Rétro-ingénierie de circuits imprimés (boîte noire) pour cartes non documentées

Rétro-ingénierie des circuits imprimés (boîte noire) Ce document traite de la catégorie la plus complexe de projets de rétro-ingénierie : les cartes électroniques pour lesquelles non seulement aucune documentation n’est disponible, mais qui ont été délibérément conçues pour résister à l’analyse. Les marquages ​​des composants peuvent avoir été effacés. La carte peut être encapsulée dans une résine opaque. Des circuits intégrés spécifiques (ASIC) ou des FPGA programmés peuvent implémenter une logique propriétaire non identifiable par marquage externe. Le circuit peut être dissimulé dans un boîtier étanche doté de mécanismes de détection d’effraction. Il ne s’agit pas d’obstacles théoriques. L’électronique militaire, les contrôleurs industriels propriétaires, les cartes électroniques pour dispositifs médicaux et les produits commerciaux de grande valeur utilisent couramment des mesures anti-rétro-ingénierie pour protéger la propriété intellectuelle et conserver un avantage concurrentiel. Lorsque ces systèmes nécessitent une maintenance, une réparation ou un remplacement et que le fabricant d’origine est indisponible, rétro-ingénierie de boîte noire C’est la seule voie à suivre. Ce guide décrit la méthodologie spécialisée d’analyse des systèmes totalement non documentés où la carte résiste activement aux techniques de rétro-ingénierie classiques — de l’analyse de l’interface externe aux contre-mesures anti-falsification, en passant par la reconstruction de la conception.

1. Qu’est-ce qui définit une carte de circuit imprimé « boîte noire » et pourquoi les méthodes standard sont insuffisantes ?

1.1 Caractéristiques de la boîte noire

Une carte mère « boîte noire » diffère d'une carte mère standard non documentée sur un point crucial : les informations y sont délibérément dissimulées. Les cartes mères standard non documentées sont simplement dépourvues de documentation suite à une perte ou une négligence ; toutes les informations sont accessibles sur le matériel physique si l'on sait comment les extraire. Les cartes mères « boîte noire » sont conçues pour empêcher ou entraver cette extraction. Techniques d'obfuscation courantes :

• Suppression du marquage des composants : Les marquages ​​des circuits intégrés sont effacés par sablage, ablation laser ou traitement chimique. Sans marquage, le circuit intégré est impossible à identifier par les moyens habituels ; l’ingénieur se retrouve face à un composant inconnu, dont le brochage et la fonction sont inconnus.
• Empotage et encapsulation : La totalité du circuit imprimé (ou des sections critiques) est enrobée d'un composé opaque époxy, uréthane ou silicone. Les composants, les pistes et même le substrat du circuit imprimé sont invisibles et physiquement inaccessibles.
• Silicium sur mesure : Circuits intégrés spécifiques (ASIC) propriétaires ou dispositifs à masque programmable implémentant la logique de base. Aucune fiche technique n'existe car le dispositif n'a jamais été commercialisé.
• Microcontrôleurs à code protégé : Le micrologiciel est protégé par des fusibles de lecture. Le programme qui définit le comportement du périphérique ne peut pas être extrait.
• Mécanismes anti-falsification : Circuits de détection d'intrusion physique (interrupteurs de couvercle, capteurs de grille, moniteurs de tension) qui réagissent en effaçant les clés volatiles ou en déclenchant des mécanismes destructeurs
• Disposition du circuit imprimé obscurcie : Complexité de routage délibérée — vias inutiles, pistes trompeuses, composants factices — conçue pour augmenter le temps d'analyse et la probabilité d'erreur

1.2 Pourquoi les méthodes d'ingénierie des ressources standard échouent

La rétro-ingénierie classique part du principe que l'identification des composants est simple (lecture des marquages), que le suivi des pistes consiste en une mesure (image et tracé) et que la fonction du circuit découle de l'identification des composants (consultation de la fiche technique). Les cartes électroniques « boîte noire » remettent en cause ces trois hypothèses : les composants ne peuvent être identifiés par marquage, les pistes peuvent être invisibles sous l'enrobage et les puces personnalisées ne disposent d'aucune fiche technique publique.

2. L'évaluation de la boîte noire : déterminer à quoi vous avez affaire

2.1 Examen externe

Avant de tenter d'ouvrir ou d'analyser l'appareil :

• Photographiez toutes les caractéristiques externes : Marquages ​​du boîtier, étiquettes, certifications réglementaires (identifiant FCC, marquage CE, homologations UL). Les identifiants FCC peuvent être recherchés dans la base de données de la FCC pour trouver des photos internes et des rapports de test susceptibles de révéler des détails sur la carte.
• Documenter tous les connecteurs : Types de connecteurs, nombre de broches et étiquetage : ces éléments définissent les interfaces externes de la carte et constituent le point de départ de l’analyse comportementale.
• Évaluer le niveau d'encapsulation : La carte est-elle dans un boîtier standard (couvercle amovible) ? Boîtier étanche (collé ou soudé) ? Module encapsulé (carte noyée dans un composé) ?

2.2 Imagerie non invasive

La tomographie par ordinateur est l'outil le plus performant pour l'analyse des boîtes noires : elle permet d'imager la structure de la carte, la position des composants et même le tracé des pistes à travers la résine d'enrobage, sans contact physique. Pour les projets d'analyse de boîtes noires à forte valeur ajoutée, la tomographie par ordinateur doit être réalisée avant toute intervention physique.

2.3 Évaluation des risques

Avant de procéder à une analyse invasive, évaluer :

• Existe-t-il un mécanisme de détection de falsification ? (Mémoire volatile avec batterie de secours, capteurs à maillage, interrupteurs de couvercle — visibles sur un scanner)
• Combien d'unités d'échantillon sont disponibles ? (L'analyse par boîte noire peut détruire l'échantillon ; il est donc fortement préférable de disposer de plusieurs unités.)
• Quel est le niveau de risque acceptable ? (L’objectif est-il de comprendre le circuit ou d’en produire une copie fonctionnelle ? Le premier objectif tolère davantage de dommages liés à l’analyse.)

3. Analyse de l'interface externe : travailler de l'extérieur vers l'intérieur

3.1 Schéma de brochage des connecteurs

Sans ouvrir l'appareil, cartographiez le brochage de chaque connecteur par sondage électrique :

• Broches d'alimentation : Identifié par sa résistance à la masse (faible résistance = masse d'alimentation ; faible résistance par rapport aux autres broches grâce au découplage = alimentation électrique)
• Broches de communication : Connectez un analyseur logique ou un oscilloscope et observez l'activité des signaux en fonctionnement normal. Les signaux UART présentent des séquences binaires de démarrage/arrêt caractéristiques ; les signaux SPI présentent l'horloge et les données ; les signaux I2C présentent l'horloge et des données bidirectionnelles avec accusé de réception (ACK) et accusé de non-réponse (NACK) ; les signaux CAN présentent une signalisation différentielle.
• Broches analogiques : Mesurez la tension continue et observez les variations du signal. Les entrées/sorties analogiques présentent généralement des signaux à variation lente ou corrélés au capteur.
• E / S numériques: Observer les changements d'état corrélés au comportement du dispositif (entrées qui changent lorsque des boutons sont enfoncés ; sorties qui changent lorsque des actionneurs sont activés).

3.2 Identification et décodage du protocole

Pour chaque interface de communication identifiée :

• Déterminer le protocole (débit en bauds, format des données, tramage)
• Capture et décodage du flux de données en fonctionnement normal
• Identifier les modèles de commandes/réponses, les structures de données et les relations temporelles
• Élaborer une spécification de protocole décrivant comment la boîte noire communique avec les systèmes externes

Cette analyse comportementale externe fournit les spécifications fonctionnelles que toute conception de remplacement doit respecter, même si la mise en œuvre interne reste partiellement inconnue.

3.3 Analyse de puissance

Mesurer le profil de consommation électrique de l'appareil au fil du temps :

• La consommation d'énergie en régime permanent indique la complexité globale du circuit
• Les variations de consommation d'énergie corrélées aux états de fonctionnement révèlent des schémas d'activité interne
• La séquence de mise sous tension (courant d'appel, temps de démarrage, profil de courant d'initialisation) fournit des indications sur l'architecture interne (démarrage du processeur, configuration du FPGA, étalonnage analogique).

4. Analyse interne : Déjouer l’obfuscation et les mesures anti-falsification

Cette section traite des techniques spécialisées requises lorsque l'identification standard des composants et l'analyse des traces sont bloquées par des contre-mesures délibérées.

4.1 Retrait du composé d'enrobage

La technique d'élimination dépend du type de composé :

• Enrobage en silicone : Souple ; à découper et à décoller avec précaution. Risque minimal pour les composants. Souvent utilisé lorsque l’objectif principal est la protection de l’environnement plutôt que la dissimulation de la propriété intellectuelle.
• Enrobage en uréthane : Dureté moyenne. Dissolution chimique (solvants exclusifs) ou usinage mécanique précis. Risque modéré d'endommagement des composants.
• Enrobage époxy : Très difficile. Nécessite un micro-fraisage CNC guidé par des données de tomographie pour enlever de la matière sans contact avec les composants. Risque élevé : les composants peuvent être endommagés lors de l’usinage. Les données de tomographie servent à programmer les limites de profondeur de fraisage au-dessus de chaque composant.
• Époxy chargé de métal : Certaines applications de haute sécurité utilisent de l'époxy chargé de particules de métallite pour bloquer l'imagerie par rayons X. Leur utilisation requiert des techniques de retrait spécialisées et un temps d'analyse considérablement plus long.

4.2 Identification des composants dont le marquage a été retiré

Lorsque les marquages ​​des circuits intégrés ont été poncés ou ablatés :

• Analyse du paquet : Le type de boîtier (QFP, BGA, SOIC, QFN) et le nombre de broches réduisent considérablement le nombre de candidats. Un boîtier SOIC à 8 broches avec des emplacements spécifiques pour les broches d'alimentation est probablement un régulateur de tension, un amplificateur opérationnel ou un petit dispositif de mémoire.
• Contexte du circuit : Les composants connectés au circuit intégré inconnu fournissent des indices d'identification importants. Un circuit intégré connecté à un oscillateur à quartz, à une mémoire flash SPI et à plusieurs périphériques connectés à des E/S est presque certainement un microcontrôleur.
• Examen de la matrice (décapsulation) : L'élimination chimique ou mécanique du matériau du boîtier du circuit intégré expose la puce de silicium. Les marquages ​​de la puce (souvent présents même après suppression des marquages ​​du boîtier), sa taille et la disposition des plots de connexion permettent d'identifier le composant.
• Imagerie infrarouge en fonctionnement : Les profils d'émission thermique des circuits intégrés alimentés révèlent la structure interne de la puce et ses zones de fonctionnement, fournissant des indices sur le type et le fonctionnement du dispositif.

4.3 Gestion des ASIC personnalisés

Si le boîtier noir contient un circuit intégré spécifique à une application (ASIC), il est impossible de l'identifier dans une base de données car il n'a jamais été commercialisé. Approches :

• Caractérisation fonctionnelle : Cartographiez l'ensemble du comportement des E/S en stimulant les entrées et en observant les sorties. Élaborez un modèle comportemental qui décrit le fonctionnement du circuit intégré spécifique (ASIC) sans connaître son fonctionnement interne.
• Émulation FPGA : Implémentez le comportement caractérisé dans un FPGA moderne en remplacement fonctionnel du circuit intégré spécifique (ASIC) inconnu. Ceci ne reproduit pas la conception interne de l'ASIC, mais produit un comportement externe équivalent.
• Ingénierie inverse des puces : Dans les cas les plus extrêmes, la puce ASIC peut être photographiée couche par couche et le circuit au niveau des portes reconstruit à partir des images. Cette méthode est extrêmement coûteuse (de 50 000 $ à plus de 500 000 $) et généralement réservée aux applications militaires ou de sécurité nationale.

5. Caractérisation comportementale sans accès interne

5.1 Quand l'analyse physique n'est pas possible

Dans certains cas, la boîte noire ne peut être ouverte (mécanismes de falsification destructifs, échantillon unique irremplaçable ou restrictions réglementaires). L'ensemble du processus de rétro-ingénierie doit alors s'appuyer sur une analyse comportementale externe.

• Cartographie complète des E/S et décodage du protocole (comme décrit dans la section 3)
• Caractérisation de la fonction de transfert : pour chaque relation entrée/sortie, mesurer la fonction mathématique qui transforme l’entrée en sortie sur toute la plage de fonctionnement.
• Caractérisation temporelle : mesurer tous les temps de réponse, les latences et les comportements périodiques
• Analyse de la machine à états : identifier les états de fonctionnement, les transitions et les conditions de transition du dispositif

5.2 Élaboration d'un remplacement fonctionnel à partir de données comportementales

Une spécification comportementale permet de concevoir un remplacement fonctionnel sans connaître l'implémentation interne :

• Sélectionnez un processeur ou une plateforme FPGA capable de mettre en œuvre les interfaces d'E/S et la vitesse de traitement requises.
• Implémentez les fonctions de transfert, la machine à états et la synchronisation caractérisées dans le firmware ou le HDL.
• Concevez la carte avec des connecteurs et un brochage identiques pour une compatibilité directe.
• Valider par rapport à l'appareil d'origine grâce à des tests comparatifs directs.

Cette approche permet d'obtenir une carte qui se comporte de manière identique à l'originale du point de vue du système, même si son implémentation interne peut être complètement différente.

6. Reconstitution du plan à partir de preuves combinées

6.1 Fusion des preuves

La rétro-ingénierie des systèmes en boîte noire repose rarement sur une seule technique d'analyse. Elle combine plutôt des preuves provenant de sources multiples :

• Les données de tomodensitométrie fournissent les positions des composants et la structure de la carte.
• L'analyse comportementale externe fournit des spécifications fonctionnelles
• Le décapage (le cas échéant) permet le marquage des composants et l'accès aux pistes.
• Le décapsulage des circuits intégrés permet l'identification des composants non marqués.
• Le décodage de protocole fournit des spécifications d'interface de communication

Chaque source de données comble les lacunes des autres. La reconstruction est achevée lorsque toutes les sources convergent vers une description unique et cohérente du modèle.

6.2 Livrables des projets « boîte noire »

Selon la profondeur d'analyse atteinte :

• Reconstruction complète : Si l'encapsulation est retirée et tous les composants identifiés, les livrables standard (schéma, Gerber, nomenclature, netlist) sont équivalents à ceux d'un projet d'ingénierie inverse classique.
• Conception de remplacement fonctionnel : Si une analyse physique complète n'était pas possible, une nouvelle conception de carte reproduisant le comportement externe de l'originale à l'aide de composants modernes serait réalisée. Ceci inclut un nouveau schéma, un nouveau fichier Gerber, une nouvelle nomenclature et un rapport de validation comportementale.
• Spécification de l'interface : Si seulement une analyse externe avait été réalisée — une documentation complète de toutes les interfaces, protocoles, synchronisations et fonctions de transfert —, cela aurait suffi pour concevoir un système de remplacement interagissant correctement avec l'équipement hôte de la boîte noire.

7. Services de rétro-ingénierie de boîte noire de Highleap

Highleap Électronique propose une analyse spécialisée de type « boîte noire » pour les projets de rétro-ingénierie les plus complexes :

• Imagerie avancée : Scanner CT à travers le composé d'enrobage, Analyse aux rayons X des assemblages encapsulés et de la photographie au niveau de la puce pour les circuits intégrés non marqués
• Retrait du pot : Micro-fraisage CNC guidé par données CT, dissolution chimique et décapsulation mécanique — avec protocoles de préservation des composants
• Analyse comportementale : Décodage de protocole, caractérisation de la fonction de transfert et analyse de la machine à états pour les dispositifs qui ne peuvent pas être ouverts
• Émulation FPGA : Fonctionnalités ASIC personnalisées répliquées dans les plateformes FPGA modernes pour un remplacement fonctionnel
• Livrables complets : Full reconstruction schématique lorsque l'analyse physique le permet ; conception de remplacement comportemental lorsque ce n'est pas le cas.
• Intégration de la production : De l'analyse à fabrication de prototypes, Assemblée et validation fonctionnelle
• Accord de confidentialité strict : Les projets « boîte noire » exigent la plus grande confidentialité — nos protocoles de sécurité sont à la hauteur.