Véhicules autonomes : la cybersécurité passe à la vitesse supérieure

Ces dernières années, la cybersécurité automobile est devenue une exigence réglementaire. Dans l’Union européenne, les règles de sécurité applicables à tous les véhicules neufs depuis le 7 juillet 2024 comprennent des mesures de protection contre les cyberattaques. Elles concernent notamment les voitures, les bus et les poids lourds.

Maître de conférences en cybersécurité à Télécom SudParis, Badis Hammi a fait de la sécurité véhiculaire sa spécialité. Son travail : repérer, avant les attaquants, les failles par lesquelles un véhicule pourrait être compromis, pour concevoir des systèmes de protection capables de fonctionner à bord, en conditions réelles de circulation.

Du moteur au réseau informatique

Sous la carrosserie, les composants électroniques d’un véhicule connecté et autonome forment un réseau, où circulent en permanence les données nécessaires à son fonctionnement. C’est par lui que transitent aussi bien les échanges avec l’extérieur que les instructions destinées à l’aide à la conduite, de même que le pilotage de certains mécanismes. Pour faire fonctionner ce réseau, les nouvelles architectures s’appuient notamment sur l’Ethernet, une technologie héritée des réseaux informatiques classiques. Or, si cette interconnexion facilite la circulation des informations, elle peut aussi ouvrir la voie à une intrusion.

Badis Hammi décrit une attaque possible en plusieurs étapes : une personne malveillante accéderait d’abord à la connexion Bluetooth, puis tenterait d’atteindre un ordinateur central qui lui donnerait accèderait aux composants liés au freinage ou à l’accélération. En partenariat avec l’équipementier automobile Valeo, son équipe cherche à repérer cette progression dans le réseau du véhicule et à sécuriser ces architectures.

V2X : une voiture qui dialogue avec son environnement

Le véhicule connecté dialogue aussi avec le monde extérieur : il échange des informations avec les autres véhicules ainsi qu’avec les infrastructures routières. Ces échanges, regroupés sous le nom de V2X (vehicle to everything), doivent rester fiables alors même que la voiture se déplace et reçoit un flux continu de données. Badis Hammi précise même qu’« un véhicule envoie au moins dix messages par seconde, selon les normes. »

C’est cette liaison avec l’extérieur qui permet de transmettre les mises à jour logicielles. Ces dernières doivent pouvoir être reconnues comme légitimes avant d’être installées, au risque qu’un logiciel malveillant perturbe le fonctionnement du véhicule. La sécurité porte ainsi à la fois sur les messages échangés en temps réel pendant la conduite et sur les logiciels qui équipent durablement le véhicule.

Des capteurs faillibles

Sécuriser les communications ne suffit pourtant pas à protéger un véhicule automatisé. Ses décisions de conduite dépendent en effet des informations fournies par les caméras, les radars et les lidars, ces derniers s’appuyant sur des impulsions lumineuses pour détecter ce qui entoure le véhicule.

Le chercheur étudie des scénarios dans lesquels une attaque viserait directement cette perception, par exemple en trompant un lidar au moyen d’un laser. Un piéton pourrait ainsi apparaître sur une route pourtant libre, ou au contraire disparaître alors qu’il se trouve réellement sur la chaussée, si bien que le véhicule s’arrêterait sans raison ou, pire, ignorerait un danger réel. Dès lors, comment repérer, avant qu’elle ne guide une décision de conduite, une donnée de capteur qui a été manipulée ?

Une intelligence artificielle efficace… mais trop lourde

Pour détecter une intrusion, certaines méthodes utilisent l’apprentissage automatique, une branche de l’intelligence artificielle. En laboratoire, elles peuvent analyser de grandes quantités de données avec une puissance de calcul importante. Embarquée dans un véhicule, cette même méthode se heurte pourtant à des ressources plus limitées, si bien qu’un algorithme performant lors des essais peut s’avérer trop gourmand en calcul ou en mémoire pour fonctionner une fois en conditions réelles.

Encore faut-il que le système de détection ait accès aux bonnes informations. Selon son emplacement dans le réseau du véhicule, il ne voit qu’une partie des échanges. Et un algorithme entraîné avec l’ensemble des données risque de perdre en efficacité une fois installé. Pour le chercheur, concevoir la détection suppose de choisir à la fois une méthode adaptée aux capacités du matériel, et des points d’observation qui lui donnent accès aux signaux utiles.

Détecter les attaques, une contrepartie ?

Un autre équilibre reste à trouver, entre la nécessité de détecter et celle de protéger, car certains comportements suspects ne se révèlent qu’à l’observation des « messages » transmis à un véhicule sur la durée. Or, pour éviter que les déplacements dudit véhicule puissent être retracés, son identité numérique change régulièrement. Ces deux exigences créent une difficulté que le scientifique juge « paradoxale », car il est vraisemblablement difficile de reconnaître une attaque qui se prolonge si le système de protection ne peut pas suivre le véhicule.

La détection des intrusions et la protection de la vie privée sont au cœur des travaux du chercheur. Pour Badis Hammi, il apparaît essentiel de conserver certaines informations nécessaires à l’identification d’un comportement anormal, sans faire du dispositif de sécurité un outil de traçage.

Du simulateur à la route, le difficile passage à l’échelle

Avant d’être déployées, ces méthodes doivent d’abord être éprouvées en simulation, sur des jeux de données existants, afin de comparer différentes approches entre elles. Ces données restent toutefois peu nombreuses et reflètent souvent l’architecture d’un véhicule particulier, de sorte qu’un résultat obtenu sur l’une d’elles ne garantit pas que la méthode fonctionnera de la même façon sur un autre modèle.

L’étape suivante consiste à tester la solution sur du matériel proche de celui qui équipe les véhicules. Plus complexes et plus coûteux, ces essais permettent de vérifier deux conditions décisives, à savoir la bonne réception des données utiles par le système, et la capacité d’exécution des calculs par les composants embarqués. Selon Badis Hammi, cette validation fait partie intégrante du problème scientifique, tant une protection ne saurait être jugée sur sa seule capacité à détecter une attaque en laboratoire. C’est donc bien sur la route, dans des conditions réelles de circulation, que se joue in fine la fiabilité de ces systèmes de défense.

Cet article est republié à partir de I’MTech. Lire l’article original.