Des hackers néerlandais piratent des feux de circulation
Dans des films comme Die Hard 4 et The Italian Job, le détournement de feux de circulation sur Internet semble facile. Mais le piratage réel des feux de circulation, démontré par des chercheurs en sécurité l’année dernière, s’est avéré plus laborieux, nécessitant que quelqu’un se trouve à portée radio de l’appareil.
Maintenant, une paire de chercheurs néerlandais a montré comment les pirates peuvent réellement manipuler les données de trafic pour se connecter facilement à un feu de circulation depuis n’importe où dans le monde, mais heureusement pas dans le style hollywoodien qui pourrait provoquer des affrontements massifs.
Lors de la conférence sur les hackers Defcon de jeudi, les chercheurs néerlandais en sécurité Rick van Duijn et Wesley Nielen présenteront leurs découvertes sur les vulnérabilités d’un système de "transport intelligent" qui leur permettrait d’influencer les feux de circulation sur Internet dans au moins 10 villes différentes des Pays-Bas. Leur pirate pourrait créer des vélos inexistants s’approchant ostensiblement d’une intersection en incitant le système de circulation à donner à ces vélos un feu vert et en montrant un feu rouge à tout autre véhicule tentant de traverser la route dans une direction perpendiculaire. Ils avertissent que leur technique simple pourrait potentiellement être utilisée pour ennuyer les conducteurs qui attendent à une intersection vide. Ou, si les systèmes de transport intelligents sont mis en œuvre à une échelle beaucoup plus grande,
« Nous avons réussi à faire en sorte que le système voie un cycliste à une intersection qui n’existe pas réellement, et nous pouvions le faire de n’importe où », explique Nilen. "Nous pourrions faire le même tour à plusieurs feux de circulation en même temps dans le confort de notre maison, ce qui nous permettrait d’interrompre la circulation dans la ville."
Nielen et van Duijn, co-fondateurs de la société de recherche appliquée sur la sécurité Zolder, se disent curieux plus tôt cette année au sujet d’une collection d’applications pour smartphones annoncées aux résidents des Pays-Bas qui affirmaient que lorsque l’application était activée, les cyclistes recevaient plus de feu vert. Aux Pays-Bas, les villes ont intégré des feux de circulation avec des applications comme Schwung et CrossCycle, qui indiquent l’emplacement du conducteur et, lorsque cela est possible, allument les feux au vert à l’approche d’une intersection.
Mais étant donné que les informations de localisation du cycliste proviennent de son smartphone, les deux chercheurs se sont immédiatement demandé s’ils pouvaient trafiquer les données pour causer des dommages.
« Nous avons simplement été surpris que la saisie des utilisateurs soit autorisée dans les systèmes qui contrôlent les feux de circulation », déclare Neelen. «Je pensais que je pouvais faire semblant d’une manière ou d’une autre. J’étais vraiment curieux de savoir comment ils empêchent cela.
Il s’avère que certaines applications n’interféraient pas du tout avec cela. Neelen et van Duijin ont découvert qu’ils pouvaient faire de l’ingénierie inverse sur l’une des applications Android. Ils n’ont pas précisé quelles applications ils testaient, car les problèmes qu’ils ont détectés n’avaient pas encore été résolus. De fausses données envoyées depuis l’ordinateur portable d’un pirate pourraient indiquer à un feu rouge qu’un cycliste avec un smartphone se trouve à n’importe quel endroit choisi par les pirates sur le GPS.
Initialement, l’application, dont les données ont été usurpées par Neelen et van Duijn, ne fonctionnait que pour affecter quelques feux de circulation dans la ville néerlandaise de Tilburg. Les vidéos ci-dessous montrent le changement de couleur de la lumière du rouge au vert sur commande, mais avec un retard dans la première démo. (Le vélo n’a pas toujours la priorité immédiate)
Plus tard, Nielen et van Duijn ont découvert la même vulnérabilité d’usurpation d’identité dans une autre application similaire avec une implémentation beaucoup plus large – ils disent qu’elle a été déployée à des centaines de feux de circulation dans 10 villes néerlandaises, bien qu’ils ne l’aient testée que dans la ville de Dordrecht, dans l’ouest des Pays-Bas.
Le piratage des feux de circulation n’est pas nouveau, même si c’est rarement aussi facile. Neelen et van Duijn disent qu’ils ont maintenant alerté les développeurs des deux applications, qu’ils ont trouvées vulnérables à leur usurpation d’identité.
Mais même lorsque les vulnérabilités qu’ils ont trouvées ont été corrigées, ils disent que leurs recherches devraient servir d’avertissement sur les risques plus larges des infrastructures de transport intelligentes, car ces systèmes deviennent des éléments clés de l’optimisation du trafic urbain au-delà de la simple convivialité pour les vélos. "Imaginez si vous pouviez créer des centaines de faux camions dans différentes villes. Si le mauvais feu passe au rouge, vous avez un problème et cela entraîne d’énormes retards », explique van Duijn. "Maintenant que nous parlons de construire ces systèmes de transport intelligents, nous devons être absolument sûrs que nous pensons davantage à la sécurité."