étude en binôme sur le postulat de la sécurité des nanobots

1. Bibliographie : Sécurité dans les Nano-Machines.
Recherche bibliographique
Master M2 Réseaux
Paris 6, UPMC
Mihai Amarandei-Stavila & Valentin Paquot
valentin.paquot@gmail.com & mihaia@gmail.com

2. 1. Introduction
La nanotechnologie basique est devenue une réalité. Néanmoins, même s’il existe désormais
plusieurs nano-produits, ce domaine scientifique reste encore à ses balbutiements. En effet il
n’existe aujourd’hui que des nano-structures simples (nano tube de carbones, etc.) ; et encore
ces structures simples ne sont-elles pour l’instant que « passives ». Cependant, dans un avenir
assez proche, la complexification de ces structures atteindra un niveau assez élevé pour qu’il
soit possible de parler de nano-machines et de nanotechnologie « active ». Les nano-machines
seront ainsi capables de réagir à des stimuli extérieurs tels que le changement de température,
le changement de luminosité, les sons et les ondes radio. Leurs réactions seront aussi variées
que les stimuli auxquels elles répondront : elles pourront se déplacer, communiquer (avec
l’extérieur ou entres elles), opérer des calculs, assembler ou détruire des molécules, se réparer
entre elles ou se reproduire.
Bien entendu, toutes ces nouvelles applications génèreront de nouveaux besoins. Cette
présentation s’intéresse à un de ces besoins : celui de la sécurité des nano-machines.
L’étude de la sécurisation des nano-machines commence par définir ce que l’on entend par
sécurité des nano-machines. En effet, la sécurité des nano-machines se situe à plusieurs
niveaux et concerne différents domaines. Par souci de rigueur, nous avons délibérément choisi
d’ignorer ou de passer rapidement en revue les domaines suivants :
- les applications de sécurité via les nano-machines : nano-capteurs, nano-biométries
(mesure des concentrations, …) et toutes les sortes de nano-détecteurs ;
- la sécurité des utilisateurs : nous ne traiterons pas des risques liés à la poussière
blanche (amas de débris de nano-machines).
De plus, comme les nano-machines ne représentent qu’une possibilité et pas encore une
réalité, nous restreindrons le champ de cet article à l’étude de la sécurité des nano-machines
dans un domaine précis : celui de la médecine. Les besoins en sécurité des nano-machines
seront forcément différents selon leurs domaines d’application. Ainsi, un domaine X peut
privilégier la fiabilité, là où un domaine Y privilégiera l’identification. Pour sérier au mieux
ces besoins, nous avons choisi de nous placer dans un contexte d’usage médical.
Nous commencerons par discuter les ouvrages antérieurs abordant ce sujet pour poser
certaines hypothèses. Nous listerons ensuite les besoins en sécurité en présentant divers
scénarii d’attaque sur les nano-machines, et enfin nous proposerons différentes alternatives
pour répondre à ces besoins.

3. 2. Recherches antérieures
L’utilisation de la nanotechnologie en médecine représente un énorme potentiel
d’amélioration de la qualité de vie ([ENano], [RNano]). Les utilisations théoriques envisagées
par les scientifiques, de matériaux de construction intelligents jusqu'aux systèmes
immunitaires informatisés, illustrent en partie ce potentiel et l'impact que cette technologie
pourrait avoir dans le futur.
Malgré la diversité des études théoriques autour de la nanotechnologie, les contraintes
pratiques rendent impossibles pour le moment des réalisations viables de nano-structures.
Ceci se traduit également par une absence d'intérêt commercial (l’usage commercial implique
une possibilité d’utilisation par un tiers non qualifié, alors que toutes les utilisations
commerciales imaginées pour l’instant rentrent dans le cadre d’une utilisation par des
personnes compétentes et ayant autorité) et par des recherches orientées plutôt vers la partie
physique de ce domaine. Ces raisons, et probablement d'autres comme la perception générale
du sujet, font qu’actuellement il n’existe pas d’études portant sur l'aspect informatique des
nanotechnologies, et donc sur la question de leur sécurité.
En absence d'ouvrages antérieurs, l'approche adoptée pour repérer les problèmes possibles de
sécurité ainsi que leurs solutions possibles consiste à trouver des analogies entre les
nanotechnologies et des systèmes et structures informatiques existants. Plus spécifiquement,
pour les utilisations médicales, une première approche consiste à considérer l’ensemble des
nanobots comme des composants d'un système informatique distribué, ce qui permet
d'identifier des premiers besoins sécuritaires. En prolongeant le raisonnement, on peut tracer
un parallèle entre les nanobots et les systèmes dits « multi-agents », systèmes comportant des
entités informatiques indépendantes et capables d'actions individuelles. Malheureusement,
malgré l’existence de nombreux ouvrages sur les « agents » informatiques, le manque
d'implémentations fonctionnelles signifie que l'aspect sécuritaire a peu été traité. Pourtant,
certaines études ([CoSec],[MSec]) définissent le cadre général de leur sécurité et les besoins
immédiats (identification, authentification, disponibilité, intimité).
Dans les sections suivantes, nous avons utilisé cette analogie ainsi que les différents ouvrages
sur la sécurité des systèmes multi-agents pour modéliser la sécurité des nano-machines
médicales et repérer des solutions possibles pour les problèmes de sécurité identifiés.
3. Les nano-machines
3.1 Hypothèses
Les hypothèses considérées dans cette section se divisent en deux catégories distinctes :
psychiques et informatiques. Elles sont inspirées partiellement des systèmes multi-agents et
construisent un modèle où la sécurité des nanotechnologies peut être abordée sans se soucier
des contraintes pratiques.

4. Notre recherche bibliographique nous a conduit à poser les hypothèses physiques suivantes :
• des nano-machines de dimension 20x70x500nm ;
• une puissance de l’ordre du MHz ;
• une capacité de calcul individuel de l’ordre de 50Flops, possibilité de grouper les
capacités (grille de calcul) ;
• une indépendance énergétique (hydrolyse de molécules d’ATP) ;
• une capacité de stockage très limitée de l’ordre de la centaine de bits ;
• une communication via le medium radio ;
• un déplacement via les systèmes sanguin/lymphatiques ;
• un langage de commande simple.
Hypothèses physiques
Energie
On peut prévoir une autonomie de 25 minutes, avec une possibilité supplémentaire en cas
d’apport d’énergie externe via les ondes. Différentes méthodes de renouvellement de
l’énergie sont envisageables : la régénération par hydrolyse d’ATP ou le retour à une « base »
(centre de traitement de taille centimétrique implanté dans le corps de l’individu, comme une
puce sous-cutanée).
Capacité de traitement
1) individuel : entre 50 et 70 flops.
2) « cumulée » (en groupe) : il faut utiliser une grille de calcul qui permette une
puissance cumulée de l’ordre du KiloFlops.

5. Puissance
Elle se situe dans l’ordre du MHz. Il est possible d’utiliser une puissance plus élevée mais
dans le domaine d’utilisation que nous avons choisi d’étudier, laisser de telles puissance au
sein du corps d’un individu pourrait être préjudiciable à sa santé ; aussi avons nous choisi de
limiter la puissance des nanobots à l’ordre du MHz).
Mobilité
Les nano-machines utiliseront le système sanguin et lymphatique pour se déplacer.
Capacité de stockage
La taille maximale des nano-machines limite leur capacité de stockage d'informations.
L'impact de cette contrainte sur l'informatique est évident.
Hypothèses informatiques
Identification
Il serait trop difficile et trop coûteux d’identifier chaque nano-machine par scanner. Nous
supposons donc qu’il est possible de stocker des informations provenant d’un identifiant dont
nous discuterons de la taille plus loin. Cet identifiant sera scindé en deux parties : une partie
dont la lecture se fera seulement de façon directe et physique (identifiant unique par individu)
et une partie qui pourra être transmise par le medium radio (identifiant de groupe).
Exemple d’écriture/lecture de cet identifiant :
Mouvement
Il est possible, programmable et modifiable à volonté.

6. Commandes
Les nano-machines utiliseront un langage de commandes simple.
Connectivité
Les nano-machines pourront communiquer avec l’extérieur et avec leurs pairs. (Une
hiérarchie sera possible au sein des pairs).
3.2 Classification des nano-machines. Besoins particuliers
Distinctions entre les besoins pour les usages uniques et pour les usages pérennes
Usage unique (ponctuel)
Dans le cadre de la médecine, seront considérées comme usage unique toutes les interventions
à faible durée temporelle. Prenons par exemple le cas d’une visite à l’hôpital pour un
traitement anti-cancer. Le patient sera introduit dans une chambre spéciale, avec des murs
bloquant les flux de commandes sur les nano-machines. Ce faisant, la sécurité sur les
commandes seront transmisses au niveau supérieur et l’on pourra donc se contenter, au
niveau des nano-machines, d’assurer les autres fonctions de sécurité.
La fiabilité et la disponibilité restent donc les deux principales fonctions à assurer. Ces nano-
machines non pérennes n’ont pas besoin d’identifiant propre et permanent. Néanmoins pour
des raisons de sécurité globale, elles possèderont un identifiant utilisateur. Nous reviendrons
ultérieurement sur cet identifiant.
Usage à long terme
Ici nous parlons de nano-machines installées dans le corps pour une très longue durée (la
durée de vie des nano-machines elles-mêmes), - c’est le cas par exemple des nano-machines
qui traitent les carences de l’individu. On peut citer comme exemple de ce type d’usage des
nano-machines ayant les mêmes fonctions que l’insuline, et qui permettentaux diabétiques
d’éviter de venir toutes les semaines à l’hôpital pour recevoir une injection souvent
douloureuse.
Ce type de nano-machines aura prioritairement besoin des fonctions de sécurité suivantes :
l’authentification (double, de la nano-machine et aussi de l’utilisateur qui lui transmet
d’éventuelles commandes), la sécurisation des commandes, l’identification, la protection des
données privées.
4. Sécurité des nano-machines
4.1 Scénarii d'attaque
Le scénario d’attaque via des nano-machines « étrangères »
On peut imaginer une version extrême d'une telle attaque avec un scénario d’une guerre entre
nano-machines, beaucoup plus discrète qu’une guerre bactériologique, mais beaucoup plus
fatale aussi. En effet, contrairement aux bactéries, il n’existe pas d’individus naturellement

7. immunisés contre les nano-machines. Imaginons un empoisonnement de masse via des nano-
machines glissées dans la nourriture, dans des produits cosmétiques ou par n’importe quel
autre moyen permettant d’atteindre une grande partie de la population. Ces nano-machines
seraient programmées pour détruire les lymphocytes (comme le fait le virus du sida) et elles
seraient passives jusqu'à la réception d’un signal d’activation (broadcast télévisuel par
exemple). Des entités malveillantes pourraient ainsi prendre en otage tout un pays.
Comment se protéger de ces nano-machines étrangères ? Il est inconcevable de se promener
avec un brouilleur de signal personnel. Ce ne serait pas faisable et, de toute façon, illégal ; en
effet, il est interdit de brouiller des fréquences utilisables par d’autres personnes. Le plus
simple serait d’imaginer des nano-machines capables de détruire les nano-machines
étrangères. C’est pour cela qu’il est nécessaire que toute nano-machine possède deux parties
dans son identifiant, une partie propre à elle même et une partie propre à l’utilisateur. Cette
seconde partie pourrait être un code généré aléatoirement pour chaque utilisateur. Ceci
implique d’implanter dans le corps de chaque individu, un mécanisme de gestion des nano-
machines dans une zone spécifique, par exemple une puce au niveau du poignet. Toute
introduction « légale » de nano-machines devrait se faire via cette zone de contrôle, les nano-
machines passant à travers cette puce se verrait alors doter dans leur seconde partie (vierge)
d’un autre identifiant, l’identifiant de l’individu dans lequel elles travaillent dorénavant. Toute
nano-machine introduite dans le corps de l’individu et ne possédant pas cette seconde partie
d’identifiant serait détruite par les nano-gardiens.
Discussion sur la taille de l’identifiant à partir de l’exemple du diabète : faut-il
privilégier un identifiant unique ou bien opter pour des identifiants par groupe ?
En France, 3 millions de personnes souffrent de diabète. Pour remplacer les injections
d’insuline qu’ils reçoivent, il faudrait au moins 1 million de nano-machines. On voit tout de
suite qu’un identifiant unique des nano-machines est impossible, il faudrait une taille
d’identifiant gigantesque. C’est pourquoi nous préférons opter pour un identifiant de fonction.
Il est primordial que les nano-gardiens connaissent tous les identifiants des groupes d’action
tolérés dans le corps d’un individu, pour éviter les actions néfastes par copie du champ de
l’identifiant utilisateur. Il faut donc que les nano-machines répondent aux nano-gardiens selon
un chiffrement avec leurs deux parties d’identifiant. L’identifiant unique ferait ainsi office de
clé privée.
Le scénario d’attaque par reprogrammation d’une nano-machine
Les sécurités définies ci-dessus empêcheraient d’introduire des nano-machines étrangères
dans le corps de l’individu. Mais les assaillants pourraient opter pour une reprogrammation
des actions « légales »des nano-machines.
Il est facile de bloquer la possibilité de reprogrammation de certaines nano-machines à action
simple qui ne répondront aux stimuli extérieurs que par actions simples (déplacement,
changement d’action préprogrammé, etc). Cependant, il est possible que certaines nano-
machines complexes aient besoin d’un champ de réponse plus large, pour mieux s’adapter
aux contextes. Par exemple, des nano-machines actives sur les lymphocytes doivent être
capables d’adapter leur champ d’action pour détruire des molécules différentes selon les
stimuli. Il est primordial d’empêcher une entité néfaste d’agir sur le choix de ces molécules.
Aussi est-il impératif d’authentifier la personne envoyant les stimuli.

8. 4.2 Propositions
4.2.1 Identification
Comme on a vu dans les exemples antérieurs d'attaques, et par analogie avec les systèmes
multi-agents, l'identification des nano-machines correspond à un besoin de sécurité primaire.
En effet les autres mécanismes de sécurité comme l'authentification reposent sur la sécurité de
l’identification. Un identifiant unique pour chaque nano-robot n'est pas envisageable sur le
plan pratique. Il serait même non-optimal pour certaines applications (par exemple dans
l’éventualité où un identifiant unique serait mis en place). En effet, la taille nécessaire pour
retenir un tel identifiant sur chaque entité est beaucoup trop grande au regard des possibilités
physiques de stockage d'informations. Aussi proposons-nous un identifiant plus petit, scindé
en deux parties, l’une spécifique à l'utilisateur, réalisant ainsi le lien nanobot – usager, et
l’autre spécifique à chaque classe de nanobot. Cette dernière pourrait également être divisée
pour permettre des mécanismes d'agrégation et d'identification de groupe (en fonction des
usages spécifiques de chaque nanobot).
Si la partie individuelle de l'identifiant des nano-machines peut être réalisée par des
mécanismes connus comme ceux utilisés pour l'adressage IP, la partie spécifique à l'usager
pourrait s'avérer plus difficile à réaliser. Le besoin d'identifier chaque usager de manière
unique et avec la contrainte d’un espace de stockage limité, conduit à privilégier des
identifiants biométriques, qui garantissent à la fois l'unicité et l’usage optimal de l'espace. Par
exemple, l'ADN est un bon identifiant d'un usager et les nanobots pourront se voir attribuer
une molécule ADN de l'usager à leur entrée dans son corps.
• En conclusion
• Insérer un identifiant numérique pose des problèmes de taille de stockage.
• Utiliser une signature électrique (cf. les molécules d’ADN) pose un problème de
non unicité des identifiants et de possible falsification.
4.2.2 Authentification
Un mécanisme d'authentification constitue une brique de sécurité critique pour toute
application répartie. Le cas des nano-machines médicales n'est pas différent. Comme nous
l’avons vu précédemment, des scenarii faisant intervenir des nanobots malveillants sont
envisageables et pourraient avoir des conséquences très graves.
On peut proposer deux types d'authentification dans un nano-système:
• Une authentification nano-machine – nano-machine (nano-gardien – nanobot)
• Cette authentification sera basée sur les identifiants. Une nano-machine qui ne
serait pas capable de prouver sa légitimité sera considérée comme non
authentifiée et détruite. Des mécanismes physiques de mécanique moléculaire
de vérification de l'identifiant pourraient assurer cette fonction, ce qui
garantirait la sécurité de l’authentification.
• Une authentification nano-machine – centre de commande
• Cette authentification est plus délicate et plus difficile que la première. Ici on
ne s'intéresse pas aux mécanismes de communication, mais au protocole que
les entités pourraient utiliser pour s'authentifier. Il serait possible d’authentifier
les nano-machines auprès du centre de commande en utilisant des machines
spécialisées pour cette fonction qui pourrait relayer l’information transmise par

9. les machines médicales afin de réduire la charge qui pèse sur celles-ci. Les
machines spécialisées pourraient aussi vérifier l’authenticité de l’information
transmise afin de limiter les possibilités de fausse authentification. Bien sûr, le
problème se déplace à celui de l’authentification de ces nano-machines
spéciales mais on peut envisager des scénarii où ces machines seraient à leur
tour authentifiées par les nano-gardiens et donc fiables.
4.2.3 Disponibilité
Dans le cas des nano-machines, la disponibilité informatique est assurée par
l’authentification des entités. Celle-ci assure que la source des commandes est
légitime. Les autres causes qui nuisent à la disponibilité sont d’une nature que
l’informatique ne peut pas contrôler. Il est néanmoins intéressant d’observer l’état
d’ensemble du système ; des éventuelles nano-machines inactives pourront en effet
remplacer celles qui auraient été détruites par des causes physiques.
Deux mécanismes de suivi sont proposés :
Pooling
Cette première méthode utilisable pour assurer la disponibilité est la plus coûteuse du
point de vue des ressources, car elle nécessite que la station de commande reçoive et
envoie des messages à toutes les nano-machines. Des messages périodiques, envoyés
avec des délais aléatoires pour protéger la disponibilité de la station centrale pourraient
l’informer sur l’état des nano-machines. Une nano-machine serait considérée comme
perdue après l’absence de réponse à un certain nombre de messages. D’autres calculs
statistiques pourraient être réalisés à partir des informations reçues.
Vérification de proximité
Pour limiter le nombre de messages envoyés et reçus, une catégorie spéciale de
nanobots pourrait être utilisée pour observer les autres machines dans son périmètre et
transmettre ou stocker cette information. Pour augmenter la possibilité de détection,
les nanobots pourraient se localiser dans certains endroits du corps. Les informations
ainsi reçues seraient retransmises à la base ou enregistrées pour une transmission
ultérieure.

10. 5. Conclusions
Le champ exploré dans ce document est expérimental et encore au début de ses
développements scientifiques. Aussi les conclusions présentées ici doivent être interprétées
avec prudence et en référence aux hypothèses posées au début de ce document, hypothèses
qui pourraient bien sûr changer avec le temps.
Néanmoins, en fonction de ces hypothèses, notre première conclusion est que les nano-
technologies, comme bien d’autres avancées scientifiques, pourraient avoir des utilisations
très positives (en médecine notamment) mais qu’elles peuvent également s’avérer
extrêmement dangereuses. Le potentiel très important de cette technologie peut en faire une
arme destructrice.
En l’absence d’une législation adaptée et de ressources financières suffisantes, les possibilités
de détecter efficacement une attaque à base de nano-machines sont réduites. Or des attaques
de ce type peuvent s’avérer très destructrices. Pour se protéger de ces possibles scenarii
d’attaque, les nano-machines devraient intégrer des mécanismes de sécurité pour réduire ces
attaques et pour assurer la sécurité des utilisateurs légitimes. Les solutions actuelles de
sécurité pourraient être adaptées aux nano-machines, mais elles devront intégrer des
contraintes physiques extrêmement fortes, ce qui peut réduire leur efficacité. Il faut donc
espérer que l’avancée technologique permettra dans l’avenir de développer ces solutions au
niveau moléculaire de façon facile et efficace. Si ce n’est pas le cas, il faudra trouver d’autres
solutions de protection, solutions qu’on ne peut pas encore prévoir.
Bibliographie
[RNano] Nanotechnology – The issues – Royal society of chemistry
[ENano] Future Tech: The Promise of Nanotechnology for Retail &
Consumer Products – Ernst & Young
[CoSec] Context-based Security Management for Multi-Agent Systems
Dipartimento di Elettronica, Informatica e Sistemistica (DEIS)
University of Bologna
[MSec] Multi-Agent Systems and Security Requirements Analysis
Paolo Bresciani, Paolo Giorgini, Haralambos Mouratidis, and Gordon Manson
[RNano] Etat de la recherche et projections - http://www.nanobot.info/