Récemment, la ville de Las Vegas a accueilli la 30e édition de la DEF CON, l'une des conférences sur la sécurité informatique les plus importantes au monde. Des milliers de professionnels et de passionnés ont partagé toutes sortes de nouveautés, mais l'une d'elles s'est rapidement distinguée pour des raisons évidentes. Un Australien connu sous le nom de Sick Codes a obtenu l'accès à l'écran de navigation d'un tracteur John Deere et a fait ce que nous attendions tous : jouer à Doom.
Nous avons déjà parlé des tracteurs John Deere et de la difficulté qu'ont leurs propriétaires à les réparer sans dépendre du fabricant. Avec une intégration toujours plus profonde du logiciel et du matériel, ces véhicules sont devenus des ordinateurs ambulants, et comme prévu, ils attirent l'attention de certains spécialistes en sécurité informatique.
Cela nous amène rapidement à la DEF CON 30, où un Australien connu sous le nom de Sick Codes a présenté une démo très particulière : le jailbreak d'une écran de navigation John Deere 4240. Ce système repose sur un SoC NXP i.MX 6 et utilise Wind River Linux 8 comme système d'exploitation. Qu'a fait Sick Codes lors de la démo ? Lâcher le Doomguy dans un champ de maïs pour exploser des démons, bien sûr.
Jouer à Doom sur du matériel John Deere
Sick Codes a expliqué sur son compte Twitter que cette démo a demandé plusieurs mois de travail, tandis que le mod est l'œuvre d'une moddeuse néo-zélandaise nommée Skelegant. Un détail très intéressant est que Sick Codes parle de « jailbreak » et non de « hack ». Pourquoi ? En raison de la condition de l'appareil : une fois qu'il l'a ouvert pour exécuter son code, il n'a trouvé aucune résistance. Pas de cryptage, pas de checksums, et tout le code du firmware s'exécute en root. En d'autres termes, le bug est qu'il n'y a tout simplement pas de sécurité, et il considère que l'application d'un correctif « n'est pas pratique ».
Sick Codes a commencé son aventure avec John Deere à la DEF CON 29, parce qu'il a remarqué que personne n'explorait les équipements destinés à l'agriculture. Le « problème » est qu'après avoir partagé les premières vulnérabilités, John Deere a publié les correctifs nécessaires, et certaines personnes se sont plaintes parce que le travail de Sick Codes réduisait les possibilités d'échapper au DRM de l'entreprise. Avec un léger changement de stratégie, Sick Codes se concentre désormais sur le matériel et sa fragilité dans la chaîne alimentaire.
Une autre personne qui a suivi de très près la session de Doom sur le matériel John Deere est Kyle Wiens, fondateur d'iFixit. Son avertissement sur Twitter est préoccupant : la production alimentaire dépend de versions obsolètes et non corrigées de Linux et de Windows CE (ce n'est pas une blague) connectées à des modems LTE, et comme si cela ne suffisait pas, John Deere violerait la GPL. La suite ?
Source : The Register
