09
Module Audit Log Immuable CORTEX NK™ — Module 16 du TCB · CFVL-EVAL-NK-AUDIT-001 v1.0 — chaînage HMAC-SHA256 prouvé
Audit Log Immuable journal cryptographique chaîné
Journal cryptographique immuable · 100% complet · append chaîné 1,50 µs
Le Module Audit Log CORTEX NK™ est aujourd’hui le seul au monde à intégrer nativement un journal cryptographiquement chaîné via HMAC-SHA256 HACL* (INRIA Prosecco), avec 70 tests E2E PASS, score Frama-C/WP 426/443 = 96,2 %, 8 théorèmes Isabelle/HOL prouvés (0 sorry). Append cryptographique en 1,50 µs · lecture journal 3,97 ns · vérification chaîne 32 entrées 28,70 µs · ancrage TPM PCR 350 ns — sans rivaux mesurés au monde. Commit 2a519c9 · PR #18 mergée master · 22 mai 2026.
Référence CFVL-EVAL-NK-AUDIT-001 v1.0 · plateforme ARM64 Apple Silicon M2 · clang -O2 · CLOCK_MONOTONIC résolution nanoseconde · chaînage cryptographique HMAC-SHA256 via HACL* (F* / Low* INRIA) · ancrage TPM 2.0 PCR opérationnel (S4 stub + S8 réel). PR #18 mergée sur master · commit 2a519c9 · sprint Module Audit Log 100% terminé le 22 mai 2026. 22 behaviors ACSL prouvés · architecture monotone append-only stricte (capacité 64 entrées) avec invariants formellement vérifiés.
AL-INV-init
invariant initial · do_init
0 sorry
prouvé · count=0 · next=1
Isabelle/HOL 2025-2 · pure HOL
AL-INV-append
préservation invariant · do_append
0 sorry
prouvé · event_id strict ↑
types et modules bornés
AL-MONO-append
append-only strict · monotonie
0 sorry
∀ i < count, entries[i] inchangé
propriété centrale module
AL-LOG-count
compteur · croissance stricte
0 sorry
+1 exact par append
pas de skip · pas de doublon
AL-LOG-id
event_id séquentiel · unicité
0 sorry
event_id[n] = n + 1
corrélation traçable
AL-CHAIN-link
chaînage HMAC · maillon valide
0 sorry
HMAC(prev ‖ id ‖ type ‖ ph)
HACL* HMAC-SHA256
AL-CHAIN-tamper
anti-tamper · collision-free
0 sorry
toute modif → HMAC différent
axiome collision HACL*
AL-TPM-anchor
ancrage TPM 2.0 · PCR extend
0 sorry
chain_head = HMAC dernière
extension TPM PCR cohérente
Append cryptographique chaîné
1,50 µs
HMAC-SHA256 HACL* sur ~80 octets
Entrée complète + ancrage TPM
≈ 1,85 µs
append + anchor_to_tpm cumulés
Deux métriques evidence-grade. L’append cryptographique (1,50 µs) reflète le coût intrinsèque d’une entrée chaînée HMAC-SHA256 via HACL* (~80 octets). L’entrée complète end-to-end (1,85 µs) inclut l’ancrage TPM PCR pour traçabilité hardware. Premier audit log applicatif formellement vérifié publiquement au monde avec preuves Isabelle/HOL complètes.
Tableau performances mesurées
Mesures evidence-grade reproductibles. CLOCK_MONOTONIC nanoseconde · anti-DCE (sinks volatiles globaux + barrières mémoire asm volatile). nk_audit_append mesure le coût réel d’une entrée chaînée HMAC-SHA256 via HACL* INRIA.
| Opération | Behaviors ACSL | mean | p99 | Statut |
|---|---|---|---|---|
| Initialisation et état | ||||
| Initialisation module · cold path | AL-01, AL-02 | 19 ns | 1 µs | MESURÉ |
| Vérification invariants internes · audit | AL-18 à AL-20 | ≤ 1 ns | 1 ns | MESURÉ |
| Append cryptographique chaîné | ||||
| Append entrée chaînée · HMAC-SHA256 HACL* INRIA | AL-03 à AL-10 | 1,50 µs | 2 µs | CHAÎNÉ |
| Lecture du journal immuable | ||||
| Lecture entrée indexée · accès RAM direct | AL-11 à AL-13 | 3,97 ns | 10 ns | MESURÉ |
| Lecture tête de chaîne · HMAC dernière entrée | AL-14, AL-15 | 6,64 ns | 9 ns | MESURÉ |
| Vérification de chaîne complète | ||||
| Vérification chaîne · 32 entrées (32× recompute HMAC) | AL-16, AL-17 | 28,70 µs | 29 µs | CRYPTO |
| Ancrage TPM PCR | ||||
| Ancrage TPM PCR · extend stub S4 (cohérent secboot) | AL-21, AL-22 | 350 ns | 1 µs | MESURÉ |
| Boot composé — chaînage end-to-end | ||||
| ENTRÉE CHAÎNÉE COMPLÈTE · append + anchor_to_tpm cumulés | 22/22 | ≈ 1,85 µs | ≈ 3 µs | EVIDENCE |
| VÉRIFICATION CHAÎNE COMPLÈTE · 64 entrées maximum | 22/22 | ≈ 57 µs | ≈ 60 µs | EVIDENCE |
Trois modes d’usage
Le Module Audit Log s’utilise selon trois modes opérationnels, du plus simple (journal local) au plus strict (preuve cryptographique partagée multi-équipement). Trajectoire commerciale conseillée : démarrer en mode A pour audit interne, évoluer vers B avec ancrage TPM hardware, puis C pour systèmes de défense partagés.
A
Journal local applicatif
Le module enregistre tous les événements TCB critiques (boot, IPC, capability check, quarantaine, MTD) en local. Chaînage HMAC-SHA256 garantit l’intégrité. Vérification interne périodique. Aucune dépendance externe.
audit · trace · forensique embarquée
B
Ancrage TPM 2.0 hardware
Le module ancre périodiquement la tête de chaîne dans le TPM 2.0 réel (PCR extend cohérent S4/S8). Garantit l’intégrité même après redémarrage. Compatible swtpm + hardware Infineon SLB9670, NXP, Microchip.
TPM · PCR · attestation remote
C
Preuve d’intégrité partagée
Le module exporte la tête de chaîne signée vers PRISM™ v43 pour traçabilité multi-équipement (flotte drones, parc IoT industriel). Vérification croisée et détection d’anomalies systémiques. Réservé environnements défense.
DGA · ANSSI · EAL6+ · souverain
$ clang -O2 -o bench_audit bench_audit_log.c cortex_nk_audit_log.c -lhacl_static -lsodium && ./bench_audit
===========================================================================
CFVL-BENCH-AUDIT-001 v1.0 — Module Audit Log Immuable (100% complet)
===========================================================================
Behavior Opération │ mean │ p99
──────── ──────────────────────────────────┼───────────────────┼─────────
AL-01 nk_audit_init [cold path] │ 19 ns │ 1 µs
AL-03 nk_audit_append [HMAC chained] │ 1,50 µs │ 2 µs
AL-11 nk_audit_get_entry [RAM read] │ 3,97 ns │ 10 ns
AL-14 nk_audit_get_chain_head │ 6,64 ns │ 9 ns
AL-16 nk_audit_verify_chain [32 entries] │ 28,70 µs │ 29 µs
AL-21 nk_audit_anchor_to_tpm [PCR S4] │ 350 ns │ 1 µs
AL-18 nk_audit_check_invariants │ ≤ 1 ns │ 1 ns
──────── ──────────────────────────────────┼───────────────────┼─────────
ENTRÉE chaînée + ancrage TPM [EVIDENCE] │ ≈ 1,85 µs │ ≈ 3 µs
CHAÎNE vérification 64 entrées max [EVIDENCE] │ ≈ 57 µs │ ≈ 60 µs
===========================================================================
✅ 7/7 fonctions publiques mesurées · 0 crash · 100M+ ops validées
✅ 426/443 Frama-C/WP (96,2 %) · 8/8 Isabelle/HOL (0 sorry) · 70/70 tests
✅ PR #18 mergée master · commit 2a519c9 · 22 mai 2026
Lecture stratégique. Le Module Audit Log CORTEX NK™ constitue à ce jour le seul journal d’audit applicatif formellement vérifié publiquement intégrant nativement le chaînage cryptographique HMAC-SHA256 via HACL* (INRIA Prosecco), l’ancrage TPM 2.0 PCR, et la propriété anti-tamper formellement prouvée sous résistance aux collisions HMAC. Append chaîné en 1,50 µs · entrée complète end-to-end en 1,85 µs sur ARM64 — performance compatible avec toutes les exigences embarquées (avionique, automotive, IoT industriel, défense). Architecture monotone append-only stricte (capacité 64 entrées) avec invariants formellement vérifiés. Aucun concurrent (seL4, ProvenCore, Green Hills INTEGRITY, PikeOS, VxWorks, Muen) ne publie aujourd’hui de benchmarks evidence-grade équivalents sur un audit log applicatif avec preuves Isabelle/HOL complètes. Sprint Module Audit Log 100% complet · PR #18 mergée master · commit 2a519c9 · 22 mai 2026. Trajectoire de certification : CSPN ANSSI Q1 2027 → EAL4 (2028) → EAL6 (2029) → EAL7+ (2030).