SmaSA – un projet de recherche financé par le BMBF
Ancrages de sécurité basés sur la carte à puce pour Android
Motivation
L'utilisation croissante des appareils mobiles intelligents tels que les téléphones portables et les tablettes, à la fois à des fins privées et professionnelles, représente une menace élevée pour les entreprises. Si ces appareils sont accessibles par des personnes non autorisées ou s'ils sont endommagés suite à une mauvaise utilisation ou à cause d'un logiciel malveillant, le réseau de l'entreprise peut être affecté, engendrant des pertes de données irréversibles. Ces menaces peuvent être évitées en utilisant un point d'ancrage matériel de sécurité qui permet la sécurisation du démarrage, la création et le stockage des clés de cryptage, ainsi que la vérification de la fiabilité des applications. Pour les ordinateurs de bureau et les notebooks, ce système est généralement mis en œuvre par le biais de modules de plateforme sécurisés (TPM). Le projet "Smartcard-Based Security Anchors for Android" (SmaSA) se concentre sur la mise en application de cette technologie pour les appareils mobiles intelligents de manière pratique.
Approche et objectifs
L'objectif de ce projet est de concevoir des méthodes et des logiciels, afin d'améliorer et renforcer les points d'ancrage matériels de sécurité, en particulier pour les systèmes d'exploitation Android. Étant donné que les appareils mobiles ne sont pas équipés de TPM, une carte micro-SD supplémentaire est nécessaire pour fonctionner en tant que point d'ancrage. Au cas où cette sécurité individuelle ne peut pas être réalisée sur cette carte, des dispositifs matériels et logiciels spécifiques tels que ARM TrustZone ou Java Card peuvent être utilisés comme alternative. Ces technologies permettent de sécuriser le démarrage des appareils Android en authentifiant l'utilisateur avant le démarrage réel (authentification pré-amorçage). Si la connexion échoue, l'appareil mobile reste entièrement crypté, y compris toutes les applications, les données et le système d'exploitation. D'autre part, il est possible de vérifier l'intégrité du smartphone via une attestation distante, par exemple en obtenant une vérification de l'unité centrale du téléphone (composant de gestion de l'appareil mobile). Alors que l'attestation distante a été reconnue pour les ordinateurs, celle-ci n'a pas encore été utilisée pour les appareils mobiles ou adaptée pour leurs besoins spécifiques. Suite à ce projet, les applications de sécurité basées sur les cartes à puce peuvent également être utilisées sur Android, ce qui ouvre de nouveaux domaines d'applications pour ce type de technologie.
Le cryptage du système entier et le démarrage sécurisé basé sur carte à puce participent à contrer de nombreux risques relatifs à la sécurité. Le niveau de sécurité peut être amélioré en intégrant une authentification de pré-amorçage dans le processus, qui permet également d'être protégé contre les accès non autorisés. Les outils élaborés dans ce projet sont capables de résoudre ce problème pour les appareils mobiles par le biais d'une carte à puce ou d'un module de sécurité équivalent.
Les principaux objectifs du projet SmaSA sont :
- L'élaboration de méthodes et de composants logiciels améliorant les points d'ancrage de sécurité, afin de sécuriser le matériel principal et le démarrage des appareils mobiles intelligents
- L'intégration de cartes à puce en tant que composants de sécurité basés sur le matériel, puisque les appareils mobiles n'intègrent pas de modules de sécurité matériel (TPM) comme peuvent le faire les ordinateurs
- L'externalisation de ces composants de sécurité fonctionnels, chose qui ne pouvait pas être réalisée sur les cartes ARM TrustZone et JavaCard
- L'implémentation de SecureBoot avec une authentification de pré-amorçage sur BizzTrust
Organisation du projet
SmaSA est un projet de recherche conjoint de Rohde & Schwarz Cybersecurity GmbH et de Westphalian University of Applied Sciences avec l'institut de la sécurité internet (Prof. Dr. Norbert Pohlmann). Le projet a été financé par le maître d'ouvrage, le Ministère fédéral de l'éducation et de la recherche allemand (BMBF).
- Gestion du projet : VDI/VDE Innovation + Technik GmbH
- Consortium : Rohde & Schwarz Cybersecurity GmbH, Westphalian University of Applied Sciences - Institute for Internet Security
- Durée du projet : 04/2014–09/2017