Hardware, IoT et systèmes embarqués · domaine V13

Hardware, IoT et systèmes embarqués

Auditer du matériel détenu par l’organisation en privilégiant l’observation passive, la sécurité électrique, les dumps reproductibles et la restauration. Le contrôle est ici appliqué spécifiquement à « Hardware, IoT et systèmes embarqués ».

En bref

Objectif : Auditer du matériel détenu par l’organisation en privilégiant l’observation passive, la sécurité électrique, les dumps reproductibles et la restauration.
Méthode : progresser de l’inventaire vers une validation limitée, puis documenter la correction et le retest.
Sécurité : utiliser uniquement des actifs détenus ou explicitement couverts par le mandat.

Architecture du domaine Hardware, IoT et systèmes embarqués — Organisation du domaine « Hardware, IoT et systèmes embarqués » autour des contrôles et livrables essentiels.

Chapitres

Laboratoire matériel, sécurité électrique et preuves

Préparer un poste de travail ESD, limiter les tensions, photographier le montage et conserver les dumps avec leur empreinte.

Identifier les composants, cartes et interfaces

Lire les marquages, rechercher une FCC ID et cartographier les connecteurs avant toute connexion électrique.

UART : repérage, paramètres et console série

Repérer TX/RX/GND, mesurer le niveau logique et lire une console série sans injecter de commande.

JTAG et SWD : détection et accès de débogage

Identifier les broches de débogage et vérifier si l’interface est désactivée ou protégée sur un équipement de laboratoire.

SPI et I²C : observer les bus

Utiliser un analyseur logique pour reconnaître les lignes, décoder les échanges et documenter les adresses sans perturber le bus.

Acquisition de firmware et mémoire externe

Choisir une méthode de lecture non destructive, réaliser deux dumps et comparer leurs empreintes.

Analyse statique de firmware

Identifier le format, extraire le système de fichiers et rechercher configurations, versions et secrets fictifs sans exécuter le code.

Analyseur logique et sigrok/PulseView

Configurer fréquence d’échantillonnage, déclenchement et décodeurs pour produire une trace reproductible.

Programmateurs CH341A et mémoires SPI

Vérifier la tension, identifier la puce, sauvegarder deux lectures puis restaurer uniquement une copie validée.

USB, chaîne de démarrage et Secure Boot

Cartographier les périphériques USB et vérifier les mécanismes de signature et de démarrage sécurisé.

Bluetooth, Zigbee et MQTT

Inventorier les identités radio et les paramètres de sécurité sans perturber les appareils voisins.

CAN, Modbus et DNP3

Observer des protocoles industriels dans un banc isolé et distinguer disponibilité, sécurité et sûreté.

RFID et NFC : inventaire et validation

Identifier la technologie, lire uniquement des tags de laboratoire et documenter UID, mémoire et contrôles d’accès.

SDR et analyse radiofréquence

Observer le spectre et enregistrer un signal autorisé sans émission ni brouillage.

Fault injection et canaux auxiliaires

Comprendre les fautes de tension/horloge et canaux latéraux sans appliquer de stress sur un matériel non sacrifiable.

Bus Pirate, Hydrabus, Flipper et Proxmark

Choisir un outil selon l’interface et documenter firmware, câblage, tension et commandes d’aide.

Méthode de lecture

Commencer par les chapitres de préparation et d’inventaire.
Exécuter les commandes sur une cible de laboratoire avec une limite de débit explicite.
Conserver les versions, requêtes, sorties et captures utiles.
Valider manuellement les résultats avant de conclure.
Terminer par la correction, le nettoyage et le retest.

Objectifs et compétences du domaine

Le domaine « Hardware, IoT et systèmes embarqués » regroupe les compétences nécessaires pour préparer, exécuter et restituer les contrôles associés. Il ne doit pas être lu comme une suite d’outils indépendants : les chapitres décrivent un même workflow, depuis le cadrage jusqu’au retest.

La lecture recommandée commence par les concepts et l’architecture, continue avec l’installation ou la prise en main, puis se termine par les exercices, l’interprétation et la remédiation. Dans ce domaine, la qualité dépend surtout de les interfaces, tensions, versions, modes de maintenance et contraintes particulières de la plateforme.

Expliquer les mécanismes essentiels du domaine « Hardware, IoT et systèmes embarqués ».
Préparer un laboratoire cohérent et limité au périmètre autorisé.
Choisir l’outil ou la technique en fonction de la question posée.
Conserver des preuves reproductibles et compréhensibles.
Transformer les constats en corrections et critères de retest.

Parcours de lecture recommandé

Le parcours ci-dessous évite de commencer directement par les commandes. Pour « Hardware, IoT et systèmes embarqués », il est préférable de comprendre les préconditions, d’effectuer un inventaire de base et seulement ensuite d’utiliser les outils spécialisés.

Lire d’abord la définition, le périmètre et les limites du domaine.
Installer ou vérifier les outils dans une VM ou un conteneur dédié.
Réaliser l’exercice le plus simple avec une sortie attendue connue.
Comparer les résultats avec une seconde source ou une vérification manuelle.
Étudier les erreurs fréquentes avant d’augmenter la portée ou le débit.
Terminer par le reporting, le nettoyage et le retest.

Points de vigilance

Les points suivants doivent rester visibles pendant toute mission portant sur « Hardware, IoT et systèmes embarqués ». Ils évitent les conclusions trop rapides et les actions inutiles.

Vigilance — brancher une interface sans vérifier les niveaux électriques.
Vigilance — appliquer une méthode d’un autre environnement.
Vigilance — modifier le firmware original.
Vigilance — négliger les risques matériels.
Vigilance — ne pas documenter le câblage ou l’état de départ.

Ce qu’un bon livrable doit contenir

Le livrable du domaine « Hardware, IoT et systèmes embarqués » doit permettre à une équipe technique de reproduire l’observation et à un responsable de comprendre le risque sans relire toutes les sorties d’outil.

le périmètre et les exclusions ;
les versions, comptes et configurations de test ;
la méthode et les paramètres réellement utilisés ;
les preuves brutes et leur interprétation ;
les limites et hypothèses ;
la recommandation, le responsable et le critère de retest.

Références

Chaque chapitre cite ses sources officielles et le corpus documentaire utilisé.