Des réactifs chimiques pour dissoudre le cœur mécanique
Le 13 septembre 2026, le passionné canadien de matériel informatique DiscoStarslayer a rendu public l’ensemble du processus d’extraction du firmware de la puce de sécurité d’origine de la PlayStation 2, la CXP102064. Ce composant de contrôle central, sorti d’usine avec les toutes premières consoles en 1999, a résisté pendant 26 ans avant de capituler face à des réactifs chimiques hautement concentrés et des microscopes à fort grossissement. Les multiples remparts cryptographiques matériels mis en place par Sony à l’époque ont été abattus directement au niveau physique.
Dans l’histoire du jeu vidéo, la PS2 demeure inégalée avec plus de 155 millions d’exemplaires écoulés à travers le monde. Face à un tel parc de machines et une longévité de plusieurs décennies, le statut de boîte noire de ses puces fondamentales contraignait les réparations de bas niveau et l’émulation matérielle à naviguer à tâtons et à recourir à des expédients.
Cette puce dédiée, baptisée MechaCon (abréviation de Mechanism Controller), est bien plus qu’une unité de calcul ordinaire. Elle commande directement les mécanismes du lecteur optique et les opérations de lecture et d’écriture de la mémoire flash. Elle constitue également le passage matériel obligé pour l’authentification des cartes mémoire MagicGate et le déchiffrement des fichiers exécutables centraux (KELF). Verrouiller ce jeu de clés revenait à verrouiller l’autorité souveraine de validation de la console sur les supports physiques et le stockage externe.
À la sortie d’usine de ces premières unités, les ingénieurs de Sony avaient gravé la logique de sécurité en dur dans la résine époxy. Tenter d’explorer son espace d’états internes au moyen d’outils logiciels d’analyse conventionnels ou de force brute dépassait alors de très loin la puissance de calcul de l’époque.
Illustration : Puce de sécurité de la PS2 dont la puce de silicium est mise à nu après attaque chimique. Source : Tom’s Hardware
Bain d’acide et microscopes pour mettre le silicium à nu
Le décapage chimique est un travail d’atelier exigeant blouses protectrices et manipulation de substances corrosives dangereuses. Il aura fallu quatre années entières aux chercheurs pour dissoudre, couche par couche, l’encapsulation plastique externe du composant à l’aide de solutions d’acide concentré chauffé, jusqu’à ce que la grille microscopique du dé de silicium soit parfaitement exposée à l’air libre.
L’extraction optique a constitué l’étape suivante. Sous microscope à haute résolution, l’équipe a photographié les circuits de silicium couche après couche. Par comparaison visuelle et raboutage algorithmique, les portes logiques physiques révélées par l’image ont été rétro-calculées vers une logique numérique concrète. À force de persévérance et de rigueur d’ingénierie, la structure matérielle brute a été méthodiquement traduite en code intelligible.
Le chiffrement matériel n’offre jamais d’isolement physique absolu. Tant qu’une puce de silicium existe matériellement dans le monde réel, les défenses érigées par le concepteur finissent toujours par n’être qu’une variable de temps et d’investissement pour l’assaillant.
Au terme de ce long bras de fer, l’équipe a bénéficié d’une avancée inattendue. En explorant les données de l’extraction optique, encore bruitées et imparfaites, la chercheuse en sécurité Libby a découvert une vulnérabilité logicielle exploitable, réduisant considérablement le chemin menant à l’extraction intégrale du firmware.
Les participants fixent trois frontières techniques claires
Dans les communautés de passionnés, une percée en rétro-ingénierie matérielle tend souvent à être amplifiée outre mesure. Dans les espaces de discussion des publications spécialisées, le développeur uyjulian, qui a participé au projet, a tenu à poser lui-même des garde-fous techniques très nets.
Il a souligné que le simple fait de détenir ce firmware extrait ne permettait pas de disposer instantanément d’un émulateur de lecteur optique (ODE) prêt à l’emploi. Les méthodes actuelles d’extraction nécessitent encore de multiples opérations d’écriture sur des plages mémoire précises, et plusieurs obstacles d’interfaçage physique restent à franchir avant de parvenir à une réplication parfaite et non destructive.
| Vecteur d’attaque technique | Solutions palliatives de la communauté depuis 20 ans | Gains d’ingénierie réels après obtention du code de bas niveau |
|---|---|---|
| Lancement de copies de sauvegarde | Failles sur cartes mémoire, exploits de disque dur ou patchs externes | Le contournement de la vérification ne repose plus sur des conjectures, mais cible les faiblesses réelles du mécanisme |
| Création d’émulateurs de lecteur optique (ODE) | Nécessitait des révisions de cartes mères spécifiques et un détournement matériel | Permet de concevoir des modules de remplacement se substituant directement à la puce de validation centrale |
| Dézonage et élévation de privilèges | Chaînes d’exploits logiciels via des outils tiers | Fournit une référence de code source fondamentale pour les projets de rétro-ingénierie |
Circonscrire l’avancée technique à ses retombées concrètes d’ingénierie relève d’une rigueur salutaire, bien préférable à des déclarations de victoire totale. Le contenu des disques de jeux n’a d’ailleurs jamais été chiffré en tant que tel : hormis pour les éléments assujettis à une validation en ligne, ce firmware n’apporte aucun raccourci pour déchiffrer les données de jeu.
Illustration : Architecture de la carte mère de la PS2 et implantation de la puce MechaCon. Source : Neoteo
Exploitation logicielle versus rétro-ingénierie matérielle
Avant ce démontage physique, les recherches de la communauté sur l’exécution de code amateur (homebrew) sur les premières révisions de la PS2 se focalisaient essentiellement sur la découverte de failles logicielles. Qu’il s’agisse des méthodes d’amorçage bien connues ou de dépassements de tampon déclenchés par le lecteur optique, toutes ces approches revenaient à poser des rustines à l’intérieur du cadre de privilèges défini par le constructeur.
La puce de sécurité propriétaire occupe le socle absolu de la chaîne de confiance (Root of Trust) de la console. Tant qu’elle restait une boîte noire, les concepteurs d’émulateurs cycle-accurate devaient se contenter de deviner son comportement à partir d’observations empiriques sur ses signaux d’entrée et de sortie.
La rétro-ingénierie matérielle se distingue par son ancrage physique immuable. Une faille d’élévation de privilèges logicielle peut facilement être corrigée sur les séries matérielles suivantes. En revanche, pour une puce scellée dans l’époxy en 1999, l’agencement des transistors est figé pour l’éternité selon les procédés de gravure de l’époque.
Dès lors que la microscopie optique a cartographié les pistes physiques de la mémoire morte (ROM), l’ensemble du système cryptographique a été mis à nu. Traiter des clichés optiques flous pendant des dizaines de mois représente un coût colossal, mais cela débouche sur une réponse universelle, affranchie de tout exploit passager.
Bâtir les fondations de la préservation numérique
Pour quiconque cherchait simplement à faire tourner des programmes amateurs, le besoin était comblé depuis plus d’une décennie par une multitude de patchs logiciels et d’aménagements matériels. Certaines révisions tardives permettaient même de charger des médias non signés directement par injection de patchs.
L’intérêt fondamental de la reconstitution de la logique interne réside dans l’émulation matérielle ultra-précise et la préservation du patrimoine électronique. Lorsqu’après vingt ans de bons et loyaux services, les condensateurs d’une carte mère arrivent en fin de vie et que la puce de sécurité grille physiquement, les restaurateurs n’auront plus à écumer le marché de l’occasion pour trouver une carte mère donneuse fonctionnelle.
Grâce à la compréhension exhaustive des mécanismes de validation et des règles de déchiffrement des exécutables, la communauté open source sera désormais en mesure de programmer des puces logiques génériques et bon marché (FPGA) pour restituer fidèlement chaque chronogramme et chaque réponse de cette vénérable puce de sécurité.
Les systèmes de protection de tels composants ont toujours été l’objet d’un arbitrage entre moyens de calcul et temps investi. La portée durable de cet exploit est de faire basculer la maintenance et l’émulation des machines anciennes d’une dépendance envers des pièces physiques vouées à l’usure vers un patrimoine logiciel réutilisable, reproductible à l’infini et recompilable sur des architectures modernes. Quand les émulateurs de demain voudront recréer avec exactitude l’environnement de l’époque, les développeurs n’auront qu’à s’appuyer sur ce schéma directeur désormais ouvert.
Liens de référence :
- Article de Tom’s Hardware
- Discussion sur Lobsters
- PSDev Wiki
- Projets MechaPwn et TonyHax
- Notes publiques de DiscoStarslayer
