Sans malware ni accès réseau : comment Deep-TEMPEST lit l’écran de votre moniteur PC à travers les ondes du câble HDMI
Pas besoin d’un cheval de Troie, d’une faille zéro-day ni du moindre accès à votre box internet pour dérober ce qui s’affiche sur votre écran. Dans une étude académique menée à la Facultad de Ingeniería de l’Universidad de la República à Montevideo (Uruguay), les chercheurs Santiago Fernández, Emilio Martínez, Gabriel Varela, Pablo Musé et Federico Larroca ont mis au point Deep-TEMPEST, une architecture d’apprentissage profond capable de reconstituer en texte clair l’image d’un moniteur PC en captant uniquement les ondes électromagnétiques résiduelles qui s’échappent d’un câble HDMI. Documentée en accès libre dans la publication arXiv:2407.09717 et accompagnée de son code source sur GitHub (emidan19/deep-tempest), cette démonstration remet au goût du jour l’écoute par canal auxiliaire à l’heure des écrans haute définition.
Du codage TMDS 10 bits aux fuites radio : pourquoi le signal HDMI trahit votre moniteur
L’interception électromagnétique d’un affichage vidéo, connue sous le nom de code militaire TEMPEST (ou Van Eck Phreaking depuis les travaux pionniers de Win van Eck sur les tubes cathodiques en 1985, prolongés par Markus Kuhn au début des années 2000), s’est longtemps heurtée au mur du numérique. Sur une vieille prise analogique VGA, l’amplitude de la tension électrique reflétait directement la luminosité de chaque pixel. En revanche, une liaison numérique HDMI (tout comme le DVI) utilise le protocole TMDS (Transition-Minimized Differential Signaling) sur trois canaux distincts dédiés aux composantes Rouge, Vert et Bleu.
Avant d’être expédiée dans le cordon, chaque valeur de couleur de 8 bits (256 niveaux d’intensité) est convertie en un mot de 10 bits hautement non-linéaire : les huit premiers bits subissent une opération logique différentielle XOR ou XNOR (signalée par le neuvième bit) afin de réduire le nombre de transitions électriques, puis une éventuelle inversion de polarité (indiquée par le dixième bit) pour équilibrer la composante continue du signal. En résolution Full HD 1920 × 1080 à 60 Hz, lorsqu’on intègre les intervalles de suppression horizontale et verticale (blanking, durant lesquels transitent les flux audio et les paquets de contrôle, soit une trame réelle de 2 200 × 1 125 pixels), la fréquence pixel grimpe à 148,5 MHz, ce qui représente un débit brut de 1,485 Gbps par canal.
Sur le papier, chaque canal TMDS circule sur une paire torsadée différentielle (un brin positif et un brin négatif) dont les champs magnétiques opposés sont censés s’annuler parfaitement. Mais dans la réalité physique d’un câble standard, un infime décalage temporel entre les deux conducteurs (appelé skew) ou une légère asymétrie d’impédance suffit à transformer le cordon HDMI en antenne involontaire autour des harmoniques de la fréquence pixel. Sur leur banc de test réglé en 1600 × 900 à 60 Hz, les chercheurs uruguayens ont capté la troisième harmonique (324 MHz) à l’aide d’une radio logicielle USRP B200mini d’Ettus Research, épaulée par une antenne télescopique, un amplificateur RF Mini-Circuits ZJL-6G+ et deux filtres passe-bas et passe-haut (SLP-450+ et SHP-250+) reliés au logiciel libre GNU Radio.
L’architecture DRUNet et le regard croisé de Chayane : plus de 60 points gagnés sur la lecture de texte
Tout le défi matériel tient dans le goulot d’étranglement du récepteur radio : une carte SDR abordable comme l’USRP B200mini plafonne à un taux d’échantillonnage de 50 MHz (là où un récepteur USRP X440 capable de couvrir 3,2 GHz de bande passante instantanée coûte plus de 25 000 dollars). Avec un seul échantillon radio capturé toutes les quelques dizaines de bits encodés, la séquence binaire brute est mathématiquement perdue. Les outils open-source précédents comme TempestSDR ou le module gr-tempest de base se contentaient d’extraire la magnitude du signal en niveaux de gris, livrant des silhouettes fantomatiques quasiment illisibles avec un taux d’erreur de caractères (Character Error Rate, CER) catastrophique de 92,2 % sous le moteur de reconnaissance optique Tesseract (pour un PSNR de 8,57 dB et un score SSIM de 0,345).
C’est précisément sur ce point que notre collègue Chaya « Chayane » souligne l’élégance redoutable de l’approche neuronale retenue par l’équipe de Montevideo : plutôt que de débruiter une image déjà écrasée en niveaux de gris, Deep-TEMPEST formule la reconstruction comme un problème inverse bayésien et injecte directement les échantillons complexes bruts (parties réelle et imaginaire, conservant à la fois l’amplitude et la phase de l’onde radio) dans une architecture DRUNet (Deep Residual U-Net). Ce réseau convolutif combine la structure d’encodeur-décodeur multi-échelle de U-Net aux blocs résiduels de ResNet, le tout stabilisé par une régularisation en variation totale (Total Variation) et un recalage géométrique automatique des bandes de blanking par transformée de Hough.
Pour éviter de devoir capturer des dizaines de milliers d’écrans réels, les chercheurs ont bâti un simulateur mathématique complet du canal TMDS et du filtre passe-bas SDR, générant 2 189 paires d’images synthétiques complétées par 1 302 captures réelles. Entraîné sur une station équipée d’un processeur Intel Core i7-10700F, de 64 Go de RAM et d’une carte graphique Nvidia GeForce RTX 3090 (24 Go de VRAM), le modèle reconstruit une trame 1600 × 900 en 0,5 seconde sur GPU (contre 15 secondes sur CPU). Sur le banc d’essai réel, le taux d’erreur CER plonge de 92,2 % à 35,3 % avec le modèle pur (contre 43,6 % si l’on prive le réseau de l’information de phase), et descend jusqu’à 29,8 % (PSNR de 15,7 dB et SSIM de 0,806) lorsque le modèle pré-entraîné sur données synthétiques est affiné sur les signaux réels. Soit un gain net de plus de 62 points de pourcentage qui rend les courriels, lignes de code et pages web parfaitement déchiffrables par l’œil humain. Mieux encore : en n’utilisant que 10 % des captures réelles par apprentissage par transfert (fine-tuning), le réseau atteint déjà un CER de 35,0 %.
Faut-il s’inquiéter sur un setup gaming ? Les limites physiques face au 240 Hz, au FRL et au blindage HDMI 2.1
Si la prouesse académique impressionne, un joueur PC ou console doit-il craindre qu’un voisin lise ses mots de passe à travers la cloison ? L’examen attentif des contraintes physiques de l’étude permet de nuancer fortement les scénarios catastrophes :
- Une forte sensibilité aux changements de résolution et aux hautes fréquences (144 Hz à 240 Hz) : Le modèle DRUNet est entraîné pour un couple précis de résolution et d’horloge pixel (ici du 60 Hz bureautique). Les auteurs notent que dès qu’ils passent l’écran en 1280 × 720 à 60 Hz sur la quatrième harmonique sans ré-entraîner le réseau, le taux d’erreur remonte brusquement à 50 %. Sur un moniteur gaming moderne cadencé à 144 Hz, 240 Hz ou plus , comme sur les dalles que nous analysions dans notre dossier sur l’usure des téléviseurs et moniteurs WOLED ou lors de notre comparatif des cartes d’acquisition HDMI 2.1 ,, l’horloge s’envole et le standard HDMI 2.1 abandonne carrément le codage TMDS 10 bits au profit de l’architecture FRL (Fixed Rate Link), qui répartit jusqu’à 48 Gbps sur quatre lignes encodées en 16b/18b avec brouillage permanent. Même constat sur le DisplayPort, qui transmet la vidéo sous forme de micro-paquets chiffrés bien plus difficiles à corréler spatialement.
- Le blindage matériel du câble comme parade immédiate : L’attaque exploite avant tout les câbles HDMI d’entrée de gamme dont les paires torsadées manquent d’isolation individuelle. Passer sur un cordon HDMI 2.1 Certifié Ultra High Speed (48 Gbps) doté d’un triple blindage EMI (feuille d’aluminium Mylar par paire, tresse métallique haute densité et coques de connecteurs blindées) ou sur un câble HDMI optique actif à fibre optique coupe drastiquement les émanations radio à la source.
- Des contre-mesures logicielles redoutables : L’équipe de Federico Larroca démontre enfin deux parades logicielles qui retournent la non-linéarité du codage TMDS contre le réseau de neurones. L’ajout d’un infime bruit gaussien quasi invisible à l’œil nu sur l’image affichée, ou l’application d’un simple dégradé horizontal de luminance en arrière-plan, modifie radicalement les séquences de bits 10-bit et provoque l’effondrement complet de la reconstruction par l’IA.
Câble HDMI 2.1 Certifié Ultra High Speed 48 Gbps (Triple Blindage EMI)
- Triple blindage EMI/RFI (feuille aluminium Mylar + tresse métallique haute densité) limitant les fuites électromagnétiques
- Bande passante certifiée 48 Gbps (protocole FRL HDMI 2.1) compatible 4K 240 Hz, 8K 60 Hz, VRR et ALLM
- Connecteurs plaqués or sous coque métallique robuste pour PC gaming, PS5 Pro et Xbox Series X
Mon carnet de veille
En décortiquant le banc d'essai de l'Universidad de la República, je salue avant tout l'ingéniosité mathématique du projet : réussir à transformer un simple récepteur SDR à 50 MHz en lecteur d'écran HDMI grâce à la phase du signal complexe et au réseau DRUNet, comme l'a très justement relevé Chayane sur la partie apprentissage profond, mérite d'être salué. Pour autant, je garde la tête froide côté matériel : entre le temps d'inférence d'une demi-seconde par image sur une RTX 3090, la nécessité d'opérer à très courte portée sur un flux fixe à 60 Hz et le basculement de nos configurations gaming vers le protocole FRL en HDMI 2.1 ou les micro-paquets DisplayPort, votre PC de jeu n'est pas près d'être lu depuis la rue. C'est en revanche un excellent rappel physique : jeter définitivement les vieux cordons HDMI génériques non blindés qui traînent au fond d'un tiroir au profit d'un câble HDMI 2.1 certifié à triple blindage reste l'investissement le plus simple et le plus sain pour l'intégrité de votre signal vidéo. Nous n'avons pas encore eu ce matériel entre les mains à la rédaction : si le constructeur souhaite nous confier un exemplaire de test pour le passer sur notre protocole complet en conditions réelles, notre banc d'essai lui est grand ouvert.
Retrouvez Pro-Gamer en priorité sur Google
Ajoutez pro-gamer.fr à vos sources préférées pour retrouver nos guides et actus directement dans votre flux Google Discover et vos résultats de recherche.
Journaliste et joueur français originaire de Lyon, Bastien « Orion » s'est expatrié il y a près de dix ans dans la ville de Québec, au cœur du quartier Saint-Roch où évoluent plusieurs grands studios canadiens. Avant de traverser l'Atlantique, il a forgé sa plume touche-à-tout au sein de rédactions web et télévisées françaises spécialisées des années 2000 et 2010, notamment sur JeuxVideo.fr et JeuxNews. Passionné aussi bien par les blockbusters AAA et les coulisses de l'industrie nord-américaine que par le rétrogaming, la scène modding et les curiosités techniques, il assure sur Pro-Gamer la veille transatlantique et le suivi en direct des annonces américaines et japonaises.
