L’Ecole doctorale : Ecole Doctorale de l’Institut Polytechnique de Paris
et le Laboratoire de recherche SAMOVAR – Services répartis, Architectures, Modélisation, Validation, Administration des Réseaux
présentent
l’AVIS DE SOUTENANCE de Monsieur Arié HAENEL
Autorisé à présenter ses travaux en vue de l’obtention du Doctorat de l’Institut Polytechnique de Paris, préparé à Télécom SudParis en :
Informatique
« Solutions de sécurité hybrides pour des appareils IoT »
le MERCREDI 6 NOVEMBRE 2024 à 13h30
à
4A467
19 Place Marguerite Perey, 91120 Palaiseau
Membres du jury :
Mme Maryline LAURENT, Professeure, Télécom SudParis, FRANCE – Directrice de these
M. David STAROBINSKI, Professeur, Boston University, ETATS-UNIS – Rapporteur
Mme VALERIE VIET TRIEM TONG, Professeure, CentraleSupélec – Rennes Campus, FRANCE – Rapporteure
M. Yoram HADDAD, Professeur associé, Jerusalem College of Technology, ISRAËL – CoDirecteur de these
M. Vincent NICOMETTE, Maître de conférences, LAAS Toulouse, FRANCE – Examinateur
Mme Bracha SHAPIRA, Professeure, Ben Gurion University, ISRAËL – Examinatrice
M. Amit DVIR, Professeur associé, Ariel University, ISRAËL – Examinateur
Mme SOPHIE CHABRIDON, Directrice d’études, TELECOM SUDPARIS, FRANCE – Examinatrice
« Solutions de sécurité hybrides pour des appareils IoT »
présenté par Monsieur Arié HAENEL
Résumé :
Il y a quelques années, un incident de cybersécurité aurait pu facilement être le scénario d’un film hollywoodien : des attaquants ont exploité un point d’entrée inattendu : un thermomètre intelligent dans l’aquarium du hall d’un casino. Cet objet connecté avait accès au réseau du casino, et les pirates ont réussi à le compromettre. Ils ont ensuite utilisé ce point d’entrée initial pour accéder à d’autres parties du réseau et ont finalement exfiltré 20 Go de données sensibles, y compris des informations sur les clients ”gros joueurs”. Cet exploit audacieux met en évidence la vulnérabilité des appareils de l’Internet des Objets (IoT) et l’importance cruciale de leur sécurisation dans notre monde de plus en plus interconnecté. Dans le domaine en constante expansion de l’IoT, la sécurisation des réseaux de capteurs sans fil (WSN) présente un défi unique. Ces réseaux, composés de nœuds de capteurs à ressources limitées, jouent un rôle vital dans diverses applications, agissant comme des sentinelles de notre environnement physique. Cependant, leur puissance de traitement limitée et leur durée de vie de batterie les rendent vulnérables aux cyberattaques. Garantir l’intégrité et la sécurité des données collectées par les WSN est primordial. Cette thèse aborde ce défi en adoptant une approche à deux volets, traitant de la sécurité à la fois du point de vue du réseau et du développement logiciel. Le premier facette présente un schéma d’authentification léger et novateur, conçu pour répondre aux exigences strictes des RSN contraintes par la puissance. En surmontant la charge computationnelle des techniques cryptographiques traditionnelles, ce protocole innovant assure une communication sécurisée tout en minimisant la consommation de ressources, améliorant ainsi considérablement l’efficacité et la fiabilité des réseaux de capteurs sans fil. Cette contribution est validée par une série de méthodes d’évaluation, notamment la mise en œuvre en temps réel, les tests d’exactitude et les évaluations de l’efficacité énergétique. Ces méthodes démontrent l’efficacité et la practicalité du schéma proposé. La deuxième facette introduit Shmulik, un système basé sur le Deep Learning conçu pour détecter des vulnérabilités logicielles, en particulier pour les systèmes embarqués et à ressources limitées. Les méthodes traditionnelles de fortification de ces systèmes ont souvent un coût, nécessitant une mémoire accrue, une puissance de traitement plus importante ou du matériel dédié, ce qui met encore plus à rude épreuve leurs ressources limitées. Shmulik offre une alternative intéressante. En exploitant l’apprentissage profond, nous visons à développer un système capable d’analyser automatiquement le code et de repérer les faiblesses de sécurité potentielles dès le début du processus de développement. La justification de cette double approche réside dans la recherche d’un cadre de sécurité complet. Un schéma d’authentification robuste sécurise la communication au sein du WSN, tandis que Shmulik protège l’ensemble du firmware des vulnérabilités. Les schémas d’authentification traditionnels seuls pourraient ne pas être suffisants si le logiciel lui-même présente des faiblesses exploitables. À l’inverse, l’efficacité de Shmulik repose sur les canaux de communication sécurisés qu’un schéma d’authentification léger peut fournir. En abordant la sécurité au niveau du réseau et du logiciel, nous visons à créer un système de défense plus résilient. Cette thèse comble le fossé entre les solutions de sécurité légères pour les réseaux à ressources limitées et les techniques d’apprentissage profond de pointe pour l’analyse des vulnérabilités logicielles. En explorant ces deux pistes, nous nous efforçons de contribuer à un avenir plus sûr et plus fiable pour les WSN, améliorant ainsi la fiabilité et l’efficacité de cette technologie en évolution rapide.
Abstract :
A few years ago, a cybersecurity incident could easily have been the scenario of a Hollywood movie: attackers exploited an unexpected entry point: a smart thermometer in the casino’s lobby fish tank. This Internet of Things (IoT) device had access to the casino’s network, and the hackers managed to compromise it. They then used this initial foothold to access other parts of the network and ultimately exfiltrated 20GB of sensitive data, including high-roller customer information. This audacious exploit highlights the vulnerability of IoT devices and the critical importance of securing them in our increasingly interconnected world. In the ever-expanding realm of the Internet of Things (IoT), securing Wireless Sensor Networks (WSNs) presents a unique challenge. These networks, composed of resource-constrained sensor nodes, play a vital role in various applications, acting as the sentinels of our physical environment. However, their limited processing power and battery life make them vulnerable to cyberattacks. Ensuring the integrity and security of the data collected by WSNs is paramount. This thesis tackles this challenge with a two-pronged approach, addressing security from both the network and software development perspectives. The first facet explores the development of a lightweight authentication scheme specifically designed for power-constrained WSNs. By overcoming the computational overhead of traditional cryptographic techniques, this innovative protocol ensures secure communication while minimizing resource consumption, thereby significantly enhancing the efficiency and reliability of wireless sensor networks. This contribution is validated through a range of evaluation methods, including real-time implementation, accuracy testing, and energy efficiency assessments. These methods demonstrate the effectiveness and practicality of the proposed scheme. The second facet introduces Shmulik, a deep learning-based system crafted to unearth software vulnerabilities, especially for embedded and resource-constrained devices. Traditional methods of fortifying these systems often come at a cost, requiring increased memory, processing power, or dedicated hardware, further straining their limited resources. Shmulik offers a compelling alternative. By leveraging deep learning, we aim to develop a system that can automatically analyze code and pinpoint potential security weaknesses early in the development process. Shmulik’s effectiveness is validated by a comprehensive evaluation, including experimental tests, tool comparisons, a case study, and the detection of zero-day vulnerabilities. The rationale for this dual approach lies in the pursuit of a comprehensive security framework. A robust authentication scheme secures communication within the WSN, while Shmulik safeguards the whole firmware from vulnerabilities. Traditional authentication schemes alone might not be sufficient if the software itself has exploitable weaknesses. Conversely, Shmulik’s effectiveness relies on the secure communication channels that a lightweight authentication scheme can provide. By addressing security at both network and software levels, we aim to create a more resilient defense system. This thesis bridges the gap between lightweight security solutions for resource-constrained networks and cutting-edge deep learning techniques for software vulnerability analysis. By exploring both avenues, we strive to contribute to a more secure and reliable future for WSNs, ultimately enhancing the trustworthiness and effectiveness of this rapidly evolving technology.