Afin de profiter des progrès des technologies de l'information et de la communication, les infrastructures critiques se reposent de plus en plus sur des systèmes d'information complexes et se sont largement connectées à des réseaux publics, dont l'Internet. Ces interconnexions rendent les infrastructures interdépendantes et les exposent à l'ensemble des vulnérabilités des systèmes informatiques. Dans le cadre de cette thèse, nous proposons un ensemble d'outils de génération de topologies, de simulation des propagations des défaillances et de détection des pannes pour améliorer la compréhension de ces interdépendances et lutter contre les phénomènes de propagation des défaillances résultants. Le générateur de topologies proposé définit un algorithme de génération de graphes topologiques réalistes et adaptées aux études des interdépendances en générant plusieurs modèles d'infrastructure à partir d'une base commune, facilitant ainsi l'interconnexion des différents réseaux. Le simulateur des propagations des défaillances utilise les modèles épidémiologiques. Ces modèles ont été adaptés afin de prendre en compte les principaux facteurs qui influent les propagations des défaillances dans les réseaux de télécommunications comme les différents temporisateurs des protocoles de routage et la taille des tables de routage. Enfin, notre dernière contribution est la mise en œuvre d'un logiciel permettant de détecter des pannes dans un environnement hétérogène et distribué en réutilisant les outils de supervision existants. Cet outil offre des moyens pour assurer le contrôle d'accès aux informations lorsque l'environnement est constitué de plusieurs réseaux

Les méthodes actuelles utilisées pour l'identification des infrastructures critiques, souvent envisagées dans leurs seules dimensions techniques, montrent certaines limites. Notre thèse postule qu'il est nécessaire de tenir compte du contexte territorial dans lequel ces infrastructures s'inscrivent, dans la mesure où les caractéristiques d'un territoire contribuent à leur criticité. En retour, les infrastructures critiques sont susceptibles d'aggraver la vulnérabilité de ces territoires. Nous développons deux hypothèses de recherche: 1. La "criticité territoriale" exprime le fait que les infrastructures critiques ne sont pas critiques en elles-mêmes, mais par rapport à un contexte socio-économique, politique et géographique. Nous proposons ainsi un ensemble de critères, associés à une approche multiscalaire des systèmes d'infrastructures, permettant l'identification des infrastructures critiques. Une étude de cas portant sur les infrastructures critiques d'énergie de l'Union Européenne valide cette approche. 2. La "criticité politique" souligne la dimension géopolitique des infrastructures critiques : celles-ci reflètent les seuils d'acceptabilité des autorités territoriales, au regard des conséquences potentielles de l'interruption de services essentiels. Cette hypothèse est développée et testée dans le cadre de notre participation au processus de concertation entre l'Union Européenne et ses pays membres pour la mise en place de la Directive 2008/114/EC sur l'identification et la protection des infrastructures critiques européennes. Les conclusions soulignent la pertinence d'une approche géographique et territoriale pour l'identification des infrastructures critiques. / The existing methods for identifying critical infrastructures, mainly based on risk analysis, were found to be insufficient. Our PhD states that the existing territorial vulnerability factors contribute to the criticality of the infrastructures; in return, critical infrastructures enhance this vulnerability. As a consequence, the identification process should be based, not only on technical aspects, but also on a geographical approach. Two main research hypothesis are developed: 1. The "territorial criticality" expresses the fact that an infrastructure is not critical in itself, but its criticality is related to the socio-economic, political and geographical context. We propose a set of criteria and related indicators associated to a multilevel model. A case study shows how these criteria can be applied in the case of the European energy critical infrastructures. 2. The "political criticality" means that the designation of an infrastructure as critical reflects the level of consequences decision-makers are ready to accept. These acceptability thresholds are related to the potential consequences the disruption of such infrastructure could trigger. If the potential consequences go beyond a given threshold, then the infrastructure is considered as critical. We developed and tested this hypothesis in the context of our participation to the preparatory work carried out by the European Commission Joint Research Center to support the European Commission and its member states on the definition of criteria for identifying European Critical Infrastructures (ECI). Conclusions highlight the benefits of a geographical approach to identify critical infrastructures.

Les systèmes embarqués sont utilisés dans de nombreux systèmes critiques, depuis les automobiles jusqu'aux les systèmes de contrôle industriels. La plupart des recherches sur ces systèmes embarqués se sont concentrés sur l'amélioration de leur fiabilité face à des fautes ou erreurs de fonctionnent non intentionnelles, moins de travaux on été réalisés considérant les attaques intentionnelles. Ces systèmes embarqués sont de plus en plus connectés, souvent à Internet, via des réseaux sans fils, par exemple pour leur administration à distance. Cela augmente les risques d'attaques à distance ou d'injection de code malicieux. Les fautes de fonctionnement de ces équipements peuvent causer des dommages physiques comme par example rendre des appareils médicaux dangereux. Par conséquent, il est primordial de protéger ces systèmes embarqués contre les attaques. Dans cette thèse nous présentons des attaques et défenses contre les systèmes embarqués contraints. Nous présentons plusieurs attaques contre des techniques d'attestation logicielle utilisées dans les systèmes embarqués. Puis nous présentons la conception et l'implémentation d'une technique d'attestation logicielle qui est résistante aux attaque présentées précédemment. Finalement, nous présentons la conception d'une solution permettant de réaliser l'attestation de code ainsi que la création d'une racine de confiance dynamique (dynamic root of trust) pour les systèmes embarqués. Cette solution est prouvée sure et ne dépend pas d'assomptions fortes faites dans le cas de l'attestation logicielle.

Sans cesse croissante complexité et l'interdépendance des infrastructures critiques modernes, avec des environs de risque plus en plus complexes, posent des défis uniques pour leur exploitation sûre, fiable et efficace. L'objectif de la présente thèse est sur la modélisation, la simulation et l'optimisation des infrastructures critiques (par exemple, les réseaux de transmission de puissance) à l'égard de leur vulnérabilité et la résilience aux défaillances en cascade. Cette étude aborde le problème en modélisant infrastructures critiques à un niveau fondamental, en se concentrant sur la topologie du réseau et des modèles de flux physiques dans les infrastructures critiques. Un cadre de modélisation hiérarchique est introduit pour la gestion de la complexité du système. Au sein de ces cadres de modélisation, les techniques d'optimisation avancées (par exemple, non-dominée de tri binaire évolution différentielle (NSBDE) algorithme) sont utilisés pour maximiser à la fois la robustesse et la résilience (capacité de récupération) des infrastructures critiques contre les défaillances en cascade. Plus précisément, le premier problème est pris à partir d'un point de vue de la conception du système holistique, c'est-à-dire certaines propriétés du système, tels que ses capacités de topologie et de liaison, sont redessiné de manière optimale afin d'améliorer la capacité de résister à des défaillances systémiques de système. Les deux modèles de défaillance en cascade topologiques et physiques sont appliquées et leurs résultats correspondants sont comparés. En ce qui concerne le deuxième problème, un nouveau cadre est proposé pour la sélection optimale des mesures appropriées de récupération afin de maximiser la capacité du réseau d’infrastructure critique de récupération à partir d'un événement perturbateur. Un algorithme d'optimisation de calcul pas cher heuristique est proposé pour la solution du problème, en intégrant des concepts fondamentaux de flux de réseau et le calendrier du projet. Exemples d'analyse sont effectués en se référant à plusieurs systèmes de CI réalistes. / Continuously increasing complexity and interconnectedness of modern critical infrastructures, together with increasingly complex risk environments, pose unique challenges for their secure, reliable, and efficient operation. The focus of the present dissertation is on the modelling, simulation and optimization of critical infrastructures (CIs) (e.g., power transmission networks) with respect to their vulnerability and resilience to cascading failures. This study approaches the problem by firstly modelling CIs at a fundamental level, by focusing on network topology and physical flow patterns within the CIs. A hierarchical network modelling technique is introduced for the management of system complexity. Within these modelling frameworks, advanced optimization techniques (e.g., non-dominated sorting binary differential evolution (NSBDE) algorithm) are utilized to maximize both the robustness and resilience (recovery capacity) of CIs against cascading failures. Specifically, the first problem is taken from a holistic system design perspective, i.e. some system properties, such as its topology and link capacities, are redesigned in an optimal way in order to enhance system’s capacity of resisting to systemic failures. Both topological and physical cascading failure models are applied and their corresponding results are compared. With respect to the second problem, a novel framework is proposed for optimally selecting proper recovery actions in order to maximize the capacity of the CI network of recovery from a disruptive event. A heuristic, computationally cheap optimization algorithm is proposed for the solution of the problem, by integrating foundemental concepts from network flows and project scheduling. Examples of analysis are carried out by referring to several realistic CI systems.

Les systèmes embarqués sont utilisés dans de nombreux systèmes critiques, depuis les automobiles jusqu'aux les systèmes de contrôle industriels. La plupart des recherches sur ces systèmes embarqués se sont concentrés sur l'amélioration de leur fiabilité face à des fautes ou erreurs de fonctionnent non intentionnelles, moins de travaux on été réalisés considérant les attaques intentionnelles. Ces systèmes embarqués sont de plus en plus connectés, souvent à Internet, via des réseaux sans fils, par exemple pour leur administration à distance. Cela augmente les risques d'attaques à distance ou d'injection de code malicieux. Les fautes de fonctionnement de ces équipements peuvent causer des dommages physiques comme par example rendre des appareils médicaux dangereux. Par conséquent, il est primordial de protéger ces systèmes embarqués contre les attaques. Dans cette thèse nous présentons des attaques et défenses contre les systèmes embarqués contraints. Nous présentons plusieurs attaques contre des techniques d'attestation logicielle utilisées dans les systèmes embarqués. Puis nous présentons la conception et l'implémentation d'une technique d'attestation logicielle qui est résistante aux attaque présentées précédemment. Finalement, nous présentons la conception d'une solution permettant de réaliser l'attestation de code ainsi que la création d'une racine de confiance dynamique (dynamic root of trust) pour les systèmes embarqués. Cette solution est prouvée sure et ne dépend pas d'assomptions fortes faites dans le cas de l'attestation logicielle. / Embedded devices are currently used in many critical systems, ranging from automotive to medical devices and industrial control systems. Most of the research on such devices has focused on improving their reliability against unintentional failures, while fewer efforts have been spent to prevent intentional and malicious attacks. These devices are increasingly being connected via wireless and connected to the Internet for remote administration, this increases the risk of remote exploits and malicious code injected in such devices. Failures in such devices might cause physical damage and health and safety risks. Therefore, protecting embedded devices from attacks is of the utmost importance. In this thesis we present novel attacks and defenses against low-end embedded devices. We present several attacks against software-based attestation techniques used in embedded devices. Furthermore we design and implement a novel software-based attestation technique that is immune to the aforementioned attacks. Finally, we design a hardware solution to attest and establish a dyna

Les infrastructures et réseaux critiques commencent à s'ouvrir vers des architectures, protocoles et applications vulnérables. Ainsi, non seulement il est question de sécuriser ces applications (e.g., contre les attaques potentielles), mais il faut également justifier notre confiance dans les mécanismes de sécurité déployés. Pour cela, nous présentons PolyOrBAC, un cadriciel basé sur le modèle de contrôle d'accès OrBAC, les mécanismes de services Web ainsi que les contrats électroniques. Ensuite, nous préconisons l'utilisation de la Programmation Logique par Contraintes (PLC) pour détecter et résoudre les conflits éventuels dans la politique de sécurité. Au niveau de la mise en œuvre, nous proposons le protocole Q-ESP, notre amélioration d'IPSec qui assure à la fois des besoins de sécurité et de QoS. Enfin, nous présentons nos modèles et résultats de test et d'évaluation d'outils de sécurité notamment les Systèmes de Détection d'Intrusions (IDS).

Les réseaux techniques sont des infrastructures critiques qui peuvent être vulnérables aux inondations. Leur bon fonctionnement représente donc un enjeu majeur pour la gestion des risques et des territoires. Cette recherche postule que l'analyse de la résilience des réseaux techniques constitue un préalable nécessaire, mais non suffisant, à la mise en place de politiques d'amélioration de la résilience urbaine face aux inondations. Une méthodologie d'analyse de la résilience des réseaux techniques est proposée. Elle requiert l'analyse des capacités de résistance, d'absorption et de récupération de ces réseaux. Dans ce cadre, des développements ont été réalisés afin d'analyser les propriétés structurelles des réseaux techniques, les interdépendances entre les réseaux techniques et la remise en service de ces réseaux. Ces développements reposent principalement sur la théorie des graphes, les méthodes issues de la Sûreté de Fonctionnement, l'optimisation linéaire et l'analyse spatiale. Enfin, un prototype web-SIG a été développé puis appliqué à la ville de Dublin.

De trop nombreux évènements survenus la décennie passée illustrent la gravité et l’étendue des impacts auxquels les territoires peuvent être confrontés. L'atteinte aux infrastructures critiques peut induire de très nombreux dysfonctionnements en cascade pouvant plonger ce territoire et sa société dans une crise de grande ampleur. Les interdépendances entre ces activités essentielles et celles avec la population accentuent leur fragilité. Afin d'évaluer les impacts directs et indirects d'une perturbation majeure, la méthodologie développée étudie la problématique sous un angle multisectoriel répondant ainsi à une prise en compte de la complexité des territoires. Dans un premier temps, le territoire via ses activités essentielles et sa population est modélisé en s'appuyant sur les liens d'interdépendance existants. Sur la base d'un évènement initial donné, la méthode identifie les scénarios de propagation possibles et leurs conséquences sur les "usagers" concernés par la délivrance des services touchés. Cette simulation permet ainsi d'apprécier la résilience systémique des enjeux du territoire. Basé sur une approche systémique et spatiale, ce travail a pour objectif de fournir une aide à la décision à la planification des mesures de continuité et de rétablissement d'activité ou à la mise en place de mesures de traitement des risques. / Too many dramatic events occurred over the last ten years have demonstrated the severity and extent of impacts that territories may be confronted with. Damages to critical infrastructures may have a variety of downfall disturbing effects, which can lead territories and society into a huge crisis. Interdependency between these essential activities on the one hand, and between these activities and the population on the other hand, increases their vulnerability. This thesis presents a methodology to better assess direct and indirect impacts of a major disturbance. The issue is addressed from a multi-activity perspective, to take into account territories complexity.In the first stage, a territory is modeled using existing interdependency links between essential activities and the population. The methodology then identifies, based on a defined initial event, possible propagation scenarios and their consequences on services “users”. Finally, this simulation gives an assessment of the territory stakes resilience. This works provides a decision-making tool for the development of activity continuity plans, or risk assessment and mitigation policies.

Les travaux de cette thèse portent sur la sécurisation des infrastructures critiques. Celles-ci sont constituées de l'ensemble des grands réseaux indispensables au bon fonctionnement d'une société. Ce travail s'attache particulièrement aux réseaux électriques et de télécommunications associés. Les interdépendances entre ces derniers amènent à l'apparition de nouvelles vulnérabilités. Pour progresser dans la compréhension de ces vulnérabilités afin de les réduire, deux approches complémentaires ont été explorées. La première est la création d'un outil de simulation comportementale pour systèmes multiinfrastructures. La seconde est la proposition d'une modélisation multi-infrastructures inspirée par la théorie des réseaux complexes. Grâce à cette modélisation, diverses études, en particulier sur l'évaluation de l'influence du réseau de communication sur l'impact des pannes généralisées dans les réseaux électriques ont été réalisées.

En raison de ses vulnérabilités physiques et logiques, une infrastructure critique (IC) peut subir des défaillances, et en raison des interdépendances entre IC, de simples défaillances peuvent avoir des conséquences dramatiques sur lensemble de linfrastructure. Dans notre travail, nous nous concentrons principalement sur les systèmes dinformation et de communication (lIIC : infrastructure dinformation critique) dédiés au réseau d'énergie électrique. Nous proposons une nouvelle approche pour répondre aux problèmes de sécurité que rencontre une IIC, plus particulièrement, ceux liés au contrôle d'accès et à la collaboration. Le but est doffrir à chaque organisation faisant partie de lIIC la possibilité de collaborer avec les autres, tout en maintenant un contrôle sur ses données et sa politique de sécurité internes. Nous avons modélisé, et développé PolyOrBAC, une plateforme de contrôle daccès collaboratif, basée sur le modèle de contrôle daccès OrBAC et sur la technologie des Services Web, cette plateforme est applicable dans le contexte dune infrastructure critique en général, et plus particulièrement dans le cadre dun réseau électrique.