Clés USB chiffrées : quand le verrou ne protège rien

Quelque part dans un entrepôt, il y a en ce moment des cartons de clés USB promettant un « chiffrement par empreinte digitale de niveau militaire » qu'un gamin de douze ans armé d'un spudger pourrait contourner en quatre-vingt-dix secondes. La FU100 de Lenovo est le dernier exemple en date à se faire démonter en public : ouvrez le boîtier en plastique et vous trouvez une carte microSD tout à fait ordinaire, entièrement non chiffrée. Le capteur d'empreintes ne déverrouille pas les données. Il ne déverrouille rien. Il commande un interrupteur qui rend le lecteur de carte visible pour votre ordinateur, et les données, elles, restent en clair sur la mémoire flash pendant tout ce temps.

Ce n'est pas une vulnérabilité. Les vulnérabilités sont des bugs, des erreurs dans des conceptions par ailleurs honnêtes. Ici, nous avons affaire à un produit dont les promesses de sécurité sont purement décoratives. Et c'est grave, car les personnes qui achètent ces clés sont justement celles qui ont le moins de moyens pour vérifier ces affirmations : petits entrepreneurs, avocats, comptables, parents qui stockent des scans de passeports. Ils ont payé un supplément pour une promesse qui n'a jamais été conçue.

Ce que le capteur d'empreintes contrôle réellement

Pour comprendre à quel point ce design est accablant, il est utile de décrire ce que fait une vraie clé chiffrée. Dans un appareil honnête à chiffrement matériel, une puce contrôleur dédiée se place entre l'ordinateur hôte et la mémoire flash. Ce contrôleur détient la clé de chiffrement, idéalement dérivée de votre code PIN ou déverrouillée par votre empreinte, et chaque bloc de données qui le traverse est chiffré en AES avant d'atteindre la NAND. Retirez les puces flash de la carte, lisez-les avec un programmateur de puces, et vous n'obtenez que du texte chiffré. C'est tout l'intérêt. La mémoire physique et l'intelligence sont couplées par la cryptographie : retirer la mémoire ne retire donc rien de valeur.

La FU100 de Lenovo fait l'impasse sur tout cela. L'architecture est à peu près la suivante : un module d'empreintes, un microcontrôleur, un hub USB ou un circuit lecteur de cartes, et un emplacement microSD. Lorsque vous enregistrez une empreinte, le module capteur stocke le gabarit en interne, ce qui est courant, et la comparaison des empreintes elle-même est probablement correcte. Quand l'authentification réussit, le microcontrôleur active une ligne qui relie le lecteur de cartes au bus USB. En cas d'échec, le lecteur ne s'énumère jamais. C'est un relais avec un portier biométrique.

Le portier, cependant, garde un bâtiment sans murs. Comme la carte microSD est un composant amovible et standard, l'attaque n'est même pas une attaque : pas de soudure, pas de glitch, pas d'attaque par canal auxiliaire. Vous ouvrez le boîtier (des clips en plastique, peut-être une goutte de colle), vous insérez la carte dans n'importe quel lecteur et vous lisez tout. Le « chiffrement » avait un rayon d'action nul.

Il vaut la peine de s'arrêter sur la façon dont le modèle de menace s'effondre ici, car les fabricants adorent parler de modèles de menace dans leur marketing. Le discours implicite est le suivant : vous perdez la clé, un inconnu la ramasse, la branche, et n'obtient rien sans votre doigt. Ce scénario est vrai pendant à peu près le temps qu'il faut à cet inconnu pour taper « FU100 teardown » dans Google, ou simplement pour remarquer la jointure du boîtier. L'adversaire réaliste d'une clé perdue n'est pas un État avec une fab de rayons X ; c'est une personne curieuse munie d'un couteau de cuisine. Face à cet adversaire, ce design n'offre aucune protection. Le capteur d'empreintes fonctionne parfaitement et ne protège rien, ce qui illustre à l'état pur un mécanisme déconnecté de ce qu'il prétend sécuriser.

Si l'attaquant peut retirer le support de stockage et le lire avec des outils du commerce, votre appareil n'était pas chiffré. C'était un cadenas posé dans un champ.

La question clé est littéralement : où vit la clé ?

Une seule question tranche à travers toutes les promesses marketing sur le stockage chiffré, et vous devriez l'apprendre à quiconque vous demande conseil : où se trouve la clé, et que contrôle réellement le capteur ? Chaque réponse tombe dans l'une de trois catégories.

• Clé sur un contrôleur cryptographique, données chiffrées au repos. L'empreinte ou le code PIN libère une clé vers une puce dédiée ; la NAND ne contient que du texte chiffré. C'est ce que font des produits comme la gamme Kingston IronKey, et c'est la seule conception qui survit à un démontage.
• Clé sur un contrôleur, mais stockée ou dérivée n'importe comment. Les données sont en théorie chiffrées, mais la clé est gravée dans le firmware, dérivée d'un numéro de série, ou récupérable depuis la mémoire flash du MCU. C'est mieux que rien face à une perte banale, mais sans valeur face à quelqu'un muni d'un analyseur logique et d'un week-end devant lui.
• Aucune clé du tout. Le capteur contrôle l'énumération, l'alimentation ou un port du hub. Le stockage est en clair. C'est le cas de la conception Lenovo, et c'est bien plus courant que ce que les acheteurs imaginent.

Cette catégorie du milieu mérite qu'on s'y attarde, car c'est là que même des marques bien connues ont trébuché. Des chercheurs en sécurité passent des années à démonter des disques « sécurisés » et trouvent des implémentations AES dont la clé est récupérable depuis la mémoire flash du contrôleur, une authentification contournable en court-circuitant un plot de debug, ou des mécanismes de mise à jour du firmware qui permettent de reflasher le MCU et d'extraire tout le reste. Le démontage des premiers appareils IronKey par l'université de Cambridge est la référence classique, et il montre surtout à quel point il est difficile de bien faire les choses, bien plus que la facilité de les faire mal. IronKey a au moins fait l'effort. La FU100, elle, n'a jamais essayé.

Il existe une heuristique utile au sein de ces trois catégories : la première impose au fabricant des affirmations précises, coûteuses et vérifiables. AES-256 en mode XTS. Clés générées sur l'appareil par un générateur matériel. Compteurs de tentatives PIN qui effacent la clé après dix échecs. Ce sont des affirmations qu'un ingénieur peut confirmer ou infirmer. Les deux autres catégories se cachent derrière un langage flou (« protégé », « sécurisé », « accès biométrique ») qui décrit une expérience, pas un mécanisme. Quand la fiche technique ressemble à une publicité de style de vie, elle vous indique déjà dans quelle catégorie vous mettez les pieds.

Pourquoi cela passe toujours la revue

La question de suivi, plus inconfortable, est organisationnelle. Ce n'est pas un fournisseur obscur qui expédie depuis un stand de Shenzhen, même si certains ont souligné que la FU100 n'avait quasiment aucune présence commerciale hors des places de marché chinoises. C'est Lenovo, une entreprise qui appose son logo sur des ThinkPad remis à des gouvernements et des banques, et qui a déjà brûlé sa crédibilité une fois avec Superfish. Quelque part dans l'organigramme, ce produit a traversé le design industriel, la revue du firmware, la validation marketing et le service juridique. Soit personne ayant des compétences en sécurité ne l'a examiné, soit quelqu'un l'a fait et la décision a été prise de le commercialiser quand même.

Les deux explications sont plausibles, et toutes deux sont accablantes à leur manière. La première dit que la revue de sécurité n'est qu'une formalité. La seconde dit que c'est une négociation que le marketing remporte. J'ai couvert assez de ces histoires pour croire qu'il s'agit en général d'une troisième chose : le produit est conçu par un ODM, rebadgé par la marque, et personne dans la chaîne ne se sent responsable des affirmations écrites sur la boîte. Le texte marketing dit « chiffré » parce que le texte du leader de la catégorie dit « chiffré ». Le mot se diffuse dans les fiches produits comme « niveau militaire » : une ambiance, pas une spécification.

Le processus de rebadgeage par un ODM explique beaucoup de choses une fois qu'on le comprend. Un fabricant en marque blanche conçoit un lecteur de cartes à déverrouillage par empreinte, un produit honnêtement correct pour ce qu'il est, peut-être destiné au marché « empêcher mes enfants d'accéder à mes fichiers », et le propose aux marques avec un catalogue de boîtiers et de logos. Le chef de produit de la marque rédige les descriptions en recopiant ses concurrents. Personne dans cette chaîne n'est cryptographe, et aucune fiche de poste ne mentionne « vérifier les affirmations cryptographiques ». Le service juridique vérifie le risque de marque, pas l'existence de l'AES. Le résultat est un jeu du téléphone arabe où « contrôle d'accès biométrique » devient « chiffrement par empreinte » entre la fiche technique et la page produit, et aucune personne n'a jamais écrit un mensonge qu'elle aurait reconnu comme tel. C'est pire que la malveillance à certains égards, car il n'y a pas de coupable à licencier, seulement un processus qui fabrique de façon fiable de fausse sécurité à grande échelle.

Comment vérifier réellement un disque chiffré

Pas besoin d'un laboratoire pour faire un contrôle de cohérence sur la plupart de ces produits. Quelques questions posées avant l'achat éliminent les pires cas.

D'abord, cherchez une validation FIPS 140-2 ou 140-3 accompagnée d'un numéro de certificat que vous pouvez consulter dans la base CMVP du NIST. Pas « conforme FIPS » : cette formule ne veut rien dire, et les fournisseurs l'utilisent précisément parce qu'elle sonne comme la vraie chose tout en ne les engageant à rien. Un certificat qui mentionne le produit exact et la version exacte du firmware, en revanche, est un vrai engagement. Les modules cryptographiques réels coûtent cher à faire valider aux fabricants, souvent des dizaines de milliers de dollars et des mois de travail en laboratoire, et c'est précisément pour cela que cela corrèle avec un vrai chiffrement. La fraude est bon marché ; la certification ne l'est pas.

Ensuite, vérifiez si le fabricant publie quoi que ce soit sur l'architecture. Les fabricants sérieux vous diront que le moteur de chiffrement se trouve dans le contrôleur, que les clés sont générées sur l'appareil, et que l'hôte ne voit jamais la clé. Un langage vague sur la « protection biométrique » et l'« accès sécurisé », sans aucune mention d'AES, de dérivation de clé ou de cryptographie embarquée, est un signal d'alarme : il décrit une barrière d'accès, pas un chiffrement.

Troisièmement, l'option nucléaire : cherchez des démontages. La communauté de la sécurité est magnifiquement disposée à détruire des gadgets coûteux pour le bien commun. Si un disque « chiffré » à 90 $ est sur le marché depuis deux ans et que personne n'a publié de photos du die ou du tracé de la carte, ce silence est en soi une information : cela signifie généralement que personne dans la recherche en sécurité n'a jugé le produit digne de son prix d'achat.

Il existe un quatrième contrôle plus grossier mais étonnamment efficace : le rapport prix-promesse. Une vraie clé à chiffrement matériel a un coût de nomenclature réel : un MCU sécurisé, un firmware validé, parfois un boîtier enrobé de résine époxy pour résister aux attaques par délayage de puce. Lorsqu'une clé « chiffrée niveau militaire » de 128 Go à empreinte se vend moins cher qu'une simple clé 128 Go d'une marque réputée, les calculs vous disent que le chiffrement était gratuit, et un chiffrement gratuit ne vaut que cela. Les promesses de sécurité bon marché de façon suspecte méritent le même réflexe que les chargeurs Apple « authentiques » vendus à prix cassé : le composant qui compte est celui qu'on a oublié.

L'argument pour ne pas faire confiance au matériel du tout

Voici ma position réelle, et j'assume le compromis : pour la plupart des gens, les disques à chiffrement matériel sont tout simplement la mauvaise catégorie de produit. La bonne réponse est le chiffrement logiciel sur un stockage banal et bon marché. Une clé USB à 15 $ avec VeraCrypt, un conteneur LUKS sous Linux, ou une simple archive chiffrée avec age vous donnent des garanties cryptographiques auditables publiquement, implémentées dans du code que des milliers de personnes ont lu, et totalement indépendantes du fait que le microcontrôleur d'un ODM fasse ce qui est écrit sur la boîte.

L'objection est toujours l'ergonomie, et elle est légitime. Les conteneurs VeraCrypt déroutent les gens. Les avocats et les comptables ne s'y mettent pas de façon fiable, et c'est ainsi que des dossiers clients sensibles finissent sur des clés non chiffrées. C'est un vrai échec de nos outils, et j'ai déjà écrit sur la façon dont les anti-patterns d'UX fragilisent discrètement la sécurité. Mais la réponse à « le bon chiffrement est difficile à utiliser » n'est pas « achetez du faux chiffrement facile à utiliser ». Il faut exiger de meilleurs réglages par défaut : des conteneurs chiffrés au niveau du système d'exploitation qui se montent avec un mot de passe, des gestionnaires de fichiers qui proposent le chiffrement au clic droit, des services informatiques qui préparent correctement les disques.

Il existe aussi un argument de maintenance que l'on oublie souvent. Un conteneur logiciel chiffré sur du matériel banal est remplaçable à l'infini : vous perdez le disque, vous en achetez un autre, vous restaurez la sauvegarde, c'est fini. Un disque à chiffrement matériel est un objet unique : si le contrôleur tombe en panne, si le fournisseur abandonne l'utilitaire de déverrouillage (qui ne tourne en général que sous Windows, et seulement sur les versions que l'éditeur a daigné supporter), ou si l'entreprise disparaît, la disponibilité de vos données dépend d'une chaîne d'approvisionnement que vous ne contrôlez pas. Collectivement, nous avons appris à nos dépens à ne pas faire confiance aux composants de plateforme opaques pour continuer à fonctionner. Les appareils de chiffrement propriétaires échouent de la même manière, simplement plus discrètement.

Si vous avez réellement besoin d'un appareil matériel, par exemple pour un flux de transfert en air gap ou parce qu'une exigence de conformité impose des modules validés FIPS, alors achetez auprès du petit nombre de fournisseurs dont les produits ont survécu à un examen indépendant, et vérifiez vous-même le certificat. Traitez l'achat comme n'importe quelle décision de confiance dans votre pile technique. La même méfiance que nous avons fini par appliquer au firmware, aux chaînes d'approvisionnement et aux extensions de marketplace dans nos éditeurs s'applique doublement à une boîte noire qui prétend faire de la cryptographie de façon invisible.

Le security theater a un bilan en confiance

L'expression « security theater » vise généralement les files d'attente dans les aéroports, mais ceci en est la forme la plus pure : un contrôle qui existe pour donner à l'utilisateur un sentiment de protection tout en ne le protégeant en rien. Et le théâtre est sans doute pire que rien, car rien au moins vous dit la vérité. Quelqu'un qui sait que son disque n'est pas chiffré protégera peut-être ses fichiers par mot de passe, ne le laissera pas dans un taxi, réfléchira à deux fois à ce qu'il contient. Quelqu'un qui tient un disque « chiffré » se détend. Le produit ne se contente pas de ne pas réduire le risque : il l'augmente activement en modifiant les comportements.

C'est le vrai coût de ce genre d'histoires. Ce n'est pas qu'une mauvaise référence existe : le marché a toujours eu de mauvaises références. C'est que chaque faux démasqué apprend aux acheteurs que « chiffré » est un mot de marketing, ce qui érode le signal pour les fournisseurs qui font réellement le travail d'ingénierie. Quand une Kingston IronKey et un lecteur de cartes SD à empreinte se côtoient dans un résultat de recherche, à prix similaires, arborant les mêmes adjectifs, le produit honnête est en concurrence avec un mensonge qu'il ne peut pas réfuter depuis la page produit.

Les régulateurs pourraient corriger une partie du problème, et ils le font parfois : les agences de protection des consommateurs se sont déjà attaquées à de fausses allégations de sécurité dans les logiciels, et « chiffré » sur une boîte contenant un stockage en clair est aussi clair-cut qu'une fausse déclaration peut l'être. Mais l'application est lente et dépend des juridictions, et la fiche produit est clonée sur une nouvelle boutique plus vite qu'une plainte n'avance. Le système immunitaire le plus rapide est déjà à l'œuvre : des chercheurs armés de tournevis, et des acheteurs qui ont appris à attendre le démontage avant de faire confiance aux adjectifs.

Donc la leçon n'est pas « Lenovo, c'est mal », même si Lenovo mérite le coup porté à sa réputation et les rappels de produits qui devraient suivre. C'est qu'en sécurité matérielle, le démontage est la fiche technique. Tant qu'un appareil n'a pas été ouvert, tracé et lu par quelqu'un qui ne profite pas de sa vente, « chiffré » reste une affirmation, pas une propriété. Achetez en conséquence, ou mieux, chiffrez-le vous-même et cessez de faire confiance au plastique.