Chercheur Pirate Waymo pour Personnaliser Affichage Taxi Autonome
Imaginez appeler votre taxi autonome Waymo et, en arrivant, découvrir un message étrange et malicieux sur son écran d'affichage. C'est exactement ce qu'a réussi à faire Jane Manchun Wong, une réputée chercheuse en sécurité informatique, en exploitant une vulnérabilité cachée dans l'application Waymo.
Waymo : une faille permet de personnaliser le "dôme" des robotaxis
Basée à San Francisco, Jane Manchun Wong est connue pour dénicher des fonctionnalités inédites et des failles de sécurité dans de nombreuses applications populaires. Sa dernière trouvaille concerne les véhicules autonomes de Waymo, la filiale d'Alphabet spécialisée dans la conduite autonome.
En manipulant l'application Android de Waymo, la chercheuse a découvert une fonctionnalité cachée non publiée qui lui a permis d'afficher des caractères personnalisés, dont son pseudo Twitter et des émojis, sur l'écran LED situé sur le toit des Jaguar I-Pace autonomes de Waymo, appelé le "dôme".
J'ai piraté mon Waymo pour afficher des textes bizarres comme une chaîne vide, "wongmjane", et des émojis comme identifiant du véhicule. S'il vous plaît ne me bannissez pas ou ne corrigez pas ça @waymo lol.
– Jane Manchun Wong, sur Twitter
Une validation des données trop permissive côté serveur
D'après les explications de la chercheuse, cette vulnérabilité proviendrait d'un manque de validation des données envoyées par l'application au serveur de Waymo. Les serveurs n'auraient pas suffisamment vérifié et limité les valeurs possibles pour l'identifiant de véhicule venant d'utilisateurs non-employés.
Mme Wong a souligné qu'elle n'a pas eu besoin de "jailbreaker" ou de pirater le véhicule lui-même. Tout a été fait simplement en modifiant l'application Waymo pour envoyer un identifiant non standard. Une faille relativement "inoffensive" selon elle.
Waymo réagit et corrige rapidement la faille
Quelques jours après la publication de sa découverte sur Twitter, avec un appel à ne pas être bannie, Jane Manchun Wong a indiqué que Waymo avait réagi et corrigé la vulnérabilité. Elle n'était plus en mesure de personnaliser l'identifiant de véhicule.
Un porte-parole de Waymo a confirmé à TechCrunch qu'il s'agissait d'une fonctionnalité expérimentale non publiée à laquelle la chercheuse a pu accéder grâce à ses "connaissances avancées d'Android". L'accès à cette fonctionnalité de personnalisation du dôme a depuis été restreint.
Le dôme LED : un élément clé de communication des Waymo
Le "dôme" est l'écran LED situé sur le toit des véhicules autonomes Jaguar I-Pace de Waymo. Ajouté en 2020, il remplit plusieurs fonctions essentielles :
- Permettre aux passagers d'identifier leur véhicule de jour comme de nuit
- Indiquer aux piétons que le véhicule leur cède le passage
- Avertir les cyclistes qu'un passager s'apprête à ouvrir une portière
- Afficher des messages publicitaires ou informatifs
C'est donc un élément de communication central entre le robotaxi et son environnement, d'où l'importance d'en maîtriser et sécuriser les contenus affichés.
Quid de la sécurité des affichages des véhicules autonomes ?
Si la vulnérabilité exploitée par la chercheuse semble relativement bénigne, elle soulève néanmoins des questions sur la sécurité de ces nouveaux véhicules ultra-connectés. Que se passerait-il si des acteurs malveillants parvenaient à prendre le contrôle de l'affichage pour diffuser de fausses informations, perturber la circulation ou pire ?
Avec le développement des véhicules autonomes et connectés, la cybersécurité automobile devient un enjeu majeur. Chaque nouveau système, capteur ou écran est une surface d'attaque potentielle qu'il convient de protéger avec la plus grande attention.
Le piratage "ludique" opéré par Jane Manchun Wong aura au moins eu le mérite de mettre en lumière ces problématiques et d'inciter Waymo à renforcer la sécurité de son application. Car lorsqu'il s'agit de véhicules autonomes transportant des passagers dans le trafic, la moindre vulnérabilité peut avoir des conséquences dramatiques.
Cette faille corrigée est donc une bonne nouvelle, mais elle nous rappelle que la sécurisation des systèmes informatiques des véhicules autonomes doit être une priorité absolue pour tous les acteurs du secteur. C'est à ce prix que nous pourrons profiter sereinement des promesses de la mobilité autonome de demain.
