Méthodologie générique d'analyse de possibilités d'exploit d'une vulnérabilité dans un logiciel.

Generic methodology to analyse the exploitability of a software vulnerability.

• Auteur / Autrice : Jonathan Brossard
• Direction : Véronique Legrand
• Type : Projet de thèse
• Discipline(s) : Sciences pour l'ingénieur spécialité Informatique
• Date : Inscription en doctorat le 01/10/2021
• Etablissement(s) : Paris, HESAM
• Ecole(s) doctorale(s) : École doctorale Sciences des métiers de l'ingénieur
• Partenaire(s) de recherche : Laboratoire : Cedric - Centre d'études et de recherche en informatique et communications
• Partenaire(s) de recherche : établissement de préparation de la thèse : Conservatoire national des arts et métiers (France)

Mots clés

Mots clés libres

Cybersécurité

Ingénierie inverse

Analyse binaire

Reverse engineering

Cybersécurity

Binary analysis

Résumé

Durant la phase de test de logiciel en cours de développement, les développeurs ont recours, pour avérer des vulnérabilités, à des analyseurs de code statiques. Ces analyseurs exigent une expertise. Ils sont très souvent dédiés à un type de vulnérabilité et exigent en entrée le code source ce qui n'est pas toujours possible. En effet, cette exigence est parfois partiellement satisfaite (le code source fait appel, dans certaines situations, à des programmes binaires compilés dont le code source est indisponible pour des raisons de propriété industrielle). De plus, ces analyseurs génèrent une énorme quantité de résultats difficilement vérifiables manuellement. Ils produisent aussi un grand nombre de faux positifs; ce qui les rend inexploitables par les développeurs. Ceci oblige les éditeurs de logiciels ainsi que les industriels à mettre en place des processus chronophages tels que la « Sécurité Produit » ou l'approche par les risques préconisée par l'ISO/27005. En recherche, la littérature propose plusieurs méthodes d'analyse de possibilité d'exploit d'une vulnérabilité dans un logiciel. Les contributions de recherche nécessitent, pour la plupart, la disponibilité du code source et ne traite qu'un type de vulnérabilité à la fois.

During the test phase of a software under development, developers use static analysers to detect vulnerabilities. Those analysers require extensive expertise. They are more often than not dedicated to single vulnerability classes and require the availability of source code, which is not always a given. As a matter of fact, this requirement is only seldom satisfied (source code may require linking against binary libraries that may not be available due to intellectual property restrictions). In addition, those analysers are plagued by an enormous amount of results, that quickly become too much to handle manually. They also produce vast amounts of false positives that make them unusable by developers. This encourages software editors to establish processes such as 'Product Security' or risk based prioritizations in accordance with ISO/27005, that remain time consuming. Academic litterature offers several methods to produce a proof of exploitability of a binary. Those typically require source code availability and focus on single vulnerability classes.