Mandatory protection checked against the automotive sector’s safety objectives
Protection obligatoire vérifiée au regard des objectifs safety du secteur automobile
Résumé
The safety of an automotive system (security of persons and goods) depends on the system‘s operating context. In order to preserve safety, safety mechanisms must dynamically consider the context of the embedded system. However, how can we guarantee that a dynamic safety mechanism preserves the safety in all possible configurations, without introducing undesirable effects ? In order to address these issues, we propose to add a dynamic mandatory access control mechanism that is verified with respect to safety objectives. We start by showing that existing access control mechanisms are not sufficient. We then detail some specificities of the automotive sector and the formal verification approaches we will use. We then present the design of our access control mechanism, the real use case on and the capabilities of the attacker. We also detail the access control policy and the properties that have to be enforced. We then move on to model our use case in order to verify it with two tools. Different checks are performed to verify that the system has the desired properties, that they are not satisfied without our access control but are preserved by the enforcement of our access control policy. Finally, we show that our access control mechanism is loss tolerant when appropriate replay mechanisms are implemented.
La safety d’un système automobile (sécurité des personnes et des biens) dépend du contexte de fonctionnement du système embarqué. Afin de préserver la safety, les mécanismes de sécurité doivent prendre en compte dynamiquement le contexte de fonctionnement du système. Or, comment garantir qu’un mécanisme de sécurité dynamique préserve la safety dans toutes les configurations possibles, sans introduire d’effets indésirables ? Afin de répondre à ces problématiques, nous proposons d’ajouter un mécanisme de contrôle d’accès obligatoire dynamique vérifié au regard des objectifs safety. Nous commençons par montrer que les mécanismes de contrôle d’accès existants ne sont pas suffisants. Nous détaillons ensuite certaines spécificités du secteur automobile et les approches de vérification formelle que nous utiliserons. uis nous présentons la conception de notre mécanisme de contrôle d’accès, le cas d’usage réel sur lequel il sera testé, ainsi que les capacités de l’attaquant considéré. Nous détaillons aussi la politique de contrôle d’accès ainsi que les propriétés que nous vérifions sur notre cas d’usage. Nous passons ensuite à la modélisation de notre cas d’usage afin de le vérifier avec deux outils. Différentes vérifications sont effectuées afin de vérifier que le système possède les propriétés voulues, qu’elles ne sont pas garanties sans notre contrôle d’accès mais préservées par notre politique de contrôle d’accès. Enfin, nous montrons que notre mécanisme de contrôle d’accès est tolérant aux pertes lorsque des mécanismes de rejeu appropriés sont mis en place.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|