Etude de mécanismes de restauration autonomes pour les systèmes embarqués

Study of autonomous recovery mechanisms for embedded systems

• Auteur / Autrice : Zoé Lagache
• Direction : Oum-El-Kheir Aktouf
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le 18/09/2023
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale Mathématiques, sciences et technologies de l'information, informatique (Grenoble ; 1995-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire de conception et d'intégration des systèmes

Mots clés

Mots clés libres

Cybersécurité

Système Embarqué

Restauration

Cybersecurity

Embedded System

Recovery

Résumé

Le déploiement à grande échelle d'objets communicants dans tous les domaines, y compris les plus critiques, est accompagné de risques avérés en matière de cybersécurité. Cela d'améliorer la résilience des objets connectés en anticipant les futures menaces, en améliorant leur résistance aux attaques et en garantissant leur réparation après une attaque. Ces fonctions sont considérées par le NIST comme prioritaires pour obtenir un système sécurisé. Si les mécanismes de protection ou de détection de menaces sont actuellement bien couverts, la réparation après attaque est encore peu présente dans la littérature scientifique. L'objectif de cette thèse est d'identifier des solutions permettant de restaurer les fonctions ou tâches critiques d'un dispositif embarqué après la détection d'un événement non désiré. De nombreux travaux de recherche se sont focalisés sur la définition de solutions de restauration dans le domaine de la sûreté, l'application de ces techniques au domaine de la sécurité est plus récente, et encore peu de travaux adressent l'applicabilité de ces méthodes à ce domaine. Si les principes de restauration peuvent être identiques dans les domaines de la sûreté et de la sécurité, dans le cas d'action malveillante, il est en plus nécessaire de rendre le système de restauration robuste contre des tentatives de corruption par l'attaquant. En effet, celui-ci peut faire évoluer son attaque afin de leurrer le système de restauration ou bien même corrompre la restauration elle-même. Une des hypothèses de départ pris dans cette thèse est que le système possède déjà un ou plusieurs modules de détection d'événements anormaux. À partir de cet état anormal, la solution doit permettre la restauration du logiciel après avoir vérifié l'intégrité du bloc logiciel défaillant grâce à une sauvegarde du contexte à intervalles réguliers. Dans le cadre de cette thèse, l'étude portera uniquement sur les processeurs intégrant un OS de type Linux embarqué. Cette thèse doit permettre de lever un certain nombre de verrous concernant l'applicabilité de la restauration des systèmes dans le domaine sécuritaire : Il est nécessaire en premier lieu d'apporter des garanties quant à la confiance que l'on peut avoir dans le système de restauration. On s'intéressera ainsi à la sécurisation intrinsèque des mécanismes de restauration : - La sauvegarde de contexte et sa restauration sont les fonctions les plus critiques du système et ne doivent pas être la cible de l'attaque ou être utilisée pour mener une attaque. La connaissance des mécanismes ne doit pas permettre à un attaquant de modifier le comportement de son système afin de contourner la protection. - L'impact des mécanismes de sécurité d'isolation matérielle sur les solutions développées devra être considéré. Des méthodes de validation pourront aussi être mises en place dès la conception : - Des outils de type FMEA permettent d'automatiser la détection de fautes dans le flux de contrôle, d'identifier les points d'intérêt et de préparer la phase de validation de la solution. Des modèles et outils de fautes existent également dans le contexte de la sécurité et pourront être utilisés dans le cadre de notre analyse. - Les stratégies fail-safe et fail-secure décrivent le comportement d'un système en cas de panne. En fonction du ou des scénarios d'usage, il sera nécessaire d'assurer que les fonctions les plus critiques ne soient pas impactées par la solution mise en place. Pour faciliter l'acceptation de ces méthodes, leur impact au niveau système doit être minimal : - Passage à l'échelle : dans un premier temps, on étudiera des systèmes autonomes puis on étudiera l'applicabilité de l'approche dans des systèmes distribués. - Optimisation de la solution : une telle solution n'est viable que si elle possède un overhead en temps et mémoire et un coût faibles. Les tests de performances sur cible réelle ou émulée devront permettre de vérifier les optimisations réalisées.

The large-scale deployment of communicating objects in all areas, including the most critical, is accompanied by proven cybersecurity risks. This means improving the resilience of connected objects by anticipating future threats, improving their resistance to attack and guaranteeing their repair after an attack. These functions are considered by NIST as priorities for achieving a secure system. While protection and threat detection mechanisms are currently well covered, post-attack repair is still poorly represented in the scientific literature. The aim of this thesis is to identify solutions for restoring the critical functions or tasks of an embedded device after the detection of an unwanted event. While many research studies have focused on the definition of restoration solutions in the safety domain, the application of these techniques to the security domain is more recent, and there is still little work addressing the applicability of these methods to this domain. While restoration principles may be identical in the safety and security domains, in the case of malicious action, it is also necessary to make the restoration system robust against corruption attempts by the attacker. Indeed, the attacker can evolve his attack in order to lure the restoration system or even corrupt the restoration itself. One of the assumptions made in this thesis is that the system already possesses one or more modules for detecting abnormal events. Based on this abnormal state, the solution must enable the software to be restored after verifying the integrity of the failed software block by saving the context at regular intervals. In the context of this thesis, the study will focus solely on processors integrating an embedded Linux-type OS. The aim of this thesis is to remove a number of obstacles to the applicability of system restoration in the security field: First of all, it is necessary to guarantee the trust that can be placed in the restoration system. The focus is on the intrinsic security of restoration mechanisms: - Context saving and restoration are the most critical functions of the system, and must not be the target of an attack or be used to carry out an attack. Knowledge of these mechanisms must not enable an attacker to modify the system's behavior in order to bypass protection. - The impact of hardware isolation security mechanisms on the solutions developed should be considered. Validation methods can also be implemented at the design stage: - FMEA-type tools can be used to automate the detection of faults in the control flow, identify points of interest and prepare the solution's validation phase. Fault models and tools also exist in the security context and can be used in our analysis. - Fail-safe and fail-secure strategies describe the behavior of a system in the event of failure. Depending on the usage scenario(s), it will be necessary to ensure that the most critical functions are not impacted by the solution implemented. To facilitate acceptance of these methods, their impact at system level must be minimal: - Scalability: initially, we will study stand-alone systems, and then investigate the applicability of the approach to distributed systems. - Optimization of the solution: such a solution is only viable if it has a low overhead in terms of time, memory and cost. Performance tests on real or emulated targets should enable us to verify the optimizations made. Translated with www.DeepL.com/Translator (free version)