Sécuriser la programmation firmware hors site pour vos appareils embarqués

Lorsque votre système embarqué reste un produit de niche, vous pouvez gérer chaque étape en interne. Mais une fois la demande en forte hausse, la fabrication à grand volume passe généralement à un fabricant sous-traitant (CM). Une responsabilité critique du CM est la programmation du firmware du microcontrôleur dans chaque appareil.

Dans de tels scénarios, protéger votre propriété intellectuelle et prévenir la surproduction deviennent primordiaux. Environ 10 % des biens électroniques dans le monde sont contrefaits, et une part significative provient de CM produisant des copies non autorisées.

La PI dans les systèmes embarqués se manifeste sous deux formes principales : les schémas matériels et le code firmware. Même si un CM peut dupliquer le layout du PCB, l'appareil est inutile sans le firmware propriétaire. Quand un CM a un accès non restreint aux deux, les développeurs d'origine doivent se fier à l'intégrité et à la réputation du CM.

Lors de la récente Embedded World Conference à Nuremberg, SEGGER a dévoilé Flasher SECURE, une solution de programmation de production qui s'attaque frontalement aux risques de vol de PI et de surproduction.

Flasher SECURE fonctionne sur un principe éprouvé : chaque microcontrôleur porte un identifiant unique (UID). Le propriétaire de la PI du firmware fournit au CM la plateforme Flasher SECURE, tandis que le firmware réel réside sur un serveur de confiance sécurisé sous le contrôle du propriétaire de la PI.

Pendant la programmation, Flasher SECURE lit l'UID de l'appareil et le transmet au serveur de confiance. Le serveur valide l'UID et retourne une signature cryptographique avec le firmware. Flasher SECURE écrit ensuite les deux dans le microcontrôleur.

Au démarrage, le firmware vérifie immédiatement l'UID par rapport à la signature stockée. Seule une correspondance permet à l'appareil de fonctionner ; sinon, le firmware peut refuser de s'exécuter ou déclencher une réponse personnalisée. Cela garantit que le firmware s'exécute exclusivement sur du matériel autorisé.

La vitesse est essentielle. SEGGER a conçu Flasher SECURE pour que le firmware soit récupéré du serveur une seule fois — lors de la programmation de la première unité. Le firmware récupéré est mis en cache localement pour tous les appareils suivants.

Pour chaque unité suivante, Flasher SECURE transmet l'UID au serveur de confiance pendant la programmation. Le serveur génère immédiatement une nouvelle signature, qui est écrite dans l'appareil en quasi temps réel, ajoutant une surcharge négligeable à la production.

Si le firmware détecte qu'il s'exécute sur un système contrefait, la réponse peut être adaptée. Les options incluent un simple message d'avertissement, la désactivation de fonctionnalités, ou, dans des configurations plus avancées, la transmission de données de diagnostic au propriétaire de la PI pour enquête. Bien que cette dernière approche puisse être puissante, elle doit être appliquée avec discernement, surtout dans les applications critiques pour la sécurité.

En fin de compte, le choix des contre-mesures dépend du profil de risque et des objectifs commerciaux de votre produit. Un avertissement clair peut suffire dans de nombreux cas, mais une stratégie plus proactive peut dissuader les contrefacteurs et protéger l'intégrité de votre marque.