FaultyCat

Le FaultyCat est la « clé de choc » de l'audit matériel. Il envoie des impulsions électromagnétiques à haute énergie dans les appareils cibles, ce qui peut provoquer des dysfonctionnements. Cela permet souvent de révéler des clés de chiffrement, de contourner les contrôles de sécurité ou de réinitialiser les mécanismes de protection.

Lorsque vous lancez un audit matériel, le FaultyCat devrait être le premier outil vers lequel vous vous tournez : il peut être utilisé pour vérifier rapidement si le dispositif cible est protégé et, dans le cas contraire, le faire disfonctionner afin de révéler des secrets ou de contourner la protection.

Conçu sur la base d’un produit open source (le PicoEMP), le FaultyCat offre des fonctionnalités supplémentaires, tout en restant économique, facile à utiliser et sûr. La version 2.2 ajoute des fonctionnalités étendues.

Portable et autonome, il est alimenté par 3 piles AA, vous ne serez donc jamais à court d'énergie.
Le contrôleur Raspberry Pi intégré est entièrement accessible et programmable par l'utilisateur pour des fonctionnalités personnalisées.

Qu'est-ce que le piratage matériel ?

Les techniques d'audit matériel peuvent être classées en deux catégories : les attaques par canal auxiliaire (SCA) et l'injection de défauts électromagnétiques (EMFI). Le choix de la technique dépend en grande partie du dispositif cible. Si la puce est verrouillée mais que vous avez accès à ses lignes d'alimentation, d'horloge et de données, les attaques par canal auxiliaire seraient possibles et efficaces.

En revanche, si la cible est protégée (renforcée contre les attaques par canal auxiliaire), si ses lignes d'alimentation, d'horloge et de données ne sont pas exposées, ou si vous ne pouvez pas modifier l'appareil, l'EMFI serait la meilleure option.

Les attaques par canal auxiliaire capturent des données privilégiées en utilisant une source non protégée ou inattendue. Imaginez deux personnes discutant dans une pièce vitrée insonorisée : la lecture labiale nous permet de déduire ce qui est dit à partir des indices visuels – un « canal auxiliaire » – par opposition à l'écoute, le « canal protégé ». En matière de matériel, un exemple courant consiste à extraire des clés de chiffrement en surveillant les micro-fluctuations de la consommation d'énergie lorsque le processeur les calcule.

Les attaques par canal auxiliaire ne sont pas nécessairement passives : l'extraction par canal auxiliaire peut être provoquée en perturbant le dispositif cible : une brève surtension ou la manipulation de la ligne d'horloge de la cible peut provoquer un comportement inattendu, ce qui conduit à des fuites. Dans le contexte de la pièce vitrée : éteindre les lumières ou tapoter sur la vitre peut provoquer un comportement différent chez les personnes qui parlent — elles peuvent révéler des informations différentes ou inattendues.

L'injection de défauts électromagnétiques (EMFI) crée des défauts dans un système cible sans le toucher, en dirigeant des impulsions électromagnétiques à haute énergie vers la puce. Ces impulsions peuvent provoquer des glitches et des comportements inattendus. En synchronisant les glitches avec des processus importants de la puce, il est possible de contourner ou de passer outre le comportement normal, comme la vérification du mot de passe.

Il existe deux approches de l'EMFI : l'utilisation de dispositifs ultra-précis et ultra-sensibles (tels que le ChipSHOUTER) pour créer des expériences hautement précises et reproductibles. La deuxième approche consiste à utiliser un dispositif simple conçu pour envoyer de fortes impulsions électriques afin de provoquer un comportement inattendu.

Le wiki FaultyCat contient des informations détaillées sur les glitches EMFI et ce qu'ils permettent d'accomplir : cliquez ici pour en savoir plus.

Cycle de vie de l'audit matériel

La clé pour comprendre l'audit matériel réside dans son cycle de vie. En général, l'objectif final est le contrôle total de l'appareil : extraire le micrologiciel, les chargeurs d'amorçage ou obtenir un shell root.

Si votre appareil cible ne dispose d'aucune protection, vous pouvez vous concentrer sur l'extraction du micrologiciel.
Si la cible est verrouillée, vous devrez la déverrouiller, généralement à l'aide d'attaques par canal latéral et d'outils dédiés.
De même, si elle est protégée, vous devrez utiliser l'EMFI pour contourner la protection, puis recourir à des attaques par canal latéral pour déverrouiller la cible, avant d'extraire le micrologiciel.

Le tableau suivant présente un résumé du cycle de vie de l'audit matériel.

Appareils renforcés

Restrictions

Protection renforcée Aucune trace exposée Impossible de modifier le matériel

Approche

EMFI

Outils

ChipShouter FaultyCat

Techniques

Injection de défauts Non-invasif, non-destructeur

Inversion de bits, corruption de registres Conditions inattendues forcées

Sauts de routine et d'instructions Glitch vers du code non autorisé

Dispositifs protégés

Restrictions

Pas d'interfaces ouvertes Protection du micrologiciel

Faiblesses

Lignes d'alimentation exposées Lignes d'horloge exposées

Approche

Techniques de canal latéral

Outils

ChipWhisperer HuskyPlus

Techniques

Analyse de consommation pour l'extraction de clés et de secrets

Glitching de puissance Contournement des routines de protection

Glitching d'horloge pour contourner les routines de protection

Appareils non protégés

Restrictions

Interfaces non identifiées Puce non documentée

Faiblesses

Sécurité par l'obscurité

Approche

Énumération des broches
Extraction du micrologiciel

Outils

WHIDBoard, MACOBox, BusPirate

Techniques

Énumération des broches Détection automatique des lignes

Analyseur logique Conversion des captures en données

Prise en charge multiprotocole Connexion avec n'importe quelle interface

Détection automatique de la vitesse Détection automatique des vitesses

Étude de cas : piratage d'un calculateur automobile

Présentation pratique et approfondie utilisant un produit de type FaultyCat pour extraire des informations confidentielles d'un circuit de contrôleur automobile.