Pourquoi un appareil NoWayOS n’a pas de shell

La plupart des attaques contre un appareil dédié ne visent pas la tâche qu’il accomplit. Elles visent le reste de l’ordinateur sur lequel il tourne : le shell laissé là pour la maintenance, le service d’accès à distance que personne n’a coupé, le navigateur derrière l’application, le bureau à un plantage de distance.

Ce « reste de l’ordinateur » est partout. La passerelle qui sort les relevés d’une usine d’eau, le terminal dans la salle de contrôle d’un réseau électrique, les appareils sur lesquels compte un hôpital, le panneau sur le flanc d’une machine, l’écran dans le hall d’une gare : beaucoup tournent sur un système d’exploitation généraliste, avec une tâche par-dessus, et tout le reste encore là en dessous, désactivé par des réglages. Le mode kiosque en est la version la plus simple. Chaque compromission, c’est quelqu’un qui trouve le réglage qu’on a oublié.

Le laisser de côté, plutôt

NoWayOS part de l’autre bout. Une image NoWayOS contient l’application de l’appareil, les pilotes que cette application utilise, et le micronoyau seL4. C’est toute la liste.

Il n’y a pas de shell où atterrir, parce qu’aucun shell n’y a jamais été mis. Pas de connexion à distance dont on devinerait le mot de passe. Pas de bureau vers lequel s’échapper. Pas de moteur de navigateur qui attend une page malveillante. On ne peut pas mal configurer le réglage d’un logiciel qui n’est pas là.

Tout cela concerne le système d’exploitation. L’application qui tourne au-dessus, c’est autre chose : elle peut authentifier ses utilisateurs, et se connecter à d’autres systèmes, chaque fois que sa tâche le demande. Simplement, elle ne repose pas sur un système d’exploitation auquel quelqu’un peut se connecter.

Nous appelons cela un Single Purpose OS : un ordinateur qui n’a rien d’autre à faire.

Et ce qui reste est cloisonné

Laisser de côté, c’est la moitié du travail. Chaque partie qui reste (le réseau, l’écran, la saisie, l’application) tourne dans son propre compartiment, un domaine de protection dans les termes de seL4, et n’atteint que ce qui lui a été accordé. Le pilote réseau déplace des paquets. Le pilote d’affichage dessine. L’application parle à chacun par des messages de taille fixe.

Chaque droit est consigné dans un fichier, un fait par ligne, et la compilation échoue si le système et le fichier ne concordent pas. L’ensemble est construit pour qu’une faute dans une partie reste dans cette partie.

« Mais comment le réparer sans shell ? »

C’est la première question des ingénieurs, et elle est légitime. On ne se connecte pas au système d’exploitation d’un appareil NoWayOS : il n’a pas de comptes, il n’y a donc personne sous le nom de qui se connecter. On construit une nouvelle image et on remplace l’ancienne. Aujourd’hui, cela veut dire la construire et la charger sur la carte ; les mises à jour signées, vérifiées par l’appareil et capables de revenir en arrière en sécurité, sont conçues et en chemin.

En échange, vous obtenez un appareil qui démarre droit dans son unique tâche, avec bien moins à corriger et bien moins à attaquer. Pour les systèmes sur lesquels repose un pays, cet échange est tout l’intérêt.

Voyez par vous-même

Les éléments de preuve d’une image NoWayOS réelle, son fichier des droits, sa nomenclature et son relevé de configuration seL4, sont sur notre page Sécurité. Pas d’inscription, pas de script. Juste les fichiers.