kit voiture était vulnérable à la découverte non autorisée de l'adresse de l'appareil, un composant nécessaire pour l'exploit OPP. Dans ce cas, le kit voiture n'a pas réussi à sortir du mode découverte après un couplage réussi et est resté disponible pour la connexion à d'autres appareils. Il a également été constaté que la période d'expiration du mode de découverte après un appariement infructueux était trop longue, créant des fenêtres d'opportunité étendues pour que les acteurs hostiles se connectent.

Ces vulnérabilités ont été corrigées avec succès et l'exposition du kit voiture au vol de données a été minimisée.

La solution Teledyne LeCroy

Les surfaces d'attaque de la voiture connectée sont les vecteurs et les cibles par lesquelles les logiciels malveillants ou d'autres attaques exploitent les faiblesses afin d'affecter les fonctions critiques de sécurité et non liées à la sécurité d'un véhicule. Ces surfaces d'attaque comprennent les ECU de l'automobile (airbag, moteur, transmission, freins, phares et carrosserie); systèmes de diagnostic embarqués ; transport télématique et connectivité ; systèmes d'entrée sans clé et antivol; communication de véhicule à véhicule et communications dédiées à courte portée ; et les systèmes d'infodivertissement.

Les outils et services de Teledyne LeCroy examinent chacun de ces vecteurs pour s'assurer que les protocoles de sécurité des communications ont été correctement mis en œuvre pour limiter l'exposition, et que les composants ciblés fonctionnent à des performances optimales et sont capables de parer aux attaques non hostiles.