Dans cette thèse, nous nous intéressons à la spécification et à l’analyse modulaires de politiques de sécurité flexibles basées sur des règles. Nous introduisons l’utilisation du formalisme de réécriture stratégique dans ce domaine, afin que notre cadre hérite des techniques, des théorèmes, et des outils de la théorie de réécriture. Ceci nous permet d’énoncer facilement et de vérifier des propriétés importantes des politiques de sécurité telles que l’absence des conflits. En outre, nous développons des méthodes basées sur la réécriture de termes pour vérifier des propriétés plus élaborées des politiques. Ces propriétés sont la sûreté dans le contrôle d’accès et la détection des flux d’information dans des politiques obligatoires. Par ailleurs, nous montrons que les stratégies de réécriture sont importantes pour préserver des propriétés des politiques par composition. Les langages de stratégies disponibles dans des systèmes comme Tom, Stratego, Maude, ASF+SDF et Elan, nous permettent de définir plusieurs genres de combinateurs de politiques. Enfin, nous fournissons également une méthodologie pour imposer à des applications existantes, de respecter des politiques basées sur la réécriture via la programmation par aspects. Les politiques sont tissées dans le code existant, ce qui génère des programmes mettant en oeuvre des moniteurs de référence. La réutilisation des politiques et des programmes est améliorée car ils peuvent être maintenus indépendamment. / In this thesis we address the modular specification and analysis of flexible, rule-based policies. We introduce the use of the strategic rewriting formalism in this domain, such that our framework inherits techniques, theorems, and tools from the rewriting theory. This allows us to easily state and verify important policy properties such as the absence of conflicts, for instance. Moreover, we develop rewrite-based methods to verify elaborate policy properties such as the safety problem in access control and the detection of information flows in mandatory policies. We show that strategies are important to preserve policy properties under composition. The rich strategy languages available in systems like Tom, Stratego, Maude, ASF+SDF and Elan allows us to define several kinds of policy combiners. Finally, in this thesis we provide a systematic methodology to enforce rewrite-based policies on existing applications through aspect-oriented programming. Policies are weaved into the existing code, resulting in programs that implement a reference monitor for the given policy. Reuse is improved since policies and programs can be maintained independently from each other.

La thèse repose sur la comparaison des relations entre la police et d'autres organisations locales en France et en Italie, à partir de l'examen des deux cas d'étude : la ville de Grenoble, en France, et la ville de Bergamo, en Italie. La recherche repose sur quatre études ethnographiques, qui ont concerné, entre mai 2008 et mai 2012, la Direction Départementale de la Sécurité Publique de l'Isère, la Police Municipale de Grenoble, la Questura di Bergamo et la Polizia Locale di Bergamo. La recherche se fonde sur l'hypothèse qu'au niveau local, la politique locale de sécurité est le résultat d'un processus de coproduction et de négociation qui, d'une part, engage le fonctionnement interne de la police et qui, d'autre part, est liée à ses interactions avec la population et les autres organisations du territoire. La thèse interroge les effets concrets de ces relations sur l'action policière. Ce qui émerge est un système complexe, dans lesquels les besoins et les demandes de la population et des autres organisations locales se combinent avec les exigences policières et ses contraintes organisationnelles. La participation des organisations du territoire et, dans une moindre mesure, de la population influence effectivement le processus de la définition des priorités et des problèmes locaux. Leur traitement reste pourtant très dépendant des contraintes et du fonctionnement interne de l'organisation policière. Cela ne favorise pas la construction de politiques partagées et intégrées et de mécanismes de vérification et de contrôle des actions mises en œuvre, aussi bien en France, où des dispositifs spécifiques ont été mis en œuvre pour favoriser le pilotage des politiques de sécurité, qu'en Italie, où ces dispositif sont moins diffusés. / In my research I have compared the relationships between police and local organizations in France and Italy. From May 2008 to May 2012, I conducted a field research at the Direction Départementale de la Sécurité Publique de l'Isère, the Police Municipale de Grenoble, the Questura di Bergamo and the Polizia Locale di Bergamo. The hypothesis is that at a local level security policies are the result of the co-production and the negotiation between the internal police organization and the relationship between public and local organizations. The research takes into consideration the effects of these relationships and permits us to analyse a complex system, which integrates public and local organization needs with police needs and organizational ties. Citizens' participation and the involvement of local organizations have a significant influence in the process of defining problems and priorities. However, their solution depends on the internal police organization. This doesn't encourage integrated policies nor the development of control mechanisms , both in France, where specific measures have been taken to improve the direction of local policies, and in Italy, where these measures are less developed.

Cette thèse, qui s’inscrit dans le vaste domaine des politiques publiques de sécurité, a pour objet de montrer la manière dont la sécurité s’est construite, au fil des alternances politiques. Plus précisément, cette étude consiste à montrer en quoi des mouvements politiques qu’idéologies et histoire séparent en arrivent, sur les questions d’ordre et de sécurité, à se rapprocher. La réponse à cette question se décompose en deux temps. Dans un premier temps, on démontre que la sécurité s’est traditionnellement construite, notamment dans les années 1970 et 1980, à partir d’idéologies encourageant divisions et clivages. La gauche et la droite, conformément à leurs principes, ont élaboré des politiques différentes, privilégiant tantôt les libertés individuelles, tantôt l’ordre et la sécurité. Dans un deuxième temps, l’étude s’attache à montrer que l’idéologie s’est progressivement effacée au profit d’un principe de réalité plutôt fédérateur. Au fil des développements, nous défendons l’idée d’un rapprochement entre droite et gauche qui conduit à penser et construire la sécurité selon des modes opératoires plus ou moins équivalents. L’exercice et l’expérience du pouvoir, le travail des experts et les recherches, les évolutions du monde ou tout simplement « l’épreuve de la réalité », véritable moment de vérité, placent les gouvernants de droite comme de gauche aux portes d'un consensus. Ces convergences permettront, espérons-le, de rassembler les énergies pour anticiper et mieux appréhender la criminalité de demain. / This dissertation, which is part of the broad field of public security policies, strives to show how security has been built over the political pendulum. More specifically, the purpose of this study is to show how the political movements, separated by ideologies and history, are getting closer on questions of order and security. The answer to this question breaks down in two stages. Firstly, we demonstrate that the security has traditionally been built, particularly in the 1970s and 1980s, from ideologies promoting divisions and cleavages. The left and the right, in accordance with their principles, often developed different policies, sometimes favoring individual liberty, sometimes law and order. In a second step, the study strives to show that ideology has gradually cleared in favor of the unifying principle of reality instead. Throughout the developments, we advocate the idea of a merger between the right and the left which leads to envision and construct security in a more or less similar way. The exercise of power and experience it brings, the work of experts and researchers, changes in the world, or merely "the challenge of reality", the real moment of truth, put the rulers of both right and left on the outskirts of a consensus. This convergence will, hopefully, bring together the energies to better understand and anticipate tomorrow’s criminality.

Concevoir et mettre en oeuvre des méthodes pour la spécification, l'analyse et la vérification de logiciels et de systèmes sont les principaux moteurs des activités de recherche présentées dans ce manuscrit. Dans ce cadre, nos travaux se positionnent dans la catégorie dite des méthodes formelles appartenant à la communauté plus large du génie logiciel. A l'interface des travaux théoriques et applicatifs, notre objectif est de contribuer aux méthodes permettant d'assurer la correction et la sûreté des systèmes (fonctionnalité, sécurité, fiabilité, ...) en développant ou en améliorant des langages de spécification, des techniques et des outils permettant leur analyse formelle. Dans ce but, nous nous sommes attaché dans cette thèse à proposer et à étudier un cadre formel permettant la définition de politiques de sécurité et la vérification de leurs propriétés. A cet effet, nous avons proposé un cadre pour la spécification de politiques de sécurité basé sur une approche modulaire dans laquelle une politique est vue comme la composition d'un modèle de sécurité et d'une configuration. Nous avons investigué les possibilités offertes par de telles spécifications lorsque les modèles sont exprimés au moyen de contraintes du premier ordre et les configurations au moyen de programmes logiques. En particulier, nous avons proposé un algorithme permettant de transformer une politique exprimée dans un modèle donné vers une autre politique équivalente (au sens où elle engendre les mêmes autorisations) exprimée dans un autre modèle. Dans un second temps, nous nous sommes proposé de tenir compte des aspects dynamiques de la configuration d'une politique vue comme un état du système sur lequel la politique est mise en oeuvre et où chaque action est associée à une procédure de modification des états. Nous avons proposé un langage formel simple pour spécifier séparément les systèmes et les politiques de sécurité puis avons donné une sémantique des spécifications exprimées dans ce cadre sous la forme de systèmes de réécriture. Nous nous sommes ensuite attachés à montrer que les systèmes de réécriture obtenus permettent l'étude de propriétés de sécurité. Dans une troisième partie, nous nous sommes focalisé sur les mécanismes permettant la mise en oeuvre de politiques de sécurité dans les réseaux. Dans ce cadre, nous avons proposé une spécification des firewalls et de leurs compositions basée sur les automates d'arbres et les systèmes de réécriture puis avons montré en quoi ces spécifications nous permettent d'analyser de façon automatique les politiques de sécurité sous-jacentes. / Designing and applying formal methods for specifying, analyzing and verifying softwares and systems are the main driving forces behind the work presented in this manuscript. In this context, our activities fall into the category of formal methods belonging to the wider community of software engineering. At the interface between theoretical and applied research, our aim is to contribute to the methods ensuring the correction and the safety of systems (security, reliability, ...) by developing or by improving specification languages, techniques and tools allowing their formal analysis. In this purpose, we became attached in this thesis to propose and to study a formal framework allowing the specification of security policies and the verification of their properties. We first proposed a framework for specifying security policies based on a modular approach in which policies are seen as a composition of security models and configurations. We investigated the possibilities opened by such specifications when models are expressed by means of first order constraints and configurations by means of logical programs. In particular, we proposed an algorithm allowing the transformation of a security policy expressed in a given model towards another equivalent policy expressed in another model. Secondly, we suggested taking into account dynamic aspects of policy configurations which can be seen as states of the system on which the policy is applied and where each action is associated with a procedure of states modification. We proposed a simple formal language to specify separately systems and security policies and then gave a semantics of specifications expressed in this framework under the form of rewriting systems. We then attempted to show that the obtained rewriting systems allow the analysis of security properties. In the third part, we focused on mechanisms enforcing security policies in networks. In this context, we proposed a specification of firewalls and their compositions based on tree automata and rewriting systems and then showed how these specifications allow us to analyze in an automatic way the underlying security policies.

Dans cette thèse, nous nous intéressons à la spécification et à l'analyse modulaires de politiques de sécurité flexibles basées sur des règles.<br />Nous introduisons l'utilisation du formalisme de réécriture stratégique dans ce domaine, afin que notre cadre hérite des techniques, des théorèmes, et des outils de la théorie de réécriture. Ceci nous permet d'énoncer facilement et de vérifier des propriétés importantes des politiques de sécurité telles que l'absence des conflits.<br />En outre, nous développons des méthodes basées sur la réécriture de termes pour vérifier des propriétés plus élaborées des politiques. Ces propriétés sont la sûreté dans le contrôle d'accès et la détection des flux d'information dans des politiques obligatoires.<br />Par ailleurs, nous montrons que les stratégies de réécriture sont importantes pour préserver des propriétés des politiques par composition. Les langages de stratégies disponibles dans des systèmes comme Tom, Stratego, Maude, ASF+SDF et Elan, nous permettent de définir plusieurs genres de combinateurs de politiques.<br />Enfin, nous fournissons également une méthodologie pour imposer à des applications existantes, de respecter des politiques basées sur la réécriture via la programmation par aspects. Les politiques sont tissées dans le code existant, ce qui génère des programmes mettant en oeuvre des moniteurs de référence. La réutilisation des politiques et des programmes est améliorée car ils peuvent être maintenus indépendamment.

Aujourd’hui, les organisations s'appuient de plus en plus sur les systèmes d'information pour collecter, manipuler et échanger leurs données. Dans ces systèmes, la sécurité joue un rôle essentiel. En effet, toute atteinte à la sécurité peut entraîner de graves conséquences, voire détruire la réputation d'une organisation. Par conséquent, des précautions suffisantes doivent être prises en compte. De plus, il est bien connu que plus tôt un problème est détecté, moins cher et plus facile il sera à corriger. L'objectif de cette thèse est de définir les politiques de sécurité depuis les premières phases de développement et d’assurer leur déploiement correct sur une infrastructure technologique donnée.Notre approche commence par spécifier un ensemble d'exigences de sécurité, i.e. des règles statiques et dynamiques, accompagnées de l'aspect fonctionnel d'un système basé sur UML (Unified Modeling Language). L'aspect fonctionnel est exprimé par un diagramme de classes UML, les exigences de sécurité statiques sont modélisées à l'aide de diagrammes de SecureUML, et les règles dynamiques sont représentées en utilisant des diagrammes d'activités sécurisées.Ensuite, nous définissons des règles de traduction pour obtenir des spécifications B à partir de ces modèles graphiques. La traduction vise à donner une sémantique précise à ces schémas permettant ainsi de prouver l'exactitude de ces modèles et de vérifier les politiques de sécurité par rapport au modèle fonctionnel correspondant en utilisant les outils AtelierB prover et ProB animator. La spécification B obtenue est affinée successivement à une implémentation de type base de données, qui est basée sur le paradigme AOP. Les affinements B sont également prouvés pour s'assurer que l’implémentation est correcte par rapport à la spécification abstraite initiale. Le programme d’AspectJ traduit permet la séparation du code lié à la sécurité sécurité du reste de l'application. Cette approche permet d’éviter la diffusion du code de l'application, et facilite ainsi le traçage et le maintien.Enfin, nous développons un outil qui génère automatiquement la spécification B à partir des modèles UML, et la dérivation d'une implémentation d'AspectJ à partir de la spécification B affinée. L'outil aide à décharger les développeurs des tâches difficiles et à améliorer la productivité du processus de développement / Nowadays, organizations rely more and more on information systems to collect, manipulate, and exchange their relevant and sensitive data. In these systems, security plays a vital role. Indeed, any security breach may cause serious consequences, even destroy an organization's reputation. Hence, sufficient precautions should be taken into account. Moreover, it is well recognized that the earlier an error is discovered, the easier and cheaper it is debugged. The objective of this thesis is to define adequate security policies since the early development phases and ensure their correct deployment on a given technological infrastructure. Our approach starts by specifying a set of security requirements, i.e. static and dynamic rules, along with the functional aspect of a system based on the Unified Modeling Language (UML). Fundamentally, the functional aspect is expressed using a UML class diagram, the static security requirements are modeled using SecureUML diagrams, and the dynamic rules are represented using secure activity diagrams. We then define translation rules to obtain B specifications from these graphical models. The translation aims at giving a precise semantics to these diagrams, thus proving the correctness of these models and verifying security policies with respect to the related functional model using the AtelierB prover and the ProB animator. The obtained B specification is successively refined to a database-like implementation based on the AOP paradigm. The B refinements are also proved to make sure that the implementation is correct with respect to the initial abstract specification. Our translated AspectJ-based program allows separating the security enforcement code from the rest of the application. This approach avoids scattering and tangling the application's code, thus it is easier to track and maintain. Finally, we develop a tool that automates the generation of the B specification from UML-based models and of the AspectJ program connected to a relational database management system from the B implementation. The tool helps disburden developers of the difficult and error-prone task and improve the productivity of the development process

La virtualisation est une technologie dont la popularité ne cesse d’augmenter dans le monde de l’entreprise, et ce pour l’efficacité et la facilité de gestion qu’elle apporte. Cependant, le problème majeur de cette technologie est la sécurité. Dans cette thèse, nous proposons de renforcer la sécurité des systèmes virtualisés et nous introduisons de nouvelles approches pour répondre aux différents besoins en sécurité de cette technologie et aussi aux aspects liés à à son fonctionnement et son déploiement. Nous proposons une nouvelle architecture de supervision qui permet de contrôler la totalité de la plateforme virtualisée en temps réel. L’idée est de simuler une supervision décentralisée (plusieurs postes) sur un seul poste physique. Nous étudions les avantages et les limites de cette approche et nous montrons que cette solution est incapable de réagir é à un certain nombre d’attaques nouvelles. Comme remède, nous introduisons une nouvelle procédure qui permet de sécuriser les ressources critiques d’un système virtualisé pour s’assurer que des familles d’attaques ne peuvent être exécutées en ayant accès à ces ressources. Nous introduisons une variante de LTL avec de nouveaux opérateurs de passé et nous démontrons comment des politiques de sécurité formulées à l’aide de ce langage peuvent être facilement traduites en signatures d’attaques qui sont indispensables à la détection des intrusions dans le système. Nous analysons aussi l’impact d’une communication réseau non sécurisée entre machines virtuelles sur la sécurité globale du système virtualisé. Nous proposons un modèle d’une politique de sécurité multi-niveaux qui couvre la majorité des opérations liées au réseau et qui peuvent être exécutées par une machine virtuelle. Notre modèle couvre aussi des opérations de gestion de l’infrastructure virtualisée et étudie les contraintes de sécurité qui doivent être satisfaites. / Virtual machine technology is rapidly gaining acceptance as a fundamental building block in enterprise data centers. It is most known for improving efficiency and ease of management. However, the central issue of this technology is security. We propose in this thesis to enforce the security of virtualized systems and introduce new approaches that deal with different security aspects related not only to the technology itself but also to its deployment and maintenance. We first propose a new architecture that offers real-time supervision of a complete virtualized architecture. The idea is to implement decentralized supervision on one single physical host. We study the advantages and the limits of this architecture and show that it is unable to react according to some new stealthy attacks. As a remedy, we introduce a new procedure that permits to secure the sensitive resources of a virtualized system and make sure that families of attacks can not be run at all. We introduce a variant of the LTL language with new past operators and show how policies written in this language can be easily translated to attack signatures that we use to detect attacks on the system. We also analyse the impact that an insecure network communication between virtual machines can have on the global security of the virtualized system. We propose a multilevel security policy model that covers almost all the network operations that can be performed by a virtual machine. We also deal with some management operations and introduce the related constraints that must be satisfied when an operation is performed.

Les infrastructures et réseaux critiques commencent à s'ouvrir vers des architectures, protocoles et applications vulnérables. Ainsi, non seulement il est question de sécuriser ces applications (e.g., contre les attaques potentielles), mais il faut également justifier notre confiance dans les mécanismes de sécurité déployés. Pour cela, nous présentons PolyOrBAC, un cadriciel basé sur le modèle de contrôle d'accès OrBAC, les mécanismes de services Web ainsi que les contrats électroniques. Ensuite, nous préconisons l'utilisation de la Programmation Logique par Contraintes (PLC) pour détecter et résoudre les conflits éventuels dans la politique de sécurité. Au niveau de la mise en œuvre, nous proposons le protocole Q-ESP, notre amélioration d'IPSec qui assure à la fois des besoins de sécurité et de QoS. Enfin, nous présentons nos modèles et résultats de test et d'évaluation d'outils de sécurité notamment les Systèmes de Détection d'Intrusions (IDS).

L'administration de la sécurité dans les réseaux sans infrastructures est assez complexe pour être réalisée efficacement par des êtres-humains. Notre objectif est de la rendre autonome. Dans ce cadre, cette thèse propose un système autonome de contrôle d'accès. On fixe la définition d'un réseau autonome, et certaines bases de la sécurité autonome. Ensuite, on définit un type de réseau autonome, organisationnel et sans infrastructure, et on l'appelle iorg-autonet. Les nœuds d'un iorg-autonet sont catégorises en termes de fiabilité, disponibilité et capacités, ce qui leur permet d'acquérir différents rôles, dont certains donnent droit a coopérer avec d'autres nœuds pour gérer le réseau. On définit pour les iorg-autonets un modèle de contrôle d'accès base sur les relations sécurisées, et on l'appelle srbac. Ses politiques sont a appliquer quand deux nœuds, déjà relies par une relation sécurisée leur spécifiant des rôles, se communiquent. Le modèle srbac est une version développée et adaptée du modèle rbac. On propose aussi une extension du profile rbac du langage xacml v2.0 pour la spécification des politiques srbac. On définit pour srbac le modèle administratif associe asrbac pour parvenir a notre système autonome de contrôle d'accès. Le modèle asrbac est une extension du modèle administratif distribue arbac02 qui est associe au modèle rbac. Cette extension rajoute des aspects contextuels, cognitifs, adaptatifs, coopératifs et autonomes. Asrbac est base sur srbac lui-même, ce qui représente la base du comportement autonome dans notre solution. Un exemple d'un système srbac/asrbac d'un réseau domestique et un modèle de réalisation valident et matérialisent nos contributions.

La composition automatique de services web est une tâche difficile. De nombreux travaux ont considérés des modèles simplifiés d'automates qui font abstraction de la structure des messages échangés par les services. Pour le domaine des services sécurisés nous proposons une nouvelle approche pour automatiser la composition des services basée sur leurs politiques de sécurité. Étant donnés, une communauté de services et un service objectif, nous réduisons le problème de la synthèse de l'objectif à partir des services dans la communauté à un problème de sécurité, où un intrus que nous appelons médiateur doit intercepter et rediriger les messages depuis et vers la communauté de services et un service client jusqu'à atteindre un état satisfaisant pour le dernier. Nous avons implémenté notre algorithme dans la plateforme de validation du projet AVANTSSAR et nous avons testé l'outil correspondant sur plusieurs études de cas. Ensuite, nous présentons un outil qui compile les traces obtenues décrivant l'exécution d'un médiateur vers le code exécutable correspondant. Pour cela nous calculons d'abord une spécification exécutable aussi prudente que possible de son rôle dans l'orchestration. Cette spécification est exprimé en ASLan, un langage formel conçu pour la modélisation des services Web liés à des politiques de sécurité. Ensuite, nous pouvons vérifier avec des outils automatiques que la spécification ASLan obtenue vérifie certaines propriétés requises de sécurité telles que le secret et l'authentification. Si aucune faille n'est détectée, nous compilons la spécification ASLan vers une servlet Java qui peut être utilisé par le médiateur pour contrôler l'orchestration / Automatic composition of web services is a challenging task. Many works have considered simplified automata models that abstract away from the structure of messages exchanged by the services. For the domain of secured services we propose a novel approach to automated composition of services based on their security policies. Given a community of services and a goal service, we reduce the problem of composing the goal from services in the community to a security problem where an intruder we call mediator should intercept and redirect messages from the service community and a client service till reaching a satisfying state. We have implemented the algorithm in AVANTSSAR Platform and applied the tool to several case studies. Then we present a tool that compiles the obtained trace describing the execution of a the mediator into its corresponding runnable code. For that we first compute an executable specification as prudent as possible of her role in the orchestration. This specification is expressed in ASLan language, a formal language designed for modeling Web Services tied with security policies. Then we can check with automatic tools that this ASLan specification verifies some required security properties such as secrecy and authentication. If no flaw is found, we compile the specification into a Java servlet that can be used by the mediatior to lead the orchestration