Traqueurs de véhicules GPS, sécurité et confidentialité des consommateurs

Une leçon sur l'importance de l'analyse des menaces IoT et des tests de sécurité

Que vous soyez un consommateur ou un propriétaire d'entreprise, la cybersécurité en général et la sécurité des traceurs GPS en particulier deviennent de plus en plus importantes chaque jour. C'est une grande préoccupation. En fait, dans une enquête nationale menée plus tôt cette année, 70 % des consommateurs ont déclaré qu'ils craignaient que leurs données personnelles ne soient divulguées aux mauvaises personnes. Dans le même temps, la plupart des propriétaires de véhicules existants et à venir s'inquiètent du vol de voitures — à juste titre, en raison d'une tendance à la hausse du nombre de voitures et de camions volés au cours de la dernière année (une augmentation de 9.2 % par rapport à l'année précédente, selon le FBI).

Les concessionnaires automobiles transforment ces deux préoccupations en opportunités commerciales en offrant des solutions permettant une récupération rapide des véhicules volés pour les consommateurs, tout en gérant plus efficacement leurs lots avec une meilleure visibilité de leur inventaire et en générant des revenus supplémentaires pour le concessionnaire grâce à la vente de ces appareils. Mais toutes les solutions de récupération de vol n'offrent pas le même niveau de protection en ce qui concerne les données des consommateurs et la confidentialité. 

Tous les traceurs GPS protègent-ils la vie privée des consommateurs ?

Lorsque nous avons étudié les solutions de suivi GPS couramment utilisées dans l'industrie automobile américaine et leurs fonctions de sécurité, nous avons constaté que certaines d'entre elles sont soigneusement conçues pour protéger les appareils et leurs données contre le piratage, tandis que d'autres n'ont que très peu ou pas du tout de protection. Pourquoi est-ce important ? Avec un tracker mal protégé, les voleurs pourraient facilement trouver l'emplacement d'une voiture, leur permettant de découvrir où habite le propriétaire, où ils travaillent et même où leurs enfants vont à l'école. Et les concessionnaires automobiles qui vendent des solutions peu sûres courent le risque de s'attirer les foudres de leurs clients.

Dans un effort pour mieux comprendre certaines des mesures de sécurité courantes qu'une solution de suivi GPS pourrait avoir (ou faire cruellement défaut), nous avons décidé d'examiner en profondeur deux solutions de suivi différentes : l'une était une solution câblée traditionnelle, et l'autre, une solution sans fil de nouvelle génération alimentée par batterie. 

La mauvaise nouvelle : la solution A, le GPS filaire

La solution A est généralement installée par un technicien du concessionnaire qui la connecte à la batterie du véhicule. Lorsque nous avons examiné cette solution, nous avons découvert des résultats choquants. Nous avons pu facilement déterminer le numéro de téléphone que l'appareil utilisait pour communiquer avec le réseau cellulaire. Nous pourrions à partir de là l'obtenir pour nous fournir son emplacement exact simplement en lui envoyant un message texte contenant des phrases de commande que nous avons trouvées publiées sur Internet, qui ont été interprétés comme des instructions. Cela représente en soi une violation de la vie privée des consommateurs et expose les gens à des dangers tels que le harcèlement criminel, le vol et d'autres crimes. Si le système avait été conçu dans un souci de sécurité, nous n'aurions pas dû être en mesure d'obtenir ces informations.

Nous avons également découvert qu'avec d'autres manipulations, il est possible que le tracker envoie un faux emplacement. On pourrait même désactiver complètement le tracker en altérant à distance son logiciel.

Cela signifie que le propriétaire du véhicule et les policiers n'auraient aucun moyen de suivre la voiture en cas de vol. Ou pire encore, les voleurs pourraient envoyer les autorités chercher dans la mauvaise direction.  

Pour les consommateurs utilisant des appareils mal sécurisés, les problèmes associés à ces menaces sont évidents. Si vous êtes un concessionnaire automobile qui vend ces appareils à vos clients, vous risquez de mauvaises relations publiques, une diminution des revenus, une perte de confiance et peut-être même des problèmes de responsabilité si une solution que vous avez vendue est compromise. 

Tous ces problèmes auraient pu être évités en travaillant avec un expert tiers impartial pour évaluer la sécurité de l'appareil et la solution de bout en bout afin d'identifier les problèmes avant la sortie du produit, protégeant ainsi les revenus à long terme et réputation du fabricant et de son produit.

Mais heureusement, il y a aussi de bonnes nouvelles !

La bonne nouvelle : la solution B, le dispositif de localisation sans fil

Nos tests de la solution B - un dispositif de suivi sans fil de nouvelle génération - n'ont trouvé AUCUNE des mêmes faiblesses. Il a réussi à protéger les informations de localisation des pirates informatiques, permettant uniquement au propriétaire réel de l'appareil d'accéder à la position de sa voiture à l'aide d'un cryptage de données avancé. Cet appareil disposait également de protections solides telles que l'authentification de l'utilisateur pour garantir que personne ne puisse désactiver ou altérer à distance l'appareil à l'aide de téléchargements et de commandes en direct ; cela garantissait qu'il était toujours disponible pour signaler l'emplacement correct du véhicule. Pour les consommateurs, cela signifie que leur vie privée et leur sécurité sont protégées. Cela améliore également les chances qu'ils puissent récupérer leur voiture plus rapidement si elle est volée. Pour les concessionnaires automobiles, cela signifie des clients satisfaits et aucun problème de responsabilité pour les appareils compromis.

Comment choisir quel produit acheter ou vendre ? 

Qu'il s'agisse d'un appareil GPS ou de tout autre appareil IoT, il y a trois questions clés que tout le monde devrait se poser sur tout appareil IoT avant de choisir de l'acheter ou de le vendre : 

• Intimité: L'appareil est-il conçu en tenant compte de la confidentialité des données ? Les données de localisation sont-elles protégées par une technologie de cryptage ?
• Protection: Qu'est-ce qui a été fait pour protéger l'appareil des pirates informatiques afin qu'il ne puisse pas être falsifié ou désactivé ? Les nouveaux téléchargements de firmware sont-ils signés et authentifiés Les commandes à distance vers l'appareil sont-elles authentifiées ?
• Vérification indépendante : L'entreprise qui a conçu l'appareil fait-elle appel à des experts en sécurité internes ou externes pour tester la sécurité de bout en bout de la solution ? 

Besoin d'aide pour vous assurer que votre solution est sécurisée ?

Toutes les entreprises ne disposent pas des compétences en interne pour atteindre le niveau de sécurité IoT dont elles ont besoin (ou même identifier les menaces contre lesquelles il est le plus pertinent de se protéger). Dans ce cas, la chose intelligente à faire est d'obtenir l'aide d'une entreprise externe spécialisée dans la sécurité, qui peut vous aider dans des activités telles que l'évaluation des menaces, la conception de l'architecture de sécurité et l'évaluation de la sécurité de votre produit final avant sa commercialisation. La correction d'une faille de sécurité après le lancement peut coûter jusqu'à 80 fois plus que la détection de la même faille pendant la phase de conception, et cela peut faire la différence entre le succès ou l'échec du produit et même de l'entreprise.