Défenses dynamique pour l'amélioration de la résilience des voitures connectées

Dynamic Defenses for Improved Resilience of Connected Cars

• Auteur / Autrice : Maxime Ayrault
• Direction : Etienne Borde, Ulrich Kühne
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 18/10/2022
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Laboratoire : Laboratoire Traitement et communication de l'information (Paris ; 2003-....) - Laboratoire de Traitement et Communication de l'Information
• Partenaire(s) de recherche : Etablissement opérateur d'inscription : Télécom Paris (Palaiseau ; 1977-....)
• Jury : Président / Présidente : Joaquin Garcia-Alfaro
• Jury : Examinateurs / Examinatrices : Joaquin Garcia-Alfaro, Youssef Laarouchi, Emmanuelle Encrenaz, Jean-Luc Danger, Yves Roudier
• Jury : Rapporteurs / Rapporteuses : Youssef Laarouchi

Mots clés

Mots clés contrôlés

Théorie des jeux

Systèmes informatiques -- Mesures de sûreté

Véhicules connectés

Mots clés libres

Voiture connectée

Cyber Sécurité

Théorie des jeux

Connected cars

Cyber Security

Game Theory

Résumé

Avec l’adoption des voitures connectées dans la vie courante lors de ces dix dernièresannées, de nouvelles menaces de sécurité voient le jour impliquant de nouveaux traitements devantêtre traitées. La gravité de ces menaces va dépendre de deux facteurs principaux, La surfaced’attaque et l’impact de l’exploitation des vulnérabilités. Il est possible d’observer une augmentation de la surface d’attaque avec l’utilisation croissante de composants électroniques pilotés par logiciel dans les véhicules (ECUs). L’augmentation de cette surface d’attaque est aussi majoritairement dû à l’ajoût de nouvelles interfaces permettant de relier les véhicules entre eux et au monde extérieur. L’électronique présente dans les véhicules permettent le control de plus en plus de fonctionnalités critique. Cela peut aller de fonctionnalités telles que le braking by wire ou d’assistance avancée àla conduite (Adaptative Cruise Control). L’impact de l’exploitation de vulnérabilités présentes sur ces composant électronique devient de plus en plus préoccupant pour les constructeurs au vu des problèmes de sûreté et de privacy que cela pourrait induire. Au cours des dernières années, le nombre de publications traitant de la découvertes de de nouvelles vulnérabilités et attaques utilisant les connexions sans fil afin de prendre le contrôle d’une voiture ne fait qu’augmenterL’apparition grandissante de ces nouveaux vecteurs d’attaques combiné à l’explosionde la complexité des systèmes embarqués dans les véhicules amènent la sureté defonctionnement et la (cyber)sécurité au premier plan des objectifs majeurs lors de laconception de nouveaux systèmes automobiles.Le concept de résilience `a du coup fait son apparition dans les différentes étudessur les véhicules ainsi que dans la conception de nouveaux systèmes embarqués automobile. Ceterme de résilience fait référence par conception `a l’objectif consistanta la sécurisation de l’architecture globale d’un système contrairement `a l’introductionde correctif de sécurité locaux durant la durée de vie du produit. Cela inclut desmécanismes de défense tels que la détection d’intrusions ou bien encore une protectioncoordonnée contre les menaces existantes connues. Des approches comme les approchesbio-inspirées utilisent par exemple la rémanence naturelle d’un organisme biologiquecomme modèle afin de pouvoir proposer des solutions techniques à ce défi de résilience.Un autre exemple d’approche liée à la résilience correspond au principe de Moving TargetDefense consistant `a la modification dynamique de la configuration d’un systèmelors de son exécution permettant de rendre les attaques déterministes moins efficacescontre le système défendu.Lors du déroulement de cette Thèse, nous nous sommes particulièrement intéressé a l’utilisationde ces techniques de Moving Target Defense dans les véhicules connectés.Ce type d’approche permet en effet de rendre plusieurs aspects d’un système dynamique.Le problèmes actuel liés à l’utilisation de telles techniques de défense dans un véhicule connectéest qu’il n’existe pas encore de prise en compte des contraintes liées aux systèmesembarqués critiques et que leur utilisation pourraient affecter la sûreté des utilisateurs.Il va donc falloir pouvoir garantir que leur ajout dans ce type de système ne provoquerapas de perturbations dans l’utilisation des applications critiques du véhicule.L’utilisation de MTD est régît par trois grandes questions quoi faire bouger?, comment le fairebouger? et quand le faire bouger. Le traitement de ces deux premièresquestions quoi et comment faire bouger on déjà été adressées lors de différentes études existantes.

With the advent of connected cars, new security threats need to be faced. There are mainly two factors that make up the severity of these threats: Firstly, the attack surface is growing with the ever increasing use of software-driven electronic components in the car and especially with every new interface that connects the car to the internet and the outside world. Secondly, the potential impact of security vulnerabilities is growing with the car electronics taking over more and more safety critical functionalities, such as “brake-by-wire” or advanced driver-assistance systems. In the recent years, new attacks have been published that make use of wireless connections in order to take over the control of a car. With these new attack vectors and the growing complexity of the on-board units, safety and security are becoming a major design objective of new automotive systems. The term resilience by design refers to the goal of securing the overall system architecture instead of deploying local security patches. This includes the detection of intrusions or defects and a coordinated protection against these threats. Bio-inspired approaches use the natural resitance of biological organism as a blueprint to propose technical solutions to this challenge. As an example, the principle of a moving target defense is to change the configuration of a system so as to make deterministic attacks impractical. This defense pattern can be observed in many viruses – such as HIV – which are constantly changing the surface proteins exposed to the outside world so as to escape attacks from the immune system. In this project, we would like to study the potential of architectural reconfigurations as means of a moving target defense against cyber attacks and defects in a connected car environment. As a prerequisite for this work, a precise and formal architectural model will be constructed. The main idea is to examine the space of functionally correct configurations of the architecture. In case of a detected intrusion, the system switches in a non-deterministic manner to some remaining configuration. The decision of when and how to trigger a reconfiguration is based on the attack tree: A possible strategy is to keep the system in a state where a maximum number of legal configurations remains in order to be able to react to evolving attacks.