L’air gap est un ralentisseur, pas un coffre-fort : la RAM peut chuchoter

On débranche le câble, on coupe le Wi-Fi, on verrouille la pièce: l’ordinateur est-il enfin à l’abri ? Un article universitaire sur une attaque baptisée RAMBO, qui fait fuiter des secrets d’ordinateurs en air gap grâce à des signaux radio furtifs, laisse penser que la réponse honnête est « plus sûr, pas sûr ».

Ce que montre vraiment la recherche

Le travail est signé du Dr Mordechai Guri, responsable de l’Offensive Cyber Research Lab, selon The Hacker News. L’idée: un code malveillant présent sur une machine infectée et isolée manipule les opérations de mémoire pour que les bus mémoire émettent des signaux radio. Ces signaux transportent des données encodées. L’article publié sur arXiv fait état d’une fuite de données à 1 000 bits par seconde.

C’est lent, et il ne faut pas faire semblant du contraire. Mais un mot de passe, une clé de chiffrement ou un document court n’ont pas besoin de haut débit. L’attaque n’est pas non plus une porte d’entrée: le malware doit déjà être sur la machine et, comme pour les attaques voisines contre l’air gap, un récepteur doit se trouver à portée. L’article ne retire pas sa valeur à l’air gap. Il s’en prend à la croyance selon laquelle l’air gap serait absolu.

L’isolement réduit le risque, et c’est très bien

Un air gap est, selon la définition de manuel, une machine dont aucune interface réseau n’est reliée à d’autres réseaux. Cette définition parle de réseaux. La physique ne la lit pas. Mémoire, câbles et processeurs sont de l’électronique, et l’électronique rayonne.

RAMBO n’est pas un cas isolé non plus. Des travaux universitaires voisins portent sur des câbles Ethernet utilisés comme antennes, sur des signaux Wi-Fi furtifs émis par des ordinateurs en air gap et captés à plusieurs mètres, et sur des canaux électromagnétiques qu’un initié ou un espion proche pourrait lire avec un téléphone mobile ou un ordinateur portable. Quand une même famille d’attaques ne cesse de produire de nouvelles variantes, cela ressemble moins à une curiosité qu’à une catégorie.

Notre avis: la bonne réaction n’est ni la panique ni le « peu importe, il faut d’abord un malware ». La première infection est précisément ce que les environnements en air gap sont conçus pour empêcher; la croire impossible est donc le point faible. Les équipes de sécurité devraient traiter l’air gap comme une couche solide parmi d’autres, pas comme ce qui permet de faire l’impasse sur les autres.

Qui doit s’inquiéter, et que faire

La plupart des lecteurs peuvent dormir tranquilles. Si votre modèle de menace est le rançongiciel ou l’hameçonnage, cette recherche figure très bas dans votre liste. Elle compte pour l’ensemble restreint de systèmes où l’isolement est le principal contrôle: gestion des clés, réseaux industriels ou gouvernementaux sensibles, tout ce dont la fuite serait catastrophique.

Pour ceux-là, nous plaidons pour trois habitudes. D’abord, ajouter les canaux auxiliaires physiques au modèle de menace, aux côtés des canaux réseau et USB. Ensuite, penser à la distance et au blindage: ces attaques supposent un récepteur proche, donc la question de qui peut s’approcher compte. Enfin, investir dans la détection. Un article de l’IEEE monte un laboratoire avec du matériel peu coûteux précisément parce qu’il n’existait pas de jeux de données publics pour détecter l’exfiltration radio fondée sur la RAM. Cela montre que les défenseurs sont en retard sur les attaquants pour ce qui est des données disponibles, et que la surveillance reste immature.

Il y a aussi une leçon plus discrète sur l’excès de confiance. « En air gap » sert souvent à clore la discussion lors des audits. Cela devrait ouvrir une question: isolé de quoi, et face à qui ?

Notre verdict

Gardez vos air gaps. Ils restent l’un des moyens les moins coûteux d’écarter la plupart des attaquants. Mais cessez de les présenter comme des garanties. Si un système a assez de valeur pour être isolé, il en a assez pour qu’on se demande comment il pourrait encore parler à quelqu’un posté à proximité avec un récepteur. La réponse de RAMBO est inconfortable: plus facilement que vous ne le voudriez.