Calculateur verrouillé d'usine : ce que ça implique pour la lecture

De plus en plus de véhicules récents arrivent avec un calculateur verrouillé d'usine : impossible d'en sortir un fichier comme on le faisait sur un EDC17 d'il y a dix ans. Avant de promettre quoi que ce soit à un client, il faut comprendre ce que ce verrouillage implique concrètement pour la lecture — en concepts, sans aucune recette de contournement.

Analyse

D'abord une distinction utile : un verrou d'usine (le constructeur protège son logiciel dès la sortie de chaîne) n'est pas la même chose qu'un verrou posé par un précédent préparateur (« tuner-locked »). Ici, on parle du premier. Ce que les constructeurs mettent en place, en concepts :

• Secure boot + signature du code : le calculateur n'exécute que le firmware signé par le constructeur (signatures de type RSA — présentes chez Bosch depuis l'EDC16, 1024 bits, les anciennes portes dérobées fermées). Une racine de confiance matérielle valide le bootloader, vérifie les signatures avec la clé publique du constructeur rangée en mémoire protégée, et refuse un firmware plus ancien que celui installé (anti-downgrade).
• Firmware chiffré : le contenu ne se lit ni ne se modifie sans les clés.
• Accès diagnostic protégé : le flashage OBD est bloqué tant qu'on n'est pas autorisé.
• Lien à l'antivol : le calculateur est associé à la sécurité du véhicule.

Ce que ça implique pour la lecture :

• pas de binaire complet en clair par OBD ; il faut souvent le banc/boot avec calculateur ouvert ;
• parfois, le seul original rapidement disponible est une lecture virtuelle (original du serveur), justement parce qu'on ne peut pas extraire le contenu réel (voir « No virtual read » et les trois lectures) ;
• on doit préserver les structures signées ; un dump peut être chiffré, donc inexploitable tel quel.

Ce n'est pas une exclusivité d'une marque : GM et Ford ont chiffré leur firmware à partir de 2022, Bosch a durci les MD1 à mi-2020 (voir MD1/MG1 récent).

Pourquoi ce tour de vis général ? Trois moteurs se cumulent : la cybersécurité — un calculateur qui n'exécute que du code signé est plus dur à attaquer à distance —, la conformité — garantir que la dépollution et les fonctions de sécurité n'ont pas été altérées —, et la protection du logiciel lui-même. Ce n'est pas dirigé contre l'atelier : c'est le sens de l'histoire, et il va vers plus de fermeture, pas moins.

Un verrou d'usine n'est pas un bug : c'est une conception. On adapte la méthode ; dans ce wiki, on ne « casse » rien.

Résolution (une démarche, pas un exploit)

• Identifier le calculateur exact et sa génération de sécurité avant de chiffrer un devis au client.
• Vérifier honnêtement la couverture de l'outil : lecture virtuelle seule ? banc ? banc + levée de sécurité ? pas supporté du tout ?
• Si seule une lecture virtuelle existe, être clair sur ce qu'on peut et ne peut pas faire (mise à jour d'origine basique vs travail sur un contenu réel existant).
• Ne jamais promettre une lecture qu'une famille n'autorise pas : mieux vaut annoncer « pas faisable proprement » que rendre une voiture en vrac.

Ce wiki reste au niveau « pourquoi et quoi » : il n'y a pas ici de séquence pour casser telle protection d'un modèle précis, ni d'algorithme d'exploit constructeur.

Ce qu'on en retient

• Verrou d'usine = secure boot + signatures + chiffrement + accès diagnostic protégé.
• Pour la lecture : s'attendre au banc/boot, parfois à un original virtuel seulement, parfois à rien.
• On calibre les attentes du client à partir de la génération de sécurité du calculateur, dès le devis.

Sur ANP Engineering — file service de reprogrammation moteur pour professionnels : file service ECU, correction de checksum, calculateurs pris en charge, tarifs.