Quand l’énergie devient une surface d’attaque : RF Energy Harvesting et cybersécurité matérielle

Depuis quelques années, les discours sur l’Internet des objets se remplissent de mots comme battery-less, energy harvesting, capteurs autonomes, réseaux de capteurs massifs. L’idée est simple et puissante : des dispositifs qui se nourrissent de leur environnement (lumière, vibrations, chaleur ou ondes radio), et fonctionnent sans jamais qu’on change une pile.

Mais une question dérangeante s’impose progressivement : que se passe-t-il si l’énergie elle-même devient une surface d’attaque matérielle ?

Ce texte propose une réflexion volontairement théorique à la croisée de la sécurité matérielle, des systèmes embarqués et des architectures IoT alimentées par RF Energy Harvesting. L’objectif n’est pas de livrer une recette d’attaque “clé en main”, mais de poser une grille de lecture pour penser l’avenir de la cybersécurité matérielle à l’ère des objets qui dépendent directement de l’environnement électromagnétique pour survivre.

RF Energy Harvesting : l’alimentation des circuits électroniques par un champ électromagnétique

Dans un système à RF Energy Harvesting, le dispositif récupère une partie de l’énergie transportée par les ondes radio (Wi-Fi, GSM, 5G, signaux dédiés, etc.), la convertit en courant continu, puis la stocke dans un condensateur ou une micro-batterie. Cette énergie alimente ensuite un microcontrôleur, des capteurs et parfois un dispositif IoT entier.

Schématiquement, on retrouve la chaîne :

• Antenne (capture du champ RF) ;

• Réseau d’adaptation (maximisation de la puissance reçue) ;

• Redresseur RF/DC (diodes, MOSFET, structures non linéaires) ;

• Circuit de gestion de puissance (PMU, convertisseurs DC-DC, supervision de tension) ;

• Élément de stockage (condensateur, supercondensateur, micro-batterie) ;

• Charge numérique (MCU, capteurs, radio, logique de sécurité…).

Du point de vue physique, la puissance reçue sur l’antenne peut se modéliser, en espace libre, par une forme simplifiée de l’équation de Friis :

Pr(f, d) = Pt × Gt × Gr × (lambda / (4 × pi × d))²

avec Pt la puissance émise, Gt, Gr les gains d’antenne, lambda la longueur d’onde et d la distance émetteur – récepteur.

La puissance effectivement récoltée côté DC devient : P_harv(t) = eta_RF_DC(Pr(t)) × Pr(t)

où eta_RF_DC est le rendement du redresseur, lui-même fortement dépendant du niveau de puissance et du point de fonctionnement des diodes.

Pour qu’un objet battery-less reste fonctionnel, il faut qu’en moyenne sur un cycle d’activité T :

Dès que cette inégalité est violée, l’objet bascule dans un régime d’exécutions intermittentes : démarrage, exécution de quelques instructions, extinction faute d’énergie, recharge, reprise partielle… Ce régime est désormais bien décrit dans les travaux sur le battery-less IoT et l’intermittent computing.

Ce que dit déjà la littérature sécurité sur l’Energy Harvesting

La communauté scientifique a commencé à explorer la sécurité des réseaux à Energy Harvesting, mais le plus souvent l’énergie est vue comme une contrainte (source intermittente, budget limité) plutôt que comme un vecteur d’attaque.

Quelques tendances marquantes :

• Les enquêtes sur la sécurité des réseaux à Energy Harvesting (solaire, mécanique, thermique, RF, etc.) montrent que les contraintes énergétiques poussent parfois à alléger les mécanismes de sécurité (crypto plus simple, moins de vérifications) et créent de nouveaux compromis entre disponibilité, confidentialité et intégrité.

• Les travaux sur les Wireless Power Transfer Networks (WPTN) RF soulignent que les aspects sécurité et sûreté (santé, exposition RF) ont longtemps été sous-estimés par rapport au seul rendement énergétique.

• Plus récemment, certaines études s’intéressent à l’usage de l’IA pour sécuriser les systèmes d’Energy Harvesting, en détectant des comportements énergétiques anormaux ou des attaques visant la chaîne d’alimentation.

Surtout, un signal fort est venu en 2023 : Mottola et ses coauteurs ont montré expérimentalement que l’énergie ambiante peut être utilisée comme surface d’attaque dans le battery-less IoT, en provoquant livelock, déni de service et “priority inversion” uniquement en contrôlant l’énergie disponible, sans accès physique au dispositif. Ils baptisent ces scénarios des “energy attacks”.

Autrement dit, le terrain est déjà préparé : l’idée que l’énergie ambiante puisse être manipulée comme vecteur d’attaque n’est plus de la science-fiction. La réflexion peut désormais se déplacer plus franchement vers le terrain de la cybersécurité matérielle.

De la cybersécurité logicielle à la cybersécurité matérielle pour les équipements alimentés par RF

En sécurité matérielle, le paysage est déjà riche :

• Attaques par canaux auxiliaires (consommation, rayonnement électromagnétique, temps d’exécution, bruit acoustique, etc.) pour extraire de l’information sensible.

• Attaques par injection de fautes : glitch de tension, glitch d’horloge, laser, Electromagnetic Fault Injection (EMFI), etc., pour corrompre une exécution au moment opportun.

Le principe général de l’injection de fautes est bien connu : faire sortir le circuit de son enveloppe de fonctionnement nominale (tension, fréquence, température, champ EM…) pour provoquer des erreurs contrôlées, ensuite exploitées pour contourner des protections (Secure Boot, contrôles d’intégrité, vérification de PIN, chiffrement, etc.).

La question centrale devient alors : Dans un système alimenté par RF Energy Harvesting, le champ électromagnétique environnant peut-il jouer le rôle de “canal de glitch à distance”, sans contact direct avec la carte ni l’alimentation filaire ?

Ce questionnement fait écho aux travaux sur l’IEMI (Intentional Electromagnetic Interference), où des champs EM inten­tionnels perturbent des systèmes électroniques sans connexion physique.

À la différence près qu’ici, le dispositif compte déjà sur ce champ RF pour être alimenté : l’attaque ne consiste plus à ajouter un bruit parasite, mais à reprendre la main sur la source même de l’énergie.

Un modèle conceptuel : le champ RF comme canal de vulnérabilités matérielles

Pour structurer la réflexion, on peut proposer un modèle en quatre couches :

Environnement énergétique

• Caractérisé par la densité de puissance RF S(t, f, theta) (W/m² selon le temps, la fréquence, la direction) autour du dispositif.

• Un attaquant peut, en théorie, moduler cette densité : ajout de sources RF, déplacements, antennes directives, objets absorbants, interférences contrôlées…

Chaîne d’Energy Harvesting

• Antenne + réseau d’adaptation + redresseur.

• Implémente une fonction non linéaire : P_harv(t) = g( S(t, f, theta) )

• Forte sensibilité aux variations de niveau et de fréquence, surtout en très basse puissance où les diodes fonctionnent dans des régimes non idéaux.

Gestion de puissance et stockage

• PMU, convertisseurs DC-DC, seuils de brown-out, supercondensateurs, etc.

• L’évolution de la tension sur le stockage peut être schématisée par : C * dV_cap/dt = P_harv(t) – P_load(t).

Autrement dit, la variation de la tension V_cap(t) dépend directement de l’écart entre la puissance récoltée P_harv(t) et la puissance consommée P_load(t) : si P_harv(t) < P_load(t), le condensateur se décharge et V_cap(t) diminue, jusqu’à atteindre les seuils V_on / V_off qui pilotent le démarrage ou l’extinction du système.

Charge numérique et logique de sécurité

• Microcontrôleur, pile crypto, pile réseau, mécanismes de protection.

• Le comportement dépend fortement de la forme réelle de V_DD(t) et de la fréquence des resets.

Dans ce cadre, l’attaquant ne touche jamais au PCB. Son action se limite à manipuler S(t, f, theta), mais la perturbation se propage à travers les trois couches suivantes pour atteindre le silicium.

Cette perspective permet d’introduire de façon naturelle la notion de Power Denial-of-Service (PDoS) : une forme de déni de service qui ne cible ni les paquets réseau, ni les sockets, ni le CPU directement, mais le budget énergétique dont dépend la sécurité de l’exécution.

Trois familles d’attaques théoriques basées sur le RF Energy Harvesting

5.1. Sous-alimentation contrôlée : éteindre sans jamais envoyer de paquet

Première famille : les attaques par sous-alimentation contrôlée.

L’intuition est la suivante : maintenir le dispositif dans une zone où l’énergie récoltée est juste insuffisante pour terminer ses tâches critiques.

Formellement, en jouant sur le profil de P_harv(t), l’attaquant peut forcer (1 / T) * ∫[0..T] P_harv(t) dt < P_load_critique, c’est-à-dire une puissance moyenne récoltée inférieure à la puissance minimale P_load_critique nécessaire pour exécuter les tâches critiques du système.

Exemples de comportements obtenus :

• Livelock énergétique : le capteur se réveille, commence sa séquence (mesure, chiffrement, envoi), puis s’éteint toujours au même moment faute d’énergie. Il redémarre, échoue au même endroit, et ainsi de suite. L’application ne progresse jamais jusqu’à l’état où la sécurité est réellement assurée (transmission de l’alerte, mise à jour d’un compteur, écriture en mémoire non volatile). Ce type de situation est démontré par Mottola et al. dans leurs expériences sur les energy attacks dans le battery-less IoT.

• Inversion de priorité induite par l’énergie : un profil énergétique malveillant peut permettre aux tâches peu gourmandes (mesures simples, logique de base) de s’exécuter, tout en empêchant systématiquement l’achèvement de tâches lourdes (chiffrement, signature, effacement sécurisé de secrets). La hiérarchie des priorités logicielles est alors subvertie par la contrainte énergétique, créant une forme de priority inversion pilotée par l’attaquant.

• Déni d’alarme silencieux : dans un environnement industriel ou médical, une attaque peut maintenir les capteurs dans un mode “semi-vivant” : assez d’énergie pour mesurer et faire croire à une activité minimale, mais jamais suffisamment pour transmettre l’alarme chiffrée ou déclencher un acte critique.

Dans tous ces cas, aucun paquet malveillant n’est nécessaire. Le protocole réseau reste parfait sur le papier ; c’est l’alimentation qui devient le vecteur de contrôle.

5.2. Sur-stimulation énergétique : glitcher le hardware par l’abondance d’énergie

Deuxième famille : les attaques par sur-stimulation énergétique.

Au lieu de priver le système d’énergie, l’attaquant cherche à lui en fournir trop, ou trop vite, dans les bandes de fréquence les plus efficaces pour la chaîne RF→DC :

• Rapprochement d’une source RF puissante ;

Write on Medium

• Antenne directive concentrant la puissance sur le dispositif ;

• Choix de fréquences maximisant le rendement du redresseur.

Les effets possibles :

Saturation du redresseur et échauffement local

• Des niveaux de puissance élevés peuvent pousser les diodes et MOS dans des zones de fonctionnement non testées, augmentant courants et pertes.

• À long terme, cela peut conduire à des dégradations accélérées ou des offsets analogiques perturbant les seuils de détection du PMU.

Glitch alimenté par la régulation

• Les convertisseurs DC-DC et circuits de supervision ne sont pas toujours conçus pour des rampes d’énergie brutales.

• Des variations rapides de P_harv(t) peuvent générer des overshoots ou des undershoots sur V_DD, équivalents à des glitchs de tension classiques… mais injectés cette fois à travers la chaîne d’Energy Harvesting.

Transitions de modes instables

• Certains SoC ultra-basse consommation commutent dynamiquement entre différents modes de régulation en fonction de la tension disponible.

• Des montées de tension atypiques peuvent produire des chemins de transition jamais réellement vérifiés lors de la certification, ouvrant la voie à des états transitoires non sécurisés.

Conceptuellement, cette famille rejoint les attaques par glitch matériel et EMFI, où de brèves perturbations sur la tension ou sur le champ EM sont utilisées pour provoquer des fautes dans les pipelines, les bus ou les mécanismes de sécurité.

La différence essentielle est que, dans un système à RF harvesting, l’attaquant agit sur la source de puissance elle-même, plutôt que de s’injecter sur une ligne d’alimentation ou un quartz.

5.3. Modulation énergétique fine : la faute d’instruction version RF

Troisième famille, plus spéculative mais particulièrement intéressante pour la cybersécurité matérielle : les attaques par modulation énergétique fine.

Imaginons :

• Un capteur battery-less dont le cycle d’exécution est très déterministe : réveil → exécution d’un bloc cryptographique → écriture en mémoire non volatile → émission radio.

• La dynamique de la tension sur le condensateur se décrit par : V_cap(t) = V0 + (1 / C) * ∫[0..t] ( P_harv(u) – P_load(u) ).

Si l’attaquant parvient à profiler la consommation de l’algorithme (par observation, reverse engineering ou modèle théorique), il peut alors :

1. Synchroniser un creux d’énergie (baisse volontaire de P_harv(t) avec l’exécution d’une opération sensible (par exemple une S-Box AES ou une étape de signature).

2. Provoquer un viol de marge temporelle dans certaines portes logiques ou registres, conduisant à des delay faults.

3. Exploiter ensuite ces erreurs transitoires au moyen d’une Differential Fault Analysis (DFA) pour extraire une clef ou contourner un mécanisme de vérification.

Actuellement, la littérature sur les energy attacks est surtout focalisée sur des objectifs de disponibilité (DoS, livelock) ou de dégradation de qualité de service dans les réseaux 5G et IoT.

Le prolongement naturel consiste à connecter ces observations aux techniques de cryptanalyse par fautes, en considérant l’énergie récoltée comme un nouveau levier pour injecter des erreurs synchronisées dans le silicium.

Cas d’usage : là où le RF harvesting rencontre la sécurité critique

Cette réflexion dépasse largement le simple gadget grand public. Elle devient particulièrement pertinente dans plusieurs domaines sensibles :

• Implants médicaux et dispositifs portés sur le corps

Pacemakers, capteurs implantables, systèmes de neurostimulation alimentés par couplage inductif ou RF. Une energy attack pourrait empêcher l’envoi d’une alarme, forcer des resets fréquents ou dégrader la sûreté de fonctionnement.

• Capteurs industriels et infrastructures critiques

Capteurs sans batterie placés dans des mines, pipelines, installations énergétiques ou usines. Une manipulation locale du champ RF dans une zone restreinte pourrait suffire à rendre aveugles des points de mesure stratégiques.

• Smart building et smart city

Badges, tags RFID/NFC, balises et capteurs autonomes alimentés par les signaux ambiants (Wi-Fi, 4G/5G, réseaux propriétaires). Des profils d’énergie malveillants peuvent perturber l’authentification, le contrôle d’accès ou les scénarios de sécurité des bâtiments.

• IoT logistique et déploiements massifs

Étiquettes intelligentes et capteurs environnementaux alimentés par harvesting et déployés par millions. Dans ce contexte, attaquer l’infrastructure énergétique RF, c’est potentiellement affecter tout un segment de réseau en une seule opération.

Défense : reprendre le contrôle sur l’énergie comme vecteur de menace

Si l’énergie devient un vecteur d’attaque, la défense doit aussi devenir énergétiquement consciente.

7.1. Détection d’anomalies énergétiques sur la chaîne RF→DC

Les travaux sur les energy attacks montrent qu’il est possible de détecter des comportements énergétiques “non naturels” en analysant les traces de tension et de courant, ou les patrons d’exécutions intermittentes.

Des pistes concrètes émergent :

• Moniteurs matériels ultra-basse consommation intégrés au PMU, qui :

• échantillonnent V_cap(t) et I_harv(t) ;

• calculent des indicateurs simples (variance, bursts, fréquences dominantes) ;

• déclenchent un signal de suspicion lorsque les profils s’écartent d’une enveloppe considérée comme légitime.

• IA embarquée “frugale” : modèles légers (arbres de décision, forêts aléatoires, petits réseaux) entraînés pour distinguer un profil énergétique normal (variations naturelles du trafic RF, fading, déplacements) d’un profil potentiellement malveillant (modulation volontaire, répétitivité suspecte, corrélation avec l’échec de tâches critiques).

7.2. Renforcer les marges matérielles contre PDoS et micro-glitchs

Sur le plan matériel :

• Durcir la conception du PMU pour tolérer des rampes d’énergie plus agressives sans générer d’overshoot sur VDD.

• Introduire du jitter contrôlé sur l’horloge ou l’ordonnancement des tâches critiques, rendant beaucoup plus difficile la synchronisation d’une micro-attaque énergétique avec une opération cryptographique.

• Intégrer des capteurs de bruit sur le plan d’alimentation (anneaux oscillateurs, sondes de gigue) inspirés des contre-mesures contre EMFI et glitchs de tension.

7.3. Protocoles et systèmes conscients de l’énergie comme menace

Enfin, les couches logicielles et protocolaires peuvent traiter l’énergie comme un signal de sécurité à part entière :

• Intégrer des timeouts énergétiques : si une fonction critique échoue systématiquement pour cause d’énergie, le système ne doit pas simplement “réessayer” indéfiniment, mais se poser la question d’une attaque potentielle.

• Propager des indicateurs de qualité énergétique dans les protocoles (taux de resets, temps moyen entre deux recharges complètes, etc.) pour aider le backend à distinguer aléas environnementaux et perturbations malveillantes.

• Recourir à des architectures multi-sources (solaire + RF, thermique + RF…) pour éviter qu’un seul canal énergétique ne devienne un point de contrôle unique pour l’attaquant.

Pourquoi cette réflexion est importante pour la cybersécurité matérielle

Pour moi, cette réflexion théorique sur le RF Energy Harvesting et la cybersécurité matérielle permet de faire dialoguer deux mondes qui, souvent, s’ignorent encore :

• Celui des architectures ultra-basse consommation et intermittentes, obsédées par chaque microjoule ;

• Et celui des attaques matérielles avancées, habitué à glitcher, observer et perturber le silicium pour briser des garanties cryptographiques ou logicielles.

Les travaux sur la sécurité des réseaux à Energy Harvesting, sur les WPTN RF, sur les energy attacks dans le battery-less IoT et sur l’injection de fautes montrent déjà que tout ce qui entoure le silicium – énergie, champs EM, environnement – est un vecteur de menace légitime dans un modèle d’attaque moderne.

L’étape suivante consiste à :

• Formaliser la notion de Power Denial-of-Service (PDoS) comme une catégorie d’attaque matérielle à part entière, avec ses sous-classes (sous-alimentation, sur-stimulation, modulation fine).

• Concevoir des bancs de test expérimentaux capables de moduler finement le profil d’énergie RF autour d’un dispositif réel et d’observer le spectre complet des effets (resets, fautes, dérives statistiques, fuites indirectes).

• Intégrer l’énergie dans le Threat Model des architectures IoT alimentées par harvesting, au même titre que le réseau, le firmware, le bootloader ou la chaîne d’approvisionnement.

C’est dans cette direction que la cybersécurité matérielle, les systèmes embarqués et l’architecture des réseaux IoT devront converger si l’on veut éviter que, demain, l’ennemi le plus dangereux de nos objets “autonomes”, ne soit, le champ électromagnétique dont ils dépendent pour vivre.

Références

• L. Mottola, A. Hameed, T. Voigt, “Uncharted Territory: Energy Attacks in the Battery-less Internet of Things”, arXiv:2304.08224, 2023.

• P. Tedeschi, S. Sciancalepore, R. Di Pietro, “Security in Energy Harvesting Networks: A Survey of Current Solutions and Research Challenges”, IEEE Communications Surveys & Tutorials, vol. 22, no. 4, 2020.

• Q. Liu, K. S. Yildirim, P. Pawełczak, M. Warnier, “Safe and Secure Wireless Power Transfer Networks: Challenges and Opportunities in RF-Based Systems”, IEEE Communications Magazine, vol. 54, no. 9, 2016.

• M. Mohammadi, I. Sohn, “AI based Energy Harvesting Security Methods: A Survey”, ICT Express, vol. 9, no. 6, pp. 1198 – 1208, 2023.

• J. Boone, S. Q. Khan, “An Introduction to Fault Injection (Part 1/3)”, NCC Group / Fox-IT, 2021.