Norvège : Ruter examine les risques de cybersécurité dans les bus électriques chinois

Ruter a réalisé un test contrôlé de cybersécurité sur deux bus électriques dans une installation de montagne isolée, visant à évaluer la résilience des systèmes de transports publics face aux menaces numériques potentielles.

Le test « Lion Cage » a révélé des vulnérabilités et a permis à Ruter de mieux comprendre comment renforcer la protection contre le piratage et les accès à distance non autorisés.

Le test, mené à Franzefoss à Sandvika, a impliqué deux véhicules : un bus Yutong récemment livré en provenance de Chine et un modèle vieux de trois ans du constructeur néerlandais VDL. L’objectif était d’examiner les risques potentiels en matière de cybersécurité et de garantir que les futures opérations de bus électriques de Ruter restent sécurisées contre toute activité ou interférence indésirable.

Principales conclusions

Deux scénarios principaux ont été étudiés. La première a évalué si les systèmes de caméras des bus pouvaient être utilisés pour transmettre des images à des fins de renseignement. Les tests ont confirmé que les caméras des deux bus ne sont pas connectées à Internet et ne peuvent donc pas envoyer ou recevoir de données externes.

Le deuxième scénario portait sur la connectivité basée sur le cloud. Le bus Yutong permet au fabricant un accès numérique direct aux mises à jour logicielles et aux diagnostics, y compris les systèmes de gestion de la batterie et de l’alimentation. En théorie, cela signifie que le constructeur pourrait désactiver ou interrompre le bus à distance. Le bus VDL, en revanche, ne dispose pas de capacité de mise à jour à distance et est donc considéré comme moins exposé à de tels risques.

Ruter maintient actuellement le contrôle local en étant capable de déconnecter un bus d’Internet via un seul point d’accès : la carte SIM intégrée. Le retrait de cette carte coupe immédiatement la connectivité, garantissant ainsi que Ruter peut isoler le système si nécessaire.

Bernt Reitan Jenssen, PDG de Ruter, a déclaré :

Après ces tests, Ruter passe de l’inquiétude à la connaissance concrète de la manière dont nous pouvons intégrer des systèmes de sécurité qui nous protègent contre les activités indésirables ou le piratage des systèmes informatiques du bus.

Nous avons également informé les autorités nationales et locales et collaborons pour établir des exigences claires en matière de cybersécurité dans les futurs achats.

Ruter met déjà en œuvre des mesures basées sur les résultats, notamment en introduisant des exigences plus strictes en matière de cybersécurité et d’infrastructure dans les futurs achats. La société étudie également le développement d’une solution de pare-feu pour assurer un contrôle local et empêcher les interférences à distance.

Le test a mis en évidence la rapidité avec laquelle la technologie des bus évolue. Les modèles Yutong et VDL différaient considérablement en termes d’intégration numérique, soulignant que les véhicules plus récents peuvent être plus complexes à sécuriser.

L’approche de Ruter met l’accent sur la gestion proactive des risques de cybersécurité plutôt que sur la limitation des progrès technologiques.

Jenssen a ajouté :

La prochaine génération de bus bénéficiera d’une plus grande intégration technologique entre les systèmes, ce qui rendra plus difficile l’intégration de pare-feu. Nous disposons donc d’une fenêtre de temps technologique pour mettre en œuvre dès maintenant les mesures de sécurité nécessaires. C’est une bonne nouvelle et nous préparons déjà des mesures qui augmenteront considérablement notre résilience.

Les transports publics d’Oslo et d’Akershus devraient avoir accès à la meilleure technologie – et à la meilleure sécurité. Ruter identifie le risque avant qu’il ne devienne une menace et intègre la protection appropriée, plutôt que d’exclure la technologie en raison de la peur.

Résumé des résultats

• Le bus VDL n’a pas de fonction de mise à jour à distance et est considéré comme moins vulnérable
• Le bus Yutong comprend une capacité de mise à jour à distance, donnant au fabricant un accès numérique aux systèmes de contrôle
• Les vulnérabilités identifiées dans la plateforme de mise à jour ont déjà été corrigées
• Les systèmes de bus restent relativement simples, permettant à Ruter de les isoler rapidement et de retarder les signaux de mise à jour en cas de besoin.

Le test a été réalisé avec le soutien de Tor Indstøy, vice-président de la gestion des risques et des renseignements sur les menaces du groupe Telenor, et d’Arild Tjomsland, conseiller spécial à l’Université de Norvège du Sud-Est.

Produits et services