Le contrôle d'accès permet de spécifier une partie de la politique de sécurité d'un système d'informations (SI). Une politique de contrôle d'accès (CA) permet de définir qui a accès à quoi et sous quelles conditions. Les concepts fondamentaux utilisés en CA sont : les permissions, les interdictions (ou prohibitions), les obligations et la séparation des devoirs (SoD). Les permissions permettent d'autoriser une personne à accéder à des ressources. Au contraire les prohibitions interdisent à une personne d'accéder à certaines ressources. Les obligations lient plusieurs actions. Elles permettent d'exprimer le fait qu'une action doit être réalisée en réponse à une première action. La SoD permet de sécuriser une procédure en confiant la réalisation des actions composant cette procédure à des agents différents. Différentes méthodes de modélisation de politiques de contrôle d'accès existent. L'originalité de la méthode EB3SEC issue de nos travaux repose sur deux points : • permettre d'exprimer tous les types de contraintes utilisées en CA dans un même modèle, • proposer une approche de modélisation basée sur les événements. En effet, aucune des méthodes actuelles ne présente ces deux caractéristiques, au contraire de la méthode EB3SEC. Nous avons défini un ensemble de patrons, chacun des patrons correspond à un type de contraintes de CA. Un modèle réalisé à l'aide de la méthode EB3SEC peut avoir différentes utilisations : • vérification et simulation, • implémentation. La vérification consiste à s'assurer que le modèle satisfait bien certaines propriétés, dont nous avons défini différents types. Principalement, les blocages doivent être détectés. Ils correspondent à des situations où une action n'est plus exécutable ou à des situations où plus aucune action n'est exécutable. Les méthodes actuelles des techniques de preuves par vérification de modèles ne permettent pas de vérifier les règles dynamiques de CA. Elles sont alors combinées à des méthodes de simulation. Une fois qu'un modèle a été vérifié, il peut être utilisé pour implémenter un filtre ou noyau de sécurité. Deux manières différentes ont été proposées pour réaliser cette implémentation : transformer le modèle EB3SEC vers un autre langage, tel XACML, possédant une implémentation ayant déjà atteint la maturité ou réaliser un noyau de sécurité utilisant le langage EB3SEC comme langage d'entrée. [symboles non conformes]

A l'époque de l'Internet des Objets, le nombre de dispositifs communicants ne cesse d'augmenter. Souvent, les objets connectés utilisent des bandes de fréquences « industriel, scientifique et médical (ISM) » pour effectuer les communications. Ces bandes sont disponibles sans licence, ce qui facilite le déploiement de nouveaux objets connectés. Cependant, cela mène aussi au fait que le niveau d'interférences augmente dans les bandes ISM. Les interférences ont non seulement un impact négatif sur la qualité de service, mais aussi elles causent des pertes de messages couteuses en énergie, ce qui est particulièrement nocif pour les nœuds capteurs souvent limités en énergie. Dans cette thèse, l'impact des interférences sur la consommation énergétique des nœuds est étudié expérimentalement. Les résultats de ces expérimentations sont utilisés pour estimer la durée de vie des nœuds en fonction de différents niveaux d’interférence subis. Puis, un algorithme de Radio Cognitive (RC) basé sur la technique d’ échantillonnage de Thompson est proposé et évalué par la simulation et implémentation. Les résultats montrent que l'approche proposée trouve le meilleur canal plus vite que les autres techniques. De plus, une extension multi sauts pour RC est proposée et évaluée par expérimentation lors d'une compétition EWSN Dependability Competition. Finalement, le protocole adaptatif WildMAC est proposé pour le cas d'usage du projet LIRIMA PREDNET qui consiste à surveiller des animaux sauvages. Les performances sont évaluées par simulation avec le simulateur WSNet. Les résultats montrent que la solution proposée respecte les contraintes imposées par le projet PREDNET dans la zone ciblée. / In the era of the Internet of Things, the number of connected devices is growing dramatically. Often, connected objects use Industrial, Scientific and Medical radio bands for communication. These kinds of bands are available without license, which facilitates development and implementation of new connected objects. However, it also leads to an increased level of interference in these bands. Interference not only negatively affects the Quality of Service, but also causes energy losses, which is especially unfavorable for the energy constrained Wireless Sensor Networks (WSN). In the present thesis the impact of the interference on the energy consumption of the WSN nodes is studied experimentally. The experimental results were used to estimate the lifetime of WSN nodes under conditions of different levels of interference. Then, a Thompson sampling based Cognitive Radio (CR) adaptive solution is proposed and evaluated via both, simulation and hardware implementation. Results show that this approach finds the best channel quicker than other state of the art solutions. An extension for multihop WSN was proposed for this CR solution and evaluated by hardware implementation in the framework of EWSN Dependability Competition. Finally, an adaptive WildMAC MAC layer protocol is proposed for the usecase of the LIRIMA PREDNET wildlife animal tracking project. Obtained field range test data were used to theoretically estimate cell densities and deployment zone coverage in this Low Power Widea Area Network (LPWAN). Then performance of the protocol was evaluated in WSNet simulation. The results show performance that allows to respect PREDNET project requirements with the given coverage.

Sécurisation du Contrôle d'Accès dans les Bases de Données

Les politiques permettent de définir les règles de la sécurité et de la gestion des différents composants du système. Cela implique l'emploi d'un langage pour exprimer les règles d'affaires et les règles non fonctionnelles, et de donner aux utilisateurs la possibilité de tester et de corriger les politiques. Plusieurs langages tels que XACML, Rei ou PONDER, sont utilisés pour exprimer les politiques par rapport aux objectifs du système d'information. Ces langages peuvent définir plusieurs règles et politiques, mais la plupart de ces langages ne donnent pas de mécanisme pour tester et vérifier la présence des conflits et de l'incohérence entre les politiques du système. Ce mémoire vise la vérification des politiques de contrôle d'accès. Notre approche consiste à traduire les politiques XACML sous forme d'un ensemble de machines abstraites de la méthode B. Nous exprimons aussi les propriétés à vérifier par des formules logiques. L'approche offre aux utilisateurs des moyens pour vérifier les politiques afin de s'assurer que les règles expriment bien les objectifs régissant le comportement et les interactions des systèmes gérés. Dans la première phase, les composantes des politiques XACML ont été exprimées avec des expressions formelles basées sur la logique du premier ordre. Par la suite, les outils développés pour la méthode B, comme le langage Event-B sous la plate forme Rodin, ont été utilisés pour vérifier les règles des politiques par rapport à un ensemble de propriétés que nous avons définies. Notre approche est plus flexible et permet aux utilisateurs de tester et de vérifier les règles avant l'implémentation de ces politiques. Une telle vérification est fondée sur les preuves avec logique du premier ordre, où des propriétés importantes de la politique peuvent être énoncées et prouvées. ______________________________________________________________________________ MOTS-CLÉS DE L’AUTEUR : Politique, XACML, Méthode formelle, Event-B, Vérification.

L'utilisabilité et la sécurité sont des éléments cruciaux dans le processus d'authentification des utilisateurs. L'un des défis majeurs auquel font face les organisations aujourd'hui est d'offrir des systèmes d'accès aux ressources logiques (par exemple, une application informatique) et physiques (par exemple, un bâtiment) qui soient à la fois sécurisées et utilisables. Afin d'atteindre ces objectifs, il faut d'abord mettre en œuvre les trois composantes indispensables que sont l'identification (c.-à-d., définir l'identité d'un utilisateur), l'authentification (c.-à-d., vérifier l'identité d'un utilisateur) et l'autorisation (c.-à-d., accorder des droits d'accès à un utilisateur). Plus particulièrement, la recherche en authentification de l'utilisateur est essentielle. Sans authentification, par exemple, des systèmes informatiques ne sont pas capables de vérifier si un utilisateur demandant l'accès à une ressource possède les droits de le faire. Bien que plusieurs travaux de recherche aient porté sur divers mécanismes de sécurité, très peu de recherches jusqu'à présent ont porté sur l'utilisabilité et la sécurité des méthodes d'authentification des utilisateurs. Pour cette raison, il nous paraît nécessaire de développer un protocole d'utilisabilité et de sécurité pour concevoir les méthodes d'authentification des utilisateurs. La thèse centrale de ce travail de recherche soutient qu'il y a un conflit intrinsèque entre la création de systèmes qui soient sécurisés et celle de systèmes qui soient facile d'utilisation. Cependant, l'utilisabilité et la sécurité peuvent être construites de manière synergique en utilisant des outils d'analyse et de conception qui incluent des principes d'utilisabilité et de sécurité dès l'étape d'Analyse et de Conception de la méthode d'authentification. Dans certaines situations il est possible d'améliorer simultanément l'utilisabilité et la sécurité en revisitant les décisions de conception prises dans le passé. Dans d'autres cas, il est plus avantageux d'aligner l'utilisabilité et la sécurité en changeant l'environnement régulateur dans lequel les ordinateurs opèrent. Pour cette raison, cette thèse a comme objectif principal non pas d'adresser l'utilisabilité et la sécurité postérieurement à la fabrication du produit final, mais de faire de la sécurité un résultat naturel de l'étape d'Analyse et de Conception du cycle de vie de la méthode d'authentification. ______________________________________________________________________________ MOTS-CLÉS DE L’AUTEUR : authentification de l'utilisateur, utilisabilité, sécurité informatique, contrôle d'accès.

Dans cette thèse, nous concevons trois nouveaux mécanismes d'authentification basés sur l'identité des utilisateurs. Par conséquent, nous apportons des améliorations sur le contrôle d'accès à différents types de réseaux tels que les réseaux domestiques, les réseaux gouvernementaux et les réseaux cellulaires. L'identité se base sur des gabarits biométriques publics, des chaînes de caractères simples comme l'adresses e-mail ou l'identifiant (login). La première solution concerne l'utilisation de données biométriques dans les mécanismes d'authentification des réseaux domestiques (Home Network HN). Nous voulons personnaliser l'accès de chaque utilisateur dans le HN et prévenir les utilisateurs illégitimes (en passant par la passerelle domestique " Home Gateway (HG) ") d'avoir accès aux services. Nous proposons une nouvelle méthode d'authentification biométrique qui respecte la contrainte de ne pas sauvegarder les données biométriques (Biometric Template (BT)) des utilisateurs dans le HG. Pour satisfaire cette contrainte, nous proposons d'utiliser la méthode de " Fuzzy Vault " pour cacher un secret utilisé pour l'authentification. Un logiciel génère une identité biométrique révocable (BioID) en utilisant une transformation fonctionnelle. Ce BioID est utilisé par le mécanisme du fuzzy vault pour cacher une clé de session secrète. La deuxième solution propose des mécanismes d'authentification pour les passeports biométriques (e-Passeports). Les paramètres de chiffrement sont générés en utilisant les données biométriques et, ainsi, ils seront personnalisés pour l'utilisateur. Notre proposition introduit un nouveau mécanisme d'authentification pour le passeport biométrique utilisant le protocole Diffie-Hellman de partage de clé basé sur les courbes elliptiques (ECDH). Ce protocole est nécessaire pour générer une clé de session utilisée pour authentifier le voyageur et le système d'inspection (IS) et ainsi sécuriser l'échange des données entre eux. Notre protocole peut utiliser les points "minuties" d'une empreinte digitale et le code de l'iris du détenteur du passeport électronique. Dans la troisième solution, nous avons travaillé sur le réseau cellulaire et nous avons utilisé une chaîne de caractères simple (l'adresse e-mail de l'utilisateur) comme identifiant pour accéder aux services. Nous avons choisi l'IP Multimedia Subsystem (IMS) qui est une architecture de recouvrement pour la fourniture de services multimédia, comme support. Nous avons conçu un nouveau mécanisme d'authentification aux services en utilisant la cryptographie basée sur l'identité (IBC). L'objectif était d'authentifier les utilisateurs en utilisant leurs identifiants public et privé pour surmonter les faiblesses connues du protocole "Authentication and Key Agreement (AKA) ". Nous nous sommes concentrés sur les tentatives d'écoute et d'usurpation d'identité qui peuvent avoir lieu dans le scénario classique de l'IMS et nous avons montré comment la solution proposée peut prévenir ces attaques. Nous avons ensuite proposé d'ajouter une vérification par lot au niveau du Bootstrapping Server Function (BSF) pour diminuer le délai de vérification des signatures et le temps de réponse de l'authentification.

Security is a key aspect in information systems (IS) development. One cannot build a bank IS without security in mind. In medical IS, security is one of the most important features of the software. Access control is one of many security aspects of an IS. It defines permitted or forbidden execution of system's actions by an user. Between the conception of an access control policy and its effective deployment on an IS, several steps can introduce unacceptable errors. Using formal methods may be an answer to reduce errors during the modeling of access control policies. Using the process algebra EB[superscript 3], one can formally model IS. Its extension, EB[superscript 3]SEC, was created in order to model access control policies. The ASTD notation combines Harel's Statecharts and EB[superscript 3] operators into a graphical and formal notation that can be used in order to model IS. However, both methods lack tools allowing a designer to prove or verify security properties in order to validate an access control policy. Furthermore, the implementation of an access control policy must correspond to its abstract specification. This thesis defines translation rules from EB[superscript 3] to ASTD, from ASTD to Event-B and from ASTD to B. It also introduces a formal architecture expressed using the B notation in order to enforce a policy over an IS. This modeling of access control policies in B can be used in order to prove properties, thanks to the B prover, but also to verify properties using ProB, a model checker for B. Finally, a refinement strategy for the access control policy into an implementation is proposed. B refinements are proved, this ensures that the implementation corresponds to the initial model of the access control policy.

Les systèmes de gestion de workflow font maintenant partie de l'environnement classique des grandes organisations. Ces systèmes sont cependant aujourd'hui considérés comme trop rigides et de nombreux travaux ont pour but d'introduire de la flexibilité dans la modélisation et l'exécution de leurs procédés. Dans cette problématique, la prise en compte de la flexibilité organisationnelle est une étape importante. C'est à cette dernière que nous allons nous intéresser à travers un mécanisme particulier : la délégation de tâches. En effet, la délégation est un mécanisme qui permet d'obtenir une certaine flexibilité organisationnelle dans un système de gestion de workflow. Elle permet également d'assurer une forme de délégation des autorisations dans un système de contrôle d'accès. Dans ce contexte, une délégation sécurisée de tâches implique la présence d'un ensemble d'évènements de délégation et de règles définissant les possibles délégations d'autorisation ainsi que les moyens de contrôler les politiques associées.Dans ce mémoire, nous définissons une approche sécurisée pour la délégation dynamique de tâches dans les systèmes de gestion de workflow. Pour ce faire, nous identifions les évènements spécifiques du modèle de tâches correspondant à la délégation qui entrainent des changements dynamiques de la politique d'autorisation. Puis, nous montrons comment notre approche permet de contrôler dynamiquement les autorisations liées à la délégation et comment elle peut être intégrée dans les systèmes de contrôle d'accès existants. Afin de contrôler le comportement de délégation et de spécifier ses politiques d'autorisation, nous recueillons les événements pertinents qui définissent le chemin d'exécution des tâches ainsi que les politiques générées pour la délégation. Finalement, nous proposons une technique qui automatise les politiques de délégation et qui permet d'accroître la conformité des changements dus à la délégation dans la politique d'autorisation existante / Task delegation presents one of the business process security leitmotifs. We currently observe a move away from predefined strict workflow modelling towards dynamic approaches supporting flexibility on the organisational level and dynamic authorisation on the security level. One specific approach is that of task delegation. Delegation defines a mechanism that bridges the gap between both workflow and access control systems. There are two important issues relating to delegation, namely allowing task delegation to complete, and having a secure delegation within a workflow. Delegation completion and authorisation enforcement are specified under specific constraints. Constraints are defined from the delegation context implying the presence of a fixed set of delegation events to control the delegation execution. In this dissertation, we aim to reason about delegation events to model task delegation and to specify delegation policies dynamically. To that end, we present an event-based task delegation model to monitor the delegation process. We then identify relevant events for authorisation enforcement to specify delegation policies. Subsequently, we propose a task-oriented access control model to address these requirements. Using our access control model, we analyse and specify delegation constraints into authorisation policies. Moreover, we propose a technique that automates delegation policies using event calculus to control the delegation execution and to increase the compliance of all delegation changes in the existing policy of the workflow

Les réseaux IEEE 802.11 sont, entre autres, très souvent utilisés pour se connecter à l'Internet car ils proposent une solution bon marché, facile à déployer et qui supporte la mobilité. Dans cette thèse nous considérons quatre différents aspects de la qualité de service (QoS) dans ces réseaux :<br />- Différentiation de service : Le protocole IEEE 802.11 actuel n'a aucun support de la QoS. Ainsi, tous les terminaux partagent équitablement le débit disponible. Nous proposons des mécanismes de différentiation de services au niveau MAC. Nous développons et simulons plusieurs mécanismes de différentiation pour IEEE 802.11.<br />- Environnements bruités : IEEE 802.11 utilise des fenêtres de contention pour résoudre l'accès multiple des terminaux au canal. Un terminal double la taille de sa fenêtre de contention à chaque perte de paquet.<br />Cette stratégie diminue les collisions au canal, mais augmente le surcoût des paquets, diminuant ainsi le débit. Cependant, les pertes peuvent également être dues à du bruit sur le canal. L'augmentation de la fenêtre de contention peut alors être très néfaste en termes de performance. Il convient d'augmenter la fenêtre de contention uniquement si la perte à été produite par une collision. Nous proposons une stratégie d'adaptation de la fenêtre de contention qui varie selon l'estimation de la cause de perte des paquets. <br />- Environnements congestionnés : Après chaque bonne transmission de paquet, IEEE 802.11 remet la taille de la fenêtre de contention à zéro. Cependant, dans un environnement congestionné la charge sur le canal varie lentement, et un terminal risque d'avoir le même taux de collisions et de retransmissions. Nous proposons un mécanisme basé sur une réduction de la taille de la fenêtre de contention plus lente, pouvant mieux éviter les collisions et les retransmissions. Ceci présente un gain considérable en terme de débits et de consommation d'énergie.<br />- Réseaux ad-hoc: Dans un réseau ad-hoc les paquets sont routés suivant des chemins multi-saut. Ainsi le routage est coopératif entre les différents nœuds, et le débit utile moyen disponible à chaque nœud dépend du nombre total des nœuds, des interférences et des collisions. Nous proposons un mécanisme de contrôle de débits aux sources, basé sur l'estimation des débits et des délais, pouvant optimiser les débits utiles ainsi que la consommation d'énergie.

En raison de l'émergence de XML, standard de facto d'échanges de données sur Internet, les problèmes liés à la régulation des accès aux documents XML a reçu une attention considérable ces dernières années. Les modèles de contrôle d'accès existants attachent des autorisations sur les nœuds du document XML, mais se désintéressent des associations entre les nœuds. Cependant, les arcs reliant les nœuds, tels que les associations de descendance ou de fraternité, peuvent révéler des informations aussi sensibles que les nœuds eux-mêmes. Notre travail de recherche a porté sur la définition d'un nouveau modèle de contrôle d'accès pour XML. La validation de notre travail a été faite dans un contexte applicatif très sensible, celui du dossier médical personnel (DMP). Le modèle proposé défend l'intégration des associations entre les nœuds comme des éléments de première classe dans les modèles de contrôle d'accès. Nos contributions portent sur :(1) la caractérisation de deux classes d'autorisation sur les associations (dépersonnalisation des ancêtres et réduction de chemin) en prenons en compte la dimension des associations de fraternité ;(2) la définition d'un formalisme à base de règles pour exprimer ces classes d'autorisation sur les associations en permettant leur intégration d'une façon très simple dans les modèles de contrôle d'accès existants,(3) validation de notre modèle par un prototype. <br />La mise en place de DMP auprès d'un hébergeur de données de santé pose des problèmes de confidentialité. En effet, l'hébergeur peut se révéler non fiable. Pour cette raison, nous avons étudié, également, des solutions pour sécuriser le partage des données sur des infrastructures non sûres.