Un hacker nommé Sick Codes a de nouveau démontré qu'il était possible de pirater les tracteurs John Deere, ce qui pourrait permettre aux agriculteurs de réparer eux-mêmes leurs équipements. Il a présenté l'exploit lors de l'édition 2022 de la conférence de piratage Def Con à Las Vegas et a expliqué que l'ensemble du processus lui a pris des mois et a nécessité le jailbreak du système Linux utilisé par le tracteur John Deere 4240. Sick Codes a également travaillé avec Skelegant, un moddeur de Doom, pour faire fonctionner le jeu sur le tracteur. Le jeu a été modifié pour se dérouler dans un champ de maïs, où le joueur fauche des ennemis sur un tracteur.Alors que l'agriculture continue de s'automatiser, le fabricant américain de matériel agricole John Deere semble avoir trouvé un moyen de garder numériquement le diagnostic des pièces défectueuses des tracteurs pour s'assurer que les agriculteurs soient obligés de se tourner vers les services de réparation de l'entreprise. Mais le hacker Sick Codes a dévoilé un jailbreak qui pourrait remettre les réparations entre les mains des agriculteurs en leur permettant de voir au-delà de l'interface grand public du tracteur. Selon lui, les agriculteurs méritent d'avoir un contrôle total sur les équipements, notamment les tracteurs, qu'ils ont payés.
« Les agriculteurs préfèrent les équipements plus anciens simplement parce qu'ils veulent de la fiabilité. Ils ne veulent pas que des choses tombent en panne au moment le plus important de l'année, quand ils doivent arracher des choses du sol. C'est donc ce que nous devrions tous vouloir aussi. Nous voulons que les agriculteurs soient en mesure de réparer leur matériel pour quand les choses vont mal, et maintenant cela signifie être capable de réparer ou de prendre des décisions sur le logiciel de leurs tracteurs », a déclaré Sick Codes. Cette découverte souligne les implications du mouvement pour le droit à la réparation en matière de sécurité.
L'exploit que Sick Codes a découvert n'est pas une attaque à distance, mais les vulnérabilités concerneraient plutôt des insécurités fondamentales dans les appareils qui pourraient être exploitées par des acteurs malveillants ou potentiellement associées avec d'autres vulnérabilités. Sick Codes estime avoir expérimenté les consoles à écran tactile de différents modèles de tracteurs John Deere pour développer son jailbreak. Mais en fin de compte, il s'est concentré sur quelques modèles, dont les modèles 2630 et 4240 largement déployés, pour l'exploit qu'il présente. Il cherchait un accès root au système, ce qu'il est finalement parvenu à faire.
Le piratage a consisté en effet à trouver un moyen de contourner les exigences d'authentification du concessionnaire du tracteur, ce qui signifie que le tracteur pensait être accessible par un concessionnaire John Deere. Sick Codes a constaté que lorsque le système pensait se trouver dans un tel environnement (lorsqu'il est manipulé par un concessionnaire John Deere), il offrait plus environ 1,5 Go de journaux destinés à aider les prestataires de services agréés à diagnostiquer les problèmes. Les journaux ont également révélé le chemin vers une autre attaque potentielle de synchronisation qui pourrait accorder un accès plus important.
Sick Codes a soudé des contrôleurs directement sur la carte de circuit imprimé et a fini par réussir son attaque en contournant les protections du système. « J'ai lancé l'attaque, et deux minutes plus tard, un terminal apparaît. J'avais un accès root, ce qui est rare au pays de Deere », a déclaré Sick Codes. Selon les analystes, il est crucial de sécuriser l'industrie agricole et la chaîne d'approvisionnement alimentaire, pour éviter les incidents tels que le piratage de JBS Meat en 2021. Cependant, des vulnérabilités comme celles que Sick Codes a trouvées aident les agriculteurs à faire ce qu'ils doivent faire avec leur propre équipement.
Ce piratage attire l'attention sur le mouvement "right-to-repair", qui repose sur l'idée que les propriétaires de biens électroniques commerciaux devraient avoir accès à des possibilités de réparation bon marché s'ils ne peuvent pas réparer eux-mêmes. L'État de New York a adopté en juin une loi sur le droit à la réparation qui obligera les fabricants de produits électroniques numériques de l'État à fournir à leurs clients l'accès aux outils et aux instructions nécessaires pour réparer leurs produits. Les législateurs américains et européens tentent également de mettre en place des mesures afin de changer la donne.
Face à la pression croissante, John Deere a annoncé en mars qu'il mettrait davantage de ses logiciels de réparation à la disposition des propriétaires d'équipements. La société a également déclaré à l'époque qu'elle lancerait l'année prochaine une "solution client améliorée" afin que les clients et les mécaniciens puissent télécharger et appliquer eux-mêmes les mises à jour logicielles officielles pour les équipements Deere, plutôt que de laisser John Deere appliquer unilatéralement les correctifs à distance ou de forcer les agriculteurs à apporter leurs produits chez les concessionnaires agréés.
L'approche dévoilée par Sick Codes à la dernière conférence Def Con nécessite un accès physique à la carte de circuit imprimé, mais le chercheur en sécurité a déclaré qu'il serait possible de développer un outil basé sur les vulnérabilités pour exécuter plus facilement le jailbreak. Il dit surtout qu'il est curieux de voir comment John Deere va réagir. Sick Codes n'est pas certain que la société puisse corriger les failles de manière exhaustive sans mettre en œuvre un chiffrement complet du disque, ce qui impliquerait une révision importante du système pour les nouveaux tracteurs et ne serait probablement pas déployé sur les équipements existants.
Sick Codes au Def Con 2021
Si un tel outil venait à être mis en place, des milliers de fermiers pourraient se ruer dessus pour tenter de réparer leurs tracteurs à leur gré. En outre, dans un extrait de vidéo publiée par Sick Codes sur Twitter, l'on peut voir comment Doom fonctionne comme une sorte de superposition transparente sur l'interface utilisateur d'un tracteur John Deere. Cette version de Doom a, bien entendu, été modifiée pour se dérouler dans un champ de maïs, où le joueur fauche des ennemis sur un tracteur. Toutefois, Sick Codes a prévenu que s'il était possible pour les agriculteurs de pirater leurs équipements, il y avait des risques.
« Cela vous expose à des virus et à des choses de ce genre si vous faites la mauvaise chose et il existe des sites Web et des choses qui vous attaquent. Mais pour les tracteurs, si vous êtes assez intelligent, si vous avez assez de temps devant vous pour apprendre vous-même ou demander à quelqu'un de vous apprendre à faire certaines des choses que j'ai démontrées, alors c'est tout à fait possible », a-t-il déclaré. En 2021, Sick Codes avait déjà démontré comment des éléments malveillants peuvent exploiter une pléthore de vulnérabilités dans des tracteurs pour arroser à outrance des fermes aux États-Unis.
Par ailleurs, ce n'est pas la première fois que les tracteurs John Deere ou d'autres fabricants de matériels agricoles sont sujets au piratage. Ces dernières années, les agriculteurs du monde entier se sont tournés vers le piratage de tracteurs pour pouvoir contourner les verrous numériques que les fabricants imposent à leurs véhicules, souvent achetés à des prix très élevés. À l'instar du "looping" des pompes à insuline et du "jailbreaking" de l'iPhone, cela permet aux agriculteurs de modifier et de réparer les équipements coûteux qui sont essentiels à leur travail, comme ils pouvaient le faire avec des tracteurs analogiques.
Source : Présentation du hacker Sick Codes à la conférence Def Con 2022
Et vous ?
Quel est votre avis sur le sujet ? Que pensez-vous de l'exploit dévoilé par Sick Codes ? Que pensez-vous des verrous numériques mis en place par les fabricants sur leurs véhicules ?Voir aussi
Droit à la réparation : les fermiers obligés de pirater le firmware de leurs propres tracteurs en raison de l'enfermement propriétaire des constructeurs, l'UE et les USA œuvrent à changer la donne Les législateurs européens proposent un "Fair Repair Act" pour les mobiles et les ordinateurs portables, qui obligerait les entreprises technologiques à repenser la conception de ces appareils Avec son Programme de Réparations Indépendantes, Apple se réserve le droit de faire un audit des ateliers de réparation, et demander le nom et l'adresse des clients USA : des fermiers s'échappent de l'enfermement propriétaire du constructeur John Deere, en utilisant un firmware cracké pour leurs tracteurs 
Envoyé par Bill Fassinou
