Canal Caché Temporel

Un canal caché temporel est une sous-classe de canal caché dans laquelle l'information ne voyage pas dans des valeurs stockées, mais dans le temps lui-même. Deux processus, un émetteur et un récepteur, partagent une ressource dont l'usage est observable : une connexion réseau, un disque ou un processeur. L'émetteur encode le message en modulant le moment où surviennent les événements ou leur durée. Le récepteur observe le flux d'événements, mesure les intervalles et décode le message. Aucun octet n'est écrit à un endroit qu'un autre processus lit. Le signal n'existe que dans le motif des temporisations.

Le concept s'inscrit dans l'histoire générale des canaux cachés. Les travaux sur le problème du confinement, au début des années 1970, ont montré qu'un processus peut divulguer de l'information même lorsqu'il ne peut formellement pas communiquer. Plus tard, des critères pour systèmes de confiance, comme le TCSEC américain, ont rendu obligatoire l'analyse des canaux cachés, y compris temporels, dans l'évaluation des systèmes à haute assurance. Les évaluations formelles n'exigent généralement pas d'éliminer les canaux temporels, mais de les identifier, d'estimer leur bande passante et de réduire leur capacité là où cela compte.

Deux propriétés distinguent cette classe. D'abord, les deux parties ont en général un accès légitime à la ressource partagée : le contrôle d'accès ordinaire ne peut donc pas fermer le canal, car la ressource continue d'assurer sa fonction tout en portant le signal caché. Ensuite, le bruit dégrade le signal. Tout délai aléatoire entre émetteur et récepteur, comme la gigue réseau, les interruptions d'ordonnancement ou la charge concurrente, peut altérer un bit. C'est pourquoi les canaux temporels sont bien plus lents que les canaux de stockage, et pourquoi les émetteurs sacrifient la vitesse à la redondance.

L'émetteur et le récepteur conviennent à l'avance d'un schéma de codage, puis utilisent un flux d'événements partagé comme support. Les codages courants :

Tout flux d'événements observable que deux parties peuvent influencer et mesurer peut devenir un canal temporel. Les familles les plus connues :

• Trafic réseau : délais modulés dans le trafic TCP/IP, rythme des requêtes DNS ou salves de ping. Le chiffrement ne masque pas ce rythme, car les données se trouvent dans le temps et non dans le contenu.
• Périphériques de stockage : un processus maintient la tête du disque sur une piste pendant qu'un autre mesure le temps de recherche. C'est l'exemple classique de la littérature de recherche.
• Processeur et mémoire : des processus se ralentissent mutuellement de façon mesurable. Plusieurs attaques microarchitecturales modernes reposent sur ce principe.
• Flux d'événements interactifs : intervalles de frappe, événements de souris ou temps de file d'impression. Tout flux horodaté qu'un tiers peut aussi observer peut être modulé.

Un canal caché de stockage laisse des traces inspectables : un champ d'en-tête avec une valeur étrange, un paquet de longueur inhabituelle ou un attribut de fichier modifié. Un canal temporel ne laisse aucune valeur. Le signal n'existe que dans les différences entre les instants des événements, et l'inspection du contenu ne les voit pas, puisque le contenu lui-même est parfaitement normal.

Les systèmes normaux présentent déjà beaucoup de variations temporelles : gigue réseau, congestion, pauses humaines. Un canal temporel se cache dans ce bruit, la détection doit donc être statistique. Il faut établir une base de référence de la distribution des intervalles entre événements et signaler les régularités suspectes ou les motifs improbables. Prouver l'absence d'un canal temporel est pratiquement impossible. L'objectif réaliste est de maintenir sa bande passante très basse et ses motifs assez visibles pour les rendre inutilisables.

Bande passante et discrétion forment le compromis central. Un canal qui envoie vite des bits produit un rythme artificiel qui se distingue du comportement humain et applicatif. Un émetteur patient, limité à quelques bits par minute, se fond dans la variation de fond, mais il lui faut des jours pour transférer un fichier significatif. Les défenseurs exploitent le même compromis : limites de débit et bruit ajouté forcent l'émetteur vers le régime lent, tandis que les bases de référence et la détection d'anomalies rendent le régime rapide plus coûteux.

Le support étant une activité légitime, les contre-mesures combinent observation statistique et mesures qui dégradent le canal lui-même :

• Analyse statistique du trafic : repère une régularité de métronome que les utilisateurs réels ne produisent pas.
• Détection d'anomalies comportementales : des bases par utilisateur captent les écarts durables des transferts lents.
• Limitation de débit : plafonne la fréquence des événements et ralentit fortement les gros transferts.
• Contrôles de bruit et d'ordonnancement : un ordonnancement aléatoire complique la mesure du signal par le récepteur.
• Réduction des chemins partagés : les listes blanches et le filtrage sortant retirent les ressources utilisées par le canal.

Les règles statistiques de la fonction de détection des menaces internes s'appuient sur le même type d'événements enregistrés. La console d'administration peut regrouper les paquets réseau envoyés par intervalles, d'une seconde à dix minutes, si bien qu'une courte pointe se distingue d'une référence calme.

Commencez par les canaux susceptibles de porter un rythme caché : flux réseau, de stockage et interactifs. Les bases de référence ont besoin d'une période d'activité normale pour apprendre, il faut donc les configurer avant un incident et non après.

Un canal temporel est le plus souvent utilisé par quelqu'un déjà présent à l'intérieur : une menace interne disposant d'un accès légitime. La surveillance doit donc couvrir les canaux que les personnes utilisent réellement.

Pour aller plus loin : Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?.