2.2 Utilisation de matériel sécurisé
2.2.2 Méthodes garantissant une localisation exacte
cer-tification
Dans ce type de méthode [23], le principe est d’utiliser le TPM comme une « ancre de confiance pour valider la position géographique de machines virtuelles ». Une autorité tierce (TP ou Third Party), de confiance, est présente pour :
1. Certifier la bonne position géographique du TPM lors de la mise en place des machines physiques chez le fournisseur et vérifier par des audits réguliers que les TPM sont bien situés à l’endroit de départ et n’ont pas été déplacés.
2. Certifier la position géographique d’une machine virtuelle nouvellement crée.
3. Assister l’utilisateur durant la phase de vérification, en lui garantissant la validité des résultats retournés par le fournisseur.
L’architecture de la méthode est représentée sur la figure 2.2. La méthode est divisée en deux phases, durant ces phases toutes les communications entre
VM2 VM1 VM3 TPM VMn Informations de localisation TP Atteste Demande de localisation Utilisateur1
Figure 2.2 – Représentation de l’architecture
utilisateur, TP et fournisseur sont considérées comme chiffrées. Les phases sont les suivantes :
— Une phase d’initialisation durant laquelle le fournisseur déclare à la TP la position géographique de la nouvelle machine virtuelle en accord avec le TPM. Pour cela des échanges sécurisés ont lieu, permettant à la TP d’attester de la validité de la configuration matérielle de la machine hôte et au fournisseur de déclarer la position géographique et les éléments nécessaires à la vérification de la validité de la configuration matérielle. — Une phase de vérification durant laquelle l’utilisateur interagit avec le
fournisseur et la TP, afin d’obtenir la position géographique de sa ma-chine virtuelle. Des échanges sécurisés entre ces trois entités ont lieu lorsque l’utilisateur génère une requête de localisation. D’abord, la TP identifie de qui provient la requête afin de retrouver les éléments néces-saires à la vérification. Une fois ces informations récupérées depuis le TPM chez le fournisseur, la TP atteste leur validité, et si tout est valide, la position enregistrée lors de l’initialisation est retournée à l’utilisateur. Ensuite, c’est à l’utilisateur de décider si la position géographique lui convient ou pas.
Par l’utilisation de récepteurs GPS
Cette méthode [24] repose sur l’utilisation d’un récepteur GPS « inviolable » au sein du centre de stockage. Le détail du récepteur GPS inviolable n’est pas
TP Demande de localisation + PDP Délègue la vérification Utilisateur Module GPS Centre de Stockage PDP
Figure 2.3 – Représentation de l’architecture
donné, mais on peut supposer que l’implémentation sécurisée est réalisée par un TPM. Le récepteur GPS est manipulé par une tierce personne (TP) et réalise la combinaison d’une preuve de possession de données (PDP) et d’un protocole liant le délai à la distance afin de s’assurer que les données se trouvent dans le centre de stockage.
Une PDP consiste à envoyer une série de défis/réponses au prétendu pos-sesseur des données, ici le fournisseur, qui doit y répondre. Ces challenges consistent en des calculs cryptographiques sur les données, généralement un hash, produisant un « tag ». L’initiateur de la preuve connait la valeur du tag et demande au prétendu possesseur des données de réaliser le calcul afin de comparer le tag avec la valeur connue. Les PDP permettent d’obtenir une garantie probabiliste de la possession des données [25].
Le protocole liant le délai à la distance permet ici de savoir, en fonction du temps écoulé entre une requête et sa réponse, si le serveur qui répond à la requête est bien situé au sein du centre de stockage dans lequel se trouve le récepteur GPS ou bien se trouve ailleurs. De plus, il est à noter que le récepteur se trouvant dans le centre de données, il peut être directement connecté au réseau local dont la topologie, la vitesse et l’occupation des liens est connue. Les conditions sont donc optimales pour estimer le temps maximum entre
une requête et sa réponse. L’architecture de la solution est représentée sur la figure 2.3.
Une fois que le récepteur GPS est mis en place et que le temps maximum autorisé au sein du réseau est établi par la TP, la méthode est divisée en deux phases :
— Une phase d’initialisation, durant laquelle les fichiers sont séparés en blocs et le tag correspondant à chaque bloc est calculé par l’utilisateur. Le tout est envoyé au fournisseur par des moyens classiques, c’est-à-dire par le biais de l’interface mise à disposition par le fournisseur pour l’utilisateur.
— Une phase de vérification, initiée par l’utilisateur mais qui délègue sa réalisation à la TP. La TP envoie une requête de vérification de n blocs au récepteur GPS, qui choisit aléatoirement quels n blocs vérifier. En de-mandant chaque bloc et son tag au fournisseur le récepteur GPS mesure le temps avant réception du bloc et du tag. La liste des temps, les blocs et les tags correspondants ainsi que la position du récepteur GPS sont ensuite envoyés à la TP, de manière sécurisée. La TP vérifie la validité du temps maximum dans la liste par rapport à celui établi au départ. Après cela, les tags des blocs sont calculés et comparées à ceux reçus. Si ces deux données sont valides, la position renvoyée est validée, sinon elle ne l’est pas.