Séminaire des étudiants et anciens (C4 - Cybersécurité, Confiance numérique, Cocktails et Collations) le 23 octobre 25

Ce séminaire, destiné aux étudiants de Télécom SudParis en cybersécurité et aux anciens élèves, aura lieu à Palaiseau, dans le bâtiment IMT/TP/TSP, en Amphi 2, à partir de 14h. Il sera suivi, à partir de 19h, d'un cocktail dînatoire à l'Entrepôtes 19, près du bâtiment TP/TSP.

Si vous souhaitez présenter une rump (une intervention courte de moins de 5 minutes, pendant la session dédiée en fin d'après-midi), vous pouvez envoyer un mail aux organisateurs avec le titre de votre rump, et ceci jusqu'au 23 octobre à 14h.

Programme

13h30 : Café
14h00 : Grégory Blanc, Christophe Kiennert et Olivier Levillain - Accueil
14h15 : Gabriel Zaïd (Thales) - Vers une nécessité de Certifier la sécurité des IA - Exemple d’une attaque physique
15h00 : Karolina Gorna (Télécom Paris) - La détection de vulnérabilités par exécution concolique dans les binaires Go
15h30 : Nicolas Peiffer (Thales) - Key Management Service plugin pour Kubernetes
16h00 : Pause
16h45 : Grégoire Menguy (CEA) - Synthèse de programme pour la rétro-ingénierie de binaire
17h30 : Aina Rasoamanana (Valéo) - Utilisation de l'Active Automata Learning pour analyser les implémentations des protocoles réseau
18h00 : Rump Session
19h environ : Cocktail dînatoire à l'Entrepôtes 19 près du bâtiment TP/TSP

Gabriel Zaïd (Thales) - Vers une nécessité de Certifier la sécurité des IA - Exemple d’une attaque physique

La diffusion croissante des systèmes d’intelligence artificielle (IA) dans des domaines critiques, tels que celui de la défense, impose une réflexion sur leur certification en matière de sécurité. Le règlement européen AI Act répond à cet impératif en instaurant un cadre réglementaire destiné à évaluer et contrôler les risques liés aux IA dites « à haut risque ». L’objectif est double : garantir la confiance des utilisateurs et prévenir les dérives techniques ou éthiques associées à ces technologies. À travers cette présentation, nous montrerons, par l’exemple, la mise en œuvre d’une attaque contre une IA embarquée dans un système physique. Cette attaque, combinant des attaques par canaux auxiliaires et par cryptanalyse, vise à porter atteinte à la propriété intellectuelle d’une entreprise en copiant fidèlement l’IA ciblée. Nous expliquerons en quoi une telle menace peut compromettre la confiance dans les systèmes d’IA et présenterons quelques pistes de réflexion permettant de réduire ces risques.

Bio : Gabriel ZAÏD est ingénieur en cryptographie et machine learning au CESTI de Thales à Toulouse. Il évalue la sécurité des instruments physiques et des systèmes embarquant des primitives cryptographiques. Ses travaux de recherche couvrent plusieurs aspects pratiques autour de la cryptographie et son application dans les sytèmes embarqués. Il s'intéresse particulièrement aux attaques par canaux auxiliaires et à l'usage du machine learning, notamment afin d'acquérir une meilleure compréhension de la sécurité physique de l'intelligence artificielle embarquée.

Karolina Gorna (Télécom Paris) - La détection de vulnérabilités par exécution concolique dans les binaires Go

Go est devenu essentiel pour les infrastructures cloud et les applications blockchain, mais ses programmes restent vulnérables à des défaillances d'exécution que les tests conventionnels ne détectent souvent pas. Les outils d'exécution symbolique existants peinent à gérer les fonctionnalités spécifiques au runtime de Go, notamment l'ordonnancement des goroutines, la gestion de la mémoire et la répartition des interfaces. Notre travail présente Zorya, un framework d'exécution concolique implémenté en Rust qui opère sur des binaires pouvant être traduits dans la représentation intermédiaire P-Code bas niveau de Ghidra, dont notamment les binaires Go. Le framework introduit des techniques d'exploration guidées par les panics qui concentrent l'effort d'analyse sur les chemins de code critiques, combinées à des stratégies d'analyse au niveau des fonctions. L'évaluation démontre que Zorya détecte avec succès diverses catégories de vulnérabilités d'exécution dans les programmes Go, incluant des cas de test théoriques et réels issus d'audits de sécurité.

Bio : Karolina GORNA est doctorante en cybersécurité et blockchain à Télécom Paris et au Ledger Donjon. Ancienne diplômée du master SSR de Télécom SudParis et présidente de l'association KRYPTOSPHERE, elle a encadré plus de 500 étudiants à travers la France et co-organisé l'International Space Apps Challenge de la NASA à Paris. Elle a mené des formations pour le MIT Professional Education, l'AFORP et Télécom Paris, et participe actuellement aux travaux du Campus Cyber sur la sécurité des cryptoactifs.

Nicolas Peiffer (Thales) - Key Management Service plugin pour Kubernetes

Le k8s-kms-plugin [1] est un plugin de Key Management Service (KMS v2 Provider) pour Kubernetes. Il se destine principalement aux cluster kubernetes dit edge ou far edge, qui ont la particularité d'être contraint en ressource (comme des IoT) et contraints en terme de connectivité (connexion à un réseau internet intermittente ou inexistante).

Le k8s-kms-plugin utilise des racines de confiance matérielles comme des TPM ou des USB HSM pour y stocker des Key Encryption Key qui servent à protéger en confidentialité (chiffrement) une Data Encryption Key utilisée par l'API Kubernetes pour chiffrer des élements sensibles comme les objets "secrets".

Le k8s-kms-plugin est compatible avec des équipements PKCS #11 comme les Thales SafeNet eToken Fusion (2)(3) ou les Yubico YubiHSM [4].

Codé en Go, il offre une CLI moderne qui facilite son utilisation.

[1] https://github.com/ThalesGroup/k8s-kms-plugin/tree/update-to-kms-api-v2

[2] Thales SafeNet eToken Fusion: https://cpl.thalesgroup.com/access-management/authenticators/etoken-fusion

[3] https://www.amazon.com/stores/THALES/page/B8E3397F-916E-49C7-B10A-4F6C017851B3?lp_asin=B0CMPFPSQW&ref_=cm_sw_r_ud_ast_store_Z1WCCEDTJZVPBWSBYTST

[4] https://github.com/ThalesGroup/k8s-kms-plugin/blob/update-to-kms-api-v2/docs/yubico-yubihsm2.md

Bio : Diplômé de Télécom SudParis en 2017, titulaire du tire ESSI, je me suis forgé une expérience avec les technologies et les paradigmes du monde "cloud-natif" appliqués aux systèmes industriels critiques. Openstack, QEMU, Kubernetes, Podman, DevSecOps, ingénierie logicielle, Supply chain security, architecture cybersécurité, cryptographie post quantique... sont quelques mots clés pour décrire les sujets que je traite au quotidien. Je suis un humble contributeur sur plusieurs projets open source, comme par exemple sur la spécification SBOM CycloneDX. Je suis également un des points de contacts entre Thales et la Linux Foundation.

Grégoire Menguy (CEA) - Synthèse de programme pour la rétro-ingénierie de binaire

La rétro-ingénierie de programme, et notamment de binaires, est une tâche cruciale en sécurité, par exemple pour comprendre des logiciels malveillants. Malheureusement, les logiciels sont de plus en plus grands et complexes. Il devient donc nécessaire de proposer de nouvelles approches automatiques pour aider à la rétro-ingénierie et à la compréhension de code. Celles-ci sont usuellement en boîte blanche, utilisant la syntaxe du code pour déduire ses propriétés. Elles sont très efficaces mais sont impactées par la complexité syntaxique du code qui peut être accentuée par de l'obfuscation. Cette présentation explore comment les méthodes en boîte noire peuvent inférer des propriétés utiles pour la rétro-ingénierie. Nous étudierons deux problèmes : (i) l'inférence de contrat de fonction qui tente d'apprendre sur quelles entrées une fonction peut être exécutée pour obtenir les sorties souhaitées et (ii) la déobfuscation, qui vise à simplifier du code obfusqué.

Bio : Grégoire Menguy est chercheur au CEA LIST. Ses recherches se concentrent sur l’utilisation des méthodes d’intelligence artificielle pour la rétro-ingénierie et la déobfuscation. Il a réalisé sa thèse au CEA LIST après un cursus d'ingénieur à Telecom SudParis (option cybersécurité) où il a été certifié ESSI par l'ANSSI.

Aina Rasoamanana (Valéo) - Utilisation de l'Active Automata Learning pour analyser les implémentations des protocoles réseau

Les implémentations de protocoles réseau sont omniprésentes dans nos systèmes modernes. Nous nous appuyons quotidiennement sur divers protocoles tel que TLS. L'un des problèmes des piles réseau est qu'elles peuvent présenter des transitions incorrectes dans leurs machines à état, ce qui peut entraîner des problèmes de sécurité. Dans un précédent article [0], notre équipe a étudié les machines à état de diverses piles TLS, ce qui nous a permis de rejouer des bugs de sécurité connus et de découvrir des nouvelles vulnérabilités. Globalement, nos découvertes peuvent être classées comme suit :

des contournements d'authentification (en sautant un ou plusieurs messages, il peut être possible d'atteindre des états authentifiés sans avoir à présenter des signatures ou mot de passe) ;
des dénis de service (dans certains cas, nous avons trouvé des états où une pile accepterait indéfiniment un message insignifiant, permettant à un attaquant de maintenir une connexion ouverte, avant l'authentification) ;
le fingerprinting (ce n'est pas une vulnérabilité en soi, mais nous avons montré que les piles TLS pouvaient être distinguées par leur comportement).

Depuis 2022, nous travaillons sur d'autres protocoles tels que SSH, et sur l'amélioration de nos outils. Cette étude a soulevé des défis intéressants en termes de complexité (par exemple, SSH utilise beaucoup plus de messages par rapport à TLS et peut produire d'énormes machines à état) et d'expressivité (exprimer et raisonner sur les propriétés de sécurité de manière rigoureuse et efficace peut être difficile).

Bio : Aina Rasoamanana est ingénieur R&D en sécurité à Valeo. Titulaire d’un doctorat de l’Institut Polytechnique de Paris, réalisé à Télécom SudParis, son expertise s’étend à la cryptographie, à la sécurité des protocoles de communication et à la sécurité logicielle.

[0] Aina Toky Rasoamanana, Olivier Levillain and Hervé Debar. Towards a Systematic and Automatic Use of State Machine Inference to Uncover Security Flaws and Fingerprint TLS Stacks. In ESORICS 2022. https://paperstreet.picty.org/yeye/2022/conf-esorics-RasoamananaLD22/

Séminaire CoaP du 09 septembre

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 2 présentations le mardi 09 septembre prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Guillaume Scerri (ENS Paris-Saclay): Capturing new cryptographic proofs techniques using logic: extensions to the computationally complete symbolic attacker

Abstract: When proving cryptographic protocols, one has to deal with a malicious attacker. In particular this means that it is crucial to carefully capture attacker capabilities. This is best done by reducing security of protocols to known hard problems. However these cryptographic reductions can be quite complex and when done by hand such reductions can be rather hard to check. In recent years there has been a push to capture such reductions using logics that can be checked using (dedicated) proof assistants. In this talk we explore the intricacies of capturing complex cryptographic reductions in one of these logics the Computationally Complete Symbolic Attacker logic. We will focus on two main techniques: hybrid arguments and rewinding, and show how they can be applied to proofs of new protocols, namely e-voting mixnets.

Vidal Attias (CEA): Augmenting Search-based Program Synthesis with Local Inference Rules to Improve Black-box Deobfuscation

Abstract: Code obfuscation aims to protect programs from reverse engineering, with applications ranging from intellectual property protection to malware hardening. Recent works on black-box analyses propose to leverage program synthesis in order to infer the semantics of highly obfuscated code blocks. Being fully black-box, these approaches are immune to syntactic complexity and can thus bypass standard obfuscation mechanisms. Yet, they are restricted by their synthesis capabilities and can only be applied to semantically simple code blocks. It explains why they have mainly been used on virtual machine handlers, where behaviors are usually simple enough. Applying black-box deobfuscation at scale beyond virtualization is still an open problem, notably because black-box methods cannot synthesize complex behaviors involving, for example, arbitrary constant values or affine or polynomial relations over mixed-boolean-arithmetic expressions. In this article, we show how to combine search-based program synthesis with local inference rules, resulting in a black-box method named Search Modulo Inference Rules (Smir) which allows boosting the capabilities of search-based program synthesis while keeping its generality and flexibility.

We instantiate our method with inference rules dedicated to hard synthesis problems like arbitrary constant values and affine or polynomial relations over mixed boolean expressions, yielding a new black-box deobfuscation tool named XSmir. Experiments demonstrate that XSmir significantly outperforms prior black-box deobfuscators.

Séminaire CoaP du 10 juin

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 1 présentation le mardi 10 juin prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Héliou Alice, Thouvenot Vincent, Lampe Rodolphe, Huynh Cong Bang, Morisse Baptiste (Thales): AI Friendly Hacker : when an AI reveals more than it should

Abstract: The aim of AI based on machine learning is to generalize information about individuals to an entire population. And yet...

Can an AI leak information about its training data?
Since the answer to the first question is yes, what kind of information can it leak?
How can it be attacked to retrieve this information?

To emphasize AI vulnerability issues, a challenge was proposed at CAID2023 on confidentiality attacks based on two tasks:

Membership Attack: An image classification model has been trained on part of the FGVC-Aircraft open-access dataset. The aim of this challenge is to find, from a set of 1,600 images, those used for training the model and those used for testing.
Forgetting attack: The model supplied, also known as the "export" model, was refined from a so-called "sovereign" model. The sovereign model has certain sensitive aircraft classes (families) which have been removed and replaced by new classes. The aim is to find which of a given set of classes have been used to train the sovereign model, using only the weights of the export model.

The Friendly Hackers team of CortAIx LAbs won the two tasks. At the seminar we will present how we did it and what lessons we learned during this fascinating challenge.

Séminaire CoaP du 13 mai

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 2 présentations le mardi 13 mai prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Dimitrios Kokkonis (CEA) - ROSA: Finding Backdoors with Fuzzing

Abstract: A code-level backdoor is a hidden access, programmed and concealed within the code of a program. For instance, hard-coded credentials planted in the code of a file server application would enable maliciously logging into all deployed instances of this application. Confirmed software supply-chain attacks have led to the injection of backdoors into popular open-source projects, and backdoors have been discovered in various router firmware. Manual code auditing for backdoors is challenging and existing semi-automated approaches can only handle a limited scope of programs and backdoors, while requiring manual reverse-engineering of the audited (binary) program. Graybox fuzzing (automated semi-randomized testing) has grown in popularity due to its success in discovering vulnerabilities and hence stands as a strong candidate for improved backdoor detection. However, current fuzzing knowledge does not offer any means to detect the triggering of a backdoor at runtime. In this work we introduce ROSA, a novel approach (and tool) which combines a state-of-the-art fuzzer (AFL++) with a new metamorphic test oracle, capable of detecting runtime backdoor triggers. To facilitate the evaluation of ROSA, we have created ROSARUM, the first openly available benchmark for assessing the detection of various backdoors in diverse programs. Experimental evaluation shows that ROSA has a level of robustness, speed and automation similar to classical fuzzing. It finds all 17 authentic or synthetic backdooors from ROSARUM in 1h30 on average. Compared to existing detection tools, it can handle a diversity of backdoors and programs and it does not rely on manual reverse-engineering of the fuzzed binary code.

Bio: I am a PhD student in the BINSEC team at CEA List, working under the supervision of Stefano Zacchiroli and Michaël Marcozzi. My research is focused on the automation of the detection of advanced vulnerabilities in binary programs. I graduated from Polytech Sorbonne in 2020 with a Master's degree in Embedded Systems.

Quentin Michaud (Télécom SudParis / Thales) - Robust Stack Smashing Protection for WebAssembly

Abstract: WebAssembly is an instruction set architecture and binary format standard, designed for secure execution by an interpreter. Previous work has shown that WebAssembly is vulnerable to buffer overflow due to the lack of effective protection mechanisms. In this work, we evaluate the implementation of Stack Smashing Protection (SSP) in WebAssembly standalone runtimes, and uncover two weaknesses in their current implementation. The first one is the possibility to overwrite the SSP reference value because of the contiguous memory zones inside a WebAssembly process. The second comes from the reliance of WebAssembly on the runtime to provide randomness in order to initialize the SSP reference value, which impacts the robustness of the solution. We address these two flaws by hardening the SSP implementation in terms of storage and random generator failure, in a way that is generalizable to all of WebAssembly. We evaluate our new, more robust, solution to prove that the implemented improvements do not reduce the efficiency of SSP.

Bio: I am a Télécom SudParis PhD student in the Cybersecurity team of CortAIx Labs, a Thales research laboratory, under supervision of Joaquin Garcia-Alfaro, Olivier Levillain and Dhouha Ayed. I am working on securing distributed systems on constrained and diverse devices by leveraging technologies such as WebAssembly and Confidential Computing.

Séminaire CoaP du 08 avril

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 2 présentations le mardi 08 avril prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Ayoub WEHBY (Telecom Paris) - Towards Secure Connected Cars: AI-Based Defense Against CAM-Based DDoS Attacks

Abstract: The increasing connectivity of modern cars enhances driver safety and comfort but also expands the attack surface for cyber threats. In this presentation, we first explore the vulnerabilities of connected cars, focusing on Distributed Denial-of-Service (DDoS) attacks leveraging Cooperative Awareness Messages (CAMs) and their impact on safety-critical applications. We then introduce a machine-learning detection approach, developed using a CAM-based DDoS dataset generated from a realistic traffic scenario in Luxembourg City. Next, we demonstrate the generalizability of our models against morphing DDoS attacks. Finally, we unveil a new attack model incorporating Sybil-based techniques that challenge our detection system and discuss the strategies employed to restore detection accuracy. This work highlights the urgent need for robust intrusion detection systems in connected car environments.

Sirdey Renaud (CEA) - Beyond CPA security for FHE

Abstract: Since its inception more than ten years ago, Fully Homomorphic Encryption has been the subject of a lot of research towards more efficiency and better practicality. From a security perspective, however, FHE still raises a number of questions and challenges, in particular due to the fact that all the FHE used in practice achieve only CPA-security (and all of these schemes are trivially CCA1 insecure). Over the last few years, very active research has been done to explore the security of FHE beyond that regime with new security notions, attacks and constructions emerging. In this talk, we will cover recent “slightly beyond CPA” security notions, such as CPAD, as well as new attacks on FHE in that model. We’ll then move on to CCA security for FHE and present recent results towards answering the two questions: can we build FHE schemes offering some degree of CCA security? And, what is the strongest degree of CCA-security achievable by FHE?

Séminaire CoaP du 11 mars

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 2 présentations le mardi 11 mars prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Nicolas Peiffer (Thales) - A Journey Through SBOMs and Software Provenance Attestations in the Industry: Cryptography BOM, Patents BOM, ML-AI BOM, Meta-BOM…

Abstract: In Europe, the Cyber Resilience Act (EU CRA) is being implemented to encourage, through regulations and laws, companies and open-source software communities to develop more secure software. The EU CRA is often referred to as the "GDPR for software": although the directive is now in effect, many entities are not yet prepared and face technical and organizational questions that they will need to address in order to comply with the legislation. This presentation will share Thales' experience regarding Software Bills of Materials (SBOMs) and software provenance attestations, such as in-toto and SLSA. It will particularly focus on "exotic BOMs," including Cryptography BOM, Patents BOM, ML-AI BOM, and Meta-aggregated-BOM, for which there are few or no suitable tools available. The presentation will also discuss the challenges associated with the Meta-aggregated-BOM in the context of "system of systems." Finally, it will highlight Thales' open-source contributions to the CycloneDX BOM format.

Guilhem Lacombe (CEA) - Attacker Control and Bug Prioritization

Abstract: As bug-finding methods improve, bug-fixing capabilities are exceeded, resulting in an accumulation of potential vulnerabilities. There is thus a need for efficient and precise bug prioritization based on exploitability. In this work, we explore the notion of control of an attacker over a vulnerability’s parameters, which is an often overlooked factor of exploitability. We show that taint as well as straightforward qualitative and quantitative notions of control are not enough to effectively differentiate vulnerabilities. Instead, we propose to focus analysis on feasible value sets, which we call domains of control, in order to better take into account threat models and expert insight. Our new Shrink and Split algorithm efficiently extracts domains of control from path constraints obtained with symbolic execution and renders them in an easily processed, human-readable form. This in turn allows to automatically compute more complex control metrics, such as weighted Quantitative Control, which factors in the varying threat levels of different values. Experiments show that our method is both efficient and precise. In particular, it is the only one able to distinguish between vulnerabilities such as cve-2019-14192 and cve-2022-30552, while revealing a mistake in the human evaluation of cve-2022-30790. The high degree of automation of our tool also brings us closer to a fully-automated evaluation pipeline.

Séminaire CoaP du 11 février

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 1 présentation le mardi 11 février prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Adam Oumar Abdel-rahman (Télécom SudParis) - Privacy-Preserving Web Content Filtering using Attribute-Based Encryption

Abstract: The rapid growth of encrypted data, particularly TLS-encrypted traffic, has enhanced privacy by reducing cyberattack exposure. However, this shift challenges traditional monitoring tools, rendering them ineffective in handling encrypted traffic. Balancing confidentiality and security in systems such as intrusion detection requires innovative solutions. In this paper, we explore privacy-preserving web content filtering using attribute-based encryption (ABE). This approach enables enforcing access policies—such as blocking inappropriate or harmful content—while preserving users' privacy and requests. We present a comprehensive study, from specification to evaluation, showcasing how cryptographic techniques can address the dual needs of privacy and control in modern information systems.

Julien Malka (Télécom Paris) - Increasing trust in the open source software supply chain with reproducible builds and functional package management

Abstract: Functional package managers and reproducible builds are technologies and methodologies that are conceptually very different from the traditional software deployment model, and that have promising properties for software supply chain security. In this presentation, I’ll introduce the main lines of work included in my thesis surrending these topics and the findings from a research project on the reproducibility of the Nix software repository.

Séminaire CoaP du 14 janvier

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 1 présentation le mardi 14 janvier prochain. Le séminaire CoaP aura lieu à 10h30 dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Sara Chennoufi (Télécom SudParis) - Towards Interpretable and Resilient Cyber Intrusion Detection in Heterogeneous Environments

Abstract : In distributed networks, devices face diverse cyberattacks, highlighting the need for collaborative mechanisms like Federated Learning (FL) to achieve a global knowledge of various attack types. FL is a privacy-preserving machine learning paradigm that enables collaborative model training without sharing sensitive data. However, the effectiveness of FL is often hindered by the heterogeneity of attack data across different networks known as non-identically distributed (non-IID) data. To address these challenges, we propose Argos, a Federated Prototype Learning (FPL) framework designed to improve collaborative and interpretable detection of network attacks in heterogeneous environments. FPL enables the sharing of class-specific prototypes, facilitating the exchange of interpretable knowledge and improving the detection performance for individual classes. Additionally, we analyze the privacy risks associated with prototype sharing and investigate their effectiveness in identifying mislabeled data.

Biography : Sara Chennoufi is a PhD student at Télécom SudParis, working on the development of intrusion detection systems for 5G networks. Her research focuses on enhancing privacy-preserving distributed systems using Federated Learning, addressing key challenges in 5G such as system heterogeneity and the rapid spread of new cyber attacks. She graduated from the Higher School of Computer Science (ESI Algiers). For her graduation project, she completed an internship at INSA Lyon, where she also explored Federated Learning and poisoning attacks.

CoaP 2025 Reboot: Seminars on the Second Tuesday of each month!

In 2025, the CoaP seminar (Cybersecurity on a Plate, La Cybersécurité sur un plateau) is rebooted, with a new, regular, format.

Seminars will be held on the second Tuesday of each month, between 10:30 and 12:00. We will try and invite two people for each seminar, preferably researchers working on the "plateau". Unless stated otherwise, the seminars will take place in the Télécom Paris/Télécom SudParis building, in room 3.A213.

You can already note the dates for the first semester in 2025:

Tuesday, January 14th
Tuesday, February 11th
Tuesday, March 11th
Tuesday, April 8th
Tuesday, May 13th
Tuesday, June 10th

If you do not want to miss any announcement, you regularly look at the seminar blog, subscribe to the RSS feed or subscribe to the mailing list following instructions on the site.

Séminaire CoaP du 15 Novembre

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons 1 présentation le vendredi 15 novembre prochain. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 4.A101.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Nicolas Bellec (CEA LIST) - A scalable framework for backward bounded static symbolic execution

Many programs (e.g. malware) hide their behavior by using obfuscations such as opaque predicates. Automatic methods have been developed to detect such obfuscations. In this presentation, we will focus on static symbolic backward bounded execution, a method that enumerates backward bounded paths from a potential opaque predicate and uses symbolic execution to check whether all enumerated paths have the same predicate value. We will show how this method can be generalized using a lattice-based framework and how to scale up such methods to efficiently analyze whole programs.

Séminaire des étudiants et anciens (C4 - Cybersécurité, Confiance numérique, Cocktails et Collations) le 24 octobre 24

Si vous souhaitez présenter une rump (une intervention courte de moins de 5 minutes, pendant la session dédiée en fin d'après-midi), vous pouvez nous envoyer un mail avec le titre de votre rump jusqu'au 24 octobre 14h.

Programme

13h30 : Café
14h00 : Grégory Blanc, Christophe Kiennert et Olivier Levillain - Accueil
14h15 : Marie Tcholakian (Banque de France) - IRMA : Détection automatique de mails malveillants
14h45 : Grégory Blanc (Télécom SudParis) - Learning-based Network Intrusion Detection: Are We There Yet?
15h30 : Ayoub Elaassal (Qonto) - Détruire les idées reçues en matière de Cybersécurité
16h00 : Pause
16h30 : Clément Safon (Thales) - Sécurité des Systèmes d'Exploitation basés sur GNU/Linux : Etat de l'art des technologies AppArmor et SELinux
17h15 : Elouan Gros (Astran) - Implementing Multi-Party Computation for Practical Use
18h00 : Rump Session
- C. Berthier - Quelques mots concernant les alumni
- A. Gicquel - SOCKSQLmap
- C. Parssegny - Les RFC : mais cé quoi ce poulé ?
- R. Di Valentin - Instant Pub Thales Six
- O. Levillain - Proposition de stage sur la reproduction de vulnérabilités logicielles
- K. Gorna - Vulnerability Detection Model for Blockchains Layers 2 Software Clients
- Q. Michaud et N. Peiffer - Stages Cybersécurité et IA / LLM à Thales cortAIx Labs (Palaiseau)
19h environ : Cocktail dînatoire à l'Entrepôtes 19 près du bâtiment TP/TSP

Marie Tcholakian (Banque de France) - IRMA : Détection automatique de mails malveillants

Pour la sécurité de la Banque de France, les utilisateurs de son service mail ont la possibilité de signaler les mais reçus qu’ils trouvent suspects.

En aval, ces signalements sont traités manuellement par des employés du SOC, qui les classent selon différentes catégories (hameçonnage, arnaque, spam, légitime, etc.). Ce traitement est souvent considéré comme chronophage et redondant.

Nous avons voulu expérimenter l'utilisation de modèle d'apprentissage pour prédire la qualification d'un mail. C'est la naissance d'IRMA. Basée sur le grand modèle de langage (LLM) camemBERT et des données d'apprentissage issues de traitements réels du SOC, elle est capable de prédire la catégorisation de nouveaux mails avec un bon taux de confiance.

Grégory Blanc (Télécom SudParis) - Learning-based Network Intrusion Detection: Are We There Yet?

For more than 40 years, intrusion detection systems (IDS) have been developed to produce monitoring reports of potential threats. Because the threat landscape is highly dynamic, signature-based network-based IDS (NIDS) are struggling to cope with the amount of threat data. Machine learning (ML) methods have not only the potential to address this data explosion but also to shift the paradigm to more behavior- and anomaly-based detection. Surprisingly, the maturity of such solutions is not production-ready while ML thrives in other domains such as computer vision or natural language processing. In this talk, we are reviewing the products of ML-based NIDS academic research and provide analysis to why it has not yet fulfilled its promises.

Ayoub Elaassal (Qonto) - Détruire les idées reçues en matière de Cybersécurité

Pour citer un confrère en sécurité : « La sécurité est un échec. » Les entreprises peuvent dépenser des millions de dollars en outils, en recrutement et en un SOC flambant neuf, et pourtant se font pirater plus vite qu’un tour de Space Mountain. Que se passe-t-il ? Je crois que cette dissonance est le résultat d’un mauvais focus et de mauvaises hypothèses. L’équipe de sécurité ne travaille pas sur les bons sujets à la bonne vitesse. Ils n’ont pas la bonne approche et suivent aveuglément les nombreuses fausses idées qui gangrènent cette industrie. Cette présentation va déconstruire certaines des idées reçues les plus répandues.

Biographie : Ayoub El Aassal, de la promotion 2013 de Télécom SudParis (TSP), a commencé sa carrière comme pentester et enquêteur en incidents de cybersécurité, explorant divers environnements techniques, d’AWS aux mainframes. Il a présenté plusieurs vulnérabilités et outils lors de conférences comme DEF CON et Black Hat. Il occupe actuellement le poste de Directeur Cybersécurité à Qonto, une fintech classée au Next 40.

Clément Safon (Thales) - Sécurité des Systèmes d'Exploitation basés sur GNU/Linux : Etat de l'art des technologies AppArmor et SELinux

Sur la base de l'expérience et des compétences techniques acquises lors du stage de fin d’études, cet exposé explore le durcissement des systèmes d’exploitation en étudiant AppArmor et SELinux. Après une introduction aux principes fondamentaux du durcissement des OS sous GNU/Linux, nous mettrons l’accent sur ces deux solutions de sécurité. Nous détaillerons le fonctionnement de ces deux Linux Security Modules (LSM), en abordant leurs concepts clés, leurs applications et divers cas d’usage. Enfin, nous pourrons approfondir certains mécanismes avancés afin d'illustrer des scénarios d’utilisation plus complexes et d’évaluer les forces et limites de ces technologies en environnement opérationnel.

Biographie : Clément Safon est diplômé de Télécom SudParis (VAP SSR - promo. 2024) et vient de débuter sa carrière chez Thales où il s'attelle au durcissement de systèmes d’exploitation GNU/Linux dans la continuité de son stage. Ce domaine l'intéresse particulièrement par son approche rigoureuse, ainsi que pour la compréhension fine des mécanismes d’attaque et des stratégies de défense en profondeur que cela requiert.

Elouan Gros (Astran) - Implementing Multi-Party Computation for Practical Use

Secure Multi-Party Computing, or MPC for short, is a field of cryptography concerned with devising means for groups of individuals to jointly evaluate functions over private inputs they wish to keep secret from each other. It is a powerful and versatile tool that may be used to implement arbitrary primitives from AES encryption to privacy-preserving machine learning. Despite its qualities, MPC mostly remains a theoretical tool, seeing very little use in practice. In this talk I present the results of my internship, in which I attempted to prove that MPC is viable for industrial use.

Séminaire CoaP du 17 juin

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux présentations le lundi 17 juin prochain. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Arthur Tran Van (Télécom SudParis) - Mealy Verifier: An Automated, Exhaustive, and Explainable Methodology for Analyzing State Machines in Protocol Implementations

Many network protocol specifications are long and lack clarity, which paves the way to implementation errors. Such errors have led to vulnerabilities for secure protocols such as SSH and TLS. Active automata learning, a black-box method, is an efficient method to discover discrepancies between a specification and its implementation. It consists in extracting state machines by interacting with a network stack. It can be (and has been) combined with model checking to analyze the obtained state machines. Model checking is designed for exhibiting a single model violation instead of all model violations and thus leads to a limited understanding of implementation errors. As far as we are aware, there is only one specialized exhaustive method, leveraging DFA (Deterministic Finite Automaton) intersection, available for analyzing the outcomes of active automata learning applied to network protocols. We propose an alternative method, to improve the discovery of new bug and vulnerability patterns and enhance the exhaustiveness of model verification processes. In this presentation, we apply our method to two use cases: OPC UA, for which we present a full workflow from state machine inference to state machine analysis, and SSH, where we focus on the analysis of existing state machines.

Ces travaux seront présentés fin juillet à la conférence ARES.

Shurok Khozam (Télécom SudParis) - DDoS Mitigation while Preserving QoS: A Deep Reinforcement Learning-Based Approach

The deployment of 5G networks has significantly improved connectivity, providing remarkable speed and capacity. These networks rely on Software-Defined Networking (SDN) to enhance control and flexibility. However, this advancement poses critical challenges including expanded attack surface due to network virtualization and the risk of unauthorized access to critical infrastructure. Since traditional cybersecurity methods are inadequate in addressing the dynamic nature of modern cyber attacks, employing artificial intelligence (AI), and deep reinforcement learning (DRL) in particular, was investigated to enhance 5G networks security. This interest arises from the ability of these techniques to dynamically respond and adapt their defense strategies according to encountered situations and real-time threats. Our proposed mitigation system uses a DRL framework, enabling an intelligent agent to dynamically adjust its defense strategies against a range of DDoS attacks, exploiting ICMP, TCP SYN, and UDP, within an SDN environment designed to mirror real-life user behaviors. This approach aims to maintain the network’s performance while concurrently mitigating the impact of the real-time attacks, by providing adaptive and automated countermeasures according to the network’s situation.

Séminaire CoaP du 21 mars

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le jeudi 21 mars prochain. Le séminaire CoaP aura lieu à 14h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Lorena González-Manzano - Vulnerability detection under poisoning attacks

The complexity of current systems encourages the emergence of vulnerabilities. Detectors are developed in this regard, most of them using Artificial Intelligence (AI) techniques. However, AI is not without its problems, especially those attacks affecting the training set. In this talk a novel vulnerability detector, called VulCoT, is presented, together with their analysis under three different poisoning attacks.

Yanis Sellami - Fault Injection Vulnerability Characterization by Inference of Robust Reachability Constraints

While automated code analysis techniques have succeeded in finding and reporting potential vulnerabilities in binary programs, they tend to report many false positives, which cannot be reliably exploited. This is typical in evaluations of fault injection attacks vulnerabilities as faults can create unexpected program behaviors dependent on complex initial states. As the precise setup of the initial states is hard to achieve, such faults lead code analysis techniques to report vulnerabilities that exist in theory but are infeasible in practice. Vulnerability characterization techniques are thus needed to distinguish such reports from those that come from serious vulnerabilities. Recently, Girol et al. have introduced the concept of robust reachability, a property of program inputs applied to code analysis frameworks to report only vulnerabilities that can be reproduced reliably. This is done by distinguishing inputs that are under the control of the attacker from those that are not, and by reporting only vulnerabilities that do not depend on the value of the uncontrolled inputs. Yet, this remains insufficient for distinguishing severe vulnerabilities from benign ones as robust reachability will be unable to report cases that, e.g., are easy to trigger but may not succeed in a few corner cases. To address this issue, we propose a method that leverages an abduction procedure to generate a robust reachability constraint, that is, a logical constraint on the uncontrolled inputs under which we have the guarantee that the vulnerability will be triggered. We demonstrate the vulnerability characterization capabilities of an implementation of this procedure on a fault injection attack case-study taken from FISSC. We show that our method refines robust reachability and leads to a much better characterization of the reported vulnerabilities. The methods additionally leads to the generation of high-level feedback that is easier to understand and reuse for further analysis.

Slides

Séminaire CoaP du 30 janvier

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le mardi 30 janvier prochain. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Si vous venez participer pour la première fois, n'hésitez pas à contacter les organisateurs pour ne pas être bloqué à l'entrée.

Sara Tucci - Blockchain Consensus Protocols, from Bitcoin to Ethereum 2.0

Bitcoin introduced a fully decentralized, peer-to-peer consensus protocol that enables secure transaction validation in an open network, marking a departure from previous Byzantine Fault Tolerant (BFT) protocols primarily designed for closed networks. An innovative combination of cryptographic and incentive mechanisms ensures the protocol’s robustness over the years. However, it’s important to acknowledge the considerable energy consumption of Bitcoin’s Proof-of-Work mechanism, which remains a significant concern. To address these energy concerns, there have been efforts to transition to more environmentally friendly solutions, such as Proof-of-Stake BFT protocols, like Ethereum 2.0. While these newer proposals hold promise in terms of energy efficiency, they come with complexities and ongoing issues in security and incentive design. In this talk I will present the main features and differences of Proof-Stake-BFT proposals with respect to Bitcoin, to appreciate their maturity and outline open issues and ongoing research challenges.

Adam Oumar ABDEL-RAHMAN - A Privacy-Preserving Infrastructure to Monitor Encrypted DNS Logs

In the realm of cybersecurity, logging system and application activity is a crucial technique to detect and understand cyberattacks by identifying Indicators of Compromise (IoCs). Since these logs can take vast amounts of disk space, it can be tempting to delegate their storage to an external service provider. This requires to encrypt the data, so the service provider does not have access to possibly sensitive information. However, this usually makes it impossible to search for relevant information in the encrypted log. To address this predicament, this paper delves into the realm of modern cryptographic tools to reconcile the dual objectives of protecting log data from prying eyes while enabling controlled processing. We propose a comprehensive framework that contextualizes log data and presents several mechanisms to solve the outsourcing problem, allowing searchable encryption, and we apply our approach to DNS logs. Our contributions include the introduction of two novel schemes, namely symmetric and asymmetric, which facilitate efficient and secure retrieval of intrusion detection-related information from encrypted outsourced storage. Furthermore, we conduct extensive experiments on a test bed to evaluate and compare the effectiveness of the different solutions, providing valuable insights into the practical implementation of our proposed infrastructure for monitoring.

Planches présentées

Séminaire du 21 novembre

Mardi 21 novembre, nous recevrons à Évry Victor Dyseryn qui nous présentera ses travaux sur la cryptographie post-quantique. Le séminaire aura lieu en salle E304.

Victor Dyseryn - Balancing security and efficiency in post-quantum cryptography

The post-quantum transition has already begun; how is it possible to switch seamlessly to quantum resistant cryptography? Intuitively, post-quantum algorithms must resist to a much powerful attacker and this should lead to a drastic increase in communication costs and computing time. We will present how the efficiency of post-quantum cryptography has gradually improved over time at the cost of somewhat weaker security guarantees. We will then explore ways to strenghen those guarantees while keeping the overhead at a minimum.

Bio : Victor Dyseryn is a PhD student in post-quantum cryptography in the XLIM laboratory at the University of Limoges, France. His research focuses on encryption and signature primitives based on error-correcting codes. He obtained his master's degree in 2020 from Ecole Polytechnique and Mines ParisTech.

Séminaire CoaP du 09 novembre

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le jeudi 09 novembre prochain.

Vincent Thouvenot - Privacy attacks against a ResNet50 used for plane classification

In our presentation, we will explain two challenges proposed as part of the CIAD conference: a membership inference attack task and a more original forgetting attack task. We'll explain the first approaches that we used and more importantly, why they failed and the main lessons that we learned from the challenge.

Planches présentées

Matthieu Lemerre - Pas de Crash, Pas d'Exploit: Verification Automatique de Noyaux Embarqués

Le noyau est le composant le plus critique en termes de sûreté et de sécurité de nombreux systèmes informatiques, car un bogue dans celuici peut entraîner un crash ou un exploit système entier. Il est donc souhaitable de garantir qu'un noyau est exempt de ces bogues en utilisant des méthodes formelles, mais le coût élevé et l'expertise requise pour ce faire empêchent une utilisation à large échelle. Nous avons proposé une méthode qui peut vérifier automatiquement à la fois l'absence d'erreurs à l'exécution (c'est-à-dire des crashs) et l'absence d'élévation de privilèges (c'est-à-dire des exploits) dans les noyaux embarqués à partir de leurs exécutables binaires.

Cette méthode a permis de découvrir un système de type permettant de vérifier l'absence de corruption mémoire dans du code C, que nous évoquerons brièvement.

Planches présentées

Séminaire des étudiants et anciens le 19 octobre 23

Ce séminaire, destiné aux étudiants de Télécom SudParis en cybersécurité et aux anciens élèves, aura lieu à Palaiseau, dans le bâtiment IMT/TP/TSP, à partir de 15h. Il sera suivi, à partir de 18h30, d'un cocktail dînatoire à l'Entrepôtes 19, près du bâtiment TP/TSP.

Programme

14h : Café
15h : Grégory Blanc, Christophe Kiennert et Olivier Levillain - Accueil
15h15 : Clément Parssegny (ANSSI) - Utilisation de l'apprentissage automatique pour la détection de canaux de Command and Control
15h45 : Mathieu Touloucanon (CEA) - Analyse et perçage de packers d'exécutables
16h30 : Pause
17h : François Boutigny (Nokia) - Microservice behavior analysis for telco networks: overview and perspectives
17h45 : Baptiste Polvé (SnowPack) - Au delà des techniques d'anonymisation, enjeux du déploiement des proxies
18h30 : Rump Session
- Christel Berthier - Quelques mots sur les Alumni TSP
- Rémi Di Valentin - Présentation d'offres de stages chez Thales
- Clément Parssegny - Reproduction automatisée d'environnements contrôlés vulérables à une faille logicielle
- Yann Cantais - Sécurisation par contrôle d'accès réseau (NAC)
- Quentin Michaud - Sécurité de l'exécution de workloads distribués et portables sur des appareils distants et contraints situés au far edge
- Olivier Levillain - De l'anticipation dans la préparation d'un événement
19h environ : Cocktail dînatoire à l'Entrepôtes 19 près du bâtiment TP/TSP

Clément Parssegny (ANSSI) - Utilisation de l'apprentissage automatique pour la détection de canaux de Command and Control

Ces dernières décennies, le chiffrement progressif des communications transitant sur les réseaux a contribué à l'amélioration de la confidentialité et de l'intégrité des données des utilisateurs. Cependant, cette évolution a eu un impact important sur les capacités de détection d'attaques. L'utilisation de techniques d'apprentissage automatique sur les métadonnées du trafic réseau sont alors une piste pour analyser le trafic réseau à la recherche de canaux de Command and Control, potentiellement camouflés en trafic bénin.

Clément PARSSEGNY est diplômé de Télécom SudParis et de l'Institut Polytechnique de Paris. Il est actuellement étudiant en thèse en collaboration avec l'équipe SCN du laboratoire SAMOVAR sur l'apport des méthodes de prise d'empreinte à la détection d'intrusion.

Mathieu Touloucanon (CEA) - Analyse et perçage de packers d'exécutables

Les obscurcissements de type packer, notamment les machines virtuelles rendent complexe l’analyse de binaire. En effet, celles-ci permettent de compiler le programme initial dans une architecture virtuelle, puis d’exécuter le programme dans cette architecture à l’aide d’un émulateur contenu dans le programme.

Particulièrement, lorsque des packers sont combinés à d’autres techniques d’obscurcissement, ils peuvent faire perdre un temps précieux dans le cas d’une réponse à incident. Le stage présenté propose d’analyser un packer et de mettre en place les outils nécessaires à la suppression de cette protection dans le framework Miasm.

Matthieu TOULOUCANON est diplômé en 2023 de Télécom SudParis. Ayant suivi la VAP SSR, il a conclu ses études par un stage au CEA.

François Boutigny (Nokia) - Microservice behavior analysis for telco networks: overview and perspectives

The microservice behavior analysis (MBA) team in Nokia Bell Labs is researching means to detect microservice behavior anomalies that could be sign of malicious activities, and investigates this topic with respect to the telco environment. This presentation will provide the audience an overview of our solution and our perspectives.

The telco industry is shifting to a cloud-native architecture where network functions become stateless, containerized microservices communicating through a service-based interface. Effort has be made in 5G for the core network and is likely to be expanded in 6G to the radio access network. However the domain of software security remains elusive and the multiplicity of software components and their complex dependencies opens the telco industry to new threats. A new security model is needed that assumes breaches to be inevitable, so we need to constantly monitor software components and look for anomalous or malicious activity.

Our approach consists of building a baseline of the good behavior of a software component, and then monitor the software component's behavior in operation to look for and detect deviations to its baseline. We model the behavior based on the internal state of the software component and its interactions with the operating system. Our solution can be integrated seamlessly into the CI/CD pipeline of a telco vendor as well as into a cloud-based monitoring system of a communication service provider.

François BOUTIGNY est diplômé en 2015 de Télécom SudParis. Il a ensuite réalisé une thèse CIFRE au sein des Nokia Bell Labs, conjointement avec Télécom SudParis, qu'il a défendu en décembre 2019. Il est depuis ingénieur de recherche au sein du même laboratoire, et s'intéresse à la sécurité des microservices.

Baptiste Polvé (SnowPack) - Au delà des techniques d'anonymisation, enjeux du déploiement des proxies

Les techniques communes d'anonymisation: VPN, TOR, I2P, Nym ou même Snowpack sont toutes basées sur l'utilisation des proxies. Si au premier abord, il paraît très simple de répliquer les modèles et de déployer son propre réseau de proxy, il existe de nombreuses contraintes pour les opérer et les maintenir face à de nombreuses menaces (censure, captchas, blacklist, etc.). Cette présentation propose donc de revenir rapidement sur les technologies d'anonymisation puis de prendre un angle menace vs solution avec le point de vue du réseau de proxies , supporté par un retour d'expérience lié au déploiement du réseau Snowpack.

Baptiste POLVÉ, co-fondateur et directeur technique de la société Snowpack, est ingénieur Telecom SudParis 2018 et expert en sécurité des systèmes d’information (ESSI) certifié par l’ANSSI. Baptiste a précédemment travaillé au CEA List en tant que chercheur sur la sécurité des réseaux et des protocoles ainsi que sur les systèmes de détection et de réponse aux cyberattaques. Il était responsable du développement du système de détection d’intrusions du LSC (Sigmo-IDS), de plusieurs projets européens et industriels, et est co-auteur de brevets et publications scientifiques.

Séminaire CoaP du 19 septembre

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le mardi 19 septembre prochain. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Quentin Michaud - WebAssembly & Security

WebAssembly (Wasm for short) is a new format of low-level bytecode coming from the Web. It allows to run code sandboxed by default, on a stack-based light virtual machine. It is claiming to bring a lot of dreams to reality : from being the successor of today's containers (by being faster, lighter and more secure), to proposing a single binary format which can be compiled from any programming language and run on any target, without depending on the OS or processor architecture. The promises of Wasm go even beyond technology and address cybersecurity with strong claims regarding the security and protection of Wasm applications. However, articles and publications showing old a new cybersecurity weaknesses inside Wasm may put these claims in doubt. This presentation will give an overview of the Wasm ecosystem, explain the inner workings of Wasm and evaluate the likeliness of its promises as of today and in the future. The promise of Wasm being the successor of containers will be reviewed in more details, both at the container level and at the container orchestrator (Kubernetes) level. The presentation will then propose an assessment of the Wasm claims concerning cybersecurity and take a deeper look at if Wasm can really present itself as an improvement of today binaries' and containers' security.

Bio : Quentin is a last year cybersecurity student at Télécom SudParis and an intern at Thales European research lab ThereSIS, where he is studying bleeding-edge innovations in the cloud ecosystem and their potential uses for cybersecurity. He likes to improve his cybersecurity skills by creating and doing CTFs regularly, and he is consuming and contributing to several open-source projects.

Planches présentées

Frédéric Recoules - What's up in BINSEC? 2022-23 Edition

Software security analyses must often be performed at the executable code level, either because the source code is not available (e.g.: analysis of third-party components, malware or legacy code), or because very low-level attacker models are being considered (hardware or micro-architectural attacks), or because the code must be analyzed after compilation in order to prevent potential compilation bugs or to verify that protections have been properly implemented. Unfortunately, these low-level security analyses are difficult to establish and there are few specialists, hence the need to provide them with the best possible tools via dedicated automated tools.

BINSEC is a formal binary code analysis platform developed at CEA, with a particular focus on security analysis (vulnerabilities, reverse) and the degree of guarantees provided. BINSEC offers original symbolic reasoning engines and multi-architecture support. Recent results have been obtained, for example, in automatic analysis of cryptographic primitives (resistance to covert channel attacks and micro-architectural attacks) or deobfuscation of advanced malware. However, this kind of analysis still suffers from scaling and usability problems.

In this talk, we aim to give an overview of the latest improvements of BINSEC. These advances will be motivated and illustrated through the resolution of various security cases, including recent examples of challenges from the Cyber France Challenge 2022. In particular, we will address problems such as the optimization of a symbolic reasoning engine at the binary level or the symbolic management of self-modifying code. We will also review recent efforts to make the platform more usable (new architectures, simplified initialization, etc.).

Bio : Frédéric Recoules graduated from INSA and Université Toulouse Paul-Sabatier in 2016, then received a PhD in Computer Science from Université Grenoble-Alpes in 2021. His area of expertises spans formal methods, low-level programming, decompilation and reverse engineering. He notably obtained an ICSE distinguished paper award and a 2nd best GDR GPL PhD award (thematic: software engineering, formal methods and programming languages) for his work on formal verification of inline assembly code. He is currently Research Engineer at CEA where he is the main developer and maintainer of the binary-level program analysis platform BINSEC. His research addresses scalability issues in symbolic analysis at binary level, vulnerability analysis and reverse engineering for security.

Séminaire CoaP du 30 mai

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le 30 mai. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Michaël Marcozzi (CEA) - Fine-Grained Coverage-Based Fuzzing

Fuzzing is a popular software testing method that discovers vulnerabilities by massively feeding target applications with automatically generated inputs. Many state-of-art fuzzers use branch coverage as a feedback metric to guide the fuzzing process. The fuzzer retains inputs for further mutation only if branch coverage is increased. However, branch coverage only provides a shallow sampling of program behaviours and hence may discard interesting inputs to mutate. This work aims at taking advantage of the large body of research over defining finer-grained code coverage metrics (such as control-flow, data-flow or mutation coverage) and at evaluating how fuzzing performance is impacted when using these metrics to select interesting inputs for mutation. We propose to make branch coverage-based fuzzers support most fine-grained coverage metrics out of the box (i.e., without changing fuzzer internals). We achieve this by making the test objectives defined by these metrics (such as conditions to activate or mutants to kill) explicit as new branches in the target program. Fuzzing such a modified target is then equivalent to fuzzing the original target, but the fuzzer will also retain inputs covering the additional metrics objectives for mutation. In addition, all the fuzzer mechanisms to penetrate hard-to-cover branches will help covering the additional metrics objectives. We use this approach to evaluate the impact of supporting two fine-grained coverage metrics (multiple condition coverage and weak mutation) over the performance of two state-of-the-art fuzzers (AFL++ and QSYM) with the standard LAVA-M and MAGMA benchmarks. This evaluation suggests that our mechanism for runtime fuzzer guidance, where the fuzzed code is instrumented with additional branches, is effective and could be leveraged to encode guidance from human users or static analysers. Our results also show that the impact of fine-grained metrics over fuzzing performance is hard to predict before fuzzing, and most of the time either neutral or negative. As a consequence, we do not recommend using them to guide fuzzers, except maybe in some possibly favourable circumstances yet to investigate, like for limited parts of the code or to complement classical fuzzing campaigns.

Houda Jmila (TSP) - Analyzing the Vulnerability of Machine Learning-Based IDS to Adversarial Attacks in Cybersecurity

The detection of intrusions is an important aspect of cybersecurity, as it seeks to safeguard computer systems and networks from malicious attacks. While machine learning (ML) techniques have been effective in this field, they face challenges such as the emergence of adversarial attacks that can deceive classifiers. Preventing cybercriminals from exploiting these vulnerabilities is crucial in preventing damage to data and systems. This presentation analyses the vulnerability of both deep learning and shallow classifiers, which are still widely used due to their maturity and ease of implementation, to adversarial attacks in ML-based IDS. Additionally, we explore whether adversarial attacks borrowed from computer vision pose a significant threat to IDS and to what extent realistic adversarial attacks can be generated using these methods.

Séminaire CoaP du 18 Avril

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le 18 avril. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Pierre-Elisée Flory - Comparing Private Set Intersection Various Implementations for Fraud Detection

Banks have to commit answering their customers' privacy concerns while complying to regulation. Sharing information on customer among a Banking consortium is an efficient way to identify fraud at an early stage but requires efficient biometrics matching algorithms to compare two id cards / biometrics template in pictures. Consortium stakeholders may also be competitors and thus need to protect their customer database. Within the Privacy Enhancing Technologies, we have assessed and compared different Secure Multi-Party Computation and in particular Private Set Intersection schemes to mitigate those risks and design a new protocol to allow privacy preserving biometrics templates matching.

Nathanaël Denis - Integrating Usage Control into Distributed Ledger Technology for Internet of Things Privacy

The Internet of Things brings new ways to collect privacy-sensitive data from billions of devices. Well-tailored distributed ledger technologies (DLTs) can provide high transaction processing capacities to IoT devices in a decentralized fashion. However, privacy aspects are often neglected or unsatisfying, with a focus mainly on performance and security. In this paper, we introduce decentralized usage control mechanisms to empower IoT devices to control the data they generate. Usage control defines obligations i.e., actions to be fulfilled to be granted access, and conditions on the system in addition to data dissemination control. The originality of this paper is to consider the usage control system as a component of distributed ledger networks, instead of an external tool. With this integration, both technologies work in synergy, benefiting their privacy, security and performance. We evaluated the performance improvements of integration using the IOTA technology, particularly suitable due to the participation of small devices in the consensus. The results of the tests on a private network show an approximate 90% decrease of the time needed for the UCS to push a transaction and make its access decision in the integrated setting, regardless of the number of nodes in the network.

This contribution is currently under review for publication in a journal.

Séminaire CoaP du 15 février: NVIDIA DOCA hackathon and Adversarial Reachability for Program-level Security Analysis

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le 15 février. Le séminaire CoaP aura lieu à 10h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Romain Ferrari, Louis Cailliot, Julie Sauzedde, Pierre-Elisée Flory - NVIDIA DOCA hackathon

The NVIDIA DOCA hackathon took place on March 21, during NVIDIA 2022 GTC.

The Thales team chose to build a solution upon the DPI acceleration to enable Yara rules, which are used for inspection of files downloaded from the network to identify malware and potential threats. To implement this, Team Thales used a Yara Parser to transform public Yara rules into DPI rules in a Suricata community-based format supported by the DOCA DPI lib. This solution leveraged DOCA DPI functionality to scan the files on the fly as the packets flow through the device.

Soline Ducousso - Adversarial Reachability for Program-level Security Analysis

Many program analysis tools and techniques have been developed to assess program vulnerability. Yet, they are based on the standard concept of reachability and represent an attacker able to craft smart legitimate input, while in practice attackers can be much more powerful, using for instance micro-architectural exploits or fault injection methods. We introduce adversarial reachability , a framework allowing to reason about such advanced attackers and check whether a system is vulnerable or immune to a particular attacker. As equipping the attacker with new capacities significantly increases the state space of the program under analysis, we present a new symbolic exploration algorithm, namely adversarial symbolic execution, injecting faults in a forkless manner to prevent path explosion, together with optimizations dedicated to reduce the number of injections to consider while keeping the same attacker power. Experiments on representative benchmarks from fault injection show that our method significantly reduces the number of adversarial paths to explore, allowing to scale up to 10 faults where prior work timeout for 3 faults. In addition, we analyze the well-tested WooKey's bootloader, and demonstrate the ability of our analysis to find attacks and evaluate countermeasures in real-life security scenarios.

This is joint work with Sébastien Bardin and Marie-Laure Potet.

[Séminaire reporté] Séminaire CoaP du 19 janvier: NVIDIA DOCA hackathon and Adversarial Reachability for Program-level Security Analysis

En raison de l'appel à la grève le 19 janvier, le séminaire est reporté à une date qui doit encore être définie.

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous aurons deux interventions le 19 janvier. Le séminaire CoaP aura lieu à 14h dans le bâtiment IMT/TP/TSP, en salle 3.A213.

Romain Ferrari, Louis Cailliot, Julie Sauzedde, Pierre-Elisée Flory - NVIDIA DOCA hackathon

The NVIDIA DOCA hackathon took place on March 21, during NVIDIA 2022 GTC.

Soline Ducousso - Adversarial Reachability for Program-level Security Analysis

This is joint work with Sébastien Bardin and Marie-Laure Potet.

Séminaire CoaP du 21 novembre

Dans le cadre de notre séminaire « La Cybersécurité sur un plateau » (Cybersecurity on a Plate), nous recevrons le 21 novembre deux intervenants :

Aina Toky Rasoamanana, doctorant à Télécom SudParis, qui présentera ses travaux sur l'inférence de machines à états d'implémentations du protocole TLS.
Mohamad Mansouri, doctorant CIFRE à EURECOM / Thales, qui présentera ses travaux sur l'agrégation sécurisée et tolérante aux pannes pour l'apprentissage fédéré.

Le séminaire CoaP aura lieu à 14h dans le bâtiment IMT/TP/TSP, en salle 3.A405.

Aina Toky Rasoamanana - Towards a Systematic and Automatic Use of State Machine Inference to Uncover Security Flaws and Fingerprint TLS Stacks

TLS is a well-known and thoroughly studied security protocol. In this paper, we focus on a specific class of vulnerabilities affecting TLS implementations, state machine errors. These vulnerabilities are caused by differences in interpreting the standard and correspond to deviations from the specifications, e.g. accepting invalid messages, or accepting valid messages out of sequence. We develop a systematic methodology to infer the state machines of major TLS stacks from stimuli and observations, and to study their evolution across revisions. We use the L* algorithm to compute state machines corresponding to different execution scenarios. We reproduce several known vulnerabilities (denial of service, authentication bypasses), and uncover new ones. We also show that state machine inference is efficient and practical for integration within a continuous integration pipeline, to help find new vulnerabilities or deviations introduced during development.

With our systematic black-box approach, we study over 400 different versions of server and client implementations in various scenarios (protocol version, options). Using the resulting state machines, we propose a robust algorithm to fingerprint TLS stacks. To the best of our knowledge, this is the first application of this approach on such a broad perimeter, in terms of number of TLS stacks, revisions, or execution scenarios studied.

This work has been published at ESORICS 2022.

Mohamad Mansouri - Learning from Failures: Secure and Fault-Tolerant Secure Aggregation for Federated Learning

Federated learning allows multiple parties to collaboratively train a global machine learning (ML) model without sharing their private datasets. To make sure that these local datasets are not leaked, existing works propose to rely on a secure aggregation scheme that allows parties to encrypt their model updates before sending them to the central server that aggregates the encrypted inputs.

In this work, we design and evaluate a new secure and fault-tolerant aggregation scheme for federated learning that is robust against client failures. We first develop a threshold-variant of the secure aggregation scheme proposed by Joye and Libert. Using this new building block together with a dedicated decentralized key management scheme and an input encoding solution, we design a privacy-preserving federated learning protocol that, when executed among n clients, can recover from up to n/3 failures. Our solution is secure against a malicious aggregator who can manipulate messages to learn clients' individual inputs. We show that our solution outperforms the state-of-the-art fault-tolerant secure aggregation schemes in terms of computation cost on the client. For example, with an ML model of 100K parameters, trained with 600 clients, our protocol is 5.5x faster (1.6x faster in case of 180 clients drop).

This work will appear in ACSAC’22.

Séminaire des étudiants et anciens le 11 octobre 22

Ce séminaire, destiné aux étudiants de Télécom SudParis en cybersécurité et aux anciens élèves, aura lieu à Palaiseau, dans le bâtiment IMT/TP/TSP, à partir de 13h30. Le séminaire aura lieu en Amphi 5. Il sera suivi, à partir de 18h30, d'un cocktail dînatoire à l'Entrepôtes 19, près du bâtiment TP/TSP.

Programme

13h30 : Café
14h : Grégory Blanc, Christophe Kiennert et Olivier Levillain - Accueil
14h15 : Constance Chou (Thales) - Web Application Firewall : enjeux, fonctionnement et étude
14h45 : Martin Spiering, Matthieu Touloucanon et Quentin Michaud (HackademINT) - 404 CTF
15h15 : Ministère de l'Intérieur - Analyse de flux chiffré en entreprise pour la détection d'incident de sécurité
15h45 : Pause
16h30 : Amré Abouali (Cybershen) - Ancien RSSI & Entrepreneur
17h : Olivier Levillain (TSP) - Influence de la qualité des spécifications sur la sécurité logicielle
17h30 : Rump Session
18h30 : Cocktail dînatoire à l'Entrepôtes 19 près du bâtiment TP/TSP

Constance Chou - Web Application Firewall : enjeux, fonctionnement et étude

Après une présentation de la technologie des Web Application Firewalls (ou pare-feu applicatifs), et de leurs enjeux, Mme Chou discutera des différents types de solutions WAF et des critères classiques d'évaluation de leurs performances. Cette présentation présentera les intérêts et limitations d'une telle solution, ainsi que l'écosystème dans lequel cette technologie s'inscrit.

Constance Chou est diplômée de Télécom SudParis (promotion 2021). Elle a suivi la VAP SSR et a reçu le titre ESSI de l'ANSSI. Elle a également obtenu le Prix Jeunes National André Blanc‐Lapierre, attribué par la Société de l'électricité, de l'électronique et des technologies de l'information et de la communication pour son stage de fin d’études effectué chez Thales SIX GTS France et intitulé : « Étude et intégration de pare-feu applicatifs ».

Lien vers les planches

Martin Spiering, Matthieu Touloucanon et Quentin Michaud (HackademINT) - 404 CTF

Plusieurs membres du club HackademINT présenteront leur retour sur l'organisation du 404 CTF, une compétition de sécurité qui s'est déroulée au printemps 2022, et qui était organisée par Télécom SudParis, en partenariat avec la DGSE et OVHcloud.

Martin Spiering présentera la mise en place de l'infra (kubernetes, rancher, docker...) en abordant les sécurités réseaux et les attaques (notamment bruteforce) subies pendant la compétition, ainsi que les mesures appliquées.

Matthieu Touloucanon insistera ensuite sur la sécurité système des Docker utilisés, notamment pour les challenges de la catégorie pwn (mais pas seulement), avec les bonnes pratiques Docker à suivre et l'utilisation de nsjail.

Enfin, Quentin Michaud présentera l'interface utilisée pour gérer la validation des challenges (CTFd), avec les modifications effectuées pour l'adapter à l'infrastructure du 404 CTF et supprimer un bug concernant s3. Ce sera l'occasion de discuter des avantages et inconvénients de l'open source qui découle de cette expérience.

MM. Spiering, Touloucanon et Michaud sont étudiants en 3e année à Télécom SudParis (promo 2023), actuellement en VAP SSR.

Lien vers les planches

Ministère de l'Intérieur - Analyse de flux chiffré en entreprise pour la détection d'incident de sécurité

Les communications en clair sur Internet et dans les environnements à hautes exigences de sécurité sont vouées à disparaître. L'adoption massive ces dernières années de l'utilisation par défaut des protocoles de chiffrement est en passe de devenir une quasi-exclusivité.

D'un autre point de vue, le chiffrement des flux constitue cependant un obstacle à la détection de comportements malveillants sur les systèmes d'information.

Après un rappel du fonctionnement de TLS, trois approches permettant l'analyse de flux chiffré seront présentées. Les enjeux et limitations seront discutés pour chacune des approches.

Amré Abouali (Cybershen) - Ancien RSSI & Entrepreneur

Amré Abouali est diplômé de Télécom SudParis (promotion 2017). Il a suivi la VAP SSR et a reçu le titre ESSI de l'ANSSI. Après avoir occupé deux postes de RSSI dans des environnements sensibles liés à la santé, il est aujourd'hui indépendant et entrepreneur dans le monde de la cybersécurité.

Olivier Levillain (TSP) - Influence de la qualité des spécifications sur la sécurité logicielle

Les systèmes d'information que nous utilisons quotidiennement sont d'une grande complexité. Ils reposent en particulier sur l'implémentation de protocoles réseau et sur l'interprétation de documents aux formats variés. Cette présentation traitera des spécifications décrivant ces protocoles et ces formats.

En particulier, il sera question de la manière dont ils sont spécifiés et des conséquences de cette manière sur la sécurité de leurs implémentations. Les exemples utilisés seront Mini-PNG, un format d'images utilisé dans un module d'enseignement en programmation, mais également le format PDF et le protocole TLS.

Olivier Levillain est maître de conférences en cybersécurité à Télécom SudParis.

Lien vers les planches

Rump Sessions

Constance Chou - Développement en cycle en V et IVVQ
Rémi Di Valentin et Yadi Huang - Offres IVVQ Cyber Thales
Ministère de l'Intérieur - Présentation d'une offre de stage de développement d'outil de sécurité pour le traitement de fichiers
Grégory Blanc et Olivier Levillain - Séminaire CoaP (Cybersecurity on a Plate / la cybersécurité sur un plateau)
Florian Martin - BlueTeam vs SMB
Romain Cherré - Filtrage et DNS : RPZ et XDP
Mathieu Degré - Introduction aux réseaux euclidiens (lattices)

Grégoire Menguy - Search-Based Local Blackbox Deobfuscation: Understand, Improve and Mitigate (October 4th 2022)

Pour cette première édition, nous recevons Grégoire Menguy, un ancien étudiant de Télécom SudParis, actuellement en thèse au CEA. Son intervention aura lieu à 14h dans le bâtiment IMT/TP/TSP, en salle 3.A405.

Les planches présentées sont disponible via ce lien

Search-Based Local Blackbox Deobfuscation: Understand, Improve and Mitigate

Code obfuscation aims at protecting Intellectual Property and other secrets embedded into software from being retrieved. Recent works leverage advances in artificial intelligence (AI) with the hope of getting blackbox deobfuscators completely immune to standard (whitebox) protection mechanisms. While promising, this new field of AI-based, and more specifically search-based blackbox deobfuscation, is still in its infancy. In this work, we deepen the state of search-based blackbox deobfuscation in three key directions: understand the current state-of-the-art, improve over it and design dedicated protection mechanisms. In particular, we define a novel generic framework for search-based blackbox deobfuscation encompassing prior work and highlighting key components; we are the first to point out that the search space underlying code deobfuscation is too unstable for simulation-based methods (e.g., Monte Carlo Tree Search used in prior work) and advocate the use of robust methods such as S-metaheuristics; we propose the new optimized search-based blackbox deobfuscator Xyntia which significantly outperforms prior work in terms of success rate (especially with small time budget) while being completely immune to the most recent anti-analysis code obfuscation methods; and finally we propose two novel protections against search-based blackbox deobfuscation, allowing to counter Xyntia powerful attacks.

This work has been published at CCS 2021.