Brevet FR3069937A1 (20190208)

REVENDICATIONS1. Système embarqué (1) comprenant : un processeur (2) exploité au moyen d'un noyau (3) exécutable par ledit processeur ; un périphérique matériel (8,\n<CLM>\1\t; une mémoire (5) ; et un programme logiciel applicatif (6) enregistré dans ladite mémoire (5), ledit programme logiciel applicatif (6) étant exécuté au moyen dudit noyau (3) exécutable par ledit processeur (2), caractérisé en ce que le noyau (3) exécutable par ledit processeur (2) contrôle ledit périphérique matériel (8, 9), impose audit programme logiciel applicatif (6) qu'il exécute une politique de contrôle d'accès audit périphérique matériel (8,\n<CLM>\1\tet est prouvé formellement comme satisfaisant à au moins une propriété sécuritaire.\n<CLM>\1\tSystème selon la revendication 1, caractérisé en ce que le périphérique matériel (8,\n<CLM>\1\test un périphérique de communication.\n<CLM>\1\tSystème selon la revendication 2, caractérisé en ce qu'il comporte au moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3), en ce qu'une politique d'accès audit périphérique matériel (8,\n<CLM>\1\test imposée audit au moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3).\n<CLM>\1\tSystème selon la revendication 3, caractérisé en ce que le noyau (3) impose en outre, au programme 30 logiciel applicatif (6), une politique d'accès audit au 20 moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3).\n<CLM>\1\tSystème selon l'une des revendications 3 ou 4, 5 caractérisé en ce que le noyau (3) impose en outre, à au moins un programme logiciel applicatif additionnel (7-1, 7-2, 7-3), une politique d'accès au programme logiciel applicatif (6). 10\n<CLM>\1\tSystème selon l'une des revendications 3, 4 ou 5, caractérisé en ce qu'il comporte une pluralité de programmes logiciels applicatifs additionnels (7-1, 7-2, 7-3), et en ce que un programme logiciel applicatif additionnel (7-1, 7-2, 7-3) est soumis à une politique 15 d'accès a un autre programme logiciel applicatif additionnel (7-1, 7-2, 7-3), par le noyau (3).\n<CLM>\1\tSystème selon l'une des revendications précédentes, caractérisé en ce que le programme logiciel 20 applicatif (6), exécuté par le noyau (3) prouvé formellement, est prouvé formellement comme satisfaisant à ladite au moins une propriété sécuritaire.\n<CLM>\1\tSystème selon l'une des revendications 25 précédentes, caractérisé en ce que le noyau (3) prouvé formellement et/ou le programme logiciel applicatif (6) prouvé formellement satisfait à une exigence de sécurité égale ou supérieure au niveau EAL5.\n<CLM>\1\tSystème selon l'une des revendications précédentes, caractérisé en ce que le processeur (2) est exploité par le noyau (3) prouvé formellement et par au moins un noyau additionnel (4), ledit noyau additionnel 21 n'étant pas prouvé formellement, et le programme logiciel applicatif (6) est uniquement exécutable par le noyau (3) prouvé formellement du processeur (2). 5\n<CLM>\1\tSystème selon l'une des revendications 2 à 9, caractérisé en ce que le périphérique de communication (8) est un périphérique de communication à un réseau et/ou un objet connecté (10), et en ce que le programme logiciel applicatif (6) filtre toutes les données et/ou 10 instructions transmises et/ou reçues dudit réseau et/ou objet connecté (10).\n<CLM>\1\tSystème selon l'une des revendications 2 à 9, caractérisé en ce qu'il comprend en outre un périphérique 15 de communication (9) à un réseau d'objets connectés (11), et en ce que le programme logiciel applicatif (6) filtre toutes les instructions et/ou données transmises et/ou reçues dudit réseau d'objets connectés. 20\n<CLM>\1\tSystème selon les revendications 10 et 11, caractérisé en ce que le programme logiciel applicatif (3) filtre les données et/ou instructions transmises par l'objet connecté (10) selon la revendication 9 au réseau d'objets connectés (11) selon la revendication 10 et/ou 25 transmises par le réseau d'objets connectés (11) selon la revendication 10 à l'objet connecté (10) selon la revendication 9, en ce qui concerne la propriété sécuritaire, comme respectant cette propriété. 30\n<CLM>\1\tSystème selon l'une des revendications précédentes, caractérisé en ce que ladite au moins une propriété sécuritaire est une politique de sécurité relative à l'intégrité des données et/ou instructions, de 22 confidentialité des données, de contrôle d'accès à une ressource matérielle et/ou logicielle ou de sens de circulation des données et/ou instructions. 5\n<CLM>\1\tSystème selon la revendication 13, caractérisé en ce que ladite politique de sécurité est relative au sens de circulation des données et/ou instructions et en ce que selon cette politique de sécurité, lesdites données et/ou instructions ne sont laissées passées que 10 dans un unique sens de circulation.\n<CLM>\1\tSystème selon la revendication 14, caractérisé en ce qu'il comprend périphérique de communication à un objet connecté selon la revendication 10 et réseau 15 d'objets connectés selon la revendication 11 et en ce que l'unique sens de circulation est le sens allant de l'objet connecté vers le réseau d'objets connectés.\n<CLM>\1\tProcédé de sécurisation d'un système embarqué 20 comprenant un processeur (2) exploité au moyen d'un noyau (3) exécutable par ledit processeur ; un périphérique matériel (8,\n<CLM>\1\t; une mémoire (5) ; et un programme logiciel applicatif (6) 25 enregistré dans ladite mémoire (5), ledit programme logiciel applicatif (6) étant exécuté au moyen dudit noyau (3) exécutable par ledit processeur (2), caractérisé en ce que le noyau (3) exécutable par ledit processeur (2) contrôle ledit périphérique de 30 communication (8,9), impose audit programme logiciel applicatif (6) qu'il exécute une politique de contrôle d'accès audit périphérique matériel (8,\n<CLM>\1\tet est prouvé 23 formellement comme satisfaisant à au moins une propriété sécuritaire.