Le hacking au service de la cybersécurité

C’est au cours du Forum inter­na­tion­al de cyber­sécu­rité qui s’est tenu fin jan­vi­er à Lille que La Jaune et la Rouge a pu ren­con­tr­er Gaël Mus­quet, un hack­er éthique, qui pro­po­sait pour la plate­forme Yes We Hack l’animation du Live Car Hack­ing du Forum, ou com­ment hack­er une voiture lamb­da avec du matériel lambda.

Pouvez-vous nous présenter votre parcours ?

Je suis hack­er éthique pour l’armée de l’Air et pour le moteur de recherche européen Qwant. Je suis né en Guade­loupe où j’ai vécu un événe­ment mar­quant dans mon enfance : à l’âge de neuf ans, j’ai été vic­time d’un cyclone. Je suis devenu météoro­logue et suis venu me for­mer en Europe à la con­cep­tion de cap­teurs météorologiques. Ma spé­cial­ité est la con­cep­tion d’instruments pour l’analyse et le suivi de vor­tex des nuages tur­bu­lents : tor­nades et cyclones. Après avoir dû mod­i­fi­er, tra­vailler ces cap­teurs embar­qués dans des avions, des bateaux et des voitures, j’ai com­mencé le hack­ing de voitures.

Comment en êtes-vous arrivé là ?

Quand on suit un phénomène météorologique, on a besoin de pro­jeter des cap­teurs, de les cat­a­pul­ter, on a tou­jours besoin de faire cette mesure. C’est une fil­ière qui n’est pas très noble en France mais qui a acquis ses let­tres de noblesse aux États-Unis où des per­son­nes, les hur­ri­cane chasers, risquent leur vie pour récolter des don­nées qui ser­vent à ali­menter des mod­èles, des pré­dic­tions pour faire face à des événe­ments qui peu­vent être cat­a­clysmiques : les oura­gans Irma et Maria nous l’ont rap­pelé en 2017. Notre seul vecteur de survie est notre capac­ité à utilis­er des tech­nolo­gies, aujourd’hui « sur étagère », assez puis­santes, au ser­vice de l’alerte des pop­u­la­tions, ce qui est une de mes respon­s­abil­ités pour les JO de 2024 : faire un état des lieux des dis­posi­tifs à notre dis­po­si­tion pour don­ner l’alerte à des pop­u­la­tions si elles font face, pen­dant les JO, à une cat­a­stro­phe naturelle majeure, à un événe­ment tech­nologique comme Lubri­zol ou à une attaque terroriste.

Je suis hébergé par l’armée de l’Air, sur la base aéri­enne 105 à Évreux, dans l’escadre aéri­enne de com­man­de­ment et con­duite pro­jetable, avec les 600 sol­dats de l’armée de l’Air qui sont chargés de l’élongation des moyens numériques de l’armée. Je suis un civ­il mais j’accompagne l’armée sur des enjeux de super­vi­sion aéri­enne, spa­tiale, mar­itime. L’objectif est de fournir aux sol­dats des dis­posi­tifs sur étagère, des Rasp­ber­ry Pi (nano-ordi­na­teur mono­carte à processeur ARM), des Arduino (des cartes élec­tron­iques en open source) pour leur mis­sion. Nous avons cocréé un hack­er­space sur la base 105 pour que ces ressources sur étagère soient disponibles et que les sol­dats soient sur des cycles d’innovation les plus courts pos­si­bles et qu’on puisse répon­dre le plus rapi­de­ment pos­si­ble à un besoin sur une opération.

Depuis quand l’armée s’est-elle tournée vers le hacking éthique ?

J’y suis arrivé fin 2016 après avoir été repéré sur un événe­ment autour de l’open data car je suis l’ancien prési­dent fon­da­teur d’OpenStreetMap France. L’armée voulait prof­iter de mon expéri­ence d’animation com­mu­nau­taire, de ma capac­ité à recueil­lir de la don­née car­tographique pour être capa­ble de faire du skid­view de manière indépen­dante avec des logi­ciels libres. Et aus­si de faire en sorte que les sol­dats puis­sent prof­iter des cycles d’innovation des civils qui sont beau­coup plus courts et qui per­me­t­tent de répon­dre à des prob­lé­ma­tiques de guerre asymétrique où mon « jumeau malé­fique » va tout faire pour me désta­bilis­er en Opex.

Quelles sont les fragilités des véhicules autonomes vis-à-vis du hacking ?

Le hack­er est quelqu’un qui doute, qui ne fait pas con­fi­ance au sys­tème. Nous, hack­ers, ne sommes pas béats devant ces nou­velles tech­nolo­gies qui visent à ren­dre les voitures autonomes. Ce que nous voulons, c’est être en capac­ité de don­ner notre avis sur les choses avec lesquelles nous ne sommes pas d’accord, sur les choses que nous pen­sons ne pas être assez résilientes. Pour Keren Elazari, une hackeuse israéli­enne, le hack­er est le sys­tème immu­ni­taire d’internet. Comme tous ces dis­posi­tifs sont con­nec­tés, par exten­sion les hack­ers devi­en­nent les sys­tèmes immu­ni­taires des villes, des voitures, des objets. La cyber­sécu­rité ne se résume pas au hack­ing et le hack­ing ne se résume pas à la cyber­sécu­rité. Le hack­ing, c’est aus­si être capa­ble de faire de la R & D, d’améliorer des dis­posi­tifs en les détour­nant de leurs usages pre­miers, etc. C’est ce que nous avons fait pen­dant ce forum en util­isant un smart­phone pour con­duire un véhicule.

Comment avez-vous réussi ?

L’année dernière, nous étions venus avec une Tes­la mod­èle X, ce qui se fait de mieux en ter­mes de véhicule con­nec­té et autonome. Cette année, nous avons voulu faire l’inverse et mon­tr­er com­ment on rend autonome un véhicule qui n’est ni con­nec­té, ni autonome. Le véhicule présent a juste un régu­la­teur de vitesse. Nous sommes des mil­liers de hack­ers, de développeurs, d’open tes­teurs à utilis­er et dévelop­per une solu­tion qui s’appelle open­pilot, dévelop­pée par la société Comma.ai : 70 mod­èles de véhicule ont pu être hack­és, de sept mar­ques d’automobiles (Kia, Acu­ra, Hon­da, Tes­la, Hyundai, Sub­aru, Toy­ota), 20 mil­lions de kilo­mètres roulés… Cette accu­mu­la­tion de don­nées per­met de cor­riger les biais des réseaux de neu­rones. Open­pilot est une com­mu­nauté inter­na­tionale à laque­lle j’appartiens et qui a dévelop­pé un kit de développe­ment com­mer­cial­isé par Comma.ai qui compte sur nous pour porter sa solu­tion sur tous les véhicules. Dans la philoso­phie du logi­ciel libre, nous avons répar­ti la charge de la con­tri­bu­tion sur des mil­liers de con­tribu­teurs qui appor­tent tous leur sen­si­bil­ité sur le véhicule autonome. Je suis guade­loupéen, j’ai une sen­si­bil­ité très ultra­ma­rine du véhicule autonome donc ce véhicule par­ti­ra aux Antilles pour que les véhicules ne roulent pas qu’en Europe et ne répon­dent pas unique­ment aux sen­si­bil­ités des villes européennes. 

Est-il facile aujourd’hui de hacker un véhicule lambda, une voiture, un train ou un avion ?

Para­doxale­ment, le plus dur c’est d’avoir la voiture pour ten­ter de la hack­er ! Les con­struc­teurs d’automobiles français font preuve d’une grande frilosité. C’est un milieu très fer­mé, qui n’arrive pas à met­tre en place une démarche de R & D auprès de hack­ers, d’open tes­teurs. Ma présence à ce forum est aus­si un moyen pour moi de tir­er la son­nette d’alarme. On ne peut pas pass­er à côté d’un logi­ciel libre comme open­pilot quand on est un pays à forte indus­trie auto­mo­bile. Ce sont des emplois, des vies qui sont en jeu. L’autonomie des véhicules n’est pas un jeu, un gad­get, c’est un enjeu de sécu­rité routière. Les véhicules aujourd’hui sont de plus en plus sûrs. Mais on ne peut pas laiss­er aux seuls équipemen­tiers et con­struc­teurs d’automobiles le soin de définir ce qu’est et ce que sera le véhicule autonome. 

Que proposez-vous ?

Je pro­pose l’utilisation des méth­odes tra­di­tion­nelles du web, c’est-à-dire des logi­ciels libres, le respect des pro­to­coles, des stan­dards : le W3C (World Wide Web Con­sor­tium) a défi­ni ce qu’est une API, ce qu’est le web dans une voiture. Il est préférable d’utiliser ces prim­i­tive stan­dards. La Fon­da­tion Lin­ux a créé Auto­mo­tive Grade Lin­ux, un con­sor­tium d’industriels qui con­tribue à l’introduction de logi­ciels libres dans les véhicules. Il faut que la France, l’Europe soient au ren­dez-vous. On ne peut pas se con­tenter de cri­ti­quer des empires qui pla­cent leurs fleu­rons comme la 5 G sur nos ter­ri­toires sans financer les entre­pris­es qui en Europe innovent sur le sujet. La start-up lori­en­taise IoT.bzh par exem­ple est pri­mo-con­tributrice à AGL. Nous avons aujourd’hui en France des ingénieurs, des développeurs qui con­tribuent au noy­au Lin­ux pour la Fon­da­tion Lin­ux. Le pro­jet Kuk­sa – une plate­forme d’API dédiée aux véhicules – est porté par la Fon­da­tion Eclipse qui est à la pointe du logi­ciel libre pour les objets con­nec­tés. Et pour­tant, un con­struc­teur français a mis dans les mains de Google le sys­tème d’information et de diver­tisse­ment de l’ensemble de ses véhicules, alors que Toy­ota et Sub­aru ont choisi la Fon­da­tion Lin­ux et la Fon­da­tion Eclipse. 

En quoi l’open data est-elle une garantie de sécurité ?

L’obscurité n’a jamais été garante de la sécu­rité. En revanche, le noy­au Lin­ux a apporté énor­mé­ment de sécu­rité et de pro­duc­tiv­ité aux entre­pris­es dans le monde. Aujourd’hui, tous les serveurs tra­vail­lent sur ces sys­tèmes d’exploitation Lin­ux. De grands indus­triels comme Apple utilisent des BSD (Berke­ley Soft­ware Dis­tri­b­u­tion) Mac OS X, iOS qui sont mas­sive­ment motorisés par des logi­ciels libres. Google utilise mas­sive­ment le noy­au Lin­ux pour motoris­er ses serveurs, son moteur de recherche et son sys­tème d’exploitation mobile. Ama­zon utilise le noy­au Lin­ux pour des ser­vices comme Elas­tic Com­pute Cloud qui per­met d’adapter la charge. Où est la recon­nais­sance européenne et française envers des fleu­rons comme Gan­di, OVH, Scale­way ou Free qui ont toute leur place dans l’industrie mon­di­ale ? Il ne faut pas qu’on rate le virage numérique dans les véhicules. Les acteurs en sont les équipemen­tiers, les con­struc­teurs, mais aus­si les TPE, les PME, les com­mu­nautés de pas­sion­nés, les tuners… On les oublie sou­vent car le tun­ing n’est pas très bien vu mais ce sont les tuners qui m’ont for­mé, qui m’ont apporté leurs con­nais­sances, leur cul­ture et leur amour des véhicules. On ne peut pas met­tre de côté cette cul­ture sci­en­tifique tech­nique pop­u­laire, cette trans­mis­sion de savoirs. Je suis père de deux enfants et, lorsque je les con­duis à l’école à l’intérieur d’une voiture hack­ée, vous n’imaginez pas le nom­bre de voca­tions que ça sus­cite chez des enfants dans mon quarti­er. Pour eux, je con­duis la voiture de Bat­man, je suis le Bruce Wayne antil­lais. Ils se met­tent à rêver de devenir mécani­cien, plutôt que de l’envisager unique­ment comme une voie de garage en cas d’échec sco­laire. L’enjeu n’est pas que tech­nique et tech­nologique mais aus­si social et socié­tal. Nous devons arriv­er à faire rêver des étu­di­ants sur ces fil­ières où nos indus­triels et nos entre­pris­es ont du mal à recruter, alors que Tes­la fait rêver et recrute.

“Si on veut être compétitif et viser la sécurité,
il faut utiliser des solutions utilisées par le plus grand nombre.”

Pouvez-vous nous donner des exemples de faille de véhicules ?

La faille la plus courante aujourd’hui, c’est le brouil­lage de clés de voitures. C’est l’attaque la plus sim­ple à effectuer, avec des out­ils qu’on peut télécharg­er sur inter­net. Le sig­nal de la clé va être brouil­lé, la voiture ne va pas se fer­mer, l’accès physique à la voiture va être pos­si­ble et on peut démar­rer la voiture sans con­tact en repro­gram­mant une nou­velle clé. De nou­velles attaques appa­rais­sent comme les attaques relais : un com­plice va être au plus près de la vic­time qui con­serve sa clé sans con­tact dans sa poche, on va dupli­quer, relay­er le sig­nal de la clé au plus près du véhicule pour leur­rer le véhicule qui va croire que la clé est à prox­im­ité alors que le com­plice a juste une radio logi­cielle à prox­im­ité qui va déclencher l’ouverture et le démar­rage du moteur. Une autre faille très sim­ple à exploiter réside dans les valves des pneus. Le lég­is­la­teur européen a imposé aux con­struc­teurs un sys­tème de suivi des pneus. Les con­struc­teurs ont majori­taire­ment instal­lé des valves radio qui ne sont pas chiffrées et cir­cu­lent en clair. Pen­dant le FIC, j’ai enreg­istré les numéros de série, les pres­sions et les tem­péra­tures des pneus de tous les véhicules qui étaient à prox­im­ité du Grand Palais (à Lille). J’aurais très bien pu réin­jecter des don­nées mod­i­fiées : des tem­péra­tures très élevées, des pres­sions très bass­es et déclencher une faille du sys­tème pneu­ma­tique de la voiture qui va indi­quer de manière erronée au con­duc­teur que son pneu est défectueux. Imag­inez cette attaque sur un con­voi, sur un véhicule d’autorité dont les iden­ti­fi­ants tran­si­tent en clair. Notre méti­er de hack­er est d’anticiper des scé­nar­ios. Il n’y a pas si longtemps, la mafia fai­sait sauter des ouvrages d’art entiers pour assas­sin­er des juges à Palerme. Aujourd’hui, on a besoin de beau­coup moins de matériel et de présence humaine pour déclencher une charge explo­sive ou une attaque élec­tron­ique au pas­sage d’un con­voi. Le même enjeu existe pour nos sol­dats. Est-ce que les véhicules de leurs con­vois sont équipés de valves radio qui « par­lent » trop et qui empêchent tout effet de sur­prise d’une Opex ? Com­ment éviter que leur présence soit détec­tée à plusieurs dizaines de kilo­mètres ? Tous ces enjeux doivent être pris en compte. L’objectif est aus­si d’éviter ce qui arrive à Boe­ing avec le 737 MAX, de ne pas atten­dre les cat­a­stro­phes pour agir et d’être capa­bles d’anticiper le rap­pel mas­sif de véhicules ou d’engins à cause d’une vul­néra­bil­ité sur un sys­tème ou un sous-sys­tème de véhicule, ce qui a un prix exor­bi­tant pour les constructeurs.

La solution, c’est donc la transparence et l’ouverture ?

On peut com­pren­dre le secret indus­triel pour faire face à la con­cur­rence. En revanche, dans la par­tie numérique du web, on con­state que la majorité des con­struc­teurs et des équipemen­tiers utilisent tous des logi­ciels libres et des pro­to­coles. L’IP a été doc­u­men­té et c’est un pro­to­cole sur lequel on ne paye pas de brevet. Si on veut être com­péti­tif et vis­er la sécu­rité, il faut utilis­er des solu­tions util­isées par le plus grand nom­bre, qui ont été cor­recte­ment auditées et qui per­me­t­tent égale­ment de ren­dre interopérables les véhicules. C’est une des con­di­tions pour qu’on ait une indus­trie saine et un cir­cuit de l’innovation sain. Ce que l’on recom­mande, c’est de priv­ilégi­er autant que pos­si­ble l’utilisation de solu­tions et de logi­ciels libres, d’avoir des com­mu­nautés de logi­ciels libres avec lesquelles on va dis­cuter pour pou­voir codévelop­per plusieurs dis­posi­tifs, sans met­tre à mal le secret indus­triel des équipementiers.

Avez-vous un message à passer aux X ?

On reproche sou­vent aux élèves des grandes écoles d’être décon­nec­tés de la réal­ité du ter­rain. Or le ter­rain ne ment pas. Quand je les ren­con­tre lors de leur stage sur la base aéri­enne, je les emmène avec moi sur le ter­rain. On a beau avoir une tête bien faite, elle doit se con­fron­ter à la réal­ité du ter­rain et des élé­ments naturels. Nous devons faire face aujourd’hui à de nom­breuses prob­lé­ma­tiques de tran­si­tion écologique, de tran­si­tion énergé­tique, donc nous avons besoin de vos cerveaux avec nous tech­ni­ciens sur le ter­rain. Il n’y a pas d’antagonisme entre un ingénieur, un poli­tique, un sta­tis­ti­cien et un tech­ni­cien. Alors que je n’ai que le bac, j’interviens régulière­ment à Poly­tech­nique et dans d’autres écoles et je les encour­age. C’est la bio­di­ver­sité des solu­tions, des réflex­ions, qui fait la résilience de notre pays. On pour­rait dire que le pre­mier hack­er français était le poly­tech­ni­cien Gus­tave Fer­rié qui a util­isé pour la pre­mière fois la télé­gra­phie sans fil – la 5 G de l’époque ! – pour rétablir la télé­com­mu­ni­ca­tion entre la Guade­loupe et la Mar­tinique, après l’explosion de la mon­tagne Pelée qui avait fait plus de 30 000 morts en 1902. Plus tard il est devenu le patron du Bureau des lon­gi­tudes qui a ensuite don­né nais­sance aux con­stel­la­tions GNSS qui ont per­mis de lancer les pre­miers satel­lites. En 2000, j’ai eu mon pre­mier récep­teur GPS, fruit de l’essor du GNSS. On voit la con­ti­nu­ité sur plusieurs généra­tions de l’innovation de Gus­tave Fer­rié. Toutes ces tech­nolo­gies ne nais­sent pas du jour au lende­main. Nous avons besoin de cerveaux mais aus­si de con­naître l’histoire. Les inno­va­tions tech­nologiques vien­nent sou­vent de la néces­sité de trou­ver des solu­tions face à des cat­a­stro­phes naturelles de grande ampleur. C’est ce dont nous avons besoin aujourd’hui.

A lire aus­si : Com­ment j’ai hacké votre voiture, par Gode­froy Galas

---

Articles similaires :

Gou­ver­nance de l’Internet et gou­ver­nance sur l’Internet Dévelop­per une indus­trie française et européenne de confiance Sécu­rité des sys­tèmes d’information : la néces­saire clar­i­fi­ca­tion des rôles Cha­cun est respon­s­able de tous Du Bureau des Légen­des au bureau La cyber­me­n­ace et le trans­port aérien