"Je ne pouvais pas y croire": un chercheur explique avoir pu pirater des feux de circulation

Andrew Lemon, chercheur en sécurité informatique, a découvert qu'il était possible de modifier "le timing" de certains feux de circulation. Ce qui pourrait occasionner des embouteillages et des accidents.

Une brèche informatique dans un gestionnaire de feux tricolores. C'est l'étonnante découverte d'Andrew Lemon, un chercheur en sécurité informatique. Dans un premier billet de blog, relevé par le site spécialisé Techcrunch, il a souligné que cette vulnérabilité pourrait permettre à des hackers de modifier les feux et de créer des embouteillages.

Après une analyse du contrôleur "Intelight X-1" (qui régit les feux tricolores dont il est question), Andrew Lemon a constaté que l'interface web de l'appareil, notamment déployé aux États-Unis, ne nécessitait aucune authentification, permettant ainsi à quiconque d'en prendre le contrôle total.

"Je ne pouvais pas y croire", a-t-il confié à Techcrunch. "J'étais choqué qu'un paramètre aussi évident puisse passer aussi inaperçu."

Bien qu'il soit impossible de mettre tous les feux au vert simultanément - à cause d'un dispositif de sécurité baptisé Malfunction Management Unit (MMU) - le chercheur explique qu'il est possible de modifier "le timing" des feux de circulation.

Ainsi, "si vous voulez régler la synchronisation des feux à trois minutes dans un sens et trois secondes dans l'autre [...] cela pourrait créer des embouteillages." Environ une trentaine de feux de signalisation seraient exposés à cette faille informatique.

Des appareils "en fin de vie"

Andrew Lemon a tenté de contacter Q-Free, la société américaine qui a conçu le dispositif, pour signaler la faille. En réponse, il a reçu une lettre juridique lui demandant de ne pas publier les détails de la vulnérabilité, invoquant des raisons de sécurité.

Auprès de Techcrunch, Q-Free a déclaré que le contrôleur en question n'était plus en production depuis près d'une décennie, mais a encouragé les clients utilisant encore ces appareils obsolètes à les contacter pour obtenir des conseils.

Au cours de ses recherches, Andrew Lemon a également découvert des vulnérabilités chez d'autres fabricant de gestionnaires de feux tricolores. Notamment la société américaine "Econolite", utilisant un protocole potentiellement vulnérable et baptisé NTCIP.

Comme Q-Free, Econolite a confirmé que les appareils testés par Lemon étaient en fin de vie depuis plusieurs années et a recommandé leur remplacement par des modèles plus récents.

Ces failles de sécurité sont d'autant plus préoccupantes que la technologie V2X (Vehicle-to-Everything) est actuellement en phase de test aux Etats-Unis et au Canada. Appliquée aux feux tricolores, aux voitures, aux cyclistes, et même aux piétons, elle doit permettre l'optimisation du flux de circulation et la réduction de la congestion urbaine. Mais son déploiement pourrait être freiné si des brèches sont observées.

Willem Gay