Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Voyage au cœur du Pôle d’Excellence Cyber

octobre 2016 par Emmanuelle Lamandé

En amont de l’European Cyber Week, qui se tiendra à Rennes du 21 au 25 novembre sous l’égide du Pôle d’Excellence Cyber, plusieurs partenaires de cet évènement nous ont ouvert leurs portes. Ces acteurs (chercheurs, formateurs, industriels…) contribuent chacun à leur niveau à la structuration de cette filière d’avenir, à son développement économique sur le territoire et à son rayonnement au niveau européen et international.

Le Pôle d’Excellence Cyber (PEC), créé en 2014 par le Ministère de la Défense et la Région Bretagne, a pour objectif de stimuler la recherche, la formation et l’innovation dans le domaine cyber, en s’appuyant sur un tissu académique et industriel. Il favorise également le développement de la filière industrielle de la cybersécurité et de la cyberdéfense, en Bretagne, mais aussi en France et au-delà de nos frontières. Ce pôle, basé à Rennes, a en effet une vocation nationale et un objectif de rayonnement international. Il s’inscrit d’ailleurs dans un ensemble de dynamiques à la fois régionales, nationales et européennes. Aujourd’hui, ce sont près de 200 chercheurs et 400 experts qui y contribuent, et ces chiffres sont en constante augmentation.

Il compte parmi ses membres ou partenaires des équipes cyber du ministère de la Défense (DGA Maîtrise de l’information, COMSIC-ETRS…), des écoles et universités, des laboratoires de recherche, de grands groupes industriels (Airbus D&S, Atos-Bull, Bertin, Cap Gemini Sogeti, DCNS, Orange, Sopra-Steria, Thales…), des PME ou encore des agences de développement économique.

Trois axes majeurs : la formation, la recherche et le développement industriel

Paul-André Pincemin, Délégué général du PEC, souligne trois dimensions et piliers indissociables du PEC :
- La formation (initiale et continue) ;
- La recherche ;
- Et le développement industriel.

Paul-André Pincemin, Délégué général du PEC, Frédéric Rode, DG de BDI, et Bernard Pouliquen, Vice-président du Conseil régional de Bretagne

Il a fallu, dans un premier temps, identifier les manques et les besoins dans le domaine industriel, mais aussi au niveau des formations, explique-t-il. La recherche doit, quant à elle, venir se caler sur les préoccupations du ministère et des industriels, afin d’adresser au mieux les principales problématiques ou de traiter les sujets orphelins.

Du côté de la formation, plus de 2 800 étudiants ont été formés ou sensibilisés à la cyber sur l’année 2015-2016, soit une augmentation de 40% par rapport à 2014-2015. Une vingtaine de nouvelles formations civiles ou militaires, ainsi qu’un catalogue d’une centaine d’offres de formation initiale ou continue ont été mis sur pied. Une gamme complète de formations en e-learning a également été initiée, afin de répondre aux contraintes de tous et donc de toucher le plus grand nombre.
Concernant la recherche, un accord général de partenariat a été signé fin 2014 entre la DGA, le CRB, le CNRS, l’INRIA et 11 académiques. Une feuille de route commune a ainsi été définie, autour d’un budget de 12 millions d’euros sur 6 ans. Un laboratoire de haute sécurité (LHS) a, de plus, été créé au sein de l’INRIA de Rennes.
Au niveau industriel, le Pôle d’Excellence Cyber accompagne les entreprises dans leur développement, avec une attention particulière portée aux PME-PMI innovantes, y compris à l’export.

La formation cyber doit s’adapter aux besoins des entreprises

La cyber représente un domaine stratégique pour la Bretagne, et ce depuis longtemps, constate Frédéric Rode, Directeur général de BDI. 150 entreprises spécialisées dans le domaine cyber ont d’ailleurs été identifiées dans le région, avec 50 pure players. En outre, 15 à 20 millions d’euros seront investis par la région entre 2015 et 2020 afin de favoriser le développement de ce secteur.

Parmi les acteurs clés de ce développement, nous pouvons également citer la présence d’EIT (European Institute of Innovation) Digital à Rennes. Ce dispositif européen, s’inscrivant dans le programme H2020, favorise la création de nouvelles entreprises. Il s’articule autour de 3 principaux objectifs, explique Yvonnick David, responsable EIT Digital Rennes :
- Former les étudiants à l’entreprenariat. EIT Digital contribue entre autres à l’éducation et à la formation des talents dans le domaine du numérique, via ses Master School et Doctoral Training Center ;
- Sortir des laboratoires de recherche toutes les innovations pouvant être transformées en solutions et services ;
- Accompagner les entreprises dans leur développement et leur business en France comme à l’international.

Le Club Formation du Pôle d’Excellence Cyber, animé par Télécom Bretagne, contribue également à la formation des jeunes et futurs acteurs de la sécurité numérique. Afin de pallier le manque d’experts en cybersécurité et les problèmes de recrutement auxquels font face aujourd’hui les entreprises dans ce domaine, le PEC a souhaité développer, en partenariat avec ses acteurs académiques, l’offre de formation au plus près des besoins, souligne Frédéric Cuppens, Télécom Bretagne. Ainsi, la mise en regard des formations existantes avec les besoins des industriels a permis de déterminer les nouvelles formations à développer. Parmi elles, on retrouve notamment une formation dédiée à la programmation sécurisée, une autre au métier d’architecte cyber et RSSI, ou encore au métier de gestionnaire des risques cyber.
Selon lui, l’attractivité de la filière auprès des étudiants, mais aussi des plus jeunes, y compris des filles, doit également être renforcée. Quant au déficit de formateurs, des plateformes dédiées à la formation à distance devront être mises sur pied de manière à toucher le plus grand nombre.

La recherche au service de la sécurité numérique de demain…

Inria_BenoitBaudry_c opyrightInria-photoKaksonen Benoit Baudry, Chercheur à l’INRIA - Copyright : Inria-photoKaksonen

Du côté de la recherche, de nombreux laboratoires œuvrent actuellement dans la région, afin de mieux connaître les menaces auxquelles nous devons désormais faire face et de déterminer les nouvelles technologies ou méthodes qui pourraient contribuer à renforcer le niveau de sécurité des utilisateurs. A titre d’exemple, Benoit Baudry, Chercheur à l’INRIA, équipe DiverSE, participe au projet Browser Fingerprinting. Son équipe s’intéresse aux différentes empreintes digitales que nous laissons sur le Web après notre passage, ainsi qu’aux techniques permettant de s’en prémunir et de mieux préserver sa vie privée. Auparavant, les sites Web installaient des cookies sur les postes clients, maintenant ils utilisent également des techniques de Browser Fingerprinting. Ces dernières permettent de récupérer de nombreuses informations concernant la machine, le navigateur… de l’utilisateur, et la combinaison de ces données permet généralement d’arriver à un identifiant unique. Ces informations sont ensuite enregistrées et stockées dans des bases de données sur les serveurs, ne laissant pas de trace directement sur la machine de l’utilisateur. La vision et la maîtrise de ses propres données s’en trouve donc encore plus restreinte.
Le site https://amiunique.org, développé par le laboratoire, vous permet de voir l’empreinte laissée par votre navigateur, et de déterminer si elle est « unique » ou pas et donc traçable. L’objectif de ce site et de ces recherches est de mieux comprendre les paramètres et mécanismes de fonctionnement des navigateurs et de développement les contre-mesures adéquates. Rendre l’empreinte « non-unique » est impossible, explique-t-il. L’objectif serait donc de rompre la stabilité de l’empreinte dans le temps en créant des sessions furtives, et de faire en sorte que l’empreinte envoyée au navigateur change tout le temps. L’équipe collabore actuellement avec le Fédération du réseau Tor et Mozilla afin de déterminer comment cette technique pourrait être mise en œuvre dans des versions futures.

Christian Grothoff, Chercheur à l’INRIA, équipe Tamis, travaille de son côté sur le projet Taler. Ce dernier vise à développer un système de paiement en ligne sécurisé, garantissant l’anonymat des transactions, et permettant le contrôle et la détection des fraudes. Barbara Kordy, Chercheuse à l’IRISA, et Florian Tardif, Doctorant, collaborent, quant à eux, sur le projet password. Ce dernier vise à mieux comprendre les différentes méthodes utilisées par les attaquants pour casser les mots de passe, mais aussi à déterminer les techniques offrant une plus grande résistance face aux attaques.

Jean-Louis Lanet, Directeur de recherche, Service Laboratoire de Haute Sécurité

Nous avons également pu pénétrer dans le Laboratoire de Haute Sécurité (LHS-PEC), installé dans une salle sécurisée au sein de l’INRIA. Les recherches du LHS-PEC, dirigé par Jean-Louis Lanet, se concentrent notamment sur l’analyse des logiciels malveillants, et plus particulièrement des ransomwares. L’objectif est de mieux comprendre comment fonctionne l’attaquant en vue de développer les contre-mesures appropriées. Les chercheurs travaillent également sur la liaison entre le logiciel et le matériel. Ils étudient, par exemple, les possibilités d’attaques par impulsion électromagnétique visant à perturber le matériel et à récupérer de l’information. Le réseau de ce laboratoire, dont l’accès est réservé uniquement à quelques personnes habilitées, est isolé du reste du réseau de l’INRIA de manière à éviter toute perturbation et contamination.

Trois plateformes tournent actuellement au sein du Laboratoire de Haute Sécurité :
- Une plateforme d’expérimentation d’infection de malware/ransomware et de restauration, ainsi que d’une base de virus et de ransomwares ;
- Une plateforme dédiée à l’observation électromagnétique et l’analyse des attaques par canaux auxiliaires. On peut, par exemple, retrouver rapidement le Code PIN d’une carte à puce par ce biais ;
- Un banc d’injection électromagnétique permettant la perturbation de processeurs, et entre autres la modification de données.

De son côté, la Chaire Cybersécurité CNI, portée entre autres par Télécom Bretagne, contribue au développement, au niveau international, des activités de recherche et de formation dans le domaine de la cybersécurité des infrastructures critiques. Nora Cuppens, Directeur de Recherche à Télécom Bretagne, nous a fait aux côtés de son équipe la démonstration de cyberattaques (DDoS, Cheval de Troie) menées sur une plateforme d’expérimentation des infrastructures critiques d’un système industriel. Via ces différentes simulations, l’objectif de ces chercheurs est d’améliorer les techniques de détection d’intrusion et de signaux faibles sur ces systèmes ICS, mais aussi de mieux répondre à ce type d’incidents.

De l’incubation des projets de recherche à la naissance de start-ups et PME

La société SecludIT est un bon exemple de transfert de technologies. Cette start-up, accompagnée par EIT Digital/Sécurité, propose désormais sur le marché Elastic Detector, une solution de détection et de gestion des vulnérabilités. Elle s’adresse aussi bien au responsable informatique d’une PME qu’au RSSI d’un grand groupe international. Elle fournit, de manière automatique, les indicateurs de risques qui permettent à tous de comprendre l’exposition du SI à la cybermenace, et d’y apporter les contre-mesures adéquates. « La sécurité ne doit pas être une contrainte », explique Nicolas Renard, SecludIT. « Elle doit être automatisée et à la portée de tous. »

Parmi les autres exemples de start-ups, nous pouvons citer le cas de Woleet, hébergée depuis février 2016 par l’incubateur Télécom Bretagne. Woleet propose une solution de sécurisation des données par ancrage dans la blockchain Bitcoin. Ce registre partagé permet de retracer de manière sécurisée des transactions de données et fonctionne sans organe central de contrôle. A l’heure actuelle, Woleet propose une plateforme en mode Saas permettant l’horodatage et la certification de documents dans la blockchain. Cette solution devrait d’ailleurs être utilisée à terme pour certifier les diplômes universitaires délivrés par Télécom Bretagne entre autres.

OPALE Security est, pour sa part, une société rennaise de conseil et d’expertise en sécurité hardware et software. Sa mission consiste à évaluer et à renforcer la sécurité des systèmes d’information et des écosystèmes électroniques par une approche globale technique et organisationnelle : elle intervient notamment sur les SI, les écosystèmes embarqués (IoT), les systèmes industriels critiques, et forme à la sécurité des usages numériques. SERMA SAFETY & SECURITY (S3), une entité de SERMA Group, a fait l’acquisition le 28 septembre dernier de la société OPALE Security. Via cette acquisition, S3 renforce son activité de Conseil, propose une offre globale pour la sécurité des systèmes complexes et connectés, et complète également son maillage géographique. Déjà implantée à Bordeaux et en région parisienne, la société intègre le site rennais d’OPALE Security dans son dispositif et compte bien le développer autour du Pôle d’Excellence Cyber.

Marc Norlain et Guillaume Despagne, Fondateurs d’AriadNEXT

La société AriadNEXT propose, quant à elle, des solutions sécurisées de dématérialisation et de contrôle des contrats ou documents. La solution IDCHECK.IO permet, par exemple, aux clients de vérifier en quelques secondes l’authenticité d’un document, afin de réduire le nombre de fraudes notamment. AriadNEXT a également créé avec le ministère de l’Intérieur et l’ANTS un standard nommé 2D-Doc, une technologie de sécurisation de documents par code-barre infalsifiable. Se présentant sous la forme d’un datamatrix, ce dernier contient les informations que le client cherche à protéger ainsi que leur signature électronique, tous deux lisibles à partir d’une application mobile spécifique. Cette solution peut s’adapter à tous les documents sur lesquels pèse un risque de fraude.

Enfin, pour conclure ce panorama, nous avons pu rencontrer la société Shadline, qui a développé un outil de travail collaboratif sécurisé permettant le partage de documents en toute confidentialité. Cette start-up implantée à Rennes concentre ses recherches sur la gestion des messages et le partage d’informations, notamment confidentielles. Shadline est construit sur un bloc de sécurité et permet à chaque utilisateur de créer une ou plusieurs « line », c’est-à-dire un espace de confiance permettant d’échanger des messages, de partager des fichiers… avec les contacts autorisés. La durée de vie de chaque line est également définie par l’utilisateur. Le niveau de sécurité repose sur la combinaison de techniques de chiffrement, d’anonymisation, de discrétion et d’obfuscation. L’offre « Freemium » est disponible gratuitement en mode bêta en français et anglais depuis juin 2016. Une version « Premium » sera accessible courant octobre, afin d’inviter une plus large clientèle de professionnels. « La société prévoit, en outre, une levée de fonds en 2017, afin d’accompagner son développement », explique Florent Skrabacz, Directeur général de Shadline.

Ces différents acteurs représentent, chacun à leur niveau, autant d’axes prometteurs, qui ne sont qu’un aperçu des multiples compétences œuvrant chaque jour pour renforcer un peu plus le niveau de cybersécurité et de cyberdéfense en France, et bien au-delà.


Articles connexes:


Voir les articles précédents

    

Voir les articles suivants