Sébastien Tixeuil pour contrer les plus puissantes attaques informatiques
Face à un adversaire qui dispose d’une puissance de calcul infinie et qui a déjà infecté un nombre inconnu de machines, Sébastien Tixeuil ne baisse pas les bras. Ce membre du laboratoire LIP6 (CNRS/Sorbonne Université) affronte les scénarios de cybersécurité les plus difficiles afin de garantir que ses solutions seront efficaces contre les attaques réelles. Il vient d'être nommé membre IUF senior.
Pour bien se défendre, il faut se préparer au pire. Sébastien Tixeuil, professeur à Sorbonne Université et membre du LIP6, étudie les attaques informatiques avec une approche théorique. Comme on ne sait pas d’avance quelle sera l’efficacité des menaces à venir, Sébastien Tixeuil utilise des abstractions.
« Une attaque byzantine constitue le modèle d’attaque le plus général possible, où l’on considère que l’adversaire participe au réseau qu’il attaque et jouit d’une puissance de calcul infinie, décrit Sébastien Tixeuil. Il peut ainsi déchiffrer tout le trafic qu’il voit passer ou réaliser instantanément un nombre exponentiel de calculs. Malgré cet adversaire, l’idée est de résoudre des problèmes de plus en plus complexes. Si l’on arrive à résister à de telles attaques, alors on pourra a fortiori se défendre contre celles que l’on retrouve dans la vraie vie. »
Difficulté supplémentaire, Sébastien Tixeuil applique ces problèmes aux réseaux distribués sans fil, c’est-à-dire où plusieurs machines sont reliées entre elles avec le risque que leurs communications soient interceptées ou leur identité usurpée. Lors d’une attaque, un ou plusieurs ordinateurs du réseau sont infectés et tentent de contaminer les autres, d’en corrompre la mémoire ou d’accéder à leurs informations. Sébastien Tixeuil étudie même des cas où l’on ignore combien de machines sont compromises.
Déjà entré à l’IUF comme membre junior en 2010, il a cette année été reçu comme membre sénior, à une chaire fondamentale. Dans ce cadre, Sébastien Tixeuil a monté un projet pour concilier ses approches théoriques avec des méthodes applicables à nos machines. Il travaille ainsi sur la fiabilité de la communication lorsque des appareils doivent faire transiter leurs informations par d’autres machines, constituant un réseau dont on ignore s’il est corrompu ou non. Les solutions envisageables consistent à transmettre les messages par suffisamment d’intermédiaires, qui se les renvoient ensuite entre eux, puis à recouper les informations reçues. Cette redondance permet de se rendre compte que le réseau est compromis, par exemple si les messages ne sont plus tous identiques ou si leur circulation est perturbée.
« Beaucoup de travaux reposent sur l’hypothèse que, dans les faits, quelques rares machines sont compromises tandis que les autres, qui constituent l’immense majorité, ne le sont jamais, explique Sébastien Tixeuil. Or ce n’est pas le cas en pratique, notamment parce que des vulnérabilités sont régulièrement découvertes. Ce qu’il se passe, c’est qu’un ordinateur va être infecté pendant un temps, puis soigné, puis à nouveau compromis. Nous avons donc besoin de modèles plus dynamiques, qui prennent en compte que même si une machine fonctionne normalement pendant la majeure partie de sa vie, elle peut connaître des périodes où ce n’est pas le cas. »
Sébastien Tixeuil aborde ces questions par l’algorithmique. Il définit des modèles de calcul distribué où s’exprime un algorithme. Il utilise ensuite des outils issus des mathématiques et de la logique pour prouver que l’algorithme satisfait bien les propriétés souhaitées lors d’une attaque. Sébastien Tixeuil emploie également des modèles formels et des assistants de preuve, tels que Coq, pour vérifier les cas trop complexes pour être traités à la main.
Ses résultats sont cependant bien testés dans de vrais réseaux et dans des langages informatiques courants. Sébastien Tixeuil compte d’ailleurs profiter de sa délégation IUF pour concevoir un injecteur d’attaques distribuées et coordonnées qui offre la possibilité de tester des scénarios spécifiques aux systèmes distribués. Cela permet non seulement de vérifier si la protection fonctionne, mais aussi si elle le fait à un coût acceptable. En effet, si elle pare les attaques, mais qu’elle consomme tant de ressources que la machine ne peut plus réaliser ses tâches, alors cette solution ne peut pas être utilisée. « Nous nous retrouvons à devoir identifier quel est le meilleur adversaire auquel nous sommes capables de résister en pratique, conclut Sébastien Tixeuil. Je pense que c’est là qu’est le cœur de mes travaux. »