Bibliographie : Sécurité dans les Nano-Machines. Recherche bibliographique

Master M2 Réseaux Paris 6, UPMC

Mihai Amarandei-Stavila & Valentin Paquot valentin.paquot@gmail.com & mihaia@gmail.com

1. Introduction

La nanotechnologie basique est devenue une réalité. Néanmoins, même s’il existe désormais plusieurs nano-produits, ce domaine scientifique reste encore à ses balbutiements. En effet il n’existe aujourd’hui que des nano-structures simples (nano tube de carbones, etc.) ; et encore ces structures simples ne sont-elles pour l’instant que « passives ». Cependant, dans un avenir assez proche, la complexification de ces structures atteindra un niveau assez élevé pour qu’il soit possible de parler de nano-machines et de nanotechnologie « active ». Les nano-machines seront ainsi capables de réagir à des stimuli extérieurs tels que le changement de température, le changement de luminosité, les sons et les ondes radio. Leurs réactions seront aussi variées que les stimuli auxquels elles répondront : elles pourront se déplacer, communiquer (avec l’extérieur ou entres elles), opérer des calculs, assembler ou détruire des molécules, se réparer entre elles ou se reproduire. Bien entendu, toutes ces nouvelles applications génèreront de nouveaux besoins. Cette présentation s’intéresse à un de ces besoins : celui de la sécurité des nano-machines. L’étude de la sécurisation des nano-machines commence par définir ce que l’on entend par sécurité des nano-machines. En effet, la sécurité des nano-machines se situe à plusieurs niveaux et concerne différents domaines. Par souci de rigueur, nous avons délibérément choisi d’ignorer ou de passer rapidement en revue les domaines suivants :

- les applications de sécurité via les nano-machines : nano-capteurs, nano-biométries (mesure des concentrations, …) et toutes les sortes de nano-détecteurs ;

- la sécurité des utilisateurs : nous ne traiterons pas des risques liés à la poussière blanche (amas de débris de nano-machines).

De plus, comme les nano-machines ne représentent qu’une possibilité et pas encore une réalité, nous restreindrons le champ de cet article à l’étude de la sécurité des nano-machines dans un domaine précis : celui de la médecine. Les besoins en sécurité des nano-machines seront forcément différents selon leurs domaines d’application. Ainsi, un domaine X peut privilégier la fiabilité, là où un domaine Y privilégiera l’identification. Pour sérier au mieux ces besoins, nous avons choisi de nous placer dans un contexte d’usage médical. Nous commencerons par discuter les ouvrages antérieurs abordant ce sujet pour poser certaines hypothèses. Nous listerons ensuite les besoins en sécurité en présentant divers scénarii d’attaque sur les nano-machines, et enfin nous proposerons différentes alternatives pour répondre à ces besoins.

2. Recherches antérieures L’utilisation de la nanotechnologie en médecine représente un énorme potentiel d’amélioration de la qualité de vie ([ENano], [RNano]). Les utilisations théoriques envisagées par les scientifiques, de matériaux de construction intelligents jusqu'aux systèmes immunitaires informatisés, illustrent en partie ce potentiel et l'impact que cette technologie pourrait avoir dans le futur. Malgré la diversité des études théoriques autour de la nanotechnologie, les contraintes pratiques rendent impossibles pour le moment des réalisations viables de nano-structures. Ceci se traduit également par une absence d'intérêt commercial (l’usage commercial implique une possibilité d’utilisation par un tiers non qualifié, alors que toutes les utilisations commerciales imaginées pour l’instant rentrent dans le cadre d’une utilisation par des personnes compétentes et ayant autorité) et par des recherches orientées plutôt vers la partie physique de ce domaine. Ces raisons, et probablement d'autres comme la perception générale du sujet, font qu’actuellement il n’existe pas d’études portant sur l'aspect informatique des nanotechnologies, et donc sur la question de leur sécurité. En absence d'ouvrages antérieurs, l'approche adoptée pour repérer les problèmes possibles de sécurité ainsi que leurs solutions possibles consiste à trouver des analogies entre les nanotechnologies et des systèmes et structures informatiques existants. Plus spécifiquement, pour les utilisations médicales, une première approche consiste à considérer l’ensemble des nanobots comme des composants d'un système informatique distribué, ce qui permet d'identifier des premiers besoins sécuritaires. En prolongeant le raisonnement, on peut tracer un parallèle entre les nanobots et les systèmes dits « multi-agents », systèmes comportant des entités informatiques indépendantes et capables d'actions individuelles. Malheureusement, malgré l’existence de nombreux ouvrages sur les « agents » informatiques, le manque d'implémentations fonctionnelles signifie que l'aspect sécuritaire a peu été traité. Pourtant, certaines études ([CoSec],[MSec]) définissent le cadre général de leur sécurité et les besoins immédiats (identification, authentification, disponibilité, intimité). Dans les sections suivantes, nous avons utilisé cette analogie ainsi que les différents ouvrages sur la sécurité des systèmes multi-agents pour modéliser la sécurité des nano-machines médicales et repérer des solutions possibles pour les problèmes de sécurité identifiés. 3. Les nano-machines 3.1 Hypothèses Les hypothèses considérées dans cette section se divisent en deux catégories distinctes : psychiques et informatiques. Elles sont inspirées partiellement des systèmes multi-agents et construisent un modèle où la sécurité des nanotechnologies peut être abordée sans se soucier des contraintes pratiques.

Notre recherche bibliographique nous a conduit à poser les hypothèses physiques suivantes :

• des nano-machines de dimension 20x70x500nm ; • une puissance de l’ordre du MHz ; • une capacité de calcul individuel de l’ordre de 50Flops, possibilité de grouper les

capacités (grille de calcul) ; • une indépendance énergétique (hydrolyse de molécules d’ATP) ; • une capacité de stockage très limitée de l’ordre de la centaine de bits ; • une communication via le medium radio ; • un déplacement via les systèmes sanguin/lymphatiques ; • un langage de commande simple.

Hypothèses physiques

Energie On peut prévoir une autonomie de 25 minutes, avec une possibilité supplémentaire en cas d’apport d’énergie externe via les ondes. Différentes méthodes de renouvellement de l’énergie sont envisageables : la régénération par hydrolyse d’ATP ou le retour à une « base » (centre de traitement de taille centimétrique implanté dans le corps de l’individu, comme une puce sous-cutanée).

Capacité de traitement 1) individuel : entre 50 et 70 flops.

2) « cumulée » (en groupe) : il faut utiliser une grille de calcul qui permette une puissance cumulée de l’ordre du KiloFlops.

Puissance

Elle se situe dans l’ordre du MHz. Il est possible d’utiliser une puissance plus élevée mais dans le domaine d’utilisation que nous avons choisi d’étudier, laisser de telles puissance au sein du corps d’un individu pourrait être préjudiciable à sa santé ; aussi avons nous choisi de limiter la puissance des nanobots à l’ordre du MHz).

Mobilité Les nano-machines utiliseront le système sanguin et lymphatique pour se déplacer. Capacité de stockage La taille maximale des nano-machines limite leur capacité de stockage d'informations. L'impact de cette contrainte sur l'informatique est évident. Hypothèses informatiques

Identification Il serait trop difficile et trop coûteux d’identifier chaque nano-machine par scanner. Nous supposons donc qu’il est possible de stocker des informations provenant d’un identifiant dont nous discuterons de la taille plus loin. Cet identifiant sera scindé en deux parties : une partie dont la lecture se fera seulement de façon directe et physique (identifiant unique par individu) et une partie qui pourra être transmise par le medium radio (identifiant de groupe). Exemple d’écriture/lecture de cet identifiant :

Mouvement Il est possible, programmable et modifiable à volonté.

Commandes Les nano-machines utiliseront un langage de commandes simple. Connectivité Les nano-machines pourront communiquer avec l’extérieur et avec leurs pairs. (Une hiérarchie sera possible au sein des pairs). 3.2 Classification des nano-machines. Besoins particuliers Distinctions entre les besoins pour les usages uniques et pour les usages pérennes

Usage unique (ponctuel) Dans le cadre de la médecine, seront considérées comme usage unique toutes les interventions à faible durée temporelle. Prenons par exemple le cas d’une visite à l’hôpital pour un traitement anti-cancer. Le patient sera introduit dans une chambre spéciale, avec des murs bloquant les flux de commandes sur les nano-machines. Ce faisant, la sécurité sur les commandes seront transmisses au niveau supérieur et l’on pourra donc se contenter, au niveau des nano-machines, d’assurer les autres fonctions de sécurité. La fiabilité et la disponibilité restent donc les deux principales fonctions à assurer. Ces nano-machines non pérennes n’ont pas besoin d’identifiant propre et permanent. Néanmoins pour des raisons de sécurité globale, elles possèderont un identifiant utilisateur. Nous reviendrons ultérieurement sur cet identifiant.

Usage à long terme Ici nous parlons de nano-machines installées dans le corps pour une très longue durée (la durée de vie des nano-machines elles-mêmes), - c’est le cas par exemple des nano-machines qui traitent les carences de l’individu. On peut citer comme exemple de ce type d’usage des nano-machines ayant les mêmes fonctions que l’insuline, et qui permettentaux diabétiques d’éviter de venir toutes les semaines à l’hôpital pour recevoir une injection souvent douloureuse. Ce type de nano-machines aura prioritairement besoin des fonctions de sécurité suivantes : l’authentification (double, de la nano-machine et aussi de l’utilisateur qui lui transmet d’éventuelles commandes), la sécurisation des commandes, l’identification, la protection des données privées.

4. Sécurité des nano-machines 4.1 Scénarii d'attaque Le scénario d’attaque via des nano-machines « étrangères » On peut imaginer une version extrême d'une telle attaque avec un scénario d’une guerre entre nano-machines, beaucoup plus discrète qu’une guerre bactériologique, mais beaucoup plus fatale aussi. En effet, contrairement aux bactéries, il n’existe pas d’individus naturellement

immunisés contre les nano-machines. Imaginons un empoisonnement de masse via des nano-machines glissées dans la nourriture, dans des produits cosmétiques ou par n’importe quel autre moyen permettant d’atteindre une grande partie de la population. Ces nano-machines seraient programmées pour détruire les lymphocytes (comme le fait le virus du sida) et elles seraient passives jusqu'à la réception d’un signal d’activation (broadcast télévisuel par exemple). Des entités malveillantes pourraient ainsi prendre en otage tout un pays. Comment se protéger de ces nano-machines étrangères ? Il est inconcevable de se promener avec un brouilleur de signal personnel. Ce ne serait pas faisable et, de toute façon, illégal ; en effet, il est interdit de brouiller des fréquences utilisables par d’autres personnes. Le plus simple serait d’imaginer des nano-machines capables de détruire les nano-machines étrangères. C’est pour cela qu’il est nécessaire que toute nano-machine possède deux parties dans son identifiant, une partie propre à elle même et une partie propre à l’utilisateur. Cette seconde partie pourrait être un code généré aléatoirement pour chaque utilisateur. Ceci implique d’implanter dans le corps de chaque individu, un mécanisme de gestion des nano-machines dans une zone spécifique, par exemple une puce au niveau du poignet. Toute introduction « légale » de nano-machines devrait se faire via cette zone de contrôle, les nano-machines passant à travers cette puce se verrait alors doter dans leur seconde partie (vierge) d’un autre identifiant, l’identifiant de l’individu dans lequel elles travaillent dorénavant. Toute nano-machine introduite dans le corps de l’individu et ne possédant pas cette seconde partie d’identifiant serait détruite par les nano-gardiens. Discussion sur la taille de l’identifiant à partir de l’exemple du diabète : faut-il privilégier un identifiant unique ou bien opter pour des identifiants par groupe ? En France, 3 millions de personnes souffrent de diabète. Pour remplacer les injections d’insuline qu’ils reçoivent, il faudrait au moins 1 million de nano-machines. On voit tout de suite qu’un identifiant unique des nano-machines est impossible, il faudrait une taille d’identifiant gigantesque. C’est pourquoi nous préférons opter pour un identifiant de fonction. Il est primordial que les nano-gardiens connaissent tous les identifiants des groupes d’action tolérés dans le corps d’un individu, pour éviter les actions néfastes par copie du champ de l’identifiant utilisateur. Il faut donc que les nano-machines répondent aux nano-gardiens selon un chiffrement avec leurs deux parties d’identifiant. L’identifiant unique ferait ainsi office de clé privée. Le scénario d’attaque par reprogrammation d’une nano-machine Les sécurités définies ci-dessus empêcheraient d’introduire des nano-machines étrangères dans le corps de l’individu. Mais les assaillants pourraient opter pour une reprogrammation des actions « légales »des nano-machines. Il est facile de bloquer la possibilité de reprogrammation de certaines nano-machines à action simple qui ne répondront aux stimuli extérieurs que par actions simples (déplacement, changement d’action préprogrammé, etc). Cependant, il est possible que certaines nano-machines complexes aient besoin d’un champ de réponse plus large, pour mieux s’adapter aux contextes. Par exemple, des nano-machines actives sur les lymphocytes doivent être capables d’adapter leur champ d’action pour détruire des molécules différentes selon les stimuli. Il est primordial d’empêcher une entité néfaste d’agir sur le choix de ces molécules. Aussi est-il impératif d’authentifier la personne envoyant les stimuli.

4.2 Propositions 4.2.1 Identification Comme on a vu dans les exemples antérieurs d'attaques, et par analogie avec les systèmes multi-agents, l'identification des nano-machines correspond à un besoin de sécurité primaire. En effet les autres mécanismes de sécurité comme l'authentification reposent sur la sécurité de l’identification. Un identifiant unique pour chaque nano-robot n'est pas envisageable sur le plan pratique. Il serait même non-optimal pour certaines applications (par exemple dans l’éventualité où un identifiant unique serait mis en place). En effet, la taille nécessaire pour retenir un tel identifiant sur chaque entité est beaucoup trop grande au regard des possibilités physiques de stockage d'informations. Aussi proposons-nous un identifiant plus petit, scindé en deux parties, l’une spécifique à l'utilisateur, réalisant ainsi le lien nanobot – usager, et l’autre spécifique à chaque classe de nanobot. Cette dernière pourrait également être divisée pour permettre des mécanismes d'agrégation et d'identification de groupe (en fonction des usages spécifiques de chaque nanobot). Si la partie individuelle de l'identifiant des nano-machines peut être réalisée par des mécanismes connus comme ceux utilisés pour l'adressage IP, la partie spécifique à l'usager pourrait s'avérer plus difficile à réaliser. Le besoin d'identifier chaque usager de manière unique et avec la contrainte d’un espace de stockage limité, conduit à privilégier des identifiants biométriques, qui garantissent à la fois l'unicité et l’usage optimal de l'espace. Par exemple, l'ADN est un bon identifiant d'un usager et les nanobots pourront se voir attribuer une molécule ADN de l'usager à leur entrée dans son corps. • En conclusion

• Insérer un identifiant numérique pose des problèmes de taille de stockage. • Utiliser une signature électrique (cf. les molécules d’ADN) pose un problème de

non unicité des identifiants et de possible falsification. 4.2.2 Authentification Un mécanisme d'authentification constitue une brique de sécurité critique pour toute application répartie. Le cas des nano-machines médicales n'est pas différent. Comme nous l’avons vu précédemment, des scenarii faisant intervenir des nanobots malveillants sont envisageables et pourraient avoir des conséquences très graves. On peut proposer deux types d'authentification dans un nano-système:

• Une authentification nano-machine – nano-machine (nano-gardien – nanobot) • Cette authentification sera basée sur les identifiants. Une nano-machine qui ne

serait pas capable de prouver sa légitimité sera considérée comme non authentifiée et détruite. Des mécanismes physiques de mécanique moléculaire de vérification de l'identifiant pourraient assurer cette fonction, ce qui garantirait la sécurité de l’authentification.

• Une authentification nano-machine – centre de commande

• Cette authentification est plus délicate et plus difficile que la première. Ici on ne s'intéresse pas aux mécanismes de communication, mais au protocole que les entités pourraient utiliser pour s'authentifier. Il serait possible d’authentifier les nano-machines auprès du centre de commande en utilisant des machines spécialisées pour cette fonction qui pourrait relayer l’information transmise par

les machines médicales afin de réduire la charge qui pèse sur celles-ci. Les machines spécialisées pourraient aussi vérifier l’authenticité de l’information transmise afin de limiter les possibilités de fausse authentification. Bien sûr, le problème se déplace à celui de l’authentification de ces nano-machines spéciales mais on peut envisager des scénarii où ces machines seraient à leur tour authentifiées par les nano-gardiens et donc fiables.

4.2.3 Disponibilité

Dans le cas des nano-machines, la disponibilité informatique est assurée par l’authentification des entités. Celle-ci assure que la source des commandes est légitime. Les autres causes qui nuisent à la disponibilité sont d’une nature que l’informatique ne peut pas contrôler. Il est néanmoins intéressant d’observer l’état d’ensemble du système ; des éventuelles nano-machines inactives pourront en effet remplacer celles qui auraient été détruites par des causes physiques. Deux mécanismes de suivi sont proposés :

Pooling Cette première méthode utilisable pour assurer la disponibilité est la plus coûteuse du point de vue des ressources, car elle nécessite que la station de commande reçoive et envoie des messages à toutes les nano-machines. Des messages périodiques, envoyés avec des délais aléatoires pour protéger la disponibilité de la station centrale pourraient l’informer sur l’état des nano-machines. Une nano-machine serait considérée comme perdue après l’absence de réponse à un certain nombre de messages. D’autres calculs statistiques pourraient être réalisés à partir des informations reçues.

Vérification de proximité

Pour limiter le nombre de messages envoyés et reçus, une catégorie spéciale de nanobots pourrait être utilisée pour observer les autres machines dans son périmètre et transmettre ou stocker cette information. Pour augmenter la possibilité de détection, les nanobots pourraient se localiser dans certains endroits du corps. Les informations ainsi reçues seraient retransmises à la base ou enregistrées pour une transmission ultérieure.

5. Conclusions Le champ exploré dans ce document est expérimental et encore au début de ses développements scientifiques. Aussi les conclusions présentées ici doivent être interprétées avec prudence et en référence aux hypothèses posées au début de ce document, hypothèses qui pourraient bien sûr changer avec le temps. Néanmoins, en fonction de ces hypothèses, notre première conclusion est que les nano-technologies, comme bien d’autres avancées scientifiques, pourraient avoir des utilisations très positives (en médecine notamment) mais qu’elles peuvent également s’avérer extrêmement dangereuses. Le potentiel très important de cette technologie peut en faire une arme destructrice. En l’absence d’une législation adaptée et de ressources financières suffisantes, les possibilités de détecter efficacement une attaque à base de nano-machines sont réduites. Or des attaques de ce type peuvent s’avérer très destructrices. Pour se protéger de ces possibles scenarii d’attaque, les nano-machines devraient intégrer des mécanismes de sécurité pour réduire ces attaques et pour assurer la sécurité des utilisateurs légitimes. Les solutions actuelles de sécurité pourraient être adaptées aux nano-machines, mais elles devront intégrer des contraintes physiques extrêmement fortes, ce qui peut réduire leur efficacité. Il faut donc espérer que l’avancée technologique permettra dans l’avenir de développer ces solutions au niveau moléculaire de façon facile et efficace. Si ce n’est pas le cas, il faudra trouver d’autres solutions de protection, solutions qu’on ne peut pas encore prévoir. Bibliographie [RNano] Nanotechnology – The issues – Royal society of chemistry [ENano] Future Tech: The Promise of Nanotechnology for Retail & Consumer Products – Ernst & Young [CoSec] Context-based Security Management for Multi-Agent Systems Dipartimento di Elettronica, Informatica e Sistemistica (DEIS) University of Bologna [MSec] Multi-Agent Systems and Security Requirements Analysis Paolo Bresciani, Paolo Giorgini, Haralambos Mouratidis, and Gordon Manson [RNano] Etat de la recherche et projections - http://www.nanobot.info/