Dans le cadre des échanges d'information entre différentes entités, le cas du dossier médical partagé soulève de nombreux problèmes. En plus de la sécurité des informations, il faut ajouter le consentement du patient dans le processus d'échange de données. Le patient peut spécifier des règles qui vont à l'encontre des règles déjà existantes, pour diverses raisons. La résolution automatique des conflits que créent les règles du patient est délicate, et certaines solutions logicielles ont mis en place des mécanismes de résolution qui ne sont pas, à ce jour, suffisamment adéquats. Ce mémoire présente un algorithme de gestion de conflits prenant en compte une hiérarchie de profils et une hiérarchie de données. À partir d'une relation d'ordre définie sur des règles d'accès, l'algorithme reconstitue l'ensemble des données accessibles au requérant suivant son profil. L'algorithme peut également être utilisé afin de constituer à partir d'une donnée, l'ensemble des profils autorisés à accéder à la donnée. Cette approche permet de ce fait de prendre en charge la notion de filtrage de données.

Dans de multiples domaines, un nombre grandissant d'applications interagissant avec des entités communicantes apparaissent dans l'environnement pour faciliter les activités quotidiennes~(domotique et télémédecine). Leur impact sur la vie de tous les jours des utilisateurs rend ces applications critiques: leur défaillance peut mettre en danger des personnes et leurs biens. Bien que l'impact de ces défaillances puisse être majeur, la sécurité est souvent considérée comme un problème secondaire dans le processus de développement et est traitée par des approches ad hoc.Cette thèse propose d'intégrer des aspects de sécurité dans le cycle de développement des systèmes d'informatique ubiquitaire. La sécurité est spécifiée à la conception grâce à des déclarations dédiées et de haut niveau. Ces déclarations sont utilisées pour générer un support de programmation afin de faciliter l'implémentation des mécanismes de sécurité, tout en séparant ces aspects de sécurité de la logique applicative. Notre approche se concentre sur le contrôle d'accès aux entités et la protection de la vie privée. Notre travail a été implémenté et fait levier sur une suite outillée existante couvrant le cycle de développement logiciel. / A growing number of environments is being populated with a range of networked devices. Applications leverage these devices to support everyday activities in a variety of areas (e.g., home automation and patient monitoring). As these devices and applications get woven into our everyday activities, they become critical: their failure can put people and assets at risk. Failures can be caused by malicious attacks and misbehaving applications. Although the impact of such situations can be major, security concerns are often considered a secondary issue in the development process, and treated with ad hoc approaches. This thesis proposes to address security concerns throughout the development lifecycle of a pervasive computing system. Security is addressed at design time thanks to dedicated, high-level declarations. These declarations are processed to implement security mechanisms, and to generate programming support to ease the development of the security logic, while keeping it separate from the application logic. Our approach is studied in the context of access control and privacy concerns. Our work has been implemented and leverages an existing software-design language and a suite of tools that covers the software development lifecycle.

La sécurité est un élément crucial dans le développement d'un système d'information. On ne peut pas concevoir un système bancaire sans préoccupation sécuritaire. La sensibilité des données d'un système hospitalier nécessite que la sécurité soit la composante majeure d'un tel logiciel. Le contrôle d'accès est un des nombreux aspects de la sécurité. Il permet de définir les conditions de l'exécution d'actions dans un système par un utilisateur. Entre les différentes phases de conception d'une politique de contrôle d'accès et son application effective sur un système déployé, de nombreuses étapes peuvent introduire des erreurs ou des failles non souhaitables. L'utilisation de méthodes formelles est une réponse à ces préoccupations dans le cadre de la modélisation de politiques de contrôle d'accès. L'algèbre de processus EB3 permet une modélisation formelle de systèmes d'information. Son extension EB3SEC a été conçue pour la spécification de politiques de contrôle d'accès. Le langage ASTD, combinaison des statecharts de Harel et des opérateurs de EB3, permet de modéliser graphiquement et formellement un système d'information. Cependant, ces deux méthodes manquent d'outils de vérification et de validation qui permettent de prouver ou de vérifier des propriétés de sécurité indispensables à la validation de politiques de contrôle d'accès. De plus, il est important de pouvoir prouver que l'implémentation d'une politique correspond bien à sa spécification abstraite. Cette thèse définit des règles de traduction de EB3 vers ASTD, d'ASTD vers event-B et vers B. Elle décrit également une architecture formelle exprimée en B d'un filtre de contrôle d'accès pour les systèmes d'information. Cette modélisation en B permet de prouver des propriétés à l'aide du prouveur B ou de vérifier des propriétés avec ProB, un vérificateur de modèles. Enfin, une stratégie de raffinement B pour obtenir une implémentation de ce filtre de contrôle d'accès est présentée. Les raffinements B étant prouvés, l'implémentation correspond donc au modèle initial de la politique de contrôle d'accès / Security is a key aspect in information systems (IS) development. One cannot build a bank IS without security in mind. In medical IS, security is one of the most important features of the software. Access control is one of many security aspects of an IS. It defines permitted or forbidden execution of system's actions by a user. Between the conception of an access control policy and its effective deployment on an IS, several steps can introduce unacceptable errors. Using formal methods may be an answer to reduce errors during the modeling of access control policies. Using the process algebra EB3, one can formally model IS. Its extension, EB3SEC, was created in order to model access control policies. The ASTD notation combines Harel's Statecharts and EB3 operators into a graphical and formal notation that can be used in order to model IS. However, both methods lack tools allowing a designer to prove or verify security properties in order to validate an access control policy. Furthermore, the implementation of an access control policy must correspond to its abstract specification. This thesis defines translation rules from EB3 to ASTD, from ASTD to event-B and from ASTD to B. It also introduces a formal architecture expressed using the B notation in order to enforce a policy over an IS. This modeling of access control policies in B can be used in order to prove properties, thanks to the B prover, but also to verify properties using ProB, a model checker for B. Finally, a refinement strategy for the access control policy into an implementation is proposed. B refinements are proved, this ensures that the implementation corresponds to the initial model of the access control policy

L'importance des systèmes collaboratifs a considérablement augmenté au cours des dernières années. La majorité de nouvelles applications sont conçues de manière distribuée pour répondre aux besoins du travail collaboratif. Parmi ces applications, nous nous intéressons aux éditeurs collaboratifs temps-réel (RCE) qui permettent la manipulation de divers objets partagés, tels que les pages wiki ou les articles scientifiques par plusieurs personnes réparties dans le temps et dans l'espace. Bien que ces applications sont de plus en plus utilisées dans de nombreux domaines, l'absence d'un modèle de contrôle d'accès adéquat limite l'exploitation de leur plein potentiel. En effet, contrôler les accès aux documents partagés de façon décentralisée et sans alourdir les performances du système collaboratif représente un vrai challenge, surtout que les droits d'accès peuvent changer fréquemment et de façon dynamique au cours du temps. Dans cette thèse, nous proposons un modèle de contrôle d'accès générique basé sur l'approche de réplication optimiste du document partagé ainsi que sa politique de contrôle d'accès. Pour cela, nous proposons une approche optimiste de contrôle d'accès dans la mesure où un utilisateur peut violer temporairement la politique de sécurité. Pour assurer la convergence, nous faisons recours à l'annulation sélective pour éliminer l'effet des mises à jour illégales. Vu l'absence d'une solution d'annulation générique et correcte, nous proposons une étude théorique du problème d'annulation et nous concevons une solution générique basée sur une nouvelle sémantique de l'opération identité. Afin de valider notre approche tous nos algorithmes ont été implémentés en Java et testés sur la plateforme distribuée Grid'5000 / The importance of collaborative systems in real-world applications has grown significantly over the recent years. The majority of new applications are designed in a distributed fashion to meet collaborative work requirements. Among these applications, we focus on Real-Time Collaborative Editors (RCE) that provide computer support for modifying simultaneously shared documents, such as articles, wiki pages and programming source code by dispersed users. Although such applications are more and more used into many fields, the lack of an adequate access control concept is still limiting their full potential. In fact, controlling access in a decentralized fashion for such systems is a challenging problem, as they need dynamic access changes and low latency access to shared documents. In this thesis, we propose a generic access control model based on replicating the shared document and its authorization policy at the local memory of each user. We consider the propagation of authorizations and their interactions. We propose a optimistic approach to enforce access control in existing collaborative editing solutions in the sense that a user can temporarily violate the access control policy. To enforce the policy, we resort to the selective undo approach in order to eliminate the effect of illegal document updates. Since, the safe undo is an open issue in collaborative applications. We investigate a theoretical study of the undo problem and propose a generic solution for selectively undoing operations. Finally, we apply our framework on a collaboration prototype and measure its performance in the distributed grid GRID?5000 to highlight the scalability of our solution

L'administration de la sécurité dans les réseaux sans infrastructures est assez complexe pour être réalisée efficacement par des êtres-humains. Notre objectif est de la rendre autonome. Dans ce cadre, cette thèse propose un système autonome de contrôle d'accès. On fixe la définition d'un réseau autonome, et certaines bases de la sécurité autonome. Ensuite, on définit un type de réseau autonome, organisationnel et sans infrastructure, et on l'appelle iorg-autonet. Les nœuds d'un iorg-autonet sont catégorises en termes de fiabilité, disponibilité et capacités, ce qui leur permet d'acquérir différents rôles, dont certains donnent droit a coopérer avec d'autres nœuds pour gérer le réseau. On définit pour les iorg-autonets un modèle de contrôle d'accès base sur les relations sécurisées, et on l'appelle srbac. Ses politiques sont a appliquer quand deux nœuds, déjà relies par une relation sécurisée leur spécifiant des rôles, se communiquent. Le modèle srbac est une version développée et adaptée du modèle rbac. On propose aussi une extension du profile rbac du langage xacml v2.0 pour la spécification des politiques srbac. On définit pour srbac le modèle administratif associe asrbac pour parvenir a notre système autonome de contrôle d'accès. Le modèle asrbac est une extension du modèle administratif distribue arbac02 qui est associe au modèle rbac. Cette extension rajoute des aspects contextuels, cognitifs, adaptatifs, coopératifs et autonomes. Asrbac est base sur srbac lui-même, ce qui représente la base du comportement autonome dans notre solution. Un exemple d'un système srbac/asrbac d'un réseau domestique et un modèle de réalisation valident et matérialisent nos contributions.

Dans ce travail, nous poursuivons l'idée de la prochaine génération des réseaux mobiles capable de fournir globalement un accès adaptatif aux services. Nous discutons les problèmes des technologies sans fil et mobiles actuelles et argumentons pour une vision de la 4e Génération en tant qu'un système intégrant d'une manière opportuniste des technologies hétérogènes, se concentrant sur l'utilisateur et ses besoins. Nous identifions le contrôle d'accès aux services et la gestion des utilisateurs et de l'infrastructure en tant que défis majeurs et points critiques dans cette vision 4G. Dans notre vision, l'accès aux services doit être adaptatif et indépendant de l'opérateur et de l'infrastructure, permettre un contrôle rapide et garantir le passage à l'échelle. Quant à l'accès logique aux services dans 4G, nous discutons les solutions proposées et démontrons les limites du contrôle d'accès sur les couches basses et les problèmes de sécurité avec le contrôle sur les couches hautes. Nous proposons une solution nouvelle basée sur la virtualisation des mécanismes du contrôle d'accès. Nous présentons une réalisation possible dans notre vision 4G et montrons une implémentation fonctionnelle pour les réseaux 802.11. Concernant la gestion, nous étudions d'abord le contrôle d'accès centralisé et discutons les problématiques dans 4G, notamment la séparation de l'interface d'utilisateur de l'organisation interne des réseaux des opérateurs. Nous proposons deux approches classiques et une approche nouvelle appliquant les paradigmes égal-à-égal (P2P) dans le plan de contrôle. Finalement, nous présentons les perspectives de recherches.

Dans cette thèse, nous nous intéressons à la garantie des propriétés d'intégrité et de confidentialité d'un système d'information.<br />Nous proposons tout d'abord un langage de description des activités système servant de base à la définition d'un ensemble de propriétés de sécurité.<br />Ce langage repose sur une notion de dépendance causale entre appels système et sur des opérateurs de corrélation.<br />Grâce à ce langage, nous pouvons définir toutes les propriétés de sécurité système classiquement rencontrées dans la littérature, étendre ces propriétés et en proposer de nouvelles.<br />Afin de garantir le respect de ces propriétés, une implantation de ce langage est présentée.<br />Nous prouvons que cette implantation capture toutes les dépendances perceptibles par un système.<br />Cette méthode permet ainsi d'énumérer l'ensemble des violations possibles des propriétés modélisables par notre langage.<br />Notre solution exploite la définition d'une politique de contrôle d'accès afin de calculer différents graphes.<br />Ces graphes contiennent les terminaux du langage et permettent de garantir le respect des propriétés exprimables.<br />Nous utilisons alors cette méthode pour fournir un système de détection d'intrusion qui détecte les violations effectives des propriétés.<br />L'outil peut réutiliser les politiques de contrôle d'accès disponibles pour différents systèmes cibles DAC (Windows, Linux) ou MAC tels que SELinux et grsecurity.<br />Cet outil a été expérimenté sur un pot de miel durant plusieurs mois et permet de détecter les violations des propriétés souhaitées.

Dans cette thèse, nous nous intéressons au contrôle d'accès obligatoire dans les systèmes d'exploitation répartis. Nous présentons une approche novatrice fondée sur un modèle de méta-politique pour l'administration décentralisée des noeuds du système réparti. Ces travaux visent la sécurité des grands réseaux partagés, i.e. les clusters, grilles ou ensembles de noeuds coopérant par Internet. L'architecture que nous proposons garantit des propriétés de sécurité globales et une bonne tolérance aux pannes. Ces propriétés, non prises en comptes par les modèles de contrôle d'accès classiques, sont obtenues grâce à notre méta-politique. Nous en présentons une formalisation, puis nous exhibons une technique de vérification garantissant l'absence de flots d'information illégaux au sein des noeuds du réseau. Nous décrivons ensuite comment le modèle peut être étendu pour la détection d'intrusions. Enfin, nous proposons une implantation supportant différents systèmes cibles tels que SELinux et grsecurity.

La sécurité des systèmes d'information devient un enjeu préoccupant pour les organisations tant publiques que privées, car de tels systèmes sont pour la plupart universellement accessibles à partir de navigateurs Web. Parmi tous les aspects liés à la sécurité des systèmes d'information, c'est celui de la sécurité fonctionnelle qui est étudié dans cette thèse sous l'angle de la mise en œuvre de politiques de contrôle d'accès dans une architecture orientée services. L'élément de base de la solution proposée est un modèle générique qui introduit les concepts essentiels pour la conception de gestionnaires d'exécution de politiques de contrôle d'accès et qui établit une séparation nette entre le système d'information et les mécanismes de contrôle d'accès. L'instanciation de ce modèle conduit à un cadre d'applications qui comporte, entre autres, un filtre de contrôle d'accès dynamique. Cette thèse présente également deux méthodes systématiques d'implémentation de ce filtre à partir de politiques écrites en ASTD, une notation graphique formelle basée sur les statecharts augmentés d'opérateurs d'une algèbre de processus. La notation ASTD est plus expressive que la norme RBAC et ses extensions, la solution actuellement privilégiée dans l'industrie. La première méthode repose sur une transformation de politiques de contrôle d'accès, instanciées à partir de patrons de base exprimés en ASTD, en des processus BPEL. La deuxième méthode est basée sur une interprétation de spécifications ASTD par des processus BPEL. Dans les deux cas, les processus BPEL s'exécutent dans un moteur d'exécution BPEL et interagissent avec le système d'information. Ces deux méthodes permettent une implémentation automatique d'un cadre d'applications à partir de la spécification de départ. Finalement, un prototype a été réalisé pour chacune des deux méthodes afin de montrer leur faisabilité au niveau fonctionnel et de comparer leurs performances au niveau système

La sécurité des systèmes d'information devient un enjeu préoccupant pour les organisations tant publiques que privées, car de tels systèmes sont pour la plupart universellement accessibles à partir de navigateurs Web. Parmi tous les aspects liés à la sécurité des systèmes d'information, c'est celui de la sécurité fonctionnelle qui est étudié dans cette Thèse sous l'angle de la mise en oeuvre de politiques de contrôle d'accès dans une architecture orientée services. L'élément de base de la solution proposée est un modèle générique qui introduit les concepts essentiels pour la conception de gestionnaires d'exécution de politiques de contrôle d'accès et qui établit une séparation nette entre le système d'information et les mécanismes de contrôle d'accès. L'instanciation de ce modèle conduit à un cadre d'applications qui comporte, entre autres, un filtre de contrôle d'accès dynamique. Cette Thèse présente également deux méthodes systématiques d'implémentation de ce filtre à partir de politiques écrites en ASTD, une notation graphique formelle basée sur les statecharts augmentés d'opérateurs d'une algèbre de processus. La notation ASTD est plus expressive que la norme RBAC et ses extensions. La première méthode repose sur une transformation de politiques de contrôle d'accès, instanciées à partir de patrons de base exprimés en ASTD, en des processus BPEL. La deuxième méthode est basée sur une interprétation de spécifications ASTD par des processus BPEL. Dans les deux cas, les processus BPEL s'exécutent dans un moteur d'exécution BPEL et interagissent avec le système d'information. Ces deux méthodes permettent une implémentation automatique d'un cadre d'applications à partir de la spécification de départ. Finalement, un prototype a été réalisé pour chacune des deux méthodes afin de montrer leur faisabilité au niveau fonctionnel et de comparer leurs performances au niveau système.