CESAR 2008 : ce qu’il faut en retenir

La première journée était consacrée à la problématique et aux enjeux de la confiance. Les orateurs ont souligné que la confiance n’est pas la sécurité. Elle doit être définie en fonction des contextes d’application particuliers et des usages (J.M. Seigneur – Université de Genève) avec toutes les précautions contre les abus connus des systèmes de réputation. Les orateurs ont montré que la confiance est une variable critique dans des domaines extrêmement variés : certification de la sécurité, respect de la vie privée, vote électronique, gestion des droits numériques, composants cryptographiques embarqués, et même interopérabilité des systèmes OTAN. Dès cette première journée, plusieurs problèmes concrets directement liés à la confiance ont été décrits. Concernant les données personnelles de santé (G. Trouessin – OPPIDA SUD) les personnes n’ont en pratique pas le choix de refuser la collecte et le traitement ; dès lors, la question de la qualité de l’anonymisation est critique. Concernant la sécurité multiniveaux (D. Boucart – CELAR), la séparation physique complète des niveaux de sécurité est de moins en moins pratique avec des appareils de plus en plus communicants ; mais quelle confiance accorder aux composants permettant un multiniveau mutualisé ? Quid des canaux cachés par exemple dans un simple boîtier KVM ?À l’issue de cette première journée, l’informatique de confiance apparaissait clairement comme une condition nécessaire à la continuation de toute activité informatique sensée. Citons M. Sadler : Should we trust trusted computing ? There doesn’t seem to be an alternative…La deuxième journée et le début de la troisième étaient consacrés aux technologies en lien avec la confiance. C’est la question de la confiance dans le matériel qui a été la plus abondamment traitée. Diverses présentations ont montré la portée des protections matérielles actuelles et à venir (M. Sadler – HP Labs, V. Kolesnikov – Bell Labs). Plusieurs panoramas et retours d’expérience ont souligné les interactions possibles entre plusieurs technologies liées au matériel : virtualisation (S. Gay – CELAR), composants cryptographiques en particulier le TPM (F. Remi, G. Guiheux – AMOSSYS), architectures sécurisées (G. Duc, R. Keryell – Télécom Bretagne). L’espoir est toujours d’élaborer une plate-forme informatique complète, dite de confiance. Quelques présentations ont évoqué les limites de la sécurité matérielle : citons notamment un retour sur des possibilités de piégeage des processeurs (L. Duflot – DCSSI) et l’insertion d’un cheval de Troie dans certaines cartes à puce (J.L. Lanet – XLIM). Sur ce dernier point, il est à noter que ce travail a été réalisé par des étudiants, avec toute la mise en pratique d’une attaque évoquée mais non réalisée par K. Hyppönen. L’attaque ne concerne pas les cartes les plus récentes et nécessite la possession de clés de chargement ce qui n’est heureusement pas une situation courante. Néanmoins, elle montre bien comment certains mécanismes internes de protection peuvent être contournés, en particulier le firewall entre applications et dans certains cas la vérification de bytecode.Si la confiance dans le matériel était un point essentiel, d’autres aspects importants ont également été traités. Citons en particulier la confiance dans les transactions (J.C. Paillès – Orange Labs), dans les protocoles distribués (C. Burgod – XLIM) dans les communications sans contact (F. Vacherand – CEA-LETI) et dans le logiciel avec la question des preuves formelles de propriétés de sécurité (F. Pessaux – UPMC).Cette deuxième journée n’a bien évidemment pas épuisé tous les aspects techniques d’un domaine aussi vaste. Un point a été évoqué par plusieurs orateurs et reste aujourd’hui sans réponse : comment satisfaire le besoin de confiance dans les systèmes tout en faisant face à l’augmentation de leur complexité (par exemple un milliard de portes pour un microprocesseur).Le troisième et dernier jour était consacré aux applications nécessitant de la confiance. Le cas de la gestion des droits numériques a été abordé (E. Diehl – Thomson). Ici, la question de la confiance est économique avant même d’être technique : comment faire confiance à une solution de sécurité dont le concepteur n’est pas pénalisé en cas de défaillance ? Puis les machines à voter et le vote automatisé ont été intensément traités avec deux points de vue complémentaires : tout d’abord le constat extrêmement factuel de l’insuffisance des solutions en place (C. Enguehard – Université de Nantes LINA, en photo), puis l’affirmation pragmatique que la sécurité doit prévaloir sur toute autre raison de déployer une solution de vote automatisée (F. Chabaud – DCSSI). De nouvelles règles de conception des machines à voter ont été présentées, avec notamment pour objectif une meilleure transparence des opérations de vote et de dépouillement. Le nombre des questions et le niveau des réponses ont montré l’intérêt du public et le caractère non-négociable de la confiance dans ce domaine.La conférence CESAR est organisée annuellement sous l’impulsion de la Délégation Générale pour l’Armement, avec un comité de programme indépendant et en fonction du thème retenu. Le thème de CESAR 2009 sera annoncé prochainement sur le site de la conférence : http://www.cesar-conference.frOlivier Heen, INRIA Rennes – Bretagne Atlantique