Test de pénétration dans l’automobile
test de matériel
Le processus de numérisation en cours n’épargne pas le monde de l’automobile.
Le nombre croissant d’unités de contrôle électronique (UCE) dans l’automobile, ainsi que la mise en réseau accrue des véhicules (C2X), augmentent également le risque d’accès non autorisé et de manipulation des systèmes critiques pour la sécurité.
Grâce à des connaissances plus approfondies, il est toutefois possible d’utiliser les informations transmises par le bus CAN pour manipuler les fonctions les plus diverses du véhicule ou les utiliser à des fins d’extension des fonctions. La mise en réseau approfondie de différents appareils de commande dans le véhicule permet des fonctions d’avant-garde telles que la conduite autonome, les systèmes de régulation de la vitesse ou encore une navigation améliorée.
Une menace claire et présente
Points essentiels du contrôle :
- Test selon la norme ISO/SAE 21434 sur la cybersécurité dans le secteur automobile
- Protocoles de bus
- CAN
- LIN
- Ethernet
- Rétro-ingénierie du bus CAN
- Analyse de paquets
- Fuzzing
- Tester la connexion des bus CAN (bridges)
- Liaison entre l’unité d’infodivertissement et l’unité de contrôle moteur
- Système d’infodivertissement
- Attaques via le système de mise à jour
- Vérification des points faibles connus
- Communication sur les applications mobiles
- Tester les interfaces
- ODB-II
- Bluetooth
- Système Keyless Go
- GPS
- WiFi
- Connexion mobile
- Appareils photo
- Capteurs
- ECU et autres systèmes embarqués
- Vérification des points faibles connus
- Analyse de code
- Brute forcing avec Power-Analysis
- Injection de défauts
- Tests de clés
- Jamming
- Brute-Forcing
- Prévision à terme
- Communication de véhicule à véhicule et de véhicule à infrastructure
Déroulement des tests
Dans le cadre du premier entretien, nous apprenons à mieux vous connaître, vous et votre entreprise. Lors de la deuxième série d’entretiens, nous discutons ensemble de la suite des événements avec tous les décideurs. Il s’agit de déterminer la méthodologie à appliquer pour le test d’intrusion.
Après avoir identifié les vecteurs d’attaque possibles dans le cadre du test d’intrusion et déterminé leur probabilité d’occurrence ainsi que le montant des dommages, nous vous présentons les résultats dans le cadre d’un rapport final.
Celui-ci comprend, outre un Management Summary, une description détaillée des risques inhérents et une Proof of Concept, de sorte que vous puissiez reproduire les points faibles en interne avec vos propres experts informatiques.
Les recommandations d’action détaillées constituent le cœur de la documentation. Elles vous permettent de remédier aux points faibles de manière simple et compréhensible.
Indépendamment d’un débriefing gratuit pour clarifier les questions en suspens ou les incertitudes, nous vous proposons également, sur demande, une confirmation de la réussite d’un test d’intrusion. Vous pouvez l’utiliser comme preuve vis-à-vis de vos clients et partenaires commerciaux.
Le rapport final contient les éléments suivants :
- Données cadre du projet (nom du projet, personne de contact, période de test, portée)
- Résumé de la gestion
- Description de la démarche et des méthodes utilisées
- Résumé et évaluation des vulnérabilités identifiées en termes de criminalité (y compris mention des valeurs CVSS et des entrées CVE) et preuve de concept technique
- Description technique détaillée des vulnérabilités / risques inhérents identifiés
- Recommandation de mesures pour remédier à la vulnérabilité ainsi que liste de toutes les vulnérabilités sous forme de tableau (Excel).
Votre contact
Vous pouvez toujours nous joindre personnellement. Parce que la fidélité du partenaire est bien plus importante pour nous que le succès à court terme.
Philipp Kalweit
Managing Partner
+49 40 285 301 257