[EDITION ABONNES] Créée en 2020 par Window Snyder, une experte des technologies de sécurité pour plates-formes et systèmes d’exploitation qui a travaillé chez Microsoft, Apple, Intel et Mozilla notamment, la société Thistle Technologies annonce un ensemble d’outils et de services censés faciliter les mises à jour logicielles automatisées et apporter aisément d’autres fonctionnalités de sécurité aux systèmes embarqués et autres objets connectés complexes.

Avec ces outils et services, rassemblés sous le nom de Thistle Security Platform, les fabricants d’équipements et les équipes de développement responsables de la maintenance de systèmes embarqués peuvent intégrer de manière simple des fonctions de sécurité évoluées dans leurs environnements existants, assure la start-up, et ce avec une approche qui garantit des mises à jour logicielles fiables. Les équipements peuvent alors être mis à jour automatiquement, à distance depuis un centre de données et, pour les équipements sur site, au travers d’un réseau en lieu et place d'un câble USB (ou d'une connexion JTAG). A la clé : moins de pression pour les équipes IT et des environnements critiques qui ne risquent plus de mises à l’arrêt intempestives pour des risques liés à la sécurité.

Selon Thistle, si aujourd’hui les mises à jour logicielles de systèmes d'exploitation à usage générique s’avèrent simples et souvent automatiques, les systèmes embarqués nécessitent encore, dans bien des cas, des mises à jour manuelles si tant est qu’ils puissent être effectivement mis à jour. La start-up cible ici les équipements à la complexité croissante que sont généralement les calculateurs robustes, connectés à des infrastructures critiques dans des secteurs comme les transports, les télécommunications, la finance et bien d'autres. Equipements qui n’offrent pas le même niveau de résilience en matière de sécurité que les serveurs déployés dans les centres de données et les ordinateurs de bureau, mais qui sont aujourd’hui confrontés aux mêmes menaces et dont la surface d’attaque est néanmoins importante.

« Nous voulons démocratiser la sécurité et permettre aux ingénieurs d'intégrer facilement une sécurité sophistiquée dans leurs produits, indique Window Snyder, la fondatrice de Thistle Technologies. Les organisations dont les équipes sont réduites peuvent ne disposer que de quelques développeurs s’affairant sur des équipements pour environnements à enjeux élevés, comme c’est parfois le cas de compagnies d'électricité ou d'eau, voire de sociétés de télécommunication. Ces équipements embarqués, qui sont généralement des calculateurs entièrement fonctionnels, peuvent ne pas disposer de la même infrastructure de sécurité que les systèmes d'exploitation à usage générique. C’est là que nous intervenons en permettant aux développeurs d'intégrer rapidement ce niveau de sécurité dans leurs produits. »

Dans le détail, la plate-forme Thistle Security offre un service Update, qui permet des mises à jour dûment signées de bout en bout et qui offre une protection de repli pour revenir au dernier état connu « correct » sans avoir à redémarrer, ainsi qu’une surveillance des vulnérabilités et un contrôle d'accès, le tout pouvant être facilement intégré à n'importe quel équipement exécutant Windows ou Linux.

La fonctionnalité Memory Allocator, quant à elle, assure par défaut une allocation mémoire améliorée afin d’atténuer les effets de dépassement de tampon, la source la plus courante des vulnérabilités de sécurité. Enfin, afin de sécuriser les communications, la plate-forme intègre une pile TLS à protection mémoire écrite en langage Rust. D’autres fonctionnalités devraient venir s’ajouter à terme comme l’anonymisation des analyses, la gestion des secrets (clés et mots de passe) et le démarrage sécurisé.

Selon la start-up, Thistle Security Platform s'insère de manière transparente aux environnements de construction logicielle. L'entité Thistle Platform Manager est notamment intégrée à Yocto, un système de construction pour équipements Linux embarqués, ainsi qu’à OpenWrt, un système d'exploitation pour systèmes embarqués utilisé par de nombreuses universités et petites entreprises, et U-Boot, un chargeur d’amorçage open source populaire.

A noter que Thristle avait levé en 2021 2,5 millions de dollars en fonds d’amorçage auprès de la société d’investissement True Ventures.

Vous pouvez aussi suivre nos actualités sur la vitrine LinkedIN de L'Embarqué consacrée à la sécurité dans les systèmes embarqués : Embedded-SEC