Disparaître du réseau de données d'une Hyundai

• Après s'être inquiété du fait que le BlueLink de Hyundai permette le suivi et le contrôle à distance du véhicule, la procédure de retrait complet du module de communication cellulaire d’une Kona EV a été documentée
• Au départ, le propriétaire a refusé l’abonnement BlueLink chez le concessionnaire, puis a débranché le microphone du véhicule afin de bloquer toute possibilité d’envoi des conversations de l’habitacle
• Après avoir démonté l’unité principale audio, il a vérifié puis retiré le modem cellulaire et les câbles de liaison des antennes, tout en conservant Sirius XM qui est en mode réception seulement
• Après suppression du module, le bouton BlueLink est resté inactif, sans affecter les fonctions du véhicule ni l’affichage des données de conduite
• Il en résulte une coupure totale de la connexion au réseau externe, supprimant les risques de surveillance/interférence à distance

---

Contexte du blocage de BlueLink

• La structure consistant à avoir une voiture en connexion permanente au cloud du constructeur pour le contrôle à distance et la transmission de données, comme chez Tesla, est jugée intolérable
• Hyundai BlueLink peut exécuter des commandes à distance avec seulement le VIN, ce qui soulève des inquiétudes en matière de sécurité et de confidentialité
• Même si l’abonnement au service est refusé, la connexion cellulaire reste possible en configuration d’origine, d’où la nécessité d’un blocage physique

1re étape : Désactivation du microphone

• Retrait du microphone de l’équipement d’habitacle
• La fonction d’appel Bluetooth disparaît, mais la possibilité de transmettre les conversations à l’extérieur est supprimée
• Une alternative consistant à injecter du bruit dans le câble du microphone est également évoquée

2e étape : Identification de l’emplacement du modem cellulaire

• En repérant les mentions LTE/CDMA sur le schéma, il a été déduit qu’un modem se trouvait à l’intérieur de l’unité tête audio/vidéo
• Le panneau du tableau de bord et les garnitures ont été démontés pour retirer l’unité principale
• Sur la version SEL, toutes les antennes radio, GPS et cellulaires y sont connectées

3e étape : Retrait du modem

• À l’intérieur de l’unité principale, la carte intégrant un modem cellulaire Continental et un module récepteur Sirius XM a été repérée
• Le modem est probablement basé sur une eSIM et il est probable qu’il utilise le réseau de données de Verizon
• Après débranchement des deux antennes du modem (une loop sharkpin et une située en partie inférieure du tableau de bord), le module a été retiré
• Sirius XM est maintenu ; la connexion au bus P-CAN du véhicule est également préservée

4e étape : Remontage et tests

• Remonté sans le module, le véhicule fonctionne normalement et le bouton BlueLink reste inactif
• Le réglage date/heure avait été perturbé temporairement, mais a été corrigé par un reset
• Sirius XM n’est utilisé que pendant la période gratuite, puis il sera résilié

Comparaison avec Tesla et rappel du droit à la confidentialité

• Tesla est conçue pour que la voiture doive rester connectée en permanence au cloud Tesla
• Cette transmission de données imposée peut facilement devenir une violation de la vie privée, faute de contrôle côté utilisateur
• Chaque utilisateur a le droit d’être protégé contre le partage de données non désiré

Résultats

• Le chemin de communication cellulaire du véhicule a été supprimé intégralement, aboutissant à une situation d’impossibilité de surveillance ou de contrôle à distance
• L’affichage des données de conduite et autres fonctions clés du véhicule ne sont pas affectés
• La coupure matérielle permet d’assurer une protection durable de la sécurité et de la confidentialité
• Lors de l’achat ou de l’utilisation d’un véhicule, demander la déconnexion du réseau de données puis l’exécuter soi-même est essentiel pour garantir la confidentialité

[GN⁺]

Avis de Hacker News

• Je pense qu’une intervention juridique et réglementaire est indispensable. Quand j’ai acheté l’Ioniq, il n’y a pas eu de procédure d’acceptation pour le partage de données ; j’ai simplement reçu un reçu. À chaque mise à jour importante, un énorme bloc de CGU (conditions générales) s’affiche à l’écran, et personne ne lit tout. Les seules options sont « Accepter » ou fermer puis le revoir le lendemain. Forcer les gens à accepter des conditions de cette manière ne peut pas être légal, à mon sens.
  • Je pense que les juges devraient maintenant avoir le courage d’écarter ce type de « consentement » unilatéral. Les constructeurs sont trop avantagés par rapport aux consommateurs et les clauses sont d’un seul côté. Les utilisateurs n’ont pratiquement pas de choix, donc ces cas devraient être jugés manifestement abusifs ; les tribunaux devraient les rejeter et sanctionner financièrement les entreprises qui imposent ces pratiques.
  • C’est l’une des raisons pour lesquelles je n’ai pas sérieusement envisagé Tesla. Je comprends que les véhicules intègrent de plus en plus de technologie et que des mises à jour deviennent nécessaires, mais j’ai l’impression qu’on vend de plus en plus de voitures comme des “smartphones sur roues”, avant qu’elles soient vraiment prêtes.
  • J’ai récemment vu une situation similaire avec un proche qui venait d’acheter un Lexus : l’application mobile est devenue obligatoire pour la maintenance du véhicule et les réglages avancés. J’ai compris qu’il fallait cette application quand, en connectant Google Maps à Android Auto, l’interface se bloque quelques minutes plus tard et affiche une notification demandant d’installer l’appli Lexus. Sans la suivre, impossible d’utiliser correctement le tout.
  • Obtenir un consentement aux CGU après l’achat n’est selon moi pas légal dans l’UE. Pourtant, les pop-ups reviennent en permanence et tout le monde les ignore en cliquant ; ce n’est pas légal. Si l’on veut recueillir un consentement, il faut le faire au moment du paiement. Sinon, c’est essentiellement du ransomware.
  • J’avais un temps envisagé l’Ioniq 5 (version N espérée), mais pas dans ce contexte. Avec ma Toyota de 2005 et ma Beetle de 1969 que j’entretiens moi-même depuis longtemps, je n’ai pas ce stress des contrats. Gérer soi-même est même plus agréable.
• J’ai peur qu’un jour ma voiture ICE tombe en panne et que la meilleure option soit une voiture “roues + ordinateur”, dépendante du logiciel. Parmi les nouveaux modèles récents, il n’y a guère rien d’aussi minimaliste que le Slate mini-truck, sans unité centrale et sans navigation.
  • Je suis plutôt optimiste sur le fait que des technologies comme Android Auto et Apple CarPlay vont déplacer vers le smartphone, un appareil compact, les parties complexes et difficiles à maintenir d’une voiture. Pour ceux qui ne les ont jamais essayées : l’écran/la dalle tactile sont fournis par la voiture, mais la navigation, la musique, le carnet d’adresses et le traitement des données sont pris en charge par le téléphone. Selon l’adaptateur/auto, le téléphone n’a pas besoin d’être sorti de la poche ni laissé dans la voiture.
  • Mon inquiétude n’est pas que l’appareil embarqué ne soit pas mis à jour. Le vrai enjeu, c’est que la majorité des voitures Hyundai reste connectée au réseau mobile et envoie en permanence des données au constructeur.
  • Une alternative est de convertir une ICE en EV.
    Wiki ZombieVerter VCU
    Discussion sur la conversion EV sur Hacker News
    Chaîne YouTube EVBMW
  • Même si le moteur tombe en panne un jour, je prévois de le réparer quand même. Il a déjà 200 000 miles au compteur et le moteur seulement 40 000, donc il peut encore rouler longtemps. Si je veux l’expérience d’un “malware”, j’utiliserai des bloqueurs de pub ou je couperai la fonction, mais pas besoin sur ma voiture. C’est pourquoi je ne pense même plus à acheter du neuf.
  • Je pense que le début des années 2010 a été un point de bascule pour l’industrie. Avant, il y avait de bonnes voitures, mais je prévois que les garder en service jusqu’après 2030 deviendra de plus en plus difficile.
• Je sais qu’il existe des cas où retirer l’unité de télématique d’une Hyundai empêche même de démarrer le moteur. Un jour, on ne pourra sans doute plus acheter une voiture sans consentir à la surveillance à distance. Pour quelqu’un comme moi qui vit dans un pays en développement, cela signifie sûrement une hausse de la demande pour le marché de l’occasion et le savoir-faire de réparation des anciens véhicules.
  • Les dispositifs électroniques automobiles sont passionnants. J’ai beaucoup modifié les logiciels de mes voitures, c’était plus simple avant : pas de chiffrement du code, une erreur de checksum n’était pas dramatique. Seul le module principal était chiffré, et avec le PIN de sécurité il était possible de faire ce qu’on voulait. Les attaques par side-channel, via une analyse rapide du jitter de la ligne CAN pour extraire des pins, existaient déjà. Aujourd’hui, les voitures sont beaucoup mieux cryptées : les processeurs de sécurité peuvent même entrer dans un état irréversible en cas de modification non autorisée. Les voitures actuelles sont donc comparables à des PS5 bloquées.
  • J’ai l’impression que ces évolutions se produisent simultanément sur plusieurs fronts. L’ISA de l’UE en est une facette : d’abord affichage, puis alerte, et puis finalement contrôle réel. J’ai déjà vécu une voiture freiner brusquement en voyant un panneau 30 km/h sur la voie parallèle, donc je conseille fortement d’éviter ce type de système. Bientôt, il n’y aura peut-être plus d’alternative viable.
  • Je pense que l’utilisateur moyen ne se soucie pas vraiment de confidentialité dans l’automobile. Les gens aiment installer des microphones chez eux, coller des traqueurs partout et adopter ces comportements comme une tendance. Tant que la confidentialité ne devient pas la norme, le grand public ne suivra pas. La réponse, c’est une régulation forte, une protection renforcée et une sécurité accrue. Vouloir résister à cette tendance est une mauvaise bataille.
  • Quand j’ai essayé d’enlever l’unité OnStar sur un Chevy Volt il y a un moment, j’ai entendu les mêmes récits. Quand on retire l’unité, le véhicule se met à mal se comporter, et j’ai fini par abandonner. Une fois, avec une légère baisse de tension de la batterie 12V, Chevy est passée en mode économie d’énergie, a coupé plusieurs systèmes et a inondé l’écran de messages d’erreur. C’est peut-être pour ça que le pickup des années 80 me paraît encore plus précieux. Le propriétaire précédent n’avait même pas relié la masse de la pompe à carburant, et la voiture roulait quand même.
  • Avec OnStar, c’est justement parce que le module coupe l’anneau MOST. Si on le by-passe, le circuit de la boucle reste connecté ; le code DTC peut rester, mais la plupart des fonctions fonctionnent quand même.
• La durée courte du support logiciel n’est pas une erreur, mais la stratégie de l’entreprise. C’est le modèle “ventes de smartphone” appliqué aux voitures à 50 000 dollars : te faire ressentir rapidement une obsolescence pour pousser au renouvellement.
  • C’est un problème industriel global. Pour satisfaire la réglementation fédérale, on conçoit de nouvelles transmissions ; la plupart sont des versions améliorées de conceptions antérieures, donc assez fiables. Mais si elles durent trop, certaines pièces (comme le corps de valve) seraient délibérément fragilisées, faisant surchauffer l’ensemble et casser plus tôt pour encourager le remplacement par une voiture neuve plutôt que la réparation. Si l’on achète du neuf, il faut absolument vérifier les “car model year reliability upgrade” pour tenir plus de cinq ans.
  • Ma Hyundai de cinq ans seulement a déjà eu deux remplacements de moteur et trois de convertisseur catalytique. C’est vraiment plausible.
  • C’est de l’obsolescence programmée.
  • Avec ma Corolla achetée il y a dix ans, puis mon Highlander ancien aujourd’hui, j’estime qu’une voiture doit pouvoir fonctionner au moins dix ans, voire davantage, sans soucis. Si elle casse à 5 ans, j’aurais envie de consulter un avocat. Je n’avais jamais eu ce réflexe, mais ce n’est pas acceptable pour moi. Je ne rachèterai pas cette marque. J’entends souvent dire que les nouvelles voitures s’entassent en stocks. Entre escroqueries auto, immobilier, etc., le marché pourrait connaître une déflation marquée. Les banques ne pourront sûrement pas continuer à soutenir ça avec du crédit.
  • À l’avenir, il pourrait même arriver à l’absurde comme des expirations de certificats.
• Il faudrait un dispositif gouvernemental avec un bug bounty de 1 million de dollars, et qu’en cas de piratage à distance du micro d’un véhicule, l’entreprise supporte une amende de 100 millions.
  • Avec une intervention gouvernementale, la police se retrouverait à avoir un accès direct au micro du véhicule.
  • Avec ce type de politique, il est plus probable que les constructeurs retirent carrément le micro plutôt que de le rendre sûr.
  • Le gouvernement n’est pas une structure favorable à la confidentialité.
  • Aujourd’hui, c’est plutôt l’inverse. En signalant de manière responsable les vulnérabilités d’un véhicule, on peut vite tomber sous un ordre de silence ou sous pression juridique. (Les informations sont largement disponibles en ligne.)
  • Hyundai et d’autres constructeurs paient déjà ce niveau d’amendes tous les quelques années, mais les problèmes restent récurrents.
• En cherchant ce qu’était le “yuppie button”, j’ai découvert que c’était une sorte d’idée “fun” qui allume en une fois tous les feux arrière. Contrairement à mes craintes, cela est intégralement certifié DOT et je pense que c’est plutôt une fonction de sécurité. L’intérêt de l’auteur est orienté vers la sécurité routière. Plus de détails sur la page techno-fandom.
  • En lisant la page techno-fandom, j’ai trouvé une approche assez rationnelle et prudente. Je pense que c’est une alternative réaliste pour prévenir des comportements dangereux du véhicule derrière.
  • Le lien “wave damping” dans cet article était vraiment intéressant. Il n’explique pas seulement certaines causes de congestion, il montre aussi des moyens de prévenir ou réduire les bouchons en changeant ses habitudes de conduite. (Article “wave damping” : traffic1.html)
  • Ce n’est pas mauvais, mais ce n’est pas une idée révolutionnaire. Les feux arrière servent à plus qu’à attirer l’attention : ce sont aussi un moyen de communication essentiel. Allumer toutes les lumières en même temps donne un signal moins riche et peut semer la confusion chez d’autres conducteurs.
  • L’idée de l’auteur de dire qu’on ne peut pas marquer les conducteurs dépendants du téléphone et de la culture TV sans communication instantanée m’a marqué, même si le ton est assez lourd.
• Je voudrais supprimer les fonctions réseau superflues ajoutées par le constructeur, mais on vit déjà dans un monde où la surveillance est omniprésente via base-stations mobiles, caméras Flock, caméras LPR (lecture de plaques), véhicules des forces de l’ordre. Le plus important reste de ne pas la rendre trop facile.
  • Avec des services comme deflock.me on peut combattre de façon prudente. Moi, je laisse généralement le téléphone en mode avion. Pour les ALPR privées, il n’existe pas vraiment de méthode efficace, mais chaque fois qu’on agit un peu, on fait au moins un petit effort.
• Certaines discussions évoquent le système eCall européen (obligatoire sur les voitures neuves en Europe, envoi automatique de la position en cas d’accident). Pour les Américains, couper le micro est sans doute acceptable, mais en Europe il faut être prudent.
  • Ce système n’est obligatoire qu’au moment de l’installation ; je pense qu’une fois en usage, le modifier ne pose pas de risque direct pour la sécurité. Ma voiture n’a pas de modem et ça n’a pas posé de problème en Europe.
  • Comme c’est obligatoire en fabrication, il y a encore beaucoup de voitures plus anciennes sur la route.
  • L’eCall envoie seulement la position GPS après un accident ; le micro n’est pas obligatoire.
• J’avais un temps fait attention à ces questions, mais à présent je laisse ça de côté. Ma vie est tellement plus simple.