Méthodes pour la modélisation des injections de fautes électromagnétiques

Methods for modeling of electromagnetic fault injection

• Auteur / Autrice : Oualid Trabelsi
• Direction : Jean-Luc Danger, Laurent Sauvage
• Type : Thèse de doctorat
• Discipline(s) : Réseaux, informations et communications
• Date : Soutenance le 01/07/2021
• Etablissement(s) : Institut polytechnique de Paris
• Ecole(s) doctorale(s) : École doctorale de l'Institut polytechnique de Paris
• Partenaire(s) de recherche : Etablissement opérateur d'inscription : Télécom Paris (Palaiseau ; 1977-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire Traitement et communication de l'information (Paris ; 2003-....)
• Jury : Président / Présidente : Régis Leveugle
• Jury : Examinateurs / Examinatrices : Jean-Luc Danger, Laurent Sauvage, Philippe Maurine, Jean-Max Dutertre, Mathieu Lisart, Lirida Alves de Barros Naviner
• Jury : Rapporteurs / Rapporteuses : Philippe Maurine, Jean-Max Dutertre

Mots clés

Mots clés contrôlés

Dispositifs de sécurité

Informatique omniprésente

Mots clés libres

Electromagnétique

Attaque par injection de faute

Contre-mesure

Sécurité

Systèmes cyber-physiques

Electromagnetic

Fault injection attack

Countermeasure

Security

Cyber-physic systems

Résumé

Les attaques par injection de faute représentent une menace considérable pour les systèmes cyber-physiques. Dès lors, la protection contre ces attaques est une nécessité pour assurer un haut niveau de sécurité dans les applications sensibles comme l'internet des objets, les téléphones mobiles ou encore les voitures connectées. Élaborer des protections demande au préalable de bien comprendre les mécanismes d'attaque afin de proposer des contre-mesures efficaces. En matière de méthodes d'injection de faute, celle par interférence électromagnétique s'est vu être une source de perturbation efficace, en étant moins intrusive et avec une configuration à faible coût. Outre l'ajustement des paramètres d'injection, l’efficacité de cette méthode réside dans le choix de la sonde qui génère le rayonnement électromagnétique. L'état de l'art propose déjà des travaux par rapport à la conception et la caractérisation de ce type d'injecteur. Cependant, les résultats correspondant rapportent une différence entre ceux issus de la simulation et ceux à partir des tests expérimentaux.La première partie de la thèse aborde la question de l'efficacité des sondes magnétiques, en mettant l'accent sur l'implication de leurs propriétés. Afin de comparer les sondes, nous proposons d'observer l'impact des impulsions électromagnétiques au niveau logique, sur des cibles particulières de type FPGA.La caractérisation est aussi établie suivant la variation des paramètres d'injection comme l'amplitude et la polarité de l'impulsion, le nombre d'impulsions ou encore l'instant de l'injection. Ces résultats ont permis de converger sur les paramètres optimaux qui maximisent l'effet des sondes magnétiques. La caractérisation est par la suite étendue au niveau architecture sur des cibles de type microcontrôleur. L'objet de la seconde contribution consiste à présenter une démarche d'analyse, basée sur trois méthodes génériques, qui servent à déterminer les vulnérabilités des microcontrôleurs sur les instructions ou les données. Ces méthodes portent sur l'identification des éléments vulnérables au niveau architecture, l'analyse des modèles de faute au niveau bit, et enfin la définition de l'état des fautes, à savoir transitoire ou semi-persistent.Le travail de dresser les modèles de faute, ainsi que le nombre d'instructions ou données impactées, est un jalon important pour la conception de contre-mesures plus robustes. Concernant ce dernier point, des contre-mesures au niveau instruction ont été proposées contre les modèles de faute logiciels. Actuellement, le mécanisme le plus répandu se résume à appliquer une redondance dans l'exécution du programme à protéger. Toutefois, ce type de contre-mesure est formulé sur l'hypothèse qu'une injection de faute équivaut un seul saut d'instruction. Vis-à-vis de nos observations, ces contre-mesures basées sur de la duplication au niveau instructions présentent des vulnérabilités, que nous identifions, puis corrigeons.

Fault injection attacks represent a considerable threat to cyber-physical systems.Therefore, protection against these attacks is required to ensure a high level of security in sensitive applications such as the Internet of Things, smart devices or connected cars.Developing protection requires a good understanding of the attack mechanisms in order to propose effective countermeasures.In terms of fault injection methods, electromagnetic interference has proven to be an effective source of disruption, being less intrusive and with a low cost setup.Besides the adjustment of the injection parameters, the effectiveness of this attack mean lies in the choice of the probe that generates the electromagnetic radiation.The state of the art already proposes many works related to the design and characterization of this type of injector.However, the corresponding results point out to some difference between those from simulation and those from experimental tests.The first part of the thesis addresses the question of the efficiency of magnetic probes, with a focus on their properties.In order to compare the probes, we propose to observe the impact of electromagnetic pulses at the logic level, on particular targets such as FPGA.The characterization is also established according to the variation of the injection parameters such as the amplitude and the polarity of the pulse, the number of pulses or the injection time.These results allowed to converge on the optimal parameters that maximize the effect of the magnetic probes.The characterization is then extended to the architecture level on microcontroller targets.The purpose of the second contribution is to present an analysis approach, based on three generic methods, which are used to determine the vulnerabilities of microcontrollers with respect to instructions or data.These methods concern the identification of vulnerable elements at the architecture level, the analysis of fault models at the bit level, and finally the definition of the temporal fault status, i.e. transient or semi-persistent.Establishing the fault patterns, as well as the number of the impacted instructions or data, is an important milestone for the design of more robust countermeasures.Regarding the latter, instruction-level countermeasures have been proposed against software fault models.Currently, the most common mechanism is to apply a redundant execution of the program to be protected.However, this type of countermeasure is based on the assumption that a fault injection imply a single instruction jump.With respect to our observations, these countermeasures based on instruction-level duplication present vulnerabilities, which we identify and then correct.