Un badge de conférence s'apprête à faire exception
La DEF CON 34 ouvre le 6 août dans la halle ouest du centre de congrès de Las Vegas, et son badge n'est pas le souvenir clignotant habituel. Il a été construit par Andrew Huang, le chercheur en matériel connu sous le nom de bunnie, autour d'une puce qu'il a conçue et baptisée Baochip-1x. Les organisateurs la décrivent comme une plateforme inspectable à part entière et première du genre, et énumèrent ce à quoi elle doit servir ensuite : clé de sécurité, gestionnaire de mots de passe, module matériel de sécurité et générateur de jolies lumières.
La fiche technique n'a rien d'un jouet. Baochip-1x est un composant TSMC en 22 nanomètres sur un jeu de masques dédié, d'environ quatre millimètres de côté, avec un processeur VexRiscv à 350 MHz doté d'une unité de gestion mémoire, quatre cœurs d'entrée-sortie à 700 MHz, 4 Mio de mémoire résistive et 2 Mio de mémoire statique, des accélérateurs cryptographiques, un générateur d'aléa véritable, un maillage de protection, des capteurs de perturbation et des emplacements de clés protégés par le matériel. Des plaquettes qualifiées pour la production se trouvent à Hsinchu, avec quelques milliers de puces nues visées pour la fin 2026.
Ce qui mérite l'attention d'un dirigeant n'est pas le silicium. C'est que plusieurs milliers de personnes vont tenir une clé de sécurité dont elles peuvent vérifier la construction, ce que presque aucun détenteur de clé de sécurité ne peut faire aujourd'hui.
Inspectable veut dire quelque chose de précis, et cela s'arrête quelque part
L'affirmation est plus étroite et plus intéressante que ce que l'ouverture du code suggère d'habitude. Huang a mis au point une technique appelée IRIS, pour infrarouge in situ, qui utilise la lumière infrarouge pour observer les transistors d'une puce sans la dessouder ni la détruire. Baochip-1x a été encapsulée exprès pour y être compatible. Le point n'est pas que vous puissiez lire la conception. C'est que vous pouvez regarder le composant physique dans votre main et vérifier que le motif imprimé est celui qui devait s'y trouver.
Huang qualifie sa conception d'en grande partie ouverte, et cette nuance est ce qu'il y a de plus crédible. Les blocs de calcul sont publiés pour inspection. L'ossature du bus, l'interface USB et les composants analogiques, y compris la boucle à verrouillage de phase, les régulateurs de tension et les plots d'entrée-sortie, restent fermés. Son argument est précis : tous les composants fermés sont en somme des fils, et les données qui entrent d'un côté devraient correspondre à celles qui sortent de l'autre.
Vous pouvez contester l'endroit où passe cette frontière. Ce que vous ne pouvez pas faire, c'est obtenir une réponse plus nette d'un fournisseur classique, car un fournisseur classique ne trace aucune frontière. Un élément sécurisé du commerce est fermé à partir des plots vers l'intérieur, et la seule assurance offerte est un document de certification qui décrit un procédé et non le composant posé sur votre bureau.
Regardez maintenant ce qui pend déjà à votre trousseau
Appliquez le même test aux racines de confiance dont votre entreprise dépend déjà. Les clés de sécurité que portent vos administrateurs. Le module de plateforme de confiance soudé dans chaque portable que vous distribuez. Le module matériel de sécurité qui détient vos clés de signature. L'élément sécurisé des terminaux de paiement de vos comptoirs. Chacun d'eux existe précisément pour être la chose au sujet de laquelle vous n'avez plus à faire confiance à quoi que ce soit d'autre, et pour chacun votre preuve est la parole d'un fournisseur et un certificat.
Ce n'est ni une accusation ni un argument pour remplacer quoi que ce soit. La plupart de ces composants sont bien faits et les régimes de certification derrière eux représentent un vrai travail. Le point est plus étroit : vous avez accepté un composant invérifiable exactement à l'endroit de votre architecture où la vérification compte le plus, et vous l'avez fait parce que jusqu'ici il n'y avait rien d'autre à accepter.
Cela devient commercial plutôt que philosophique parce que l'assurance que vous détenez porte sur un procédé de fabrication et non sur l'unité arrivée dans vos locaux. Un certificat dit qu'une conception a été évaluée. Il ne dit pas que la puce dans ce boîtier est cette conception. IRIS est intéressante parce qu'elle s'attaque à la seconde question, celle qu'un auditeur poserait si le vocabulaire existait pour la formuler.
L'Europe va imposer la transparence à la mauvaise couche
Ce qui fait passer tout cela de la curiosité au sujet de planification, c'est le calendrier. Le règlement sur la cyberrésilience commence à mordre le 11 septembre 2026, quand s'appliquent les obligations de signalement : le fabricant d'un produit comportant des éléments numériques doit adresser à l'ENISA et à l'équipe nationale de réponse compétente une alerte précoce dans les 24 heures suivant la connaissance d'une vulnérabilité activement exploitée, une notification plus complète sous 72 heures et un rapport final sous 14 jours. Les exigences essentielles, dont la nomenclature logicielle, suivent le 11 décembre 2027.
En lisant ces deux dates ensemble, l'asymétrie saute aux yeux. L'Europe bâtit un régime juridique qui finira par vous dire quel logiciel se trouve dans un produit, avec une échéance et une autorité nommée. Il n'existe aucune contrepartie pour le silicium qui s'y trouve. Si une vulnérabilité d'une racine de confiance matérielle est exploitée dans un produit que vous fabriquez, votre horloge de 24 heures tourne face à un composant que vous n'avez jamais pu examiner et dont le fournisseur ne vous doit aucune divulgation équivalente.
Pour un fabricant européen, cette lacune est un risque de calendrier et non une abstraction, car l'obligation de signaler vous revient et l'opacité appartient à quelqu'un d'autre. Pour une entreprise qui se contente d'acheter, l'exposition est plus douce mais le remède est le même : ce que vous ne pouvez pas vérifier, faites-le au moins nommer dans un contrat.
La question à envoyer cette semaine
Ne reconstruisez rien autour d'un badge de conférence. Baochip-1x est produite par une société du Delaware d'une seule personne, autofinancée et sans investisseurs extérieurs, fabriquée via un partenaire qui tient la relation avec TSMC, et visant une disponibilité générale à la fin de cette année. C'est un travail d'ingénierie sérieux sur une base commerciale mince, et la traiter aujourd'hui comme une option d'achat serait la mauvaise leçon.
La bonne coûte un courriel. Demandez à chaque fournisseur de clés de sécurité, de modules matériels ou d'éléments sécurisés quelle preuve indépendante il peut apporter que la puce d'une unité livrée correspond à la conception publiée, et classez ce qui revient. La plupart renverront à un schéma de certification, et le savoir précisément vaut la peine justement parce que ce n'est pas la même affirmation. Quand une équipe finira par en chiffrer le coût, le montant est petit et connaissable : un parc de 200 clés de sécurité à environ 50 euros pièce fait une ligne de 10 000 euros, et la décision qu'elle éclaire vaut davantage.
À lire ensuite: La porte restée ouverte, c'était le dépôt de paquets | 16.000 firmes mutualisent leur risque fournisseur. Pas vous
