Le numéro VIN de votre voiture est visible sur le bas du pare-brise et récupérable par n'importe qui qui passe à côté. Et croyez le ou non, mais c'est pourtant sur ce numéro, visible de tous, que repose en partie le modèle de sécurité de myAudi, l'application connectée pour contrôler son véhicule Audi à distance.

Un chercheur qui se présente sous le pseudo Decoder a décidé de regarder ça de plus près. Son setup c'est un émulateur Android Pixel 7, Burp Suite en proxy pour intercepter le trafic réseau ainsi que Frida Server et Objection pour contourner le certificate pinning de l'app. Des outils et du boulot classique de pentest mobile, pas particulièrement sophistiqué donc...

Et ce qu'il a découvert grâce à ça, c'est que n'importe quel utilisateur myAudi peut ajouter le véhicule de quelqu'un d'autre à son compte en entrant simplement le VIN. Le rôle attribué est "GUEST_USER" donc au premier abord, ça peut sembler anodin mais ça donne quels accès, au juste ? Hé bien on va voir ça car c'est pas si simple.

Tout d'abord, l'introspection GraphQL est activée en production sur l'API de myAudi, ce qui revient à laisser un plan d'architecte en libre accès dans le hall d'entrée d'une banque. N'importe qui peut donc cartographier l'intégralité des fonctionnalités exposées.

Plus sérieux et toujours pas patché à l'heure de la publication, via l'API msg.audi.de, un utilisateur avec le rôle GUEST_USER peut aussi récupérer l'IMEI et l'ICCID de la carte SIM embarquée dans le véhicule. Ces identifiants permettent alors potentiellement de tracer la carte SIM sur les réseaux mobiles.

Et là, la faille qui a été corrigée depuis, ce sont celles concernant les "requêtes en attente" d'un véhicule qui étaient lisibles par n'importe quel "invité". Parmi elles, les commandes "honk & flash" (klaxon + appels de phares) qui contenaient la position GPS de la voiture. Du coup, avec juste un VIN, on pouvait savoir physiquement où se trouvait la voiture... Ça rappelle un peu comment les données Strava avaient suffi à localiser le porte-avions Charles-de-Gaulle en pleine mission.

Et derrière tout ça, il y a CARIAD, la filiale "software" du groupe Volkswagen dont j'avais déjà évoqué les difficultés l'an dernier, et qui gère les services numériques pour VW, Audi, Seat et Skoda.

CARIAD a donc patché la faille GPS mais pour le reste, c'est encore "under evaluation". Je rappelle que c'est la même filiale qui, en décembre 2024, avait exposé les données de 800 000 véhicules électriques via une mauvaise configuration AWS, avec des coordonnées GPS précises à 10 centimètres près pour les modèles VW et Seat. Le Chaos Computer Club l'avait découvert, et des politiciens, des chefs d'entreprise et des forces de l'ordre se trouvaient dans le lot des données exposées...

Donc bon, y'a encore un peu de taf pour sécuriser ces voitures un peu trop connectées... En tout cas, l'analyse de Decoder est disponible sur son blog si ça vous dit. De son côté, il précise continuer à creuser l'architecture CARIAD car y'a sûrement d'autres trucs rigolo à trouver.

On verra bien...

Vous vous souvenez quand je vous parlais de Geohot et de sa voiture autonome en 2015 ? Le mec bidouillait une Acura avec des caméras à 13 balles et rêvait de vendre son kit à 1000 balles. Hé bien 10 ans plus tard, c'est fait ! Et si je vous reparle de ça aujourd'hui, c'est parce que sa société comma.ai sort la v0.11 d' openpilot ainsi qu'un nouveau boîtier qui tient dans la main, le Comma 4 !

Les voitures Waymo, celles qui se baladent toutes seules à San Francisco, Phoenix ou Los Angeles... ne seraient pas si autonomes que ça en fait. Hé oui, quand elles sont paumées, ce sont des opérateurs aux Philippines qui leur disent quoi faire.

C'est le chef de la sécurité de Waymo lui-même, Mauricio Peña, qui a lâché le morceau lors d'une audience au Congrès américain le 4 février dernier. Du coup on apprend que ces fameux robotaxis, quand ils bloquent sur une situation (un carrefour bizarre, un chantier, une route pas cartographiée...), envoient une demande d'aide à des opérateurs humains qui pour certains sont basés aux États-Unis et d'autres aux Philippines.

Peña a bien insisté : ces opérateurs "fournissent des indications" mais "ne conduisent pas le véhicule à distance". En gros, c'est de la téléassistance, plutôt que du téléguidage et le robotaxi reste "toujours en charge" de la conduite.

Sauf que le sénateur Ed Markey, lui, voit pas ça du même œil. Selon lui, avoir des gens à l'étranger qui influencent le comportement de milliers de véhicules sur les routes américaines, c'est un sacré problème de (cyber) sécurité. Il parle carrément de "prise de contrôle par des acteurs hostiles" qui pourraient obtenir un accès quasi-total à ces bagnoles.

Hé oui, tout peut arriver dans la vie, Ed !

D'ailleurs y'a eu un accident avec l'un de ces taxis sans conducteur qui a percuté un gamin près d'une école primaire à Santa Monica, il n'y a pas longtemps. Alors est ce que c'était la faute de l'IA qui conduisait ou un opérateur humain à l'autre bout du monde qui s'est assis sur son clavier ? Allez savoir...

Et la filiale d'Alphabet n'est pas la seule dans ce cas car Tesla aussi s'appuie sur des opérateurs à distance pour superviser ses véhicules autonomes.

Perso, ce qui me dérange c'est pas qu'il y ait des humains dans la boucle. En fait c'est normal, la techno n'est pas encore au point. Mais le piège, il est au niveau du marketing. On nous vend de l'"autonome", du "sans conducteur", de la voiture du futur pilotée par l'IA ... alors qu'en fait y'a un call center aux Philippines qui veille au grain.

Et le plus marrant dans tout ça, c'est que les opérateurs doivent avoir un permis de conduire et sont contrôlés sur les infractions routières qu'ils auraient commis de leur côté à titre perso. Il faut des gens irréprochables avec le permis... pour aider une bagnole qui est censée ne pas en avoir besoin (de permis). J'adore ^^.

Voilà, comme je l'expliquais dans mon article sur la conduite autonome , y'a encore BEAUCOUP de chemin à faire avant d'avoir de vrais véhicules sans chauffeur. Et finalement, même les meilleurs comme Waymo "trichent" un peu.

Source