Le hacking au service de la cybersécurité

C’est au cours du Forum inter­na­tio­nal de cyber­sé­cu­ri­té qui s’est tenu fin jan­vier à Lille que La Jaune et la Rouge a pu ren­con­trer Gaël Mus­quet, un hacker éthique, qui pro­po­sait pour la pla­te­forme Yes We Hack l’animation du Live Car Hacking du Forum, ou com­ment hacker une voi­ture lamb­da avec du maté­riel lambda.

Pouvez-vous nous présenter votre parcours ?

Je suis hacker éthique pour l’armée de l’Air et pour le moteur de recherche euro­péen Qwant. Je suis né en Gua­de­loupe où j’ai vécu un évé­ne­ment mar­quant dans mon enfance : à l’âge de neuf ans, j’ai été vic­time d’un cyclone. Je suis deve­nu météo­ro­logue et suis venu me for­mer en Europe à la concep­tion de cap­teurs météo­ro­lo­giques. Ma spé­cia­li­té est la concep­tion d’instruments pour l’analyse et le sui­vi de vor­tex des nuages tur­bu­lents : tor­nades et cyclones. Après avoir dû modi­fier, tra­vailler ces cap­teurs embar­qués dans des avions, des bateaux et des voi­tures, j’ai com­men­cé le hacking de voitures.

Comment en êtes-vous arrivé là ?

Quand on suit un phé­no­mène météo­ro­lo­gique, on a besoin de pro­je­ter des cap­teurs, de les cata­pul­ter, on a tou­jours besoin de faire cette mesure. C’est une filière qui n’est pas très noble en France mais qui a acquis ses lettres de noblesse aux États-Unis où des per­sonnes, les hur­ri­cane cha­sers, risquent leur vie pour récol­ter des don­nées qui servent à ali­men­ter des modèles, des pré­dic­tions pour faire face à des évé­ne­ments qui peuvent être cata­clys­miques : les oura­gans Irma et Maria nous l’ont rap­pe­lé en 2017. Notre seul vec­teur de sur­vie est notre capa­ci­té à uti­li­ser des tech­no­lo­gies, aujourd’hui « sur éta­gère », assez puis­santes, au ser­vice de l’alerte des popu­la­tions, ce qui est une de mes res­pon­sa­bi­li­tés pour les JO de 2024 : faire un état des lieux des dis­po­si­tifs à notre dis­po­si­tion pour don­ner l’alerte à des popu­la­tions si elles font face, pen­dant les JO, à une catas­trophe natu­relle majeure, à un évé­ne­ment tech­no­lo­gique comme Lubri­zol ou à une attaque terroriste.

Je suis héber­gé par l’armée de l’Air, sur la base aérienne 105 à Évreux, dans l’escadre aérienne de com­man­de­ment et conduite pro­je­table, avec les 600 sol­dats de l’armée de l’Air qui sont char­gés de l’élongation des moyens numé­riques de l’armée. Je suis un civil mais j’accompagne l’armée sur des enjeux de super­vi­sion aérienne, spa­tiale, mari­time. L’objectif est de four­nir aux sol­dats des dis­po­si­tifs sur éta­gère, des Rasp­ber­ry Pi (nano-ordi­na­teur mono­carte à pro­ces­seur ARM), des Ardui­no (des cartes élec­tro­niques en open source) pour leur mis­sion. Nous avons cocréé un hackers­pace sur la base 105 pour que ces res­sources sur éta­gère soient dis­po­nibles et que les sol­dats soient sur des cycles d’innovation les plus courts pos­sibles et qu’on puisse répondre le plus rapi­de­ment pos­sible à un besoin sur une opération.

Depuis quand l’armée s’est-elle tournée vers le hacking éthique ?

J’y suis arri­vé fin 2016 après avoir été repé­ré sur un évé­ne­ment autour de l’open data car je suis l’ancien pré­sident fon­da­teur d’OpenStreetMap France. L’armée vou­lait pro­fi­ter de mon expé­rience d’animation com­mu­nau­taire, de ma capa­ci­té à recueillir de la don­née car­to­gra­phique pour être capable de faire du skid­view de manière indé­pen­dante avec des logi­ciels libres. Et aus­si de faire en sorte que les sol­dats puissent pro­fi­ter des cycles d’innovation des civils qui sont beau­coup plus courts et qui per­mettent de répondre à des pro­blé­ma­tiques de guerre asy­mé­trique où mon « jumeau malé­fique » va tout faire pour me désta­bi­li­ser en Opex.

Quelles sont les fragilités des véhicules autonomes vis-à-vis du hacking ?

Le hacker est quelqu’un qui doute, qui ne fait pas confiance au sys­tème. Nous, hackers, ne sommes pas béats devant ces nou­velles tech­no­lo­gies qui visent à rendre les voi­tures auto­nomes. Ce que nous vou­lons, c’est être en capa­ci­té de don­ner notre avis sur les choses avec les­quelles nous ne sommes pas d’accord, sur les choses que nous pen­sons ne pas être assez rési­lientes. Pour Keren Ela­za­ri, une hackeuse israé­lienne, le hacker est le sys­tème immu­ni­taire d’internet. Comme tous ces dis­po­si­tifs sont connec­tés, par exten­sion les hackers deviennent les sys­tèmes immu­ni­taires des villes, des voi­tures, des objets. La cyber­sé­cu­ri­té ne se résume pas au hacking et le hacking ne se résume pas à la cyber­sé­cu­ri­té. Le hacking, c’est aus­si être capable de faire de la R & D, d’améliorer des dis­po­si­tifs en les détour­nant de leurs usages pre­miers, etc. C’est ce que nous avons fait pen­dant ce forum en uti­li­sant un smart­phone pour conduire un véhicule.

Comment avez-vous réussi ?

L’année der­nière, nous étions venus avec une Tes­la modèle X, ce qui se fait de mieux en termes de véhi­cule connec­té et auto­nome. Cette année, nous avons vou­lu faire l’inverse et mon­trer com­ment on rend auto­nome un véhi­cule qui n’est ni connec­té, ni auto­nome. Le véhi­cule pré­sent a juste un régu­la­teur de vitesse. Nous sommes des mil­liers de hackers, de déve­lop­peurs, d’open tes­teurs à uti­li­ser et déve­lop­per une solu­tion qui s’appelle open­pi­lot, déve­lop­pée par la socié­té Comma.ai : 70 modèles de véhi­cule ont pu être hackés, de sept marques d’automobiles (Kia, Acu­ra, Hon­da, Tes­la, Hyun­dai, Sub­aru, Toyo­ta), 20 mil­lions de kilo­mètres rou­lés… Cette accu­mu­la­tion de don­nées per­met de cor­ri­ger les biais des réseaux de neu­rones. Open­pi­lot est une com­mu­nau­té inter­na­tio­nale à laquelle j’appartiens et qui a déve­lop­pé un kit de déve­lop­pe­ment com­mer­cia­li­sé par Comma.ai qui compte sur nous pour por­ter sa solu­tion sur tous les véhi­cules. Dans la phi­lo­so­phie du logi­ciel libre, nous avons répar­ti la charge de la contri­bu­tion sur des mil­liers de contri­bu­teurs qui apportent tous leur sen­si­bi­li­té sur le véhi­cule auto­nome. Je suis gua­de­lou­péen, j’ai une sen­si­bi­li­té très ultra­ma­rine du véhi­cule auto­nome donc ce véhi­cule par­ti­ra aux Antilles pour que les véhi­cules ne roulent pas qu’en Europe et ne répondent pas uni­que­ment aux sen­si­bi­li­tés des villes européennes. 

Est-il facile aujourd’hui de hacker un véhicule lambda, une voiture, un train ou un avion ?

Para­doxa­le­ment, le plus dur c’est d’avoir la voi­ture pour ten­ter de la hacker ! Les construc­teurs d’automobiles fran­çais font preuve d’une grande fri­lo­si­té. C’est un milieu très fer­mé, qui n’arrive pas à mettre en place une démarche de R & D auprès de hackers, d’open tes­teurs. Ma pré­sence à ce forum est aus­si un moyen pour moi de tirer la son­nette d’alarme. On ne peut pas pas­ser à côté d’un logi­ciel libre comme open­pi­lot quand on est un pays à forte indus­trie auto­mo­bile. Ce sont des emplois, des vies qui sont en jeu. L’autonomie des véhi­cules n’est pas un jeu, un gad­get, c’est un enjeu de sécu­ri­té rou­tière. Les véhi­cules aujourd’hui sont de plus en plus sûrs. Mais on ne peut pas lais­ser aux seuls équi­pe­men­tiers et construc­teurs d’automobiles le soin de défi­nir ce qu’est et ce que sera le véhi­cule autonome. 

Que proposez-vous ?

Je pro­pose l’utilisation des méthodes tra­di­tion­nelles du web, c’est-à-dire des logi­ciels libres, le res­pect des pro­to­coles, des stan­dards : le W3C (World Wide Web Consor­tium) a défi­ni ce qu’est une API, ce qu’est le web dans une voi­ture. Il est pré­fé­rable d’utiliser ces pri­mi­tive stan­dards. La Fon­da­tion Linux a créé Auto­mo­tive Grade Linux, un consor­tium d’industriels qui contri­bue à l’introduction de logi­ciels libres dans les véhi­cules. Il faut que la France, l’Europe soient au ren­dez-vous. On ne peut pas se conten­ter de cri­ti­quer des empires qui placent leurs fleu­rons comme la 5 G sur nos ter­ri­toires sans finan­cer les entre­prises qui en Europe innovent sur le sujet. La start-up lorien­taise IoT.bzh par exemple est pri­mo-contri­bu­trice à AGL. Nous avons aujourd’hui en France des ingé­nieurs, des déve­lop­peurs qui contri­buent au noyau Linux pour la Fon­da­tion Linux. Le pro­jet Kuk­sa – une pla­te­forme d’API dédiée aux véhi­cules – est por­té par la Fon­da­tion Eclipse qui est à la pointe du logi­ciel libre pour les objets connec­tés. Et pour­tant, un construc­teur fran­çais a mis dans les mains de Google le sys­tème d’information et de diver­tis­se­ment de l’ensemble de ses véhi­cules, alors que Toyo­ta et Sub­aru ont choi­si la Fon­da­tion Linux et la Fon­da­tion Eclipse. 

En quoi l’open data est-elle une garantie de sécurité ?

L’obscurité n’a jamais été garante de la sécu­ri­té. En revanche, le noyau Linux a appor­té énor­mé­ment de sécu­ri­té et de pro­duc­ti­vi­té aux entre­prises dans le monde. Aujourd’hui, tous les ser­veurs tra­vaillent sur ces sys­tèmes d’exploitation Linux. De grands indus­triels comme Apple uti­lisent des BSD (Ber­ke­ley Soft­ware Dis­tri­bu­tion) Mac OS X, iOS qui sont mas­si­ve­ment moto­ri­sés par des logi­ciels libres. Google uti­lise mas­si­ve­ment le noyau Linux pour moto­ri­ser ses ser­veurs, son moteur de recherche et son sys­tème d’exploitation mobile. Ama­zon uti­lise le noyau Linux pour des ser­vices comme Elas­tic Com­pute Cloud qui per­met d’adapter la charge. Où est la recon­nais­sance euro­péenne et fran­çaise envers des fleu­rons comme Gan­di, OVH, Sca­le­way ou Free qui ont toute leur place dans l’industrie mon­diale ? Il ne faut pas qu’on rate le virage numé­rique dans les véhi­cules. Les acteurs en sont les équi­pe­men­tiers, les construc­teurs, mais aus­si les TPE, les PME, les com­mu­nau­tés de pas­sion­nés, les tuners… On les oublie sou­vent car le tuning n’est pas très bien vu mais ce sont les tuners qui m’ont for­mé, qui m’ont appor­té leurs connais­sances, leur culture et leur amour des véhi­cules. On ne peut pas mettre de côté cette culture scien­ti­fique tech­nique popu­laire, cette trans­mis­sion de savoirs. Je suis père de deux enfants et, lorsque je les conduis à l’école à l’intérieur d’une voi­ture hackée, vous n’imaginez pas le nombre de voca­tions que ça sus­cite chez des enfants dans mon quar­tier. Pour eux, je conduis la voi­ture de Bat­man, je suis le Bruce Wayne antillais. Ils se mettent à rêver de deve­nir méca­ni­cien, plu­tôt que de l’envisager uni­que­ment comme une voie de garage en cas d’échec sco­laire. L’enjeu n’est pas que tech­nique et tech­no­lo­gique mais aus­si social et socié­tal. Nous devons arri­ver à faire rêver des étu­diants sur ces filières où nos indus­triels et nos entre­prises ont du mal à recru­ter, alors que Tes­la fait rêver et recrute.

“Si on veut être compétitif et viser la sécurité,
il faut utiliser des solutions utilisées par le plus grand nombre.”

Pouvez-vous nous donner des exemples de faille de véhicules ?

La faille la plus cou­rante aujourd’hui, c’est le brouillage de clés de voi­tures. C’est l’attaque la plus simple à effec­tuer, avec des outils qu’on peut télé­char­ger sur inter­net. Le signal de la clé va être brouillé, la voi­ture ne va pas se fer­mer, l’accès phy­sique à la voi­ture va être pos­sible et on peut démar­rer la voi­ture sans contact en repro­gram­mant une nou­velle clé. De nou­velles attaques appa­raissent comme les attaques relais : un com­plice va être au plus près de la vic­time qui conserve sa clé sans contact dans sa poche, on va dupli­quer, relayer le signal de la clé au plus près du véhi­cule pour leur­rer le véhi­cule qui va croire que la clé est à proxi­mi­té alors que le com­plice a juste une radio logi­cielle à proxi­mi­té qui va déclen­cher l’ouverture et le démar­rage du moteur. Une autre faille très simple à exploi­ter réside dans les valves des pneus. Le légis­la­teur euro­péen a impo­sé aux construc­teurs un sys­tème de sui­vi des pneus. Les construc­teurs ont majo­ri­tai­re­ment ins­tal­lé des valves radio qui ne sont pas chif­frées et cir­culent en clair. Pen­dant le FIC, j’ai enre­gis­tré les numé­ros de série, les pres­sions et les tem­pé­ra­tures des pneus de tous les véhi­cules qui étaient à proxi­mi­té du Grand Palais (à Lille). J’aurais très bien pu réin­jec­ter des don­nées modi­fiées : des tem­pé­ra­tures très éle­vées, des pres­sions très basses et déclen­cher une faille du sys­tème pneu­ma­tique de la voi­ture qui va indi­quer de manière erro­née au conduc­teur que son pneu est défec­tueux. Ima­gi­nez cette attaque sur un convoi, sur un véhi­cule d’autorité dont les iden­ti­fiants tran­sitent en clair. Notre métier de hacker est d’anticiper des scé­na­rios. Il n’y a pas si long­temps, la mafia fai­sait sau­ter des ouvrages d’art entiers pour assas­si­ner des juges à Palerme. Aujourd’hui, on a besoin de beau­coup moins de maté­riel et de pré­sence humaine pour déclen­cher une charge explo­sive ou une attaque élec­tro­nique au pas­sage d’un convoi. Le même enjeu existe pour nos sol­dats. Est-ce que les véhi­cules de leurs convois sont équi­pés de valves radio qui « parlent » trop et qui empêchent tout effet de sur­prise d’une Opex ? Com­ment évi­ter que leur pré­sence soit détec­tée à plu­sieurs dizaines de kilo­mètres ? Tous ces enjeux doivent être pris en compte. L’objectif est aus­si d’éviter ce qui arrive à Boeing avec le 737 MAX, de ne pas attendre les catas­trophes pour agir et d’être capables d’anticiper le rap­pel mas­sif de véhi­cules ou d’engins à cause d’une vul­né­ra­bi­li­té sur un sys­tème ou un sous-sys­tème de véhi­cule, ce qui a un prix exor­bi­tant pour les constructeurs.

La solution, c’est donc la transparence et l’ouverture ?

On peut com­prendre le secret indus­triel pour faire face à la concur­rence. En revanche, dans la par­tie numé­rique du web, on constate que la majo­ri­té des construc­teurs et des équi­pe­men­tiers uti­lisent tous des logi­ciels libres et des pro­to­coles. L’IP a été docu­men­té et c’est un pro­to­cole sur lequel on ne paye pas de bre­vet. Si on veut être com­pé­ti­tif et viser la sécu­ri­té, il faut uti­li­ser des solu­tions uti­li­sées par le plus grand nombre, qui ont été cor­rec­te­ment audi­tées et qui per­mettent éga­le­ment de rendre inter­opé­rables les véhi­cules. C’est une des condi­tions pour qu’on ait une indus­trie saine et un cir­cuit de l’innovation sain. Ce que l’on recom­mande, c’est de pri­vi­lé­gier autant que pos­sible l’utilisation de solu­tions et de logi­ciels libres, d’avoir des com­mu­nau­tés de logi­ciels libres avec les­quelles on va dis­cu­ter pour pou­voir codé­ve­lop­per plu­sieurs dis­po­si­tifs, sans mettre à mal le secret indus­triel des équipementiers.

Avez-vous un message à passer aux X ?

On reproche sou­vent aux élèves des grandes écoles d’être décon­nec­tés de la réa­li­té du ter­rain. Or le ter­rain ne ment pas. Quand je les ren­contre lors de leur stage sur la base aérienne, je les emmène avec moi sur le ter­rain. On a beau avoir une tête bien faite, elle doit se confron­ter à la réa­li­té du ter­rain et des élé­ments natu­rels. Nous devons faire face aujourd’hui à de nom­breuses pro­blé­ma­tiques de tran­si­tion éco­lo­gique, de tran­si­tion éner­gé­tique, donc nous avons besoin de vos cer­veaux avec nous tech­ni­ciens sur le ter­rain. Il n’y a pas d’antagonisme entre un ingé­nieur, un poli­tique, un sta­tis­ti­cien et un tech­ni­cien. Alors que je n’ai que le bac, j’interviens régu­liè­re­ment à Poly­tech­nique et dans d’autres écoles et je les encou­rage. C’est la bio­di­ver­si­té des solu­tions, des réflexions, qui fait la rési­lience de notre pays. On pour­rait dire que le pre­mier hacker fran­çais était le poly­tech­ni­cien Gus­tave Fer­rié qui a uti­li­sé pour la pre­mière fois la télé­gra­phie sans fil – la 5 G de l’époque ! – pour réta­blir la télé­com­mu­ni­ca­tion entre la Gua­de­loupe et la Mar­ti­nique, après l’explosion de la mon­tagne Pelée qui avait fait plus de 30 000 morts en 1902. Plus tard il est deve­nu le patron du Bureau des lon­gi­tudes qui a ensuite don­né nais­sance aux constel­la­tions GNSS qui ont per­mis de lan­cer les pre­miers satel­lites. En 2000, j’ai eu mon pre­mier récep­teur GPS, fruit de l’essor du GNSS. On voit la conti­nui­té sur plu­sieurs géné­ra­tions de l’innovation de Gus­tave Fer­rié. Toutes ces tech­no­lo­gies ne naissent pas du jour au len­de­main. Nous avons besoin de cer­veaux mais aus­si de connaître l’histoire. Les inno­va­tions tech­no­lo­giques viennent sou­vent de la néces­si­té de trou­ver des solu­tions face à des catas­trophes natu­relles de grande ampleur. C’est ce dont nous avons besoin aujourd’hui.

A lire aus­si : Com­ment j’ai hacké votre voi­ture, par Gode­froy Galas

---

Articles similaires :

La cyber­me­nace et le trans­port aérien Cyber et sys­tèmes d’information de san­té : le cas du Ser­vice de san­té des armées Cyber et domotique Qu’est-ce le hacking éthique ? Com­ment j’ai hacké votre voiture