Sécurité de la mémoire embarquée : pierre angulaire de la protection des données moderne

Si la sécurité au niveau de la mémoire existe depuis des années, l'explosion du travail à distance et le déploiement de la 5G en ont amplifié l'importance. Aujourd'hui, protéger les données est plus critique — et plus complexe — que jamais.

Ajouter une sécurité robuste aux puces mémoire augmente inévitablement la complexité de conception. Pourtant, les bénéfices de ces fonctions ne se matérialisent que lorsqu'elles sont correctement configurées et intégrées au reste du système, y compris systèmes d'exploitation et logiciels applicatifs.

Depuis des décennies, la sécurité est tissée dans les composants mémoire et réseau à travers les environnements informatiques. La mémoire programmable effaçable électriquement (EEPROM) alimente cartes de crédit, cartes SIM et entrées sans clé ; le « S » des cartes SD signifie « secure », et les SSD supportent depuis longtemps le chiffrement matériel.

Malgré ces avancées, l'erreur humaine reste une menace omniprésente. Les professionnels de la sécurité font encore face à des utilisateurs ouvrant des pièces jointes malveillantes ou des routeurs mal configurés. Même les protections les plus sophistiquées au niveau mémoire peuvent être compromises si le système n'est pas correctement géré.

À mesure que les systèmes convergent — surtout avec l'essor de l'informatique en périphérie (edge), de l'IoT et des véhicules connectés — la sécurité basée sur la mémoire doit évoluer pour suivre l'expansion des surfaces d'attaque.

La NOR flash Semper Secure d'Infineon illustre comment le matériel peut servir de racine de confiance tout en effectuant diagnostics et correction de données pour la sûreté de fonctionnement. (Source : Infineon)

Des entreprises comme Rambus proposent des produits sécurisant chaque connexion face aux exigences de bande passante du cloud et de l'edge. Infineon a étendu sa NOR flash Semper de Cypress Semiconductor pour anticiper l'ubiquité de la connectivité, protégeant contre la falsification du contenu flash sur toute plateforme — véhicules autonomes, industriel, médical, IoT.

La gestion des clés de chiffrement est essentielle, note l'analyste Thomas Coughlin. Embarquer la sécurité dans la mémoire non volatile devient de plus en plus important car les données persistent même hors tension.

Le vrai défi, selon Coughlin, est de garantir que les utilisateurs puissent aisément employer ces fonctions de sécurité. Le maillon le plus faible reste l'opérateur humain.

Les smartphones modernes agissent désormais comme agents d'authentification, remplaçant les mots de passe traditionnels par la biométrie. Si cela réduit la dépendance aux mots de passe, cela introduit aussi le risque d'exposition accidentelle de données non chiffrées. Coughlin insiste sur le fait que la facilité d'utilisation, au-delà du simple chiffrement, est cruciale.

Le vice-président Marketing de Virtium, Scott Phillips, argue que le chiffrement seul ne suffit pas. Une approche multicouche, gérée centralement, est nécessaire, surtout lors du déploiement de la spécification Opal du Trusted Computing Group pour l'authentification pré-démarrage. « Même une entreprise de taille considérable n'active souvent pas une sécurité holistique et sophistiquée », dit Phillips.

Avec l'accélération du déploiement 5G, des efforts sont en cours pour sécuriser les chemins de données de l'edge au centre de données, pourtant la sécurité matérielle fait encore face à des obstacles d'implémentation.

Exigences d'intégration

Les secteurs industriels exigent la consolidation de systèmes disparates, tandis que les hyperscalers comme Amazon Web Services et Microsoft Azure championnent la sécurité des données. Néanmoins, ces défenses doivent atteindre l'utilisateur final.

Malgré un éventail croissant de standards, des problèmes de compatibilité persistent. Les fournisseurs rivalisent pour se positionner comme leaders en produits et services sécurisés, mais les pirates exploitent constamment les failles restantes. « Il faut une fonction IT centralisée et méticuleuse pour combler tous ces trous », ajoute Phillips.

Intégrer la sécurité directement dans un dispositif mémoire — plutôt que de l'ajouter après coup — s'apparente à la philosophie DevSecOps, qui intègre sécurité et confidentialité tout au long du cycle de développement.

L'informatique confidentielle (confidential computing) est un cadre émergent qui protège les données en cours d'utilisation en isolant les calculs dans un environnement d'exécution de confiance (TEE) matériel. Les données sont chiffrées en mémoire et restent protégées pendant le traitement.

Intel SGX montre comment un TEE peut être créé dans un processeur, assurant que le code et les données chargés à l'intérieur sont protégés pour confidentialité et intégrité.

Éditeurs logiciels et matériels, dont Google et Intel, font progresser l'informatique confidentielle. Google a récemment annoncé des capacités au niveau conteneur, tandis que les extensions Software Guard Extensions (SGX) d'Intel permettent des TEE pour fournisseurs cloud comme Microsoft Azure.

L'informatique confidentielle exige une responsabilité partagée. Simon Johnson, ingénieur principal senior pour l'Architecture Sécurité et Assurance Produit d'Intel, nous rappelle que l'humain reste le maillon le plus faible.

Le SGX d'Intel fournit un chiffrement mémoire matériel qui isole code et données d'application dans des « enclaves » privées. Cette granularité aide à défendre contre des attaques comme le cold-boot et protège contre OS, pilotes, BIOS ou hyperviseurs compromis.

En rapprochant les clés de chiffrement de la charge de travail, l'informatique confidentielle peut réduire la latence et permettre l'analytique sur des jeux de données que l'utilisateur ne possède pas. Les protections logicielles seules sont insuffisantes ; les garde-fous matériels sont essentiels.

Phillips de Virtium note que le chiffrement mémoire « bouton-poussoir » est l'objectif ultime, mais une sécurité complète nécessitera des couches supplémentaires bâties sur cette base.

L'informatique confidentielle est plus que le chiffrement mémoire ; il s'agit d'assurer l'isolement total des données, le contrôle d'accès et la vérifiabilité dans un environnement hétérogène.

>> Cet article a été publié à l'origine sur notre site partenaire, EE Times.