La baisse de confiance accordée aux serveurs traditionnels de bases de données et aux hébergeurs de bases de données (Database Service Providers) ainsi que l'intérêt croissant pour la distribution sélective de données sont différents facteurs qui amènent à migrer le contrôle d'accès du serveur vers les terminaux clients. Plusieurs schémas de chiffrement et de dissémination de clés ont été proposés dans ce but mais en compilant les règles de contrôle d'accès dans le processus de chiffrement, ils imposent tous un partage statique des données. L'apparition de composants matériels sécurisés sur divers terminaux clients permet de lever cette limitation en permettant de concevoir de nouveaux schémas dynamiques de contrôle d'accès sur le client. Cette thèse présente un évaluateur sécurisé de politiques de contrôle d'accès flexibles et dynamiques sur des documents XML. Cet évaluateur est embarqué dans un composant matériel sécurisé et doit par conséquent s'adapter à des contraintes matérielles spécifiques. Il tire pour cela parti d'un index dédié pour converger rapidement vers les parties autorisées d'un document arrivant éventuellement en flux sur le terminal client. Des mécanismes supplémentaires de sécurité garantissent que le document d'entrée est protégé contre toute forme de modification illicite et d'attaque de rejeu. La viabilité de notre approche est montrée dans divers contextes applicatifs sur des cartes à puces actuelles et est validée par des mesures de performance.

Dans cette thèse, nous nous intéressons à la spécification et à l'analyse modulaires de politiques de sécurité flexibles basées sur des règles.<br />Nous introduisons l'utilisation du formalisme de réécriture stratégique dans ce domaine, afin que notre cadre hérite des techniques, des théorèmes, et des outils de la théorie de réécriture. Ceci nous permet d'énoncer facilement et de vérifier des propriétés importantes des politiques de sécurité telles que l'absence des conflits.<br />En outre, nous développons des méthodes basées sur la réécriture de termes pour vérifier des propriétés plus élaborées des politiques. Ces propriétés sont la sûreté dans le contrôle d'accès et la détection des flux d'information dans des politiques obligatoires.<br />Par ailleurs, nous montrons que les stratégies de réécriture sont importantes pour préserver des propriétés des politiques par composition. Les langages de stratégies disponibles dans des systèmes comme Tom, Stratego, Maude, ASF+SDF et Elan, nous permettent de définir plusieurs genres de combinateurs de politiques.<br />Enfin, nous fournissons également une méthodologie pour imposer à des applications existantes, de respecter des politiques basées sur la réécriture via la programmation par aspects. Les politiques sont tissées dans le code existant, ce qui génère des programmes mettant en oeuvre des moniteurs de référence. La réutilisation des politiques et des programmes est améliorée car ils peuvent être maintenus indépendamment.

Un système à mémoire virtuelle répartie unique permet l'utilisation des adresses virtuelles comme identificateurs globaux uniques. Il faut donc séparer la résolution des adresses et le contrôle d'accès, parce qu'une adresse virtuelle est potentiellement visible par toute application dans le système. Nous proposons un modèle de contrôle d'accès pour une mémoire virtuelle répartie unique qui se base sur le modèle à capacités cachées. Le modèle se base sur les notions suivantes : la capacité (un droit d'accès simple), le domaine de protection (définit le contexte de protection par l'ensemble des capacités disponibles dans le domaine) et l'appel de changement de domaine (qui permet d'appeler une procédure désignée dans un autre domaine de protection). Deux principes de base sont très importants pour le modèle : l'utilisation des capacités confinées et la délégation contrôlée à travers des interfaces de protection. Les interfaces de protection permettent une séparation entre la spécification de la protection et le code de l'application. L'évaluation de notre modèle indique qu'il permet de réaliser la plupart des modèles de contrôle d'accès existants y compris le modèle mandataire de Bell & LaPadula. Le modèle à capacités cachées a été réalisé dans Arias, une mémoire virtuelle répartie unique conçue et développée au sein du projet SIRAC. Les expériences avec cette réalisation montrent que la séparation entre la spécification de la protection et le code de l'application facilite la réutilisation logicielle et l'évolution de l'application. L'efficacité d'un appel de changement de domaine correspond à celui d'un appel RPC standard.

Nous présentons dans cette thèse un nouveau modèle de contrôle d'accès dénommé Or-BAC, Organization Based Access Control. Il vise à pallier les limites des modèles de sécurité existants tout en simplifiant la spécification d'une politique de sécurité. Nous proposons un modèle plus riche et plus modulaire qui permet de distinguer la rédaction de la politique de sécurité de son implantation. Ceci est rendu possible par l'abstraction des entités traditionnelles du contrôle d'accès: les sujets sont employés dans des rôles, les objets sont utilisés dans des vues et les actions implémentent des activités. De plus l'organisation dans laquelle un règlement de sécurité est défini prend une place centrale dans ce nouveau modèle. On peut ainsi analyser l'interopérabilité d'organisations ayant chacune leur politique de sécurité et par ailleurs modéliser la structure des organisations. Trois autres aspects sont détaillés dans ce mémoire. Premièrement, afin d'obtenir un règlement de sécurité dynamique, nous intégrons une large variété de contextes. De tels contextes permettent d'activer ou de désactiver des autorisations. Deuxièmement, nous offrons la possibilité d'exprimer des autorisations négatives et définissons une méthode de gestion des conflits entre autorisations positives et négatives qui a la particularité d'être paramétrable et de permettre de détecter et surtout de prévenir les conflits. Enfin, nous associons à notre modèle un modèle d'administration, AdOr-BAC, qui permet de gérer l'ensemble d'une politique de sécurité Or-BAC de façon flexible et décentralisée. Nous présentons également deux travaux de mise en œuvre: l'adaptation de notre modèle dans un environnement réseau et le développement d'OToKit, une maquette de saisie et de validation d'une politique de sécurité Or-BAC.

Avec l'arrivée des systèmes auto-organisés tels que les réseaux ad hoc ou l'informatique diffuse, les protocoles de sécurité doivent répondre à de nouveaux besoins. Dans ce travail nous étudions comment une relation de confiance peut être établie entre des entités qui ne se connaissent pas a priori. Nous proposons des protocoles de sécurité permettant à une entité de garder un historique de ses interactions: après chaque interaction, une preuve est délivrée par exemple sous la forme d'une recommandation ou d'une preuve d'interaction. Chaque preuve concernant une entité est stockée par celle-ci dans son historique. Les preuves peuvent être sélectivement démontrées, lorsqu'il est nécessaire de dévoiler une partie de son historique pour établir une relation de confiance. Prouver son historique à différentes entités révèle en général trop d'information et des mécanismes pour protéger la vie privée des utilisateurs sont nécessaires. Dans ce but, nous proposons un mécanisme de certificat non traçable qui empêche de faire le lien entre plusieurs preuves et qui protège l'anonymat des utilisateurs. Ce schéma est une extension des signatures de groupe où le signataire n'est plus un membre anonyme d'un groupe mais le détenteur d'un historique. Un autre besoin récurrent de l'informatique diffuse est la création d'un lien entre les entités virtuelles et le monde physique qui les entoure. Dans ce but, nous proposons les preuves de proximité qui combinent une mesure de distance et de la cryptographie dans le but de vérifier la proximité d'une entité connaissant un secret, par exemple une clé privée. Ce mécanisme peut être utilisé durant une interaction pour obtenir une preuve de cette interaction ou une preuve de localisation. Finalement, nous combinons ces deux mécanismes pour définir une architecture dédiée à l'établissement de confiance basé sur un historique. Ce schéma nous permet de confirmer la thèse qu'il est possible d'établir une relation de confiance en protégeant sa vie privée. Les résultats d'une première implémentation sont également discutés.

Les travaux effectués dans de cadre de cette thèse s'intéressent à la problématique du test de sécurité des applications, en considérant la validation des mécanismes de sécurité interne à un système d'une part, puis la sécurité des interfaces web d'autre part. Pour la partie interne, nous avons comparé, dans un premier temps, l'utilisation du test fonctionnel et des tests de sécurité pour valider les mécanismes implémentant une politique de contrôle d'accès. Dans ce cadre, l'analyse de mutation a été adaptée pour qualifier et évaluer les tests. Nous avons ensuite proposé trois méthodologies pour tester les mécanismes de contrôle d'accès: - utilisation du pair-wise pour générer les tests de sécurité, - sélection et transformation des tests fonctionnels en tests de sécurité - détection de mécanismes de sécurité cachés qui nuisent à la flexibilité et l'évolutivivité du système. Concernant le test des interfaces web, visant non seulement à tester le code validant les entrées de l'utilisateur mais aussi protéger les applications web, nous avons proposé une nouvelle approche qui tire profit du test par contournement (bypass-testing) et qui permet de protéger les applications web contre ce type d'attaques. Cette approche a été concrétisée dans un outil permettant à la fois l'audit et la sécurisation des applications web. L'ensemble de ces travaux a conduit à réfléchir à de nouvelles méthodologies de développement garantissant une meilleure qualité et une meilleure testabilité des mécanismes de contrôle d'accès. L'ingénierie des modèles (IDM) a été exploitée pour automatiser la spécification et le déploiement semi-automatisé des politiques de contrôle d'accès, et offrir par analyse de mutation un moyen de certification générique des tests de sécurité. Enfin, la composition de modèles permet d'automatiser l'intégration des mécanismes de sécurité, et surtout la reconfiguration automatique du système en cas d'évolution de la politique de sécurité.

Les systèmes de gestion de workflow font maintenant partie de l'environnement classique des grandes organisations. Ces systèmes sont cependant aujourd'hui considérés comme trop rigides et de nombreux travaux ont pour but d'introduire de la flexibilité dans la modélisation et l'exécution de leurs procédés. Dans cette problématique, la prise en compte de la flexibilité organisationnelle est une étape importante. C'est à cette dernière que nous allons nous intéresser à travers un mécanisme particulier : la délégation de tâches. En effet, la délégation est un mécanisme qui permet d'obtenir une certaine flexibilité organisationnelle dans un système de gestion de workflow. Elle permet également d'assurer une forme de délégation des autorisations dans un système de contrôle d'accès. Dans ce contexte, une délégation sécurisée de tâches implique la présence d'un ensemble d'évènements de délégation et de règles définissant les possibles délégations d'autorisation ainsi que les moyens de contrôler les politiques associées. Dans ce mémoire, nous définissons une approche sécurisée pour la délégation dynamique de tâches dans les systèmes de gestion de workflow. Pour ce faire, nous identifions les évènements spécifiques du modèle de tâches correspondant à la délégation qui entrainent des changements dynamiques de la politique d'autorisation. Puis, nous montrons comment notre approche permet de contrôler dynamiquement les autorisations liées à la délégation et comment elle peut être intégrée dans les systèmes de contrôle d'accès existants. Afin de contrôler le comportement de délégation et de spécifier ses politiques d'autorisation, nous recueillons les événements pertinents qui définissent le chemin d'exécution des tâches ainsi que les politiques générées pour la délégation. Finalement, nous proposons une technique qui automatise les politiques de délégation et qui permet d'accroître la conformité des changements dus à la délégation dans la politique d'autorisation existante.

Actuellement, la technologie des services Web évolue rapidement, en étant soutenue par les grands acteurs du domaine des systèmes d'information. Les applications basés sur services Web sont faiblement couplées et utilisables de façon automatique via l'utilisation d'un ensemble de normes basées sur XML. Hormis la description syntaxique des messages, il est nécessaire d'avoir une description sémantique du comportement des services. En effet, lors de la conception d'un service ou lors d'une composition de services, il est important de vérifier la conformité avec un cahier des charges. L'enrichissement des descriptions des services par l'inclusion de leurs comportements est de plus en plus important. Ce comportement peut être décrit par des protocoles métier représentant les séquences possibles d'échanges de messages. Les services Web utilisent des politiques de contrôle d'accès (ACP) pour restreindre l'accès à des consommateurs autorisés. Ces politiques doivent faire partie de la description du service. Dans cette thèse, l'analyse d'interopérabilité en termes de contrôle d'accès après la formalisation des services Web annotés avec les politiques de contrôle d'accès est réalisée. Nous présentons une approche pour intégrer les outils de vérification dans l'architecture de contrôle d'accès de façon à garantir une interaction sans erreurs. Les politiques et les crédits sont présentés comme une ontologie afin de bénéficier de la flexibilité offerte par subsomption sur des concepts. La chorégraphie des services Web est utilisée dans la phase de conception d'applications pair à pair complexes dans lesquelles chaque pair peut être implémenté par un service Web. Par conséquent, la sélection des services Web pour l'implémentation de chorégraphie en utilisant l'approche de vérification de compatibilité avec contrôle d'accès est l'un des objectifs de notre recherche. Dans ce travail, les modèles de protocole métier du service Web sont étendus en ajoutant des informations au message sur chaque transition du service dans lequel ce message sera envoyé ou reçu. Nous définissons et vérifions la compatibilité des services Web afin de voir si (et comment) plusieurs services peuvent avoir des interactions en fonction de leurs protocoles. Cette approche aidera les concepteurs à choisir des services Web de manière simple et à vérifier s'ils peuvent mettre en œuvre la chorégraphie nécessaire en vérifiant la compatibilité avec notre approche.

Au cours des dernières années, l'évolution rapide des réseaux a provoqué une explosion de la diversité et du nombre des équipements gérés et, par conséquent, du nombre de plateformes de supervision de réseaux. Chacune de ces plateformes induit un environnement de gestion à la fois clos de part la spécificité de son architecture et de son protocole de communication mais également non isolé de part la nature des ressources gérées. En effet, bien qu'hétérogènes, les modèles de données de ces plateformes se recouvrent au moins partiellement. Il s'ensuit un fort problème de sécurité puisque chacune de ces plateformes de supervision met en œuvre sa propre architecture de sécurité avec ses paramètres associés. Le problème apparaît également au sein d'une même plateforme qui autoriserait plusieurs modèles de sécurité ou plusieurs protocoles sous-jacents. Jusqu'à maintenant, il n'y a pas eu de véritable réflexion sur les conséquences de cet environnement et les solutions envisageables. Dans cette thèse, nous proposons des architectures inter-plateformes de distribution automatique des droits d'accès de façon à limiter les différences de permissions et aboutir à une meilleure cohérence des politiques de sécurité. Nous définissons également un modèle de vérification des droits d'accès pour assurer une cohérence locale au sein d'un même équipement. Ce modèle exprime dans un référentiel commun des politiques hétérogènes de façon à en extraire les différences de permissions. Nous avons également étendu le protocole Netconf avec un modèle de contrôle d'accès basé sur les rôles. Cette proposition a été implantée et a donné lieu à étude de l'impact des règles d'accès et des services de sécurité mis en œuvre sur les performances.

Dans cette thèse, nous nous intéressons au contrôle d'accès obligatoire dans les serveurs d'applications Web. Nous présentons une approche de protection obligatoire fondée sur un modèle abstrait d'applications Web. Les modèles d'applications Web existants, comme par exemple SOA peuvent être représentés par ce modèle abstrait d'application. Notre protection obligatoire s'appuie sur un langage de protection dédié permettant d'exprimer les besoins en terme de contrôle d'accès au sein d'un serveur d'application Web. Ce langage de protection utilise notre modèle d'application pour contrôler de manière efficace les accès des sujets aux objets de l'applications Web. Nous établissons également une méthode de calcul automatisé des politiques de sécurité qui facilite donc l'administration de la protection obligatoire proposée. Une implémentation sur des environnements Microsoft basés sur le serveur Web IIS et le canevas .Net est présentée. La solution est indépendante des applications Web protégées car elle repose sur l'utilisation d'un adaptateur applicatif pour s'interfacer avec n'importe quelle application. Celle-ci est fonctionnelle sur des environnements de workflow de la société QualNet ayant co-financée cette thèse. Les expérimentations menées montrent que notre protection obligatoire supporte des environnements à grande échelle et impose une élévation faible du temps de traitement, de l'ordre de 5%, qui diminue lorsque la taille des applications augmente.