La dernière fois, nous nous étions hissés au niveau de l'architecture système pour disséquer le concept des listes blanches nationales (Default Deny). Aujourd'hui, en respectant strictement notre rythme d'alternance « ingénierie / galères du quotidien », nous revenons sur terre : dans l'habitacle d'une voiture louée pour une demi-heure afin de rentrer chez soi.
Le scénario est on ne peut plus classique : vous déverrouillez un véhicule en autopartage via l'application, vous vous installez au volant, vous jetez votre sac sur le siège passager. Pour rouler en musique et avec votre GPS habituel, vous branchez un câble sur l'USB ou activez le Bluetooth : l'écran du système multimédia s'empresse de vous proposer de synchroniser votre smartphone.
Quelques clics sur « OK », la musique démarre, vous arrivez à destination, coupez le moteur, fermez la location et partez.
Et le lendemain, vous ou vos proches commencez à recevoir des appels d'une nouvelle vague de « services de sécurité » et de spammeurs proposant d'acheter d'urgence la voiture ou de souscrire un crédit. Vous vous creusez la tête : d'où sortent ces données fraîches alors que vous n'avez pas quitté votre téléphone des mains ?
Anatomie de l'hospitalité : ce qu'aspire la tablette de la voiture
Le système multimédia d'une voiture moderne (même un crossover chinois d'entrée de gamme en autopartage urbain) n'est pas qu'un simple autoradio. C'est un véritable ordinateur sous Linux ou Android doté d'une mémoire flash eMMC non volatile :
Un dump complet du répertoire. Lors d'une connexion Bluetooth, le profil PBAP (Phone Book Access Profile) demande l'autorisation d'importer les contacts. La plupart des conducteurs appuient machinalement sur « Autoriser » sur l'écran de leur smartphone. En trois secondes, l'unité centrale télécharge l'intégralité de votre carnet d'adresses : noms de famille, notes professionnelles, numéros de téléphone fixe et notes personnelles.
Le journal d'appels et le cache SMS. Les protocoles MAP (Message Access Profile) enregistrent l'historique des derniers appels entrants et sortants directement dans la base de données locale du système multimédia.
Points de géolocalisation et trajets. Si vous avez branché Apple CarPlay ou Android Auto, le système met en cache les adresses récentes : « Domicile », « Bureau », « École de l'enfant », « Résidence secondaire ».
Le fait est là : personne ne nettoie la mémoire
Que se passe-t-il lorsque vous terminez votre location et claquer la porte ?
La mémoire de la voiture conserve des dizaines de profils précédents. L'unité centrale garde simplement affiché le nom de votre téléphone : iPhone (Alexandre). Le locataire suivant s'installe, fouille dans le menu Bluetooth ou la section des contacts — et feuillette tranquillement vos numéros, consulte votre historique d'appels et vos adresses.
Le modèle économique des « revendeurs de bord de route ». Des laveurs peu scrupuleux, des convoyeurs de flotte ou de simples passagers entreprenants ont depuis longtemps compris comment extraire ces bases : il suffit de brancher une clé USB préparée sur le port USB de service ou d'entrer dans le menu ingénieur de l'autoradio pour aspirer en quelques minutes les bases SQLite de centaines de conducteurs ayant utilisé le véhicule au cours du mois.
Un profil prêt à l'emploi pour l'ingénierie sociale. Lorsqu'un escroc appelle sa victime en connaissant la marque de la voiture qu'elle conduisait la veille, son adresse personnelle et le nom de sa sœur ou de son supérieur trouvé dans les contacts, l'esprit critique de la victime s'envole instantanément.
Autodéfense pratique dans un véhicule de location
Il n'est pas obligatoire de renoncer au confort du GPS et de la musique, mais nourrir l'électronique des autres avec ses propres données relève d'une imprudence coupable :
La recharge via un « préservatif USB » ou un mode sans données. Si vous avez simplement besoin de recharger votre téléphone, utilisez un câble dépourvu de lignes de données (Data-blocker) ou branchez votre chargeur sur la prise allume-cigare via un adaptateur 12V classique. Un port USB multimédia classique initie toujours une analyse de la médiathèque et du système de fichiers.
Interdiction totale des profils PBAP/MAP. Si l'appairage Bluetooth est indispensable pour le kit mains libres, allez immédiatement dans les paramètres Bluetooth de votre smartphone (la roue dentée à côté du nom de la voiture connectée) et désactivez de force les options : « Synchronisation des contacts » et « Partage des messages ». Ne laissez que l'option « Audio ».
Suppression du profil avant de cliquer sur « Terminer la location ». Prenez un réflexe rigoureux : 30 secondes avant de quitter la voiture, allez dans les paramètres de l'écran de bord, trouvez la liste des appareils appairés et appuyez sur « Supprimer l'appareil / Oublier le téléphone ». Cela effacera les index temporaires et ne laissera aucune trace numérique au prochain locataire.
La sécurité des informations personnelles ne se vérifie pas seulement lorsque vous êtes assis devant votre ordinateur personnel protégé, mais bien au moment où vous connectez votre principal outil de travail au matériel public d'un tiers.