Rétro-ingénierie de MCU

Résumé

Ces derniers temps, un intérêt considérable a été porté au niveau de résistance à l'accès non autorisé que peuvent offrir les dispositifs de sécurité embarqués bon marché, tels que les cartes à puce avec et sans contact. Ces dispositifs sont largement utilisés dans les systèmes grand public et financiers, ce qui rend leur sécurité physique et cryptographique un sujet de recherche crucial. Il est bien connu que les laboratoires d'analyse de semi-conducteurs de haut niveau peuvent effectuer une rétro-ingénierie du matériel et du firmware des cartes à puce à l'aide d'équipements de test de puces professionnels. Cependant, la création et l'exploitation d'un laboratoire de semi-conducteurs moderne nécessitent des investissements en capital atteignant des millions de dollars américains, ce qui rend ces capacités inaccessibles à la plupart des attaquants individuels et des petits groupes. Dans cet article, nous décrivons un ensemble varié d'attaques pratiques contre la sécurité qui peuvent être menées avec succès par des adversaires disposant de ressources financières limitées et d'une infrastructure technique de base. Les trois principales catégories d'attaques reposent sur un équipement spécialisé mais abordable : l'analyse différentielle des erreurs via le glitch de signaux, la réécriture permanente de la mémoire de la puce et la récupération de clés cryptographiques utilisant l'effet de mémoire résiduelle. Il existe également une classe d'attaques exploitant des erreurs de conception de protocoles traditionnelles, et ces méthodes peuvent ne nécessiter aucun équipement spécialisé ou instrument de laboratoire. Nous décrivons systématiquement le principe de fonctionnement, la procédure de mise en œuvre et des exemples d'application pratique pour chaque vecteur d'attaque. Certaines des attaques proposées offrent une amélioration significative des performances par rapport aux méthodes de pointe antérieurement établies dans la recherche en sécurité embarquée. D'autres cas d'attaque servent de mises en garde précieuses pour les concepteurs de matériel, les ingénieurs de protocoles et les évaluateurs de sécurité. Dans l'ensemble, tous les scénarios d'attaque et les résultats expérimentaux présentés dans cet article démontrent de manière convaincante que la création d'un matériel résistant au piratage, la mise en œuvre d'une logique de firmware sécurisée et le déploiement efficace de ces dispositifs dans des systèmes réels sont bien plus complexes et difficiles qu'on ne le croit généralement en pratique.

1 Introduction

Un nombre croissant de systèmes numériques critiques à grande échelle s'appuient largement sur les propriétés de résistance à l'accès non autorisé des cartes à puce et des processeurs de sécurité spécialisés. Ces systèmes couvrent de nombreux domaines industriels, y compris les réseaux de télévision payante par abonnement, les systèmes mondiaux de communication mobile GSM, les compteurs prépayés de gaz et d'électricité, ainsi que les plateformes de portefeuilles électroniques sur cartes à puce sans contact pour les paiements de détail. Chacun de ces systèmes dépend d'un matériel de sécurité embarqué pour isoler les clés cryptographiques, empêcher le piratage du firmware et bloquer l'accès non autorisé aux données internes confidentielles. Cette large dépendance fait de la fiabilité des mécanismes de résistance au piratage un problème fondamental pour l'ensemble de l'écosystème de la sécurité embarquée.

Il est important de préciser que la résistance matérielle au piratage n'est jamais une propriété absolue et infaillible. Un adversaire bien financé ayant un accès complet à un équipement professionnel de test et de sondage de semi-conducteurs peut extraire le matériel clé secret d'une puce de carte à puce par observation physique directe des structures au niveau des transistors et par manipulation électrique précise des composants sur la puce. La communauté des experts en sécurité s'accorde généralement sur le consensus suivant : avec un temps illimité et des investissements financiers suffisants, tout dispositif embarqué résistant au piratage de la taille d'une puce peut être entièrement mis à nu et soumis à une rétro-ingénierie par analyse physique destructive. La littérature académique précédente a également documenté un petit ensemble de techniques techniques peu coûteuses pour attaquer des dispositifs commerciaux spécifiques résistants au piratage et des processeurs de sécurité embarqués [2].

Sur cette base, le niveau effectif de résistance au piratage offert par tout produit de sécurité commercial peut être mesuré quantitativement par deux indicateurs clés : le temps total et les coûts financiers que les mécanismes de protection intégrés du dispositif imposent à un attaquant potentiel. L'évaluation précise de ces deux coûts est une tâche vitale pour l'évaluation des risques de sécurité et la certification des produits. Malheureusement, ce problème d'évaluation spécifique a reçu beaucoup moins d'attention de la part des chercheurs académiques en sécurité, des évaluateurs industriels et des ingénieurs de développement que son importance pratique ne le mérite. La liste relativement courte de références publiées à la fin de cet article est une preuve directe de cette lacune dans la littérature existante.

Pour standardiser la classification des attaquants et guider la conception des systèmes de sécurité reposant en partie sur la résistance matérielle au piratage, nous adoptons la taxonomie classique des adversaires proposée à l'origine par le groupe de recherche en sécurité embarquée d'IBM [1]. Ce système de classification divise les attaquants potentiels en trois catégories distinctes en fonction de leurs connaissances, de leur équipement et de leur niveau de financement.

Classe I (initiés intelligents) : Ces adversaires possèdent souvent une grande intelligence et de fortes capacités d'auto-apprentissage dans le domaine de l'électronique embarquée. Cependant, ils manquent de connaissances internes approfondies sur les détails de conception du système de sécurité cible. Ils n'ont accès qu'à un équipement commercial de niveau intermédiaire, accessible à un prix abordable pour les utilisateurs individuels. Leur stratégie d'attaque se concentre généralement sur l'exploitation des faiblesses internes déjà existantes dans la logique de déverrouillage du système, plutôt que sur le développement et la création de nouveaux moyens matériels pour générer des vulnérabilités exploitables à partir de zéro. La plupart des hackers amateurs et des chercheurs en sécurité indépendants entrent dans cette catégorie.

Classe II (initiés informés) : Ces personnes ont une formation technique formelle et des années d'expérience professionnelle dans le domaine du matériel embarqué ou de la cryptographie. Elles possèdent une compréhension partielle approfondie des segments critiques du système cible et ont un accès physique et logique potentiel à la plupart des modules fonctionnels du dispositif. Elles peuvent utiliser des outils spécialisés complexes et des instruments de mesure de précision pour l'analyse matérielle, la surveillance des bus de données et la rétro-ingénierie cryptographique. Les pirates industriels professionnels et les ingénieurs seniors en systèmes embarqués agissant avec malveillance sont des adversaires typiques de classe II.

Classe III (organisations financées) : Ces entités peuvent réunir des équipes interfonctionnelles de spécialistes aux compétences complémentaires couvrant l'analyse matérielle, la cryptanalyse, la rétro-ingénierie de firmware et le piratage de protocoles. Leurs opérations sont soutenues par des ressources financières importantes et continues qui permettent des recherches et développements d'outils à long terme. Elles sont capables de mener des analyses structurelles approfondies de systèmes de sécurité complexes, de développer des méthodologies d'attaque hautement spécialisées et sophistiquées, et de déployer les équipements d'analyse de semi-conducteurs les plus avancés disponibles sur le marché. Elles font souvent appel à des initiés informés de classe II en tant que membres clés de leurs équipes d'attaque spécialisées pour accélérer l'exploitation des vulnérabilités.

Dans cet article, nous présentons, formalisons et étendons une série de méthodes d'attaque peu coûteuses qui peuvent rendre les cartes à puce grand public et les dispositifs embarqués commerciaux résistants au piratage vulnérables aux attaquants de classe II, et dans de nombreux scénarios simplifiés, même aux attaquants de classe I disposant d'un budget limité. Toutes les méthodes proposées évitent l'infrastructure de laboratoire de semi-conducteurs coûteuse requise par les attaques physiques traditionnelles, ce qui les rend pratiquement accessibles aux adversaires ordinaires.

2 Analyse différentielle des erreurs

Dans une publication emblématique [5], Biham et Shamir ont présenté l'attaque classique par analyse différentielle des erreurs ciblant le chiffrement par blocs DES. Leur attaque originale nécessitait 200 textes chiffrés erronés, chacun contenant des erreurs de données d'un bit unique provoquées par une exposition contrôlée à l'environnement externe sur le processeur cryptographique. Le modèle d'erreur de base adopté dans leur étude a été proposé pour la première fois par Boneh et ses collègues dans [11], et les effets pratiques de ce modèle d'erreur ont été confirmés et étendus dans des recherches ultérieures [16, 10]. Ce modèle théorique suppose qu'une exposition du processeur cryptographique embarqué à un rayonnement ionisant de faible intensité ou à une perturbation électrique équivalente peut induire des erreurs isolées d'un bit dans les données de travail, en particulier dans le matériel de clé secrète traité pendant les tours de chiffrement successifs des chiffrements par blocs.

Des études ultérieures [6] ont montré que cette méthode traditionnelle d'analyse d'erreurs orientée données peut être étendue à la rétro-ingénierie d'algorithmes de chiffrement par blocs propriétaires dont la structure interne des tours et la disposition des S-boîtes sont totalement inconnues de l'attaquant. Dans toutes ces premières études, l'observation critique reste inchangée : des erreurs aléatoires de bits survenant dans les derniers tours du chiffrement révèlent des informations cruciales sur la clé de chiffrement secrète ou sur la structure sous-jacente de l'algorithme. Ces fuites d'information constituent le fondement mathématique de toutes les attaques par analyse différentielle des erreurs.

Des résultats de recherche plus affinés ont été présentés dans [7], où la position d'insertion des erreurs a été optimisée pour les attaques sur les chiffrements symétriques. L'étude a prouvé que si l'insertion précise des erreurs est limitée aux seuls un ou deux derniers tours de l'algorithme cible, le nombre total d'échantillons de texte chiffré erronés requis peut être considérablement réduit. Le travail antérieur de Boneh [11] a également étendu le modèle d'erreur aux cryptosystèmes asymétriques, prouvant que les schémas de chiffrement et de signature à clé publique sont tout aussi vulnérables à l'insertion d'erreurs. Plus remarquablement, le module RSA composite peut être entièrement factorisé à l'aide d'un petit ensemble de signatures numériques délibérément erronées générées par le dispositif cible.

Malgré ces résultats théoriques prometteurs, toutes les attaques proposées ci-dessus partageaient une limitation pratique critique : aucune étude antérieure n'a démontré avec succès la faisabilité pratique de leur modèle idéalisé d'erreur aléatoire d'un bit. Cette limitation restreignait sérieusement leur application dans des conditions réelles sur des processeurs de sécurité commerciaux. Dans la plupart des processeurs de sécurité de cartes à puce grand public, le matériel de clé secrète est stocké en permanence dans la mémoire EEPROM interne avec plusieurs kilo-octets de code exécutable du système d'exploitation et de bibliothèques cryptographiques. Une telle densité de mémoire signifie qu'une erreur aléatoire d'un bit est bien plus susceptible de provoquer un plantage complet du processeur, d'endommager le firmware exécutable ou de produire un résultat non informatif totalement aléatoire que de générer les textes chiffrés erronés spécifiques requis pour l'analyse différentielle des erreurs traditionnelle. Cela rendait les premières attaques académiques par erreur largement théoriques, et non pratiques pour le piratage réel des cartes à puce.

Dans cette section de l'article, nous présentons un autre modèle d'erreur physiquement réaliste qui offre des attaques cryptographiques significativement plus puissantes et robustes que le modèle traditionnel d'erreurs de données induites par rayonnement. Dans les sections suivantes, nous examinerons des types d'erreurs supplémentaires qui peuvent être facilement provoqués par des attaquants de classe I à petit budget à l'aide d'outils artisanaux ou commerciaux bon marché. Nous prouverons que ces vecteurs d'erreur alternatifs offrent également des attaques hautement réalisables et déployables sur le terrain contre les dispositifs commerciaux résistants au piratage. La plupart des attaques proposées peuvent être adaptées à des scénarios où l'algorithme de chiffrement utilisé est inconnu ou où l'attaquant ne dispose que d'une documentation technique incomplète du système embarqué cible. Toutes ces méthodes d'attaque correspondent parfaitement à la définition opérationnelle des actions qu'un adversaire de classe I disposant de ressources limitées peut exécuter sans équipement de laboratoire industriel.

2.1 Attaque différentielle réaliste

Dans notre précédente recherche orientée industrie [2], nous avons documenté une attaque pratique par erreur qui a déjà été largement adoptée par les hackers amateurs pour pirater les cartes à puce de télévision payante. Le principe de base de cette attaque consiste à injecter un glitch électrique contrôlé — une impulsion transitoire étroite et rapide — soit sur la broche d'entrée du signal d'horloge, soit sur le bus d'alimentation de la puce du microcontrôleur cible. L'implémentation la plus courante consiste à modifier le signal d'horloge de référence standard de 5 MHz appliqué à la carte à puce en y insérant une ou plusieurs impulsions courtes à 20 MHz pendant des étapes spécifiques de l'exécution du programme.

En raison des variations matérielles internes à la puce, ce glitch d'horloge provoque une distorsion sélective du signal. Différents chemins logiques internes ont des valeurs de retard de portes uniques, et les composants internes ont divers paramètres de constante de temps RC. En conséquence, la transition injectée ne perturbe qu'un sous-ensemble des signaux logiques internes, sans perturber le fonctionnement de toute la puce. En ajustant précisément le décalage temporel et la durée de l'impulsion de glitch injectée, l'attaquant peut forcer le processeur du dispositif à exécuter une série d'instructions machine imprévues et incorrectes, déviant de la logique du firmware d'origine.

L'ensemble précis des instructions mal exécutées varie entre les différentes puces d'un même modèle en raison des variations de fabrication et des défauts mineurs du silicium. Cependant, ces paramètres de glitch exploitables peuvent être identifiés de manière fiable par une recherche systématique par force brute à l'aide de circuits matériels simples qui peuvent être entièrement assemblés à la maison à partir de composants coûtant moins de cent dollars américains. Ce faible seuil d'entrée rend l'attaque accessible à tout amateur qualifié en électronique.

Nous ne revendiquons pas l'invention originale de cette technique de glitch. Elle est apparue pour la première fois dans la communauté des pirates de télévision payante et a été activement utilisée dans les cercles clandestins au moins un an avant notre documentation académique formelle. Dans l'implémentation de base détaillée dans notre précédent travail [2], l'attaque cible une simple boucle de firmware conçue pour transmettre un segment fixe de mémoire vers le port série du dispositif.

La logique de boucle au niveau assembleur a la structure suivante :

1 b = answer_address

2 a = answer_length

3 if (a == 0) goto 8

4 transmit(*b)

5 b = b + 1

6 a = a - 1

7 goto 3

8 ...

L'objectif du hacker est de trouver le moment précis du glitch qui permet au compteur de programme de s'incrémenter normalement, mais modifie soit l'instruction de branchement conditionnel à la ligne 3, soit l'opération de décrémentation du compteur de boucle à la ligne 6 en un code opération imprévu. En injectant de manière répétée ce glitch calibré pendant l'exécution de la boucle, l'attaquant peut contourner les restrictions d'accès à la mémoire et décharger tout le contenu de la mémoire interne protégée de la puce vers l'interface série externe.

Lorsque cette attaque par glitch au niveau des instructions est appliquée à l'exécution d'un algorithme cryptographique plutôt qu'à un code de contrôle de flux basique, elle démontre une efficacité encore plus grande pour l'extraction de clés. La conclusion la plus importante de cette recherche est claire : les attaques par erreur basées sur la distorsion de l'exécution des instructions du processeur sont considérablement plus faciles à mettre en œuvre et produisent des fuites d'information plus utiles que les attaques traditionnelles qui ne déforment que les bits de données de travail. C'est un avantage clé de notre attaque différentielle réaliste par rapport aux travaux théoriques antérieurs.

2.2 Attaque sur RSA

Une variante de l'attaque par glitch d'instructions de Lenstra fournit une méthode extrêmement efficace pour pirater les implémentations RSA sur les cartes à puce commerciales. La plupart des accélérateurs RSA embarqués calculent la signature S pour un message M sur le module composite n = pq en utilisant le théorème chinois du reste (CRT). Le dispositif calcule d'abord les valeurs intermédiaires de la signature modulo les deux facteurs premiers p et q séparément, puis combine les deux résultats pour générer la signature finale valide pour le module composite.

Si un glitch électrique précis est injecté pendant l'une des deux étapes de calcul modulo un nombre premier, l'attaquant peut immédiatement factoriser le module RSA n sans calculs mathématiques complexes. Soit e l'exposant public de la clé de chiffrement RSA. Si la signature générée S = M^d (mod pq) est mathématiquement correcte modulo le nombre premier p, mais contient une erreur unitaire induite modulo le nombre premier q, alors le facteur premier p peut être calculé directement en utilisant la fonction du plus grand diviseur commun : p = gcd(n, S^e − M) (1).

Cette vulnérabilité fait des implémentations RSA basées sur CRT des cibles idéales pour les attaques par glitch peu coûteuses. La carte à puce passe la majeure partie de son temps de traitement cryptographique à calculer les valeurs de signature modulo p et q. Presque n'importe quel glitch aléatoire qui déforme la sortie de l'une de ces étapes de calcul produira la signature erronée nécessaire à la factorisation du module. L'attaquant n'a pas besoin de cibler précisément des instructions spécifiques dans le code de l'algorithme, ce qui réduit considérablement la complexité du calibrage des paramètres de glitch.

Le plus critique est que cette attaque ne nécessite qu'un seul échantillon de signature erroné pour achever la factorisation du module. Cela permet une exploitation entièrement en ligne en temps réel dans des environnements de transaction vivants. Un terminal de point de vente (POS) malveillant contrôlé par des organisations criminelles peut injecter le glitch requis pendant une transaction client normale, factoriser le module RSA de la banque en quelques millisecondes, calculer une signature valide mathématiquement correcte et transmettre les données de transaction légitimes au backend de la banque sans aucun écart détectable.

En conséquence, les groupes criminels peuvent extraire discrètement les clés secrètes RSA de la banque sans que le comportement anormal ne soit détecté dans les journaux de transactions du côté client ou du backend. La menace pratique est amplifiée par la stratégie de déploiement du nouveau standard de portefeuille électronique EMV. Les banques émettrices ne maintiennent que 10 000 paires uniques de clés secrètes RSA pour l'ensemble de leur clientèle [14]. Dès qu'un ensemble de clés est compromis par cette attaque de glitch, les criminels peuvent falsifier des cartes à puce clonées pour une partie significative de la base d'utilisateurs de la banque, entraînant des fraudes financières à grande échelle.

2.3 Attaque sur DES

Lorsqu'un attaquant obtient la capacité de provoquer sélectivement des erreurs dans des instructions individuelles ciblées du processeur, plusieurs voies d'attaque simples et efficaces s'ouvrent sur le chiffrement par blocs DES. La méthode la plus intuitive cible l'étape de mélange des clés dans les deux derniers tours de DES. L'attaquant peut désactiver l'une des opérations XOR sur 8 bits de données qui combine les sous-clés de tour avec les données d'entrée des S-boîtes en déformant le code opération correspondant par glitch.

En répétant ce glitch ciblé pour désactiver successivement chaque opération XOR de l'octet de clé, l'attaquant obtient une série de sorties de texte chiffré erronées différentes. Chaque sortie erronée diffère généralement du texte chiffré légitime dans les valeurs de sortie de deux S-boîtes, et dans de rares cas, de trois S-boîtes. L'application des méthodes classiques de cryptanalyse différentielle à ces échantillons erronés permet à l'attaquant d'extraire environ cinq bits d'information sur la clé secrète pour chaque opération d'octet de clé désactivée.

En pratique, la collecte de six textes chiffrés erronés générés par le glitch des derniers tours de DES fournit environ 30 des 56 bits de la clé maîtresse. Les bits de clé restants inconnus peuvent être récupérés par force brute avec un coût de calcul minimal sur un équipement grand public moderne. Cela réduit la complexité de calcul pour la récupération de la clé DES à une tâche triviale pour les attaquants à petit budget.

Une variante encore plus rapide de cette attaque cible la logique de contrôle de la boucle de la fonction de tour de DES. L'attaquant déforme la variable d'itération de la boucle ou l'instruction de branchement conditionnel de fin de tour par glitch, forçant l'algorithme à se terminer après un seul ou deux tours de chiffrement au lieu des seize standards. Lorsque la structure complète des tours est désactivée, la clé secrète peut être directement identifiée par analyse visuelle de la sortie de chiffrement tronquée. La performance pratique de cette attaque simplifiée dépend quelque peu de l'implémentation spécifique du firmware de la structure de boucle DES.

Dans l'ensemble, la récupération complète de la clé DES par glitch d'instructions ne nécessite qu'un à dix échantillons de texte chiffré erronés, ce qui représente une énorme amélioration par rapport aux 200 échantillons requis par l'analyse différentielle d'erreurs traditionnelle basée sur les données. Cela soulève une question pratique critique : dans quelle mesure est-il réalisable pour un attaquant à petit budget de cibler précisément des instructions individuelles spécifiques dans le firmware embarqué ?

Dans presque toutes les cartes à puce commerciales, le fabricant précharge un ensemble fixe de sous-programmes cryptographiques et de communication dans une mémoire ROM interne inaltérable. Bien que les fournisseurs présentent souvent ce code ROM comme un système d'exploitation embarqué léger, il fonctionne en pratique comme une bibliothèque de fonctions fixes et une boîte à outils de développement pour les programmeurs d'applications. Ces sous-programmes intégrés incluent presque toujours une implémentation standardisée de l'algorithme DES ou une alternative propriétaire telle que le schéma de chiffrement Telepass.

Un attaquant de classe I peut acheter la boîte à outils de développement officielle du fabricant de cartes à puce pour un coût unique de quelques milliers de dollars américains seulement. Cet ensemble comprend la documentation technique complète de la bibliothèque ROM, des interfaces de débogage de firmware complètes et des échantillons physiques de cartes pour les tests de paramètres. Fort de ces informations, l'attaquant peut localiser et cibler avec précision des instructions DES individuelles pour une injection de glitch très fiable.

Face à une implémentation de firmware totalement inconnue ou non documentée, l'attaquant doit effectuer des tests expérimentaux limités pour cartographier les fenêtres temporelles des instructions du dispositif. Cette étape de calibrage est déjà requise pour chaque nouveau modèle de carte afin de déterminer les paramètres de tension et de temps de glitch admissibles. Cependant, l'espace de recherche global pour les configurations de glitch exploitables est relativement restreint.

Après avoir analysé un petit nombre d'implémentations courantes de firmware DES, il devient facile pour les attaquants de reconnaître les modèles de données de sortie générés par la désactivation d'instructions individuelles dans les deux derniers tours. En fait, de nombreuses instructions non liées au mélange des clés dans la fonction de tour, lorsqu'elles sont désactivées par glitch, fuient presque autant d'informations de clé que les instructions XOR de sous-clé officielles. Cela simplifie encore les attaques sur des implémentations inconnues pour des adversaires novices.

2.4 Rétro-ingénierie d'un chiffrement par blocs inconnu

Les attaquants peuvent utiliser des glitches d'horloge et d'alimentation pour réduire systématiquement le nombre effectif de tours dans un chiffrement par blocs propriétaire inconnu. De simples tests de corrélation statistique peuvent suivre la relation entre les bits du texte clair d'entrée et les bits du texte chiffré de sortie. Une soudaine forte dépendance statistique indique que le nombre de tours de chiffrement a été réduit avec succès par distorsion des instructions.

Cette attaque par réduction du nombre de tours reste pratique même en l'absence totale de connaissances préalables de l'attaquant sur les détails de mise en œuvre de l'algorithme. Cette capacité ouvre un cas d'utilisation puissant : les attaquants peuvent effectuer une rétro-ingénierie de chiffrements par blocs confidentiels non publiés, tels que Skipjack, sans utiliser d'équipement coûteux de retrait des couches de semi-conducteurs et de microscopie électronique.

Biham et Shamir ont déjà exploré ce scénario de rétro-ingénierie en utilisant leur modèle d'erreur traditionnel de données aléatoires d'un bit [6, 7]. Leur méthodologie identifie des textes chiffrés erronés avec une petite distance de Hamming par rapport aux sorties légitimes, ce qui correspond à des erreurs limitées aux derniers tours de chiffrement. En analysant ces échantillons, les attaquants peuvent séparer le texte chiffré en moitiés gauche et droite de données et suivre la propagation des bits à travers les transformations de tour.

Pour les chiffrements basés sur des S-boîtes, comme DES, cette analyse révèle rapidement la structure interne de Feistel. La collecte de 500 textes chiffrés erronés permet de reconstruire la structure approximative de l'algorithme, tandis qu'environ 10 000 échantillons permettent de reconstruire complètement toutes les entrées des tables de S-boîtes. Ce processus nécessite un temps significatif pour la collecte de données et le traitement informatique.

Notre technique de glitch par distorsion d'instructions surpasse cette méthode traditionnelle pour la rétro-ingénierie de chiffrements inconnus. Les attaquants peuvent cibler systématiquement la dernière instruction, puis l'avant-dernière, et ainsi de suite, en remontant pas à pas dans la fonction de tour. Cette approche ordonnée fournit une fuite structurée qui simplifie l'analyse structurelle, tout en nécessitant à peu près le même nombre d'échantillons de texte chiffré que la méthode d'erreur de données de Biham et Shamir.

Pour démontrer l'applicabilité pratique, nous analysons le chiffrement par blocs confidentiel Red Pike comme étude de cas pratique. Red Pike a été développé par le GCHQ britannique pour chiffrer les données gouvernementales classifiées "Restricted". Le ministère britannique de la Santé prévoyait de déployer Red Pike pour chiffrer les dossiers médicaux sensibles des patients dans les systèmes de santé nationaux.

L'Association médicale britannique s'est opposée à ce déploiement, arguant que le chiffrement médical devrait utiliser des algorithmes ouverts et révisés par des pairs ayant résisté à des attaques cryptanalytiques publiques pendant au moins deux ans. Les candidats préférés étaient 3DES, Blowfish, SAFER K-128 et WAKE, tous ayant de longues histoires de vérification de sécurité.

Pour démontrer la robustesse cryptographique de Red Pike à l'Association médicale britannique, le gouvernement britannique a commandé une vérification de sécurité indépendante menée par quatre cryptographes académiques [18]. Le document d'examen publié contient des indices descriptifs limités sur la structure interne de l'algorithme sans révéler le code source complet ni la spécification.

L'examen officiel indique que Red Pike utilise les mêmes opérations primitives de base que le chiffrement par blocs RC5 (p. 4). Sa fonction de tour est limitée à trois opérations arithmétiques simples : addition d'entiers, OU exclusif binaire et rotation vers la gauche. L'algorithme ne contient pas de tables de substitution statiques, a un déroulement de clé minimal et peut être implémenté en seulement cinq lignes de code de haut niveau (p. 4).

Des indices supplémentaires publiés montrent que l'influence cryptographique de chaque bit de clé se propage rapidement dans l'état des données pendant le chiffrement (p. 10). L'opération de chiffrement complète de Red Pike nécessite environ cent instructions arithmétiques atomiques pour se terminer (p. 19). Ces indices nous permettent d'estimer la complexité de l'attaque par glitch en comparant directement avec l'algorithme bien documenté RC5 [19].

La désactivation de l'opération finale d'addition de clé de RC5 par distorsion de glitch produit un motif de sortie caractéristique. La moitié droite des données est transformée en (B XOR A) shl A, où A et B représentent respectivement les moitiés gauche et droite de l'état de Feistel. Cette signature de sortie unique montre immédiatement que le chiffrement utilise une structure de Feistel équilibrée sans couche de permutation finale.

La désactivation de l'instruction de rotation suivante révèle la largeur de rotation de 32 bits, masquant les paramètres de rotation dépendants des données. La distorsion de l'opération XOR suivante donne des changements de sortie transparents, confirmant la fonction de mélange binaire. La désactivation de l'addition de clé de l'avant-dernier tour révèle complètement la structure mathématique du fameux mécanisme de rotation dépendant des données dans RC5.

Après avoir observé ces motifs de sortie, l'attaquant peut déduire avec précision la structure de base de la fonction de tour de l'algorithme :

A = ((A XOR B) shl B) op key

B = ((B XOR A) shl A) op key

La rétro-ingénierie complète du déroulement complexe des clés de RC5 nécessite un traçage pas à pas supplémentaire des instructions à l'aide de glitches supplémentaires. Cependant, si l'attaquant devine correctement que l'opération "op" inconnue est une addition d'entiers, tous les bits des sous-clés de tour peuvent être directement récupérés en parcourant à rebours les tours de chiffrement tronqués.

Cette analyse aboutit à une conclusion critique sur la sécurité : à l'exception du déroulement complexe des clés, RC5 est l'un des pires choix d'algorithmes pour les applications embarquées avec du matériel secret. Les dispositifs implémentant RC5 sont très vulnérables aux attaques par glitch d'instructions peu coûteuses de la part d'attaquants de classe I. Si Red Pike partage cette structure de tour simple avec un déroulement de clé simplifié, il sera encore plus sensible à nos attaques par erreur peu coûteuses proposées.

Il est important de noter que le gouvernement britannique prévoit de publier éventuellement Red Pike en tant que logiciel open source, donc cette analyse n'est pas une critique directe de la conception cryptographique fondamentale de l'algorithme. Elle souligne simplement les vulnérabilités spécifiques aux implémentations matérielles fermées de chiffrements par blocs légers simples.

Nos conclusions donnent des recommandations claires pour les concepteurs de matériel sécurisé. Les algorithmes secrets propriétaires implémentés dans des puces résistantes au piratage doivent inclure une complexité structurelle accrue pour augmenter le coût de l'attaque. De grandes tables S-boîtes personnalisées stockées dans une EEPROM dédiée (physiquement séparée de la mémoire programme) sont une contre-mesure efficace qui augmente la complexité matérielle nécessaire à la réussite des attaques par glitch.

D'autres mesures de protection raisonnables incluent une logique de détection d'erreurs d'exécution des instructions, un chiffrement multiple par seuil avec vérification par vote et un déroulement de clé complexe garantissant que la fuite de sous-clés partielles ne peut pas être exploitée pour récupérer la clé maîtresse secrète complète.

3 Attaques par réécriture de puce

Lorsqu'un attaquant possède la documentation complète du firmware et de la disposition matérielle du dispositif cible, il existe plusieurs méthodes peu coûteuses pour extraire des clés cryptographiques secrètes en agissant sur des composants matériels spécifiques. Ces méthodes incluent la manipulation des bits de fusibles intégrés, la modification des états de portes logiques individuelles et la réécriture de données critiques stockées dans des zones de mémoire non volatile. Une recherche antérieure de Bovenlander a documenté une attaque classique sur les cartes à puce utilisant deux micro-aiguilles de précision pour court-circuiter un fusible de sécurité volontairement grillé sur la puce [12].

Ce fusible est intentionnellement grillé pendant le cycle de test final en usine pour désactiver de manière permanente les interfaces de débogage et de lecture inverse de la mémoire de la puce. En court-circuitant électriquement le fusible avec des micro-aiguilles, l'attaquant réactive les fonctions de test d'usine bloquées. Ces fonctions de test restaurées permettent une lecture complète du contenu de la mémoire programme et des données protégées de la puce sans aucune restriction cryptographique.

Même si le court-circuit du fusible est bloqué par des verrous matériels supplémentaires, des cellules de mémoire individuelles peuvent encore être exposées et modifiées par des méthodes physiques peu coûteuses. Toutes les attaques de cette catégorie peuvent être menées avec un budget modeste accessible à des attaquants individuels de classe I, sans nécessiter d'installations de production de semi-conducteurs coûtant des millions de dollars.

3.1 Attaques par réécriture de ROM

La mémoire ROM de masque inaltérable, généralement utilisée pour stocker les systèmes d'exploitation et les bibliothèques cryptographiques des cartes à puce, n'est pas totalement résistante à la modification physique. Des bits individuels dans les cellules ROM peuvent être sélectivement commutés à l'aide d'un microscope laser de découpe standard, un équipement largement disponible dans les laboratoires universitaires.

Pour des algorithmes bien documentés comme l'implémentation standard de DES, les attaquants peuvent identifier des bits critiques spécifiques dans le code ROM. La commutation de ces bits soigneusement sélectionnés permet une extraction triviale de la clé secrète avec un minimum de calculs ultérieurs. Les positions précises des bits varient quelque peu selon les implémentations des différents fabricants, mais des motifs de bits vulnérables universels existent dans la plupart des codes ROM DES grand public.

Un exemple d'exploitation courant consiste à modifier une instruction de branchement conditionnel en une instruction de branchement inconditionnel. Ce simple changement de bit contourne la logique d'itération des tours et force DES à terminer le chiffrement après un seul ou deux tours, rendant la clé directement visible dans la mémoire pendant l'exécution. Les attaquants peuvent également désactiver progressivement les instructions XOR de mélange de clés en commutant des bits individuels du code opération dans le programme ROM.

Lorsque l'attaquant ne dispose que d'une documentation incomplète du firmware cible, les attaques par réécriture de ROM offrent encore des voies d'exploitation puissantes. Les tables S-boîtes fixes de DES stockées dans la ROM peuvent être facilement identifiées par leurs motifs statistiques de distribution de bits connus. La réécriture sélective de quelques bits des S-boîtes transforme la fonction de substitution non linéaire de DES en une simple transformation linéaire sur le corps GF(2).

Une fois la fonction de chiffrement linéarisée par modification de la ROM, la clé maîtresse complète de 56 bits de DES peut être mathématiquement extraite en utilisant seulement une paire connue de texte clair et de texte chiffré. Cela élimine le besoin de multiples échantillons d'erreurs ou d'algorithmes de cryptanalyse complexes.

3.2 Attaques par modification de EEPROM

De nombreuses cartes à puce modernes stockent le firmware applicatif et les algorithmes cryptographiques dans une EEPROM réinscriptible plutôt que dans une ROM de masque fixe. Cette flexibilité de stockage permet des mises à jour de firmware sur le terrain, mais introduit des surfaces d'attaque physiques supplémentaires. Les attaquants peuvent utiliser deux micro-aiguilles finement affûtées pour forcer la mise à un ou la mise à zéro de n'importe quel bit individuel dans la matrice EEPROM [17].

Cette méthode de manipulation de bits par micro-aiguilles peut reproduire toutes les attaques par réécriture de ROM décrites précédemment sur les dispositifs à mémoire réinscriptible. L'avantage unique du ciblage de l'EEPROM est le contrôle bidirectionnel des bits : les attaquants peuvent à la fois mettre des bits 0 à 1 et remettre des bits 1 à 0, créant des stratégies d'exploitation bien plus flexibles que la commutation unidirectionnelle des bits ROM.

L'exploitation pratique utilise la règle de parité impaire appliquée par toutes les implémentations officielles de DES. Chaque octet de 8 bits de la clé DES doit avoir une parité impaire comme mécanisme de vérification d'intégrité. Les dispositifs de sécurité correspondants rejettent toute clé chargée contenant des octets de parité paire et renvoient un message d'erreur de parité explicite à l'interface hôte.

Les modules de sécurité bancaires, tels que le matériel VISA PIN, appliquent strictement cette règle de parité pour empêcher toute manipulation non autorisée des clés. Supposons qu'un attaquant connaisse l'adresse mémoire fixe de la clé DES cible stockée dans l'EEPROM, mais ne puisse pas lire directement la zone mémoire protégée par des commandes logicielles standard. Ce scénario est extrêmement courant, car les développeurs de firmware de cartes à puce placent souvent les clés secrètes à des adresses EEPROM fixes pour un accès facile lors de l'exécution.

L'attaquant peut exécuter une simple attaque par devinette de bits à l'aide de micro-aiguilles. D'abord, l'attaquant force le premier bit de l'octet de clé cible à l'état logique 1 à l'aide d'une micro-aiguille. Ensuite, l'attaquant initie une opération de chiffrement avec la clé modifiée et observe la réponse du dispositif.

Si l'opération de chiffrement se termine avec succès sans erreur, la valeur native d'origine du bit était déjà 1. Si le dispositif renvoie une notification d'erreur de parité de clé, la valeur native d'origine du bit était 0. L'attaquant répète cette procédure séquentiellement pour chaque bit des huit octets de la clé afin de reconstruire complètement la clé maîtresse secrète DES.

Cette attaque fonctionne même si l'attaquant ne comprend pas parfaitement le protocole de redondance de clé propriétaire du dispositif. Si la modification d'un bit provoque un état d'erreur inattendu non lié à la parité, l'attaquant remet simplement le bit dans son état d'origine et passe à la position suivante. Ce processus auto-correcteur garantit zéro dommage permanent au dispositif cible pendant la récupération de la clé.

L'équipement nécessaire à cette attaque est largement disponible. Les bancs de micro-aiguilles sont un équipement standard dans les départements de génie électrique des universités, tandis que les microscopes laser de découpe sont couramment trouvés dans les laboratoires de biologie cellulaire pour le traitement d'échantillons de tissus. Les étudiants de premier cycle ont souvent un accès non contrôlé à ces équipements en dehors des heures de cours pour des projets académiques. Les attaquants externes de classe I peuvent acheter des versions remises à neuf de ces outils sur le marché secondaire pour un coût total ne dépassant pas quelques milliers de dollars américains.

3.3 Attaques par destruction de portes

Lors d'une réunion informelle du séminaire Fast Software Encryption de 1997, Eli Biham et Adi Shamir ont présenté une attaque physique innovante ciblant les chiffrements par blocs implémentés matériellement. Leur méthode utilise un laser de découpe de précision pour détruire de manière permanente une seule porte logique individuelle dans le circuit matériel du processeur cryptographique.

Leur démonstration s'est concentrée sur des implémentations matérielles accélérées de DES qui suivent une structure itérative commune. La plupart des cœurs matériels DES contiennent une logique combinatoire pour exécuter un seul tour de chiffrement associé à un registre d'état dédié. Ce registre stocke la sortie du tour k et la renvoie comme état de données d'entrée pour le tour k+1 pour achever le processus itératif.

Biham et Shamir ont prouvé que la destruction du chemin de rétroaction du bit de poids faible (LSB) de ce registre d'état force le LSB de toutes les sorties de la fonction de tour à rester constamment à l'état logique 0. Cette erreur matérielle d'un bit crée un biais persistant dans toutes les sorties de chiffrement ultérieures.

En comparant statistiquement les six bits de poids faible des moitiés gauche et droite des données dans plusieurs textes chiffrés erronés, l'attaquant peut récupérer plusieurs bits individuels des sous-clés de tour secrètes. La collecte d'environ dix textes chiffrés provenant d'une puce physiquement endommagée fournit suffisamment de données pour une cryptanalyse différentielle afin de déduire la majeure partie du matériau des clés de tour.

Après avoir récupéré la majeure partie des clés de tour, les bits inconnus restants de la clé maîtresse de 56 bits peuvent être trouvés par une recherche par force brute triviale sur un équipement grand public. Cette attaque est devenue la première méthode prouvée pour pirater des implémentations matérielles de DES lorsque le texte clair d'entrée reste totalement inconnu de l'attaquant.

Cette capacité indépendante du texte clair rend l'attaque particulièrement dangereuse pour les applications réelles de cartes à puce. La plupart des cartes à puce de paiement utilisent des données d'état de transaction internes comme texte clair pour le chiffrement, ce qui signifie que les valeurs d'entrée ne sont jamais révélées à des parties externes pendant le fonctionnement normal.

Nous proposons une contre-mesure matérielle simple et peu coûteuse pour bloquer cette attaque par destruction de portes. Une puce modifiée par endommagement sélectif de portes perd la propriété mathématique selon laquelle le chiffrement et le déchiffrement sont des opérations inverses. Les développeurs peuvent ajouter une auto-vérification légère pendant l'exécution qui vérifie automatiquement cette relation inverse au démarrage du dispositif.

L'auto-vérification exécute une séquence de vérification simple : générer un bloc de texte clair aléatoire, le chiffrer avec une clé de test temporaire, déchiffrer le texte chiffré obtenu et comparer la sortie déchiffrée avec le texte clair original. Une non-concordance indique une interférence matérielle permanente, et le dispositif peut verrouiller définitivement tout le matériel de clé secrète pour empêcher toute exploitation ultérieure. L'un de nos clients industriels a déjà implémenté ce mécanisme d'auto-vérification dans une nouvelle puce sécurisée en cours de développement.

4 Attaques sur la mémoire résiduelle

Dans un article fondateur de la conférence USENIX [15], Gutman a documenté de manière exhaustive les mécanismes physiques de la mémoire résiduelle — le phénomène par lequel la RAM statique (SRAM) et la RAM dynamique (DRAM) conservent les valeurs de données précédemment stockées pendant un temps significatif après la mise hors tension. Cet effet de rétention de données à long terme soulève des questions de sécurité critiques pour les ingénieurs concevant des systèmes de stockage de clés sécurisés.

Un ingénieur en sécurité responsable doit analyser comment les caractéristiques de la mémoire résiduelle en conditions réelles affectent la protection des clés cryptographiques stockées dans le matériel de sécurité embarqué. Nous avons mené une étude de cas pratique ciblant des modules de sécurité bancaires anciens largement déployés dans les réseaux mondiaux de distributeurs automatiques de billets pour quantifier ce risque dans des systèmes financiers en activité.

La plupart des banques internationales adoptent un système standardisé de gestion des codes PIN, initialement développé par IBM et ensuite affiné par VISA pour la sécurité des transactions aux distributeurs automatiques [4]. Ce système régit la manière dont les numéros d'identification personnels (PIN) des clients sont générés, stockés et vérifiés dans des modules de sécurité matériels (HSM) spécialisés.

Le code PIN d'un utilisateur est mathématiquement dérivé du numéro de compte bancaire principal en utilisant un processus cryptographique standardisé. D'abord, le numéro de compte est chiffré avec une clé DES de 64 bits dédiée au PIN. La sortie binaire du texte chiffré est ensuite décimalisée en une chaîne de chiffres. Une valeur de décalage décimal fixe est ajoutée sans retenue à ce résultat intermédiaire pour générer le code PIN final de l'utilisateur. Le paramètre de décalage permet aux banques de permettre aux clients de personnaliser leurs propres valeurs de PIN mémorables sans modifier la logique cryptographique de base.

L'exemple de calcul standardisé officiel de la spécification de sécurité VISA [4] est le suivant :

Numéro de compte : 8807012345691715

Clé PIN : FEFEFEFEFEFEFEFE

Résultat DES : A2CE126C69AEC82D

Résultat décimalisé : 0224126269042823

PIN naturel : 0224

Décalage : 6565

PIN utilisateur : 6789

Le HSM bancaire exécute toutes les opérations de dérivation, vérification et gestion des clés PIN dans un matériel de confiance physiquement résistant au piratage. Cette isolation matérielle garantit une politique de double contrôle qui stipule qu'aucun employé de banque ne peut obtenir un accès complet au PIN en clair d'un client à aucun moment du traitement d'une transaction [20].

Pour assurer cette politique, le HSM restreint l'autorisation des commandes en fonction des classes de propriété des clés. Par exemple, le dispositif exécute une commande de vérification de PIN uniquement si la valeur PIN fournie est chiffrée avec une clé unique attribuée exclusivement au terminal de distributeur automatique ou à l'agence bancaire requérante. Ce contrôle d'accès empêche l'utilisation du HSM comme oracle cryptographique pour mener des attaques par force brute sur les valeurs de PIN des clients.

Toutes les clés internes du HSM sont classées en groupes fonctionnels distincts. Chaque clé de travail est chiffrée avec 3DES en utilisant l'une des douze paires de clés maîtresses DES stockées dans la zone SRAM basse adresse du HSM. Les clés de communication avec les distributeurs sont chiffrées sous les paires maîtresses 14 et 15, tandis que les clés de règlement interbancaire utilisent les paires 6 et 7 pour l'isolation.

Les valeurs chiffrées des clés à long terme, telles que la clé critique de dérivation de PIN, sont intégrées directement dans le code binaire du firmware applicatif du HSM. Ces blocs de clés chiffrés sont entièrement visibles par tous les programmeurs bancaires ayant accès au code source du firmware, ce qui signifie que la seule couche protégeant les clés maîtresses en clair est la résistance physique du HSM au piratage.

La protection physique contre le piratage est mise en œuvre à l'aide d'interrupteurs internes sur le capot. L'ouverture du boîtier métallique du HSM active les interrupteurs, qui coupent immédiatement l'alimentation de la zone de stockage des clés SRAM pour effacer instantanément toutes les clés maîtresses en clair. Le dispositif nécessite un remplacement de batterie tous les quelques années lors de la maintenance programmée, et le personnel de confiance de la banque recharge les composants des clés maîtresses après chaque opération de maintenance.

Nous avons obtenu et testé un ancien bloc HSM produit à la fin des années 1980 pour notre expérience sur la mémoire résiduelle. Après avoir complètement mis le dispositif hors tension pendant une longue période, puis rétabli l'alimentation, nous avons découvert que les valeurs des clés maîtresses stockées dans la SRAM étaient restées presque entièrement intactes.

Seulement 5 % à 10 % des bits de la clé ont subi des altérations aléatoires dues à la dégradation de la mémoire résiduelle pendant la période de mise hors tension. Il nous est interdit de révéler les valeurs exactes correctes des clés maîtresses, les valeurs résiduelles partielles lues, le nom de la banque concernée et le fabricant du dispositif en raison des accords de confidentialité signés avant la recherche.

Ce taux modéré d'erreurs de bits dues à la mémoire résiduelle est déjà alarmant en soi. Cependant, la combinaison de cet effet de mémoire résiduelle avec la vérification de parité impaire intégrée de DES crée une vulnérabilité extrêmement dangereuse qui réduit considérablement la complexité des attaques de récupération de clés.

Si la clé double DES récupérée contient environ cinq bits endommagés en raison de la SRAM résiduelle, un analyste de sécurité naïf pourrait supposer que la complexité de la recherche par force brute est égale au coût combinatoire de correction de 10 bits erronés dans l'espace de clés de 112 bits. Cela nécessiterait le calcul de (112 choose 10) opérations DES, ce qui semble à première vue coûteux en calcul.

Chaque hypothèse de clé candidate nécessite deux étapes de calcul : d'abord, déchiffrer le bloc de clé PIN chiffré public en utilisant la clé double DES candidate. Ensuite, pour les candidats avec une parité impaire valide, chiffrer un numéro de compte de test pour vérifier si la sortie décimalisée correspond au PIN client cible. La charge théorique totale approche 3 × (112 choose 10) opérations DES, ce qui équivaut à une complexité de calcul d'environ 2^50.

Une recherche par force brute accélérée matériellement sur la clé PIN révélée serait encore moins coûteuse que l'exécution de ce flux de recherche théorique complexe. Cependant, la redondance de parité au niveau des octets DES réduit la complexité réelle de l'attaque de plusieurs ordres de grandeur en écartant délibérément les candidats de clé invalides.

Si aucun octet de clé ne contient deux erreurs de bits simultanées (le scénario le plus courant), l'attaquant n'a besoin que de sept hypothèses par octet observé avec une parité paire pour rétablir une parité valide. Pour une clé double DES standard de 10 octets, la complexité totale est réduite à 3 × 7^10 ≈ 2^30 opérations, ce qui est trivial pour les dispositifs de calcul grand public modernes.

Même dans le pire des cas, où un octet de clé contient deux erreurs de bits, la complexité totale de la recherche n'augmente qu'à environ 2^38 opérations DES. Cette charge est tout à fait réalisable pour un attaquant de classe I déterminé utilisant des installations GPU bon marché pour le craquage de mots de passe disponibles sur le marché grand public.

La vérification de parité DES a une histoire bien documentée de création de vulnérabilités de sécurité, plutôt que de renforcer la protection. Dans un incident historique, un code DES avec parité forcée a été intégré à une application Telnet chiffrée. Les clés de session dérivées de l'échange de clés Diffie-Hellman sont générées aléatoirement, donc seulement 1 clé sur 256 générées satisfaisait aux exigences de parité impaire DES.

Toutes les autres tentatives d'échange de clés échouaient au chargement, et comme le firmware ne vérifiait pas les codes de retour des fonctions, la session chiffrée continuait avec un matériel de clé non initialisé aléatoire, créant une menace de sécurité catastrophique [8]. Dans un autre incident bancaire, une mauvaise compréhension a conduit plusieurs institutions à utiliser des mots de passe ASCII avec parité impaire forcée comme leurs clés PIN opérationnelles.

Les caractères ASCII ont toujours un zéro dans le bit de poids fort, tandis que la vérification de parité DES ne vérifie que le bit de poids faible de chaque octet. Cette incohérence réduit l'entropie effective des clés dérivées de mots de passe en dessous de la limite théorique de 2^48, affaiblissant encore la protection contre les attaques par dictionnaire [13]. Ces exemples historiques prouvent que la redondance de parité des clés crée constamment des surfaces d'attaque imprévues lorsqu'elle est mal intégrée dans des systèmes réels.

5 Erreurs de protocole

Les erreurs de conception de protocoles cryptographiques sont un vecteur d'attaque beaucoup plus courant que la plupart des experts en sécurité ne le reconnaissent [3]. De nombreuses vulnérabilités de protocole ne nécessitent pas d'équipement de laboratoire coûteux pour être exploitées, et certaines peuvent être utilisées avec seulement des modifications logicielles de base ou une simple surveillance passive des signaux.

Un exemple classique cible les décodeurs commerciaux de télévision par satellite par abonnement, qui utilisent une architecture matérielle à deux puces. Un coprocesseur cryptographique spécialisé gère le déchiffrement des flux vidéo diffusés, tandis que le microcontrôleur principal gère toute la communication entre le coprocesseur et la carte à puce de l'abonné contenant les clés.

Lorsqu'un client cesse de payer son abonnement, l'opérateur de diffusion envoie un message de contrôle ciblé par voie hertzienne destiné à désactiver définitivement la carte à puce du client et à bloquer tout futur déchiffrement vidéo. Le célèbre piratage "Kentucky Fried Chip" a exploité cette logique de protocole simple en remplaçant le microcontrôleur principal du dispositif par un bloc tiers modifié.

Le microcontrôleur modifié contenait un firmware personnalisé qui identifie et rejette le message de désabonnement avant qu'il n'atteigne la carte à puce. Ce remplacement matériel trivial contourne complètement le système de contrôle d'accès à distance de l'opérateur sans aucun coût récurrent pour l'attaquant [3].

Une autre attaque bien documentée sur les erreurs de protocole cible le microcontrôleur embarqué sécurisé Dallas Semiconductor DS5002FP, comme détaillé dans notre précédente recherche [2]. Ce dispositif utilise une mémoire chiffrée hors puce pour protéger le firmware externe et le stockage de données. Une erreur critique de protocole dans la logique d'authentification de la mémoire permet aux attaquants de contourner complètement la frontière de chiffrement et de lire tout le contenu de la mémoire externe en clair sans aucune manipulation physique du dispositif.

Les attaques sur les protocoles les plus graves ne nécessitent aucun équipement spécialisé, reposant uniquement sur une logique de transaction erronée et des brèches dans le contrôle d'accès. Nous avons découvert une telle vulnérabilité sans équipement, résultant d'une modification du logiciel utilisateur déployé sur un parc de modules de sécurité matériels d'une grande banque.

La banque a initié une mise à niveau de son système bancaire central qui nécessitait de modifier le format numérique de tous les numéros de comptes clients dans sa base de données transactionnelle. Comme le code PIN standard du client est cryptographiquement dérivé directement du numéro de compte, ce changement de format modifiait automatiquement la valeur PIN par défaut de chaque utilisateur.

Pour éviter le mécontentement des clients et les coûts de support liés à une réinitialisation massive des PIN, la banque a cherché un moyen de conserver les codes PIN existants des clients après la migration des numéros de comptes. L'équipe de sécurité prévoyait de calculer les valeurs de décalage décimal ajustées pour chaque compte de manière à ce que le code PIN final de l'utilisateur reste identique avant et après la migration de la base de données.

Le firmware d'usine du HSM de la banque n'incluait pas par défaut de commande de transaction pour calculer ces décalages de migration. Cette omission délibérée était une fonction de sécurité destinée à empêcher toute manipulation de la dérivation des PIN par réaffectation arbitraire des numéros de comptes.

La banque a contacté le fabricant de l'équipement avec une demande de création d'un correctif de firmware personnalisé implémentant la transaction de calcul de décalage requise. Le fabricant a fourni le fichier binaire modifié avec un avertissement écrit clair : la commande personnalisée était extrêmement dangereuse pour une utilisation générale et ne devait être exécutée qu'une seule fois lors de la migration par lots, puis être définitivement supprimée du firmware du HSM.

Le fabricant n'a pas explicitement documenté les risques de sécurité spécifiques introduits par la commande personnalisée, laissant l'équipe d'ingénierie de la banque dans l'ignorance de l'ampleur totale de la vulnérabilité. En raison de rotations de personnel internes non planifiées et de retards dans les délais du projet, la migration des numéros de comptes a été reportée indéfiniment.

En conséquence, le correctif de firmware personnalisé dangereux est resté installé en permanence sur tous les blocs HSM de production de la banque sans date de suppression prévue. Cela a laissé une porte dérobée de protocole critique ouverte à tout initié disposant de privilèges d'accès de base aux commandes du HSM.

Environ douze mois après le déploiement du correctif, un programmeur de bas niveau de la banque a découvert une vulnérabilité critique dans la syntaxe de la transaction personnalisée. La commande non documentée avait la structure fonctionnelle suivante : pour un numéro de compte source X et un décalage existant Y, calculer un nouveau décalage Z préservant la valeur PIN d'origine pour le numéro de compte cible.

Un programmeur malveillant pouvait saisir le numéro de compte de n'importe quel client et sa valeur de décalage en clair actuelle (la plupart par défaut égale à zéro) comme paramètres X et Y. Puis il saisissait son propre numéro de compte comme valeur cible Z. Le HSM renvoyait le décalage requis pour copier instantanément le PIN de la cible sur son compte.

En utilisant cette simple exploitation de protocole, un initié pouvait trivialement calculer et extraire le PIN en clair de n'importe quel compte client dans la base de données de la banque sans aucun piratage matériel physique, cassage cryptographique ou privilèges système élevés.

Heureusement pour la banque et ses clients, le programmeur éthique a signalé de manière responsable la vulnérabilité du protocole à la direction de la sécurité informatique de la banque au lieu de l'exploiter à des fins financières ou de vol de données. Cet incident sert d'exemple puissant des dangers des modifications non documentées du firmware dans le matériel de sécurité de confiance.

6 Conclusions

Dans cet article, nous avons considérablement fait progresser l'état de l'art de l'analyse différentielle des erreurs pour les dispositifs de sécurité embarqués. Notre modèle d'erreur orienté instructions réduit le nombre de textes chiffrés erronés nécessaires à la récupération complète de la clé DES de 200 échantillons traditionnels à seulement un à dix, réduisant ainsi considérablement la barrière pour les attaquants à petit budget.

Nous avons montré que les implémentations RSA basées sur CRT peuvent être entièrement piratées avec une seule signature erronée générée par des attaques de glitch en temps réel, permettant une factorisation de module invisible sur place lors de transactions de détail ordinaires. Cela crée des menaces immédiates pour la sécurité mondiale des cartes de paiement EMV.

Notre technique permet également une rétro-ingénierie efficace de chiffrements par blocs propriétaires totalement inconnus. Pour les algorithmes logiciels compacts comme RC5, notre méthode de distorsion d'instructions surpasse l'analyse d'erreur classique basée sur les données de Biham et Shamir à la fois en vitesse et en simplicité de mise en œuvre.

Contrairement à de nombreuses études académiques antérieures sur les attaques par erreur, qui reposaient sur des modèles d'erreur théoriques idéalisés, toutes les méthodes présentées dans ce travail utilisent des mécanismes d'erreur physiquement réalistes et expérimentalement validés. Chaque attaque décrite a été mise en œuvre avec succès en laboratoire et est directement applicable à des dispositifs résistants au piratage déployés commercialement sur le terrain.

La percée conceptuelle fondamentale de notre recherche est le déplacement de l'insertion d'erreur de la distorsion des bits de données en temps d'exécution vers la distorsion du flux d'exécution des instructions du processeur. Ce simple changement de paradigme crée une fuite plus robuste, une couverture d'attaque plus large et des coûts de mise en œuvre plus faibles pour toutes les attaques embarquées par erreur.

Nous avons également confirmé que l'équipement de laboratoire courant et peu coûteux, accessible aux étudiants universitaires et aux amateurs individuels, peut être utilisé pour des attaques physiques sur la surface de la puce. Les micro-aiguilles et les lasers de découpe, disponibles pour quelques milliers de dollars seulement, permettent d'extraire des clés de dispositifs présentés comme cryptographiquement sécurisés et physiquement résistants au piratage.

Notre recherche confirme que les mécanismes de redondance des clés cryptographiques, tels que la règle de parité impaire obligatoire pour les clés DES, amplifient considérablement l'impact des vulnérabilités physiques de la mémoire. Cela renforce une leçon clé des études antérieures sur la sécurité embarquée [9] : la conception de la redondance des clés nécessite une analyse de sécurité bien plus rigoureuse que ce que les développeurs d'algorithmes ont historiquement accordé.

Un exemple réel frappant est l'interaction dangereuse entre les règles de parité des octets DES et les effets de la SRAM résiduelle dans les HSM bancaires anciens. Cette combinaison permet à des attaquants peu qualifiés de récupérer des ensembles complets de clés maîtresses à partir de modules de sécurité mis hors service ou jetés avec un effort de calcul minimal.

Sur la base de cette constatation, nous recommandons une politique opérationnelle stricte : tous les modules de sécurité résistants au piratage mis hors service contenant un stockage permanent de clés doivent subir une destruction physique complète, y compris le broyage des puces SRAM, pour empêcher les attaques de récupération de clés après la fin de vie.

Enfin, notre travail classe les attaques en deux classes complémentaires : les exploits matériels physiques et les vulnérabilités purement protocolaires. De nombreuses violations de sécurité critiques contournent les mécanismes complexes de résistance physique au piratage en exploitant des erreurs subtiles dans la logique des protocoles de communication et de transaction.

Dans l'ensemble, tous les résultats expérimentaux et études de cas de cet article prouvent deux vérités fondamentales pour la communauté de la sécurité embarquée. Premièrement, la création de dispositifs matériels véritablement robustes contre le piratage est exponentiellement plus complexe que ne le suggère la compréhension massive de l'industrie. Deuxièmement, la programmation d'un firmware sécurisé et le déploiement correct de ces dispositifs dans des systèmes distribués complexes constituent un défi d'ingénierie tout aussi complexe.