Le Mouse-jacking, fléau silencieux

• L’automobile à l’épreuve des cyber-voleurs
• L’intrusion, une simple formalité
• L’antidémarrage en échec
• Le Mouse-jacking, fléau silencieux
• L’attaque par relais
• Une technique imparable
• Casse-tête juridique
• Pénurie de solutions

Cette pratique, baptisée « mouse-jacking » (vol à la souris) est décrite par Michel Benezra, avocat spécialisé en droit automobile, comme un véritable fléau : « Aujourd’hui, l’immense majorité des vols de véhicules est réalisée avec des méthodes électroniques. Le droit de la reproduction permet au propriétaire d’un véhicule d’en reproduire la clé, mais en revanche, l’utilisation du même matériel pour reproduire une autre clé est bien entendu illégale ». Bien que ces pratiques soient aujourd’hui parfaitement connues et documentées – on ne compte plus le nombre de vidéos Youtube, souvent postées par des boutiques en ligne vendant ces produits, qui offrent des démonstrations de contournement du dispositif d’antidémarrage de véhicules divers – elles continuent de faire l’objet d’une omerta de la part des constructeurs. Volkswagen a récemment obtenu d’un tribunal anglais une injonction visant à empêcher un groupe de chercheurs anglais et néerlandais de présenter, lors de la prochaine conférence Usenix Security, leurs travaux sur les faiblesses de l’algorithme « Megamos » et une méthode « sans fil » permettant de déjouer l’antidémarrage de plusieurs véhicules haut de gamme. L’université Radboud a fait appel de la décision. Pour Aurélien Francillon, « cette démarche est désolante. Volkswagen devrait faire amende honorable au lieu de chercher à « tuer le messager » en muselant les chercheurs. Ce genre d’incident est déjà arrivé par le passé (affaire NXP/Crypto-1) et cela n’a fait que décrédibiliser les industriels. Dans le monde du logiciel, les entreprises offrent des bonus (bounties) pour la découverte de vulnérabilités, ce qui encourage la publication responsable des informations, mais l’industrie automobile a encore beaucoup de chemin à parcourir dans ce domaine. »