{"id":2860,"date":"2018-05-10T10:52:02","date_gmt":"2018-05-10T08:52:02","guid":{"rendered":"https:\/\/news.save.ch\/?p=2860"},"modified":"2023-03-14T09:04:14","modified_gmt":"2023-03-14T08:04:14","slug":"remote-apps-fuer-fahrzeuge-wie-sicher-sind-sie","status":null,"type":"post","link":"https:\/\/news.save.ch\/fr\/remote-apps-fuer-fahrzeuge-wie-sicher-sind-sie\/","title":{"rendered":"Applications \u00e0 distance pour v\u00e9hicules - Sont-elles s\u00fbres ?"},"content":{"rendered":"
\"\"
Les \"applications \u00e0 distance\" pour les v\u00e9hicules sont \u00e0 la mode. Gr\u00e2ce \u00e0 elles, il est possible de lire sur les smartphones et les tablettes de nombreuses donn\u00e9es dites informatives sur le v\u00e9hicule. Mais ces applications permettent \u00e9galement d'acc\u00e9der au v\u00e9hicule \u00e0 des fins de contr\u00f4le. \u00a9 Depositphotos\/prykhodov<\/figcaption><\/figure>\n

De telles fonctions sont certes confortables, mais elles peuvent attirer l'attention des criminels. La s\u00e9curit\u00e9 informatique est donc cruciale. Le TCS et ses clubs partenaires ont donc soumis trois apps distantes (BMW, VW, Renault) \u00e0 un test dit de p\u00e9n\u00e9tration. En principe, les trois apps de BMW, Renault et VW examin\u00e9es sont s\u00fbres et ne pr\u00e9sentent pas de probl\u00e8mes majeurs. Risques<\/a> utilisables dans le futur. N\u00e9anmoins, l'alerte ne peut pas \u00eatre lev\u00e9e compl\u00e8tement et en soi : Les trois applications pr\u00e9sentent diff\u00e9rentes faiblesses qui doivent \u00eatre consid\u00e9r\u00e9es comme un risque moyen et qui peuvent, dans des cas extr\u00eames, conduire \u00e0 un acc\u00e8s \u00e9tranger au compte de l'utilisateur et \u00e0 la commande de toutes les fonctions \u00e0 distance. Les vuln\u00e9rabilit\u00e9s suivantes ont \u00e9t\u00e9 d\u00e9couvertes dans le cadre de l'enqu\u00eate :<\/p>\n

Base de donn\u00e9es non crypt\u00e9e <\/strong><\/p>\n

Renault My Z.E. stocke des donn\u00e9es sensibles dans une base de donn\u00e9es non crypt\u00e9e sur le smartphone. Cela permet aux pirates, dans certaines conditions, de lire des donn\u00e9es telles que le num\u00e9ro d'identification du v\u00e9hicule (FIN) et un code d'activation, avec lesquels le pirate peut enregistrer le v\u00e9hicule \u00e0 son nom.<\/p>\n

Absence de spinning de certificat <\/strong><\/p>\n

De plus, la connexion entre Renault My Z.E. et VW Car-Net et le cloud correspondant peut \u00eatre intercept\u00e9e et modifi\u00e9e dans certaines circonstances. Cela est particuli\u00e8rement facile pour un pirate si certaines fonctions de s\u00e9curit\u00e9 sont d\u00e9sactiv\u00e9es sur l'appareil de l'utilisateur.<\/p>\n

Informations de connexion dans l'URL <\/strong><\/p>\n

L'application BMW Connected communique avec plusieurs points d'acc\u00e8s dans le cloud. Pour que l'utilisateur ne doive se connecter qu'une seule fois \u00e0 l'application, les informations de connexion sont d'abord converties. Malheureusement, une m\u00e9thode non s\u00e9curis\u00e9e a \u00e9t\u00e9 choisie pour la transmission de ces informations d'identification converties, de sorte qu'un compte peut \u00e9ventuellement \u00eatre pris en charge par un pirate ou que des informations sensibles peuvent \u00eatre stock\u00e9es dans les fichiers journaux du fournisseur, o\u00f9 elles peuvent \u00eatre consult\u00e9es par des utilisateurs administratifs.<\/p>\n

Politique de mot de passe faible <\/strong><\/p>\n

En outre, l'application BMW Connected met en \u0153uvre une politique de mot de passe faible. La longueur du mot de passe est limit\u00e9e \u00e0 un minimum de huit caract\u00e8res et limite \u00e9galement la quantit\u00e9 de caract\u00e8res sp\u00e9ciaux. Cela minimise la force possible du mot de passe, ce qui permet \u00e0 un pirate de deviner plus facilement les mots de passe en les essayant (ce que l'on appelle le bruteforcing). Les mots de passe simples comme \"abcd1234\" sont \u00e9galement autoris\u00e9s. BMW bloque toutefois le compte d'utilisateur apr\u00e8s quelques tentatives de connexion infructueuses, jusqu'\u00e0 ce que celui-ci soit d\u00e9bloqu\u00e9 par un lien de messagerie.<\/p>\n

Absence de fin de session <\/strong><\/p>\n

Les trois Apps<\/a> ont en commun le fait qu'apr\u00e8s une d\u00e9connexion, la session ne se termine pas correctement. Ainsi, un utilisateur ne peut pas simplement bloquer un attaquant qui a r\u00e9ussi.<\/p>\n

Conclusion <\/strong><\/p>\n

Dans l'ensemble, les trois apps \u00e9taient utilisables en toute s\u00e9curit\u00e9, mais quelques points faibles se sont tout de m\u00eame manifest\u00e9s. Cela montre clairement que les fabricants doivent continuer \u00e0 travailler sur le th\u00e8me de la s\u00e9curit\u00e9 informatique. Plus les services num\u00e9riques sont riches en fonctionnalit\u00e9s, plus les exigences en mati\u00e8re de structures de s\u00e9curit\u00e9 sont importantes, ce qui devrait \u00e0 l'avenir mettre encore plus l'accent sur le th\u00e8me de la s\u00e9curit\u00e9 informatique.<\/p>\n

Recommandations <\/strong><\/p>\n