L'auteur : Mathieu Cunche

Docteur en informatique et ingénieur diplomé de l'ENSIMAG, je suis Maître de conférences à l'INSA de Lyon et fais partie de l'équipe PRIVATICS de l'INRIA. Mes travaux de recherche concernent les problèmes de vie privée et de sécurité posés par les technologies de l'information.
Le site de la société : INSA-Lyon / INRIA
L'article http://www.journaldunet.com/solutions/expert/52297/pirater-le-cerveau-pour-en-extraire-des-informations.shtml?utm_source=benchmail&utm_medium=mail&utm_campaign=ML5_E10231253&f_u=23519613

Si les pirates informatiques s'attaquent d'habitude à nos boites e-mail, nos ordinateurs personnels et plus récemment à nos smart-phones, ils pourraient bientôt s'attaquer directement à nos cerveaux. En effet un groupe de chercheurs des universités d'Oxford, de UC Berkeley et de Genève ont récemment découvert qu'il était possible d'extraire des informations de nos cerveaux grâce à un type particulier de périphériques d'ordinateur : les interfaces cerveau-machine, également appelées interfaces neuronales directes.

Interfaces cerveau-machine
Les interfaces cerveau-machine sont constituées d'un ensemble d'électrodes qui s'adaptent sur la tête pour y capter les ondes cérébrales  (signaux électriques émis par le cerveau en activité). Ces appareils ont dans un premier temps été développés pour des applications médicales, avant d'être récemment adaptés au domaine des jeux vidéo. En effet, ces interfaces cerveau-machine viennent s'ajouter aux autres périphériques (souris, clavier, joypad) pour améliorer l'expérience du  joueur; par exemple en adaptant le déroulement du jeu en fonction de l'état émotionnel de l'utilisateur (satisfaction, ennui, frustration, etc ...).
 
Les ondes cérébrales P300
Parmi les ondes cérébrales que ces appareils sont capables de capter, les chercheurs ont utilisé un signal particulier appelé P300. Le signal P300 est observé  chez des sujets classifiant des stimuli (images, sons) en fonction d'une tâche à accomplir. Par exemple, si l'on fait défiler sur un écran une série aléatoire de nombres entre 0 et 9 et que l'on demande à un sujet de compter le nombre de fois où le nombre de 5  apparaît, un pic du signal P300 sera observé à chaque affichage du nombre 5. Ceci vient du fait que le cerveau va classifier le nombre 5 comme pertinent à sa tâche courante, tandis les autres nombres seront considérés comme non-pertinents.

Attaque par force brute
Afin d'extraire des informations du cerveau, les chercheurs ont employé une attaque dite "par force brute". Ce type d'attaque, habituellement utilisé pour retrouver des mots de passe et codes secrets, consiste à essayer toutes les possibilités. Par exemple pour deviner un code secret composé de 4 chiffres, une attaque par force brute consistera à essayer toutes les combinaisons  de 4 chiffres (il y en a 10 000). Ceci est similaire à la recherche de la clef qui ouvre une serrure donnée. La méthode par force brute consiste à essayer tour à tour  les clefs à notre disposition; la bonne clef sera celle qui permettra de déverrouiller la serrure.

Ce principe a été adapté en soumettant des informations visuelles au sujet et en observant sa réaction en terme de signaux P300. Une des expériences a consisté à afficher la question "quel est votre date de naissance ?", puis d'afficher un par un les 12 mois de l'année dans un ordre aléatoire. On  déduit alors le mois de naissance du sujet comme étant le mois correspondant au pic d'intensité maximum du signal P300.  Cette attaque a été déclinée pour cibler d'autres informations personnelles telles que le premier chiffre de notre code PIN,  notre quartier de résidence, des visages familiers ou encore notre banque.



Ces expériences ont permis d'extraire efficacement ces informations du cerveau des sujets sans autre source que les ondes cérébrales. Par exemple pour le mois de naissance, le système devine correctement dans 60% des cas alors que sans l'information fournie par l'interface cerveau-machine il n'y a que 8,33% de chance (une sur douze) de tomber juste.
Menaces sur la vie privée et la sécurité
Les interfaces cerveau-machine pour un usage général n'en sont qu'à leurs début. A la lumière de ces travaux, il convient de sérieusement considérer les menaces que font peser ces appareils sur la vie privée et la sécurité des utilisateurs. En effet on pourrait facilement imaginer un jeu vidéo  intégrant  un programme malicieux qui extrairait des informations personnelles, en stimulant le joueur avec des images  ou des sons incrustés dans le jeu. Ce type de menace est d'autant plus inquiétant qu'elles peuvent s'effectuer à l'insu des utilisateurs et accéder à des informations extrêmement sensibles qui sont uniquement stockées dans le cerveau comme des mots de passe, mais aussi des informations  personnelles telles que  l'orientation sexuelle ou des secrets intimes.

Entretien avec un des auteurs
Daniele Perito est docteur en informatique et actuellement chercheur post-doctorant à l'université de UC Berkeley en Californie. Il est un des auteurs de ce travail et a bien voulu répondre à mes questions.

- C'est un travail de recherche très original; comment l'idée vous est-elle venue ?
C'est Ivan Martinovic qui en est à l'origine. Il m'en a fait part l'année dernière et elle m'a tout de suite plu. J'ai pensé  que c'était une idée incroyablement futuriste, mais que c'était également quelque chose qui deviendrait intéressant dans les années à venir, à mesure que les interfaces cerveau-machine se démocratiseraient.

- Ce travail touche à plusieurs domaines scientifiques et a requis la collaboration de 5 coauteurs. Quelle est votre spécialité et comment avez-vous contribué à cette découverte ?
Nous sommes tous dans le domaine de la sécurité informatique à l'exception de Tomas Ros qui est un spécialiste en neurosciences et qui nous a aidé à comprendre son domaine de prédilection. Pour ma part, je me suis chargé de la définition du protocole expérimental ainsi que de la réalisation des expériences sur les participants.

- Le système que vous avez développé n'est pas parfait et commet parfois des erreurs. Qu'est-il possible de faire pour améliorer ses performances, et quelle précision peut-on espérer ?
Les instruments destinés à la recherche [en neurosciences] ont une précision beaucoup plus élevée que ceux que nous avons employés; mais ils sont également beaucoup plus chers. Cependant, de nombreuses sociétés travaillent afin de mettre sur le marché des appareils aux performances similaires mais à des coûts beaucoup plus faibles. Je pense que cela va devenir un domaine très excitant dans un futur proche.

- Quelles sont les conséquences d'une telle découverte sur nos vies ?
Aucune pour le moment. Parce que pour l'instant les interfaces cerveau-machine ne sont pas entrées dans notre quotidien et que la précision et la discrétion de ces attaques sont faibles. Cependant, la précision de ces appareils va augmenter très rapidement. Cela veut dire que leur usage va se généraliser en même temps que leur capacité à collecter des informations. Lorsque nous en seront rendu à ce point, il faudra réfléchir à des moyens de limiter les fuites d'informations personnelles.

- Les ordinateurs possèdent des protections contre ce type d'attaques. Dans le cas de nos cerveaux, existe-t-il aussi des moyens pour le protéger ?
Je pense que nous aurons besoin de techniques similaires à celles que nous utilisons aujourd'hui pour les systèmes informatiques. C'est à dire trouver un moyen de contrôler et limiter le flux d'informations. Ces attaques sont principalement possibles parce que des applications tierce-partie peuvent accéder directement à l'énorme source d'information que constituent les signaux bruts captés par l'interface cerveau-machine. Dans le futur, ces applications ne devront avoir qu'un accès restreint via une interface  afin de ne leur communiquer que certaines caractéristiques des ondes cérébrales et d'en cacher le reste.

Liens :
- Page de la présentation à USENIX SEC : https://www.usenix.org/conference/usenixsecurity12/feasibility-side-channel-attacks-brain-computer-interfaces
- L'article original : https://www.usenix.org/system/files/conference/usenixsecurity12/sec12-final56.pdf