Le firmware : le logiciel invisible au cœur des objets connectés

L'objectif n'est pas de transformer immédiatement le lecteur en analyste de firmware, mais de lui donner une vision suffisamment claire pour comprendre pourquoi ce logiciel invisible peut déterminer la sécurité de tout l'équipement.

Public cible

Grand public curieux, décideurs publics et privés, cadres administratifs, ingénieurs télécoms et réseaux, étudiants, professionnels de la cybersécurité, acteurs de la régulation, responsables achats, fabricants, importateurs et intégrateurs d'équipements connectés.

Dans le cours précédent, nous avons ouvert symboliquement un objet connecté : capteurs, processeur, mémoire, module radio, antenne, alimentation, interfaces physiques… Mais ces composants ne savent pas fonctionner seuls. Un capteur ne décide pas de lui-même quand mesurer ; une antenne ne sait pas seule à quel réseau se connecter ; un processeur ne sait pas par magie quelles instructions exécuter.

Tout cela est coordonné par un logiciel interne : le firmware. Il est généralement invisible pour l'utilisateur — pas d'icône, pas d'écran dédié — et pourtant il contrôle souvent les fonctions les plus sensibles : il démarre l'objet, initialise les composants, gère les communications, pilote les capteurs, contrôle les actionneurs, applique les réglages, vérifie les identifiants, organise les mises à jour et transmet les données.

Dans certains équipements, une vulnérabilité du firmware peut permettre à un attaquant de prendre le contrôle complet du produit. Comprendre le firmware, c'est comprendre le comportement profond de l'objet connecté.

Qu'est-ce qu'un firmware ?

Le firmware est le logiciel interne intégré dans un équipement électronique pour lui permettre de fonctionner. Plus simplement : c'est le programme interne qui indique à un équipement comment démarrer, comment utiliser ses composants et comment exécuter ses fonctions. Le terme anglais est souvent traduit par « micrologiciel ».

Historiquement, le firmware était considéré comme un logiciel stable, rarement modifié, inscrit dans une mémoire spéciale difficile à reprogrammer. Aujourd'hui, la majorité des objets connectés disposent de firmwares pouvant être mis à jour — pour corriger des failles, ajouter des fonctions ou améliorer la compatibilité.

Le firmware permet notamment à un équipement de : démarrer correctement, reconnaître ses composants, contrôler ses capteurs, piloter ses actionneurs, gérer sa mémoire, se connecter à un réseau, communiquer (Wi-Fi, Bluetooth, 4G/5G, LoRa, Zigbee, NFC), traiter des données, gérer une interface web et des comptes utilisateurs, vérifier des identifiants, chiffrer certaines communications, recevoir des mises à jour, envoyer journaux et alertes, et appliquer des règles de sécurité. C'est donc bien plus qu'un petit programme technique : c'est souvent le cœur fonctionnel de l'équipement.

Pourquoi le firmware est-il invisible pour l'utilisateur ?

Le firmware est invisible parce qu'il fonctionne en arrière-plan. L'utilisateur interagit avec une application mobile, une interface web, un bouton, un écran, une notification, une commande vocale ou un service cloud. Derrière ces interfaces visibles, le firmware exécute les opérations internes.

Prenons une caméra IP. L'utilisateur ouvre son application et voit une vidéo : l'opération semble simple. En réalité, la caméra démarre son système interne, initialise le capteur d'image, configure la résolution, active les LED infrarouges si la luminosité est faible, capture et compresse la vidéo, vérifie l'authentification, établit la communication réseau, transmet le flux et enregistre éventuellement les événements. L'utilisateur ne voit que le résultat.

C'est précisément cette invisibilité qui crée un défi en cybersécurité : un équipement peut fonctionner normalement tout en contenant un firmware vulnérable, obsolète ou mal conçu.

Firmware, logiciel, système d'exploitation, application et pilote

Ces termes sont souvent employés ensemble, mais ne désignent pas la même chose.

Pourquoi un objet connecté a-t-il besoin d'un firmware ?

Parce que le matériel ne connaît pas naturellement sa fonction. Une carte électronique ne sait pas qu'elle est installée dans une caméra, un compteur, un routeur ou un équipement médical : elle exécute seulement des instructions. Le firmware traduit la fonction attendue du produit en actions techniques.

Sur une caméra IP, il gère l'allumage, l'initialisation du capteur, la correction de luminosité, la compression vidéo, la détection de mouvement, la vision nocturne, le moteur pan/tilt, la connexion Wi-Fi, l'enregistrement microSD, les notifications, la communication cloud, les comptes utilisateurs et les mises à jour.

Sur un capteur agricole, il détermine la fréquence des mesures, les seuils d'alerte, le mode d'économie d'énergie, le format des données, le moment de transmission, le protocole radio et le comportement à batterie faible. Sur un routeur, il gère le démarrage, les interfaces Ethernet, le Wi-Fi, le routage, le pare-feu, le NAT, le DHCP, le DNS, les comptes administrateurs, l'interface web, les mises à jour et les journaux. Sans firmware, l'objet n'est qu'un assemblage de composants électroniques.

Où le firmware est-il stocké ?

Le firmware est généralement stocké dans une mémoire non volatile, qui conserve son contenu même éteint : mémoire Flash (NAND, NOR), EEPROM, puce eMMC, mémoire interne au microcontrôleur, stockage intégré, parfois carte mémoire. À l'inverse, la mémoire volatile (RAM) perd son contenu à l'extinction — d'où l'usage du non volatile pour le firmware, la configuration et les données persistantes.

L'emplacement du firmware compte, car il influence la manière dont il peut être lu, copié, extrait, modifié, mis à jour, protégé ou remplacé. Si la mémoire n'est pas protégée, une personne ayant un accès physique peut parfois extraire le firmware et y découvrir : fichiers internes, paramètres réseau, certificats, clés, comptes techniques, adresses de serveurs, scripts, bibliothèques vulnérables, mécanismes de mise à jour, fonctions cachées. C'est pourquoi la protection de la mémoire est un sujet majeur en cybersécurité des objets connectés.

Comment un objet connecté démarre-t-il ?

Un objet ne passe pas directement de « éteint » à « fonctionnel » : il traverse une séquence d'étapes.

• Mise sous tension — l'alimentation fournit l'énergie ; les circuits stabilisent les tensions des composants.
• Code interne de démarrage — un petit programme inscrit par le fabricant de la puce prépare les premières opérations et cherche le programme suivant.
• Bootloader — le chargeur de démarrage prépare le matériel et lance le système : il peut initialiser la mémoire, vérifier des composants, sélectionner une partition, charger le noyau, lancer un mode de récupération, installer une mise à jour et vérifier une signature cryptographique.
• Noyau ou programme principal — sur un équipement Linux, le bootloader charge un noyau qui gère processeur, mémoire, périphériques, processus, pilotes ; sur un équipement simple, il lance directement le programme principal.
• Système de fichiers & services — chargement des fichiers, bibliothèques, scripts et services (serveur web, interface d'administration, service réseau, service de mise à jour, journalisation…).
• Fonctions du produit — l'équipement lance enfin ses fonctions visibles (capture vidéo, connexion Wi-Fi, mesure, transmission, alerte…).

Dans un équipement bien conçu, chaque étape vérifie la suivante : le code initial vérifie le bootloader, le bootloader vérifie le firmware principal, le firmware vérifie les composants qu'il charge, le système vérifie les mises à jour avant installation. Cette logique forme la chaîne de confiance. Si elle est rompue, l'équipement peut exécuter un code non autorisé.

Que contient réellement un firmware ?

Un firmware n'est pas toujours un fichier simple : dans les équipements modernes, il ressemble souvent à une archive contenant plusieurs éléments.

• Le bootloader — démarre l'équipement, charge le système, gère parfois un mode de récupération.
• Le noyau — dans les systèmes complexes, cœur de l'OS qui gère les ressources matérielles.
• Le système de fichiers — dossiers, fichiers de configuration, bibliothèques, scripts, programmes, certificats, interface web, journaux, clés, mécanismes de mise à jour.
• Les pilotes — pour contrôler capteur d'image, microphone, haut-parleur, moteur, écran, stockage, module radio, USB, Ethernet.
• Les services réseau — serveur web, SSH, Telnet, FTP, UPnP, DNS, DHCP, NTP, API, service cloud, service de mise à jour. Chaque service augmente la surface d'attaque ; un service inutile, mal configuré ou obsolète peut devenir une vulnérabilité.
• L'interface web — administration (mot de passe, Wi-Fi, mises à jour, journaux), mais elle peut elle-même contenir des failles (authentification faible, contrôle d'accès insuffisant, injection de commandes…).
• Les fichiers de configuration — parfois sensibles : adresses de serveurs, identifiants, certificats, clés, comptes techniques, options de debug.
• Les bibliothèques logicielles — souvent tierces (chiffrement, réseau, vidéo, protocoles radio…). Si une bibliothèque devient vulnérable, tous les produits qui l'intègrent peuvent être concernés.

Les grandes familles de firmwares

Tous les firmwares ne sont pas construits de la même manière.

Firmware simple (bare-metal)

Le programme s'exécute directement sur le microcontrôleur, sans système d'exploitation complet. Fréquent dans les petits capteurs et objets à faible consommation. Avantages : simplicité, faible coût, démarrage rapide, contrôle direct du matériel. Limites : fonctions limitées, mises à jour parfois difficiles, protections et diagnostic réduits.

Firmware avec système temps réel (RTOS)

Gère plusieurs tâches avec des contraintes de temps, lorsque l'équipement doit réagir vite et de façon prévisible : industrie, automobile, drones, équipements médicaux, systèmes de contrôle, embarqués critiques.

Firmware basé sur Linux embarqué

Pour les équipements plus puissants : routeurs, caméras IP, passerelles, box, systèmes industriels et télécoms. Avantages : nombreuses fonctionnalités, support de multiples protocoles, écosystème riche. Risques : complexité accrue, plus de services et de bibliothèques à maintenir, surface d'attaque plus large.

Firmware Android embarqué

Terminaux spécialisés, systèmes automobiles, écrans connectés, terminaux professionnels, tablettes industrielles. Puissant, mais exigeant en gestion des mises à jour, permissions, applications et noyau.

Firmware radio ou modem

Un module Wi-Fi, Bluetooth, LTE, NB-IoT ou 5G dispose souvent de son propre firmware (protocoles radio, appairage, authentification réseau, SIM/eSIM, bandes de fréquence, fonctions de sécurité). Un objet connecté peut donc contenir plusieurs logiciels internes, parfois de différents fournisseurs.

Un équipement peut contenir plusieurs firmwares

Parler « du » firmware au singulier est pratique, mais parfois trompeur. Un équipement moderne peut contenir plusieurs sous-systèmes programmables.

• Un smartphone : bootloader, système Android, firmware modem, Wi-Fi, Bluetooth, caméra, gestion d'alimentation, composant sécurisé, certains capteurs.
• Une caméra IP : firmware principal, firmware du module Wi-Fi, firmware du moteur pan/tilt, firmware du capteur d'image, bootloader, système de récupération.
• Un véhicule connecté : de nombreux calculateurs, chacun avec son firmware (freinage, moteur, infotainment, télématique, airbag, aide à la conduite, batterie, communication cellulaire).

Conséquence : une vulnérabilité dans un composant secondaire peut affecter l'ensemble de l'équipement. La sécurité ne doit donc pas se limiter au firmware principal visible — elle doit couvrir tous les composants programmables.

Comment le firmware communique avec le matériel

Le firmware dialogue avec le matériel via des pilotes, des registres, des bus et des interfaces internes. Il peut contrôler les capteurs, la mémoire, le stockage, les moteurs, les LED, les boutons, le module radio, le microphone, le haut-parleur, l'écran, l'USB, l'Ethernet, la carte microSD.

À l'intérieur, les composants échangent via des interfaces comme SPI, I²C, UART, USB, SDIO, PCIe, GPIO ou des bus propriétaires. Il n'est pas nécessaire de maîtriser tous ces termes : l'idée clé est que le firmware est l'intermédiaire entre le processeur et les composants physiques. S'il contient une erreur dans la gestion d'un composant, l'équipement peut mal fonctionner ou devenir vulnérable.

Comment le firmware communique avec le réseau, le cloud et l'utilisateur

Le firmware ne reste pas à l'intérieur de l'équipement : il expose souvent des interfaces vers l'extérieur — utilisateur (application mobile, page web, bouton, écran, voyant, notification), réseau (Wi-Fi, Ethernet, Bluetooth, NFC, Zigbee, LoRa, NB-IoT, LTE-M, 4G/5G, satellite, protocoles propriétaires) et cloud (serveurs distants).

Vers le cloud, il peut envoyer mesures, vidéos, journaux, alertes, état, identifiants techniques, diagnostics ; et recevoir commandes, configurations, mises à jour, certificats, nouvelles règles. C'est là que se joue la sécurité : le firmware doit vérifier qui envoie la commande, si elle est autorisée, si la communication est chiffrée, si le serveur est légitime, si la donnée reçue est valide, et si l'utilisateur a les droits nécessaires. Si ces vérifications sont faibles, un attaquant peut détourner les fonctions normales de l'équipement.

Les mises à jour du firmware

La mise à jour permet de modifier le firmware après la commercialisation. Elle est essentielle : un équipement sans mécanisme de mise à jour fiable devient progressivement vulnérable. Une mise à jour sert à corriger une faille, supprimer un service dangereux, améliorer le chiffrement, corriger un bug, remplacer un certificat, mettre à jour une bibliothèque ou améliorer la compatibilité réseau.

Une mise à jour peut être locale (fichier installé via interface web, application, USB, carte mémoire, câble de maintenance) ou à distance — la mise à jour OTA (Over The Air), automatique ou validée par l'utilisateur.

Avant d'installer, l'équipement devrait vérifier : l'origine du fichier, son authenticité, son intégrité, sa compatibilité, sa version, son autorisation et sa signature.

• Signature numérique — vérifie que le firmware provient d'une source autorisée et n'a pas été modifié. Sans elle, un attaquant pourrait fournir un faux firmware.
• Anti-rollback — empêche l'installation non autorisée d'une ancienne version vulnérable.
• Récupération après échec — une mise à jour peut échouer (coupure de courant, fichier corrompu, interruption réseau). Beaucoup d'équipements utilisent deux partitions (active + secours) pour revenir à la version précédente.

Pourquoi le firmware est une cible stratégique

Le firmware possède souvent un niveau de privilège élevé : il contrôle directement l'équipement. Un attaquant qui le compromet peut potentiellement prendre le contrôle de l'objet, contourner l'authentification, désactiver des protections, espionner ou modifier des données, contrôler des actionneurs, intercepter des communications, créer un compte caché, maintenir un accès persistant, empêcher les mises à jour, ou utiliser l'objet pour attaquer d'autres systèmes.

Trois caractéristiques aggravent le risque. La persistance : une compromission du firmware peut survivre à un redémarrage, voire à une réinitialisation classique si la zone compromise n'est pas remplacée. La difficulté de détection : l'équipement peut continuer à fonctionner normalement tout en étant compromis. L'effet d'échelle : un même firmware vulnérable installé sur des milliers ou millions d'équipements transforme un seul défaut de conception en impact massif.

Les vulnérabilités courantes dans les firmwares

Avant d'entrer dans le détail, voici une vue d'ensemble des faiblesses les plus fréquentes.

Fonctions cachées, comptes techniques et backdoors

Un firmware peut contenir des fonctions non visibles pour l'utilisateur. Certaines sont légitimes : diagnostiquer une panne, effectuer des tests en usine, aider le support, restaurer l'équipement, collecter des journaux. Mais elles deviennent dangereuses lorsqu'elles sont non documentées, accessibles à distance, protégées par un mot de passe faible, identiques sur tous les équipements, impossibles à désactiver, utilisables sans consentement du propriétaire ou capables de contourner les contrôles normaux.

Un compte technique de maintenance n'est pas forcément malveillant, mais il doit être documenté, limité, protégé, journalisé, désactivable et contrôlé par le propriétaire. Une interface cachée (page web, port réseau, commande non documentée) peut donner accès à des actions sensibles. Une backdoor est un mécanisme qui contourne les contrôles d'accès normaux — volontaire ou résultant d'une mauvaise conception. Toutes les fonctions cachées ne sont pas des backdoors, mais toute fonction privilégiée non documentée doit être considérée comme un risque.

Comment un firmware est analysé en cybersécurité

L'analyse vise à comprendre ce que contient le logiciel interne, comment il fonctionne et quelles faiblesses il présente. Elle doit être réalisée dans un cadre légal, autorisé et maîtrisé. Les grandes étapes :

1. Obtenir le firmware — site du fabricant, mise à jour officielle, application mobile, interface web, mémoire de l'équipement, audit autorisé.
2. Identifier le format — type de fichier, compression, architecture processeur, système utilisé, partitions, présence d'un chiffrement ou d'une signature.
3. Extraire le contenu — décompresser pour observer fichiers, bibliothèques, scripts, configurations, binaires, certificats, interfaces web, services.
4. Analyse statique — examiner sans exécuter : rechercher mots de passe, clés, certificats, comptes cachés, bibliothèques vulnérables, services exposés, informations cloud.
5. Analyse dynamique — observer le comportement en fonctionnement (processus, ports ouverts, connexions réseau, services actifs, réactions aux commandes), sur l'équipement réel ou en laboratoire.
6. Analyse des interfaces réseau — interface web, API, Wi-Fi, Bluetooth, Ethernet, cloud, application mobile.
7. Analyse des interfaces physiques — UART, JTAG, SWD, SPI, I²C, carte mémoire, points de test (le cas échéant).
8. Rapport et remédiation — vulnérabilités, niveau de risque, preuves, impact, recommandations, priorités. Le but n'est pas seulement de trouver des failles, mais d'améliorer la sécurité du produit.

Les principes d'un firmware sécurisé

Un firmware sécurisé repose sur plusieurs principes complémentaires :

• Réduction de la surface d'attaque — n'activer que les fonctions nécessaires ; supprimer les services inutiles.
• Authentification forte — protéger les fonctions sensibles ; éviter les mots de passe faibles ou universels.
• Secrets uniques par équipement — un même mot de passe ou certificat partagé sur toute une gamme est dangereux.
• Stockage sécurisé des mots de passe, clés, certificats, tokens, paramètres cloud et données personnelles.
• Démarrage sécurisé (Secure Boot) — vérifier que le code exécuté est autorisé.
• Mises à jour signées et protection anti-rollback.
• Séparation des privilèges — tous les services ne doivent pas tourner avec les droits les plus élevés.
• Composants maintenus et SBOM (Software Bill of Materials, nomenclature des composants logiciels intégrés).
• Journalisation des événements importants et gestion des vulnérabilités (recevoir, analyser, corriger).
• Fin de vie maîtrisée — durée de support et conditions de fin de maintenance annoncées.

Le rôle du fabricant pendant le cycle de vie

La sécurité du firmware ne se limite pas au développement initial : elle couvre tout le cycle de vie du produit.

• Conception — définir les exigences de sécurité, limiter les fonctions inutiles, choisir des composants maintenables, prévoir les mises à jour, protéger les secrets, penser au démarrage sécurisé, fixer la durée de support.
• Développement — pratiques de développement sécurisé, contrôle des dépendances, tests, documentation des fonctions sensibles, gestion des comptes techniques, aucun secret codé en dur.
• Avant commercialisation — tester le firmware et les mises à jour, supprimer les comptes de test, désactiver les interfaces de debug, contrôler les services exposés, préparer une politique de support.
• Après mise sur le marché — surveiller les vulnérabilités, fournir des correctifs, publier des avis de sécurité, maintenir les composants, répondre aux signalements, informer les clients.
• Fin de vie — préciser la date de fin de support, les risques associés, les options de remplacement et les procédures d'effacement. Un objet non maintenu peut rester installé longtemps : la fin de support doit être connue dès l'achat.

Le rôle des acheteurs, intégrateurs, laboratoires et autorités

Les responsables achats doivent dépasser la fiche commerciale et demander : durée de support, politique de mise à jour, documentation de sécurité, existence d'une SBOM, garanties de protection des données, présence de fonctions cloud, politique de gestion des vulnérabilités.

Les intégrateurs déploient de façon sécurisée : changer les identifiants, segmenter le réseau, désactiver les services inutiles, restreindre les flux sortants, vérifier les versions, appliquer les mises à jour, surveiller les journaux, documenter l'installation.

Les laboratoires analysent le firmware, l'interface web, les services réseau, les communications radio, les interfaces physiques, le mécanisme OTA, le stockage local et l'application mobile. Les autorités de régulation définissent des exigences de conformité, encadrent l'homologation, demandent une documentation technique, exigent des preuves de sécurité, surveillent le marché et protègent les utilisateurs. Les institutions utilisatrices maintiennent un inventaire, une liste des versions firmware, une politique de mise à jour, une stratégie de remplacement, une segmentation réseau et une procédure de réponse à incident.

Pourquoi le firmware est un enjeu stratégique pour l'Afrique

Les pays africains importent et déploient massivement des équipements connectés : routeurs, caméras IP, modems, terminaux de paiement, équipements biométriques, compteurs intelligents, systèmes énergétiques, équipements médicaux, drones, capteurs agricoles, passerelles industrielles, équipements télécoms et radio.

La partie matérielle, la marque, la fonction commerciale et le prix sont visibles. Mais le firmware, lui, reste souvent invisible. Une administration, une entreprise ou une infrastructure critique peut déployer des milliers d'équipements sans savoir quel logiciel interne les fait fonctionner, quelles bibliothèques sont intégrées, quels serveurs sont contactés, quelles données sont envoyées, quels comptes techniques existent, combien de temps les mises à jour seront fournies, si elles sont signées, si les secrets sont uniques, ou si l'équipement sera encore maintenu dans cinq ans.

Ce manque de visibilité crée des risques de cybersécurité, mais aussi de souveraineté numérique. L'enjeu n'est pas de rejeter les équipements importés, mais de développer une capacité locale et institutionnelle à comprendre, exiger, tester, contrôler, documenter, homologuer, surveiller et remplacer lorsque c'est nécessaire. La maîtrise du firmware est donc une dimension majeure de la sécurité des équipements, de la protection des infrastructures et de la souveraineté numérique.

Pourquoi c'est important ?

Le firmware contrôle le comportement réel de l'équipement. Un objet peut sembler simple de l'extérieur, mais son firmware peut contenir comptes, services, clés, certificats, bibliothèques, interfaces, mécanismes de mise à jour, fonctions cachées et règles de sécurité. Une faille dans l'application mobile peut être gênante ; une faille dans le cloud peut exposer des données ; mais une faille dans le firmware peut compromettre le produit lui-même. La cybersécurité IoT ne peut donc pas se limiter à ce que l'utilisateur voit : elle doit inclure le logiciel invisible qui contrôle l'équipement.

Les questions à poser avant d'acheter ou de déployer un équipement

Pour passer d'un achat fondé sur le prix et les fonctionnalités à un achat fondé sur le risque, la sécurité et la durabilité, une organisation devrait pouvoir obtenir des réponses claires :

1. Quel firmware, quel système d'exploitation ou RTOS fait fonctionner le produit ?
2. Quels composants logiciels sont intégrés ? Une SBOM est-elle disponible ? Y a-t-il des composants open source ?
3. Combien de temps le firmware sera-t-il maintenu ? Quelle est la date de fin de support ?
4. Comment les mises à jour sont-elles distribuées ? Sont-elles signées ? Existe-t-il une protection anti-rollback ?
5. Que se passe-t-il si une mise à jour échoue ?
6. Les mots de passe par défaut sont-ils uniques ? Existe-t-il des comptes techniques ? Sont-ils documentés ?
7. Les interfaces de debug sont-elles désactivées ? Les secrets sont-ils propres à chaque équipement ?
8. Les données stockées localement sont-elles chiffrées ? Quels serveurs l'équipement contacte-t-il ? Les communications sont-elles chiffrées ?
9. Le produit peut-il fonctionner sans dépendance permanente au cloud ?
10. Le fabricant publie-t-il des avis de sécurité ? Existe-t-il une procédure de signalement des vulnérabilités ? Les journaux de sécurité sont-ils disponibles ?
11. Les services inutiles peuvent-ils être désactivés ? Comment effacer les données avant la mise au rebut ?

Cours suivant

Dans le prochain cours, nous approfondirons un point essentiel du cycle de vie : les mises à jour OTA. Nous verrons ce qu'est une mise à jour Over The Air, comment un équipement reçoit une nouvelle version de firmware, pourquoi la signature numérique et l'intégrité sont indispensables, pourquoi l'anti-rollback est important, ce qui se passe si une mise à jour échoue, et comment un mécanisme OTA mal conçu peut devenir une porte d'entrée pour un attaquant.

Mots-clés