Les bornes de recharge pour voitures \u00e9lectriques savent distribuer des kilowatts, mais certaines sont encore un peu l\u00e9g\u00e8res c\u00f4t\u00e9 cybers\u00e9curit\u00e9. Des chercheurs de Flare ont pass\u00e9 au crible 1.000 points de terminaison utilisant OCPP (Open Charge Point Protocol), le protocole qui permet aux chargeurs de communiquer avec leurs syst\u00e8mes de gestion \u00e0 distance.<\/p>\n
La France dans le haut du classement <\/p>\n
Le bilan est peu rassurant\u00a0: 720 d\u2019entre eux (autrement dit 72\u00a0%), acceptaient des connexions sans chiffrement de la couche transport. Les \u00e9changes pouvaient donc circuler sans protection TLS alors qu\u2019ils sont susceptibles de contenir des jetons d\u2019authentification, des commandes de recharge et, selon les installations, des acc\u00e8s \u00e0 des syst\u00e8mes de paiement.<\/p>\n
Pas question toutefois d\u2019en conclure que n\u2019importe quel pirate peut couper 720 bornes depuis son canap\u00e9. Flare pr\u00e9cise n\u2019avoir tent\u00e9 aucune intrusion ni manipulation. L\u2019\u00e9tude mesure une exposition\u00a0: elle montre que des syst\u00e8mes sont accessibles et mal prot\u00e9g\u00e9s, pas qu\u2019ils sont tous directement exploitables.<\/p>\n
Les chercheurs ont rep\u00e9r\u00e9 des syst\u00e8mes dans 56 pays. L\u2019Allemagne arrive en t\u00eate avec 234 points de terminaison, devant les \u00c9tats-Unis (148), la France (63) et la Chine (46). Ces chiffres ne constituent pas un recensement des bornes install\u00e9es\u00a0: ils correspondent \u00e0 la localisation r\u00e9seau des syst\u00e8mes d\u00e9tect\u00e9s.<\/p>\n
Une bonne partie du probl\u00e8me vient aussi des logiciels employ\u00e9s. Trois plateformes concentrent environ un tiers des syst\u00e8mes observ\u00e9s. SteVe, un logiciel open source de gestion de bornes, compte \u00e0 lui seul 216 points de terminaison, dont 167 sans chiffrement. Une mauvaise configuration par d\u00e9faut peut donc se retrouver dupliqu\u00e9e \u00e0 grande \u00e9chelle.<\/p>\n
OCPP 1.6 n\u2019aide pas vraiment. Lanc\u00e9e en 2015 et toujours tr\u00e8s r\u00e9pandue, cette version ne propose pas les m\u00e9canismes de s\u00e9curit\u00e9 par certificat ajout\u00e9s avec OCPP 2.0.1 puis 2.1. Les op\u00e9rateurs peuvent compenser avec un VPN ou un r\u00e9seau priv\u00e9, mais ce n\u2019est visiblement pas syst\u00e9matique.<\/p>\n
Les bornes de recharge ont d\u00e9j\u00e0 attir\u00e9 les chercheurs en s\u00e9curit\u00e9. Au Pwn2Own Automotive 2024, l\u2019\u00e9quipe fran\u00e7aise Synacktiv avait notamment r\u00e9ussi \u00e0 compromettre plusieurs chargeurs. En mars 2026, la CISA am\u00e9ricaine signalait \u00e9galement des failles critiques dans le syst\u00e8me OCPP d\u2019Everon permettant \u00e0 un attaquant distant d\u2019\u00e9mettre des commandes en se faisant passer pour une borne l\u00e9gitime.<\/p>\n
Flare recommande donc des mesures assez classiques\u00a0: imposer TLS, retirer les interfaces de gestion de l\u2019Internet public, isoler les bornes du reste du r\u00e9seau informatique et migrer vers OCPP 2.0.1 ou une version plus r\u00e9cente. En 2023, l\u2019\u00e9tude ChargePrint avait analys\u00e9 plus de 27.000 bornes connect\u00e9es et estim\u00e9 que 92\u00a0% pr\u00e9sentaient au moins une vuln\u00e9rabilit\u00e9. Les bornes \u00e9lectriques ont beaucoup progress\u00e9 en puissance de recharge ; leur s\u00e9curit\u00e9, elle, est encore loin du compte.<\/p>\n
\ud83d\udfe3 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google<\/a> et sur notre canal WhatsApp<\/a>. Et si vous nous adorez, on a une newsletter tous les matins<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"Les bornes de recharge pour voitures \u00e9lectriques savent distribuer des kilowatts, mais certaines sont encore un peu l\u00e9g\u00e8res…\n","protected":false},"author":2,"featured_media":223899,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[70],"tags":[12,13,18,17,55260,73,71,75,72,76,74],"class_list":["post-223898","post","type-post","status-publish","format-standard","has-post-thumbnail","category-sciences-et-technologies","tag-be","tag-be-fr","tag-belgique","tag-belgium","tag-borne-de-recharge","tag-science","tag-science-and-technology","tag-sciences","tag-sciences-et-technologies","tag-technologies","tag-technology"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@be_fr\/117148189055073396","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts\/223898","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/comments?post=223898"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts\/223898\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/media\/223899"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/media?parent=223898"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/categories?post=223898"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/tags?post=223898"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}