Automatic Selection of Protections to Mitigate Risks Against Software Applications

Énoncé du Problème
Les applications logicielles font face à des risques majeurs de la part des attaques de type « Homme à la Fin » (MATE), où les adversaires disposent d'un accès complet au logiciel et aux systèmes l'exécutant. Les attaquants utilisent des outils tels que les débogueurs, les désassembleurs et les décompilateurs pour rétro-ingénierier des algorithmes, altérer la logique (par exemple, contourner les vérifications de licence) ou exécuter des copies non autorisées. Bien que les défenseurs puissent déployer des Protections Logicielles (SP) au sein de l'application pour atténuer ces risques, les pratiques actuelles souffrent d'un manque d'analyse formelle des risques et d'une dépendance à la « sécurité par l'obscurité ». La sélection des SP est généralement manuelle, effectuée par des experts basés sur l'intuition (« ressenti »), et évaluée uniquement après le déploiement. Cette approche est inefficace, coûteuse et difficile à mettre à l'échelle, particulièrement compte tenu de la pénurie d'experts en sécurité et de la pression exercée sur les éditeurs pour protéger plusieurs versions d'applications et plateformes sans dégrader les performances ou l'utilisabilité. Il existe un besoin critique d'une méthode formalisée et automatisée pour sélectionner et configurer des SP qui retarde les attaquants tout en respectant des contraintes strictes de surcharge.

Méthodologie
L'article propose une approche novatrice et automatisée pour la sélection de protections logicielles, formulée comme un problème d'optimisation de théorie des jeux. La méthodologie repose sur une Base de Connaissances (KB) qui formalise les éléments de prise de décision : les artefacts de code (Artefacts d'Application ou AA), les actifs, les exigences de sécurité (confidentialité et intégrité), les chemins d'attaque et les protections logicielles concrètes (CSP).

1. Formalisation et Évaluation des Risques : Le processus commence par l'annotation du code source pour identifier les actifs et leurs exigences de sécurité. Le système construit une représentation formelle de l'application et identifie les chemins d'attaque potentiels comme des séquences ordonnées d'étapes d'attaque atomiques. Ces chemins sont dérivés de taxonomies d'experts et représentent la séquence de tâches qu'un attaquant doit accomplir pour violer une exigence de sécurité.
2. L'Indice de Protection Logicielle (SPI) : Une contribution centrale est l'introduction du SPI, qui étend les notions existantes de « puissance » et de « résilience ». Le SPI quantifie l'efficacité d'une solution de protection en évaluant son impact sur des chemins d'attaque spécifiques. Il intègre des métriques logicielles (par exemple, la taille de Halstead, la complexité cyclomatique) et des évaluations d'experts pour modéliser comment les protections augmentent l'effort requis pour les étapes d'attaque (puissance) et comment les efforts d'attaque érodent l'efficacité des protections (résilience).
3. Optimisation par Théorie des Jeux : La sélection des protections optimales est modélisée comme un jeu non interactif entre un défenseur et un attaquant.
   • Le Défenseur : Propose une solution candidate (une séquence ordonnée de CSP appliqués à des artefacts spécifiques) pour maximiser le SPI.
   • L'Attaquant : Investit un effort dans des chemins d'attaque spécifiques pour minimiser le SPI (SPI résiduel).
   • L'Algorithme : Le système emploie une heuristique basée sur une stratégie d'exploration en profondeur d'abord mini-max. Pour gérer la complexité exponentielle de l'espace de recherche, l'algorithme utilise des optimisations de programmation dynamique, incluant l'élagage alpha-bêta, les fenêtres d'aspiration, les tables de transposition et l'élagage de futilité.
   • Ensembles de Corrélations de Code (CCS) : Pour améliorer encore l'efficacité, l'application est partitionnée en CCS indépendants, permettant de résoudre l'optimisation pour des sous-ensembles plus petits et gérables du code plutôt que pour l'application entière d'un coup.
4. Contraintes de Surcharge : Le processus de sélection est contraint par des seuils de surcharge (temps de calcul, mémoire, bande passante réseau). Le système utilise des modèles d'Apprentissage Automatique (ML) pour prédire les métriques et les surcharges des solutions candidates sans nécessiter la compilation réelle de chaque variante possible, garantissant ainsi que la solution sélectionnée reste utilisable.

Contributions Clés

• Un Modèle Formel pour la Sélection de SP : L'article présente un modèle formel qui intègre les artefacts de code, les actifs, les exigences de sécurité et les chemins d'attaque pour automatiser la sélection de SP optimales sous contraintes de surcharge.
• L'Indice de Protection Logicielle (SPI) : Une métrique originale qui évalue l'efficacité d'une protection contre des chemins d'attaque spécifiques, combinant des métriques logicielles avec des évaluations d'experts pour quantifier à la fois la puissance et la résilience.
• Algorithme d'Optimisation Automatisé : Une approche par théorie des jeux utilisant une recherche en profondeur d'abord mini-max avec des optimisations de programmation dynamique pour trouver des solutions de protection quasi optimales dans un délai faisable.
• Implémentation de Preuve de Concept (PoC) : Un outil fonctionnel (ESP) implémenté sous forme de plugins Eclipse qui prend en charge le code source C, intégrant des outils tels que Tigress et la Chaîne d'Outils de Compilation ASPIRE (ACTC).

Résultats et Validation
L'approche a été validée par une évaluation quantitative et qualitative impliquant des experts de l'industrie du consortium du projet ASPIRE.

• Analyse Quantitative : La PoC a été testée sur trois cas d'utilisation d'applications Android (un gestionnaire de licence, un générateur OTP et un lecteur vidéo avec DRM). Le temps d'optimisation a été mesuré par rapport au nombre d'objectifs de protection (PO), de chemins d'attaque et de profondeur de recherche. Bien que la complexité théorique soit exponentielle, l'utilisation de CCS et d'heuristiques a permis au système de trouver des solutions optimales en quelques minutes pour des scénarios réalistes (par exemple, des profondeurs de recherche de 3 à 6 et jusqu'à 512 PO).
• Évaluation Qualitative : Des experts (internes et externes au projet) ont évalué les sorties de la PoC. Ils ont confirmé que l'outil pouvait générer des solutions de protection personnalisées et de haute qualité, comparables à une sélection manuelle par des experts. Les experts ont noté que les SP sélectionnés préservaient la sémantique originale de l'application et introduisaient une surcharge computationnelle acceptable. L'outil a été jugé particulièrement utile pour soutenir les experts dans leurs tâches quotidiennes, bien qu'il ait été noté que sans un réglage fin des paramètres par un expert, le niveau de sécurité pourrait ne pas égaler celui d'un processus entièrement manuel.
• Tests Réels : Les solutions générées par la PoC ont été soumises à des attaques par des testeurs d'intrusion professionnels, qui ont signalé des retards significatifs dans l'attaque des applications protégées, validant ainsi l'efficacité pratique de la sélection automatisée.

Signification
L'article affirme que la protection logicielle automatisée est une solution pratique et efficace pour l'atténuation des risques dans le logiciel. En formalisant l'analyse des risques et en automatisant le processus de sélection, l'approche comble le fossé des compétences dans l'industrie et répond aux pressions liées au time-to-market auxquelles sont confrontés les éditeurs de logiciels. Elle va au-delà de la « sécurité par l'obscurité » en fournissant une méthode répétable, reproductible et formellement fondée pour retarder les attaquants tout en assurant l'utilisabilité de l'application. Le travail démontre qu'une approche par théorie des jeux, augmentée par l'apprentissage automatique pour la prédiction des métriques et la programmation dynamique pour l'optimisation de la recherche, peut efficacement naviguer dans les compromis complexes entre sécurité et performance dans le contexte des attaques MATE.