Isolation logicielle dans les systèmes embarqués : Etude des menaces et des mécanismes de protection

L’isolation apporte des bénéfices essentiels dans les systèmes embarqués, notamment en garantissant que les fonctions critiques soient protégées des fonctions vulnérables, que les systèmes temps réel respectent leurs exigences d’exécution temporelle, que les éventuelles fautes soient contenues et que les différents composants puissent être mis à jour et intégrés sans compromettre l’intégrité globale du système. Par conséquent, l’isolation présente un intérêt particulier dans les secteurs où les systèmes embarqués sont employés tels que l’automobile, l’aérospatiale, le médical, le ferroviaire et les télécommunications. Comparée à l’isolation matérielle (“hardware”), l’isolation logicielle (“software”) réduit la complexité et les coûts du matériel tout en offrant une plus grande flexibilité dans l’allocation et le partage des ressources. L’isolation logicielle dans les systèmes embarqués est principalement réalisée via de la virtualisation basée sur des hyperviseurs de type 1. Cependant, le concept d’isolation n’est pas clairement défini et peut se référer à différentes propriétés essentielles que les hyperviseurs doivent garantir. C’est pourquoi le concept d’isolation est spécifié et précisé dans cette thèse. Par ailleurs, la virtualisation s’est rapidement étendue aux systèmes embarqués, dont beaucoup ne disposent pas de support matériel pour l’isolation, comme les unités de gestion de mémoire entrée-sortie (IOMMU). Le manque de tels supports matériels ouvre des vecteurs d’attaque significatifs dans les systèmes embarqués virtualisés, en particulier par le biais d’attaques DMA. Cette thèse étudie les attaques DMA dans le contexte des systèmes embarqués virtualisés, expliquant leur applicabilité particulière dans cet environnement. Notamment, même lorsqu’une plateforme est équipée d’une IOMMU, il est démontré que les attaques DMA restent un vecteur d’attaques. Pour cela, les limites de cette protection sont étudiées et un nouveau type d’attaque DMA pouvant contourner l’IOMMU dans certains systèmes virtualisés est présenté. Pour répondre à la menace des attaques DMA dans ce contexte, une protection logicielle légère contre les attaques DMA initiées par des pilotes malveillants a été conçue, mise en œuvre et testée. Enfin, la thèse explore également la manière dont l’interface “Secure Monitor Call” (SMC) est gérée dans les systèmes virtualisés et pourquoi elle constitue un vecteur d’attaque important sur l’isolation à différents niveaux de granularité, notamment l’isolation des machines virtuelles et l’isolation fournie par TrustZone.