VoltSchemer : Attaques par bruit de tension sur les chargeurs sans fil - Analyse et implications

2.1 Norme de charge sans fil Qi

La norme Qi du Wireless Power Consortium (WPC) utilise l'induction magnétique en champ proche pour le transfert d'énergie. La sécurité est assurée par une communication en bande de base, où le chargeur et l'appareil échangent des paquets de contrôle en modulant le signal d'alimentation lui-même. Les fonctions de sécurité critiques incluent la détection d'objet étranger (FOD) pour éviter l'échauffement d'objets métalliques et la négociation des niveaux de puissance pour empêcher la surcharge.

2.2 Modèle d'attaque et hypothèses

L'objectif de l'attaquant est de subvertir le comportement prévu du chargeur sans fil. L'hypothèse centrale est que l'attaquant peut contrôler ou remplacer l'adaptateur secteur (convertisseur AC-DC) alimentant le chargeur. Il s'agit d'une menace réaliste dans les espaces publics (aéroports, cafés) ou via des stations de charge compromises/malveillantes. Aucune modification physique du chargeur ou de l'appareil n'est requise.

3.1 Vecteur d'injection de bruit de tension

L'attaquant génère un signal de bruit de tension soigneusement conçu $V_{noise}(t)$ et le superpose à la tension d'alimentation continue $V_{dc}$ à l'aide d'un circuit dédié. Cette alimentation bruitée $V_{supply}(t) = V_{dc} + V_{noise}(t)$ est injectée dans le chargeur sans fil. En raison des interférences électromagnétiques (EMI) et des limitations du taux de réjection de l'alimentation (PSRR) dans les circuits du chargeur, ce bruit se propage et module le courant dans la bobine émettrice.

3.2 Exploitation de la communication en bande de base

La communication Qi repose sur la modulation d'amplitude du signal de puissance. En façonnant $V_{noise}(t)$, l'attaquant peut imiter ou écraser des paquets de communication légitimes. Le bruit injecté crée des fréquences latérales qui interfèrent avec le processus de démodulation au niveau du récepteur (téléphone), permettant l'injection de paquets Qi malveillants ou la perturbation des paquets légitimes.

3.3 Détails techniques et modèle mathématique

L'attaque peut être modélisée comme un problème d'injection de signal. Le courant de la bobine émettrice $I_{tx}(t)$ est fonction de l'entrée du circuit de pilotage, qui est corrompue par le bruit d'alimentation. Une représentation simplifiée : $I_{tx}(t) = f(V_{dc} + \alpha \cdot V_{noise}(t), C(t))$, où $f$ est la fonction de transfert du chargeur, $\alpha$ est le coefficient de couplage représentant la sensibilité au bruit, et $C(t)$ sont les signaux de contrôle légitimes. L'attaquant conçoit $V_{noise}(t)$ pour obtenir un $I_{tx}(t)$ malveillant souhaité correspondant à des messages Qi forgés (par ex., "FOD réussi", "augmenter la puissance").

4.1 Injection inaudible de commandes vocales

Le champ magnétique modulé peut induire de minuscules tensions dans les circuits audio internes d'un smartphone. En encodant des commandes vocales dans la gamme ultrasonique (>20 kHz), VoltSchemer peut déclencher les assistants vocaux (Google Assistant, Siri) à l'insu de l'utilisateur, conduisant à la compromission de l'appareil, à l'exfiltration de données ou au contrôle de la maison connectée.

4.2 Endommagement d'appareil par surcharge/surchauffe

En forgeant des paquets de communication Qi, l'attaquant peut ordonner au chargeur d'ignorer le signal "Fin de transfert de puissance" de l'appareil ou de délivrer une puissance au-delà des limites négociées. Cela peut entraîner une dégradation sévère de la batterie, un gonflement, ou dans les cas extrêmes, un emballement thermique et un incendie.

4.3 Contournement de la détection d'objet étranger (FOD)

Il s'agit de l'attaque la plus insidieuse. La FOD est une fonction de sécurité critique qui détecte les pertes de puissance parasites (par ex., vers une pièce ou une clé) et s'arrête. VoltSchemer peut injecter des paquets qui signalent faussement une efficacité de transfert de puissance élevée, trompant le chargeur pour qu'il fonctionne à pleine puissance en présence d'un objet étranger, créant un risque d'échauffement localisé intense.

5.1 Configuration de test et appareils

L'équipe a testé 9 chargeurs Qi les plus vendus de marques comme Anker, Belkin et Samsung. La configuration d'attaque consistait en une alimentation programmable pour générer $V_{noise}(t)$, le chargeur cible et divers appareils victimes (smartphones, porte-clés, clés USB).

5.2 Taux de réussite et métriques d'impact

Les 9 chargeurs étaient sensibles à au moins un vecteur d'attaque. L'injection de commande vocale a réussi sur les appareils placés sur le chargeur. Les attaques de surcharge ont pu forcer des cycles de charge continus. Le contournement de la FOD a été démontré avec succès, chauffant une clé de maison à plus de 280°C en quelques minutes—un risque évident d'allumage d'incendie.

5.3 Graphiques et visualisation des données

Figure 1 : Élévation de température lors d'une attaque de contournement de FOD. Un graphique linéaire montrerait le temps sur l'axe X et la température (°C) sur l'axe Y. La courbe pour un objet métallique (par ex., une clé) montrerait une augmentation abrupte, quasi linéaire, de la température ambiante à plus de 280°C en 3-5 minutes lorsque la FOD est contournée, tandis que la courbe pour une session de charge légitime resterait plate ou montrerait une légère augmentation.

Figure 2 : Spectre du bruit de tension pour l'injection de commande. Un tracé dans le domaine fréquentiel montrant le signal de bruit injecté par l'attaquant $V_{noise}(f)$. Des pics seraient visibles dans la bande ultrasonique (par ex., 20-24 kHz), correspondant à la commande vocale modulée, aux côtés de composantes basse fréquence utilisées pour manipuler le timing des paquets Qi.