Version française en bas

English Version

Vehicle thefts - Insecure vehicles should be banned, not security tools like the Flipper Zero

Sign

Find and contact your MP

Media Coverage

CBC: Banning hacking devices won’t prevent car thefts, security experts say

The Letter

Vehicle theft is an issue that affects us all collectively. As cybersecurity and technology professionals, we recognize the importance of acting rapidly to reduce its impact on Canadians. That being said, we believe the federal government’s proposal, particularly the prohibition of security research tools, is ill-advised, overbroad and most importantly, will be counterproductive.

Innovation, Science and Economic Development Canada (ISED) will pursue all avenues to ban devices used to steal vehicles by copying the wireless signals for remote keyless entry, such as the Flipper Zero, which would allow for the removal of those devices from the Canadian marketplace through collaboration with law enforcement agencies.

We believe this policy will not work because it rests on a misunderstanding of the underlying technology

This policy is based on outdated and misinformed technological assumptions, making it unfeasible to implement and enforce. Security tools like Flipper Zero are essentially programmable radios, known as Software Defined Radios (SDRs), a technology which has existed for years, and in some cases can be built using open-source or simple over-the-shelf-components. These radios are also fundamentally the same as those used in numerous devices across various sectors, including smart household appliances, drones and aerospace technologies, mobile phones and networks, as well as industrial control systems. Consequently, prohibiting such functionality is virtually impossible and could stifle the Canadian economy significantly.

We believe this policy will degrade national security, by incentivizing manufacturers to design insecure products, as security research is criminalized and right-to-repair is penalized

This policy fails to recognize that these tools are not the enemy, rather, insecure products are. Unlike decades ago when the industry relied on security through obscurity as a strategy, we now can attest that the democratization of security research tools is a balancing force for manufacturers to improve the safety of their products. Today, many industry actors rely on such research, just like we have Federal & Provincial¹ government programs that support & reward security vulnerability disclosure that benefits us all. Implementing such a policy would have a chilling effect on these efforts, potentially undermining their positive impact on society.

Additionally, with bills such as C-244 (Right to Repair), that recently passed unanimously and C-294 (Interoperability) that gathered support from multiple parties, we believe this overbroad policy will penalize legitimate analysis and repair use-cases, that were just made available to canadians.

Finally, we believe this policy represents a waste of judiciary resources that could be better used to collaborate with experts from the cybersecurity industry to identify ways to prevent and deter such crimes

Because of the arbitrary nature of such a policy, we believe the judiciary system will be faced with a slew of litigious cases around the many uses of these security tools. Instead, these resources could be focused on creating constructive communication channels between cybersecurity experts, car manufacturers, insurers, and the judiciary system to identify ways to improve the security of automotive keyless entry and push-to-start systems, and enforce minimal levels of security for future products, as it is the case in other industries.

English version above

Version française

Signer

Trouver et contacter votre député

Couverture Médiatique

Le Téléjournal avec Céline Galipeau - Le 28 février 2024 - 40m40sec

Radio-Canada: Ottawa fait fausse route en bannissant les dispositifs de piratage, selon des experts

Lettre

Vols de véhicules - Les véhicules non sécurisés devraient être interdits, pas les outils de sécurité comme le Flipper Zero

Le vol de véhicules est un problème qui nous affecte tous collectivement. En tant que professionnels de la cybersécurité et de la technologie, nous reconnaissons l’importance d’agir rapidement pour réduire son impact sur les Canadiens. Cela étant dit, nous croyons que la proposition du gouvernement fédéral, en particulier l’interdiction des outils de recherche en sécurité, est malavisée, trop générale et surtout, contre-productive.

ISDE examinera toutes les possibilités pour interdire les dispositifs utilisés pour voler des véhicules en copiant les signaux sans fil du système de télédéverrouillage, tels que le Flipper Zero, ce qui permettrait de retirer ces dispositifs du marché canadien, en collaboration avec les organismes chargés de l’application de la loi.

Nous croyons que cette politique ne fonctionnera pas car elle repose sur une incompréhension de la technologie sous-jacente

Cette politique est basée sur des hypothèses technologiques obsolètes et mal informées, rendant son application et son exécution irréalisables. Les outils de sécurité comme le Flipper Zero sont essentiellement des radios programmables, connues sous le nom de Radios Définies par Logiciel, ou Software Defined Radios en anglais, (SDR), une technologie qui existe depuis des années et qui, dans certains cas, peut être construite en utilisant des composants open-source ou simples disponibles dans le commerce. Ces radios sont également fondamentalement les mêmes que celles utilisées dans de nombreux appareils à travers divers secteurs, y compris les appareils ménagers intelligents, les drones et les technologies aérospatiales, les téléphones mobiles et les réseaux, ainsi que les systèmes de contrôle industriel. Par conséquent, interdire une telle fonctionnalité est pratiquement impossible et pourrait étouffer considérablement l’économie canadienne.

Nous croyons que cette politique va dégrader la sécurité nationale, en incitant les fabricants à concevoir des produits non sécurisés, car la recherche en sécurité sera criminalisée et le droit de réparer pénalisé

Cette politique échoue à reconnaître que ces outils ne sont pas l’ennemi, mais plutôt que les produits non sécurisés le sont. Contrairement à il y a des décennies, où l’industrie s’appuyait sur la sécurité par l’obscurité comme stratégie, nous pouvons maintenant attester que la démocratisation des outils de recherche en sécurité est une force d’équilibre pour les fabricants pour améliorer la sécurité de leurs produits. Aujourd’hui, de nombreux acteurs de l’industrie s’appuient sur une telle recherche, tout comme nous avons des programmes gouvernementaux Fédéraux et Provinciaux² qui soutiennent et récompensent la divulgation de vulnérabilités de sécurité qui nous profitent tous. La mise en œuvre d’une telle politique aurait un effet paralysant sur ces efforts, compromettant potentiellement leur impact positif sur la société.

De plus, avec des projets de loi tels que C-244 (Droit à la réparation), qui a récemment été adopté à l’unanimité et C-294 (Interopérabilité) qui a recueilli le soutien de plusieurs partis, nous pensons que cette politique trop générale pénalisera les analyses légitimes et les cas d’utilisation de réparation, qui viennent juste d’être rendus disponibles aux Canadiens.

Enfin, nous croyons que cette politique représente un gaspillage de ressources judiciaires qui pourraient être mieux utilisées pour collaborer avec des experts de l’industrie de la cybersécurité afin d’identifier des moyens de prévenir et de dissuader de tels crimes

En raison de la nature arbitraire d’une telle politique, nous croyons que le système judiciaire sera confronté à une multitude de cas litigieux concernant les nombreuses utilisations de ces outils de sécurité. Au lieu de cela, ces ressources pourraient être concentrées sur la création de canaux de communication constructifs entre les experts en cybersécurité, les fabricants de voitures, les assureurs et le système judiciaire pour identifier des moyens d’améliorer la sécurité des systèmes d’entrée sans clé et de démarrage par bouton-poussoir des automobiles, et imposer des niveaux de sécurité minimaux pour les futurs produits, comme c’est le cas dans d’autres industries.

Signatures

If you agree with this letter, please sign it and share it. Signatures are added to the site roughly once a day, manually.

Si vous êtes d’accord avec cette lettre, veuillez la signer et la partager. Les signatures sont ajoutées au site manuellement, environ une fois par jour.