Votre porte-clés de voiture est-il vulnérable à cette simple attaque de rejeu ?

La plupart des gens tiennent probablement pour acquis que leur porte-clés est sécurisé. Verrouiller et déverrouiller les voitures est, après tout, extrêmement important. Mais lors de la conférence sur la sécurité Black Hat, les chercheurs ont montré comment une simple attaque par rejeu peut annuler les mesures de sécurité intégrées aux porte-clés de voiture.

Le système de verrouillage et de déverrouillage des voitures à distance s'appelle Remote Keyless Entry (RKE), et il est plus complexe qu'il n'y paraît. Chaque pression sur un bouton est unique, ce qui empêche un attaquant de simplement vous enregistrer en appuyant sur le bouton de déverrouillage et de le lire plus tard.

Levente Csikor, chercheur à I2R, A*STAR, a expliqué que les systèmes RKE utilisent un code tournant. Le porte-clés et la voiture ont un compteur qui augmente chaque fois qu'un bouton est enfoncé. De cette façon, une pression sur un bouton précédemment enregistrée ne sera pas acceptée.

Mais toutes vos presses de porte-clés n'arrivent pas jusqu'à votre voiture. Peut-être que vous êtes hors de portée, derrière une vitre épaisse ou que vous manipulez simplement vos clés. Ces pressions sur les boutons font avancer le compteur sur le porte-clés mais pas la voiture. Pour éviter que les appuis accidentels sur les boutons ne verrouillent les propriétaires de voitures, les systèmes RKE se réinitialisent au numéro de compteur inférieur s'ils détectent que le porte-clés a plus d'appuis sur les boutons que la voiture.

Le système de réinitialisation suppose que tant que le numéro du compteur sur le porte-clés est supérieur à celui de la voiture, il ne peut pas s'agir d'une attaque de rejeu. Mais cela signifie que les codes capturés avant la réinitialisation - qui ne sont jamais parvenus à la voiture - seraient acceptés.

Csikor a déclaré qu'il s'agissait du nœud de l'attaque RollJam qui a débuté il y a sept ans par différents chercheurs. À l'aide de matériaux peu coûteux, un appareil RollJam a capturé le signal d'un bouton du porte-clés, puis a brouillé les ondes et capturé une deuxième pression sur un bouton. Le deuxième signal n'a jamais atteint la voiture et un attaquant pourrait le réutiliser plus tard pour déverrouiller le véhicule.

Eh bien, il s'avère que l'ensemble du processus de brouillage et de relecture peut ne pas être nécessaire. Csikor a expliqué que pour certains véhicules, un attaquant n'aurait qu'à rejouer quelques pressions de bouton précédemment capturées(Opens in a new window) pour "annuler" le compteur de la voiture. Même s'ils avaient déjà été détectés par la voiture, tous les appuis sur les boutons précédemment capturés seraient alors acceptés par le véhicule.

Non seulement cela, mais cette attaque pourrait être reproduite à l'avenir. L'attaquant n'avait qu'à rejouer les pressions sur les boutons, à tout moment dans le futur - même après que le propriétaire de la voiture ait utilisé le porte-clés à plusieurs reprises - et la voiture accepterait les signaux et se déverrouillerait. Une nouvelle vidéo publiée après Black Hat a montré que les signaux rejoués étaient utilisés avec succès plus de 100 jours après la capture.

Csikor a montré plusieurs vidéos de l'attaque en action. Au lieu d'un appareil RollJam personnalisé, il a utilisé un Lenovo ThinkPad standard attaché à une unité radio définie par logiciel HackRF, ce qui peut coûter des centaines de dollars. À l'écran, il a capturé cinq pressions sur un bouton d'un porte-clés Kia. On peut voir la voiture répondre à chacun d'eux. Il a ensuite rejoué les deux premiers, qui ont été ignorés, mais les trois suivants ont été acceptés par le véhicule.

Ça va mieux (ou pire). Csikor a déclaré que depuis qu'ils ont soumis leur article à Black Hat, l'équipe a découvert que toute pression séquentielle sur les boutons ferait reculer le compteur de la voiture. Un mélange de signaux séquentiels de verrouillage et de déverrouillage suffit pour que RollBack fonctionne.

L'équipe publiera une liste complète des véhicules testés, mais pas encore. Sur les 20 véhicules répertoriés dans la présentation de Csikor, seuls six ne sont pas sensibles à l'attaque RollBack.

Sur les trois Hyundai que l'équipe a examinées, une seule est tombée dans l'attaque RollBack. Deux Nissan testés sur trois étaient sensibles, mais aucun des quatre Toyota évalués n'a été affecté.

Au sein de chaque marque de voiture, le nombre d'appuis sur les boutons à capturer était constant, même d'un modèle à l'autre et d'une année modèle à l'autre. Les modèles vulnérables de Nissan, Kia et Hyundai ne nécessitaient que deux pressions sur un bouton, tandis que toutes les Honda vulnérables en nécessitaient cinq.

Csikor a souligné que ce n'est pas un problème limité aux véhicules plus anciens. Les voitures aussi neuves que l'année modèle 2020 et aussi anciennes que 2009 sont sensibles.

Hoon Wei Lim, directeur de la R&D sur la cybersécurité chez NCS Group, a déclaré que l'équipe avait signalé ses recherches aux fabricants de porte-clés concernés en avril 2022 et au Centre de partage et d'analyse des informations automobiles (Auto-ISAC) en mai. Tous les constructeurs automobiles concernés ont également été contactés et enquêtent sur le problème.

Malgré tous leurs travaux, les chercheurs admettent qu'il y a encore beaucoup de choses qu'ils ne savaient pas. Par exemple, ils n'ont testé que les véhicules auxquels ils avaient accès en Asie du Sud-Est. C'est une fraction de toutes les voitures sur la route, donc ils ne savent pas à quel point la vulnérabilité est répandue.

Ils ne savent pas non plus pourquoi les véhicules se comportent comme ça. Les systèmes du véhicule sont propriétaires, a expliqué Csikor, et l'équipe n'est pas en mesure de démonter une voiture pour enquêter. Un indice possible est venu d'un fabricant de porte-clés appelé Microchip, qui disposait d'une documentation publique sur le processus par lequel les propriétaires de voitures pouvaient associer un nouveau porte-clés à leur véhicule. Certaines d'entre elles correspondaient aux recherches de l'équipe, mais pas toutes. Csikor a également noté que le récepteur dans la voiture, et non le porte-clés, fait la majeure partie du travail. Cela suggère qu'il appartient peut-être aux constructeurs automobiles de résoudre le problème.

En conséquence, l'équipe n'est pas sûre du type de solutions que les fabricants peuvent introduire. Une possibilité serait d'utiliser des horodatages avec le système de code tournant.

Jusqu'à ce qu'on en sache plus, la meilleure chose à faire pourrait être ce que Hoon Wei Lim a fait au début de la conversation : demander aux gens de ne pas pirater sa voiture.

Continuez à lire PCMag pour les dernières nouvelles de Black Hat.

Inscrivez-vous à SecurityWatchnewsletter pour nos meilleures histoires de confidentialité et de sécurité livrées directement dans votre boîte de réception.

Cette newsletter peut contenir des publicités, des offres ou des liens d'affiliation. L'inscription à une newsletter indique votre consentement à nos conditions d'utilisation et à notre politique de confidentialité. Vous pouvez vous désabonner des newsletters à tout moment.

Votre abonnement a été confirmé. Gardez un œil sur votre boîte de réception !