Sécurités (immunité et innocuité) des architectures ouvertes à niveaux de criticité multiples : application en avionique

In avionics, the design and development of critical software applications are strictly constrained in order to ensure a confidence level commensurate with the safety requirements of the implemented tasks. These constraints considerably increase the development and maintenance costs, making such critical systems very expensive. On the other hand, Commercial Off-The-Shelf (COTS) components (hardware and software) are widespread and offer extensive functionalities for a reasonable cost. However, such components are unreliable and vulnerable to malicious attacks. Nevertheless, it would be interesting to take advantage of such (hardware and software) COTS components for non-critical tasks in avionics while preventing them from detrimentally affecting critical tasks. To do so, we need to consider interactions between components with heterogeneous criticality levels. In this thesis, we propose an architecture allowing such interactions in a safe and secure manner, i.e., such that correct operation of the critical components is not affected. This architecture is based on Totel's model and uses virtualization to support the implementation of fault tolerance techniques to increase the confidence level of an application executed redundantly on untrusted COTS platforms. To demonstrate our approach, we have implemented a prototype based on two case studies identified with Airbus: a maintenance laptop and a take-off profile computation laptop.La conception et le développement des applications critiques en avionique sont soumis à des contraintes strictes visant à assurer un niveau de confiance compatible avec les exigences de sécurité-innocuité (au sens safety) des tâches mises en Suvre. Ces contraintes induisent un accroissement considérable des coûts de production et de maintenance, ce qui rend le prix de revient de tels systèmes prohibitif. D'un autre côté, les composants sur étagère (Commercial Off-The-Shelf, COTS), matériels et logiciels, sont maintenant d'usage courant et offrent des services étendus pour un coût faible. Cependant, les COTS ne répondent pas aux contraintes d'innocuité exigées pour les tâches critiques ; de plus, ils présentent des vulnérabilités facilement exploitables par des attaques, les rendant incompatibles avec des exigences élevées de sécurité-immunité (au sens security). Il serait toutefois intéressant de profiter de tels composants dans un contexte avionique, mais en faisant en sorte qu'ils ne puissent affecter de façon préjudiciable les tâches critiques. Intégrer de tels composants dans les systèmes avioniques conduit donc à prendre en considération l'hétérogénéité des niveaux de confiance entre d'une part les applications critiques classiques, et d'autre part de nouvelles applications utilisant des composants sur étagère. Dans le cadre de cette thèse, nous proposons une architecture autorisant de telles interactions tout en préservant les propriétés de safety et security. La définition de cette architecture s'appuie sur le modèle Totel, et elle utilise la virtualisation afin de faciliter la mise en Suvre des mécanismes de tolérance aux fautes destinés à augmenter la crédibilité d'une application exécutée de façon répliquée sur des plateformes d'exécution COTS de niveau de confiance faible. Afin de valider notre approche, nous avons réalisé un prototype en nous appuyant sur deux cas d'étude identifiés avec Airbus et concernant tous deux des ordinateurs portables : un dédié à la maintenance et un au calcul du profil de décollage d'un avion