Une année sur un badge : e-ink, SAT, radio et glitch

Un badge électronique, et derrière lui une année d’expérimentations qui n’ont rien d’un passe-temps. Présentée à SecSea 2026, cette conférence enchaînait quatre terrains sans transition : faire afficher des niveaux de gris à un écran e-ink conçu pour n’en montrer aucun, résoudre un casse-tête géométrique par solveur logique, rétro-concevoir le protocole radio de télécommandes de volets, et extraire un firmware protégé par injection de faute. Le fil rouge : la curiosité méthodique, et ce qu’elle révèle de la fragilité des objets du quotidien.

Deuxième volet de notre couverture de SecSea 2026, à La Ciotat. L’article est dense à dessein, comme l’était le talk.

L’écran e-ink, ou comment sortir un composant de sa fiche technique

Un écran e-ink déplace des particules noires et blanches par un champ électrique. Il est lent, prévu pour quelques rafraîchissements par minute, et officiellement limité à deux couleurs. En explorant finement le contrôleur, ses banques mémoire et les séquences d’impulsions qui pilotent les transitions, l’intervenant a obtenu quatre niveaux de gris et un rafraîchissement assez rapide pour animer l’écran, au prix d’artefacts (effet de rémanence, lignes entre pixels) qu’il a appris à contenir.

La leçon dépasse le badge : un composant fait souvent plus que ce que sa documentation promet, et l’inverse est vrai aussi en sécurité, où un périphérique « simple » cache des modes et des capacités non documentés.

Le casse-tête résolu par la logique

Deuxième détour, plus ludique : couvrir une grille avec des pièces, un problème de pavage de la famille des problèmes réputés difficiles. Plutôt que de chercher à la main, l’intervenant l’a traduit en formules booléennes et confié à un solveur SAT, qui a énuméré des centaines de solutions en une minute, puis des milliers après ajout de pièces. Anecdotique en apparence, mais c’est exactement l’outil qu’on retrouve en analyse de programmes et en cassage de contraintes : transformer un problème concret en logique pure et laisser la machine chercher.

La radio des volets roulants, lue au fil des trames

Le morceau de résistance. Les télécommandes de volets et de stores émettent en 868 MHz, et l’intervenant en a reconstitué le protocole à partir du signal brut : une modulation par décalage de fréquence, un préambule de synchronisation, puis des trames portant un identifiant, une commande, un numéro de séquence, un code de contrôle et une signature cryptographique.

Le dispositif de sécurité, typique de ces écosystèmes domotiques, repose sur une signature par chiffrement d’un bloc et un numéro de séquence anti-rejeu. Correct sur le principe, mais la surface d’attaque demeure :

• le rejeu et la désynchronisation par envoi d’un numéro de séquence très élevé ;
• l’usurpation à partir d’un numéro de série souvent lisible sur une étiquette ou un QR code ;
• les attaques par relais à distance, qui valent pour les volets comme pour les portails et les alarmes.

Une convention domotique pensée pour le confort devient une surface d’attaque dès qu’on la lit vraiment. Le chiffrement d’une signature ne protège pas si le secret qui la dérive est imprimé sur l’appareil.

Le glitch, pour arracher un firmware qui résiste

Dernier terrain, le plus pointu : extraire le firmware d’un microcontrôleur protégé. La puce refuse de livrer sa mémoire, alors l’intervenant provoque une brève perturbation de son alimentation, calée au bon instant, pour faire dérailler l’exécution juste assez et détourner le flux vers une copie de la mémoire. Le banc tient dans trois petites cartes de développement, sans oscilloscope, et le résultat est honnête : une extraction partielle et aléatoire, obtenue sur des millions de tentatives sans détruire la puce.

Ce dernier point est précieux, parce qu’il est rare dans une conférence : l’intervenant a montré ce qui n’a pas bien marché, les limites de son montage et le chemin d’optimisation. C’est l’esprit même de l’événement, et la marque d’un travail sérieux.

Ce qu’on en retient chez Humanix

• Un secret imprimé sur l’objet n’est pas un secret. Numéro de série, QR code, étiquette : tout ce qui sert à dériver une clé et qui reste lisible annule la protection. Le constat vaut pour la domotique comme pour l’industriel.
• La protection matérielle d’un firmware se contourne, mais elle fait le travail. Une extraction partielle au prix de millions d’essais n’est pas à la portée du premier venu. L’absence totale de protection, elle, ouvre la porte à tout le monde : c’est le vrai critère de choix.
• Les mêmes outils servent des deux côtés. Un solveur logique résout un casse-tête de badge le matin et une contrainte d’exploitation l’après-midi. Comprendre l’outillage, c’est comprendre ce dont un attaquant dispose.
• Dire ce qui rate vaut mieux que vendre ce qui marche. C’est la culture de SecSea, et c’est la nôtre. Un audit utile montre les limites, pas seulement les trophées. La preuve avant le verdict.

Note. Compte-rendu, à visée pédagogique, d’une conférence de SecSea 2026 couvrant écran e-ink, solveurs SAT, rétro-ingénierie radio et injection de faute. Nous décrivons les mécanismes et leurs leçons défensives, sans mode opératoire. Les protocoles domotiques évoqués sont documentés publiquement. Deuxième volet de notre couverture de l’événement. Des équipements radio ou embarqués à évaluer ? Contactez-nous.