Soutenance de thèse de Mohammad Mahdi BAZM (équipe STACK)

Mahdi Bazm, doctorant au sein de l’équipe STACK, soutiendra sa thèse intitulée « Architecture d’isolation unifiée et mécanismes de lutte contre les canaux auxiliaires pour infrastructures cloud décentralisées »

lundi 8 juillet 2019 à 13h30 dans l’amphi du bât. 34 sur le site de la FST.

Jury :
– Directeur thèse : Mario Sudholt, Jean-Marc Menaud
– Co-encadrant : Marc Lacoste (Orange labs)
– Rapporteurs : Yves Roudier (U Sophia Nice Antipolis) Daniel Hagimont
(IRIT Toulouse)
– Autres membres : Christian Perez (DR Inria)

Résumé :
Depuis leur découverte par Ristenpart [Ristenpart et al., 2009],le problème de sécurité des attaques par canaux auxiliaires est devenu de plus en plus important dans les environnements virtualisés tels que les infrastructures cloud, avec une amélioration rapide des techniques d’attaque. De ce fait, la détection et la mitigation des attaques dans ces environnements ont davantage retenu l’attention et ont fait l’objet de nombreux travaux de recherche.
Dans les environnements virtualisés, ces attaques exploitent le partage de ressources matérielles telles que le processeur. Ces ressources sont partagées entre différents utilisateurs à un niveau souvent très bas via la couche de virtualisation. Par conséquence, il permet de contourner les mécanismes de sécurité implémentés au niveau de la couche de virtualisation, ce qui présente des fuites d’information. Les niveaux de cache du processeur sont les ressources qui sont partagées entre les instances et jouent comme un canal de divulgation d’information. Les attaques par canaux auxiliaires utilisent donc ce canal an d’obtenir des informations sensibles telles que les clés cryptographiques.
Différents travaux de recherche existent déjà sur la détection/mitigation de ces attaques dans les systèmes d’information. Les techniques de mitigation des attaques par canaux auxiliaires basées sur le cache, sont principalement divisées en trois classes en fonction de la couche où elles sont appliquées dans les infrastructures de cloud (application, système et matérielle). La détection est essentiellement effectuée au niveau de la couche système d’exploitation/hyperviseur en raison de la possibilité d’analyser le comportement des instances virtualisées à ce niveau.
Dans cette thèse, nous fournissons d’abord un état de l’art sur le dé d’isolation et sur les attaques par canaux auxiliaires basées sur le cache dans les infrastructures cloud. Nous présentons ensuite différentes approches pour détecter/mitiger les attaques par canaux auxiliaires entre VMs ou entre conteneurs Linux. En ce qui concerne la détection des attaques par canaux auxiliaires basées sur le cache, nous y parvenons en utilisant Hardware Performance Counters (HPC) et Intel Cache Monitoring Technology (CMT) avec des approches de détection d’anomalie pour identifier une VM ou un conteneur malveillant.
Nos résultats expérimentaux montrent un taux de détection élevé. Nous utilisons ensuite une approche basée sur la théorie Moving Target Defence (MTD) pour interrompre une attaque par canaux auxiliaires basée sur le cache entre deux conteneurs Linux. MTD nous permet de rendre la configuration du système plus dynamique
et donc plus difficile à attaquer par un adversaire, en utilisant le shuing à différents niveaux du système et du cloud. Notre approche n’a pas besoin d’apporter de modification ni dans l’OS invité ni dans l’hyperviseur. Les résultats expérimentaux montrent que notre approche a un surcoût de performance très faible.

*****

Abstract:
Since their discovery by Ristenpart [Ristenpart et al., 2009], the security concern of sidechannel attacks is raising in virtualized environments such as cloud computing infrastructures because of rapid improvements in the attack techniques. Therefore, the mitigation and the detection of such attacks have been getting more attention in these environments, and consequently have been the subject of intense research works. These attacks exploit for instance sharing of hardware resources such as the processor
in virtualized environments. Moreover, the resources are often shared between dierent users at very low-level through the virtualization layer. As a result, such sharing allows bypassing security mechanisms implemented at virtualization layer through such a leaky sharing. Cache levels of the processor are the resources which are shared between instances, and play as an information disclosure channel. Side-channel attacks thus use this leaky channel to obtain sensitive information such as cryptographic keys.
Different research works are already exist on the detection/mitigation of these attack in information systems. Mitigation techniques of cache-based side-channel attacks are mainly divided into three classes according to dierent layer of application in cloud infrastructures (i.e., application, system, and hardware). The detection is essentially done at OS/hypervisor layer because of possibility of analyzing virtualized instances behavior at both layers.
In this thesis, we rst provide a survey on the isolation challenge and on the cachebased side-channel attacks in cloud computing infrastructures. We then present different approaches to detect/mitigate cross-VM/cross-containers cache-based side-channel attacks. Regarding the detection of cache-based side-channel attacks, we achieve that by leveraging Hardware performance Counters (HPCs) and Intel Cache Monitoring Technology (CMT) with anomaly detection approaches to identify a malicious virtual machine
or a Linux container. Our experimental results show a high detection rate. We then leverage an approach based on Moving Target Defense (MTD) theory to interrupt a cache-based side-channel attack between two Linux containers. MTD allows us to make the conguration of system more dynamic and consequently harder to attack by an adversary, by using shuing at dierent level of system and cloud. Our approach does not need to carrying modication neither into the guest OS or the hypervisor. Experimental results show that our approach imposes very low performance overhead.