Brevet FR3069937A1 — publié le 20190208

SYTEME EMBARQUE SECURISE ET PROCEDE DE SECURISATION DOMAINE DE L'INVENTION La présente invention concerne un système embarqué comprenant un processeur exploité au moyen d'un noyau exécutable par ledit processeur, une mémoire, et un programme logiciel applicatif enregistré dans ladite mémoire, ledit programme logiciel applicatif étant exécutable au moyen dudit noyau exécutable par ledit processeur. Elle concerne par ailleurs un procédé de sécurisation d'un tel système. ART ANTERIEUR L'Internet des objets (IoT - Internet of Things) et, plus généralement, les systèmes embarqués, joue un rôle de plus important dans le domaine large de l'informatique. La cybersécurité a commencé à apparaître dans plusieurs domaines de l'IOT et, en particulier, dans le domaine des voitures connectées, des réseaux intelligents, des maisons intelligentes, des bureaux intelligents, des villes intelligentes, de l'avionique, de la maintenance adaptative, de l'industrie dite 4.0. Les problèmes de sécurité auront tendance à croître à un rythme encore plus élevé que l'IoT lui-même, car les pirates professionnels bénéficieront également de modèles commerciaux plus rentables provenant de volumes plus élevés, de la plus grande valeur des objets individuels impliqués, d'autres fonctionnalités de l'IoT, etc., pour se propager dans d'autres domaines de l'IOT, par exemple, dans le domaine de l'assistance médicale à domicile, de l'équipement médical, de la production sur demande, 2 jusqu'à devenir rapidement essentiel et essentiel pour le déploiement réussi de l'IoT. De nombreuses cyber-attaques ont été signalées dans un 5 passé récent. Même si ces attaques étaient principalement destinées aux automobiles et aux téléphones portables, la plupart d'entre elles sont assez générales et pourraient se produire dans presque toutes les domaines de l'IoT. 10 Si une partie des attaques peuvent être évitées en appliquant l'état de l'art dans le domaine de la sécurité, il apparaît qu'une partie importante desdites attaques subsisteront à cause de la vulnérabilité des quelques systèmes d'exploitations inévitablement présents 15 dans les bases de confiances de tels systèmes embarqués. Diverses bases de données publiques fournissent des statistiques sur les bogues publics ou les vulnérabilités sur toutes sortes de logiciels. Ces bases de données 20 montrent clairement que les systèmes d'exploitation et les noyaux actuels souffrent d'un grand nombre d'erreurs et de faiblesses et ce, même lorsqu'ils sont développés par équipes chevronnées et quel que soit l'ancienneté de leur date de création. En particulier, de nouvelles 25 erreurs sont toujours signalées par milliers chaque année sur des systèmes considérés comme étant bien maitrisés comme LinuxTM. Cette situation est essentiellement due à la complexité 30 inhérente de ces systèmes d'exploitation et noyaux, qui dépendent de plus en plus de matériels complexes et sophistiqués. Les systèmes d'exploitation et les noyaux sont par nature concurrents et extrêmement complexes en 3 raison de la nécessité de supporter différents types de périphériques. Il s'agit notamment de la gestion de l'interruption qui devient de plus en plus difficile, et des objectifs de performance tels que, par exemple, la 5 complexité de la gestion du cache, les problèmes de consommation de ressources tels que, par exemple, le besoin d'une gestion sophistiquée de l'alimentation, etc. Cette complexité augmente avec le temps, augmente avec les nouvelles architectures de l'IoT et augmente en ce 10 qui concerne les microprocesseurs réels par opposition aux microcontrôleurs. RESUME DE L'INVENTION 15 Compte tenu de ce qui précède, un problème que se propose de résoudre l'invention est de fournir un système embarqué comprenant un processeur exploité au moyen d'un noyau exécutable par ledit processeur, une mémoire, et un programme logiciel applicatif enregistré dans ladite 20 mémoire, ledit programme logiciel applicatif étant exécutable au moyen dudit noyau exécutable par ledit processeur, ainsi qu'un procédé pour la sécurisation d'un tel système, qui pallie les inconvénients précités de l'art antérieur, en proposant une sécurisation améliorée 25 desdits systèmes. La solution proposée de l'invention à ce problème posé a pour premier objet un système embarqué comprenant un processeur exploité au moyen d'un noyau exécutable par 30 ledit processeur ; un périphérique matériel ; une mémoire ; et un programme logiciel applicatif enregistré dans ladite mémoire, ledit programme logiciel applicatif étant exécuté au moyen dudit noyau exécutable par ledit 4 processeur, caractérisé en ce que le noyau exécutable par ledit processeur contrôle ledit périphérique de communication, impose audit programme logiciel applicatif qu'il exécute une politique de contrôle d'accès audit 5 périphérique matériel et est prouvé formellement comme satisfaisant à au moins une propriété sécuritaire. Elle a pour second objet un procédé de sécurisation d'un système embarqué comprenant un processeur exploité au 10 moyen d'un noyau exécutable par ledit processeur ; un périphérique matériel ; une mémoire ; et un programme logiciel applicatif enregistré dans ladite mémoire, ledit programme logiciel applicatif étant exécuté au moyen dudit noyau exécutable par ledit processeur, caractérisé 15 en ce que le noyau exécutable par ledit processeur contrôle ledit périphérique de communication, impose audit programme logiciel applicatif qu'il exécute une politique de contrôle d'accès audit périphérique matériel et est prouvé formellement comme satisfaisant à au moins 20 une propriété sécuritaire. Ainsi, en prouvant formellement au moins un noyau du processeur et en faisant de sorte que ce noyau impose une politique de contrôle d'accès au périphérique de 25 communication, on aboutit à une sécurisation élevée du système selon l'invention. De manière avantageuse, - le périphérique matériel est un périphérique de communication ; - le système comporte au 30 moins un programme logiciel applicatif additionnel, et une politique d'accès audit périphérique matériel est imposée audit au moins un programme logiciel applicatif additionnel ; - le noyau impose en outre, au programme 5 logiciel applicatif, une politique d'accès audit au moins un programme logiciel applicatif additionnel ; - le noyau impose en outre, à au moins un programme logiciel applicatif additionnel, une politique d'accès au 5 programme logiciel applicatif ; - le système comporte une pluralité de programmes logiciels applicatifs additionnels, et un programme logiciel applicatif additionnel est soumis à une politique d'accès à un autre programme logiciel applicatif additionnel par le noyau ; 10 - le programme logiciel applicatif, exécuté par le noyau prouvé formellement, est prouvé formellement comme satisfaisant à ladite au moins une propriété sécuritaire ; - le noyau prouvé formellement et/ou le programme logiciel applicatif prouvé formellement satisfait à une 15 exigence de sécurité égale ou supérieure au niveau EAL5 ; - le processeur est exploité par le noyau prouvé formellement et par au moins un noyau additionnel, ledit noyau additionnel n'étant pas prouvé formellement, et le programme logiciel applicatif est uniquement exécutable 20 par le noyau prouvé formellement du processeur ; - le périphérique de communication est un périphérique de communication à un réseau et/ou un objet connecté, et le programme logiciel applicatif filtre toutes les données et/ou instructions transmises et/ou reçues dudit réseau 25 et/ou objet connecté ; - le système comprend en outre un périphérique de communication à un réseau d'objets connectés, et le programme logiciel applicatif filtre toutes les instructions et/ou données transmises et/ou reçues dudit réseau d'objets connectés ; - le programme 30 logiciel applicatif filtre les données et/ou instructions transmises par l'objet connecté au réseau d'objets connectés et/ou transmises par le réseau d'objets connectés à l'objet connecté, en ce qui concerne la 6 propriété sécuritaire, comme respectant cette propriété ; - ladite au moins une propriété sécuritaire est une politique de sécurité relative à l'intégrité des données et/ou instructions, de confidentialité des données, de 5 contrôle d'accès une ressource matérielle et/ou logicielle ou de sens de circulation des données et/ou instructions ; - ladite politique de sécurité est relative au sens de circulation des données et/ou instructions et, selon cette politique de sécurité, 10 lesdites données et/ou instructions ne sont laissées passées que dans un unique sens de circulation ; - le système comprend périphérique de communication à un objet connecté et réseau d'objets connectés et l'unique sens de circulation est le sens allant de l'objet connecté vers 15 le réseau d'objets connectés. BREVE DESCRIPTION DES FIGURES L'invention sera mieux comprise à la lecture de la 20 description non limitative qui suit, rédigée au regard des dessins annexés, dans lesquels : - la figure 1 est un schéma montrant différent moyen mis en oeuvre dans un système selon l'invention ; et 25 - la figure 2 est un schéma montrant les interactions entre les différents moyens montrés à la figure 1. 30 DESCRIPTION DETAILLEE DE L'INVENTION L'invention concerne un système embarqué. Un tel système est montré à la figure 1. Il est référencé 1 dans cette 7 figure. Il s'agit d'un système informatique autonome spécialisé, bien souvent en vue d'exécuter une tâche bien précise, et comprenant des ressources aussi bien matérielles que logicielles, lesdites ressources étant 5 généralement à tout le moins limitées sur le plan spatial et sur le plan de la consommation énergétique. Les systèmes sur puce (SoC, System on Chip) sont des systèmes embarqués selon l'invention. 10 Le système embarqué selon l'invention comprend un processeur 2. Ce processeur est un composant électronique présent dans le système selon l'invention, qui exécute des instructions de programmes logiciels. En général, il s'agit d'un microprocesseur. Il peut cependant s'agir 15 aussi d'un microcontrôleur. Le processeur selon l'invention comprend au moins un jeu d'instructions dont certaines ne sont accessibles que dans certains modes d'exécution privilégiés. Un noyau ou 20 micro-noyau 3 est un programme qui va exploiter ces instructions en mode privilégié pour gérer les - ou certaines ressources de la machine pour les applications 6, 7-1, 7-2, 7-3 qu'il va permettre d'exécuter et qui elles ne s'exécuteront pas en mode 25 privilégié mais dans un mode moins privilégié généralement appelé le mode utilisateur. Selon l'invention, le noyau 3 exécutable par le processeur 2est prouvé formellement comme satisfaisant à au moins une propriété sécuritaire. Cela signifie qu'il a été démontré 30 par une méthode formelle que le noyau 3 est sécurisé pour ce qui concerne la propriété sécuritaire en question. Il s'agit par exemple d'un noyau satisfaisant au niveau d'assurance d'évaluation EAL5 ou à un niveau supérieur 8 EAL6 ou EAL7. La propriété sécuritaire est en particulier une politique de sécurité relative à l'intégrité des données et/ou instructions, de confidentialité des données, de contrôle d'accès à une ressource matérielle, 5 par exemple un périphérique matériel, notamment un périphérique de communication et/ou à une ressource logicielle, par exemple un programme logiciel applicatif, ou de sens de circulation des données et/ou instructions. Il s'agit dans un exemple particulier d'une politique de 10 sécurité relative au sens de circulation des données et/ou instructions. Le système selon l'invention comprend en outre une mémoire 5. Cette mémoire est un dispositif électronique 15 permettant de stocker des informations, par exemple des données et/ou des programmes logiciels applicatifs. Le système selon l'invention comprend par ailleurs au moins un programme logiciel applicatif 6. Il comprend en 20 outre éventuellement au moins un et, en général, une pluralité d'autres programmes logiciels applicatifs additionnels 7-1, 7-2, 7-3. Le programme logiciel applicatif 6 est enregistré dans la mémoire 5. Il est exécutable au moyen du noyau 3 du processeur 2. Selon 25 l'invention, le programme logiciel applicatif 6 est avantageusement prouvé formellement comme satisfaisant à la propriété sécuritaire qui fait l'objet de la preuve formelle du noyau 3 du processeur 2. 30 Enfin, le système selon l'invention comporte divers composants additionnels de nature logicielle ou de nature matérielle. 9 Il s'agit de périphériques matériels tels que des capteurs, des périphériques de contrôle, par exemple, d'une action ou d'un moteur, ou tels que des périphériques matériels de communication 8, 9. Ces 5 périphériques de communication sont par exemple des périphériques de communication EthernetTM. Il s'agit en outre de composants logiciels tels que des programmes logiciels applicatifs additionnels, notamment 10 de logiciels pilotes 7-3 en particulier des périphériques de communication 8, 9, de programmes logiciels applicatifs permettant la création de réseaux virtuels privés 7-1 tels que OpenVPNTM, de couches logicielles telles que par exemple une couche de transport 15 d'information sécuritaire (ILS, Transport Layer Security), un programme logiciel applicatif assurant la communication avec le monde extérieur selon le protocole TCP/IP 7-2. Il peut s'agir aussi de pilote (driver en langue anglaise) de périphérique, car dans le cas d'un 20 micro-noyau ceci peuvent tourner en mode utilisateur, c'est-à-dire comme des applications. En pratique, le système 1 selon l'invention est un système embarqué qui comprend ou est connecté à un ou 25 plusieurs objets connectés, ou à un réseau connecté composé potentiellement de serveurs. Il s'agit d'objets inclus dans ledit système 2 ou directement connecté à celui-ci ou il s'agit d'objets connectés au système au travers d'un réseau par exemple un réseau loi. Dans 30 l'exemple de la figure 1, le périphérique de communication 8 est directement connecté a un objet connecté 10 et le périphérique de communication 9 est connecté à un réseau d'objets connectés 11 au travers de 10 l'Internet 12, ledit réseau étant muni d'un serveur de confiance. Dans un tel cas, le réseau d'objets connecté 11 est considéré comme constituant le monde extérieur au système et l'objet connecté 10 fait partie du monde 5 intérieur audit système. Selon l'invention, le noyau 3 contrôle le ou lesdits périphériques de communication 8, 9. A cet effet, il impose au programme logiciel applicatif 6 qu'il exécute 10 une politique de contrôle d'accès auxdits périphériques de communication 8, 9. Lorsque le système embarqué selon l'invention comporte au moins un programme logiciel applicatif additionnel 7-1, 7-2, 7-3, le noyau 3 prouvé formellement impose une politique de contrôle d'accès 15 audit au moins un programme logiciel applicatif additionnel 7-1, 7-2, 7-3 et d'accès audit périphérique de communication 8, 9 par ledit au moins un programme applicatif additionnel 7-1, 7-2, 7-3. Il impose en outre, au programme logiciel applicatif 6, une politique d'accès 20 audit au moins un programme logiciel applicatif additionnel 7-1, 7-2, 7-3. Lorsque le système selon l'invention comprend une pluralité de programmes logiciels applicatifs additionnels 7-1, 7-2, 7-3, un programme logiciel applicatif additionnel 7-1, 7-2, 7-3 25 est soumis à une politique d'accès à un autre programme logiciel applicatif additionnel 7-1, 7-2, 7-3, par le noyau 3. De telles politiques de contrôle d'accès seront généralement configurables pour permettre audit noyau d'être utilisé dans différentes configurations 30 différentes. Elle seront généralement configurées de manière statique pour le système mais pourront être dans certains cas modifiées dynamiquement. La politique de 11 contrôle d'accès peut être considérée de différentes manières : - Par exemple comme une matrice carrée entre les 5 différentes applications et périphériques et potentiellement le deuxième OS s'il existe d'un côté (c'est-à-dire les abscisses) et les mêmes applications et périphériques de l'autre et le deuxième OS s'il existe (c'est-à-dire les ordonnées) 10 et indiquant ce qui est permis et autorisé (par le noyau) en terme d'accès/communication entre chacune des abscisses et ordonnées). - Ou de manière équivalente comme une case de cette 15 matrice, auquel cas on aura un ensemble de politiques de contrôle d'accès (représentant d'une différente manière la matrice précédente). Cette (ou ces) politique(s) de contrôle d'accès est 20 (sont) potentiellement paramétrable (s) ou configurable(s). Elle autorise ou interdit les communications entre les programme logiciels applicatifs et/ou entre lesdits programmes logiciels applicatifs et/ou les périphériques. 25 Selon l'invention, le noyau prouvé formellement 3 du processeur 2 exécute le programme logiciel applicatif prouvé formellement 6. Avantageusement, le programme logiciel applicatif prouvé formellement 6 est uniquement 30 exécutable par le noyau prouvé formellement 3 du processeur 2. Le noyau est le seul à exécuter l'application. 12 Ainsi, on aboutit à une sécurisation élevée du système selon l'invention. Il n'est pas nécessaire de prouver formellement l'entièreté du noyau, ou du programme applicatif. En fait la preuve doit être utilisée sur les 5 parties du système qui sans la preuve ne permettrait pas d'atteindre un niveau de qualité ne laissant potentiellement plus que quelques bogues ou erreurs résiduelles (le nombre de bogues résiduels dans le noyau doit être proche ou meilleur que celui des bogues 10 résiduels dans le processeur. Dans le cas d'un noyau, compte tenu de la complexité du matériel et des algorithmes logiciels utilisés la quasi totalité du noyau doit être prouvé, à l'exception peut-être de quelques parties séquentielles comme le mécanismes de « boot » 15 (lancement du noyau), ou quelques parties encapsulant le matériel et utilisant des algorithmes simples et typiquement séquentiels. Pour un programme applicatif la part de ce qui est à prouver peut-être beaucoup plus marginale, voire nulle dans les cas où la logique du 20 programme peut être amené à très un niveau de qualité (nombre de bogues ou erreurs résiduelles extrêmement faible, voire nulle). Dans un premier exemple de mise en oeuvre du système selon 25 l'invention, on souhaite filtrer des communications entre l'objet connecté 10 et l'IoT 11 et ce pour être certain que les communications entrantes et sortantes du système, entre ledit objet et l'IoT, respectent chacune des politiques de sécurités particulières. Par exemple, on 30 accepte que seules certaines commandes bien particulières en provenance de l'extérieur et, plus particulièrement, du serveur de confiance contenu dans l'IoT et on ne laisse sortir que certaines données vers l'extérieur. On 13 souhaite par exemple remonter des informations de capteurs embarqués tels que l'objet 10 vers des serveurs de données de l'IoT, tout conservant la possibilité d'envoyer certaines commandes vers le système embarqué 5 telles que des commandes de configuration ou des demandes d'information. Cet exemple est donc un exemple dans lequel le système selon l'invention forme un filtre. Dans un deuxième exemple de mise en oeuvre du système 10 selon l'invention, le filtre est un filtre particulier dont le fonctionnement est du type diode, c'est-à-dire un filtre qui ne laisse passer l'information que dans un unique sens et ne contrôle pas l'information qui passe dans l'autre sens ou sens autorisé. Ainsi, un tel système 15 ne vérifie pas quel type de données circule dans le sens autorisé. On appelle généralement de tels systèmes ou services des "diodes", en référence aux composants électroniques du même nom. On trouve par exemple de tels filtres du type diode sur les avions pour envoyer, au 20 cours du vol, des données de capteurs situés sur les réacteurs vers des serveurs de confiance situés à terre. Compte tenu de l'architecture du système selon l'invention, on peut construire de telles diodes en développant des applications et en configurant 25 l'environnement LinuxTM de manière ce que la communication ne soit possible que dans un sens, à savoir le sens autorisé par la diode. Le problème est qu'une mauvaise configuration et surtout des erreurs dans le noyau LinuxTM ou dans la manière dont l'ensemble fort 30 complexe est configuré peuvent être utilisés par un attaquant pour créer des canaux non voulus en contournant par exemple les applications filtres, ou même en 14 corrompant l'intégrité de tout ou partie du système lui-même. Selon le premier exemple précité, et en se référant à la 5 figure 2, pour fournir un filtre de haut niveau de résistance à des attaques distantes l'invention propose, à titre d'exemple, un système selon l'invention dans lequel les flux d'information contrôlés et autorisés par le noyau prouvée sont représentés par des doubles-flèches 10 dont le contenu est hachuré. Pour évaluer le niveau de résistance à des attaques logiques on estime le coût théorique pour mettre en place une attaque distante. Pour un système d'exploitation ou un noyau gérant les ressources d'un microprocesseur moderne, typiquement un 15 Cortex ATM développé par ARMTm, obtenir une résistance de même niveau que le matériel nécessite généralement la preuve formelle que le noyau vérifie des certaines propriétés de haut niveau, par exemple une séparation entre espaces. Pour une application s'appuyant sur un tel 20 système d'exploitation, la preuve formelle n'est pas forcément nécessaire quand l'application reste simple car des techniques de validation connues peuvent suffire : tests exhaustifs, relecture de code, etc. Selon l'invention, on utilise un noyau qui, en plus d'être 25 prouvé formellement, pour des propriétés tels la séparation, peut être configure pour contrôler rigoureusement les flux d'informations entre ses différentes applications. On notera que le noyau prouvé formellement est ici un micro-noyau. Les logiciels 30 pilotes applicatifs de matériels sont conformes à ce qu'on a défini de même que pour ce qui est des flux d'information entre ses applications et les périphériques. Dans cet exemple, le noyau garantit et ce, 15 à un très haut de résistance, que seule l'application pilote EthernetTm 7-3 peut communiquer avec le périphérique EthernetTM 9, que l'application TCP/IP 7-2, qui est implémente la pile du même nom ne peut 5 communiquer qu'avec l'application pilote EthernetTM 7-3, et l'application filtre 6 et l'application VPN 7-2, que l'application pilote EthernetTM 7-1 est la seule à pouvoir communiquer avec le périphérique EthernetTM 8, et ne peut communiquer par ailleurs qu'avec l'application filtre 6. 10 Ces contrôles sont imposés par l'OS ou le noyau sur les communications qui représentent les communications autorisés par l'OS entre les différentes applications et les différents périphériques de communication. D'autres canaux de communications peuvent ne pas être pas 15 contrôlés directement par le noyau. L'architecture est ici simplifiée : l'application filtre 6, qui doit être suffisamment simple pour être menée à un très haut de niveau de résistance ne communique typiquement pas directement avec le pilote de comunication, car cela 20 aurait tendance à augmenter inutilement sa complexité, mais au travers d'autres applications, et piles logiciels n'offrant pas nécessairement le même niveau de résistance. Typiquement, on ajouterait des couches protocolaires, ce qui fait que le système implémente une 25 rupture protocolaire qui lui permet de filtrer les données abstraites de haut niveau. Typiquement on utiliserait un VPN pour protéger les données externes et toute ou partie de l'agent VPN pourrait tourner et être protéger et contrôler par le noyau prouvé. L'application 30 6 de filtre avec son noyau sous-jacent 3 permet en fin de compte de réduire le fonctionnement du matériel sous-jacent (par nature généraliste) à un fonctionnement beaucoup plus restreint. Pour passer du monde dit 16 intérieur au monde extérieur, l'information doit passer et être acceptée par l'application filtre 6 posée sur son noyau 3 fortement résistant, et ce quelle que soit la qualité des autres piles logicielles 7-1, 7-2, 7-3. Ici, 5 les communications entre l'extérieur et l'intérieur - le monde extérieur ne peut communiquer avec le sous-système d'intérêt qu'à travers le périphérique EthernetTM 9, alors que le monde intérieur ne peut communiquer avec le sous-système d'intérêt qu'à travers le périphérique EthernetTM 10 8. Selon l'art antérieur, pour obtenir un diode à forte résistance, et donc certifiable à un très haut niveau on utilise généralement une diode physique. Une diode 15 physique utilise par définition un phénomène physique dissymétrique comme exemple un faisceau laser qui est utilisé à une étape de l'envoi de l'information et ne peut par construction envoyer l'information que dans un sens. 20 L'alternative selon le deuxième exemple précité selon l'invention est une diode logicielle qui, fonctionnellement, est équivalente. Grâce à l'invention une telle diode logicielle peut atteindre le même niveau 25 de résistance qu'une diode physique, et peut en particulier être évaluée au niveau le plus haut des schémas de certification de sécurité, en particulier le standard ISO des Critères Communs. Il n'est pas possible en effet, au moyen d'un système selon l'invention, 30 possédant une application filtre du type diode, d'exploiter une faille dans l'OS sous-jacent pour par exemple reprogrammer une fonction ou by-passer 17 l'application pour permettre la communication dans l'autre sens. La solution proposée selon ce deuxième exemple est 5 finalement basée sur l'architecture décrite précédemment dans laquelle l'application filtre est remplacée par une application qui ne laisse passer l'information que dans un sens. Une telle application peut-être écrite très simplement à condition que l'OS sous-jacent fournisse des 10 services de haut niveau qui abstraient la complexité du matériel. Il faut aussi pouvoir garantir que cette application ne puisse pas être contournée et que l'intégrité de l'OS ne puisse pas être atteinte. La politique de contrôle d'accès imposée par le noyau est 15 donc ici essentielle. Pour les mêmes raisons que pour le filtre logiciel, l'architecture proposée permet cela et la diode logicielle selon l'invention permet potentiellement 20 d'offrir un niveau de résistance de niveau comparable à une diode matérielle tout en offrant des caractéristiques très intéressantes : utilisation de composants génériques (le coeur du système peut utiliser un microprocesseur générique), et évolution possible des fonctionnalités (on 25 peut par exemple en munissant une telle architecture d'un système de mise à jour du microprogramme (Firmware Update) de haut niveau de résistance ajouter des fonctionnalités, les mettre à jour, etc., voire, dans nos exemples passer de la diode au filtre ou l'inverse, etc.. 30 II est aussi possible de certifier très rapidement une telle architecture au plus haut niveau de sécurité en s'appuyant sur les certifications ou pré-certifications des composants les plus lourds, par exemple le système 18 d'exploitation. Pour des raisons évidentes le même niveau pourrait être potentiellement obtenu pour le filtre du premier exemple alors que cela est actuellement considéré comme hors d'atteinte compte tenu des contraintes 5 économiques. Bien entendu, les exemples du filtre et de la diode ne sont que des exemple particuliers selon l'invention. Il est en effet possible de restreindre le fonctionnement de 10 systèmes conformes l'objet de l'invention de très nombreuses autres manières, y compris de manière dynamique pendant la vie du système. Dans d'autres exemples, il est possible de filtrer ou contrôler finement certains périphériques, on d'interdire REVENDICATIONS1. Système embarqué (1) comprenant : un processeur (2) exploité au moyen d'un noyau (3) exécutable par ledit processeur ; un périphérique matériel (8, 9) ; une mémoire (5) ; et un programme logiciel applicatif (6) enregistré dans ladite mémoire (5), ledit programme logiciel applicatif (6) étant exécuté au moyen dudit noyau (3) exécutable par ledit processeur (2), caractérisé en ce que le noyau (3) exécutable par ledit processeur (2) contrôle ledit périphérique matériel (8, 9), impose audit programme logiciel applicatif (6) qu'il exécute une politique de contrôle d'accès audit périphérique matériel (8, 9) et est prouvé formellement comme satisfaisant à au moins une propriété sécuritaire. 2. Système selon la revendication 1, caractérisé en ce que le périphérique matériel (8, 9) est un périphérique de communication. 3. Système selon la revendication 2, caractérisé en ce qu'il comporte au moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3), en ce qu'une politique d'accès audit périphérique matériel (8, 9) est imposée audit au moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3). 4. Système selon la revendication 3, caractérisé en ce que le noyau (3) impose en outre, au programme 30 logiciel applicatif (6), une politique d'accès audit au 20 moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3). 5. Système selon l'une des revendications 3 ou 4, 5 caractérisé en ce que le noyau (3) impose en outre, à au moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3), une politique d'accès au programme logiciel applicatif (6). 10 6. Système selon l'une des revendications 3, 4 ou 5, caractérisé en ce qu'il comporte une pluralité de programmes logiciels applicatifs additionnels (7-1, 7-2, 7-3), et en ce que un programme logiciel applicatif additionnel (7-1, 7-2, 7-3) est soumis à une politique 15 d'accès a un autre programme logiciel applicatif additionnel (7-1, 7-2, 7-3), par le noyau (3). 7. Système selon l'une des revendications précédentes, caractérisé en ce que le programme logiciel 20 applicatif (6), exécuté par le noyau (3) prouvé formellement, est prouvé formellement comme satisfaisant à ladite au moins une propriété sécuritaire. 8. Système selon l'une des revendications 25 précédentes, caractérisé en ce que le noyau (3) prouvé formellement et/ou le programme logiciel applicatif (6) prouvé formellement satisfait à une exigence de sécurité égale ou supérieure au niveau EAL5. 9. Système selon l'une des revendications précédentes, caractérisé en ce que le processeur (2) est exploité par le noyau (3) prouvé formellement et par au moins un noyau additionnel (4), ledit noyau additionnel 21 n'étant pas prouvé formellement, et le programme logiciel applicatif (6) est uniquement exécutable par le noyau (3) prouvé formellement du processeur (2). 5 10. Système selon l'une des revendications 2 à 9, caractérisé en ce que le périphérique de communication (8) est un périphérique de communication à un réseau et/ou un objet connecté (10), et en ce que le programme logiciel applicatif (6) filtre toutes les données et/ou 10 instructions transmises et/ou reçues dudit réseau et/ou objet connecté (10). 11. Système selon l'une des revendications 2 à 9, caractérisé en ce qu'il comprend en outre un périphérique 15 de communication (9) à un réseau d'objets connectés (11), et en ce que le programme logiciel applicatif (6) filtre toutes les instructions et/ou données transmises et/ou reçues dudit réseau d'objets connectés. 20 12. Système selon les revendications 10 et 11, caractérisé en ce que le programme logiciel applicatif (3) filtre les données et/ou instructions transmises par l'objet connecté (10) selon la revendication 9 au réseau d'objets connectés (11) selon la revendication 10 et/ou 25 transmises par le réseau d'objets connectés (11) selon la revendication 10 à l'objet connecté (10) selon la revendication 9, en ce qui concerne la propriété sécuritaire, comme respectant cette propriété. 30 13. Système selon l'une des revendications précédentes, caractérisé en ce que ladite au moins une propriété sécuritaire est une politique de sécurité relative à l'intégrité des données et/ou instructions, de 22 confidentialité des données, de contrôle d'accès à une ressource matérielle et/ou logicielle ou de sens de circulation des données et/ou instructions. 5 14. Système selon la revendication 13, caractérisé en ce que ladite politique de sécurité est relative au sens de circulation des données et/ou instructions et en ce que selon cette politique de sécurité, lesdites données et/ou instructions ne sont laissées passées que 10 dans un unique sens de circulation. 15. Système selon la revendication 14, caractérisé en ce qu'il comprend périphérique de communication à un objet connecté selon la revendication 10 et réseau 15 d'objets connectés selon la revendication 11 et en ce que l'unique sens de circulation est le sens allant de l'objet connecté vers le réseau d'objets connectés. 16. Procédé de sécurisation d'un système embarqué 20 comprenant un processeur (2) exploité au moyen d'un noyau (3) exécutable par ledit processeur ; un périphérique matériel (8, 9) ; une mémoire (5) ; et un programme logiciel applicatif (6) 25 enregistré dans ladite mémoire (5), ledit programme logiciel applicatif (6) étant exécuté au moyen dudit noyau (3) exécutable par ledit processeur (2), caractérisé en ce que le noyau (3) exécutable par ledit processeur (2) contrôle ledit périphérique de 30 communication (8,9), impose audit programme logiciel applicatif (6) qu'il exécute une politique de contrôle d'accès audit périphérique matériel (8, 9) et est prouvé 23 formellement comme satisfaisant à au moins une propriété sécuritaire.