mercredi 26 septembre 2012 à 10h00 à Telecom Sud Paris à Evry en salle A003.

« Nommage et Sécurité dans un environnement Mobile, Multihomé
et à Interfaces Multiples ».

Cette thèse a été préparée sous la direction
du Professeur Maryline Laurent au sein des Laboratoires d’Orange Labs et CNRS SAMOVAR UMR 5157.

Composition du jury:
– Abdelmadjid Bouabdallah (Rapporteur)

— > Professeur Université Technologique de Compiègne
– Andrei Gurtov (Rapporteur)

— > Professeur University of Oulu
– Stépĥane Bortzmeyer (Examinateur)

— > AFNIC
– Guy Pujolle (Examinateur)

— > Professeur Université Pierre et Marie Curie
– Nadia Boukhatem (Examinateur)

— > Professeur Télécom Paristech
– Maryline Laurent (Directrice de thèse)

— > Professeur Télécom Sud Paris

Résumé de la thèse:

Une des problématiques majeures de sécurité pour les opérateur est de
permettre à ses utilisateurs de maintenir la sécurité d’une
communication même au travers d’un réseau qui ne soit pas de confiance.
Nous avons pris le parti dans cette thèse de nous intéresser à deux
problématiques : la sécurité du service de résolution de noms DNS et le
maintient de la sécurité IPsec des communications, suite à une
changement d’adresse IP, de l’utilisation d’une interface
supplémentaire, ou de la perte d’une interface. Pour l’utilisateur, une
communication est établie à partir d’un identifiant ou nom de domaine.
Le système DNS permet d’associer à cet identifiant ou nom de domaine des
adresses IP, qui vont permettre l’échange de paquets entre les deux
nœuds. L’opérateur doit alors permettre à l’utilisateur de s’assurer que
les adresses IP associées au nom de domaine sont légitimes, grâce à
DNSSEC. Ensuite, nous avons pris le parti dans cette thèse, d’utiliser
IPsec pour sécuriser la communication. Des mécanismes doivent également
être mis en place afin de permettre à l’utilisateur de maintenir la
sécurité de cette communication lorsque l’utilisateur change d’adresses
IP, utilise une interface supplémentaire, ou perd la connectivité sur
une de ces interfaces.
Ceci est réalisé grâce au protocole MOBIKE-X que nous avons proposé à IETF.
La mise en place d’un service de résolution DNS Sécurisé (DNSSEC)
nécessite d’augmenter la capacité des plateformes de résolution DNS, en
multipliant jusqu’à 4.25 fois les ressources nécessaires. Les opérations
qui nécessitent le plus de ressources sont la résolution DNSSEC et le
nombreux cache lookup. Les architectures actuelles considèrent un load
balancer qui réparti le trafic sur un ensemble de nœuds, en considérant
les adresses IP des requêtes. La répartition du trafic est uniforme,
mais de nombreuses résolutions simultanées sont réalisées par la
plateforme. Pour éviter les résolutions parallèles, on répartit le
trafic selon les noms de domaines. Cela réduit les ressources de 30%,
mais la répartition est très inégale. Afin de palier à cette inégalité,
on a choisit, dans cette thèse, d’organiser les nœuds de la plateforme
en Distributed Hash Table (DHT) afin qu’ils puissent coopérer entre eux.
En testant différentes organisation, on montre qu’un cache pro-actif est
le mécanisme le plus efficace. Le cache pro-actif tire parti de la
distribution des requêtes DNS. La distribution du trafic suit une loi de
puissance. Ainsi, les 2000 Fully Qualified Domain Names (FQDNs) les plus
populaires représentent environ 70% du trafic. Par conséquent, cacher
ces 2000 FQDNs au sein de tous les nœuds de la plateforme de Résolution
évite des résolutions inutiles.
Une autre alternative consiste à implémenter le processus de cache
pro-actif en amont du processus DHT. Ainsi les requêtes concernant les
FQDNs populaires cachés ne seront pas traitées par le processus DHT.
L’avantage est qu’un tel processus peut tourner sur des cartes
accélératrice, et ainsi réduire les ressources à fournir par les
serveurs DHT. On montre qu’en considérant les 2000 FQDNs les plus
populaires, on divise par au moins 4 la taille de la plateforme de
résolution.

La seconde partie est dédiée à la sécurité IPsec dans un contexte de
Mobilité, de Multihoming et d’Interfaces Multiples. MOBIKE-X [106] est
le protocole qui permet à la couche IPsec de gérer les opérations de
Mobilité, de Multihoming, et d’interfaces Multiples. Si MOBIKE [47] gère
la Mobilité avec un Hard Handover pour le mode Tunnel et pour un
terminal n’ayant qu’une unique interface, MOBIKE-X étend ces
fonctionnalités au mode Transport, permet la gestion d’interfaces
multiples ainsi que la Mobilité avec un Soft Handover. L’utilisation du
mode Transport revient à une architecture où la communication est
sécurisée de bout en bout, de la même manière qu’avec TLS.
MOBIKE-X permet aux ISP d’offloader les communications du Réseau Radio
d’Accès vers des réseaux WLAN. L’intérêt d’IPsec est qu’il permet de
sécuriser sans modifier l’application. IPsec propose deux modes: le mode
Transport et le mode Tunnel. L’utilisation du mode Tunnel correspond à
une architecture où le Nœud Mobile tunnelle l’ensemble du trafic vers un
point d’entrée d’un réseau de confiance —en l’occurrence, celui de
l’opérateur. Si les délais de mise à jour, dans le cas du mode
Transport, sont 2.65 fois plus importants que dans le cas du mode
Tunnel, en revanche, l’utilisation du mode Transport simplifie
considérablement les opérations réseau, et permet au système d’être
beaucoup plus réactif. Plus exactement, le temps d’interruption d’une
communication d’environ 264 ms est entre 9.3% et 15.6% plus rapide avec
le mode Transport qu’avec le mode Tunnel.