Cadriciel de vérification pour la messagerie de groupe sécurisée

Verification framework for secure group messaging

• Auteur / Autrice : Théophile Wallez
• Direction : Bruno Blanchet, Karthikeyan Bhargavan
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le ; Soutenance le 24/06/2025
• Etablissement(s) : Université Paris sciences et lettres
• Ecole(s) doctorale(s) : École doctorale Sciences mathématiques de Paris centre
• Partenaire(s) de recherche : Laboratoire : DIENS - Département d'informatique de l'École normale supérieure
• Partenaire(s) de recherche : établissement opérateur d'inscription : Ecole normale supérieure - PSL
• Jury : Président / Présidente : Véronique Cortier
• Jury : Examinateurs / Examinatrices : Bruno Blanchet, Stéphanie Delaune, Cas Cremers, Karthikeyan Bhargavan, Jonathan Protzenko, Céline Chevalier, Joel Alwen
• Jury : Rapporteurs / Rapporteuses : Stéphanie Delaune, Cas Cremers

Mots clés

Mots clés libres

Formalisation

Messagerie

Vérification

Cryptographie

Formalization

Messaging

Verification

Cryptography

Résumé

Les applications de messagerie sont de nos jours utilisées de façon généralisée pour communiquer, en particulier en utilisant les conversations de groupe pour relier les personnes d'un cercle social. C'est une menace potentielle pour la vie privée, par exemple si les serveurs de l'application de messagerie ont accès au contenu des conversations. Pour résoudre ce problème, les applications de messagerie modernes fournissent du chiffrement de bout en bout, ce qui veut dire que les messages sont chiffrés par l'appareil de l'expéditeur et déchiffrés par l'appareil du destinataire, de manière à ce que les serveurs de messagerie ne puissent pas connaître le contenu des messages. Un tel chiffrement de bout en bout est de façon plus générale un protocole cryptographique, dont la conception est notoirement sujette aux erreurs. Cela soulève la question suivante: les applications de messagerie sécurisée sont-elles réellement sécurisées ? Dans cette thèse, nous développons une nouvelle méthodologie permettant d'analyser le protocole de messagerie de groupe Messaging Layer Security (MLS) en utilisant les méthodes formelles sur des spécifications précises à l'octet près dans le modèle symbolique et, ultimement, nous aidons à corriger des problèmes de conception dans MLS avant sa standardisation. Le premier axe de cette thèse est le développement d'outils d'analyse de protocoles cryptographiques, sur des spécifications précises à l'octet près. Pour traiter les complexités liées à MLS, telles que la taille dynamique des groupes ou l'utilisation de structures de données récursives, nous présentons de multiples améliorations essentielles à DY*, un cadriciel d'analyse symbolique écrit dans l'assistant de preuve F*. Afin d'écrire des spécifications de protocoles cryptographiques précises à l'octet près et capturer précisément leurs formats de message, nous introduisons Comparse, un outil pour spécifier et prouver des propriétés sur des formats de message en F*. Dans le processus, nous étudions la large classe des attaques exploitant les formats de message et dérivons divers critères que les protocoles cryptographiques doivent suivre afin de résister à de telles attaques. Le second axe de cette thèse est l'application des outils que nous avons développés sur MLS. Nous présentons une nouvelle modularisation de MLS pour le décomposer en trois sous-protocoles, ce qui nous permet de les analyser de manière indépendante. Ensuite, nous analysons et produisons une preuve vérifiée par ordinateur pour deux sur trois sous-protocoles, que nous avons nommés TreeSync et TreeKEM. Notre spécification de MLS est précise à l'octet près, exécutable et intéropèrable avec les autres implémentations de MLS. Durant notre analyse, nous avons trouvé plusieurs défauts de conception et nous avons proposé des corrections au groupe de travail en charge de la conception de MLS à l'Internet Engineering Task Force (IETF), qui ont été intégrées au standard de MLS.

Messaging applications are nowadays pervasively used to communicate with each other, in particular using group conversations to connect people within a social circle. This is a potential threat for privacy, for example if the messaging application servers were to have access to the conversation content. To address this issue, modern messaging applications provide end-to-end encryption, meaning that messages are encrypted by the sender device and decrypted by the receiver device, so that their content stay hidden from the messaging application servers. Such end-to-end encryption is a feature of cryptographic protocols, whose design is notoriously error-prone. This begs the following question: are secure messaging applications actually secure? In this thesis, we develop a novel methodology to analyze the secure group messaging protocol Messaging Layer Security (MLS) by using formal methods on bit-precise specifications in the symbolic model, and ultimately helped to fix design flaws in MLS before its standardization. The first axis of this thesis is developing tools to analyze cryptographic protocols, on bit-precise specifications. To handle the complexities exhibited by MLS, such as dynamic group size or recursive data structures, we present several key improvements to DY*, a symbolic analysis framework written in the F* proof assistant. To write bit-precise specifications of cryptographic protocols and handle their precise message formats, we introduce Comparse, a tool to specify and prove properties on message formats in F*. In the process, we study the broad class of message formatting attacks, and derive criteria cryptographic protocols should obey to avoid such attacks. The second axis of this thesis is applying the tools we developed on MLS. We present a novel modularization of MLS to decompose it into three sub-protocols, thereby allowing us to analyze each sub-protocol independently. We then analyze and produce a machine-checked proof for two out of three sub-protocols, TreeSync and TreeKEM. Our specification for MLS is bit-precise, executable and interoperable with other MLS implementations. During our analysis, we found several design flaws and proposed fixes to the Working Group in charge of its design at the Internet Engineering Task Force (IETF), which were integrated in the MLS standard.