L'engagement de l'ASRG pour la sécurité logicielle automobile

Tournois de code : l'initiative de l'ASRG pour la sécurité des logiciels automobiles

L'Automotive Security Research Group (ASRG) est une organisation à but non lucratif dédiée à la sensibilisation et au soutien du développement de la sécurité dans l'industrie automobile. Elle se concentre sur la recherche et la promotion de solutions visant à rendre les produits automobiles plus sûrs et plus fiables. Actuellement, ce secteur est en pleine mutation, traversant une révolution vers des véhicules connectés, autonomes, partagés, électrifiés et définis par logiciel. Alors que nous entrons dans cette nouvelle ère technologique, marquée par une dépendance croissante envers les logiciels qui alimentent les véhicules et les applications de leur écosystème, des organisations comme l'ASRG jouent un rôle clé pour attirer l'attention sur la sécurité logicielle et la faire respecter au sein de l'industrie automobile.

Cette prise de conscience, et surtout les mesures prises par les constructeurs, sera cruciale à mesure que les vecteurs d'attaque potentiels et les cyberrisques se multiplient avec l'adoption croissante de nouvelles technologies automobiles sur le marché grand public. Le FBI a récemment mis en garde contre les attaquants ciblant l'industrie automobile américaine, la grande majorité des failles résultant de données sensibles non chiffrées. Cela, ajouté à des attaques telles que le piratage par force brute de bases de données mal configurées, pourrait avoir des conséquences énormes et potentiellement mortelles. Dans le cadre de leurs recherches sur les solutions et outils permettant de définir et de maintenir des normes de sécurité logicielle dans les produits automobiles, l'équipe de l'ASRG a testé la plateforme de Secure Code Warrior, et plus particulièrement sa fonction de tournois. Conçue pour impliquer les développeurs par le biais d'une compétition ludique et conviviale, accroître leur sensibilisation à la sécurité et les aider à perfectionner leurs compétences en codage sécurisé, l'ASRG a étudié comment Secure Code Warrior pouvait susciter l'intérêt des développeurs pour la sécurité, leur enseigner les compétences nécessaires pour contrer les vulnérabilités courantes affectant les logiciels automobiles et éviter ainsi des risques inacceptables.

‍

Quels sont les vecteurs d'attaque classiques dans les logiciels automobiles ?

Lors de l'analyse des voies d'accès potentielles pour les attaquants ciblant les logiciels automobiles, de nombreuses possibilités existent, comme le détaille le rapport complet d'Allot.

Quelle que soit leur sensibilisation à la sécurité, les développeurs ne peuvent pas tout contrer (et on ne devrait pas attendre d'eux qu'ils le fassent – les spécialistes de la sécurité applicative sont là pour ça !), mais il existe de nombreuses portes dérobées courantes que des ingénieurs avertis peuvent fermer dans leur code avant qu'elles ne deviennent un problème sérieux, comme :

Il existe de nombreuses portes dérobées courantes que des ingénieurs avertis peuvent fermer dans leur code avant qu'elles ne deviennent un problème sérieux

‍

Quelle est la gravité de la situation lorsqu'un véhicule est compromis ?

Il est assez évident pour le commun des mortels que la plupart des véhicules ne sont pas sûrs à 100 % et qu'une part de risque est inhérente à leur utilisation. Les défaillances mécaniques, les accidents, la conduite en état d'ivresse… tout cela peut avoir des conséquences potentiellement fatales pour les usagers de la route.

Mais que se passerait-il si cette défaillance catastrophique d'un véhicule était en réalité provoquée à distance, suite à une cyberattaque particulièrement malveillante ? On a longtemps suggéré que le monde prendrait la cybersécurité au sérieux lorsque les conséquences mettraient des vies en danger, mais la réalité est que nous sommes déjà entrés dans cette ère et, sans intervention, la situation ne fera qu'empirer.

En 2015, des chercheurs en sécurité ont réussi à « couper » le moteur d'une Jeep Cherokee alors qu'elle roulait sur une autoroute ; en utilisant une vulnérabilité zero-day connue dans le logiciel système, ils ont pu contrôler sans fil la climatisation, la radio, la direction, les freins et la transmission. Bien que dangereuse, cette expérience était contrôlée, mais elle a prouvé le contrôle mortel qu'un attaquant pourrait exercer sur un véhicule et ses occupants. Depuis cet événement, des millions de véhicules connectés ont envahi nos routes, chacun représentant des millions de lignes de code qui doivent être sécurisées.

La technologie des véhicules autonomes (et son adoption) progresse à un rythme effréné, ce qui peut exercer une pression immense sur ses créateurs, en particulier sur les équipes chargées de livrer le code qui alimente les commodités de demain. Il est urgent que les développeurs de logiciels de l'industrie automobile partagent la responsabilité de la sécurité, et l'ASRG est le hub communautaire sur lequel beaucoup s'appuient pour obtenir les dernières connaissances en matière de sécurité, des outils, des recommandations de pairs et du soutien. Leur tournoi mondial Secure Code Warrior visait à impliquer, évaluer et inspirer plus de 100 développeurs représentant les sections de l'ASRG dans le monde entier. En participant à une compétition amicale et à des formations, ils ont cherché à résoudre des défis de codage sécurisé directement liés aux problèmes rencontrés par les logiciels prédominants dans leur industrie.

La technologie des véhicules autonomes (et son adoption) progresse à un rythme effréné, ce qui peut exercer une pression immense sur ses créateurs, en particulier sur les équipes chargées de livrer le code qui alimente les commodités de demain.

‍

Faits et chiffres issus du tournoi et des sessions de formation

C'est le signe d'un engagement élevé et d'une volonté de continuer à jouer – deux sous-produits immensément bénéfiques des techniques de ludification dans la formation et l'éducation.

La formation et les tournois peuvent être suivis dans les langages et frameworks souhaités par chaque développeur, garantissant ainsi que les défis sont ultra-pertinents et utilisent du code réel qu'ils rencontreraient dans leur travail quotidien. Cette approche contextuelle et concise de l'apprentissage assure une diffusion rapide du contenu le plus important pour résoudre les problèmes les plus fréquents dans le cycle de vie de développement logiciel (SDLC) de l'organisation.

Le profil de développeur le plus courant parmi les participants

‍

‍

Autres conclusions significatives :

Tournoi mondial virtuel de codage sécurisé ASRG : score de code sécurisé par langage

Tournoi mondial virtuel de codage sécurisé ASRG : score de code sécurisé par vulnérabilité

Bien que tous les participants aient fait preuve d'une certaine maîtrise des langages et frameworks choisis, aucune zone de vulnérabilité n'a été jugée « sécurisée à 100 % » ou maîtrisée, et le score de précision moyen était de 67 %. On n'attend pas d'un développeur qu'il devienne un expert en sécurité, mais les tournois sont un excellent moyen d'introduire des normes de sécurité, une référence de qualité et la responsabilité d'apprendre à éliminer les failles de sécurité courantes dans le code… surtout lorsque ce code peut mener au contrôle à distance du véhicule d'une personne, voire pire.

Aperçu du tournoi sur les vulnérabilités et les facteurs de risque basés sur les compétences

Les initiatives de tournoi et de formation de l'ASRG se sont concentrées sur certaines vulnérabilités clés affectant les véhicules connectés, à savoir :

Après des milliers de minutes de formation et des centaines de défis, il est apparu clairement que les domaines prioritaires devaient rester le contrôle d'accès, le stockage de données sensibles et, en priorité, les vulnérabilités liées à la corruption de mémoire. Cette dernière est une exploitation potentielle connue non seulement dans les véhicules ultra-connectés, mais aussi dans de nombreux autres appareils IoT.

Une telle faille a été récemment découverte par l'équipe CX APT (Customer Experience Assessment & Penetration Team) de Cisco dans GNU Glibc, une bibliothèque utilisée dans les systèmes Linux ARMv7, les laissant vulnérables à la corruption de mémoire jusqu'à ce qu'un correctif soit créé et appliqué. À une époque où les appareils riches en capteurs utilisent la collecte de données en temps réel provenant de multiples points environnementaux, le gain pourrait être significatif pour un attaquant, même si le contrôle à distance de l'appareil n'est pas possible.

L'équipe de l'ASRG a créé des ressources incroyables pour les développeurs ayant besoin d'être performants en matière de sécurité automobile, avec leur répertoire d'outils et de solutions testés, leur wiki complet et leur puissante communauté mondiale. Ces initiatives de groupe indépendantes sont ce qu'il faut pour susciter le changement à la base, et leur volonté d'essayer de nouvelles choses et de forger les fondations de la sensibilisation à la sécurité chez leurs membres est un élément puissant pour stopper les vulnérabilités récurrentes dans les appareils hautement sensibles.

Retour sur investissement de l'adoption immédiate des meilleures pratiques de codage sécurisé

Une étude publiée par SAE International et le groupe Software Integrity de Synopsys a révélé qu'en termes de sécurisation des technologies connectées contre les cybermenaces existantes et émergentes, l'industrie automobile était nettement en retard par rapport à beaucoup d'autres.

C'est une tendance préoccupante, mais elle n'est pas irréversible, surtout avec des organisations comme l'ASRG qui se battent pour maintenir la sécurité au premier plan de l'industrie, tout en mettant en lumière les solutions, les outils et l'éducation nécessaires aux entreprises automobiles pour construire un programme de sécurité à toute épreuve.

Leur expérience dans l'organisation d'un tournoi mondial Secure Code Warrior très mobilisateur leur a permis d'identifier les principaux domaines de risque au sein d'un groupe de développeurs, les opportunités d'apprentissage, les statistiques de précision issues des défis de codage sécurisé, ainsi que les vulnérabilités clés sur lesquelles se concentrer, en fonction des besoins du secteur.

Alors, quels seraient les retours estimés sur la transformation d'un programme de sécurité au sein d'une organisation, en inculquant la sensibilisation à la sécurité et l'action dès le début du SDLC ? Jetons un coup d'œil :

Pour une entreprise identifiant ne serait-ce qu'un nombre modeste de vulnérabilités annuelles lors de ses audits de sécurité, les coûts potentiels de détection et de remédiation peuvent être importants. Et, selon le moment où ces failles gênantes sont révélées dans le processus, le prix de la correction peut augmenter de façon spectaculaire, même pour les correctifs « simples » : jusqu'à trente fois le coût d'une correction tardive par rapport à une faille trouvée et corrigée au début.

Retour sur investissement

Cette estimation en trois points montre l'impact financier et temporel potentiel de trois économies différentes permises par la formation, les tournois et la transformation culturelle de Secure Code Warrior.

‍

Économies annuelles potentielles

‍