Techniques avancées pour la spécialisation de fonctions réseaux conteneurisées

Advanced techniques for specialising containerised network functions

• Auteur / Autrice : Brice Teguia
• Direction : Alain Bouzaïde Tchana
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le 01/03/2023
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale Mathématiques, sciences et technologies de l'information, informatique (Grenoble ; 1995-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'Informatique de Grenoble
• Partenaire(s) de recherche : Equipe de recherche : Efficient and RObust Distributed Systems

Mots clés

Mots clés libres

Observabilité

Machine virtuelle

Introspection

Virtualisation

Vmm

Observability

Virtual machine

Introspection

Virtualization

Vmm

Résumé

Le chiffrement permet d'assurer les propriétés de confidentialité et de sécurité des communications réseaux. Bien que ce mécanisme contribue fortement à assurer la protection des utilisateurs, la généralisation du chiffrement pose la problématique de son adaptation à la supervision réseau et contraint à reconsidérer les techniques de supervision réseau qui reposent principalement sur la détection de patterns malveillants ou suspicieux contenus dans les paquets réseaux échangés par des entités qui ne sont potentiellement pas supervisées par les mêmes fournisseurs de service. De plus, les vulnérabilités induites par la virtualisation et le partage des ressources poussent les autorités à rendre les exigences de sécurité imposées aux opérateurs encore plus fortes et cela passe notamment par l'obligation de chiffrement de l'ensemble des flux échangés entre les fonctions réseaux. La problématique de l'analyse du trafic chiffré a été traitée sous plusieurs aspects dans l'état de l'art. L'une des techniques les plus développées consiste à faire appel à l'application d'algorithmes d'apprentissage et de classification sur les données chiffrées. Cette classification peut aider à déterminer les types d'applications ou encore les types de systèmes d'exploitation qui s'exécutent au niveau des serveurs. Cette approche présente l'avantage de ne pas reposer sur une modification des algorithmes de chiffrement ou de l'architecture du réseau. Les attaques pouvant être détectées de façon efficace restent néanmoins limitées. Une seconde catégorie d'approches consiste à revoir les algorithmes de chiffrement pour permettre de concilier les besoins de confidentialité et d'inspection de paquets. L'idée est de permettre d'effectuer des calculs ou des analyses sur les données chiffrées sans avoir recours aux clés secrètes. Le chiffrement homomorphe propose des mécanismes qui permettent d'atteindre cet objectif mais la performance reste un élément bloquant pour une large adoption de ces mécanismes. Une approche alternative consiste à rediriger le flux chiffré vers des sondes logicielles qui vont déchiffrer le trafic, l'analyser, avant de le rechiffrer à nouveau pour l'envoyer aux destinataires. Cette étape de déchiffrement du trafic est souvent source de vulnérabilité. L'objectif de la thèse est de proposer des mécanismes de collecte et d'analyse de données à destination des réseaux 5G qui répondent à la fois aux exigences réglementaires de confidentialité et à la nécessité opérationnelle d'inspection des flux. Le réseau pouvant être constitué de fonctions réseaux virtuelles appartenant à des vendeurs différents, la proposition de thèse devra prendre en compte l'hétérogénéité des algorithmes de chiffrement implémentés par les différents fournisseurs des VNF. La solution proposée devra garantir la conciliation des propriétés de confidentialité et de performance. Les mécanismes qui requièrent une interception de trafic provoquent une dégradation de performance incompatible avec les promesses de haute performance des réseaux 5G. Les mécanismes de traitements sur données chiffrées présentent les mêmes inconvénients.

Encryption ensures the confidentiality and security properties of network communications. Although this mechanism makes a significant contribution to user protection, the widespread use of encryption raises the problem of its adaptation to network supervision and forces us to reconsider network supervision techniques that are mainly based on the detection of malicious or suspicious patterns contained in network packets exchanged by entities that are not potentially supervised by the same service providers. In addition, the vulnerabilities induced by virtualization and resource sharing motivate authorities to make the security requirements imposed on operators even more stringent. This includes the obligation to encrypt all flows exchanged between network functions. The problem of analyzing encrypted traffic has been addressed in several ways in the state of the art. One of the most developed techniques consists in using machine learning and classification algorithms on the encrypted data. This classification can help to determine the types of applications or operating systems that run on the servers. This approach has the advantage of not relying on a change in encryption algorithms or network architecture. However, the attacks that can be effectively detected remain limited. A second category of approaches consists in reviewing the encryption algorithms to reconcile the needs of confidentiality and packet inspection. The idea is to make it possible to perform calculations or analysis of encrypted data without having to use secret keys. Homomorphic encryption proposes mechanisms that make it possible to achieve this objective, but performance remains a bottleneck for a wide adoption of these mechanisms. An alternative approach is to redirect the encrypted flow to software probes that will decrypt the traffic, analyze it, and then re-encrypt it and send it to the recipients. This traffic decryption step is often a source of vulnerability. The objective of this thesis is to propose data collection and analysis mechanisms for 5G networks that meet both the confidentiality requirements and operational needs. As the network can be composed of virtual network functions belonging to different vendors, the thesis proposal will have to take into account the heterogeneity of the encryption algorithms implemented by the different VNF vendors. The proposed solution will have to guarantee the reconciliation of confidentiality and performance properties. The mechanisms that require traffic interception cause a performance degradation that is incompatible with the high performance promises of 5G networks. Mechanisms that process encrypted data have the same drawbacks.