TCB, moniteur de référence et noyau de sécurité
Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 11 minutes
Tous les modèles de contrôle d’accès du chapitre suivant (MAC, DAC, RBAC…) supposent qu’un mécanisme, quelque part dans le système d’exploitation, applique réellement les décisions d’accès de façon fiable. Ce mécanisme a un nom et une histoire précise : il remonte à un article fondateur de 1972.
La base informatique de confiance (TCB)
Section titled “La base informatique de confiance (TCB)”La Trusted Computing Base (TCB) est à la fois un ensemble de modèles théoriques et de pratiques de conception, et un ensemble concret de matériel, micrologiciel, logiciel et interfaces qui applique ces modèles à un système réel. Son objectif unique : soutenir les politiques de sécurité du système, principalement en imposant l’isolement des objets les uns par rapport aux autres.
Deux fonctionnalités centrales se retrouvent dans la plupart des TCB :
- le chemin de confiance — un canal de communication protégé entre l’utilisateur (ou un programme) et la TCB, qui ne peut en aucun cas être compromis ;
- le shell de confiance — un environnement d’exécution de commandes restreint et isolé, inaccessible depuis l’intérieur comme l’extérieur à toute partie non fiable.
Étant donné l’importance critique de cette base, ses composants doivent être conçus avec le plus grand soin — analyses, simulations et tests approfondis — pour atteindre un niveau de confiance exceptionnellement élevé.
Le moniteur de référence : un modèle abstrait
Section titled “Le moniteur de référence : un modèle abstrait”Décrit pour la première fois par James P. Anderson en 1972 (Computer Security Technology Planning Study), le moniteur de référence est un concept de machine abstraite qui spécifie les critères permettant à la TCB d’appliquer les politiques de contrôle d’accès de façon cohérente. Trois propriétés le définissent :
- Médiation complète — chaque accès à une ressource protégée doit être contrôlé et vérifié, sans exception.
- Inviolabilité — le moniteur lui-même doit être à l’abri de toute altération.
- Vérifiabilité — son exactitude doit pouvoir être formellement prouvée.
Dans la pratique : un sujet demande l’accès aux données d’un serveur, le moniteur de référence intercepte la demande, consulte la base de règles établie par le propriétaire des données, puis autorise ou refuse — et enregistre systématiquement la décision, qu’elle soit positive ou négative.
Le noyau de sécurité : l’implémentation réelle
Section titled “Le noyau de sécurité : l’implémentation réelle”Le noyau de sécurité est la mise en œuvre pratique du moniteur de référence au sein de la TCB — la partie centrale du système d’exploitation chargée d’appliquer les contrôles d’accès, de gérer les politiques de sécurité et de garantir l’intégrité du système. Ses origines remontent également aux travaux d’Anderson, approfondis par Honeywell dans les années 1970 (système Multics).
Trois caractéristiques le définissent :
- Modularité — modules bien définis et indépendants, pour la sécurité et la facilité de gestion.
- Isolement — séparation stricte des fonctions de sécurité par rapport au reste du système.
- Tolérance aux pannes — capacité à continuer de fonctionner correctement même si certaines parties du système tombent en panne.
Bien que principalement logé dans le système d’exploitation, le noyau de sécurité s’appuie souvent sur des éléments matériels et micrologiciels — un TPM pour les fonctions cryptographiques, le BIOS/UEFI pour établir un démarrage sécurisé sur lequel il peut construire sa confiance.
Trois concepts, une seule architecture
Section titled “Trois concepts, une seule architecture”| Niveau | TCB | Moniteur de référence | Noyau de sécurité |
|---|---|---|---|
| Nature | Architecture globale | Modèle abstrait | Implémentation concrète |
| Rôle | Englobe les deux autres | Définit les règles de médiation | Applique ces règles dans le système réel |
Implémentations réelles par système
Section titled “Implémentations réelles par système”| Système | TCB (exemples) | Moniteur de référence | Noyau de sécurité |
|---|---|---|---|
| Windows | Noyau NT, pilotes, démarrage sécurisé, TPM | Security Reference Monitor (SRM) — gestion des ACL | DEP, ASLR, Credential Guard |
| macOS | Noyau XNU, Secure Enclave, puce T2 | Framework de sécurité macOS (sandboxing, Gatekeeper) | Noyau XNU, SIP, Gatekeeper |
| Linux | Noyau Linux, bibliothèques système (glibc), services de base | Framework LSM (SELinux, AppArmor) | Modules de sécurité du noyau |
| z/OS (mainframe) | Noyau z/OS, processeurs zSeries | SAF + RACF | Noyau de sécurité z/OS, services cryptographiques |
Cette grille montre que ces trois concepts ne sont pas de la théorie abstraite déconnectée du terrain : chaque système d’exploitation moderne implémente concrètement les trois niveaux, sous des noms différents mais avec la même logique de médiation complète, d’isolement et de moindre privilège.
Synthèse
Section titled “Synthèse”- La TCB englobe le moniteur de référence (le modèle) et le noyau de sécurité (son implémentation) dans une seule architecture de confiance.
- Le moniteur de référence doit garantir médiation complète, inviolabilité et vérifiabilité — trois propriétés formalisées dès 1972 et toujours valables aujourd’hui.
- Chaque système d’exploitation moderne (Windows, macOS, Linux, z/OS) implémente concrètement ces trois niveaux, sous des composants nommés différemment mais obéissant à la même logique.
Prochain chapitre
Section titled “Prochain chapitre”Modèles de sécurité des systèmes
Junior TSAFACK – 09/10/2026