ProvenRun : l’expert du Security by Design

Domi­nique Boli­gna­no, pré­sident et fon­da­teur de Pro­ven­Run, revient sur l’approche avant-gar­diste en matière de sécu­ri­té adop­tée par son entre­prise. Il nous en dit plus sur cette démarche, les solu­tions pro­po­sées et les ambi­tions de crois­sance. Rencontre.

Quel est le métier de ProvenRun ?

Dans le domaine de la cyber­sé­cu­ri­té, il y a deux approches com­plé­men­taires. La pre­mière consiste à réagir suite à une attaque puis à mener des actions cor­rec­tives. La seconde est une approche pré­ven­tive pour anti­ci­per, limi­ter, voire évi­ter les attaques. On parle alors de secu­ri­ty by desi­gn ou sécu­ri­té par construc­tion. C’est cette seconde approche qui est notre cœur de métier. 

Très sou­vent, les sys­tèmes sont conçus sans inté­grer la dimen­sion sécu­ri­té. La seule option res­tante pour la sécu­ri­sa­tion de ces sys­tèmes est de faire de la sécu­ri­té par réac­tion, ce qui limite le niveau de sécu­ri­té que l’on peut atteindre. Nous pre­nons la démarche inverse en inté­grant la sécu­ri­té dès les pre­mières phases d’un pro­jet et du desi­gn d’un sys­tème pour que son état soit le plus proche de l’inviolabilité. L’idée est de rendre une cybe­rat­taque contre ce sys­tème dif­fi­cile au point que les atta­quants n’aient aucun modèle éco­no­mique valable pour l’attaquer.

J’ai créé la socié­té il y a main­te­nant onze ans. Pen­dant les sept pre­mières années, nous avons eu une phase de déve­lop­pe­ment des pro­duits que nous avons ensuite cer­ti­fiés. Depuis deux ans et demi, nous com­mer­cia­li­sons notre solution. 

Plus concrètement, quelle est votre approche de la cybersécurité ?

Au cours des der­nières décen­nies, nous sommes pas­sés d’attaques dites phy­siques ou de proxi­mi­té, qui n’avaient pas de modèle éco­no­mique très inté­res­sant pour les atta­quants, à des attaques dites logiques et dis­tantes qui peuvent prendre dif­fé­rentes formes : prise de contrôle de véhi­cules, d’avions, ou de trains à dis­tance ; cou­pure d’un réseau d’énergie ; attaque contre des centres hos­pi­ta­liers… En ayant recours à ce type d’attaques, les cybe­rat­ta­quants peuvent, par exemple, faire chan­ter un fabri­cant auto­mo­bile en le mena­çant d’attaquer une gamme de véhi­cules contre une somme d’argent. Plus par­ti­cu­liè­re­ment, sur ce type d’attaques, les cyber­cri­mi­nels ne prennent aucun risque, parce qu’il est qua­si impos­sible de les tracer. 

“Notre parti pris est donc de préparer les éléments clés qui permettront de protéger les architectures existantes, mais aussi les prochaines générations.”

Dans un monde où toutes les nou­velles infra­struc­tures numé­riques s’appuient sur l’informatique et la connec­ti­vi­té numé­rique, l’enjeu de pro­tec­tion et d’anticipation de la menace est clé. Notre par­ti pris est donc de pré­pa­rer les élé­ments clés qui per­met­tront de pro­té­ger les archi­tec­tures exis­tantes, mais aus­si les pro­chaines géné­ra­tions (cloud, IoT, sys­tèmes embar­qués…). De manière géné­rale, ces attaques exploitent des erreurs au niveau des spé­ci­fi­ca­tions, de la confi­gu­ra­tion, de l’initialisation, mais essen­tiel­le­ment des erreurs d’implémentation (les bugs). Les cybe­rat­ta­quants essayent d’identifier des bugs pour les com­bi­ner et mener des attaques. Pour réduire ce risque, il faut que la base de confiance du logi­ciel soit exempte de bugs, et plus géné­ra­le­ment d’erreurs. Or, il s’agit là d’un pro­blème de génie logi­ciel et infor­ma­tique qui ne peut pas être solu­tion­né par des approches tra­di­tion­nelles. Tous les ana­lystes et les études montrent qu’il y a un plan­cher de verre sur les sys­tèmes com­plexes et le nombre de bug : à par­tir d’un cer­tain niveau de qua­li­té, à chaque fois qu’on cor­rige un bug, il y a une forte pro­ba­bi­li­té de rajou­ter un nou­veau bug.

La seule tech­nique qui per­met d’obtenir zéro défaut est la preuve for­melle, c’est-à-dire la preuve mathé­ma­tique que la base de confiance est très proche du zéro bug. Pour les sys­tèmes com­plexes, il s’agit de prou­ver que tous les che­mins d’exécution ne pré­sentent aucun pro­blème de sécu­ri­té. Cela revient à faire des tests sym­bo­liques et exhaus­tifs par preuve, un niveau d’exhaustivité qui ne peut pas être obte­nu avec des tech­niques habi­tuelles de test.

“Nous visons 50 à 100 % de croissance annuelle chacune des trois à cinq prochaines années. Pour atteindre notre objectif, notre principal enjeu est le recrutement de personnel à haut potentiel, ainsi que la formation et l’intégration de nouvelles compétences. C’est un axe clé pour conserver notre leadership sur ces sujets.”

C’est à ce niveau que nous nous dif­fé­ren­cions : nous appli­quons la preuve de pro­gramme pour sécu­ri­ser les briques essen­tielles d’une archi­tec­ture de sécu­ri­té (OS, hyper­vi­seur ou noyau). Vient ensuite la sécu­ri­sa­tion des autres appli­ca­tions qui est une démarche beau­coup moins com­plexe. Il nous a fal­lu sept ans pour déve­lop­per cette approche et la faire cer­ti­fier. Nous sommes ain­si le pre­mier acteur mon­dial à avoir conçu un sys­tème d’exploitation avec sa base de confiance prou­vé : Pro­ven­Core. Et pour ce pro­duit, nous avons atteint le plus haut niveau de sécu­ri­té jamais atteint pour un OS. En paral­lèle, nous construi­sons aus­si des com­po­sants qui peuvent être uti­li­sés pour la sécu­ri­sa­tion de n’importe quelle archi­tec­ture dans le monde. 

Nous pro­po­sons donc des briques logi­cielles man­quantes pour déve­lop­per des archi­tec­tures de sécu­ri­té ouvertes et modernes. Cette capa­ci­té à com­bi­ner la preuve for­melle et un très haut niveau de cyber­sé­cu­ri­té nous dif­fé­ren­cie sur le marché. 

Comment intégrez-vous les évolutions rapides et intenses connues par le secteur de la cybersécurité ?

Nous nous sommes tou­jours ins­crits dans une démarche d’anticipation. Dans ce cadre, nous accom­pa­gnons de grands acteurs du domaine comme Azure (Micro­soft) ; de grandes entre­prises de l’aéronautique (Safran) ; des fabri­cants de com­po­sants ; des opé­ra­teurs de télé­com­mu­ni­ca­tions (Orange, Tata Com­mu­ni­ca­tion I^nde)… 

Ils viennent avant tout cher­cher une solu­tion d’architecture sécu­ri­sée pour pro­té­ger leurs sys­tèmes contre les attaques dis­tantes que j’ai pré­cé­dem­ment men­tion­nées. D’autres entre­prises viennent cher­cher des briques pour ren­for­cer leur archi­tec­ture ou pour béné­fi­cier d’un accom­pa­gne­ment afin de résoudre plus rapi­de­ment et effi­ca­ce­ment leurs problématiques. 

Quelles sont vos perspectives de croissances et vos enjeux ?

Nous visons 50 à 100 % de crois­sance annuelle cha­cune des trois à cinq pro­chaines années. Pour atteindre notre objec­tif, notre prin­ci­pal enjeu est le recru­te­ment de per­son­nel à haut poten­tiel, ain­si que la for­ma­tion et l’intégration de nou­velles com­pé­tences. C’est un axe clé pour conser­ver notre lea­der­ship sur ces sujets. 

Je pense que nous avons les com­pé­tences, le savoir-faire et les exper­tises pour conser­ver ce posi­tion­ne­ment. Nous sommes convain­cus de la valeur que nous appor­tons au monde numé­rique et digi­tal au tra­vers de nos solu­tions de sécurité. 

---

Articles similaires :

La cyber­sé­cu­ri­té reste au coeur des pré­oc­cu­pa­tions des entreprises Maî­tri­ser toute la chaîne de pro­tec­tion, un vrai plus dans le mar­ché de la cybersécurité TEHTRIS : des solu­tions de cyber­sé­cu­ri­té hyper auto­ma­ti­sées et 100 % Made In France Face au risque cyber, les diri­geants et hauts cadres sont per­son­nel­le­ment concernés Un expert euro­péen de la cyber­sé­cu­ri­té au rayon­ne­ment international