Contributions théoriques et algorithmiques pour l’analyse de propriétés de sûreté et de sécurité dans les systèmes temporisés sous incertitude

Theoretical and algorithmic contributions to the analysis of safety and security properties in timed systems under uncertainty

• Auteur / Autrice : Dylan Marinho
• Direction : Stephan Merz, Étienne André
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 03/10/2023
• Etablissement(s) : Université de Lorraine
• Ecole(s) doctorale(s) : École doctorale IAEM Lorraine - Informatique, Automatique, Électronique - Électrotechnique, Mathématiques de Lorraine (1992-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire lorrain de recherche en informatique et ses applications
• Jury : Président / Présidente : Véronique Cortier
• Jury : Examinateurs / Examinatrices : Stephan Merz, Étienne André, Patricia Bouyer-Decitre, Thierry Jéron, Thao Dang, Frédéric Herbreteau, Swen Jacobs
• Jury : Rapporteurs / Rapporteuses : Patricia Bouyer-Decitre, Thierry Jéron

Mots clés

Mots clés contrôlés

Vérification de modèles (informatique)

Incertitude (théorie de l'information)

Algorithmes

Méthodes formelles (informatique)

Automates temporisés

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Opacité

Automates temporisés paramétrés

Automates temporisés

Cybersécurité

Méthodes formelles

Vérification

Cybersecurity

Verification

Parametric timed automata

Opacity

Formal methods

Timed automata

Résumé

Les systèmes temps-réels sont présents dans de multiples champs d'applications, comme les transports, les télécommunications ou l'industrie. Cependant, des accidents peuvent arriver et il est nécessaire d'avoir confiance en ces systèmes afin de les éviter. Il est donc nécessaire de pouvoir prouver formellement que leur comportement sera conforme avec une spécification. Celle-ci peut être de deux natures : la sûreté du système, montrant qu'il aura toujours un comportement attendu, mais aussi la sécurité, montrant qu'il sera résistant à certaines attaques. Pour cela, le formalisme des automates temporisés (TAs) est assez commun. Néanmoins, cette modélisation peut être imparfaite, en raison de la nature du système, de simplifications devant être faites ou d'imprécisions. Nous étudions donc ces systèmes temporisés sous incertitude, c'est à dire à l'aide de paramètres. L'extension naturelle étudiée est alors le formalisme des automates temporisés paramétrés (PTAs). Tout d'abord, nous nous intéressons à des méthodes de vérification efficace sur les PTAs. Une librarie de benchmark pour le model-checking temporisé paramétré est présentée; celle-ci permet de comparer différents algorithmes concernant les PTA. Ensuite, nous étudions le cas de la fusion d'états dans le graphe des zones d'un PTA : si l'union des contraintes de deux états ayant la même localité est convexe, alors ces deux états peuvent être fusionnés. Cette méthode ayant été implémentée, nous comparons différentes heuristiques et nous montrons qu'en pratique cette méthode permet de réduire en moyenne de 62% le temps de calcul. Ensuite, nous nous intéressons à une notion d'opacité sur les PTA. Dans notre formalisme, un attaquant cherche à déterminer un secret (exprimé en terme de visite d'une localité) en ne connaissant que le temps d'exécution total du système (ainsi que le modèle). Nous définissons formellement cette notion et étudions deux types de problèmes : décider qu'un système exprimé sous forme de TA est opaque et déterminer les valeurs de paramètres d'un PTA permettant d'assurer l'opacité du TA associé. Nous étendons ensuite cette définition au cas des secrets avec expiration : dans ce formalisme, après un certain délai, trouver un secret est inutile pour l'attaquant. Nous nous intéressons alors au problème de décision ainsi qu'à celui du calcul de date d'expiration permettant d'assurer qu'un TA est opaque. Une extension paramétrée est également étudiée, avec la synthèse des paramètres dans un PTA. Pour les différents problèmes, nous montrons des résultats de décidablité et proposons quelques algorithmes pour les résoudre. Nous présentons également une première version de contrôle non-temporisé associé à notre formalisme d'opacité. Nous cherchons alors à mettre en évidence un ensemble d'actions de sorte qu'un TA restreint à cet ensemble soit opaque; un algorithme et une implémentation sont proposés.

Real-time systems can be used in a wide range of applications, such as transport, telecommunications and industry. However, accidents can happen, and it is necessary to have confidence in these systems in order to avoid them. It is therefore necessary to formally prove that their behavior will comply with a specification. This specification can be of two kinds: with safety properties, showing that the system will always behave as expected, and security properties, showing that it will be resistant to certain attacks. For this, the formalism of timed automata (TAs) is fairly common. However, this modeling may be imperfect, due to the nature of the system, needed simplifications or imprecisions. We therefore study these timed systems under uncertainty, i.e. using parameters. The natural extension studied is the formalism of parameterized timed automata (PTAs). First, we focus on efficient verification methods for PTAs. A benchmark library for parametric timed model-checking is presented, allowing us to compare different algorithms for PTAs. Next, we study the case of state merging in the (parametric) zone graph of a PTA: if the union of the constraints of two states with the same location is convex, then these two states can be merged. We propose an algorithm, implement it and compare different heuristics. We show that, in practice, this method reduces computation time by an average of 62%. Next, we introduce a notion of opacity on PTAs. In our formalism, an attacker seeks to determine a secret (expressed in terms of visiting a location) knowing only the total execution time of the system (as well as the model). We formally define this notion and study two types of problem: deciding that a system expressed as a TA is opaque, and determining the parameter valuations of a PTA to ensure the opacity of the associated TA. We then extend this definition to the case of secrets with expiration: in this formalism, after a certain delay, finding a secret is useless for the attacker. We then address the decision problem as well as the problem of computing the expiration date to ensure that a TA is opaque. A parameterized extension is also studied, with the synthesis of parameters in a PTA. For the different problems, we show decidability results and propose some algorithms to solve them. We also present a first version of untimed control associated with our opacity formalism. We then seek to highlight a set of actions so that a PTA restricted to this set is opaque; an algorithm and an implementation are proposed.