Minuscule et pourtant colossale, cette puce provoque d'ores et déjà une crise comme rarement la sécurité informatique n’en a connu. Un raz de marée qui met à mal la sécurité de centaines de milliers de serveurs dans les data centers de géants comme Amazon ou Apple, et par extension celle de leurs centaines de millions d’utilisateurs, particuliers, entreprises et administrations.

L’histoire d’un petit géant

Tout commence avec une entreprise californienne, dont le siège est situé dans le nord de San José, au cœur de la Silicon Valley, à proximité de son aéroport international. La société s’appelle Super Micro Computer, généralement raccourci en Supermicro. Elle a été fondée en 1993 par Charles Liang, un ingénieur taïwanais et sa femme, et est rapidement devenue le numéro un d’un marché juteux, celui des cartes mères pour serveurs. Des composants qu’on retrouve dans les machines IRM, dans les serveurs Web, bancaires ou cloud… sans oublier les systèmes de contrôle de l’armée. La société de Charles Liang domine largement le marché, au point de vendre quasiment autant de cartes mères que tous les autres acteurs réunis.

Comme beaucoup d’entreprises américaines dans les années 90, Supermicro a suivi la vague de la délocalisation de sa production, d’abord à Taïwan, puis en Chine continentale. Une évolution logique, facilitée par la forte culture chinoise de la société, où, explique Bloomberg, les réunions importantes ont toujours lieu d’abord en anglais, puis en mandarin.

Un passager clandestin quasi indécelable

C’est cette délocalisation qui semble avoir permis le casse du siècle. Dans le petit monde du hacking, d’Etat notamment, pour compromettre du matériel, deux solutions sont envisageables. La première, la plus simple, a les faveurs des agences américaines, comme l’a révélé Edward Snowden. Elle consiste à intercepter l'équipement entre le lieu de fabrication et l’adresse de livraison.

La seconde est plus complexe car elle requiert une modification à l’usine, avec tout ce que cela implique. Une complicité forte de la part du fabricant (ou de ses sous-traitants) couverte par une puissance étatique. Elle implique également une connaissance approfondie des circuits à hacker. Car l’objectif est bien d’ajouter une puce sur les circuits qui permettra d’accéder à la machine et aux informations qui transitent par ses circuits.

Voilà pour la théorie... devenue réalité en 2015.

Cette année-là, deux sociétés, Amazon et Apple, découvrent chacune de leur côté des puces clandestines sur des cartes mères Supermicro installées sur des serveurs. L’une de ces machines était réservée à un laboratoire d’Apple, d'autres étaient en cours d’analyse par les équipes chargées des audits de sécurité d’Amazon. Alertés, les services de renseignement américains se sont penchés sur ces cas et en ont conclu que ces mouchards, capables de communiquer avec des serveurs chinois, notamment pour prendre des instructions, ont bel et bien été ajoutés en cours de fabrication. Une porte dérobée quasi indécelable, de la taille d’un grain de riz, toute grande ouverte pour permettre des attaques ultérieures.

Selon les analystes américains, pas moins de trente sociétés auraient été concernées par ce hack : Apple et Amazon (dont le service cloud est omniprésent), donc, mais également de grosses banques, des contractants de l’Etat fédéral américain, etc.

L’effondrement d’un système de confiance

A partir de l’instant où des puces « pirates » ont été détectées, la grande question est de savoir si d’autres n’ont pas échappé à la surveillance des experts avec, en corollaire, le doute qui s’immisce. Peut-on faire confiance aux services de ces entreprises piratées de l’intérieur ? Les données sont-elles en sécurité ? Deux questions qui reviennent à mettre à bas toute la confiance qu’ont établi les géants comme Apple et Amazon avec leurs utilisateurs. Car malgré toute leur bonne volonté et leurs principes forts, les sociétés qui recourent à ces serveurs sont trahies, à leur insu.

Il n’est pas étonnant que quelques-uns des acteurs concernés ( Supermicro, Apple, Amazon et bien entendu l’Etat chinois) se défendent chacun avec leurs arguments d’être concernés par cette affaire. La Chine clame est un « défenseur résolu de la cybersécurité » et rappelle être, elle aussi, victime de la compromission des chaînes de production. Tandis qu’Apple déclare mener des enquêtes avancées avant chaque mise en service de ce genre de produit et ne pas avoir détecté d’irrégularités, exceptée celle reportée en 2015. La société précise d’ailleurs ne plus travailler avec Supermicro depuis 2016. Vu l’importance que prend la défense de la vie privée et la sécurité des données de ses utilisateurs, on comprend qu’Apple ne prenne pas les révélations de Bloomberg à la légère.r...

La Chine et le hacking d’Etat

Néanmoins, l’enquête du site économique américain va plus loin et indique que les arguments d’Apple, d’Amazon et de Supermicro sont contrés par plusieurs témoignages, ceux d'agents de l’administration américaine et d'employés d’Apple, notamment. Avant que la puce ne soit découverte par des ingénieurs d’Apple, ce ne sont pas moins de 7 000 serveurs Supermicro qui auraient tourné sur le réseau de la firme de Cupertino, avec tous les risques de fuite de données que cela laisse entendre.

Bloomberg précise toutefois qu’a priori aucune donnée personnelle n’a été dérobée. Car l’objectif des espions – résolument identifiés comme étant au service de la Chine – est de voler de la propriété intellectuelle ou des données gouvernementales secrètes.

L’article étaie son affirmation en citant un haut fonctionnaire américain qui aurait informé la Maison Blanche dès 2014 de la volonté des militaires chinois d’intégrer des puces pirates dans les cartes mères de Supermicro à destination des entreprises américaines.

Si ces sociétés américaines ont pu être flouées, c’est aussi et surtout le gouvernement chinois qui est placé sous les feux de la rampe dans cette enquête. Elle raconte le chemin suivi par les enquêteurs des services secrets américains pour remonter la piste de ces cartes mères hackées dès leur origine. Comment des officiels chinois ont corrompu ou menacé des sous-traitants (parfois des sous-traitants de sous-traitants de Supermicro) pour que le design de ces cartes soit modifié.

Derrière ces attaques, selon Bloomberg, on retrouve des unités de l’Armée de libération du peuple spécialisées dans le hack matériel. A l’heure où les relations entre la Chine et les Etats-Unis ne sont pas au mieux, alors que l’administration Trump souhaite à grands cris rapatrier les forces de production sur le territoire états-unien, ces révélations risquent de bouleverser bien des choses et jeter le doute sur de nombreux servics. Pas forcément pour le mieux.