Cybersécurité

HAL Id: hal-02414281

https://hal.inria.fr/hal-02414281

Submitted on 16 Dec 2019

HAL is a multi-disciplinary open access archive for the deposit and dissemination of sci- entific research documents, whether they are pub- lished or not. The documents may come from teaching and research institutions in France or abroad, or from public or private research centers.

L’archive ouverte pluridisciplinaire HAL, est destinée au dépôt et à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d’enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

Cybersécurité

Steve Kremer, Ludovic Mé, Didier Rémy, Vincent Roca

To cite this version:

Steve Kremer, Ludovic Mé, Didier Rémy, Vincent Roca. Cybersécurité. Inria, pp.18, 2019, Inria white

book. �hal-02414281�

Cybers´ ecurit´ e

D´ efis actuels et axes de recherche ` a l’Inria

Steve Kremer, Ludovic M´ e, Didier R´ emy, et Vincent Roca (R´ esum´ e de la version anglaise, mai 2019)

Inria/illustration Clod c

Pr´ eambule

Ce document est un r´ esum´ e de la version anglaise du livre blanc d’Inria sur la cybers´ ecurit´ e ¹ , qui a ´ et´ e coordonn´ e par Steve Kremer, Ludovic M´ e, Didier R´ emy et Vincent Roca. Ce document est un r´ esum´ e de la version anglaise du livre blanc d’Inria sur la cybers´ ecurit´ e (1), qui a ´ et´ e coordonn´ e par Steve Kremer, Ludovic M´ e, Didier R´ emy et Vincent Roca. La r´ edaction repose sur la contribution de nombreux scientifiques d’Inria et de ses partenaires. Le livre blanc s’adresse ` a un large public et a ´ et´ e

´

ecrit pour permettre diff´ erents niveaux de lecture. Son premier objectif est de pr´ esenter l’analyse d’Inria sur les d´ efis en cybers´ ecurit´ e en mati` ere de recherche. ` A cette fin, il inclut un aper¸ cu g´ en´ eral des sujets de recherche acad´ emique en cybers´ ecurit´ e et une cartographie des recherches existantes sur la cybers´ ecurit´ e chez Inria. Il comprend aussi des pr´ esentations techniques des diff´ erents domaines de la cybers´ ecurit´ e et une description d´ etaill´ ee du travail effectu´ e au sein des ´ equipes-projets communes entre Inria et ses parte- naires acad´ emiques susceptibles d’int´ eresser des experts en cybers´ ecurit´ e ou toute personne cherchant des informations d´ etaill´ ees sur un sujet particulier. Il se termine par des recommandations g´ en´ erales. Dans ce r´ esum´ e en fran¸ cais, nous nous concentrons sur les parties g´ en´ erales et strat´ egiques au d´ etriment des parties techniques et de la cartographie d´ etaill´ ee des recherches men´ ees.

1. La version compl` ete en anglais est disponible aux adresses suivantes :

— PDF : https://files.inria.fr/dircom/extranet/LB_cybersecurity_WEB.pdf

— EPUB : https://files.inria.fr/dircom/extranet/livre_blanc_cybersecurite.epub

— HTML : https://files.inria.fr/dircom/extranet/livre_blanc_cybersecurite/livre_blanc_cybersecurite.

html

1 Introduction

La transformation num´ erique de notre soci´ et´ e est en train de changer radicalement la mani` ere dont les syst` emes informatiques sont utilis´ es. Une grande partie de la population est connect´ ee en perma- nence ` a Internet, utilisant un nombre important de services. Simultan´ ement, nous sommes expos´ es en permanence ` a des attaques : nos donn´ ees personnelles peuvent ˆ etre vol´ ees, modifi´ ees ou d´ etruites. Nous courons ´ egalement le risque de divulguer par erreur et de fa¸ con irr´ eversible nos donn´ ees personnelles sur Internet. Les entreprises, les ´ etats et leurs infrastructures critiques, qui sont aujourd’hui interconnect´ es, sont ´ egalement vuln´ erables. Les dommages ´ economiques et soci´ etaux des cyberattaques r´ eussies peuvent ˆ

etre consid´ erables. La cybers´ ecurit´ e est ainsi devenue une pr´ eoccupation g´ en´ erale pour tous, citoyens, professionnels et d´ ecideurs.

1.1 Quelques exemples instructifs

Malheureusement, les incidents de cybers´ ecurit´ e sont fr´ equents. Nous d´ ecrivons ici quelques exemples illustratifs, afin de mettre en ´ evidence la grande diversit´ e des attaques.

L’attaque cibl´ ee de TV5 Monde : En 2015 la chaˆıne de t´ el´ evision TV5 Monde a ´ et´ e victime d’un sabotage majeur qui a conduit aux modifications ill´ egitimes des informations pr´ esentes sur son site Web et ses r´ eseaux sociaux, puis ` a l’arrˆ et pendant deux jours de l’infrastructure r´ eseau et donc de la diffusion des programmes. L’Agence Nationale de la S´ ecurit´ e des Syst` emes d’Information (ANSSI) a pu ´ etablir que l’attaque avait ´ et´ e soigneusement planifi´ ee. Quelques mois plus tˆ ot, les attaquants avaient p´ en´ etr´ e une premi` ere fois sur le r´ eseau interne en utilisant un login et son mot de passe vol´ es. Ils ont ainsi pro- gressivement recueilli des informations sur l’infrastructure r´ eseau et les comptes existants, et exploit´ e des services non configur´ es qui d´ ependaient encore de comptes et mots de passe par d´ efaut. Les ´ equipements r´ eseau (routeurs et commutateurs) ont alors ´ et´ e corrompus afin de provoquer une panne et rendre tout red´ emarrage impossible.

Attaque Mirai et r´ eseaux d’´ equipements domestiques zombies : Le virus Mirai a pour sa part permis de transformer des appareils domestiques vuln´ erables (telles que des cam´ eras IP) en ´ equipements zombies contrˆ ol´ es ` a distance ` a l’insu de leur propri´ etaire. Ce r´ eseau

botnet

a plus tard ´ et´ e utilis´ e pour lancer des attaques par d´ eni de service. C’est ce qui s’est pass´ e en octobre 2016 lorsque les serveurs de la soci´ et´ e Dyn ont ´ et´ e pris pour cible et se sont rapidement ´ ecroul´ es sous la charge, conduisant au blocage pendant plusieurs heures d’une partie d’Internet.

Le ran¸ congiciel WannaCry : En 2017, le virus WannaCry s’est tr` es rapidement propag´ e dans le monde entier, infectant plus de 230 000 ordinateurs dans plus de 150 pays en une seule journ´ ee (source Wikip´ edia). Une fois un ordinateur infect´ e, ce virus se r´ eplique sur de nouveaux ordinateurs cibles, puis chiffre les donn´ ees de l’utilisateur avant de demander une ran¸ con en ´ echange de la cl´ e de d´ echiffrement.

Vuln´ erabilit´ es du vote ´ electronique : Plusieurs pays europ´ eens ont organis´ e ces derni` eres ann´ ees des

´

elections politiques au moyen de syst` emes de vote par Internet (par ex. les Fran¸ cais r´ esidant ` a l’´ etranger ont pu voter par Internet pour les ´ elections l´ egislatives de juin 2012). Il a ´ et´ e d´ emontr´ e qu’il ´ etait possible d’´ ecrire des logiciels malveillants pouvant modifier la valeur d’un vote exprim´ e ` a l’insu de l’´ electeur.

Lors des ´ elections l´ egislatives estoniennes de 2011, une attaque similaire a ´ et´ e signal´ ee et une exp´ erience grandeur nature a ´ et´ e conduite sur des sujets parfaitement inform´ es.

R´ e-identification dans la base de donn´ ees anonymis´ ee d’AOL de requˆ etes sur le Web : En 2006, AOL a publi´ e une base de donn´ ees anonymis´ ee contenant plus de 20 millions de requˆ etes de recherche sur le Web. Cependant, malgr´ e l’anonymisation, certains utilisateurs ont ais´ ement pu ˆ etre r´ e-identifi´ es.

L’anonymisation de bases de donn´ ees est une tˆ ache complexe qui comporte des pi` eges et qui exige de trouver un juste ´ equilibre entre utilit´ e et confidentialit´ e.

Les vuln´ erabilit´ es Spectre et Meltdown : Deux vuln´ erabilit´ es mat´ erielles, Spectre et Meltdown,

publi´ ees d´ ebut 2018, exploitent l’optimisation d’ex´ ecution sp´ eculative des processeurs modernes : mˆ eme

si l’ex´ ecution sp´ eculative peut ensuite ˆ etre ´ ecart´ ee si l’hypoth` ese qui en contrˆ ole l’ex´ ecution se r´ ev` ele

finalement fausse, un acc` es m´ emoire laisse une trace dans le cache. L’id´ ee de ces deux attaques est

de forcer un acc` es m´ emoire interdit par ce biais. Ces attaques sont particuli` erement s´ ev` eres car elles

exploitent des m´ ecanismes qui sont au cœur de la conception des processeurs modernes et qui de ce fait ne peuvent pas ˆ etre facilement modifi´ es.

Ampoules connect´ ees et ´ epilepsie : Il a ´ et´ e montr´ e que certaines ampoules connect´ ees ´ etaient vuln´ erables ` a des attaques totalement inattendues, puisque les allumer ` a une fr´ equence bien choisie permet de d´ eclencher des crises ´ epileptiques. Cette attaque particuli` ere exploite une combinaison de plusieurs d´ efauts, notamment une absence d’authentification de l’´ equipement g´ en´ erant les ordres, mais aussi la possibilit´ e de rassembler un grand nombre d’ordres dans une seule commande transmise.

Ces divers exemples illustrent la diversit´ e des attaques possibles : les attaques couvrent tous les domaines, depuis les objets du quotidien jusqu’aux infrastructures ; certaines cherchent ` a affecter des cibles bien identifi´ ees ou, ` a l’inverse, ` a toucher le plus large public possible ; certaines attaques exploitent des techniques ´ el´ ementaires, d’autres ` a l’inverse utilisent des moyens techniques extrˆ emement sophistiqu´ es.

1.2 Qu’est-ce que la cybers´ ecurit´ e ?

Wikip´ edia d´ efinit la cybers´ ecurit´ e comme

la protection des syst` emes informatiques contre le vol et l’endommagement de leur mat´ eriel, logiciels ou informations, ainsi que contre la perturbation ou le d´ etournement des services qu’ils fournissent

. Plus pr´ ecis´ ement, la cybers´ ecurit´ e consiste ` a assurer trois propri´ et´ es de l’information, des services et de l’infrastructure informatique : confidentialit´ e, int´ egrit´ e, et disponibilit´ e. Ainsi, s´ ecuriser un syst` eme d’information signifie empˆ echer une entit´ e non autoris´ ee d’acc´ eder aux donn´ ees informatiques, aux services informatiques ou ` a l’infrastructure informatique, de les modifier ou de les rendre indisponibles. Une autre propri´ et´ e de plus en plus importante est la protection de la vie priv´ ee, qui peut ˆ etre consid´ er´ ee comme la confidentialit´ e du lien entre les personnes et les donn´ ees.

Notez que les termes s´ ecurit´ e et sˆ uret´ e sont parfois mal utilis´ es. Tandis que la sˆ uret´ e fait r´ ef´ erence aux menaces accidentelles, la s´ ecurit´ e fait r´ ef´ erence aux menaces intentionnelles. La s´ ecurit´ e et la sˆ uret´ e demeurent des domaines tr` es diff´ erents et bien identifi´ es qui reposent sur des hypoth` eses diff´ erentes, et les m´ ecanismes de protection contre les menaces accidentelles et intentionnelles sont g´ en´ eralement compl´ ementaires. Dans le livre blanc, nous nous limitons ` a la s´ ecurit´ e.

1.3 Organisation du livre blanc Inria sur la cybers´ ecurit´ e

Le chapitre 1 du livre blanc donne une introduction ` a la cybers´ ecurit´ e : il d´ eveloppe les exemples d’attaque r´ esum´ es ci-dessus et les le¸ cons qu’on peut en tirer. Il dresse en outre un rapide aper¸ cu des domaines de recherche en cybers´ ecurit´ e.

Les chapitres 2 ` a 6 du livre blanc pr´ esentent chacun des sous-domaines de la cybers´ ecurit´ e plus en d´ etails et d´ ecrivent les contributions des ´ equipes Inria. Ces chapitres sont r´ esum´ es ici dans la section 3, mais sans faire r´ ef´ erence aux contributions de l’Inria.

Le chapitre 7 du livre blanc pr´ esente un bref aper¸ cu des activit´ es de cybers´ ecurit´ e ` a l’Inria et de leur positionnement dans le paysage acad´ emique fran¸ cais. Nous reprenons assez largement ces ´ el´ ements dans ce document, dans la section 4.

En d´ epit des progr` es importants r´ ealis´ es r´ ecemment dans plusieurs domaines de la cybers´ ecurit´ e, d’importantes questions scientifiques restent ouvertes. Le livre blanc se termine donc par une liste de d´ efis o` u l’Inria pourrait apporter des contributions majeures. Ceux-ci sont tous repris dans la section 5, mais d´ ecrits de fa¸ con beaucoup plus concise.

2 Aspects politiques, ´ economiques et soci´ etaux de la cybers´ e- curit´ e

Au del` a des sujets scientifiques qui seront discut´ es dans la prochaine section (§3), la cybers´ ecurit´ e pose aussi des questions d’ordre politique, ´ economique et soci´ etale, dans lesquelles l’Inria s’implique ´ egalement.

En particulier, l’Inria m` ene des actions avec d’autres organismes fran¸ cais ou europ´ eens, qui peuvent

apporter des ´ el´ ements factuels lors de l’´ elaboration de r´ eglementations comme le RGPD (§2.1). Les deux

sujets les plus importants sont la protection de la vie priv´ ee et la s´ ecurit´ e des citoyens, des entreprises,

ou des ´ etats. Nous d´ ecrivons plus en d´ etail la tension entre ces deux aspects, un probl` eme qui revient

souvent (§2.2), ainsi que la question de la souverainet´ e (§2.3).

2.1 Actions europ´ eennes en cybers´ ecurit´ e

La strat´ egie de cybers´ ecurit´ e de l’Union europ´ eenne ² a pour objectif d’am´ eliorer la cyber-r´ esilience et la r´ eactivit´ e de l’Europe tout en pr´ eservant pour chaque nation un niveau de souverainet´ e lui permettant de contrˆ oler les principales composantes de sa strat´ egie de d´ efense nationale.

L’Agence europ´ eenne charg´ ee de la s´ ecurit´ e des r´ eseaux et de l’information (ENISA) ³ , cr´ e´ ee en 2004, est un acteur important du paysage europ´ een de la cybers´ ecurit´ e. Une extension significative de ses missions est actuellement ` a l’´ etude, visant ` a en faire l’interface privil´ egi´ ee avec les ´ etats membres et aider

`

a l’application des directives sur la cybers´ ecurit´ e.

Mi-2016, l’Union europ´ eenne a adopt´ e la directive sur la s´ ecurit´ e des r´ eseaux et des syst` emes d’informa- tion (dite directive NIS). Cette directive se concentre ` a la fois sur les fournisseurs de services num´ eriques (DSP) et les op´ erateurs de services essentiels (OES). Ceux-ci sont tenus responsables de la notification des incidents de s´ ecurit´ e, mˆ eme si les services sont g´ er´ es par des soci´ et´ es non europ´ eennes ou si la gestion du syst` eme d’information est sous-trait´ ee ` a des tiers. DSP et OES sont ´ egalement tenus de fournir des informations qui permettent une ´ evaluation approfondie de la s´ ecurit´ e de leurs syst` emes d’information et de leurs politiques de s´ ecurit´ e. Enfin, les ´ Etats membres sont tenus d’identifier les organismes charg´ es de la collecte et du traitement des incidents de s´ ecurit´ e, en plus d’une autorit´ e nationale comp´ etente (par exemple, l’ANSSI en France).

L’Union europ´ eenne contribue ´ egalement ` a promouvoir le d´ eveloppement de produits et de services s´ ecuris´ es d` es la conception dans toute l’Europe. Pour atteindre cet objectif, elle propose de mettre en place un cadre europ´ een de certification capable de d´ elivrer des certifications de s´ ecurit´ e et des lab´ elisations de produits et de services au niveau europ´ een. Il s’agit l` a d’une tˆ ache complexe, car mˆ eme s’il existe un tr` es large ´ eventail de syst` emes de certification de s´ ecurit´ e dans le monde, il n’existe pas de solution unifi´ ee ou combin´ ee.

L’Organisation europ´ eenne pour la cybers´ ecurit´ e (ECSO) ⁴ assure la liaison avec la Commission eu- rop´ eenne pour la d´ efinition d’un cadre europ´ een de certification en mati` ere de s´ ecurit´ e. L’ECSO a publi´ e un ´ etat de l’art des normes industrielles existantes en mati` ere de cybers´ ecurit´ e pour diff´ erents domaines d’activit´ e et travaille actuellement ` a l’´ elaboration d’un sch´ ema g´ en´ erique englobant de nombreux syst` emes de certification existants, ´ evaluant le niveau de confiance fourni par chaque syst` eme et les mettant en correspondance avec un ensemble harmonis´ e de niveaux de s´ ecurit´ e ⁵ .

La Commission europ´ eenne a ´ egalement publi´ e un projet officiel, intitul´ e Commission Recommenda- tion of 13.9.2017 on Coordinated Response to Large Scale Cybersecurity Incidents and Crises ⁶ , qui d´ efinit les objectifs et les modalit´ es de la coop´ eration entre les ´ etats membres et les institutions europ´ eennes pour r´ epondre ` a des incidents ou des crises li´ es ` a la cybers´ ecurit´ e.

L’Union europ´ eenne est aussi ` a l’avant-garde en mati` ere de protection de la vie priv´ ee et des donn´ ees, avec le R` eglement G´ en´ eral sur la Protection des Donn´ ees (RGPD) et le r` eglement ePrivacy qui le compl´ etera (§3.4.1).

2.2 Tension entre s´ ecurit´ e publique et vie priv´ ee

Avec l’augmentation de la menace terroriste, nous avons assist´ e, dans plusieurs pays, au d´ eploiement de syst` emes de surveillance de masse destin´ es ` a aider ` a combattre le terrorisme. En France, il s’agit de la loi relative au renseignement <sup>7</sup> . En particulier, cette loi impose le d´ eploiement de boˆıtes noires au sein des fournisseurs d’acc` es Internet (FAI) fran¸ cais afin de collecter en temps r´ eel les informations de connexion de certaines cibles pr´ ealablement identifi´ ees et d’analyser les informations de connexion des abonn´ es FAI afin d’identifier des suspects potentiels via un processus automatique (dont les d´ etails ne sont pas connus publiquement). La r´ e-identification de l’abonn´ e n´ ecessite une d´ ecision officielle du Premier ministre (ou d’un d´ el´ egu´ e).

Ces lois soulignent la tension entre la s´ ecurit´ e publique et la vie priv´ ee. Elles ont ´ et´ e critiqu´ ees en raison de leur coˆ ut ´ economique et de leur inefficacit´ e potentielle, en particulier face au paradoxe du faux positif. Le risque est que plus de faux positifs ne feront que surcharger les technologies, ce qui entraˆınera encore plus de travail pour les agents du renseignement, qui sont d´ ej` a surcharg´ es.

L’expression

surveillance de masse

a ´ et´ e utilis´ ee pour d´ esigner les pratiques dans lesquelles des gouvernements ou des organisations gouvernementales assurent la surveillance et la collecte de donn´ ees

2. https://ec.europa.eu/digital-single-market/en/cyber-security

3. Initialement d´ enomm´ ee European Network and Information Security Agency, voir https://www.enisa.europa.eu/

4. https://www.ecs-org.eu

5. Les documents produits par le groupe de travail ”WG1” d’ECSO sont disponibles ` a l’adresse suivante : http://www.

ecs-org.eu/working-groups/wg1-standardisation-certification-labelling-and-supply-chain-management

6. http://ec.europa.eu/transparency/regdoc/rep/3/2017/EN/C-2017-6100-F1-EN-MAIN-PART-1.PDF

7. Loi no 2015-912 du 24 juillet 2015 relative au renseignement, Legifrance.

`

a l’´ echelle nationale (voire ` a une ´ echelle plus vaste). Cela s’oppose ` a la surveillance cibl´ ee qui vise un individu particulier. En r´ eaction ` a cette ´ evolution de la surveillance (et en particulier aux r´ ev´ elations d’E. Snowden), l’IETF a consid´ er´ e que la surveillance omnipr´ esente est une attaque dans le RFC 7258 et que les protocoles de l’IETF devraient la limiter. Le chiffrement par d´ efaut fait partie des initiatives de l’IETF pour cela.

2.3 Questions de souverainet´ e

Etant donn´ ´ e que la plupart des infrastructures essentielles sont maintenant contrˆ ol´ ees par des ordi- nateurs, souvent connect´ es ` a Internet, la protection de l’infrastructure exige la protection des syst` emes et des r´ eseaux informatiques. La cybers´ ecurit´ e est donc une question de souverainet´ e pour les ´ Etats et l’UE. Par cons´ equent, les ´ Etats et l’UE doivent ˆ etre en mesure de comprendre les risques et les menaces.

Cela exige les comp´ etences scientifiques les plus ´ elev´ ees et ne peut ˆ etre maintenu ` a long terme qu’en poursuivant des recherches avanc´ ees dans tous les domaines de la cybers´ ecurit´ e. Nous devons non seule- ment disposer des meilleurs experts, mais nous devons aussi les avoir en nombre suffisant pour couvrir les besoins croissants. En outre, nous avons ´ egalement besoin d’experts ` a tous les niveaux pour ˆ etre en mesure de mettre en œuvre correctement les politiques de s´ ecurit´ e.

Les ´ Etats devraient ´ egalement avoir le pouvoir d’agir. Cela exige un contrˆ ole suffisant de l’infrastruc- ture num´ erique et de l’ensemble de la chaˆıne de cybers´ ecurit´ e, car la s´ ecurit´ e de l’ensemble d´ epend de la s´ ecurit´ e du maillon le plus faible. Cela implique le contrˆ ole des logiciels et du mat´ eriel utilis´ es dans les infrastructures critiques, afin qu’ils puissent ˆ etre analys´ es et certifi´ es exempts de bogues et de portes d´ erob´ ees, ainsi que le contrˆ ole du stockage des donn´ ees.

Le mat´ eriel est l’un des maillons faibles, la France et l’Europe n’ayant plus la capacit´ e de concevoir et produire leur propre mat´ eriel. Par cons´ equent, une certaine forme de souverainet´ e a d´ ej` a ´ et´ e abandonn´ ee.

En effet, il est tout ` a fait possible que des dispositifs mat´ eriels soient ´ equip´ es de portes d´ erob´ ees ou de fonctions cach´ ees qui permettent, par exemple, ` a un organisme gouvernemental ou ` a une entreprise d’espionner le trafic Internet ou d’empˆ echer le fonctionnement d’un service particulier.

En fait, la nature num´ erique et donc d´ emat´ erialis´ ee de la cybers´ ecurit´ e rend la souverainet´ e en mati` ere de cybers´ ecurit´ e diff´ erente des autres formes de souverainet´ e, comme la d´ efense. Alors que la seconde est l’apanage des ´ Etats ou des organisations supranationales, la premi` ere peut ˆ etre mise en œuvre ` a plus petite

´

echelle. De nombreuses entit´ es (citoyens, entreprises, associations, etc.) peuvent revendiquer une certaine souverainet´ e sur la s´ ecurit´ e de leurs propres donn´ ees, syst` emes informatiques et r´ eseaux. Une cons´ equence de la num´ erisation est le transfert potentiel de certaines des souverainet´ es ´ etatiques traditionnelles ` a d’autres entit´ es : enregistrement foncier sur une blockchain, frappe de la monnaie avec des monnaies num´ eriques, ou services d’identification des citoyens ⁸ , etc. Ces diff´ erents niveaux de souverainet´ e ne s’excluent pas, mais se compl` etent, laissant la souverainet´ e de chaque type de donn´ ees au niveau le plus appropri´ e. Cette capacit´ e de d´ ecentralisation de la cybers´ ecurit´ e ne devrait pas mettre en danger la souverainet´ e des ´ Etats. Au contraire, c’est une chance qu’il faut exploiter, en laissant une certaine autonomie aux diff´ erentes entit´ es dans certaines limites ´ etablies par des incitations, des r´ eglementations et des lois.

3 Aspects techniques de la cybers´ ecurit´ e

La premi` ere ´ etape de la cybers´ ecurit´ e consiste ` a identifier les menaces et ` a d´ efinir une politique de s´ ecurit´ e. Ces menaces peuvent cibler le mat´ eriel, le r´ eseau, le syst` eme d’exploitation, les applications ou les utilisateurs eux-mˆ emes (§3.1). Des m´ ecanismes de d´ etection et de protection doivent ˆ etre con¸ cus pour se d´ efendre contre ces menaces.

L’un des principaux m´ ecanismes de protection est la cryptographie (§3.2) : les primitives crypto- graphiques peuvent assurer la confidentialit´ e et l’int´ egrit´ e des donn´ ees. Elles doivent faire l’objet d’une analyse continue (on parle de cryptanalyse) pour assurer le plus haut niveau de s´ ecurit´ e. Cependant, les primitives cryptographiques ne suffisent pas ` a garantir la s´ ecurit´ e des communications et des services : cette tˆ ache n´ ecessite l’utilisation de ce qu’on appelle des protocoles cryptographiques, mettant en œuvre des interactions plus riches au-dessus des primitives. Les protocoles cryptographiques sont des syst` emes distribu´ es : s’assurer qu’ils atteignent leurs objectifs, mˆ eme en pr´ esence d’un adversaire actif, n´ ecessite l’utilisation de techniques de v´ erification formelle.

Bien que primitives et protocoles cryptographiques soient des ´ el´ ements fondamentaux de la s´ ecurit´ e, des services de s´ ecurit´ e suppl´ ementaires, tels que l’authentification et le contrˆ ole d’acc` es, sont n´ ecessaires pour appliquer une politique de s´ ecurit´ e (§3.3). Ces services de s´ ecurit´ e, g´ en´ eralement fournis par le

8. Par exemple ”SecureIdentity” https://secureidentity.co.uk/

syst` eme d’exploitation ou les p´ eriph´ eriques r´ eseau, peuvent eux-mˆ emes ˆ etre attaqu´ es et parfois contourn´ es.

Par cons´ equent, les activit´ es sur le syst` eme d’information doivent ˆ etre supervis´ ees afin de d´ etecter toute violation de la politique de s´ ecurit´ e. Enfin, comme les attaques peuvent se propager extrˆ emement ra- pidement, le syst` eme doit pouvoir r´ eagir automatiquement ou au moins se reconfigurer pour ´ eviter de propager les attaques.

Bien que s’appuyant sur les primitives et protocoles cryptographiques, la protection de la vie priv´ ee (§3.4) fait intervenir des propri´ et´ es, des techniques et des m´ ethodologies qui lui sont propres. De plus, l’´ etude de la vie priv´ ee exige souvent de prendre en compte des aspects juridiques, ´ economiques et sociologiques.

Tous ces m´ ecanismes de s´ ecurit´ e doivent ˆ etre soigneusement int´ egr´ es dans les applications critiques (§3.5). Cela englobe les applications traditionnelles critiques du point de vue de la sˆ uret´ e, qui en ´ etant de plus en plus connect´ ees sont aussi de plus en plus vuln´ erables aux attaques intentionnelles, mais aussi les nouvelles infrastructures fonctionnant dans le cloud ou connect´ ees ` a une multitude d’objets (IoT).

3.1 Connaˆıtre, comprendre et mod´ eliser les menaces

La connaissance fine de la mani` ere dont un syst` eme peut ˆ etre attaqu´ e est bien entendu un avantage important lorsqu’on cherche ` a mettre en place des m´ ecanismes de protections. A cet ´ egard, les crypto- logues ont montr´ e la voie : les faiblesses des primitives cryptographiques sont syst´ ematiquement ´ etudi´ ees (crypanalyse) pour prendre une longueur d’avance sur des adversaires ´ eventuels. Cette d´ emarche est le fondement de la confiance que l’on peut avoir dans ces primitives. De mani` ere similaire, l’´ etude des me- naces et des attaques contre les syst` emes d’information permet de concevoir des r´ eponses adapt´ ees et d’augmenter ainsi le niveau de s´ ecurit´ e global de ces syst` emes et le niveau de confiance de leurs utili- sateurs. Les menaces sont nombreuses, les attaques pouvant cibler le mat´ eriel, le r´ eseau, le syst` eme ou les applications (tr` es souvent ` a travers les actions d’un logiciel malveillant), mais aussi les utilisateurs eux-mˆ emes (ing´ enierie sociale, hame¸ connage). L’attaquant peut quant ` a lui ˆ etre interne ou externe ` a l’organisation attaqu´ ee.

Dans cette section, nous pr´ esentons les travaux men´ es pour ´ etudier menaces et attaques : ils s’appuient sur des mod` eles d’attaque vari´ es qui d´ efinissent la connaissance de l’attaquant sur le syst` eme ` a attaquer et les actions qu’il peut entreprendre sur celui-ci.

3.1.1 Attaques contre le mat´ eriel

Les attaques physiques contre le mat´ eriel sont une menace importante, car elles peuvent mettre ` a mal la s´ ecurit´ e d’un m´ ecanisme qui a pourtant ´ et´ e math´ ematiquement prouv´ e sˆ ur, parce qu’elles sortent du mod` ele dans le cadre duquel ce m´ ecanisme ` a ´ et´ e ´ etudi´ e. Il y a deux grandes classes d’attaques mat´ erielles : les attaques par observation se contentent de mesurer des param` etres physiques du mat´ eriel pendant son fonctionnement normal ; les attaques par perturbation cherchent ` a modifier les conditions physiques dans lesquels se d´ eroule normalement l’ex´ ecution afin de provoquer un calcul incorrect et changer ainsi le comportement du programme. Ces deux types d’attaques n´ ecessitent un acc` es physique au dispositif attaqu´ e.

Plus r´ ecemment, le mat´ eriel a ´ egalement ´ et´ e attaqu´ e par logiciel. Cette forme d’attaque est d’autant plus dangereuse qu’elle ne n´ ecessite pas forc´ ement un acc` es physique au dispositif attaqu´ e. Un sc´ enario d’attaque que l’on peut envisager aujourd’hui s´ erieusement est une attaque mat´ erielle d´ eclench´ ee par une application JavaScript int´ egr´ ee dans une page Web.

3.1.2 Attaques contre les services r´ eseau

Les attaques contre les services r´ eseau sont tr` es nombreuses ; nous n’en donnerons que deux exemples, ciblant deux services essentiels d’Internet.

Le routage est un service de base qui permet de d´ eterminer le chemin que peut prendre tout paquet r´ eseau pour atteindre sa destination. Attaquer ce service peut permettre d’isoler une partie d’Internet ou de rediriger tout le trafic d’un pays ` a travers un point de surveillance.

Le service DNS (Domain Name System) permet pour sa part de traduire les noms humainement

compr´ ehensibles (au sein d’une URL, par exemple) en adresses IP. Une attaque contre ce service peut

permettre de rediriger un utilisateur vers un faux site Web, avec comme risque de voler les informations

d’identification et d’authentification qui peuvent ˆ etre demand´ ees ` a l’utilisateur. Une version s´ ecuris´ ee de

ce service, appel´ ee DNSSEC, est disponible, mais son d´ eploiement prend malheureusement du temps.

3.1.3 Le facteur humain

Comme dans beaucoup d’autres domaines, il existe un adage bien connu en s´ ecurit´ e informatique qui veut que la principale menace pesant sur un syst` eme se trouve entre la chaise et le clavier. C’est peut-ˆ etre exag´ er´ e, mais il faut reconnaˆıtre que les utilisateurs sont trop souvent la source de probl` emes de s´ ecurit´ e. Ils peuvent ˆ etre la cible d’attaques comme l’hame¸ connage (phishing ). Ils peuvent aussi contourner les m´ ecanismes de protection disponibles, consciemment, en raison de la complexit´ e (r´ eelle ou per¸ cue) excessive de leur utilisation, ou inconsciemment, en ´ evaluant mal les risques r´ eels en raison d’un niveau d’´ education et de formation insuffisant.

3.1.4 Mod´ elisation des menaces et attaques par arbre d’attaque

Un arbre d’attaque est une repr´ esentation graphique d´ ecrivant les actions que l’attaquant peut en- treprendre pour atteindre son objectif et leur enchaˆınement possible : chaque feuille de l’arbre exprime une ´ etape que l’attaquant doit effectuer pour mener ` a bien son attaque ; chaque nœud non terminal de l’arbre contient une ´ etiquette (et, ou, s´ equence) indiquant comment ses enfants sont connect´ es. Les arbres d’attaque sont largement utilis´ es lors de l’´ etape d’analyse des risques : les menaces ainsi mod´ elis´ ees, une politique de s´ ecurit´ e peut-ˆ etre ´ elabor´ ee pour les parer, puis mise en œuvre en utilisant les m´ ecanismes de s´ ecurit´ e les plus appropri´ es.

3.2 Cryptographie : primitives, sch´ emas, et protocoles

Figure 1 – Gros plan des ro- tors de la machine Enigma - TedColes via Wikipedia, CCO La cryptographie joue un rˆ ole essentiel et constitue la base de la

cybers´ ecurit´ e. Dans cette section, nous couvrons de multiples aspects de la cryptographie, de la conception des primitives aux protocoles plus complexes qui fournissent des garanties de haut niveau pour la s´ ecurit´ e des communications et des transactions.

La cryptographie vise ` a fournir des techniques et des outils pour s´ ecuriser les communications, mˆ eme en pr´ esence d’un adversaire. His- toriquement, le but principal de la cryptographie ´ etait d’assurer la confidentialit´ e des messages par le chiffrement, c’est-` a-dire que l’infor- mation reste cach´ ee pour les personnes non autoris´ ees. Les premi` eres m´ ethodes de chiffrement ´ etaient g´ en´ eralement assez na¨ıves, comme le chiffrement de C´ esar qui consiste ` a d´ ecaler chaque lettre d’une constante (par exemple, remplacer

A

par

D

,

B

par

E

, etc.), ce qui est facilement cass´ e en utilisant une analyse de fr´ equence d’occur- rence des lettres. Une avanc´ ee substantielle s’est produite pendant la Seconde Guerre mondiale avec la machine ` a rotors Enigma utilis´ ee par

l’Allemagne. Casser le chiffrement Enigma a n´ ecessit´ e des efforts et des ressources consid´ erables. Aujour- d’hui, la cryptographie repose sur des bases math´ ematiques solides et vise ` a garantir bien plus que la simple confidentialit´ e : elle fournit des outils pour prot´ eger l’int´ egrit´ e et l’authenticit´ e des messages (en

´

evitant par exemple que le montant d’une transaction financi` ere soit modifi´ ee), assurer la non-r´ epudiation (l’exp´ editeur ne peut nier ˆ etre l’auteur du message) et l’anonymat. De plus, ces outils peuvent ˆ etre com- bin´ es pour atteindre des objectifs plus complexes. A l’inverse, le but de la cryptanalyse est de

casser

les techniques cryptographiques, ce qui est en fait utilis´ e pour v´ erifier leur robustesse.

Cette section comporte trois parties. La premi` ere est consacr´ ee aux primitives cryptographiques, qui sont les composants de base permettant de chiffrer ou de signer un message. Puis nous continuons avec les sch´ emas cryptographiques, qui en s’appuyant g´ en´ eralement sur ces primitives, fournissent des services de s´ ecurit´ e plus ´ elabor´ es, par exemple en garantissant l’int´ egrit´ e et l’authenticit´ e des messages de taille arbitraire. Enfin les protocoles cryptographiques s’appuient sur ces sch´ emas pour atteindre des objectifs de s´ ecurit´ e plus complexes, par exemple pour ´ etablir un canal de communication s´ ecuris´ e.

3.2.1 Les primitives cryptographiques

Les primitives cryptographiques, telles que les fonctions de chiffrement et les signatures num´ eriques, constituent les briques de base. On distingue deux familles : les primitives sym´ etriques et asym´ etriques.

La cryptographie sym´ etrique suppose que les parties en communication partagent une cl´ e secr` ete. Ce type

de cryptographie est plus efficace que la cryptographie asym´ etrique, mais n´ ecessite l’´ echange pr´ eliminaire

de la cl´ e secr` ete. La cryptographie asym´ etrique, ou ` a cl´ e publique, ne n´ ecessite pas cet ´ echange, car

la cl´ e publique (utilis´ ee pour le chiffrement ou pour la v´ erification d’une signature) n’a pas besoin de

rester secr` ete. L’utilisation de ces deux types de primitives est compl´ ementaire. Une approche typique

est d’utiliser la cryptographie asym´ etrique pour ´ echanger une cl´ e priv´ ee utilis´ ee ensuite pour chiffrer (de fa¸ con sym´ etrique) les communications ult´ erieures. Ainsi, les deux types de cryptographie sont requis dans la plupart des mises en œuvre.

Aujourd’hui, nous disposons de primitives sym´ etriques et asym´ etriques matures. N´ eanmoins, il y a encore un besoin de recherche ` a la fois en cryptanalyse et en conception. Le but du cryptanalyste est de trouver les faiblesses et d’´ evaluer la r´ esistance des constructions existantes. D’une part, ce travail permet d’´ evaluer finement la difficult´ e de r´ esoudre les probl` emes sous-jacents suppos´ es difficiles, en tenant compte

`

a la fois de l’´ evolution de la puissance de calcul et de l’am´ elioration des algorithmes. D’autre part, ce travail explore de nouvelles m´ ethodes d’attaque, telles que les attaques reposant sur l’existence d’un ordinateur quantique ou des attaques qui exploitent des canaux auxiliaires. La conception de nouvelles primitives peut ˆ etre rendue n´ ecessaire par des perc´ ees en cryptanalyse (auxquelles nous devons nous attendre) ou par de nouveaux besoins industriels, comme par exemple la cryptographie ` a bas coˆ ut pour des ´ equipements ` a faible consommation d’´ energie.

3.2.2 Les sch´ emas cryptographiques

Alors que les primitives cryptographiques sont les ´ el´ ements de base, les sch´ emas cryptographiques atteignent des propri´ et´ es plus fortes avec des modes d’op´ eration sp´ ecifiques. Certaines applications, telles que l’externalisation du calcul, peuvent n´ ecessiter des fonctionnalit´ es plus avanc´ ees que le chiffrement classique. Par exemple, les sch´ emas de chiffrement homomorphe et fonctionnel permettent de travailler sur des donn´ ees chiffr´ ees et des preuves cryptographiques (

preuves de connaissance

) peuvent ˆ etre utilis´ ees pour obtenir des preuves que le calcul a ´ et´ e effectu´ e correctement. Une tendance r´ ecente apparue avec la complexit´ e croissante des sch´ emas cryptographiques et de leurs preuves de s´ ecurit´ e consiste ` a d´ evelopper des outils permettant de v´ erifier les preuves de s´ ecurit´ e sur machine et atteindre ainsi un niveau de confiance tr` es ´ elev´ e dans la s´ ecurit´ e de certaines constructions.

3.2.3 Les protocoles et services cryptographiques

La s´ ecurit´ e des communications et des transactions est de nos jours assur´ ee par des protocoles cryp- tographiques, tels que TLS. La s´ ecurit´ e des primitives et des sch´ emas cryptographiques sous-jacents n’est cependant pas suffisante pour garantir des objectifs globaux en mati` ere de s´ ecurit´ e, tels que la confiden- tialit´ e, l’authenticit´ e ou l’anonymat. Mˆ eme un examen minutieux de ces protocoles par des experts, ne peut garantir l’absence de vuln´ erabilit´ es : des preuves de s´ ecurit´ e rigoureuses, ´ eventuellement assist´ ees par ordinateur, allant de la sp´ ecification ` a l’impl´ ementation, sont devenues indispensables pour garantir un tr` es haut niveau de confiance.

On peut distinguer trois approches dans ce domaine. La premi` ere utilise des preuves par r´ eduction pour montrer que le fait de casser la s´ ecurit´ e d’un protocole impliquerait de casser les primitives cryptogra- phiques sous-jacentes. Ce sont des preuves math´ ematiques, g´ en´ eralement manuscrites, bien qu’une nou- velle tendance consiste ` a utiliser des assistants de preuve pour les v´ erifier m´ ecaniquement. La deuxi` eme di- rection utilise des outils de v´ erification automatique pour analyser le protocole et trouver des vuln´ erabilit´ es dans la logique du protocole (par exemple des attaques comme celle de l’homme du milieu). Ces outils sont capables d’analyser des protocoles complexes mais id´ ealisent la cryptographie sous-jacente. En- fin, la troisi` eme approche vise ` a produire des impl´ ementations v´ erifi´ ees. Elle permet des impl´ ementations v´ erifi´ ees de bout en bout, mais s’appuie sur des syst` emes de type expressifs pour des langages de program- mation d´ edi´ es et requiert une grande expertise. Un succ` es majeur dans ce domaine est une impl´ ementation compl` etement v´ erifi´ ee de TLS.

3.3 Services et m´ ecanismes de s´ ecurit´ e

Pour utiliser un syst` eme informatique, un utilisateur doit tout d’abord s’identifier (identification) puis prouver qu’il est vraiment celui ou celle qu’il pr´ etend ˆ etre (authentification). Cette identit´ e prouv´ ee est ensuite utilis´ ee par le syst` eme pour accorder ou restreindre les acc` es de cet utilisateur aux ressources du syst` eme (contrˆ ole d’acc` es) ou pour ´ eviter qu’une information sp´ ecifique ne circule vers une destination donn´ ee (contrˆ ole de flux). Par ailleurs, lorsqu’un utilisateur a besoin d’ex´ ecuter un programme sur une machine non fiable, un m´ ecanisme mat´ eriel peut ˆ etre utilis´ e pour garantir l’isolation et l’int´ egrit´ e du logiciel (informatique de confiance).

Tous les services de s´ ecurit´ e mentionn´ es ci-dessus sont pr´ eventifs. Ils peuvent malheureusement ˆ etre

parfois contourn´ es. Il est donc n´ ecessaire de leur adjoindre des m´ ecanismes de supervision permettant

de v´ erifier que les actions r´ ealis´ ees sur le syst` eme n’enfreignent pas sa politique de s´ ecurit´ e (d´ etection

d’intrusion et corr´ elation d’alerte).

Bien sˆ ur, une telle violation de politique peut s’ˆ etre produite ` a l’insu de l’utilisateur qui peut avoir

´

et´ e attaqu´ e par un logiciel malveillant agissant alors sous l’identit´ e usurp´ ee de l’utilisateur. L’analyse et la d´ etection des logiciels malveillants sont donc aussi des services de s´ ecurit´ e ` a offrir. Id´ ealement, si une intrusion ou un logiciel malveillant est d´ etect´ e, le syst` eme doit r´ eagir, au moins pour se reconfigurer afin d’´ eviter la propagation de l’attaque ainsi que des attaques similaires.

Dans le reste de cette section, nous pr´ esentons plus en d´ etail chacun des services de s´ ecurit´ e introduits ci-dessus.

3.3.1 Identification et authentification

L’identification, pour une entit´ e donn´ ee (par exemple un utilisateur, un service, ou un dispositif) est l’acte d’affirmer son identit´ e. L’authentification, pour cette mˆ eme entit´ e, est l’acte de prouver qu’elle est vraiment celle qu’elle pr´ etend ˆ etre. L’authentification est r´ ealis´ ee en pr´ esentant un authentifiant qui appartient g´ en´ eralement ` a l’une des cat´ egories suivantes : une connaissance (comme par exemple un mot de passe ou un code pin), une possession (comme par exemple une carte d’acc` es), une caract´ eristique physique (par exemple une empreinte digitale). Pour augmenter la force de la preuve, ces authentifiants peuvent aussi ˆ etre combin´ es dans ce que l’on appelle l’authentification multifacteurs. Malgr´ e leurs nombreux inconv´ enients, les mots de passe restent le moyen d’authentification le plus courant.

Une autre forme d’identification est li´ ee au lien qu’on peut chercher ` a cr´ eer entre une donn´ ee et son propri´ etaire. Par exemple, le tatouage num´ erique consiste ` a ins´ erer des messages cach´ es (un filigrane) dans les donn´ ees. Une bonne technique de tatouage doit cr´ eer un lien solide entre la donn´ ee et le filigrane, de telle sorte que la d´ eformation ´ eventuelle des donn´ ees (par exemple par traitement d’une image) n’efface pas le filigrane. Cette technique est utilis´ e dans la gestion des droits d’auteur et la protection contre la copie, en se limitant principalement au contenu multim´ edia. Le spectre d’usage est cependant plus large et le tatouage peut aussi ˆ etre utilis´ e pour prot´ eger du code source, des bases de donn´ ees, etc.

3.3.2 Contrˆ ole d’acc` es et contrˆ ole de flux

La mise en œuvre de la s´ ecurit´ e passe par la d´ efinition pr´ ecise des entit´ es qui peuvent avoir acc` es

`

a telle ou telle information. Classiquement, les droits d’acc` es (en lecture ou ´ ecriture, par exemple) ` a l’information sont accord´ es si et seulement si une condition est remplie (par exemple, l’utilisateur qui demande l’acc` es est correctement identifi´ e et authentifi´ e). Une s´ equence de lecture-´ ecriture engendre un flux d’informations qui peut ´ egalement ˆ etre contrˆ ol´ e dans certains cas.

3.3.3 Informatique de confiance

L’informatique de confiance s’appuie sur des garanties fournies par un mat´ eriel s´ ecuris´ e. Un tel mat´ eriel permet d’assurer l’int´ egrit´ e de la plate-forme sur laquelle il est install´ e et par cons´ equence la s´ ecurit´ e du lancement du syst` eme d’exploitation. Il est ´ egalement possible d’instaurer une confiance au niveau des applications en ex´ ecutant du code dans des environnements isol´ es et fiables, appel´ es enclaves. Ces enclaves offrent en outre la possibilit´ e d’attester les r´ esultats produits par un code donn´ e.

3.3.4 D´ etection d’intrusion et corr´ elation d’alerte

Presque tous les syst` emes pr´ esentent des d´ efauts qu’un attaquant peut exploiter pour contourner les m´ ecanismes de s´ ecurit´ e pr´ eventive existants. Par cons´ equent, la supervision du syst` eme est d’une importance cruciale pour identifier toute violation de la politique de s´ ecurit´ e, c’est-` a-dire toute intrusion.

L’approche principale et largement d´ eploy´ ee de nos jours pour d´ etecter ces violations consiste ` a d´ efinir les symptˆ omes des actions malveillantes li´ ees ` a la violation et ` a rechercher l’apparition de ces symptˆ omes dans les donn´ ees dont on dispose (trafic r´ eseau, fichier du syst` eme d’exploitation, journaux applicatifs, etc.). Une alternative ` a cette approche consiste ` a d´ efinir les activit´ es normales du syst` eme supervis´ e pour mesurer ensuite les ´ ecarts potentiels par rapport ` a cette r´ ef´ erence. Dans les deux cas, le d´ efi consiste ` a d´ etecter toutes les intrusions, mais seulement les intrusions. Dans la pratique, cependant, les m´ ecanismes de d´ etection sont loin d’ˆ etre parfaits, ce qui entraˆıne de nombreux faux positifs (fausses alertes) ou faux n´ egatifs (attaques non d´ etect´ ees).

Comme la d´ etection d’intrusion conduit souvent ` a un grand nombre de faux positifs, une ´ etape

suppl´ ementaire, la corr´ elation des alertes, est souvent n´ ecessaire. Elle consiste ` a appliquer au flux d’alertes

une s´ erie de transformations pour am´ eliorer progressivement leur contenu (par exemple sur l’origine de

ces attaques, sur la vuln´ erabilit´ e qui a ´ et´ e exploit´ ee, etc.). Une ´ etape importante consiste ` a v´ erifier que les

cons´ equences de l’attaque d´ enonc´ ee sont bien pr´ esentes dans le syst` eme, sans quoi l’alerte correspondante

est probablement un faux positif.

3.3.5 Analyse et d´ etection des logiciels malveillants

Les logiciels malveillants (virus, vers, ran¸ congiciels, logiciels espions, logiciels publicitaires, chevaux de Troie, enregistreurs de frappe, rootkits, etc.) constituent une menace majeure pour nos syst` emes d’information (syst` emes d’exploitation, applications et donn´ ees), en particulier du cˆ ot´ e client (PC ou smartphones). Ils doivent donc ˆ etre ´ etudi´ es et analys´ es pour en permettre ensuite la d´ etection.

Le but de l’analyse des logiciels malveillants est d’obtenir une compr´ ehension compl` ete d’un code pr´ esum´ e malveillant. Il s’agit d’identifier les cibles (par exemple un utilisateur particulier, ou une machine ex´ ecutant un syst` eme d’exploitation particulier), le but de l’attaque (par exemple fuite d’informations ou chiffrement des donn´ ees), les techniques utilis´ ees pour contourner les m´ ecanismes de s´ ecurit´ e, celles utilis´ ees pour ´ eviter sa propre d´ etection. Avant de conduire cette ´ etude, l’analyste doit en premier lieu contourner les protections anti-analyse, comme les techniques d’obscurcissement du code, mises en place par le cr´ eateur du logiciel malveillant.

La d´ etection des logiciels malveillants s’appuie g´ en´ eralement sur l’analyse de toute l’information re¸ cue par un appareil (une machine, un t´ el´ ephone, un pare-feu, etc.) ou sur l’analyse compl` ete des fichiers de cet appareil. Le moteur de d´ etection compare ces donn´ ees ` a une base de r´ ef´ erence contenant les caract´ eristiques des logiciels malveillants connus. Le d´ efi consiste ` a maintenir cette base ` a jour, les auteurs de logiciels malveillants g´ en´ erant constamment de nouvelles variantes du mˆ eme code malveillant afin d’´ eviter cette d´ etection. Des projets de recherche proposent donc des techniques de d´ etection s’appuyant sur le comportement concret du logiciel malveillant, qui reste souvent identique entre ses diff´ erentes variantes.

3.3.6 R´ eaction aux attaques d´ etect´ ees

Apr` es la phase de d´ etection des intrusions et des logiciels malveillants, l’´ etape suivante consiste ` a r´ epondre (´ eventuellement quasi-automatiquement) aux attaques d´ etect´ ees par des actions appropri´ ees : modification de la politique de s´ ecurit´ e, nouvelles configurations des m´ ecanismes de s´ ecurit´ e existants, mise en œuvre de nouveaux m´ ecanismes de s´ ecurit´ e, d´ eploiement de correctifs, etc. Bien entendu, il est important d’´ eviter que les contre-mesures n’aient elles-mˆ emes des cons´ equences similaires, voire pires, que celles de l’attaque.

3.4 Protection de la vie priv´ ee et des donn´ ees personnelles

La protection de la vie priv´ ee est souvent d´ efinie comme la capacit´ e des individus ` a contrˆ oler leurs donn´ ees personnelles et ` a d´ ecider ce qu’ils veulent r´ ev´ eler, ` a qui et dans quelles conditions. En France, la loi

Informatique et Libert´ es

de 1978 d´ efinit les donn´ ees ` a caract` ere personnel comme des informations pouvant ˆ etre directement ou indirectement li´ ees ` a une personne, par le responsable de traitement, ou par tout tiers, par tout type de moyen. Cette notion et les obligations qui en d´ ecoulent constituent la pierre angulaire de la r´ eglementation fran¸ caise et europ´ eenne.

Le travail sur la notion de vie priv´ ee recouvre plusieurs dimensions : des dimensions l´ egales, techniques, mais aussi ´ economiques, pour comprendre l’´ ecosyst` eme sous-jacent qui d´ etermine souvent les pratiques de collecte, culturelles, car on constate des approches diff´ erentes suivant les racines culturelles des uti- lisateurs, et sociologiques, l’utilisateur final se d´ eclarant souvent concern´ e par la vie priv´ ee tout en se comportant de mani` ere oppos´ ee.

Cette section aborde essentiellement les aspects l´ egaux et techniques, et s’ach` eve avec une analyse des fuites de donn´ ees personnelles dans diff´ erents syst` emes, que ces fuites soient le r´ esultat d’actions d´ elib´ er´ ees des utilisateurs ou inversement aient lieu ` a leur insu.

3.4.1 L´ egislation

Pour tenir compte des ´ evolutions intervenues au cours de la derni` ere d´ ecennie, l’Union europ´ eenne a adopt´ e le R` eglement G´ en´ eral sur la Protection des Donn´ ees (RGPD), en vigueur depuis mai 2018. Le principal changement est l’accent mis sur la responsabilit´ e juridique des responsables de traitements et leurs sous-traitants le cas ´ ech´ eant. Ces acteurs doivent effectuer des ´ etudes d’impact sur la protection des donn´ ees, mettre en œuvre des mesures de protection d` es la conception, et ˆ etre en position de rendre des comptes sur les traitements effectu´ es. Les droits des personnes sont ´ egalement renforc´ es par une meilleure information et un meilleur contrˆ ole sur ses donn´ ees.

Toutefois, le RGPD fournit tr` es peu d’indications sur la mise en œuvre efficace de ces concepts.

Aussi, un travail interdisciplinaire reste n´ ecessaire pour r´ eduire cet ´ ecart entre les instruments juridiques

et techniques, par exemple en d´ efinissant des m´ ethodes rigoureuses d’analyse des risques, de protection

de la vie priv´ ee d` es la conception, ou en proposant des techniques pour renforcer la transparence et le contrˆ ole utilisateur.

3.4.2 Outils pratiques

Passer des principes de haut niveau du RGPD ` a des produits et services respectueux de la vie priv´ ee demande des outils sp´ ecifiques pour faire une ´ evaluation d’impact, aider ` a la protection de la vie priv´ ee d` es la conception, ou anonymiser des bases de donn´ ees. En particulier, l’anonymisation, qui exige un difficile compromis entre respect de la vie priv´ ee et utilit´ e, est une tˆ ache complexe pour laquelle la confiden- tialit´ e diff´ erentielle s’est av´ er´ ee ˆ etre un concept cl´ e pour fournir des garanties prouvables. L’av` enement du stockage dans un cloud personnel est ´ egalement un outil essentiel pour redonner du contrˆ ole aux utilisateurs.

3.4.3 A propos des syst` emes existants

Notre monde connect´ e est ` a l’origine de nombreuses fuites de donn´ ees, et des domaines aujourd’hui hors d’atteinte pourraient sous peu ˆ etre eux-aussi concern´ es. Certaines fuites sont soit d´ elib´ er´ ees soit consenties par l’utilisateur. C’est le cas des r´ eseaux sociaux, pour lesquels un partage important d’informations peut avoir des cons´ equences nombreuses pour la vie priv´ ee de l’utilisateur. Ainsi le profilage rendu possible par ce partage a permis l’´ emergence d’entreprises sp´ ecialis´ ees dans la manipulation des utilisateurs, notamment lors d’´ elections ou de consultations publiques.

La g´ eolocalisation est une information fr´ equemment collect´ ee par de multiples moyens et ` a de multiples occasions, qui a la particularit´ e de permettre beaucoup d’inf´ erences, allant des habitudes de vie jusqu’` a des informations sensibles comme la fr´ equentation d’un lieu de culte. Diff´ erentes parades ont ´ et´ e con¸ cues pour en limiter les risques, parmi lesquelles la notion de g´ eo-indiscernabilit´ e qui s’appuie sur la confidentialit´ e diff´ erentielle.

L’utilisateur peut parfois ˆ etre invit´ e ` a fournir des ´ el´ ements biom´ etriques, comme ses empreintes digi- tales, afin de permettre son identification et authentification par des syst` emes de contrˆ ole d’acc` es ou avec des documents d’identit´ e s´ ecuris´ es. Un soucis est que ces donn´ ees sont ` a la fois hautement discriminantes et stables (non modifiables), ce qui cr´ ee des risques majeurs en mati` ere de s´ ecurit´ e et de protection de la vie priv´ ee.

Mais tr` es souvent les fuites de donn´ ees personnelles surviennent sans le consentement utilisateur. C’est le cas lorsque l’on navigue sur le Web puisque chaque site visit´ e peut d´ eclencher de multiples ´ echanges de donn´ ees ` a l’insu de l’utilisateur et au profit de soci´ et´ es tierces sp´ ecialis´ ees dans le profilage. L’information peut ˆ etre utilis´ ee ` a des fins de publicit´ e cibl´ ee, mais aussi pour discriminer les utilisateurs (par exemple, avec un tarif personnalis´ e). Les protections propos´ ees sont ` a la fois des r´ eglementations mais aussi des m´ ecanismes cˆ ot´ e client, comme les outils de blocage de publicit´ es ou de tra¸ cage dont l’efficacit´ e reste variable. Ce domaine est en constante ´ evolution, autant du cot´ e des outils de tra¸ cage que des outils de protection.

L’av` enement des smartphones et de l’Internet des Objet ont contribu´ e ` a ce que les fuites de donn´ ees atteignent un volume et une pr´ ecision sans pr´ ec´ edent, sans que l’utilisateur en ait toujours conscience.

Les objectifs de la recherche sont ici d’analyser ces syst` emes, de donner une information transparente sur les comportements cach´ es, de mettre en ´ evidence les bonnes et mauvaises pratiques, de proposer des techniques pour am´ eliorer la transparence et le contrˆ ole utilisateur, voire d’encourager certains acteurs ` a changer de pratiques.

Internet, en tant que moteur de notre monde connect´ e, est aussi, intrins` equement, ` a la source de fuites de donn´ ees. Les r´ eseaux d’acc` es sans fil que nous utilisons au quotidien en sont un exemple. Ainsi des centres commerciaux ont mis en place des syst` emes de tra¸ cage afin d’analyser leur fr´ equentation. Ces syst` emes sont bas´ es sur l’analyse des trames Wi-Fi envoy´ ees par un smartphone ` a la recherche d’un point d’acc` es connu. Des recherches sont n´ ecessaires pour analyser ces technologies et proposer des versions pr´ eservant la vie priv´ ee dans la mesure du possible.

3.5 Infrastructures, syst` emes et applications critiques

3.5.1 Les infrastructures critiques

Les infrastructures de communication sont principalement con¸ cues pour offrir un service, souvent avec la facilit´ e d’utilisation et l’efficacit´ e comme objectif principal. Cependant, la s´ ecurit´ e est ´ egalement cruciale, car ces infrastructures peuvent ˆ etre utilis´ ees pour stocker et manipuler des donn´ ees sensibles.

Une perte de disponibilit´ e (ou simplement d’efficacit´ e) ou de l’int´ egrit´ e des donn´ ees peuvent ´ egalement

avoir un fort impact ´ economique. Nous donnons ici trois exemples d’infrastructures critiques : le Cloud, les SDN, et la Blockchain.

Le cloud : les probl` emes de s´ ecurit´ e et de protection de la vie priv´ ee sont exacerb´ es dans le contexte de la distribution de l’information et du Cloud. La s´ ecurit´ e reste un obstacle ` a une adoption plus large des services Cloud par les organisations pour leurs besoins en mati` ere de services critiques. La protection de la vie priv´ ee est quant ` a elle cruciale pour les utilisateurs du Cloud ` a l’` ere de l’IoT, qui collecte toujours plus de donn´ ees personnelles. La s´ ecurisation des hyperviseurs et des syst` emes d’exploitation, ainsi que la v´ erification des propri´ et´ es de s´ ecurit´ e sur ces syst` emes sont des sujets de recherche importants et d’actualit´ e.

Les SDN : la transition vers les

Software Defined Networks

(SDN) et la virtualisation des fonction- nalit´ es est une ´ evolution majeure dans le domaine des r´ eseaux. L’objectif est d’en am´ eliorer la flexibilit´ e tout en r´ eduisant les coˆ uts. Cependant, ces ´ evolutions centralisent le contrˆ ole du r´ eseau, fournissant un point unique de d´ efaillance qui peut ˆ etre cibl´ e par l’attaquant. Les SDN permettent un meilleur couplage entre le r´ eseau et les applications, ce qui facilite consid´ erablement le d´ eveloppement applicatif, mais cr´ ee

´

egalement une nouvelle surface d’attaque.

La blockchain : en proposant un registre partag´ e immuable, les blockchains permettent de nombreuses applications. La s´ ecurit´ e fournie et le niveau de confiance atteint restent cependant ` a analyser finement par les chercheurs sp´ ecialis´ es en cryptographie et en syst` emes distribu´ es. En outre, comme pour tout syst` eme reposant sur Internet, les blockchains peuvent subir des attaques r´ eseau de bas niveau. Enfin, l’anonymat offert peut entrer en conflit avec les exigences de s´ ecurit´ e des organismes publics et l´ egaux.

3.5.2 Les syst` emes critiques

Les syst` emes critiques sont des syst` emes qui exigent un niveau de fiabilit´ e tr` es ´ elev´ e, car toute d´ efaillance pourrait avoir des cons´ equences extrˆ emement n´ efastes, telles que la mise en danger de vies humaines, de graves dommages ` a une infrastructure, ou d’importantes pertes ´ economiques.

Ainsi, la plupart des syst` emes qui sont critiques en mati` ere de sˆ uret´ e le sont en fait ´ egalement sur le plan de la s´ ecurit´ e et doivent r´ esister aux cyberattaques. Ces syst` emes sont souvent

cyber- physiques

(on parle de CPS), des ´ el´ ements informatiques collaborant pour le contrˆ ole et la commande d’entit´ es physiques. Compos´ es de nombreux sous-syst` emes interconnect´ es, fonctionnant avec diff´ erents protocoles de communication ` a diff´ erentes ´ echelles, ils offrent une large surface d’attaque. Certains CPS sont des cibles de pr´ edilection parce qu’une attaque r´ eussie pourrait mener ` a une fermeture d’une in- frastructure critique d’un ´ Etat, avec un impact ´ economique et politique ´ enorme. Par cons´ equent, la cybers´ ecurit´ e est aujourd’hui souvent une question essentielle pour les CPS.

Bien que la cybers´ ecurit´ e des CPS puisse r´ eutiliser les approches, m´ ethodes et techniques tradi- tionnelles de s´ ecurisation des syst` emes et des r´ eseaux, de nouvelles approches doivent ´ egalement ˆ etre d´ evelopp´ ees pour faire face ` a la dynamique de ces syst` emes. Il est int´ eressant de noter que ces nou- velles approches rel` event souvent de la s´ ecurit´ e r´ eactive, o` u la supervision et la r´ eaction ` a des situations anormales sont importantes. L’apprentissage statistique est ici susceptible d’occuper un rˆ ole majeur et introduira de nouveaux probl` emes de s´ ecurit´ e.

L’Internet des objets et les syst` emes industriels sont aujourd’hui les deux syst` emes critiques qui attirent le plus d’attention.

L’Internet des Objets (IoT) : la r´ evolution de l’IoT est en train de changer la fa¸ con dont nous interagissons avec les dispositifs physiques. Cette ´ evolution s’accompagne ´ evidemment d’enjeux pour la s´ ecurit´ e et la protection de la vie priv´ ee. Cependant, l’IoT n’est pas qu’une nouvelle forme de syst` emes distribu´ es, et leurs particularit´ es, comme par exemple les ressources limit´ ees de ces objets, apportent de nouveaux d´ efis, les solutions de s´ ecurit´ e classiques n’´ etant pas toujours applicables. De nombreuses direc- tions de recherche doivent ˆ etre explor´ ees : la mise ` a jour s´ ecuris´ ee des firmware, les syst` emes d’exploitation s´ ecuris´ es, la cryptographie ` a bas coˆ ut et assist´ ee par le mat´ eriel, la s´ ecurit´ e des technologies sans fil, des politiques de s´ ecurit´ e d´ edi´ ees ` a l’IoT, des m´ ethodes de d´ etection d’intrusions adapt´ ees, la programmation s´ ecuris´ ee et les compilateurs pour les applications IoT, ainsi que des protocoles d’authentification d´ edi´ es.

Les syst` emes industriels : l’une des principales difficult´ es avec les syst` emes industriels est qu’ils n’ont

pas fait l’objet d’une r´ eflexion sur la s´ ecurit´ e d` es la conception. Ces syst` emes n’ont g´ en´ eralement pas ´ et´ e

con¸ cus pour ˆ etre connect´ es ` a Internet et les protocoles utilis´ es ne sont pas s´ ecuris´ es. Les pare-feux ` a usage

g´ en´ eral et les dispositifs de d´ etection d’intrusion ne g` erent pas ces protocoles, dont les sp´ ecifications sont rarement publiques. Enfin, les p´ eriph´ eriques sont construits avec des processeurs top lents pour utiliser des protocoles et primitives cryptographiques usuels, et ils reposent sur des m´ ecanismes ad hoc. Les d´ efis sont donc nombreux.

3.5.3 Exemples de domaines critiques

Nous illustrons ici les probl` emes de s´ ecurit´ e au travers de trois cas d’usage.

La m´ edecine : la m´ edecine est consid´ erablement transform´ ee par la r´ evolution num´ erique et est de ce fait de plus en plus expos´ ee aux cyber menaces. L’une de ces menaces est la fuite de donn´ ees m´ edicales sensibles. Comme ces donn´ ees m´ edicales sont ´ egalement cruciales pour la recherche, il faut en permettre l’utilisation tout en prot´ egeant la vie priv´ ee des personnes. Le compromis entre utilit´ e et protection revˆ et ici une importance particuli` ere. Les appareils m´ edicaux, tels que les robots chirurgicaux, sont quant ` a eux de plus en plus connect´ es. De mˆ eme, les implants m´ edicaux offrent des connexions sans fil pour ´ eviter des interventions chirurgicales. Ces connexions augmentent la surface d’attaque de la mˆ eme mani` ere que pour l’IoT et les CPS.

Les v´ ehicules autonomes : les v´ ehicules autonomes sont de v´ eritables syst` emes d’information qui

´

echangent avec leur environnement (autres voitures et dispositifs ext´ erieurs). Le syst` eme ` a bord doit ˆ

etre prot´ eg´ e, tout comme les ´ echanges. Il faut assurer l’int´ egrit´ e, l’authenticit´ e et aussi dans certains cas la confidentialit´ e des ´ echanges. La cryptographie a, ici aussi, un rˆ ole essentiel. Par ailleurs, le syst` eme informatique interne de la voiture contient des parties critiques (li´ ees au pilotage, par exemple) et des parties non critique (li´ ees au divertissement ` a bord, par exemple). Ces parties doivent ˆ etre rigoureusement isol´ ees afin que des attaques ne se propagent pas aux parties les plus critiques.

L’apprentissage statistique : l’apprentissage statistique (

Machine Learning

) est utilis´ e dans de nombreuses applications. Son impact le plus fort reste sˆ urement pour les applications de reconnais- sance d’image. Les techniques d’apprentissage souffrent principalement de deux menaces qu’il s’agit de consid´ erer s´ erieusement. La premi` ere, appel´ ee apprentissage antagoniste (

adversarial learning

), consiste ` a ajouter du bruit soigneusement con¸ cu (` a peine visible ` a l’œil nu) ` a une image afin d’obtenir une mauvaise classification. La deuxi` eme est li´ ee ` a la protection de la vie priv´ ee et consiste ` a extraire d’un syst` eme des informations sur les donn´ ees d’entraˆınement.

4 Les forces Acad´ emiques ` a l’Inria et en France

Nous donnons ici un bref aper¸ cu des activit´ es de cybers´ ecurit´ e ` a l’Inria et de leur positionnement dans le paysage acad´ emique fran¸ cais.

Organisation de la recherche ` a l’Inria : la recherche ` a l’Inria est organis´ ee en petites ´ equipes parta- geant un projet de recherche commun, qui sont souvent des ´ equipes conjointes avec d’autres institutions acad´ emiques telles que le CNRS, des universit´ es, des ´ ecoles d’ing´ enieurs sp´ ecialis´ ees ou d’autres instituts de recherche (INRA, INSERM, etc.). En moyenne, environ la moiti´ e des personnels de recherche des

´

equipes de l’Inria sont employ´ es par des institutions partenaires, ce qui donne ` a l’Inria un effet de levier.

Dans ce document, la recherche ` a l’Inria signifie toujours la recherche dans les ´ equipes Inria incluant les partenaires. La taille moyenne d’une ´ equipe est de 18 personnes (chercheurs, enseignants, jeunes cher- cheurs en th` ese ou en postdoc, et ing´ enieurs de recherche) mais avec une grande variation, allant de 3 ` a 5 personnes pour les plus petites ´ equipes jusqu’` a 45 ` a 50 personnes pour les plus grandes.

Les forces en cybers´ ecurit´ e : la recherche en cybers´ ecurit´ e a ´ et´ e l’une des priorit´ es de l’Inria au cours des quinze derni` eres ann´ ees <sup>9</sup> . La cybers´ ecurit´ e couvre maintenant 7% de l’activit´ e de l’Inria, avec environ 30 ´ equipes travaillant dans ce domaine <sup>10</sup> , dont deux tiers ont la cybers´ ecurit´ e comme th` eme unique ou principal de recherche. Au total, cela repr´ esente l’´ equivalent d’environ 200 postes ` a temps plein, ce qui correspond ` a un quart des forces acad´ emiques fran¸ caises en cybers´ ecurit´ e. Les autres forces acad´ emiques sont principalement les scientifiques du CNRS et les enseignants chercheurs des universit´ es et des ´ ecoles

9. La s´ ecurit´ e a ´ et´ e largement discut´ ee dans le plan strat´ egique de l’Inria pour la p´ eriode 2003-2007.

10. Toutes les ´ equipes de l’Inria travaillant dans le domaine de la cybers´ ecurit´ e sont en annexe de la version anglaise du

livre blanc.

5 10 15 20 25 30 Cryptologie: conception, techniques et protocoles

M´ ethodes formelles et th´ eorie de la s´ ecurit´ e et de la confidentialit´ e Services de s´ ecurit´ e D´ etection d’intrusion et d’anomalie et analyse de logiciels malveillants S´ ecurit´ e mat´ erielle S´ ecurit´ e des syst` emes S´ ecurite des r´ eseaux S´ ecurit´ e et protection de la vie priv´ ee dans les bases de donn´ ee S´ ecurit´ e du logiciel et des applications Aspects humains, soci´ etaux et ´ ethiques

Criminalistique France

Inria

Figure 2 – Principaux th` emes de la cybers´ ecurit´ e en % des forces acad´ emiques fran¸ caises ¹¹

d’ing´ enieurs h´ eberg´ es dans les UMR du CNRS mais en dehors des ´ equipes Inria, les enseignants chercheurs de l’Institut Mines Telecom (IMT), et les scientifiques du CEA. Les forces acad´ emiques fran¸ caises dans le domaine de la cybers´ ecurit´ e ont pratiquement doubl´ e au cours de la derni` ere d´ ecennie. Cette croissance se poursuit, mais ` a un rythme plus mod´ er´ e. Bien qu’il y ait eu de nouvelles embauches, cette forte croissance est surtout due ` a des chercheurs et des membres du corps professoral d’autres domaines de l’informatique qui se sont tourn´ es vers la cybers´ ecurit´ e.

Les domaines de recherche : la Figure 2 d´ ecrit la proportion des activit´ es de recherche entre les principaux domaines de la cybers´ ecurit´ e ` a l’Inria, en rouge, et dans l’ensemble des entit´ es acad´ emiques fran¸ caises, en bleu. La comparaison est instructive. La cryptologie est une force de l’Inria, avec un tiers de ses effectifs. Ceci r´ esulte de la longue implication de l’Inria dans la th´ eorie des nombres, le calcul formel, la cryptanalyse et la th´ eorie des codes. En effet, l’Inria joue un rˆ ole cl´ e au niveau mondial dans la conception de nouvelles primitives et protocoles cryptographiques et dans la cryptanalyse des primitives cryptographiques.

Le deuxi` eme domaine de recherche le plus important ` a l’Inria est celui des m´ ethodes formelles ap- pliqu´ ees ` a la s´ ecurit´ e et ` a la vie priv´ ee, ce qui est dˆ u en grande partie au transfert de comp´ etences issues des m´ ethodes formelles et au fait que l’Inria, et la France en g´ en´ eral, sont tr` es bien positionn´ es dans le domaine des m´ ethodes formelles.

A l’inverse, la s´ ecurit´ e des mat´ eriels et des syst` emes est sous-repr´ esent´ ee ` a l’Inria, mais ce domaine est encore bien couvert ailleurs en France, au CEA, au CNRS et ` a l’IMT. Les recherches en criminalistique, quasiment absentes ` a l’Inria, existent un peu en France ¹² .

R´ epartition g´ eographique : les principaux acteurs fran¸ cais de la cybers´ ecurit´ e en dehors de l’ˆIle-de- France sont en Bretagne (Brest et Rennes) et dans la r´ egion Rhˆ one-Alpes (Lyon et Grenoble). Viennent ensuite Nancy et la Cˆ ote d’Azur (Nice et Sophia Antipolis). Les forces de l’Inria se situent surtout en ˆIle-de-France, Nancy et Rennes. Toutefois, alors que Rennes est un centre important en cybers´ecurit´e, la pr´ esence de l’Inria y reste relativement faible.

Forces non acad´ emiques : la recherche en cybers´ ecurit´ e est parfois aussi men´ ee dans des entreprises priv´ ees, bien qu’elle soit alors souvent plus appliqu´ ee. Des organismes institutionnels, tels que la DGA ¹³ , qui fait partie du minist` ere fran¸cais des arm´ ees, et l’ANSSI ¹⁴ , l’agence fran¸ caise de cybers´ ecurit´ e, qui

11. Source : cartographie des forces acad´ emiques fran¸ caises en cybers´ ecurit´ e faite par le groupe de travail sur la cy- bers´ ecurit´ e de l’alliance Allistene ; voir https://www.allistene.fr/files/2018/03/VF_cartographie_2017-06-13.pdf.

12. Les activit´ es criminalistiques en France sont probablement sous-estim´ ees, car les donn´ ees de la Figure 2 n’incluent pas la recherche en sciences humaines.

13. Direction G´ en´ erale de l’Armement

14. Agence Nationale de la S´ ecurit´ e des Syst` emes d’Information