diff --git a/thesis/chapters/chap2.tex b/thesis/chapters/chap2.tex index d45e8640043175a6a6f5184fe00f7e01b5a68128..596fa4bdcf164898a4081fa0ccd4de74ea57be5f 100644 --- a/thesis/chapters/chap2.tex +++ b/thesis/chapters/chap2.tex @@ -208,14 +208,14 @@ conséquence de lancer le \textit{malware} au prochain démarrage. Le second (et le plus notoire) \textit{rootkit} tirant partie des fonctionnalités fournies par un hyperviseur est \textbf{Blue Pill}. Cette -attaque fut présentée 2006 par Mme Joanna Rutkowska, une chercheuse de renom +attaque fut présentée en 2006 par Mme Joanna Rutkowska, une chercheuse de renom dans le domaine de la sécurité informatique. Dans l'article \cite{rutkowska_invisible_2006} annonçant sa création, Mme Rutkowska explicite dans les grandes lignes les différences entre SubVirt et Blue Pill. Celles-ci reposent sur le fait qu'à l'inverse de SubVirt, Blue Pill ne nécessite pas de modification de la séquence d'amorçage et par conséquent ne réquiert pas un redémarrage du système. Son implémentation vise à être la plus furtive possible du fait que la majorité de -son contenu ne sera stocké sur un stockage pérenne (i.e. disque dur). +son contenu ne sera stocké sur un stockage pérenne (c-à-d. disque dur). Blue Pill est le premier \acrshort{poc} d'\acrshort{hvm} \textit{rootkit} démontré pour Windows Vista. En d'autres termes, il utilise les extensions matérielles @@ -225,7 +225,7 @@ l'\acrshort{os} de l'hôte dans une \acrshort{vm}. Le principe introduit par Mme Rutkowska sera de virtualiser le moins de composantes possibles, mis à part le \acrshort{cpu}, ceci dans le but de ne pas impacter les performances globales du système. Le noyau de l'\acrshort{os} natif continuera à avoir accès -directement aux périphériques (e.g. support de stockage, carte graphique et +directement aux périphériques (ex.: support de stockage, carte graphique et réseau) amplifiant ainsi l'illusion que le système est sain et rendant la détection par analyse temporelle bien plus complexe. Selon son auteur, le but principal de ce virus est de \say{simplement} intercepter des événements se @@ -250,14 +250,14 @@ du module \acrshort{kvm} dans le cadre d'un environnement de virtualisation imbriquée. De nos jours, ce cas de figure est particulièrement important suite à la croissance rapide des infrastructures \textit{cloud}. Amazon et Google, à travers leurs services \acrshort{aws} et \acrshort{gcp} respectivement, mettent -à disposition des puissantes infrastructures physiques qui sont par la suite +à disposition de puissantes infrastructures physiques qui sont par la suite virtualisées de sorte à louer des parts de ressources computationnelles à des particuliers ou des entreprises en fonction de leurs besoins. Le but de CloudSkulk est de s'interposer entre l'hyperviseur \say{parent} et l'invité au moyen de la virtualisation imbriquée. De ce fait, après l'insertion de ce \say{\textit{Rootkit in the Middle}}, celui-ci impersonnifie l'invité du -point de vue de l'hyperviseur bénin ou inversement, présente en tant que +point de vue de l'hyperviseur bénin ou inversement, se présente en tant que l'hyperviseur originel auprès de la \acrshort{vm}. D'après ses auteurs, ceci rend CloudSkulk plus furtif que ses \textit{rootkit}s \acrshort{hvm} rivaux mais aussi plus complexe à détecter.