Soutenance mémoire
Contexte scientifique
Depuis des décennies, l’équipement technologique de nos domiciles ne cesse d’évoluer et de prendre part activement à notre vie quotidienne. A ce titre, l’utilisation de l’informatique à domicile s’est généralisée dans les années 80. D’abord un outil de travail, elle est également rapidement devenue un outil de loisir. Il en va de même pour le réseau Internet, interconnectant nos domiciles depuis les années 90. Si l’utilisation du réseau Internet au domicile était à l’origine essentiellement consacrée au travail, elle est désormais indispensable pour bon nombre de foyers dans de multiples domaines : achats en ligne, réservations de vacances, gestion des comptes bancaires et beaucoup d’autres tâches administratives, etc. Depuis quelques années, la connexion au réseau Internet a pris une dimension supplémentaire et propose de nouveaux services, avec l’apparition des offres Internet dites “triple-play”. Cette dénomination fait référence aux trois services habituellement inclus dans ces offres :
1) l’accès au réseau Internet à proprement parler,
2) la ligne téléphonique et
3) le bouquet de chaînes TV.
L’évolution constante des technologies permet également l’ajout de nouvelles fonctionnalités sur les équipements informatiques existants. Ces avancées technologiques peuvent concerner des équipements sans nécessairement les connecter au réseau Internet, mais elles tendent de plus en plus à profiter de cette connexion. Ainsi, depuis quelques années, la tendance au “tout connecté” est réellement en marche. De plus en plus d’équipements grand public sont aujourd’hui reliés d’une manière ou d’une autre au réseau Internet. Cette connexion leur permet de fournir encore plus de nouveaux services, souvent dans un but d’améliorer l’interactivité avec l’utilisateur. Afin de distinguer cette nouvelle génération d’équipements, il est souvent fait usage du préfixe “Smart”, permettant de faire allusion à une certaine intelligence dans cette nouvelle génération d’équipements.
Contexte scientifique & état de l’art
Définitions
Dans un premier temps, nous présentons quelques définitions relatives au domaine de la sûreté de fonctionnement. Ensuite, nous abordons quelques termes parmi les nombreux qui viennent enrichir le vocabulaire du domaine des objets connectés. Ces termes sont, pour la plupart, issus de nouvelles avancées technologiques et ils permettent généralement de regrouper des familles technologiques.
La sûreté de fonctionnement
La sûreté de fonctionnement [10] d’un système informatique est la propriété qui permet à ses utilisateurs de placer une confiance justifiée dans le service qu’il leur délivre. Le service délivré par un système est son comportement tel qu’il est perçu par son, ou ses utilisateurs, l’utilisateur étant un autre système, humain ou physique qui interagit avec le système considéré.
Attributs de la sûreté de fonctionnement
Les attributs de la sûreté de fonctionnement permettent a) d’exprimer les propriétés qui sont attendues du système, et b) d’apprécier la qualité du service délivré, tels que le résultat des entraves et des moyens de s’y opposer. Les attributs de la sûreté de fonctionnement sont définis de la manière suivante :
— le fait d’être prêt à l’utilisation conduit à la disponibilité ;
— la continuité du service conduit à la fiabilité ;
— la non-occurrence de conséquences catastrophiques pour l’environnement conduit à la sécurité-innocuité ;
— la non-occurrence de divulgations non-autorisées de l’information conduit à la confidentialité ;
— la non-occurrence d’altérations inappropriées de l’information conduit à l’intégrité ;
— l’aptitude aux réparations et aux évolutions conduit à la maintenabilité.
L’association, à la confidentialité, de l’intégrité et de la disponibilité vis-à-vis des actions autorisées, conduit à la sécurité-confidentialité ou encore la sécuritéimmunité. Il existe également d’autres attributs, secondaires, que ceux définis cidessus [4]. Un exemple d’un tel attribut secondaire est la robustesse, à savoir, la fiabilité par rapport aux défauts externes, qui caractérise la réaction d’un système par rapport à une classe spécifique de fautes. Les attributs de la sûreté de fonctionnement ont été définis selon diverses propriétés, sur lesquelles on peut mettre un accent plus ou moins prononcé selon l’application à laquelle est destiné le système informatique considéré :
— la disponibilité est toujours requise, bien qu’à des degrés naturellement variables selon les applications ;
— fiabilité, sécurité-innocuité, confidentialité peuvent être ou ne pas être requises selon les applications.
Entraves à la sûreté de fonctionnement
Les entraves à la sûreté de fonctionnement sont les circonstances indésirables — mais non inattendues — causes ou résultats de la non-sûreté de fonctionnement (dont la définition se déduit simplement de celle de la sûreté de fonctionnement : la confiance ne peut plus, ou ne pourra plus, être placée dans le service délivré). Les entraves à la sûreté de fonctionnement sont : fautes, erreurs, défaillances. Les mécanismes de création et de manifestation des fautes, erreurs, défaillances peuvent être résumés comme suit :
1. Une faute est active lorsqu’elle produit une erreur. Une faute active est soit une faute interne qui était préalablement dormante et qui a été activée par le processus de traitement, soit une faute externe. Une faute interne peut cycler entre ses états dormant et actif. Les fautes physiques ne peuvent affecter directement que des composants matériels, alors que les fautes dues à l’homme peuvent affecter n’importe quel type de composant.
2. Une erreur peut être latente ou détectée ; une erreur est latente tant qu’elle n’a pas été reconnue en tant que telle ; une erreur est détectée par un algorithme ou un mécanisme de détection. Une erreur peut disparaître sans être détectée. Par propagation, une erreur crée de nouvelles erreurs.
3. Une défaillance survient lorsque, par propagation, elle affecte le service délivré par le système, donc lorsqu’elle “passe à travers” l’interface systèmeutilisateur(s). La conséquence de la défaillance d’un composant est une faute pour le système qui le contient ou pour le, ou les composants qui interagissent avec lui ; les modes de défaillance d’un composant sont donc des types de fautes pour le système ou pour les composants qui interagissent avec lui.
Ces mécanismes permettent de compléter la “chaîne fondamentale” suivante :
… → défaillance → faute → erreur → défaillance → faute → …
Les flèches dans cette chaîne expriment la relation de causalité entre fautes, erreurs et défaillances. Elles ne doivent pas être interprétées au sens strict : par propagation, plusieurs erreurs peuvent être créées avant qu’une défaillance ne survienne ; une défaillance étant un événement se produisant à l’interface entre deux systèmes ou composants, une erreur peut conduire à une faute sans que l’on observe de défaillance si l’observation de la défaillance n’a pas lieu d’être effectuée, ou si elle ne présente pas d’intérêt.
Les moyens pour la sûreté de fonctionnement
Les moyens pour la sûreté de fonctionnement sont des méthodes et techniques permettant de fournir au système l’aptitude à délivrer un service conforme à l’accomplissement de sa fonction, et de donner confiance dans cette aptitude. Les méthodes pour la sûreté de fonctionnement sont :
— La prévention de fautes : comment empêcher l’occurrence ou l’introduction de fautes ;
— La tolérance aux fautes : comment fournir un service à même de remplir la fonction du système en dépit des fautes ;
— L’élimination des fautes : comment réduire la présence (nombre, sévérité) des fautes ;
— La prévision des fautes : comment estimer la présence, la création et les conséquences des fautes.
La prévention de fautes [4] est obtenue par la mise en œuvre de techniques d’ingénierie rigoureuses pendant les phases de conception et de développement du matériel et des logiciels. Ces techniques incluent la programmation structurée, le masquage d’information, la modularisation, etc., pour les logiciels, et les règles rigoureuses de conception pour le matériel. Blindage, durcissement au rayonnement, etc., ont pour but d’empêcher des défauts physiques opérationnels, tandis que la formation et les procédures rigoureuses pour l’entretien, ont pour but d’éviter les problèmes d’interaction. Les pare-feux et les défenses similaires sont destinés à éviter les problèmes malveillants. La tolérance aux fautes [14] est mise en œuvre par le traitement des erreurs et par le traitement des fautes [8]. Le traitement d’erreur est destiné à éliminer les erreurs, si possible avant qu’une défaillance ne survienne. Le traitement de faute est destiné à éviter qu’une, ou des fautes ne soient activées à nouveau. L’élimination des fautes est constituée de trois étapes : vérification, diagnostic, correction. La vérification consiste à déterminer si le système satisfait des propriétés, appelées conditions de vérification [57] ; si ce n’est pas le cas, les deux autres étapes doivent être entreprises : diagnostiquer la ou les fautes qui ont empêché les conditions de vérification d’être remplies, puis apporter les corrections nécessaires. Après correction, le processus doit être recommencé afin de s’assurer que l’élimination de faute n’a pas eu de conséquences indésirables ; les vérifications ainsi effectuées sont généralement qualifiées de non-régression.
La prévision des fautes est conduite en effectuant des évaluations du comportement du système par rapport à l’occurrence des fautes et à leur activation. En adoptant une vue structurelle d’un système, l’évaluation consiste à examiner et analyser les défaillances des composants et leurs conséquences sur la sûreté de fonctionnement du système.
|
Table des matières
Introduction
1 Contexte scientifique & état de l’art
1.1 Définitions
1.1.1 La sûreté de fonctionnement
1.1.2 Les équipements grand public connectés à Internet
1.2 Caractérisation d’un objet connecté
1.2.1 Architecture générale
1.2.2 Entrées & Sorties
1.2.3 Système d’exploitation & applications
1.2.4 Environnement
1.3 Sécurité des équipements connectés
1.4 Travaux connexes
1.4.1 Critères de classification des attaques
1.4.2 Attaques depuis le domicile
1.4.3 Attaques logicielles depuis l’extérieur du domicile
1.4.4 Attaques physiques depuis l’extérieur du domicile
1.5 Contributions de la thèse
2 Méthode d’analyse
2.1 Analyse des risques
2.1.1 Les différentes normes
2.1.2 Méthodes d’analyse des risques pour les systèmes d’information
2.1.3 Identification & appréciation des risques
2.1.4 Discussion
2.2 Expérimentations
2.2.1 Observation passive
2.2.2 Simulation
2.2.3 Conduite d’attaque
2.3 Conclusion
3 Cas d’étude 1 : Unité d’accès intégrée & réseau d’accès
3.1 Analyse des risques d’une UAI
3.1.1 Contexte de l’étude
3.1.2 Étude des événements redoutés
3.1.3 Étude des scénarios de menaces
3.1.4 Étude des risques
3.2 Etude comparative des UAI
3.2.1 La boucle locale
3.2.2 Plateforme d’écoute sur une boucle locale
3.2.3 Résulats de l’étude comparative
3.3 Exploration des faiblesses
3.3.1 Simulation d’un fournisseur de services sur Internet
3.3.2 Conduite d’attaque
3.4 Compétences et vraisemblance : discussion
3.5 Conclusion
4 Cas d’étude 2 : Téléviseur connecté & réseaux d’accès
4.1 Analyse des risques d’un téléviseur connecté
4.1.1 Contexte de l’étude
4.1.2 Étude des événements redoutés
4.1.3 Étude des scénarios de menaces
4.1.4 Étude des risques
4.2 Le canal TV
4.2.1 Observation du flux DVB
4.2.2 Plateforme de simulation DVB-T
4.2.3 Simulation
4.3 Le protocole HbbTV
4.3.1 Observation du protocole HbbTV
4.3.2 Simulation du protocole HbbTV
4.3.3 Tentative d’attaque sur le protocole HbbTV
4.3.4 Contenu des pages HbbTV
4.3.5 Respect de la politique de la même origine
4.3.6 Exploitation du non respect de la politique de la même origine
4.3.7 Vérification du navigateur intégré
4.4 Procédure de mise à jour de firmware
4.4.1 Observation des procédures de mise à jour
4.4.2 Simulation des procédures de mise à jour
4.5 Vie privée
4.5.1 Première étude : identification de l’activité de l’utilisateur
4.5.2 Deuxième étude : connexion de périphériques de stockage
4.5.3 Troisième étude : utilisation et stockage des cookies
4.6 Conclusion
5 Contre-mesures
5.1 La sécurisation des moyens de communication
5.2 Modèle OSI & piles protocolaires
5.3 La connexion au réseau Internet
5.3.1 Pile de protocoles
5.3.2 Les couches hautes
5.3.3 Les couches basses
5.3.4 Synthèse
5.4 La connexion au réseau télévisuel hertzien
5.4.1 Pile de protocoles
5.4.2 Les couches hautes
5.4.3 Les couches basses
5.4.4 Synthèse
5.5 Conclusion
Conclusion générale
