Sécurité de l'exécution de workloads distribués et portables sur des appareils distants et contraints situés au far edge

Secure execution of distributed and portable workloads on remote and constrained devices located at the far edge

• Auteur / Autrice : Quentin Michaud
• Direction : Joaquin Garcia-Alfaro
• Type : Projet de thèse
• Discipline(s) : Informatique, données, IA
• Date : Inscription en doctorat le 01/09/2023
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Laboratoire : Télécom SudParis (Evry ; 2012-....)

Mots clés

Mots clés libres

Sécurité

Logiciel

Conteneur

Far edge

Exécution

Workload

Security

Software

Container

Far edge

Execution

Workload

Résumé

L'objectif de la thèse est de proposer des solutions d'amélioration de la sécurité des technologies de conteneurisation proposant une isolation basée sur le système d'exploitation. Ces solutions pourront également se baser sur une isolation supplémentaire via une forme quelconque de virtualisation. Ces solutions devront porter une attention particulière sur leur adaptabilité au monde du far edge, particulièrement sur la légèreté en termes de stockage et de calcul. La thèse explorera aussi les possibilités de sécuriser l'environnement sur lequel vont tourner les workloads. Il s'agit notamment du système d'exploitation, principalement basé sur le noyau Linux de par la dépendance des conteneurs Linux à ce dernier, mais d'autres systèmes d'exploitation peuvent être envisagés. Il s'agit également des technologies interagissant avec ces systèmes d'exploitation, qui ne sont pas directement liées au fonctionnement de l'isolation des conteneurs mais qui servent à apporter des garanties supplémentaires de sécurité, comme eBPF. Les recherches sur ce domaine se porteront sur l'étude et la création de nouveaux mécanismes de sécurité, sur l'amélioration de ceux existants et sur leur intégration dans l'écosystème des conteneurs.. Enfin, la confidentialité des données ne doit pas être négligée dans cette thèse étant donné que l'isolation proposée par les technologies de conteneurisation ne permettent pas de garantir la sécurité des données traitées, notamment du point de vue de la machine hôte. Cela est essentiel pour des applications traitant des données sensibles, comme par exemple pour de l'entraînement d'intelligences artificielles de manière décentralisée. La thèse explorera donc des technologies permettant de garantir la sécurité et la confidentialité des données traitées par plusieurs acteurs, tels que le confidential computing et les Trusted Execution Environments (TEEs), l'objectif étant l'allègement de ces technologies afin de les adapter au far edge, sans pour autant sacrifier la sécurité qu'elles garantissent, par exemple en améliorant le support des TEEs sur diverses architectures, comme ARM ou le projet RISC-V Keystone.

The aim of this thesis is to propose solutions for improving the security of containerization technologies that offer isolation based on the operating system. These solutions may also be based on additional isolation via some form of virtualization. These solutions will need to pay particular attention to their adaptability to the far edge world, particularly in terms of lightweight storage and computation. The thesis will also explore the possibilities of securing the environment on which the workloads will run. In particular, this involves the operating system, mainly based on the Linux kernel due to the dependence of Linux containers on it, but other operating systems may also be considered. It also involves technologies that interact with these operating systems, which are not directly linked to the operation of container isolation but which are used to provide additional security guarantees, such as eBPF. Research in this area will focus on studying and creating new security mechanisms, improving existing ones and integrating them into the container ecosystem. Finally, data confidentiality must not be neglected in this thesis, given that the isolation offered by containerization technologies does not guarantee the security of the data processed, particularly from the point of view of the host machine. This is essential for applications processing sensitive data, such as decentralized artificial intelligence training. The thesis will therefore explore technologies that make it possible to guarantee the security and confidentiality of data processed by several players, such as confidential computing and Trusted Execution Environments (TEEs). The aim is to make these technologies lighter in order to adapt them to the far edge, without sacrificing the security that they guarantee, for example by improving support for TEEs on various architectures, such as ARM or the RISC-V Keystone project.