WISERS : Une attaque par canal auxiliaire sans contact via le bourdonnement de la bobine de charge sans fil et les perturbations magnétiques

Table des matières

1. Introduction

La charge sans fil, en particulier la norme Qi, est devenue omniprésente dans les smartphones modernes. Cet article présente une nouvelle attaque par canal auxiliaire sans contact nommée WISERS (WIreless chargER Sensing system). Contrairement aux attaques antérieures nécessitant un accès physique ou des appareils compromis, WISERS exploite deux phénomènes physiques inhérents — le bourdonnement de bobine et les perturbations du champ magnétique — émis lors du transfert d'énergie sans fil pour inférer des interactions utilisateur granulaires sur un smartphone en charge, telles que la saisie d'un code secret ou le lancement d'applications.

2. Le cadre d'attaque WISERS

WISERS fonctionne en corrélant les variations de la consommation d'énergie du smartphone (déclenchées par les changements d'affichage de l'écran lors de la saisie utilisateur) avec les émissions physiques mesurables provenant de la bobine d'induction du chargeur.

2.1 Exploitation des phénomènes physiques

• Bourdonnement de bobine : Bruit audible causé par la magnétostriction et les effets piézoélectriques dans la bobine dus aux fluctuations du courant alternatif (CA).
• Perturbation du champ magnétique : Changements dans l'intensité et le motif du champ magnétique local causés par la variation du courant dans la bobine du chargeur, comme décrit par la loi d'Ampère.

2.2 Processus d'attaque en trois étapes

1. Détection & Configuration : Mesure les caractéristiques ambiantes (par exemple, le niveau de batterie initial) pour calibrer l'attaque.
2. Inférence de changement d'interface : Utilise les motifs du bourdonnement de bobine pour détecter les transitions entre différents écrans/interfaces du téléphone.
3. Inférence intra-activité : Analyse les perturbations du champ magnétique pour discerner des actions spécifiques au sein d'une interface (par exemple, les frappes sur un clavier virtuel).

3. Détails techniques & Modèle mathématique

Le principe physique central est la loi de la force d'Ampère. La force ($\vec{F}$) sur un conducteur parcouru par un courant (la bobine) dans un champ magnétique est :

$\vec{F} = I (\vec{L} \times \vec{B})$

Où $I$ est le courant, $\vec{L}$ est le vecteur longueur du conducteur, et $\vec{B}$ est le champ magnétique. Les interactions utilisateur modifient la consommation d'énergie du smartphone ($\Delta I$), altérant ainsi le courant dans la bobine du chargeur. Ce changement de $I$ module la force $\vec{F}$, provoquant de minuscules vibrations physiques (bourdonnement de bobine) et des perturbations dans le champ magnétique émis $\vec{B}$.

L'attaque effectue essentiellement une analyse de signal multimodale, cartographiant ces modulations de signaux physiques ($S_{whine}(t)$, $S_{mag}(t)$) vers les événements d'interaction utilisateur causatifs ($E_{user}$).

4. Résultats expérimentaux & Évaluation

Des tests approfondis ont été menés en utilisant des smartphones populaires et des chargeurs sans fil du commerce (COTS).

4.1 Métriques de précision et de performance

Le système a démontré une grande précision pour inférer des entrées discrètes et continues :

• Codes secrets de déverrouillage d'écran : La précision d'inférence a dépassé 90,4 % pour les codes PIN numériques.
• Détection de lancement d'application : Taux de réussite élevé pour identifier quelle application a été ouverte depuis l'écran d'accueil.
• Chronologie des frappes : Capacité à discerner les motifs temporels entre les pressions de touches sur les claviers virtuels.

Description du graphique : Un histogramme hypothétique montrerait le "Taux de réussite de l'attaque (%)" sur l'axe Y en fonction du "Type d'information inférée" (Code secret, Lancement d'app, Frappe) sur l'axe X, toutes les barres étant au-dessus de la marque des 90 %.

4.2 Résilience aux facteurs d'impact

WISERS a été testé contre divers facteurs de confusion et a montré une résilience face à :

• Différents modèles de smartphones et marques de chargeurs.
• Différents niveaux de bruit ambiant (pour la détection acoustique).
• Présence d'autres appareils électroniques causant des interférences magnétiques mineures.

5. Cadre d'analyse & Exemple de cas

Scénario : Inférer un code PIN à 4 chiffres lors du déverrouillage de l'écran.

1. Acquisition du signal : Un appareil de l'attaquant (par exemple, un autre smartphone équipé de capteurs appropriés) placé à moins de 20 cm enregistre l'audio (via le microphone) et les données du champ magnétique (via le magnétomètre) pendant la tentative de déverrouillage de la victime.
2. Extraction des caractéristiques : Le signal audio est traité pour isoler la composante du bourdonnement de bobine. Les données magnétiques sont filtrées pour mettre en évidence les perturbations dans la gamme basse fréquence correspondant aux changements de consommation d'énergie.
3. Appariement de motifs & Inférence : Le système corrèle les caractéristiques de signal extraites avec un modèle pré-entraîné. Quatre "salves" distinctes de perturbation magnétique, chacune associée à un changement spécifique de signature acoustique, sont identifiées et mappées aux quatre pressions de chiffres du PIN. La séquence et la chronologie révèlent le code secret.

6. Idée centrale & Perspective de l'analyste

Idée centrale : WISERS n'est pas juste un autre canal auxiliaire ; c'est une démonstration frappante de la physicalité de la sécurité numérique. Il transforme en arme la physique fondamentale et inévitable de l'induction électromagnétique — un processus conçu pour la commodité — en un outil de surveillance puissant. L'élégance de l'attaque réside dans sa passivité ; elle n'injecte pas de logiciel malveillant ni n'intercepte de données, elle se contente d'écouter et de ressentir la conversation physique de l'appareil avec son chargeur.

Enchaînement logique : La logique de la recherche est impeccable. Elle part d'une nuisance technique bien connue (le bourdonnement de bobine) et d'une loi fondamentale (la loi d'Ampère), observe leur modulation par la charge du système, et retrace rigoureusement cette modulation jusqu'aux changements de charge induits par l'utilisateur. Le cadre en trois étapes sépare clairement le problème : calibration, macro-contexte (changements d'écran) et micro-contexte (frappes). Cette modularité rappelle les cadres d'attaque réussis dans d'autres domaines, comme l'approche systématique des canaux auxiliaires basés sur le cache décrite dans des travaux comme "Cache-timing attacks on AES" de Bernstein.

Points forts & Faiblesses : Son point fort est son caractère terriblement pratique — utilisation de matériel COTS, aucune compromission de l'appareil requise, et fonctionnement dans des conditions auparavant considérées comme sûres (batterie >80 %). Sa faiblesse, cependant, est sa dépendance actuelle à la proximité (~20 cm). Bien qu'il s'agisse d'une menace majeure dans les cafés ou bureaux bondés, ce n'est pas une exploitation à distance à l'échelle d'Internet. Pourtant, c'est une caractéristique, et non un défaut, pour l'espionnage ciblé. Une faiblesse plus critique est l'évaluation centrée sur des environnements contrôlés. Les environnements réels avec plusieurs appareils en charge simultanée ou des champs magnétiques ambiants forts (par exemple, près d'équipements industriels) pourraient considérablement dégrader les performances, un défi également rencontré par d'autres canaux auxiliaires sensoriels comme les attaques acoustiques sur claviers.

Perspectives exploitables : Pour la communauté de la sécurité, c'est une alerte maximale pour l'industrie de l'IoT et du mobile. Les mesures d'atténuation doivent aller au-delà du logiciel. Les concepteurs de matériel doivent considérer la résistance aux canaux auxiliaires électromagnétiques et acoustiques comme une exigence de conception. Les contre-mesures potentielles incluent : (1) Annulation active du bruit : Intégrer des actionneurs dans les chargeurs pour émettre des signaux en opposition de phase afin d'annuler le bourdonnement de bobine. (2) Obfuscation de la charge : Introduire des fluctuations aléatoires et minimales de la consommation d'énergie pendant les périodes d'inactivité pour masquer les changements induits par l'utilisateur, similaire au façonnage de trafic dans les systèmes d'anonymat réseau comme Tor. (3) Blindage : Incorporer des matériaux de blindage magnétique dans les boîtiers des chargeurs, bien que cela puisse affecter l'efficacité. Les organismes de normalisation comme le Wireless Power Consortium (WPC) doivent mettre à jour de toute urgence les spécifications Qi pour inclure des tests de fuite par canal auxiliaire.

7. Applications futures & Axes de recherche

• Détection à portée étendue : Recherche sur des capteurs plus sensibles (par exemple, magnétomètres haute précision) ou des techniques d'amplification de signal pour augmenter la distance d'attaque effective.
• Inférence inter-appareils : Explorer si l'"empreinte" magnétique est suffisamment unique pour identifier l'utilisation d'une application spécifique ou même l'activité de navigation sur un site web au sein d'un navigateur.
• Apprentissage automatique défensif : Développer des modèles d'apprentissage automatique intégrés à l'appareil ou au chargeur capables de détecter les motifs de signal caractéristiques d'une tentative d'espionnage de type WISERS en cours et de déclencher une alerte ou une contre-mesure.
• Élargissement du champ des cibles : Appliquer les mêmes principes à d'autres appareils à charge sans fil comme les écouteurs sans fil, les montres connectées, ou même les futurs ordinateurs portables, qui pourraient avoir des interfaces utilisateur plus riches.
• Intégration avec d'autres canaux auxiliaires : Fusionner les données de ce canal auxiliaire avec d'autres (par exemple, l'analyse de puissance du secteur, les émissions thermiques) pour un profilage utilisateur plus robuste et détaillé, une approche multimodale qui gagne du terrain dans la recherche sur les canaux auxiliaires.

8. Références

1. Wireless Power Consortium. "The Qi Wireless Power Standard." [En ligne]. Disponible : https://www.wirelesspowerconsortium.com/
2. Bernstein, D. J. "Cache-timing attacks on AES." 2005.
3. Genkin, D., Shamir, A., & Tromer, E. (2014). "RSA key extraction via low-bandwidth acoustic cryptanalysis." Dans Advances in Cryptology–CRYPTO 2014.
4. Zhu, J., Park, T., Isola, P., & Efros, A. A. (2017). "Unpaired image-to-image translation using cycle-consistent adversarial networks." Dans Proceedings of the IEEE international conference on computer vision (CycleGAN).
5. National Institute of Standards and Technology (NIST). "Side-Channel Attack Testing Methodologies." [En ligne]. Disponible : https://csrc.nist.gov/
6. Zhang, Y., et al. "WISERS: A Contactless and Context-Aware Side-Channel Attack via Wireless Charging." In Proceedings of the ... IEEE Symposium on Security and Privacy, 2023. (L'article source analysé).