Qu’est-ce qu’une attaque par canal secondaire en cybersécurité ?

Chetan Jaiswal de l'Université Quinnipiac explique ce qu'est une attaque par canal secondaire et son impact sur la cybersécurité moderne.

Lorsque les gens entendent le mot cyberattaque, ils imaginent généralement quelqu'un devinant un mot de passe, installant un logiciel malveillant, volant un ordinateur, piratant le réseau d'une organisation ou exploitant une faille dans un logiciel. Une attaque par canal secondaire fonctionne différemment. Il recherche les indices qu'un ordinateur donne lors d'un travail ordinaire.

Une analogie simple est celle d’un coffre-fort verrouillé. Un voleur peut ne pas connaître la combinaison et ne pas être en mesure de casser la serrure. Mais si le voleur peut écouter attentivement pendant que le cadran tourne, de petits clics, des barattements ou des pauses pourraient révéler quelque chose sur ce qui se passe à l’intérieur. Le coffre-fort n’est pas destiné à partager ces informations, mais son comportement physique laisse néanmoins échapper des indices.

Les ordinateurs modernes ont leurs propres versions de ces indices. Par exemple, chaque ordinateur peut prendre un temps différent pour accomplir différentes tâches ou utiliser différentes quantités d'électricité. Le matériel – processeurs, mémoire, cartes graphiques et disques de stockage – peut laisser de minuscules traces lors de son fonctionnement.

je suis un informaticien qui étudie la sécurité et la confidentialité. Je définis une attaque par canal secondaire comme une tentative d'observer ces indices indirects et de les utiliser pour déduire quelque chose de privé.

C’est ce qui rend ces attaques par canal secondaire inhabituelles. La faiblesse vient de la manière dont une machine effectue son travail. L'attaquant ne vole pas directement un mot de passe ni ne s'introduit dans l'ordinateur, mais étudie les traces laissées par la machine pendant son fonctionnement.

Histoire de fuite

L'idée n'est pas nouvelle. En 1985, le chercheur néerlandais Wim van Eck a montré que les signaux électromagnétiques émis par les écrans vidéo pourrait être capturé et décodéce qui soulève la possibilité d’écouter ce qu’un écran affiche. L'écran ne diffusait pas intentionnellement son contenu. Il y avait des fuites de signaux comme effet secondaire du fonctionnement.

Dans les années 1990, les attaques par canal secondaire sont devenues particulièrement importantes dans le domaine de la cryptographie, la science de la protection des informations. En 1996, le chercheur en cryptographie Paul Kocher a montré que mesurer soigneusement la durée de certaines opérations pourrait révéler des informations privées à partir de systèmes utilisant des méthodes cryptographiques courantes. Quelques années plus tard, Kocher et ses collègues cryptographes Joshua Jaffe et Benjamin Jun ont montré que mesurer la consommation d'énergie pouvait aider à récupérer les clés secrètes des dispositifs inviolables tels que les cartes à puce.

Ces découvertes ont changé la façon dont les ingénieurs envisageaient la sécurité. Il ne suffisait pas de se demander si un algorithme de chiffrement était mathématiquement sécurisé. Il était encore plus important de se demander si l’appareil exécutant l’algorithme laissait échapper des indices via le timing, la puissance, les sons ou tout autre comportement physique.

Il existe plusieurs types courants de canaux secondaires :

• Une attaque temporelle recherche de petites différences dans la durée des opérations.
• Une attaque de puissance étudie la consommation d’électricité.
• Les attaques électromagnétiques examinent les signaux involontaires.
• Les attaques acoustiques utilisent le son.

Dans un exemple frappant, des chercheurs ont montré que le faible bruit produit par un ordinateur portable lors de certaines opérations cryptographiques pouvait être utilisé, dans des conditions expérimentales, pour extraire une clé cryptographique secrète de 4 096 bits.

Les exemples qui ont amené les attaques par canal secondaire dans un débat public plus large sont les attaques de processeurs. Les processeurs informatiques modernes tels que les processeurs sont extrêmement rapides car ils prédisent ce qu'un programme est susceptible de faire ensuite. Cette technique, connue sous le nom d'exécution spéculative, aide les ordinateurs à fonctionner plus efficacement. Mais en 2018, des chercheurs en cybersécurité ont découvert deux vulnérabilités, baptisées Fusion et Spectredans la technique. Ils ont montré que ces prédictions pouvaient laisser des traces mesurables. Un programme malveillant pourrait utiliser ces traces pour obtenir des informations qui auraient dû en être protégées.

Meltdown et Spectre étaient importants car ils remettaient en question l’un des principes fondamentaux de l’informatique moderne : les différents programmes exécutés sur la même machine devaient rester séparés. Ils ont également montré que les fonctionnalités de performance intégrées profondément dans les puces informatiques pouvaient avoir des conséquences sur la sécurité.

Nouvelle technologie, nouveaux canaux secondaires

Depuis lors, les chercheurs ont continué à découvrir de nouvelles attaques par canal secondaire dans le matériel moderne. Une de ces attaques par canal secondaire révélée en 2022, appelée Saignement hertziena montré que les changements de fréquence du processeur – normalement utilisés pour économiser de l'énergie et gérer les performances – pouvaient devenir un signal de synchronisation qui pourrait, dans certains cas, révéler les secrets cryptographiques des serveurs distants.

Une autre attaque par canal secondaire, baptisée Chute et révélé en 2023, affectait certains processeurs Intel. Il a montré comment une fonctionnalité appelée Gather pouvait divulguer des éléments de données plus anciens laissés à l'intérieur du processeur après des travaux antérieurs. Zenbleedégalement révélé en 2023, affectait les processeurs AMD Zen 2 et pourrait permettre aux informations sensibles d'un autre processus d'apparaître là où elles ne devraient pas.

La recherche sur les canaux secondaires s'est également étendue au-delà des processeurs. GPU.zip a montré que les processeurs graphiques, ou GPU, peuvent parfois divulguer des indices visuels grâce à la façon dont ils traitent les données d'image en arrière-plan, y compris les pixels d'une autre page Web dans le navigateur Google Chrome. AllerRécupérerpublié en 2024, a montré qu'une fonctionnalité matérielle de nombreux processeurs Apple conçue pour prédire les besoins futurs en mémoire pourrait compromettre les protections des logiciels cryptographiques et aider à extraire des clés secrètes.

La dernière attaque, appelée GELabréviation de « empreinte digitale à distance à l'aide de la synchronisation SSD basée sur OPFS », implique des disques SSD, ou SSD. Ces disques constituent une forme extrêmement courante de stockage rapide sur presque tous les ordinateurs modernes. FROST montre qu'un site Web malveillant peut utiliser une fonctionnalité de stockage du navigateur appelée système de fichiers privé d'origine pour créer et accéder à des fichiers dans une zone protégée, appelée bac à sable, que le navigateur réserve pour ce site Web, puis mesurer de minuscules retards dans l'activité du SSD.

L'intuition est simple. Si plusieurs programmes utilisent le même périphérique de stockage, ils peuvent se ralentir légèrement, comme les voitures partageant la même route. En mesurant ces délais dans un navigateur, les chercheurs de FROST ont montré qu'un site Web pouvait, dans des conditions spécifiques, déduire des informations sur d'autres activités sur le même ordinateur, comme les sites Web visités ou les applications utilisées.

Des leçons plus que des pertes

Alors, à quelle fréquence les attaques par canal secondaire sont-elles utilisées ? La réponse honnête est que même si elles peuvent être dommageables, elles ne constituent pas une cyberattaque quotidienne à laquelle la plupart des gens sont confrontés. La plupart des cybercrimes réels reposent encore sur des méthodes plus simples et moins coûteuses, telles que l'exploitation des vulnérabilités logicielles, le vol d'informations d'identification, le phishing, les logiciels malveillants et les ransomwares. Le rapport d'enquête sur les violations de données 2026 de Verizon, par exemple, met en évidence vulnérabilités logicielles et ransomwares comme des sources majeures de violations, et non comme des attaques par canal secondaire comme point d'entrée de routine.

Cela ne rend pas les attaques par canal secondaire sans importance. Beaucoup sont découverts par les chercheurs avant d’être utilisés à grande échelle par des criminels. Mais ils sont importants car ils révèlent les faiblesses des hypothèses qui sous-tendent l’informatique moderne. Ils influencent la conception des puces, la sécurité des navigateurs, le cloud computing, les bibliothèques cryptographiques et la façon dont les ingénieurs envisagent la confidentialité.

Les attaques par canal secondaire rappellent que les ordinateurs n’ont pas besoin de révéler intentionnellement des secrets pour les divulguer. Parfois, les plus petits indices laissés pendant qu’ils travaillent peuvent en dire plus que prévu.

Par Chetan Jaiswal

Chetan Jaiswal est professeur agrégé d'informatique à l'Université Quinnipiac, Connecticut. Ses intérêts de recherche portent sur les bases de données, la sécurité et la confidentialité, le cloud computing, la vision par ordinateur, l'intelligence artificielle et l'apprentissage automatique. Il a préparé et enseigné plusieurs cours de premier cycle et des cycles supérieurs sur la cybersécurité, les bases de données, les systèmes d'exploitation, la cryptographie, la sécurité de l'information, les réseaux informatiques et les langages tels que Python, Scala, C, C++ et Java.