En août 2026, les travaux d’un chercheur en sécurité renommé ont de nouveau retenu l’attention de la communauté informatique : la présence d’une porte dérobée matérielle intégrée directement par le fabricant au sein de certains processeurs.
Intitulé Rosenbridge, le projet est réapparu ce mois-ci en tête des tendances sur Hacker News via son dépôt GitHub, accumulant plus de 300 points et une centaine de commentaires. L’une des réactions les plus marquées résumait le sentiment général : « Ce ne devrait pas être quelque chose que nous ne découvrons qu’en 2026. » Cette remarque met en lumière le défi fondamental de la sécurité matérielle.
En préambule : bien que le périmètre des puces concernées soit très restreint, l’affaire remet au premier plan une question soulevée depuis longtemps : les processeurs de nos ordinateurs proviennent d’une chaîne d’approvisionnement impossible à auditer de l’extérieur. Accorder sa confiance à un composant matériel reste en grande partie un acte de foi.
À quoi ressemble la porte dérobée : Un second cœur caché au sein du CPU
Un processeur x86 classique est généralement comparé à un logement conçu pour un seul occupant. Rosenbridge révèle qu’une pièce cachée est aménagée dans ce logement, accueillant un tout autre « cœur ». Ce cœur secondaire n’exécute pas d’instructions x86, mais fonctionne avec son propre jeu d’instructions, qualifié par les chercheurs de « jeu d’instructions profondément enfoui ».
La pièce cachée est verrouillée en temps normal. Son ouverture nécessite deux conditions : l’activation d’un bit de contrôle dissimulé dans un registre spécifique du processeur (MSR), suivie de l’exécution d’une « instruction de lancement » particulière. Une fois la porte ouverte, des commandes formulées comme de simples instructions x86 peuvent être transmises au cœur caché, qui les exécute en contournant l’ensemble des protections mémoire et des contrôles de privilèges du composant.
L’effet est immédiat : un programme utilisateur ordinaire (exécuté en ring 3) obtient un accès direct en lecture et écriture au noyau du système d’exploitation (ring 0). C’est l’équivalent pour un locataire d’accéder sans clé au local technique de l’immeuble pour modifier le compteur électrique ou couper les caméras de surveillance. Dans la démonstration du chercheur, une seule commande a suffi pour accorder les privilèges système les plus élevés à un utilisateur standard.
Figure : Démonstration de Rosenbridge montrant un programme ordinaire obtenant des privilèges noyau via le cœur caché. Source : Dépôt GitHub
Figure : Concept architectural de la porte dérobée reconstitué à partir de brevets. Source : Livre blanc Black Hat (Domas, God Mode Unlocked)
Pourquoi sa détection était si complexe : Isoler 43 registres inconnus parmi 1 300
Habituellement, un processeur est considéré comme du « matériel pur » dont les spécifications sont figées dès la sortie d’usine, amenant à chercher les failles dans la couche logicielle. Rosenbridge démontre l’inverse : le matériel lui-même peut conserver des accès non documentés.
La détection s’est avérée particulièrement ardue car les indices étaient réservés au concepteur. Le chercheur s’est d’abord appuyé sur des brevets publics mentionnant qu’un registre de contrôle interne pouvait permettre d’outrepasser les mécanismes de sécurité. Il a ensuite analysé plus de 1 300 registres spécifiques (MSR) sur la puce, écarté ceux correspondant à des fonctions documentées pour retenir 43 registres « non identifiés », avant de cibler le bit de contrôle surnommé « God Mode Bit ». À l’aide de Sandsifter, un outil de fuzzing matériel développé par ses soins, il a balayé l’espace d’encodage des instructions x86 jusqu’à découvrir l’instruction exacte permettant d’éveiller le cœur caché.
Figure : Fonctionnement supposé de la porte dérobée : le flux d’instructions est détourné en secret vers le cœur secondaire. Source : Livre blanc Black Hat
Sur 1 300 registres, seuls 43 se sont révélés suspects, le reste étant classé comme fonctionnement normal. La grande majorité des commutateurs d’un processeur ne sont connus que de leurs concepteurs. Sans plan de conception — qui n’est jamais rendu public —, identifier une porte dérobée matérielle s’apparente à une tâche quasi impossible.
S’y ajoute la difficulté du diagnostic. L’outil de vérification fourni par le chercheur est explicitement étiqueté comme une version « alpha ». Son exécution sur des machines non concernées peut provoquer des plantages ou le gel complet du système. Pour un utilisateur ordinaire, il n’existe aucun moyen pratique et sûr de vérifier la présence d’un tel mécanisme sur son processeur.
Pourquoi elle ne peut être corrigée : Ce qui est gravé dans le silicium ne peut être que contourné
Face à une vulnérabilité logicielle, le fabricant déploie un correctif. Une porte dérobée matérielle ne peut être effacée. Le chercheur a mis à disposition un script de neutralisation modifiant le bit de contrôle au début de la séquence de démarrage afin de verrouiller à nouveau le cœur caché.
Cependant, le script lui-même souligne une limite fondamentale : si un attaquant obtient les privilèges noyau par la suite, il peut réactiver le bit à tout moment. De plus, ce script ne s’applique qu’au modèle de puce étudié : « si l’implémentation de la porte dérobée diffère ne serait-ce que légèrement, l’outil ne la reconnaîtra pas ».
En réalité, le terme de « correction » s’applique mal aux portes dérobées matérielles. Le logiciel peut au mieux fermer la porte temporairement, mais la clé reste gravée dans le silicium. Cela explique pourquoi plusieurs observateurs soulignent que ces failles sont bien plus critiques que les vulnérabilités de la chaîne d’approvisionnement logicielle : elles sont rarement auditées et ne peuvent faire l’objet de rappels massifs.
Qui est concerné : Des processeurs vieux de vingt ans toujours en service
Selon les informations publiques, les puces touchées appartiennent à la gamme VIA C3, produite au début des années 2000. Cette série ciblait principalement le contrôle industriel, les caisses enregistreuses, les distributeurs automatiques (DAB), les équipements médicaux et certains PC peu gourmands en énergie.
Plus de vingt ans plus tard, une part significative de ces équipements reste en activité au sein d’infrastructures critiques. Le remplacement de matériel embarqué dans des automates ou des caisses implique des coûts et des temps d’arrêt importants, incitant de nombreuses organisations à les maintenir en service. Le chercheur estime que ce second cœur était initialement prévu comme une fonctionnalité de débogage pour le marché de l’embarqué sans intention malveillante, mais que les premières générations ont omis de le désactiver par défaut. La clause de non-responsabilité du dépôt précise d’ailleurs qu’aucune intention malveillante n’est imputée.
Cela constitue l’un des rares éléments rassurants de l’affaire, tout en restant le cœur des discussions.
Mettre en balance les deux perspectives
D’un côté, ceux qui considèrent le sujet comme majeur rappellent que les processeurs gagnent sans cesse en complexité. Des sous-systèmes cachés comme Intel ME ou AMD PSP existent depuis longtemps, mais la porte dérobée découverte ici se situe à un niveau encore plus profond, avec un accès direct à la mémoire, aux registres et au pipeline d’exécution. Le fait que des fonctions non documentées subsistent dans le silicium entache la confiance dans la chaîne d’approvisionnement.
D’un autre côté, la position invitant à la relativisation souligne que le problème concerne des processeurs anciens conçus il y a deux décennies et que la fonctionnalité a été retirée des générations suivantes. Les travaux avaient déjà été présentés lors de conférences de sécurité en 2018 et le dépôt existe depuis des années ; il a simplement refait surface ce mois-ci sur Hacker News. Les smartphones et PC modernes ne sont pas affectés.
Les deux analyses apportent un éclairage pertinent. Concernant le VIA C3, la panique n’est pas de mise. En revanche, comme étude de cas sur la confiance accordée au matériel, le débat s’avère essentiel. Les utilisateurs n’ont aucun moyen de savoir ce que contiennent réellement les puces qui équipent leurs appareils du quotidien.
Il ne s’agit pas d’inciter à jeter ses équipements actuels. La démarche consiste plutôt à considérer que la confiance accordée par défaut au matériel doit rester une hypothèse à vérifier. L’isolement des systèmes critiques, la mise à jour régulière des micrologiciels et le rejet d’équipements de provenance incertaine demeurent les meilleures protections face aux risques au niveau du silicium.
Liens de référence :
- GitHub : Dépôt Rosenbridge
- Discussion HN (item?id=49219508)
