C&ESAR 2022

Introduction par le Directeur général pour l’Armement (DGA)

La cybersécurité est au coeur de nos vies numériques. La coopération est clef dans la cybersécurité, et fait partie du point n°4 de la revue stratégique présentée par le président de la république.

Les attaques cyber sont au coeur des conflits de haute intensité qui secouent l’Ukraine. Exemple avec le déni de service qui a touché le réseau KSat utilisé par les forces de sécurité en Ukraine. L’IA et la lutte informatique d’influence ont aussi ouvert le bal de l’invasion Ukrainienne avec un piratage d’une chaine de télévision et la diffusion d’un deep-fake de mauvaise qualité invitant les Ukrainiens à déposer les armes.

Les industriels de défense sont des cibles de choix dans un environnement géopolitique à forte tension. Espionnage industriel, sabotage, piégeage, rançonnage, sont autant de menaces qui pèsent sur un grand nombre d’industriels français.

Eurosmart

Eurosmart est un consortium autour des technologies de gestion de l’identité et de la sécurité fondée sur la base des technologies de sécurisation de transaction bancaires, de la normalisation et de l’évaluation de la sécurité sur la base des critères communs. Ce consortium oeuvre aussi au niveau réglementation en partenariat avec la comission européenne.

Pièces d’identités numériques sécurisés, passeport biométrique, permis de conduire européen sont quelques exemples d’applications des travaux d’Eurosmart. Mettre en oeuvre une identité numérique européenne inter-opérable entre les états fut le défi de eIDAS 1. la version 2 d’eIDAS a pour but d’ouvrir au marché privé l’identification des personnes, l’état devenant un tiers de confiance pour identifier les citoyens européens. Le problème c’est qu’il faut un identifiant unique au niveau Européen, car il reste énormément de collisions et d’homonymes à l’échelle européen même en se basant sur nom, prénom, date de naissance. L’un des projets d’Eurosmart est de mettre en oeuvre un wallet open-source pour gérer un ensemble de documents numériques de confiance trans-frontalier.

La définition de wallet fluctue d’une industrie à l’autre, et est très à la mode. Le wallet stocke l’identité du porteur, assure le contrôle exclusif des données à son porteur, et permet l’identification électronique et la signature à haut niveau de confiance, et donc avec la même valeur légale qu’une signature. Ce wallet doit être utilisable en mode connecté et déconnecté. Il va donc agréger un grand nombre de données différentes: n° de sécu, attestation, identifiant de bibliothèque. Pour réussir un tel projet il faut donc rendre obligatoire la mise a disposition du wallet pour tous les citoyens. Il faut aussi obliger légalement les acteurs privés a accepter le wallet.

FHE : end to end encryption for everyone

Les technologies permettant de préserver cryptographiquement la confidentialité des données se basent sur des primitives de chiffrement homomorphe. L’idée c’est que les données sensibles sont protégés par des mécanismes cryptographiques empêchant l’accès direct a ces données. Avec l’inférence homomorphe, la donnée est chiffrée avant d’être analysée par l’IA, ce qui préserve la confidentialité tout en permettant de déporter l’analyse dans un cloud qui n’est pas connu de l’utilisateur.

Le premier chiffrement homomorphe fonctionnel a été mis au point en 2009. Les travaux de Gentry a donné lieu a deux familles de chiffrement homomorphe. l’une a base de bootstraping, et l’autre qui cherche à éviter le bootstraping.

Towards Security in a Dynamic Collaborative Operational Environment

La gestion des identités et l’identification cryptographiquement sûre sont la base de la sécurité des échanges. Dans le modèle centralisé standard, on utilise des autorités de certification qui délivrent des certificats pour identifier et attester de l’identité. Ce modèle pose de nombreux problèmes par exemple en cas de compromission d’une CA. Se pose aussi toute la problématique de gestion des certificats et de leur re-émission. La communauté académique est bien plus en avance que l’industrie dans le modèle distribué. Pour obtenir un système de gestion d’identité décentralisé et distribué il faut donc pouvoir attester de l’identité d’une personne ou d’un service et stocker ça dans un registre distribué. Un exemple de registre distribué c’est la blockchain. Exemple avec Hyperledger indy qui fourni un système distribué de gestion d’identité auto-souveraine.

Towards Security in a Dynamic Collaborative Operational Environment

L’orateur présente les applications possibles du chiffrement basé attribut avec des mécanismes de contrôle d’accès (ABE – attribute based encryption) à un système de combat collaboratif.

Resilience via Blackbox Self-Piloting Plants

Zero Trust – Should you Trust it?

Le Zero Trust est un modèle initié par Google suite à l’attaque Aurora sous le nom de Beyond Corp. Microsoft lui emboite le pas avec le Zero Trust maturity model. Le NIST l’a en suite standardisé et cite en référence les travaux de Google et Microsoft sur le sujet. Le zero trust consiste à ne pas faire confiance à son réseau interne et systématise le contrôle d’accès et part du principe que la sécurité périmétrique ne fonctionne pas. Chaque élément du SI verra donc ses permissions d’accès à une ressource systématiquement contrôlé à chaque accès.
Dans l’approche Beyond Corp, le LAN n’est qu’un médium d’accès comme les autres et ne permet pas d’accéder à des ressources supplémentaires. L’infrastructure est inventoriée et ne peut s’interconnecter avec le reste du SI qu’une fois identifiée et enrôlée dans le SI. Impossible de se retrouver de ce fait avec du shadow it.
Dans ce modèle on dispose d’un service de contrôle d’accès global , l’accès control engine, qui s’assure que l’utilisateur à les droits d’accès et que son comportement n’est pas anormal. Pour chaque protocole autre que web il faut un agent ou un moyen technique de prise en compte du contrôle d’accès.

Le réseau n’étant pas de confiance, il va donc falloir mettre en oeuvre un moyen cryptographique de sécurisation des échanges: vpn, ssl, ou autre. Pour éviter les problèmes de rejeu, la confiance n’est pas accordée pour un laps de temps, mais par action unitaire sur le SI. Cette granularité d’action et son association à un ensemple de points de contrôle est LE défi du Zero Trust. Le ZT implique une ré-evaluation dynamique des politiques de sécurité, et romp avec la sécurité monolitique historique. On peut ainsi couper une partie du SI si la confiance en cette portion est insuffisante.

Il n’y a pas de standard ni de recette miracle pour mettre en oeuvre du Zero Trust. C’est la mise en oeuvre de l’ensemble des principes de la sécurité et de la défense en profondeur. La bonne gestion des groupes et l’application des droits de façon dynamique font la base du zero-trust, et nécessite une bonne maitrise de l’architecture du SI et des enjeux métier de chaque fonction. Le BYOD n’est pas compatible avec le Zero Trust.

C4PTION : why Characterise the Authors of code PorTIONs?

Le use-case de c4ption c’est l’attaque solarwinds avec la compromission de la solution Orion ou une backdoor à été injectée dans le code source de l’application. Il y a peu de solution pour identifier les contributions des utilisateurs au sein d’un code source. Du coup impossible de savoir ce qui a pu être modifié par un compte de dev compromis. En se basant sur les métadonnées des commits et en utilisant une IA qui profile les commits des dev pour analyser leur style syntaxique et identifier d’éventuelles déviation dans son style.

L’IA siv4 fonctionne avec un système multi-agent qui sont générés par un algorithme génétique. Les agents travaillent sur un ensemble d’observables. La solution c4ption utilise six siv4 pour contrôler les commits et identifier les injections de code malveillant dans les commits.

Federated Learning as Enabler for Collaborative Security between not Fully-Trusting Distributed Parties

Lorsqu’un attaquant attaque deux systèmes d’information supervisé par eux SOCs distincts, comment collaborer de façon sûre sans tomber dans des problèmes législatifs complexes? Comment donc faire de la datascience par fédération sans partager ses données ?
L’apprentissage fédéré consiste à déporter l’apprentissage au plus près des données et a remonter le modèle sur un serveur central qui redistribue le modèle sans transférer des données spécifiques des SOC.

PALANTIR: Zero-Trust Architecture for Managed Security Service Provider

Les fournisseurs de sécurité managés (MSSP) sont une cible de choix pour les cybercriminels comme nous avons pu le constater dans l’incident qui toucha Kaseya. L’orateur s’intéresse donc a mettre au point une approche zerotrust pour les MSSP. L’approche proposée repose sur un TPM avec un mécanisme classique de mesure de changement avec de l’attestation à distance (remote attestation).
Les orateurs proposent un mécanisme de remote attestation qui descend au niveau du conteneur pour y effectuer des vérifications de sécurité.
En cas de déviation dans les contrôles de sécurité, on peut rebooter le conteneur, ou en lancer un nouveau pour remplacer celui corrompus.

Decentralized Public Key Infrastructure for Autonomous Embedded Systems

Comment générer une PKI autonome décentralisée sur une flotte d’IoT déconnectée d’internet, tout en gérant l’arrivée et la sortie de nouveaux agents dans le système. Première propriété de sécurité à assurer: la sécurité des communications. Tout le fonctionnement du système ne repose pas sur un enrôlement préalable, mais sur la base d’un comportement. Pour répondre a cette problématique, l’orateur est parti sur une PKI décentralisée multi-agents. Toute la sécurité du modèle repose sur le fait que les agents CA produisent du certificat.

Setting Hardware Root-of-Trust from Edge to Cloud, and How to Use it

La confiance ce n’est pas la sécurité. La confiance nécessite la protection des secrets. La racine de confiance c’est la clef racine de la PKI, c’est l’élément de base qu’on cherche à protéger. L’attestation permet de vérifier le bon fonctionnement d’un device. Les clefs privés du fabricant sont présentes à la fabrication et les clefs du propriétaires y sont ajouté après lors de l’enrôlement du device. Un device, c’est un pc avec un ensemble de composants. Mais en fait chaque composant du PC autour du bus DMA est lui aussi un ordinateur avec un firmware. L’open compute project propose de rajouter un composant d’attestation à côté du TPM qui vient contrôler l’intégrité de la plateforme (du pc). Pour mettre en place une racine de confiance dans un environnement HPC, l’orateur à choisi de s’appuyer sur les BMC et de ne pas ajouter de matériel spécifique. Ce composant embarque une trust zone ARM dans laquelle on place un système durci et un openBMC.

France Identity: an Architecture at the Service of Better Control of Personal Data

La nouvelle carte d’identité française fait office de passeport, et elle peut héberger des applications, dont une d’identité numérique. La partie identité numérique est à la main de l’usager. Elle fonctione avec et sans contact et embarque des composants certifiés EAL5+. Cette identité numérique est faite pour fonctionner avec la plateforme FranceConnect, fournisseur d’identité de l’état. Seul le numéro de titre est connu, vu que l’identité est déjà garantie par le système, il n’est plus nécessaire que l’identité de l’utilisateur soit connue du tiers qui demande l’authentification. La carte est faite pour fonctionner conjointement avec un terminal mobile pour ne pas nécessiter un lecteur de carte a puce. L’enjeux est de sécuriser le clavier du code pin pour éviter son interception, et sécuriser l’interconnection avec le backend. L’application FranceIdentité permet d’initialiser un compte et de disposer d’un justificatif d’identité format PDF signé à la durée bornée dans le temps et pour un destinataire désigné. L’autre fonctionnalité consiste à permettre l’authentification via FranceConnect.