Guide de test de sécurité des véhicules connectés automobiles
// Résumé exécutif
Les véhicules modernes contiennent plus de 100 millions de lignes de code réparties sur des dizaines d'unités de commande électroniques (ECU) connectées à Internet via des unités télématiques, des applications mobiles et des communications V2X. Le règlement ONU 155 (UN R155), rendu obligatoire dans l'UE, au Japon et en Corée, exige que les équipementiers mettent en œuvre des systèmes de gestion de la cybersécurité (CSMS) tout au long du cycle de vie du véhicule. ISO/SAE 21434 fournit la norme d'ingénierie pour la cybersécurité automobile. KENSAI aide les équipementiers automobiles et les fournisseurs de niveau 1 à répondre à ces exigences grâce à une évaluation systématique de la sécurité.
Le ONU R155 et ISO/SAE 21434 Le cadre exige que les organisations automobiles fassent preuve de tests de sécurité et de gestion des vulnérabilités systématiques. La conformité n’est pas facultative : les régulateurs et les auditeurs attendent des preuves documentées d’une évaluation continue de la sécurité.
Contrôles de sécurité UN R155 et ISO/SAE 21434
- Système de gestion de la cybersécurité (CSMS) R155 de l'ONU
- Ingénierie de la cybersécurité ISO/SAE 21434
- Sécurité des mises à jour télématiques et OTA
- Sécurité des applications mobiles et des API backend
- Évaluation de la sécurité des communications V2X
- Examen de la nomenclature du logiciel fournisseur (SBOM)
Comprendre votre paysage de menaces est essentiel pour une évaluation efficace des vulnérabilités UN R155 et ISO/SAE 21434. Les entreprises du secteur automobile sont la cible d’adversaires sophistiqués qui exploitent les faiblesses spécifiques à leur secteur.
Vecteurs de menaces prioritaires
- Contrôle à distance du véhicule via un compromis entre l'unité télématique — Un vecteur de menace critique nécessitant une détection et une correction immédiates pour les organisations automobiles.
- Exploitation du mécanisme de mise à jour OTA — Un vecteur de menace critique nécessitant une détection et une correction immédiates pour les organisations automobiles.
- Vulnérabilités de l'API des applications mobiles permettant le piratage de compte — Un vecteur de menace critique nécessitant une détection et une correction immédiates pour les organisations automobiles.
- Injection de bus CAN via des calculateurs compromis — Un vecteur de menace critique nécessitant une détection et une correction immédiates pour les organisations automobiles.
- Usurpation du GPS affectant les services de navigation et de localisation — Un vecteur de menace critique nécessitant une détection et une correction immédiates pour les organisations automobiles.
La plateforme basée sur l'IA de KENSAI rationalise l'évaluation des vulnérabilités UN R155 et ISO/SAE 21434 pour les organisations automobiles, transformant des semaines de travail manuel en heures de couverture automatisée avec des rapports prêts à être audités.
Tests de sécurité des API automobiles
Évaluez les API back-end et les plates-formes télématiques des véhicules pour détecter les 10 principales vulnérabilités de l'API OWASP et les menaces spécifiques à l'automobile.
Évaluation de la sécurité des applications mobiles
Tests de sécurité des applications mobiles complémentaires qui contrôlent les fonctions du véhicule et accèdent aux données sensibles du propriétaire.
Validation de la sécurité OTA
Évaluez les mécanismes de mise à jour en direct pour détecter les vulnérabilités qui pourraient permettre l'installation de micrologiciels malveillants.
Ensemble de preuves R155 de l'ONU
Générez des documents de preuve CSMS UN R155 pour la soumission de l'approbation de type aux autorités automobiles.
Processus d’évaluation recommandé
- Cartographier la surface d'attaque des véhicules connectés : télématique, applications mobiles, API backend, OTA, interfaces V2X
- Identifier les systèmes et flux de données critiques liés à la sécurité nécessitant une évaluation prioritaire
- Exécutez le scanner de vulnérabilités Web/API de KENSAI sur l'infrastructure backend automobile
- Effectuer une évaluation de la sécurité des applications mobiles pour les applications compagnons iOS et Android
- Générer la documentation de conformité UN R155 et ISO/SAE 21434 pour l'approbation de type
- Mettre en œuvre une surveillance continue du cloud automobile et de l'infrastructure API
Qu’est-ce que le R155 de l’ONU et qui doit s’y conformer ?
Le règlement ONU 155 exige que les équipementiers automobiles mettent en œuvre et maintiennent des systèmes de gestion de la cybersécurité (CSMS) pour les véhicules vendus dans l'UE, au Japon, en Corée et sur d'autres marchés. Il couvre l’ensemble du cycle de vie du véhicule, depuis sa conception jusqu’à sa mise hors service.
Qu'est-ce que la norme ISO/SAE 21434 ?
ISO/SAE 21434 est la norme internationale pour l'ingénierie de la cybersécurité automobile. Il définit les processus d'analyse des menaces et d'évaluation des risques (TARA), de développement de concepts de cybersécurité et de validation de la cybersécurité tout au long du cycle de vie du développement des véhicules.
Quels sont les vecteurs d’attaque les plus courants pour les véhicules connectés ?
Les vulnérabilités de l’API backend et des unités télématiques sont les plus couramment exploitées. Les applications mobiles compagnons ont souvent une sécurité plus faible que le véhicule lui-même. Les mécanismes de mise à jour OTA représentent des vecteurs d’attaque à fort impact.
Les équipementiers automobiles doivent-ils se conformer à la norme UN R155 ?
Alors que la norme UN R155 s'applique directement aux équipementiers, ces derniers transmettent les exigences aux fournisseurs de niveau 1 par le biais d'accords de chaîne d'approvisionnement. Les fournisseurs fournissant des logiciels ou des composants connectés doivent généralement démontrer leur conformité en matière de cybersécurité.
KENSAI peut-il évaluer les systèmes embarqués (ECU, bus CAN) ?
KENSAI est spécialisé dans l'évaluation du backend des véhicules connectés : API, plates-formes télématiques, applications mobiles et infrastructure cloud. Les tests matériels de l'ECU et du bus CAN nécessitent des outils matériels de sécurité automobile spécialisés.