Des chevaux de Troie matériels indétectables ?

Cela ressemble à un scénario catastrophe. Si les développements du scandale Prism ont semé le doute sur les implémentations des mécanismes de chiffrement dans les logiciels et les équipements informatiques, le pire pourrait être à venir, si l’on en croît les travaux de quatre chercheurs originaires des deux côtés de l’Atlantique.  

Ceux-ci proposent en effet une «approche extrêmement discrète de l’implémentation de chevaux de Troie matériels en-deçà du niveau de la porte logique», comprendre, au niveau du transistor. Une menace qui pourrait avoir des conséquences considérables dans la mesure où il est illusoire de chercher à examiner et valider chaque composant électronique à l’échelle du transistor. Et les quatre chercheurs d’expliquer que, «au lieu d’ajouter des composants supplémentaires à l’équipement cible, nous insérons notre cheval de Troie matériel en modifiant la polarité du dopant de transistors existants.» Mais, «puisque le circuit modifié paraît légitime à toutes les couches de câblage, notre famille de chevaux de Troie résiste à la plupart des techniques de détection, y compris l’inspection optique.»

Inimaginable ? Les quatre chercheurs appuient leurs propos de démonstrations appliquées à un système de post-traitement numérique «dérivé du système de génération de nombres aléatoires d’Intel utilisé dans les processeurs Ivy Bridge» et à une implémentation «de SBox [composant de base des algorithmes de chiffrement symétrique] résistante aux attaques par canaux auxiliaires », comme l’analyse de consommation différentielle, par exemple.  

Commentant les travaux des chercheurs, l’expert Bruce Schneier, fait le lien avec la NSA, expliquant qu’il ne sait pas «si la NSA a convaincu Intel de faire cela dans son générateur de nombres aléatoires» mais qu’il «sait qu’elle pourrait ». Refusant de s’étendre sur les «théories de la conspiration», il admet toutefois que, à la suite des révélations relatives aux pratiques de la NSA, «on ne sait plus à qui faire confiance ».