RENNES : Près de Rennes, SUSHI, une nouvelle équipe projet Inria en cybersécurité

Frédéric Tronel, Alessandro Palumbo et Lionel Hemmerlé, membres de l'équipe SUSHI sur le stand Inrua lors de l'European Cyber Week 2024 à Rennes PHOTO/Inria / Camille Sicot

Une nouvelle équipe-projet Inria en cybersécurité, SUSHI, a été lancée à Rennes pour explorer les défis émergents à l'interface complexe entre logiciel et matériel.

Depuis 2000, les critères communs (norme ISO 15408) servent de référence mondiale pour évaluer la sécurité des systèmes informatiques de manière impartiale. Ils permettent aux industriels de certifier leurs produits comme offrant un certain niveau de sécurité, souvent requis dans des domaines sensibles comme la défense.

Ces évaluations, coûteuses et complexes, sont réalisées par des laboratoires indépendants agréés par des agences nationales, telles que l'ANSSI (France), la NSA et le NIST (États-Unis). Pour répondre à ces exigences, les laboratoires doivent s'appuyer sur des outils performants permettant d’identifier les vulnérabilités, un enjeu stratégique tant pour les États que pour les entreprises.

C'est dans ce cadre que l’équipe-projet SUSHI, récemment créée sur le campus de Rennes, s’impose comme un acteur clé. Associant CentraleSupélec, le CNRS, l'ENS-Rennes et Inria, cette équipe explore les interactions entre logiciel et matériel pour renforcer la sécurité informatique.

Un rôle central dans le projet SecurEval

SUSHI participe activement à SecurEval, un projet coordonné par le CEA dans le cadre du Programme et équipement prioritaire de recherche (PEPR) en cybersécurité, lancé par le plan d'investissement France 2030.

L’une des contributions majeures de SUSHI concerne l’analyse de code binaire, c’est-à-dire des logiciels compilés pour lesquels le code source n’est pas accessible. Bien que rarement utilisée dans le cadre des critères communs (où l’éditeur fournit généralement son code source), cette approche est essentielle pour des certifications comme la Certification de sécurité de premier niveau (CSPN). Cette dernière, propre à la France mais reconnue mutuellement avec l’Allemagne, évalue les produits finis de manière plus légère et économique, souvent en mode "boîte noire".

Pour cette analyse, le CEA développe un outil dédié, Binsec, que SUSHI contribue à améliorer. Une collaboration avec Dartmouth College est également envisagée pour renforcer cet axe.

Méthodes formelles et sécurité matérielle

Le second axe de recherche porte sur les méthodes formelles, qui permettent de prouver la fiabilité des mécanismes de sécurité directement au niveau matériel. Ces travaux, initiés dans le cadre d’un contrat entre Inria et l’ANSSI, seront approfondis dans le cadre du PEPR.

L’équipe utilise l’assistant de preuve Coq en partenariat avec l’équipe EPICURE d’Inria, spécialisée dans les méthodes formelles. Ces avancées visent à accompagner les industriels souhaitant monter en gamme dans les critères communs. Ces preuves formelles, particulièrement adaptées aux mécanismes cryptographiques, garantissent une sécurité optimale pour les produits les plus critiques.

Le troisième axe de SUSHI cible la détection et la réaction automatique aux attaques. L’objectif : non seulement identifier une tentative d’intrusion, mais aussi réagir en limitant les dégâts et en empêchant une nouvelle exploitation de la vulnérabilité.

Par exemple, en cas d’attaque par ransomware, le système pourrait restaurer les fichiers à un point de sauvegarde précédent tout en appliquant des contre-mesures pour éviter une répétition. Contrairement aux approches classiques, souvent centrées sur des réseaux complexes, SUSHI se concentre sur la sécurisation de machines individuelles, comme des ordinateurs personnels, avec deux objectifs principaux : Détection proactive des menace, réaction automatique et résiliente face aux attaques

L’approche multidimensionnelle de SUSHI, mêlant innovation technologique, méthodes formelles et outils de détection, s'inscrit dans une dynamique où les enjeux de cybersécurité sont cruciaux pour les États et les entreprises. Avec des projets tels que SecurEval, cette équipe contribue activement à relever les défis de demain, en renforçant la confiance dans la sécurité des systèmes numériques, des logiciels aux infrastructures matérielles.