La sécurité des téléphones mobiles

Le présent article est basé sur les présentations faites lors de la plénière EESSTEL du 11 mars 2020.

Aujourd’hui, le smartphone a pris une place centrale dans nombre d’aspects de nos vies.

il remplace en particulier les applications de la carte à puce. Les applis sont on-line en permanence et font transiter des volumes de données importants, ce qui donne à leurs opérateurs des capacités de monitoring des activités des utilisateurs.

La question se pose : comment sécuriser le téléphone mobile ? Depuis son origine, le téléphone mobile contient une carte SIM, qui est un élément de sécurité. On lui a désormais adjoint un Secure Element (SE) dans un certain nombre de smartphones, et on peut aussi considérer les solutions de sécurité basées sur des TEE ou du logiciel.

Jean-Claude Paillès,

Expert EESTEL, fera une présentation introductive, qui brossera les grandes lignes du sujet, ses opportunités et ses contraintes.

Stéphanie El Rhomri

Vice-Présidente Testing Service chez FIME, est intervenue en tant que board member de GlobalPlatform. Sa présentation a permis un tour d’horizon des solutions de sécurité GlobalPlatform dans les mobiles et donné des exemples de déploiement de solution sécurisée, y compris dans le domaine de l’IoT.
Stéphanie El Rhomri est Vice-Présidente Testing Service chez FIME. Elle est responsable de 10 laboratoires accréditées répartis dans le monde, laboratoires qui fournissent des services de test pour les industries du paiement, des télécoms et du transport. Auparavant Stéphanie a été responsable de nombreuses initiatives au sein de FIME dont les plus importantes ont été la création d’une équipe avant-vente internationale et le développement du portefeuille de solutions de test pour les secteurs du paiement et des télécoms. Elle est experte en test et certification, et elle contribue activement dans des groupes de standardisation et des schémas de certification, elle est membre du conseil d’administration de GlobalPlatform depuis 2015 et a été élue trésorière en 2017. Stéphanie est ingénieure diplômée de l’ENSEIRB Bordeaux et possède un advanced certificat en gouvernance d’entreprise de l’ESSEC Business School Paris.

Au cours des évolutions technologiques, les besoins en sécurité des smartphones ont évolué,
en particulier avec l’arrivée de la technologie NFC.
Pour la mise en place d’applications NFC, le besoin de Secure Element (SE) s’est fait sentir, soit dans le smartphone, soit dans la SIM, mais cela pose des problèmes de logistique. Une alternative a été proposée avec HCE, solution purement logicielle. Aujourd’hui, se développent les solutions de type TEE (Trusted Execution Environment) qui apportent une sécurité matérielle.

Le besoin de sécurité est de plus en plus complexe, du fait de la complexité des smartphones eux-mêmes, avec des OS représentant des millions de lignes de code, et des périphériques, la diversité des operating systems et des microprocesseurs. L’approche de type TEE permet de séparer la sécurité des applications de celle du baseband processor.

Des questions supplémentaires sont posées par l’évolution des OS, sous la forme de mises à jour. Et enfin, il convient de mettre en évidence pour l’utilisateur quand il est dans une environnement sécurisé et quand il ne l’est pas. Ceci mène à l’identification du besoin de certification de sécurité.

GlobalPlatform est une association crée en 1999, dont le rôle est de publier des spécifications de sécurité, qui s’est tout d’abord concentrée sur l’identité et le paiement. Depuis 2007, elle produit des spécifications sur le mobile, en particulier sur le Secure Element et le TEE. A partir de 2015, l’association a publié des spécifications pour les véhicules connectés, les weareables, etc. et, depuis 2019, sur tous les aspects de l’IoT. L’association compte 4 task forces : IoT, sécurité, Chine, Japon, ainsi que 4 comités et 20 workgroups, soit au total 2600 personnes, pour plus de 90 sociétés membres. Parmi les membres, on compte American Express, Apple, arm, Cisco, DNP, Gemalto, G+D, NXP, UL, Visa, Valid, Kaspersky, Alibaba, Feitian, Toppan, Rambus, etc….

Pour les service providers, la sécurité des téléphones mobiles signifie une complexité croissante : de plus en plus de devices, des acteurs nouveaux, les choix de SE, de processeurs, etc.

GP est impliqué dans la certification des composants sécuritaires, en montant un schéma de certification. L’approche qui prévaut aujourd’hui est « du secure component au device », considérant que le secure component est sous le contrôle du fournisseur d’application alors que le device est choisi par l’utilisateur.

Grâce à cette approche, toutes les cartes SIM aujourd’hui sont conformes aux spécifications de GP. A ce jour, 35 milliards de cartes SIM conformes aux spécifications de GP ont été produites.

Le principe du TEE connaît lui aussi le succès. Un milliard de TEE ont été déployés depuis 2018. Ce sont Knox, de Samsung (sur base Trustonic), Apple, Arm, Trustonic, Huawei, Qualcomm, … Le TEE apporte un niveau de sécurité intermédiaire : il utilise le processeur du mobile qui a plus de capacité de calcul que le SE. Lorsque GlobalPlatform considère un Secure Component, il s’agit de la combinaison hardware (SE ou TEE) et firmware et root of trust. Le management du TEE est plus complexe que celui du SE, il existe un TEE management framework. Le Root of Trust reflète le fait que le composant est produit de manière sécurisée, ainsi que l’injection de clés initiales.
Ceci met en évidence le besoin de certification. Aujourd’hui, 12 labos sont accrédités, il existe 20 test suites et 196 produits qualifiés.

L’évolution du eSE au integrated SE (chipset remplissant les fonctions de SE intégré dans le baseband processor), ouvre de nouvelles problématiques de production et d’utilisation. Un integrated SE (iSE) a le même niveau de sécurité qu’un SE, mieux qu’un TEE. IL n’existe pas à ce jour d’implémentation commerciale de iSE.

Le TEE peut être utilisé pour des applications biométriques, on peut considérer un TEE pour identification biométrique sous la forme d’API pour les développeurs d’applications.
GP propose une certification de sécurité, sur la base de l’ISO 15408, basé sur les critères communs, centré sur les attaques et les vulnérabilités. GP produit également une architecture de référence : Device Trust Architecture, qui s’appuie sur un SE ou un TEE.

La sécurité des téléphones mobiles