À mesure que le nombre d’objets capables de communiquer croît, le besoin de sécuriser leurs interactions également. La conception des protocoles cryptographiques nécessaires pour cela est une tâche notoirement complexe et fréquemment sujette aux erreurs humaines. La vérification formelle de protocoles entend offrir des méthodes automatiques et exactes pour s’assurer de leur sécurité. Nous nous intéressons en particulier aux méthodes de vérification automatique des propriétés d’équivalence pour de tels protocoles dans le modèle symbolique et pour un nombre non borné de sessions. Les propriétés d’équivalences ont naturellement employées pour s’assurer, par exemple, de l’anonymat du vote électronique ou de la non-traçabilité des passeports électroniques. Parce que la vérification de propriétés d’équivalence est un problème complexe, nous proposons dans un premier temps deux méthodes pour en simplifier la vérification : tout d’abord une méthode pour supprimer l’utilisation des nonces dans un protocole tout en préservant la correction de la vérification automatique; puis nous démontrons un résultat de typage qui permet de restreindre l’espace de recherche d’attaques sans pour autant affecter le pouvoir de l’attaquant. Dans un second temps nous exposons trois classes de protocoles pour lesquelles la vérification de l’équivalence dans le modèle symbolique est décidable. Ces classes bénéficient des méthodes de simplification présentées plus tôt et permettent d’étudier automatiquement des protocoles taggués, avec ou sans nonces, ou encore des protocoles ping-pong. / As the number of devices able to communicate grows, so does the need to secure their interactions. The design of cryptographic protocols is a difficult task and prone to human errors. Formal verification of such protocols offers a way to automatically and exactly prove their security. In particular, we focus on automated verification methods to prove the equivalence of cryptographic protocols for a un-bounded number of sessions. This kind of property naturally arises when dealing with the anonymity of electronic votingor the untracability of electronic passports. Because the verification of equivalence properties is a complex issue, we first propose two methods to simplify it: first we design a transformation on protocols to delete any nonce while maintaining the soundness of equivalence checking; then we prove a typing result which decreases the search space for attacks without affecting the power of the attacker. Finally, we describe three classes of protocols for which equivalence is decidable in the symbolic model. These classes benefit from the simplification results stated earlier and enable us to automatically analyze tagged protocols with or without nonces, as well as ping-pong protocols.

Thèse ou mémoire avec insertion d'articles / Dans un contexte de présence de plus en plus proéminente d'unités électroniques ou Electronic Control Units (ECU) dans les véhicules [3, 127], la cybersécurité dans le domaine automobile joue un rôle de plus en plus critique [3, 20, 94, 127]. Les systèmes de tests avec matériel dans la boucle (ou Hardware-in-the-Loop (HIL)) sont un bon moyen d'évaluer la résilience des composants d'un véhicule à une attaque de type cyber [28, 29, 74]. Les systèmes de tests HIL sont généralement composés d'un châssis, dans lequel viennent se loger des cartes d'interface et de calcul. Cette architecture a l'avantage d'être très modulaire, une caractéristique nécessaire lorsque la configuration et la complexité des montages varient énormément d'un test à un autre. Ce travail présente un système de test HIL pour les applications automobiles, utilisant Ethernet comme technologie de communication de base. Bien entendu, son coût d'équipement inférieur en fait une alternative intéressante à des systèmes basés sur le PCI eXtention for Intrumentation (PXI) et VME eXtention for Instrumentation (VXI), qui sont les protocoles plus traditionnellement utilisés dans ces applications. Ainsi, on évaluera la viabilité de l'Ethernet dans une telle application, avant de définir le Small Payload Ethernet for HIL (SPEHIL), un protocole spécialement optimisé pour les tests HIL enchâssis. En effet, l'adoption d'Ethernet n'est pas sans défis. Ces derniers sont causés principalement par son taux d'encapsulation très élevé. C'est pourquoi le SPEHIL vient se placer au niveau des couches réseau, transport et application afin de mitiger cette tendance du protocole. Le SPEHIL définit également une couche applicative offrant ainsi la standardisation du contrôle des modules à travers une série de séquences de messages prédéfinis. On définit ensuite le premier prototype de système SPEHIL intégré, dans le but d'en évaluer les performances. Ce dernier se base sur une carte de développement Field Programmable Gate Array (FPGA) Zynq et offre l'interface nécessaire à l'usager pour interagir avec ce dernier. On termine par l'analyse des performances du protocole en place comparé à l'Ethernet tout comme à ses principaux rivaux dans le domaine du HIL. / In a context of an increasingly prominent presence of electronic units or ECU in vehicles [3, 127], cybersecurity in the automotive field plays an increasingly important role [3, 20, 94, 127]. Hardware-in-the-Loop (or HIL) test systems are a good way to assess the resilience of vehicle components to a cyberattack [28, 29, 74]. HIL test systems generally consist of a chassis, in which interface and calculation cards are housed. This architecture has the advantage of being very modular, a necessary characteristic when the configuration and the complexity of the test's setup vary enormously from one ECU to another. This work presents a HIL test system for automotive applications, using Ethernet as the core communication technology. Of course, its lower equipment cost makes it an interesting alternative to systems based on PXI and VXI, which are the protocols more traditionally used in these applications. Thus, we will evaluate the viability of Ethernet in such an application, before defining the SPEHIL, a protocol specially optimized for HIL tests in a chassis. Indeed, Ethernet adoption is not without its challenges. These are mainly caused by its very high encapsulation ratio. This is why the SPEHIL's implementation targets the network and transport layers in order to mitigate this tendency of the protocol. SPEHIL also defines an application layer, thus providing standardization of module's control messages through a series of predefined sequences. We then define the first prototype of an integrated SPEHIL system, in order to evaluate its performance. The latter is based on a Zynq FPGA development board and provides the necessary interface for the user to interact with it. We conclude with the analysis of the performance of the protocol in place compared to Ethernet, and its main rivals in the field of HIL.

Dans cette thèse, nous proposons un cadre unifié pour la pragmatique et la sémantique de la communication entre agents logiciels. La pragmatique traite la façon dont les agents utilisent les actes communicatifs lorsqu’ils participent aux conversations. Elle est liée à la dynamique des interactions entre agents et à la manière avec laquelle les actes individuels sont reliés pour construire des conversations complètes. La sémantique, quant à elle, est intéressée par la signification de ces actes. Elle établit la base pour une signification concise et non ambiguë des messages échangés entre les agents. Ce cadre unifié vise à résoudre trois problèmes majeurs dans le domaine de communication entre agents : 1- L’absence d’un lien entre la pragmatique et la sémantique. 2- L’inflexibilité des protocoles actuels de communication entre agents. 3- La vérification des mécanismes de communication entre agents. Les contributions principales de cette thèse sont : 1- Une approche pragmatique formelle basée sur les engagements sociaux et les arguments. 2- Un nouveau formalisme pour la communication entre agents appelé Réseau d’Engagements et d’Arguments. 3- Un modèle logique définissant la sémantique des éléments utilisés dans l’approche pragmatique. 4- Une technique de vérification de modèles basée sur une sémantique à tableaux pour vérifier une famille de protocoles flexibles de communication entre agents appelée protocoles à base de jeux de dialogue. 5- Un nouveau protocole de persuasion à base de jeux de dialogue. L'idée principale de notre approche pragmatique est que la communication entre agents est modélisée comme des actions que les agents accomplissent sur des engagements sociaux et des arguments. La dynamique de la conversation entre agents est représentée par cette notion d’actions et par l’évolution de ces engagements et arguments. Notre formalisme (Réseau d’Engagements et d’Arguments) basé sur cette approche fournit une représentation externe de la dynamique de communication entre agents. Ce formalisme peut être utilisé par les agents comme moyen pour participer à des conversations d’une manière flexible parce qu’ils peuvent raisonner sur leurs actes communicatifs en utilisant leurs systèmes d’argumentation et l’état actuel de la conversation. Notre modèle logique est une sémantique, à base d’un modèle théorique, pour l’approche pragmatique. Il définit la signification des différents actes de communication que nous utilisons dans notre approche pragmatique. Il exprime également la signification de quelques actes de discours importants dans le contexte de communication multi-agents et il capture la sémantique des arguments annulables. Ce modèle logique permet d’établir le lien entre la sémantique et la pragmatique de communication entre agents. Nous traitons le problème de vérification des protocoles à base de jeux de dialogue en utilisant une technique de vérification de modèles basée sur une sémantique à tableaux. Ces protocoles sont spécifiés sur la base de notre modèle logique. Nous montrons que notre algorithme de vérification offre une technique, non seulement pour vérifier si le protocole à base de jeux de dialogue (le modèle) satisfait une propriété donnée, mais également si ce protocole respecte la sémantique des actes communicatifs. Notre protocole de persuasion à base de jeux de dialogue est spécifié dans le contexte de notre cadre unifié en utilisant un langage logique. Il est implémenté en utilisant une programmation logique et un paradigme orienté-agent. Dans ce protocole, le processus décisionnel des agents est basé sur les systèmes d’argumentation et sur la notion de crédibilité des agents. / In this thesis, we propose a unified framework for the pragmatics and the semantics of agent communication. Pragmatics deals with the way agents use communicative acts when conversing. It is related to the dynamics of agent interactions and to the way of connecting individual acts while building complete conversations. Semantics is interested in the meaning of these acts. It lays down the foundation for a concise and unambiguous meaning of agent messages. This framework aims at solving three main problems of agent communication: 1- The absence of a link between the pragmatics and the semantics. 2- The inflexibility of current agent communication protocols. 3- The verification of agent communication mechanisms. The main contributions of this thesis are: 1- A formal pragmatic approach based on social commitments and arguments. 2- A new agent communication formalism called Commitment and Argument Network. 3- A logical model defining the semantics of the elements used in the pragmatic approach. 4- A tableau-based model checking technique for the verification of a kind of flexible protocols called dialogue game protocols. 5- A new persuasion dialogue game protocol. The main idea of our pragmatic approach is that agent communication is considered as actions that agents perform on social commitments and arguments. The dynamics of agent conversation is represented by this notion of actions and by the evolution of these commitments and arguments. Our Commitment and Argument Network formalism based on this approach provides an external representation of agent communication dynamics. We argue that this formalism helps agents to participate in conversations in a flexible way because they can reason about their communicative acts using their argumentation systems and the current state of the conversation. Our logical model is a model-theoretic semantics for the pragmatic approach. It defines the meaning of the different communicative acts that we use in our pragmatic approach. It also expresses the meaning of some important speech acts and it captures the semantics of defeasible arguments. This logical model allows us to establish the link between the semantics and the pragmatics of agent communication. We address the problem of verifying dialogue game protocols using a tableau-based model checking technique. These protocols are specified in terms of our logical model. We argue that our model checking algorithm provides a technique, not only to verify if the dialogue game protocol satisfies a given property, but also if this protocol respects the underlying semantics of the communicative acts. Our persuasion dialogue game protocol is specified in our framework using a logical language, and implemented using a logic programming and agent-oriented programming paradigm. In this protocol, the agents’ decision making process is based on the agents’ argumentation systems and the notion of agents’ trustworthiness.

Les protocoles cryptographiques constituent le coeur de la sécurité dans les communications de tous genres. Ils assurent l’authentification des agents, la confidentialité des données, leur intégrité, l’atomicité des biens et de l’argent, la non-répudiation, etc. Ils sont utilisés dans tous les domaines : le commerce électronique, le domaine militaire, le vote électronique, etc. L’utilisation de la cryptographie est essentielle pour assurer la sécurité d’un protocole, mais elle n’est pas suffisante. En effet, on rapporte un nombre important de protocoles qui ont été longtemps considérés sécuritaires, mais qui se sont avérés défaillants avec le l’usage. Dire qu’un protocole est correct ou non est un problème nondécidable en général. Cependant, plusieurs méthodes (basées sur les logiques, sur le Model-Checking ou sur le typage, etc.) ont vu le jour pour répondre à cette question sous des hypothèses restrictives et ont abouti à des résultats variables. Dans cette thèse, nous suggérons une méthode semi-décidable d’analyse des protocoles cryptographiques pour la propriété de confidentialité. Elle se base sur une intuition : "Un protocole croissant est correct". Nous validons cette intuition et nous proposons le théorème fondamental de correction des protocoles croissants sous des conditions minimales. Ensuite nous proposons une famille de fonctions témoins ayant les propriétés requises pour certifier qu’un protocole est correct. Nous validons enfin notre méthode sur des protocoles communs. / Cryptographic protocols are the fundament of security in all communications. They allow agents’ authentication, data confidentiality, data integrity, atomicity of goods, atomicity of money, nonrepudiation, etc. They are used in all areas: e-commerce, military fields, electronic voting, etc. The use of cryptography is essential to ensure the protocol security, but it is not sufficient. Indeed, we report a significant number of cryptographic protocols that had long been considered safe, but have been proven faulty with usage. Saying that a protocol is correct or not is an undecidable problem in general. However, several methods (logic-based methods, Model-Checking-based methods, typing-based methods, etc.) have emerged to address this question under restrictive assumptions and led to varying results. In this thesis, we suggest a semi-decidable method for analyzing cryptographic protocols for secrecy. It is based on an intuition: "An increasing protocol is correct". We formally validate this intuition, and we state the fundamental theorem of correctness of increasing protocols under few conditions. Then, we propose a safe way to build a family of reliable functions that we call the witness-functions, to certify protocol’s correctness. Finally, we validate our method on common protocols.

On ne s’en inquiète peut-être pas assez, mais toute communication confidentielle sur Internet, dont on prend désormais la sécurité pour acquise, pourrait du jour au lendemain devenir très facile à espionner. Nous savons en effet qu’un ordinateur quantique, s’il en existe un de suffisante envergure, pourra –ou peut déjà, qui sait ?– rendre obsolète les protocoles cryptographiques qui nous permettent de gérer nos comptes utilisateurs, faire des transactions bancaires et simplement d’avoir des conversations privées. Heureusement, une communauté de chercheurs se penche déjà sur des protocoles alternatifs ; cependant chacune des propositions est isolée dans son propre sous-domaine de recherche et il est difficile de faire la lumière sur laquelle est la plus prometteuse. À travers trois horizons, explorant respectivement pourquoi la cryptographie actuelle est considérée sécuritaire, comment l’arrivée d’un seul ordinateur quantique sur la planète changera toute la cryptographie, et que faire pour communiquer confidentiellement dans un monde où l’informatique quantique est omniprésente, nous développons un cadre uniforme pour analyser lesquels de ces nouveaux protocoles cryptographiques sont assis sur les bases théoriques présageant la plus grande sécurité.

Dans la plupart des systèmes radio, la correction des erreurs de transmission se base sur un protocole ARQ hybride (HARQ), qui combine un code correcteur d'erreurs (FEC) avec un protocole de retransmission (ARQ). La grande majorité des études portant sur l'HARQ se focalise essentiellement sur l'analyse et l'optimisation du code correcteur d'erreurs. Dans cette thèse, nous proposons une optimisation conjointe inter-couches du protocole ARQ hybride, en considérant à la fois des aspects de communications numériques et des aspects protocolaires. Dans les schémas HARQ classiques, dits simple paquet (SP), les paquets de redondance transmis sont tous relatifs au même paquet de données. Chaque retransmission réduit alors significativement le débit utile lorsque la taille des paquets est fixe. D'autre part, le débit est également très sensible à la présence d¿erreurs sur la voie retour. Nous proposons donc une nouvelle approche dite multi-paquets (MP), qui vise à réduire le nombre moyen de retransmissions par paquet grâce à la construction de paquets de redondance pouvant aider au décodage simultané de plusieurs paquets de données. Cette approche offre un gain significatif en débit par rapport aux schémas HARQ-SP lorsque le rapport signal à bruit (RSB) est suffisamment élevé. Les schémas HARQ classiques demeurent toutefois plus performants à faible RSB. Nous montrons par ailleurs que l'approche MP est plus robuste aux erreurs sur la voie de retour que l'approche SP. Ces résultats nous ont conduits à proposer un protocole hybride SP/MP qui bénéficie des avantages propres à chaque stratégie. Nous montrons par une analyse théorique ainsi que par simulation, que ce schéma hybride réalise un très bon compromis entre SP et MP sur toute la plage de RSB.

Nos travaux abordent le problème de l'efficacité des techniques d'implémentation hautes performances du système de communication. Car si les principes généraux sont désormais bien connus, il n'en va pas toujours de même de leur application. Des résultats obtenus sur notre plate-forme expérimentale, nous tirons des conclusions quant aux aspects machine hôte, système, et protocoles. Pour l'aspect machine hôte nous montrons que la parallélisation des piles de communication est décevante et grandement limitée par les contentions d'origine système. Nous montrons également comment la technique ILP, destinée à limiter les accès mémoire, peut être intégrée à la méthode d'accès d'une pile TCP/IP. Les bénéfices de cette technique restent largement dépendants des conditions d'utilisation, de la nature de l'application, et des manipulations de données. Du point de vue système, l'étude de deux environnements d'exécution de protocoles opposés, BSD et Streams, a permis d'identifier leurs faiblesses, et notamment pourquoi l'environnement Streams actuel n'est pas adapté aux hautes performances. Nous en déduisons un ensemble de principes qu'un environnement performant se doit de respecter. L'architecture de la pile de communication est essentielle. Nous montrons qu'une architecture démultiplexée, avec des chemins de données directs entre applications et drivers réseaux, permet un excellent support du contrôle de flux local et des mécanismes systèmes de QoS. En revanche, les implémentations de niveau utilisateur souffrent de nombreuses limitations. Elles sont cependant indispensables à certaines techniques. Du point de vue protocoles, nous montrons que la présence d'options dans les en-têtes de paquets n'est pas contraire à l'obtention de bonnes performances. A la notion trop rigide d'en-têtes de taille fixe nous substituons celle d'en-tétes de taille prédictible. Enfin, il ressort deux notions clés de ces travaux, la simplicité et la flexibilité, dont dépendent les performances et les fonctionnalités du système de communication.

Au cours des vingt dernières années, c'est une évolution très rapide non seulement en termes de nombre d'éléments inter-connectés mais surtout en termes de capacités des liens qui a pu être constatée au sein des réseaux de communications. A la création du réseau ARPANET en 1969, il y a plus de quarante ans, quatre ordinateurs, tous situés aux États-Unis étaient connectés avec des liens avec un débit de 50 kilobits par seconde. En 1986, à la création du réseau des universités américaines, le NSFNET, le nombre de machines dépassait déjà plusieurs milliers mais le débit des liens de coeur était encore de 56 kilobits par seconde. A partir de ce moment, la croissance à la fois en termes de nombre d'éléments inter-connectés et de capacités des liens a été exponentielle, grâce au succès de nouvelles applications populaires comme le WWW ou les avancées technologiques comme SDH, SONET ou DWDM dans le domaine des réseaux de fibres optiques et ATM et les protocoles DSL qui en dérivent. L'Internet actuel interconnecte des milliards d'utilisateurs (un demi-milliard de machines fin 2006) répartis partout dans le monde, pouvant utiliser des liens de coeur dont les débits cumulés sont supérieurs à plusieurs Térabits par seconde et dont les liens d'accès peuvent atteindre jusqu'à 10 Gigabits par seconde. Une autre évolution technologique fondamentale est que, aujourd'hui, certains liens d'accès ont des débits du même ordre de grandeur que les débits des liens de coeur auxquels ils sont connectés. Il est aujourd'hui courant de trouver des fermes de serveurs où les noeuds sont interconnectés avec des liens à 1 Gbps ou 10 Gbps et qui ont une connexion vers l'extérieur avec un débit similaire. Cette modification est importante car désormais quelques connexions suffisent à provoquer une saturation des liens de coeur. Cette situation risque d'empirer au fur et à mesure du remplacement des technologies DSL par la Fibre-Jusqu'à-La-Maison (FTTH). Des connexions à 5 Mbps agrégées sur des liens OC48 (2.5 Gbps) vont alors être remplacées par des connexions à 100 Mbps, voire 1 Gbps, agrégées sur des liens à 10 Gbps, voire moins suivant la technologie optique utilisée sur le réseau d'accès. Il est fort probable que dans de tels environnements des niveaux de congestion élevés ne soient pas rares, engendrant des perturbations pour de nombreuses applications. Un grand nombre d'applications prometteuses ont émergé et pourraient bénéficier de capacités de communication accrues, comme par exemple la Vidéo-à-la-Demande (VoD) qui permet aux utilisateurs de regarder des films en haute définition chez eux quand ils le désirent ou les expériences scientifiques générant des quantités massives de données (comme le LHC) qui doivent être acheminées dans des centres de calcul répartis tout autour du globe. L'interaction d'utilisateurs avec des objets distants via un réseau de communication ou Téléprésence commence également à prendre un rôle prépondérant dans de nombreux domaines allant du médical au militaire en passant par l'exploration spatiale. Mais ces applications sont encore construites au dessus de logiciels ou de protocoles à succès comme TCP et IP, conçus il y a longtemps pour un contexte de réseaux bas-débit. Le conception était dirigé par un but principal: fournir une interconnexion robuste entre des réseaux existants. Plongés maintenant dans un contexte de réseaux très haut-débit, ces protocoles extrêmement robustes et capables de passer à l'échelle sont toujours en activité mais commencent à montrer leurs limites en termes de performance, sécurité, fonctionnalités et flexibilité. L'exemple le plus typique est TCP au niveau de la couche de transport. TCP a été conçu comme un protocole ``à tout faire'' mais à mesure que la capacité des liens augmente dans les réseaux fixes, que les caractéristiques intrinsèques changent pour les réseaux sans fils et que les besoins des applications divergent, TCP n'est plus capable de permettre une utilisation performante pour tous des capacités nominales des liens du réseau. De nombreuses solutions ont été proposées, mais les concepteurs de protocoles d'aujourd'hui ont un large désavantage par rapport à ceux d'il y a quarante ans. Faire fonctionner ensemble quatre machines identiques n'est pas exactement pareil que concevoir un logiciel de communication ou protocole susceptible d'être utilisé entre des milliards de machines hétérogènes. Apporter du changement dans un système d'une telle ampleur est problématique: il n'est pas possible d'envisager une migration massive du jour au lendemain surtout si des équipements physiques sont concernés. Le changement ne peut être que graduel et via des mises à jour logicielles dans les hôtes d'extrémité. La peur d'un effondrement de l'Internet dû à la congestion comme à la fin des années 80 resurgit. Causés par une surabondance de trafic réseau sur des liens saturés, ces troubles ont mis en avant la nécessité d'introduire un mécanisme de contrôle de congestion dans les protocoles de transport. Si les nouvelles solutions introduites se comportent de façon égoïste quand elles partagent une ressource commune (un lien), alors cette peur est fondée. Il est donc nécessaire de fournir des moyens de vérifier si une solution donnée possède les propriétés adéquates avant de l'introduire dans un système partagé à très large échelle.

SSL/TLS, un protocole de sécurité datant de 1995, est devenu aujourd'hui une brique essentielle pour la sécurité des communications, depuis les sites de commerce en ligne ou les réseaux sociaux jusqu'aux réseaux privés virtuels (VPN), en passant par la protection des protocoles de messagerie électronique, et de nombreux autres protocoles. Ces dernières années, SSL/TLS a été l'objet de toutes les attentions, menant à la découverte de nombreuses failles de sécurité et à des améliorations du protocole. Dans cette thèse, nous commençons par explorer l'écosystème SSL/TLS sur Internet en énumérant les serveurs HTTPS sur l'espace IPv4; nous proposons pour cela des méthodologies de collecte et d'analyse permettant d'obtenir des résultats reproductibles et comparables entre différentes campagnes de mesure. Au-delà de ces observations, nous nous sommes intéressés en détail à deux aspects essentiels de la sécurité TLS: comment parer les attaques sur le Record Protocol, et comment implémenter des parsers sûrs et efficaces. Finalement, en se basant sur les nombreuses failles d'implémentation qui ont affecté presque toutes les piles TLS ces dernières années, nous tirons quelques enseignements concernant les difficultés liées à l'écriture d'une bibliothèque TLS de confiance / SSL/TLS, a 20-year old security protocol, has become a major component securing network communications, from HTTPS e-commerce and social network sites to Virtual Private Networks, from e-mail protocols to virtually every possible protocol. In the recent years, SSL/TLS has received a lot of attentions, leading to the discovery of many security vulnerabilities, and to protocol improvements. In this thesis, we first explore the SSL/TLS ecosystem at large using IPv4 HTTPS scans, while proposing collection and analysis methodologies to obtain reproducible and comparable results across different measurement campaigns. Beyond these observations, we focused on two key aspects of TLS security: how to mitigate Record Protocol attacks, and how to write safe and efficient parsers. Finally, building on the numerous implementation flaws in almost all TLS stacks in the last years, we propose some thoughts about the challenges in writing a secure TLS library

Titre de l'écran-titre (visionné le 17 avril 2023) / L'insuffisance cardiaque (IC) est un syndrome chronique où les personnes peuvent présenter des symptômes tels que la dyspnée et la fatigue (Jaarsma et al., 2021; McDonagh et al., 2022). La pratique des autosoins est requise notamment pour contribuer à stabiliser les symptômes, pour éviter des épisodes de décompensation et pour augmenter la qualité de vie (Jaarsma et al., 2021). Les autosoins sont définis par Riegel et al. comme étant « un processus de maintien de la santé grâce à des pratiques de promotion favorisant la santé et des pratiques de gestion de la maladie » (2012, p. 195, traduction libre). En plus de l'IC, 41 % de ces personnes sont atteintes d'un trouble neurocognitif (TNC) (Yap et al., 2022). En raison de l'effet combiné de l'IC et du TNC, la pratique des autosoins se veut plus difficile (Riegel et al., 2012). Ces personnes peuvent donc avoir besoin d'aide, et un suivi infirmier adapté à leurs besoins peut devenir nécessaire. Or, peu d'études publiées présentent les composantes d'interventions d'un suivi infirmier adapté à ces personnes (Hickman et al., 2020; Lovell et al., 2019). Aussi, les interventions sont peu explicitées, ce qui rend difficile leur transposition dans la pratique et au sein d'un groupe de personnes aux besoins diversifiés (Hickman et al. (2020). Pour ces raisons, la présente étude avait comme but d'élaborer un suivi infirmier permettant à des personnes atteintes d'IC et d'un TNC léger de pratiquer au quotidien des autosoins complexes requis par leur condition chronique. Les autosoins sont complexes en raison de la quantité (Kessing et al., 2019) et de l'implication de différents processus cognitifs (Riegel et al., 2012; Riegel et Dickson, 2008). La vision des soins infirmiers proposée par le modèle d'adaptation de Roy (2009) a servi d'assise à cette étude. Les postulats du modèle suggèrent de mettre à profit les capacités et les forces d'une personne malgré des capacités cognitives légèrement atténuées et des difficultés évidentes dans la pratique des autosoins, tout en soulignant la possibilité d'agir afin de favoriser un processus d'adaptation optimal. Pour ce faire, la méthode proposée par Sidani et Braden (2011) a été employée afin de développer un protocole d'interventions infirmières pour des personnes atteintes d'IC et d'un TNC léger. Les 4 phases suivantes ont été consacrées à l'élaboration du protocole, soit la compréhension du problème (phase 1), l'identification et l'élaboration des interventions appropriées (phase 2), le développement du protocole d'interventions infirmières (phase 3), ainsi que la conduite d'un projet pilote. Ce dernier a permis de raffiner le protocole d'interventions; d'évaluer son acceptabilité, sa faisabilité, de même que les capacités des indicateurs de résultats sélectionnés à saisir les changements de l'application du protocole d'interventions infirmières (phase 4). Des entrevues avec des personnes aux prises avec l'IC et un TNC, et des professionnels de la santé, appuyées par les résultats d'études empiriques et le recours à des théories en mesure d'expliquer les résultats obtenus, ont permis de cibler des besoins et des interventions. L'analyse des données expérientielles, empiriques et théoriques des deux premières phases a donné le moyen d'élaborer le protocole d'interventions infirmières, et le projet pilote a permis d'en raffiner le contenu. Les phases de la méthode de Sidani et Braden (2011) ont mis en lumière des éléments importants devant être intégrés dans un suivi infirmier auprès de la population atteinte d'IC et d'un TNC. Les résultats de cette étude suggèrent qu'un suivi infirmier régulier, à domicile et à long terme, est à privilégier. Les résultats ont également fait valoir que l'enseignement doit s'étendre au-delà des recommandations standards, que les opérations cognitives liées à la pratique des autosoins doivent être soutenues et, surtout, que la pratique des autosoins doit être contextualisée dans la vie quotidienne de la personne. Les résultats ont fait valoir comment la présence d'un proche s'avère indispensable à la pratique des autosoins. Au final, le projet pilote a permis de compléter la phase d'élaboration du protocole d'interventions infirmières en plus de montrer qu'il est acceptable et faisable pour soutenir la pratique des autosoins des personnes atteintes d'IC et d'un TNC. / Heart failure is a chronic condition which could cause symptoms such as dyspnea and fatigue (Jaarsma et al., 2021). The person with heart failure (HF) can help stabilize symptoms, avoid decompensation, and enhance quality of life by managing his or her chronic disease, particularly through self-care (Jaarsma et al., 2021). Self- care is defined as « a process of maintaining health through heath promoting practices and managing illness » (Riegel et al., 2012, p.195). However, the practice of self-care is influenced by mild cognitive impairment (MCI) common in heart failure patients, affecting 41 % of that population (Yap et al., 2022). HF associated with MCI can make self-care practice more difficult (Riegel et al., 2012). Thus, these people may need assistance, and a nursing follow-up adapted to their needs may become necessary. However, few published studies present the intervention components of a nursing follow-up adapted to these people (Hickman et al., 2020; Lovell et al., 2019). Also, in those studies, the interventions are poorly explained, which makes it difficult to transpose them into practice and to a group of people with diverse needs (Hickman et al., 2020). For these reasons, the aim of the present study was to develop a nursing follow-up that would allow people with HF and MCI to practice the complex self-care required by their chronic condition on a daily basis. The vision of nursing care proposed by Roy's (2009) adaptation model served as the basis for this study. The model's postulates suggest building on a person's abilities and strengths despite slightly impaired cognitive abilities and obvious difficulties in practicing self-care, while emphasizing the possibility of taking actions to promote an optimal adaptation process. To this end, the method proposed by Sidani and Braden (2011) was used to develop a nursing follow-up protocol for people with HF and MCI. The following 4 phases are devoted to the development of the nursing interventions protocol: understanding the problem (phase 1), identifying and developing appropriate interventions (phase 2), developing the intervention protocol (phase 3), as well as conducting a pilot project to refine the protocol; assess its acceptability, feasibility and outcome indicator capabilities; and capture changes during the implementation of the nursing interventions protocol (phase 4). Interviews with people with HF and MCI, and health professionals, supported by empirical research findings and the use of theories to explain the findings, were used to target needs and interventions. Analysis of the experiential, empirical and theoretical data from the first two phases led to the development of the nursing interventions protocol, and the pilot project helped to refine its content. The phases of Sidani and Braden's (2011) method highlighted important elements that should be incorporated into a nursing follow-up for population with HF and MCI. The results of this study suggest that regular, home- based, long-term follow-up is preferred. The results also suggested that teaching should extend beyond standard recommendations, that cognitive operations related to self-care practice should be supported, and, most importantly, that self-care practice should be contextualized in the person's daily life. The results underline how the presence of a relative is indispensable for the practice of self-care. In the end, the pilot project completed the nursing interventions protocol development phase and showed that it is acceptable and feasible to support the practice of self-care for people with HF and MCI.