Un journal de vol ne vaut quelque chose que si vous pouvez être sûr qu'il n'a pas été falsifié, ce qui compte d'autant plus pour les records et les compétitions. Le Nano est conçu pour que les données qu'il produit puissent être prouvées authentiques, et pour que son fonctionnement ne puisse pas être modifié à votre insu.
Deux techniques cryptographiques éprouvées font l'essentiel du travail : le chiffrement AES-256 protège le firmware, et une signature numérique Ed25519 protège chaque journal de vol.
Journaux de vol signés (Ed25519)
Chaque journal de vol sauvegardé par le Nano est scellé par une signature numérique Ed25519, un procédé moderne utilisé pour sécuriser le trafic web, les accès SSH et des messageries comme Signal.
Une empreinte. SHA-256 lit tout le journal et le réduit à une seule valeur de 256 bits. Changez un seul caractère n'importe où dans le fichier et l'empreinte devient complètement différente.
Une signature. Le Nano signe cette empreinte avec une clé privée conservée dans son firmware chiffré. Une signature valide ne peut être produite qu'avec la clé privée, mais quiconque détient la clé publique correspondante peut la vérifier. Les deux clés sont liées mathématiquement, mais la clé privée ne peut pas être déduite de la clé publique.
En pratique, cela signifie :
- Si un journal est modifié de quelque façon que ce soit après son écriture par le Nano, l'empreinte change, la signature ne correspond plus et le journal est rejeté.
- Seul un vrai Nano peut produire une signature valide : un journal modifié ou inventé ne peut donc pas être signé pour passer pour authentique.
- Nos serveurs Altimeter Cloud ne détiennent que la clé publique, jamais la clé privée. Même si nos serveurs étaient un jour compromis, il n'y aurait rien qui permette de falsifier un journal.
- Comme la vérification d'un journal ne nécessite que la clé publique, elle peut être faite de façon indépendante : un responsable de compétition peut confirmer son authenticité sans dépendre de nous.
Ce que couvre la signature
La signature couvre tout le fichier, y compris l'en-tête avec le numéro de série de votre appareil, les paramètres du vol, votre nom d'appareil et vos trois numéros de concurrent. Aucun de ces éléments ne peut être échangé ou modifié après le vol sans que le journal échoue à la vérification.
- Les journaux ACLZ portent deux signatures : une sur le journal complet avant compression, et une sur le CSV qu'il génère. Ainsi, un CSV qu'Altimeter Cloud reconstruit à partir d'un journal ACLZ peut toujours être vérifié.
- Les journaux CSV sont signés sur l'ensemble du fichier.
- Les pages d'infos du vol sont signées de la même façon que le journal qui les accompagne.
- Les journaux récupérés, reconstruits après une coupure de courant, sont signés comme tous les autres et peuvent donc toujours être prouvés authentiques. Voir Récupération des journaux.
Ouvrir un CSV dans un tableur et l'enregistrer suffit à casser la signature : envoyez donc toujours le fichier d'origine du Nano. Voir Vérification des journaux de vol pour savoir comment vérifier un journal.
Firmware chiffré (AES-256)
Le firmware du Nano est stocké sur la puce chiffré en AES-256, la même norme que les gouvernements et les banques utilisent pour protéger les informations sensibles. Le Nano n'exécute qu'un firmware correctement chiffré : aucun programme modifié ou non officiel ne peut y être chargé, et le firmware ne peut pas être relu depuis la puce sous une forme exploitable.
Cela protège notre travail contre la copie, mais surtout, pour vous, cela protège la clé de signature privée. La clé est scellée dans le firmware chiffré, n'apparaît jamais sur le lecteur USB ni dans un journal, et ne peut pas être extraite de l'appareil pour falsifier des journaux. Le Nano n'a pas non plus de connexion sans fil : le Wi-Fi est désactivé de façon permanente, et le firmware ne peut être installé qu'en USB avec notre outil de mise à jour.
AES-256 ne peut pas être cassé par force brute. Une clé de 256 bits a environ 1,2 suivi de 77 zéros valeurs possibles. Même si tous les ordinateurs de la planète testaient ensemble des milliards de clés par seconde, il leur faudrait infiniment plus longtemps que l'âge de l'univers pour en parcourir une fraction significative, et aucun raccourci n'est connu.
Pourquoi l'association des deux inspire confiance
La solidité de la signature repose sur le fait que la clé privée reste sur l'appareil, et c'est exactement ce que garantit le chiffrement du firmware. Comme le Nano refuse d'exécuter un firmware non chiffré, il est impossible de charger un programme modifié qui pourrait divulguer la clé ou signer de fausses données. Le chiffrement met la clé privée hors de portée, et la signature s'en sert pour garantir chaque journal, tandis que la moitié publique, seule nécessaire pour vérifier un journal, peut être partagée librement.
AES-256 et Ed25519 sont des normes ouvertes et publiées, étudiées de près et utilisées pour sécuriser la banque en ligne, le trafic web et les accès SSH. Associées à une clé privée inaccessible, elles font d'un journal de vol du Nano un résultat que vous pouvez défendre, que vous visiez un record personnel ou que vous soumettiez un résultat officiel de compétition.
Journaux des firmwares antérieurs à 1.52
Les anciens firmwares signaient les journaux avec HMAC SHA-256 plutôt qu'Ed25519, en mêlant une clé secrète partagée entre le Nano et nos serveurs à la même empreinte du fichier entier. Toute falsification est détectable exactement de la même façon, et Altimeter Cloud vérifie toujours ces journaux automatiquement : rien de ce que vous avez déjà enregistré n'est affecté.
Le passage à Ed25519 avec la version 1.52 a conservé cela et ajouté deux choses : la clé de signature de l'appareil est devenue privée, nos serveurs ne détenant que la moitié publique, et un journal peut être vérifié de façon indépendante par toute personne disposant de la clé publique.