L'Europe a construit des clouds souverains pour échapper au contrôle américain. Puis a oublié les processeurs

L'Europe réalise des investissements substantiels, dépassant les 2 milliards d'euros, dans des initiatives de cloud souverain visant à renforcer l'autonomie numérique et à réduire la dépendance vis-à-vis de la juridiction américaine. Ces efforts, illustrés par le cadre SecNumCloud de la France avec ses exigences techniques étendues, cherchent à fournir un environnement "immunisé contre les lois extraterritoriales". L'objectif principal est d'établir une infrastructure cloud manifestement indépendante de l'influence et du contrôle des gouvernements étrangers. Cependant, un défaut critique est apparu : le matériel sous-jacent, en particulier les processeurs, reste largement approvisionné auprès de fabricants américains comme Intel et AMD. Ces processeurs contiennent des moteurs de gestion sophistiqués, fonctionnant à un niveau de privilège inférieur au système d'exploitation, qui sont largement invisibles et non contrôlés par les logiciels de sécurité de l'hôte. Cette technologie intégrée, même lorsqu'une machine semble éteinte, peut rester active et potentiellement vulnérable. Cette dépendance vis-à-vis du silicium conçu aux États-Unis présente un défi considérable pour les objectifs de souveraineté numérique, car la législation américaine comme le Reforming Intelligence and Securing America Act (RISAA) 2024 peut classer les fabricants de matériel comme des "prestataires de services de communications électroniques". Cette désignation permet un accès potentiel par le biais d'ordonnances gouvernementales secrètes, contournant ainsi les certifications de sécurité des cadres cloud européens. L'architecture de ces moteurs de gestion, avec leur mémoire, leur horloge et leurs capacités réseau indépendantes, signifie que le trafic généré par ceux-ci peut être indiscernable du trafic légitime de l'hôte, posant un risque d'exfiltration furtive que les mesures de sécurité existantes ne peuvent détecter.