La s\u00e9curit\u00e9 d\u2019une voiture connect\u00e9e ne s\u2019arr\u00eate pas \u00e0 son \u00e9lectronique embarqu\u00e9e. Une \u00e9tude publi\u00e9e dans Software Quality Journal cartographie 413 vuln\u00e9rabilit\u00e9s li\u00e9es \u00e0 l\u2019\u00e9cosyst\u00e8me automobile sur la p\u00e9riode allant de janvier 2022 \u00e0 septembre 2024. Elle attire l\u2019attention sur les applications, les services distants et les composants logiciels utilis\u00e9s autour du v\u00e9hicule.<\/p>\n
Ce travail porte sur des failles recens\u00e9es : il ne d\u00e9crit pas 413 voitures pirat\u00e9es ni autant d\u2019attaques r\u00e9ussies. Cette distinction est essentielle pour comprendre les r\u00e9sultats. Une vuln\u00e9rabilit\u00e9 signale une possibilit\u00e9 de d\u00e9faillance ou d\u2019exploitation ; son impact concret d\u00e9pend de l\u2019environnement, des acc\u00e8s n\u00e9cessaires et des protections en place.<\/p>\n<\/p>\n
Les applications, sites et services cloud forment une cat\u00e9gorie importante du corpus, \u00e0 laquelle l\u2019\u00e9tude attribue 36,2 % des vuln\u00e9rabilit\u00e9s. Le risque ne se limite donc pas aux commandes du v\u00e9hicule : des comptes, des interfaces de service et des donn\u00e9es de d\u00e9placement peuvent aussi \u00eatre concern\u00e9s.<\/p>\n
L\u2019exposition de donn\u00e9es touchant quelque 800 000 voitures \u00e9lectriques du groupe Volkswagen, r\u00e9v\u00e9l\u00e9e fin 2024, illustre cette dimension. Il s\u2019agit d\u2019un incident distinct, utilis\u00e9 pour \u00e9clairer les enjeux des services connect\u00e9s. Un acc\u00e8s \u00e0 des donn\u00e9es de localisation ne doit pas \u00eatre assimil\u00e9 automatiquement \u00e0 la prise de contr\u00f4le du freinage ou de la direction.<\/p>\n<\/p>\n
Les auteurs croisent plusieurs sources de signalement et examinent aussi des d\u00e9pendances logicielles. Ils discutent la gravit\u00e9 des failles et les limites de leur m\u00e9thode. Un ensemble constitu\u00e9 \u00e0 partir de publications disponibles ne mesure pas directement la probabilit\u00e9 qu\u2019un conducteur soit attaqu\u00e9.<\/p>\n
La pr\u00e9sence d\u2019une faille dans un composant partag\u00e9 peut toucher plusieurs usages. \u00c0 l\u2019inverse, son absence d\u2019un catalogue d\u2019exploitation connue ne d\u00e9montre pas qu\u2019elle est inoffensive. Le document rel\u00e8ve 17 CVE pertinentes ajout\u00e9es au catalogue KEV entre 2022 et 2024 ; ce nombre ne repr\u00e9sente pas le total des attaques automobiles sur la p\u00e9riode.<\/p>\n<\/p>\n
L\u2019enjeu industriel est de limiter les chemins possibles entre un service expos\u00e9 et une fonction sensible. Une application, un syst\u00e8me multim\u00e9dia et une commande critique ne devraient pas disposer des m\u00eames droits ni partager sans contr\u00f4le leurs acc\u00e8s. Identifier les composants et organiser leur maintenance compte aussi dans la dur\u00e9e.<\/p>\n
Pour les \u00e9quipes charg\u00e9es de ces syst\u00e8mes, l\u2019int\u00e9r\u00eat de l\u2019\u00e9tude est de raisonner sur toute la cha\u00eene logicielle, plut\u00f4t que sur le seul calculateur embarqu\u00e9. La protection des donn\u00e9es et la s\u00fbret\u00e9 de conduite posent des probl\u00e8mes li\u00e9s, mais distincts. Cette lecture \u00e9vite deux raccourcis : croire qu\u2019un service situ\u00e9 hors du v\u00e9hicule est sans cons\u00e9quence, ou conclure que toute faille distante permet n\u00e9cessairement de prendre le volant \u00e0 distance.<\/p>\n
Sources : Article de r\u00e9f\u00e9rence \u00b7 link.springer.com.<\/small><\/p>\n<\/p>\nSources<\/h2>\n