Nommage et Sécurité dans un environnement Mobile, Multihomé et à Interfaces Multiples

Le jury est composé de : Abdelmadjid Bouabdallah – Professeur Université Technologique de Compiègne – Rapporteur ; Andrei Gurtov – Professeur University of Oulu – Rapporteur ; Stéphane Bortzmeyer – AFNIC – Examinateur ; Guy Pujolle – Professeur Université Pierre et Marie Curie – Examinateur ; Nadia Boukhatem – Professeur Télécom Paristech – Examinateur ; Maryline Laurent – Professeur Télécom SudParis – Directrice de thèse.

Une des problématiques majeures de sécurité pour les opérateur est de permettre à ses utilisateurs de maintenir la sécurité d’une communication même au travers d’un réseau qui ne soit pas de confiance.

Nous avons pris le parti dans cette thèse de nous intéresser à deux problématiques : la sécurité du service de résolution de noms DNS et le maintien de la sécurité IPsec des communications, suite à un changement d’adresse IP, de l’utilisation d’une interface supplémentaire, ou de la perte d’une interface.

Pour l’utilisateur, une communication est établie à partir d’un identifiant ou nom de domaine. Le système DNS permet d’associer à cet identifiant ou nom de domaine des adresses IP, qui vont permettre l’échange de paquets entre les deux nœuds. L’opérateur doit alors permettre à l’utilisateur de s’assurer que les adresses IP associées au nom de domaine sont légitimes, grâce à DNSSEC.

Ensuite, nous avons pris le parti dans cette thèse, d’utiliser IPsec pour sécuriser la communication. Des mécanismes doivent également être mis en place afin de permettre à l’utilisateur de maintenir la sécurité de cette communication lorsque l’utilisateur change d’adresses IP, utilise une interface supplémentaire, ou perd la connectivité sur une de ces interfaces. Ceci est réalisé grâce au protocole MOBIKE-X que nous avons proposé à IETF.

La mise en place d’un service de résolution DNS Sécurisé (DNSSEC) nécessite d’augmenter la capacité des plateformes de résolution DNS, en multipliant jusqu’à 4.25 fois les ressources nécessaires. Les opérations qui nécessitent le plus de ressources sont la résolution DNSSEC et le nombreux cache lookup. Les architectures actuelles considèrent un load balancer qui répartit le trafic sur un ensemble de nœuds, en considérant les adresses IP des requêtes. La répartition du trafic est uniforme, mais de nombreuses résolutions simultanées sont réalisées par la plateforme.

Pour éviter les résolutions parallèles, on répartit le trafic selon les noms de domaines. Cela réduit les ressources de 30%, mais la répartition est très inégale. Afin de palier cette inégalité, on a choisi, dans cette thèse, d’organiser les nœuds de la plateforme en Distributed Hash Table (DHT) afin qu’ils puissent coopérer entre eux. En testant différentes organisation, on montre qu’un cache pro-actif est le mécanisme le plus efficace. Le cache pro-actif tire parti de la distribution des requêtes DNS. La distribution du trafic suit une loi de puissance. Ainsi, les 2000 Fully Qualified Domain Names (FQDNs) les plus populaires représentent environ 70% du trafic. Par conséquent, cacher ces 2000 FQDNs au sein de tous les nœuds de la plateforme de Résolution évite des résolutions inutiles.

Une autre alternative consiste à implémenter le processus de cache pro-actif en amont du processus DHT. Ainsi les requêtes concernant les FQDNs populaires cachés ne seront pas traitées par le processus DHT. L’avantage est qu’un tel processus peut tourner sur des cartes accélératrices, et ainsi réduire les ressources à fournir par les serveurs DHT. On montre qu’en considérant les 2000 FQDNs les plus populaires, on divise par au moins 4 la taille de la plateforme de résolution.

La seconde partie est dédiée à la sécurité IPsec dans un contexte de Mobilité, de Multihoming et d’Interfaces Multiples. MOBIKE-X [106] est le protocole qui permet à la couche IPsec de gérer les opérations de Mobilité, de Multihoming, et d’interfaces Multiples. Si MOBIKE [47] gère la Mobilité avec un Hard Handover pour le mode Tunnel et pour un terminal n’ayant qu’une unique interface, MOBIKE-X étend ces fonctionnalités au mode Transport, permet la gestion d’interfaces multiples ainsi que la Mobilité avec un Soft Handover. L’utilisation du mode Transport revient à une architecture où la communication est sécurisée de bout en bout, de la même manière qu’avec TLS. MOBIKE-X permet aux ISP d’offloader les communications du Réseau Radio d’Accès vers des réseaux WLAN. L’intérêt d’IPsec est qu’il permet de sécuriser sans modifier l’application. IPsec propose deux modes : le mode Transport et le mode Tunnel.

L’utilisation du mode Tunnel correspond à une architecture où le Nœud Mobile tunnelle l’ensemble du trafic vers un point d’entrée d’un réseau de confiance -en l’occurrence, celui de l’opérateur. Si les délais de mise à jour, dans le cas du mode Transport, sont 2.65 fois plus importants que dans le cas du mode Tunnel, en revanche, l’utilisation du mode Transport simplifie considérablement les opérations réseau, et permet au système d’être beaucoup plus réactif. Plus exactement, le temps d’interruption d’une communication d’environ 264 ms est entre 9.3% et 15.6% plus rapide avec le mode Transport qu’avec le mode Tunnel.