Stage - Sécurité Embarquée sous Zephyr

Witekio est expert du logiciel embarqué / IoT, avec une approche système globale, intégrant différentes couches logicielles, du hardware jusqu'au cloud. Depuis octobre 2019, Witekio a démarré une nouvelle aventure en rejoignant le groupe Avnet, fournisseur mondial d'électronique & IoT. Dans le cadre d'un plan stratégique visant à renforcer le Centre d'Excellence Embarqué du Groupe Avnet, nous lançons la création et l'expansion de plusieurs équipes tournées vers l'international au sein de Witekio et localisées en France.

Pour en savoir plus sur nos réalisations, retrouvez quelques-uns de nos case studies : https://witekio.com/category/case-studies/

Nos chiffres clés :

• 5 entités : Siège à Lyon et des bureaux à Paris, Bristol, Stuttgart et Seattle
• +110 experts passionnés
• +20 ans d'expérience dans le logiciel embarqué

Contexte :

Chaque jour, des milliards d'objets connectés reposent sur des opérations cryptographiques : démarrage sécurisé, authentification du firmware, TLS, identité des appareils, stockage de clés, provisioning sécurisé.

Dans le monde des microcontrôleurs, les Secure Elements (SE) comme le Microchip ATECC608, le STSAFE ou le NXP SE05x apportent une sécurité matérielle bien supérieure à ce que peut offrir une cryptographie purement logicielle. Ils protègent les clés privées, résistent aux attaques physiques et permettent de construire des architectures de sécurité de niveau industriel.

Zephyr RTOS s'est imposé comme l'un des systèmes d'exploitation open-source les plus importants pour les objets connectés, mais le support des Secure Elements y reste fragmenté. Aujourd'hui, la plupart des applications s'appuient sur :

• mbedTLS (cryptographie logicielle),
• Trusted Firmware-M (TF-M),
• ou des intégrations propriétaires spécifiques à chaque fabricant.

Il manque aujourd'hui à l'écosystème une intégration générique et « prête pour l'upstream » des Secure Elements via l'API PSA Crypto, utilisable aussi bien par les applications que par MCUboot pour le démarrage sécurisé et la vérification des images.

Ce stage n'est pas « un projet étudiant qui finira dans un tiroir » : votre travail a vocation à être contribué en amont (upstream) à l'écosystème Zephyr et utilisé dans de véritables projets industriels.

Objectifs :

À partir d'une petite plateforme robotique équipée d'une carte à microcontrôleur moderne, vous ajouterez progressivement des fonctionnalités de sécurité telles que :

• Démarrage sécurisé : seul un firmware de confiance peut s'exécuter.
• Authentification sécurisée avec des services cloud.
• Clés cryptographiques protégées matériellement.
• Communications sécurisées via TLS.
• Mises à jour de firmware authentifiées.
• Protection contre des scénarios d'attaque courants.
• Contribution à l'écosystème Zephyr.

À l'issue du stage, vous serez en mesure de présenter un robot capable de résister à des attaques qui compromettraient un appareil embarqué classique.

Vos missions :

1. Explorer et concevoir l'architecture

• Étudier les sous-systèmes de sécurité existants dans Zephyr
• Analyser les points d'intégration de PSA Crypto
• Évaluer les capacités des composants ATECC608, STSAFE et SE05x
• Proposer une architecture réutilisable et indépendante du fournisseur (vendor-agnostic)

1. Implémenter le support des Secure Elements

• Développer ou adapter des drivers Zephyr
• Implémenter des backends PSA Crypto
• Supporter la génération de clés, la signature, la vérification, le hachage et les opérations ECDSA
• Gérer les identifiants de clés persistants et le stockage sécurisé

1. Intégrer avec MCUboot

• Ajouter le support de la vérification d'image reposant sur le matériel
• Évaluer les flux de démarrage sécurisé utilisant les Secure Elements
• Tester les scénarios d'images confirmées et non confirmées
• Documenter les limitations et les considérations de sécurité

1. Donner vie (et sécuriser) le robot

• Déployer votre solution sur des cartes d'évaluation : STM32 + STSAFE, plateformes NXP + SE05x, cartes d'évaluation ATECC608
• Concevoir des échantillons Zephyr et des tests automatisés
• Rendre le kit robot fonctionnel et sécurisé sur l'une des références retenues

1. Contribuer en upstream

• Suivre les conventions de code et de revue de Zephyr
• Préparer des commits propres et une documentation claire
• Soumettre des pull requests
• Échanger avec la communauté open-source lorsque cela est pertinent

Livrables attendus :

• Une architecture documentée des Secure Elements pour Zephyr
• Un ou plusieurs drivers/backends prêts pour l'upstream
• Des exemples d'intégration PSA Crypto
• Un prototype d'intégration MCUboot
• Des échantillons de tests automatisés
• Une documentation technique et un guide de contribution

Environnement technique :

• Embarqué : Zephyr, TLS, Crypto
• Langages : C, Python
• Outils : GitHub, CMake
• Matériel : cartes d'évaluation NXP, STM32

Profil Recherché :

Vous n'avez pas besoin d'être déjà expert en cryptographie.

Nous recherchons une personne ayant :

• Une solide base en programmation C
• Un intérêt pour les systèmes embarqués et le logiciel bas niveau
• Une curiosité pour la sécurité et la cryptographie
• Une capacité à lire de la documentation technique
• Une motivation à contribuer à des projets open source

Des connaissances dans les domaines suivants seraient un plus :

• Zephyr ou un autre RTOS, TLS / certificats, Périphériques I²C ou SPI, Bootloaders, Workflows Git

Pourquoi rejoindre Witekio ?

• Une culture technique forte, avec des équipes multidisciplinaires et des projets variés.
• Un environnement collaboratif et bienveillant, où l'on valorise la curiosité, le partage de connaissances et l'autonomie, notamment grâce à des Lunch & Learn.
• Une passion pour l'innovation : on aime les défis technologiques, les produits intelligents et les solutions sur-mesure.
• Dans une volonté de transparence, des Hangouts chaque mois pour partager les informations vis-à-vis de la société.
• Des Witekian Days permettant de se former sur tout type de sujets.
• Des projets concrets et impactants.

Processus de recrutement :

• 1 premier échange téléphonique côté RH
• 1 test technique rapide
• 1 échange avec votre futur tuteur

Nous garantissons l'accessibilité de l'ensemble de nos opportunités professionnelles aux personnes en situation de handicap.