2. Cybersecurity for the Connected Car
Nabil Bouzerna - Head of Cybersecurity Labs / CHESS Platform Architect
Prepare for Meetup #9 Connected & Autonomous Car
2017/09/13 - Paris

3. SEGACOVE
SEcure GAteway for the COnnected VEhicle
2

4. SEcure GAteway for the COnnected VEhicle
▪ The connected car has a lot of data being transmitted internally
and externally.
▪ These communications are managed by a central communication
hub: the gateway.
• Single Point of Failure / Single Point of Attack
▪ So we have to assess counter-measures against cyber-attacks
• We want to measure the benefits or drawbacks of several technologies:
o Machine Learning (Deep Neural Networks, K-Means Clustering, etc.)
o Lightweight cryptography
Context
3

5. SEcure GAteway for the COnnected VEhicle
The CAN BUS architecture
4

6. SEcure GAteway for the COnnected VEhicle
▪ Makestorming proposes an exclusive approach and tools
fully dedicated to big organizations to enable a new
relationship to work.
▪ Very concrete results on short time: Sprint
Maskestorming
5

7. SEcure GAteway for the COnnected VEhicle
6

8. SEcure GAteway for the COnnected VEhicle
7

9. SEcure GAteway for the COnnected VEhicle
8

10. SEcure GAteway for the COnnected VEhicle
9

11. SEcure GAteway for the COnnected VEhicle
How to automate learning and policy creation
10
• Learns all the behaviours in a
vehicle from message traffic
• Detects anomalies in message
patterns, payload values, traffic
rates and other device activity on
the bus

12. Questions?
nabil.bouzerna@irt-systemx.fr
@NabilBouzerna
Photo Credit: Flavien Quesnel ;-)
11

13. SODA-IIOT
Secured On-the-pouce Decentralized Architecture for the Industrial
Internet of Things
12

14. Secured On-the-pouce Decentralized Architecture for the
Industrial Internet of Things
▪ SODA-IIoT
• Building the Internet of Things requires deploying a huge number of
devices with full or limited connectivity to the Internet.
• Given that these devices are exposed to attackers and generally not
secured-by-design, it is essential to be able to update them, to patch
their vulnerabilities and to prevent hackers from enrolling them into
botnets.
• Ideally, the update infrastructure should implement the CIA triad
properties, i.e., confidentiality, integrity and availability. In this work,
we investigate how the use of a blockchain infrastructure can meet
these requirements, with a focus on availability.
SODA-IIoT
13

15. SODA-IIoT4SmartGrids with Engie Lab (France)
14

16. Secured On-the-pouce Decentralized Architecture for the
Industrial Internet of Things
15
Architecture

17. SODA-IIoT4Automotive
16

18. Secured On-the-pouce Decentralized Architecture for the
Industrial Internet of Things
▪ Blockchain to keep the Automotive ECUs up-to-date
• Connected vehicles are composed of several dozens of Electronic
Control Units (ECU). With the increasing connectivity of the
vehicles, the update of the ECU software will soon be performed
Over-The-Air (OTA).
• This includes the update of the in-vehicle infotainment, but also the
more critical ECUs such as the body, motion and Advanced Driving
Assistance Systems (ADAS) ECUs.
SODA-IIoT4Automotive
17

19. 18

20. More information
▪ SEGACOVE:
• http://makestorming.com/
▪ SODA-IIoT
• Publication "Towards Better Availability and Accountability for IoT Updates
by means of a Blockchain" by Aymen Boudguiga, Nabil Bouzerna, Louis
Granboulan, Alexis Olivereau, Flavien Quesnel, Anthony Roger and Renaud
Sirdey - 29 April 2017 on IEEE Security & Blockchain workshop (an IEEE
European Symposium on Security and Privacy and Eurocrypt2017 affiliated
workshop)
• “SODA-IIoT4Automotive: Blockchain to keep the Automotive ECU up-to-
date”, Antoine Boulanger (PSA), Benjamin Venelle (Valeo), Nabil Bouzerna
(IRT SystemX)
19

21. Questions?
nabil.bouzerna@irt-systemx.fr
@NabilBouzerna
Photo Credit: Flavien Quesnel ;-)
20

22. NEXYAD Automo've & Transporta'on 95 rue Péreire 78100 Saint Germain en Laye, France Tel: +33 1 39 04 13 60
SafetyNex App
Evalua3on du risque de conduite en temps réel
Meetup 13 septembre 2017

23. Ø Sommaire de SafetyNex
75% des accidents de la route résultent d’une inadaptation de la vitesse du
véhicule aux difficultés de l’infrastructure routière (administration de la sécurité
routière)
SafetyNex est une application smartphone qui mesure en temps réel le risque pris
par le conducteur.
SafetyNex donne des alertes vocales AVANT un danger potentiel pour laisser le
temps de ralentir ou freiner au conducteur.
SafetyNex récompense les bons conducteurs (possibilités de Gamification).
SafetyNex enregistre les profils de risque et d’usage des utilisateurs.
SafetyNex pour les assureurs, les flottes, et les constructeurs automobiles.

24. répar33on des causes d'accident
Inadapta'on de la vitesse à la difficulté de l'infrastructure
Contexte mobile : autres usagers de la route (voitures,
camions, motos, piétons, …)
Condi'ons météo
Etat du Conducteur (hypovigilance …)
75%
13%
9%
4%
(chiffres Sécurité Rou'ère)
NB : A[en'on à l’interpréta'on erronée de
« le conducteur est impliqué dans 90% des accidents graves »
Ø Les causes d’accident

25. Ø Vidéo de SafetyNex App à bord
Cliquer sur l’image

26. Ø No3on de risque
NB : la chance ne change pas le risque que prend le conducteur. Cela
signifie que le risque pris par le « conducteur risqué et chanceux »
est exactement le même que celui pris par le « conducteur risqué et
malchanceux ». Il est donc possible de détecter le conducteur risqué
avant qu’il ait un accident (an3cipa3on des coûts). Une fois détecté,
il est possible de le coacher (programme de préven3on).
Puisque l’es'ma'on du risque de SafetyNex est calculé en temps
réel, il est possible d’alerter le conducteur (quand son risque
dépasse un seuil acceptable), et si le conducteur ralen't, alors son
risque repasse au vert. C’est un système de préven3on embarqué
(ADAS).
L’observa'on des accidents sur une courte période (3 mois par
exemple) ne montrera aucune différence entre le « conducteur
prudent » et « conducteur risqué et chanceux » (les deux n’auront
pas d’accident). C’est une gros problème pour l’UBI, et SafetyNex
apporte la solu'on en an3cipant l’accident (tôt ou tard le
« conducteur risqué et chanceux » aura un accident sévère).
Cliquer sur l’image
pour jouer la vidéo
3 – Conducteur prudent

27. Ø Interfaces de l’App SafetyNex
Exemples d’interface pour smartphones
Les interfaces principales sont
des alertes vocales et des
bips; pendant la conduite, les
interfaces visuelles restent
discrètes.
L’App SafetyNex est une implémenta3on à bas coût
developpée par Nexyad. Mais c’est aussi un système de
fusion de données auquel on peut ajouter d’autres capteurs
(caméras, radar, lidars, ultrasons ...) et des données (météo,
traffic rou'er, ...)

28. Ø Données de risque et d’usage
Urbain
Durée de trajet
Autoroute
Jour Nuit
Semaine
Weekend Route
N° de trajet
Distance
Exper3se
De conduite
Risque
consen3
Non
Exper3se
Manque
d’an3cipa3on
Les possibilités d’analyses
croisées des données de risqué
et des données d’usage sont
très nombreuses :
Etc.
Importante remontée de données précieuses et individualisées
Risque de conduite : des profils, il est possible d’extraire
trois dimensions (actuellement en implémenta3on) :
. Risque pris volontairement par le conducteur
. Exper3se ou non exper3se de conduite
. Manque d’an3cipa3on
Risque pris volontairement
par le conducteur
2 écart types =
« non-répétabilité »
de la conduite
(contraire de l’exper3se)
Manque
d’an3cipa3on

29. Ø U3lisa3ons référencées de SafetyNex
Assurance Auto
. Préven'on (conduite accompagnée, débutants, séniors
professionnels, individuels, etc.)
. UBI (profils de risque, profils d’usage)
. Réduc'on des coûts (moins d’accidents, en par'culier
moins de dommages corporels) + transforma'on de
corporels en dommages matériels
. Détec'on de l’u'lisa'on du smartphone en conduite
Véhicule autonome
. Donner une informa'on importante à l’intelligence
ar'ficielle : sa prise de risque à chaque instant ! (si le
risque est trop élevé >>> ralen'r)
. Fusion de données et de capteurs (caméras, lidars,
radars, ultrasons, météo, trafic, etc.)
Direc3on de flode
. Préven'on (coaching des conducteurs), acquisi'on de
connaissances quant aux choix de conduite
. Réduc'on des coûts (moins d’accidents, en par'culier
moins de dommages corporels) + transforma'on de
corporels en dommages matériels
. Gamifica'on (concours de conduite sûre)
. Suivre les régula'ons sociales et les lois en vigueur
Système d’aide à la conduite (ADAS)
. Déclenchement de freinage automa'que d’an'cipa'on
pour ACC intelligent (prenant en compte la signalisa'on
rou'ères, les intersec'ons, les virages, etc.)
. Naviga'on intelligente avec alertes de risque
. Fusion de données et de capteurs (caméras, lidars,
radars, ultrasons, météo, trafic, etc.)

30. NEXYAD Automo've & Transporta'on 95 rue Péreire 78100 Saint Germain en Laye, France Tel: +33 1 39 04 13 60
Ques3ons ?

31. Jf MENIER - ELYOS Avocats
ACCIDENTS DE VOITURES CONNECTÉES :
FINALEMENT, TOUT N’EST QU’UNE QUESTION DE
PREUVE

32. LE CONDUCTEUR, PERSONNE PHYSIQUE,
EST RESPONSABLE
PAR DÉFAUT DES ACCIDENTS CAUSÉS PAR LE
VÉHICULE QU’IL CONDUIT
Le conducteur doit assurer, en toute circonstance, la maîtrise de son véhicule
(arMcle R.412 du Code de la route et arMcle 5 de la ConvenMon de Vienne de
1968) c’est-à-dire, en praMque, assurer la direc&on et le contrôle des organes
primaires.
« Tout conducteur doit se tenir constamment en état et en posi1on d’exécuter commodément et
sans délai toutes les manœuvres qui lui incombent »
« Tout conducteur doit constamment avoir le contrôle de son véhicule… ou pouvoir guider ses
animaux »

33. MAIS IL SE DÉGAGE DE SA RESPONSABILITÉ EN
CAS DE TRANSFERT DE CETTE QUALITÉ DE
CONDUCTEUR A UN TIERS…….
Jurisprudence constante de la Cour de CassaJon :
• la qualité de conducteur n’apparJent qu’a une seule personne et elle ne
se partage pas ;
• il peut effecJvement y avoir transfert de la qualité de conducteur, mais
seulement dans sa totalité. (Cour de CassaJon - 23 mars 2017)
….. C’EST-À-DIRE EN CAS DE SUBSTITUTION
PAR UN TIERS
Ce^e subsJtuJon est le concept central du transfert de responsabilité.

34. MAIS IL FAUT PROUVER CETTE SUBSTITUTION
Si l’on se proje^e dans le cadre d’une :
• VOITURE À DÉLÉGATION TOTALE DE CONDUITE : le transfert de la qualité
de conducteur intervient lorsque l’Homme acMve le système de conduite
automaMque
è APPORTER LA PREUVE DE L’ACTIVATION DU SYSTÈME DE
CONDUITE AUTOMATIQUE
=
TRANSFERER LA RESPONSABILITÉ DES ACCIDENTS AU VEHICULE
(à son constructeur)

35. • VOITURE À DÉLÉGATION PARTIELLE DE CONDUITE : la maîtrise des
organes de direcMon (volant) et de ceux de propulsion (moteur et freins),
est techniquement, réparJe entre l’Homme et le Machine :
è APPORTER LA PREUVE DE L’ACTIVATION DU SYSTÈME D’AIDE A LA
CONDUITE
N’ENTRAINE
NI SUBSTITUTION , NI TRANSFERT DE LA QUALITÉ DE CONDUCTEUR

36. En conséquence de ce DÉFAUT DE TRANSFERT
DE LA QUALITÉ DE CONDUCTEUR (pour les
VDPC) se pose alors la quesMon :
- NON, DU TRANSFERT DE RESPONSABILITÉ,
- MAIS, celle de LA CO-RESPONSABILITÉ, du
P A R T A G E d e L ’ O B L I G A T I O N
L’INDEMNISATION et de LA CHARGE DES
RÉPARATIONS

37. ArJcle 1265 du projet de réforme de la
responsabilité civile
(formalise au sein du Code civil, les règles issues de la jurisprudence sur
l’incidence de la pluralité de responsables)
Lorsque plusieurs personnes sont responsables d’un même dommage, elles
sont solidairement tenues à répara&on envers la vic&me.
Si :
- AUCUNE D’ELLES N’A COMMIS DE FAUTE, ELLES CONTRIBUENT À
PROPORTION DU RÔLE CAUSAL DU FAIT GÉNÉRATEUR QUI LEUR EST
IMPUTABLE, ou à défaut par parts égales.
- TOUTES OU CERTAINES D’ENTRE ELLES ONT COMMIS UNE FAUTE, ELLES
CONTRIBUENT ENTRE ELLES À PROPORTION DE LA GRAVITÉ ET DU RÔLE
CAUSAL DU FAIT GÉNÉRATEUR QUI LEUR EST IMPUTABLE.

38. DANS LES DEUX CAS, IL FAUDRA « PROUVER »
• dans les véhicules autonomes : preuve de l’ac&va&on du système de conduite
automa&sé, emportant la subs&tu&on transfert total de responsabilité
• dans les véhicules à déléga&on par&elle de conduite : preuve (1) des ac&ons de
l’Homme d’une part et (2) celles de la machine de l’autre, afin de déterminer la
gravité et le rôle causal du fait générateur qui leur est imputable à chacun et qui
aura pour conséquence de déterminer la propor&on des répara&ons mises à leurs
charges respec&ves.
LE VÉRITABLE ENJEU, C’EST DONC LA PREUVE
LA PREUVE EST LA PIERRE ANGULAIRE DU RÉGIME DE RESPONSABILITÉ

39. PAS DE PREUVE , PAS DE DROITS
« actori Incumbit Proba1o » - La Preuve Incombe Au Demandeur
« non Jus Deficit Sed Proba1o » - Ce N'est Pas Le Droit Qui Est Défaillant, Mais
La Preuve »
LA CHARGE DE LA PREUVE PÈSE, EN PREMIER LIEU SUR LA PERSONNE ASSISE
DERRIÈRE LE VOLANT ET QUI, PRÉSUMÉE ÊTRE LE CONDUCTEUR, EST
RÉPUTÉE AVOIR SEULE LA MAÎTRISE PERMANENTE DU VÉHICULE ET QUI
ASSUME, PAR DÉFAUT, LES DOMMAGES CAUSÉS AUX TIERS.
ELLE PEUT ( et doit) APPORTER LA PREUVE CONTRAIRE en DEMONTRANT :
• SOIT LA DÉLÉGATION TOTALE
• SOIT LA DÉLÉGATION PARTIELLE ET LE CARACTÈRE CAUSAL DE LA
DÉFAILLANCE DES COMPOSANTS DU VÉHICULE.

40. LE RÔLE CENTRAL DES « BOITES NOIRES »
Quels ouMls ?
• BUS CAN, réseau interne au véhicule qui transmet les consignes entre les
différents composants, est exploité de manière judiciaire qui enregistre en
permanence ses principaux paramètres qui sont, dans l’état actuel, sous contrôle
du conducteur : direc1on, vitesse, accéléra1on, décéléra1on, freinage, aver1sseurs
de changement de direc1on ou éclairage.
• EVENTS DATA RECORDER (EDR), enregistreurs des paramètres de conduite (dont
le contenu est d’ores et déjà fixé a minima, aux États-Unis, pour les constructeurs
qui l’embarque par le final ruling 49 CFR Part 563 ;
• AUTOMOTIVE DIGITAL DATA RECORDER (ADDR), qui pourraient enregistrer
beaucoup plus de données que le BUS CAN (ou même l’EDR) c’est-à-dire tous les
événements influant sur la propulsion et la direc&on du véhicule intervenant
pendant le trajet, qu’ils soient du fait de l’Homme ou de la machine.

41. UN ENJEU INDUSTRIEL DÉRIVÉ : LA
SÉCURISATION DES DONNÉES PROBATOIRES
ISSUES DES BOITES NOIRES
LES DONNÉES À FINALITÉ PROBATOIRE (ISSUE DE L’ EDR/ADDR) SONT DONC LA CLÉ
DU RÉGIME DES ACCIDENTS DE LA ROUTE POUR VÉHICULES DTPC
LEUR SÉCURISATION EST UN FACTEUR CRITIQUE
• des condi&ons de collecte,
• des condi&ons de leur conserva&on,
• des condi&ons de leur intégrité,
• etc.….
Cf. le régime du « coffre fort électronique »
C’EST ICI QUE LES EXPERTS EN CYBERSÉCURITÉ TROUVENT TOUTE LEUR PLACE …
VOIRE UN « NOUVEAU MARCHÉ »

42. D’autres quesMons se posent à propos de ces données :
• LocalisaJon des données : dans le véhicule ? Chez le fournisseur de l’ ADDR? Chez
un Mers ?
• Accès aux données : Qui pourra y accéder ? dans quelles condiMons ?
• Traitement des données brutes : qui traitera ? dans quelles condiMons ?
Véhicules connectés avec délégaMon de niveau 1, 2 ou 3, l’enjeu est d’importance
puisque ce sont ces données qui conduiront:
- SOIT À UNE CO-RESPONSABILITÉ DANS LA SURVENANCE DE L’ACCIDENT ET À UN
PARTAGE DE LA CHARGE DE L’INDEMNISATION DANS DES PROPORTIONS À
DÉTERMINER entre le conducteur et le fabricant du véhicule (et au fournisseur du
composant défaillant)
- SOIT À UN MAINTIEN OU À UN REPORT TOTAL DE LA RESPONSABILITÉ DU
CONDUCTEUR SUR LE CONSTRUCTEUR ( en premier lieu et sur ses fournisseurs
ou se prestataires éventuellement impliqués par voie d’appel en garanMe. )

43. DES QUESTIONS ?
MERCI DE VOTRE ATTENTION
Jean-François MENIER - ELYOS AVOCATS
Avocat au Barreau de Paris
9, avenue de la Grande Armée – 75116 PARIS
06-46-3-67-378