Titre de l'écran-titre (visionné le 28 février 2024) / Avec l'avènement de la technologie de la chaîne de blocs, un nouveau type de contrat appelé contrat intelligent a émergé. Les contrats intelligents sont des programmes informatiques permettant de formaliser des accords contractuels complexes tout en assurant automatiquement le respect de ces accords sans l'aide d'intermédiaires de confiance. Aujourd'hui, ils gèrent des millions de dollars en jetons numériques et effectuent des tâches quotidiennes de processus métier. Compte tenu des énormes enjeux financiers, les pirates informatiques sont plus que jamais motivés à exploiter tout bogue dans les contrats intelligents ou l'infrastructure sous-jacente. Une grande prudence est donc requise avant le déploiement des contrats intelligents, d'autant plus qu'ils deviennent immuables (*pas de possibilité de les modifier*) une fois déployés sur la chaîne de blocs. Écrire des contrats intelligents sécurisés et fiables est une tâche ardue et les méthodes existantes de sécurisation des contrats intelligents reposent largement sur l'expérience du programmeur, laissant ainsi place à des erreurs de logique et d'inattention. Dans cette thèse, nous proposons une approche novatrice basée sur la réécriture de programmes pour renforcer la sécurité des contrats intelligents. Plus précisément, étant donné un contrat intelligent *S* et une politique de sécurité *ϕ*, nous dérivons un nouveau contrat intelligent *S'* à partir de *S* et de *ϕ* de telle sorte que *S′* satisfait la politique de sécurité *ϕ* et reste correct par rapport à *S*. Le contrat *S′* (*c'est-à-dire le contrat sécurisé*) est celui qui sera en fin de compte déployé sur la chaîne de blocs. L'approche présentée utilise l'algèbre SBPA$^\textup{*}_\textup{0,1}$ qui est une variante de BPA$^\textup{*}_\textup{0,1}$ (*Basic Process Algebra*) étendue avec des variables, des environnements et des conditions pour formaliser et résoudre le problème. Le problème de trouver la version sécuritaire *S′* à partir de *S* et de *ϕ* se transforme en un problème de résolution d'un système d'équations linéaires pour lequel nous savons déjà comment extraire la solution dans un temps polynomial. Cette recherche contribue à combler le fossé dans la sécurisation des contrats intelligents et ouvre la voie à une adoption plus large de cette technologie révolutionnaire. / With the advent of blockchain technology, a new type of contract called smart contract has emerged. Smart contracts are computer programs to formalize complex contractual agreements while automatically ensuring compliance with these agreements without the help of trusted intermediaries. Today, they manage millions of dollars in digital tokens and perform daily business process tasks. Given the huge financial stakes, hackers are more motivated than ever to exploit any bugs in smart contracts or the underlying infrastructure. Great caution is therefore required before deploying smart contracts, especially since they become immutable (*no possibility to modify them*) once deployed on the blockchain. Writing secure and reliable smart contracts is a daunting task and existing methods of securing smart contracts rely heavily on the experience of the programmer, leaving room for errors of logic and carelessness. In this thesis, we propose an innovative approach based on program rewriting to strengthen the security of smart contracts. Specifically, given a smart contract *S* and a security policy *ϕ*, we derive a new smart contract *S′* from *S* and *ϕ* such that *S′* satisfies the security policy *ϕ* and remains correct with respect to *S*. The *S′* contract (*i.e. the secure contract*) is the one that will ultimately be deployed on the blockchain. The presented approach uses the algebra SBPA$^\textup{*}_\textup{0,1}$ which is a variant of BPA$^\textup{*}_\textup{0,1}$ (*Basic Process Algebra*) extended with variables, environments and conditions to formalize and solve the problem. The problem of finding the secure version *S′* from *S* and *ϕ* turns into a problem of solving a system of linear equations for which we already know how to extract the solution in polynomial time. This research helps bridge the gap in securing smart contracts and paves the way for wider adoption of this game-changing technology.

"Mémoire présenté à la Faculté des études supérieures en vue de l'obtention du grade de maîtrise en droit (LL.M.) option Nouvelles technologies de l'information" / Le développement exponentiel des réseaux informatiques a largement contribué à augmenter le volume des renseignements personnels disponibles et à remplacer les méthodes désuètes de collecte des renseignements par des méthodes plus rapides et plus efficaces. La vie privée et le contrôle sur les informations personnelles, telles que nous les connaissions il y a quelques décennies, sont des notions difficilement compatibles avec la société ouverte et commerciale comme la nôtre. Face à cette nouvelle réalité menaçante pour les droits et libertés de l'homme, il est essentiel de donner un cadre technique et légal stable qui garantisse un niveau de protection adéquat de ces données personnelles. Pour rester dans le marché ou bénéficier de la confiance des individus, les entreprises et les gouvernements doivent posséder une infrastructure de sécurité informatique efficace. Cette nouvelle donne a tendance à devenir plus qu'une simple règle de compétitivité, elle se transforme en une authentique obligation légale de protéger les données à caractère personnel par des mesures de sécurité adéquates et suffisantes. Ce mémoire aborde justement ces deux points: premièrement, l'étude du développement d'une obligation légale de sécurité et ensuite, l'encadrement juridique de la mise en place d'un programme de sécurisation des données personnelles par des mesures de sécurités qui respectent les standards minimaux imposés par les textes législatifs nationaux et internationaux. / The latest development in information networks largelly contributed to the increasing amount of personal data being collected by the public and private sector and the replacement of old fashioned collection methods by faster and cheaper techniques. Notions of privacy and control of personnal data are not as we used to know them a decade ago and they became somehow incompatible with an open and commercial society in which we live. Facing this new and dangerous reality to fondamental human rights and liberties, it is pressing to give a legal and technical stable framework insuring an adequate level of protection to personnal data. To keep a competitive position in the market and maintain individuals trust in the system, companies and governments must guarantee an efficent security infrastructure. If this feature was until now a strategie advantage, it has become an authentic legal obligation to protect personnal data by suffisant safeguards. The purpose of this work is essentially consider those two statements: the study of the development of a legal obligation to guarantee the security of personnal data and the legal backing for the implementation of a security policy respecting minimal standards imposed by national and international laws.

No description available.

L'établissement de la confiance est un problème qui se pose en permanence dans la vie quotidienne. Nous avons toujours besoin d'évaluer la confiance que l'on a en quelqu'un avant de décider d'entreprendre une action avec. Il s'agit bien évidemment d'une question très importante pour les applications de l'Internet où il est de plus en plus rare d'engager une transaction avec des personnes ou des entités que l'on connaîtrait au préalable. La confiance est un élément clé pour le développement et le bon fonctionnement des applications d’e-commerce et par extension de tous les services qui amènent à des interactions avec des inconnus.Le but de cette thèse est de proposer une infrastructure de gestion de la confiance qui permette à chaque participant d'exprimer sa propre politique de confiance ; politique qui guidera le comportement des applications qui fournissent ou qui permettent d'accéder à des services. Cette infrastructure met en œuvre des mécanismes de négociation qui vont permettre d'établir une confiance mutuelle entre les différents participants d'une transaction. Un des points importants de notre proposition est d'offrir un langage d'expression des politiques qui permet d'utiliser toutes les sources d'informations disponibles telles que les qualifications (credentials), la notion de réputation, de recommandation, de risque pour exprimersa politique de confiance. / Trust establishment is an important problem which often arises everyday. We need to assess the trust in someone or something before making decisions on their actions. It is also a very important problem for Internet applications where participants of a system are virtual entities. The trust establishment is a key factor for e-commerce applications and services which involve interactions with unknown users.The objective of this thesis is to build an infrastructure for trust management which allows each participant to express his own security policy. The security policy is a way for the participant to define his own access control to his own resources and services. The infrastructure provides a trust negotiation mechanism that allows two participants to establish a mutual trust between them for interactions.The important point of our proposal of an infrastructure for trust management is that we use all available information such as credentials (signed certificates), reputations, recommendations or risk information about the peer to make decisions on trust. All these factors are expressed in the security policy by using our proposed policy language.

Le développement exponentiel des réseaux informatiques a largement contribué à augmenter le volume des renseignements personnels disponibles et à remplacer les méthodes désuètes de collecte des renseignements par des méthodes plus rapides et plus efficaces. La vie privée et le contrôle sur les informations personnelles, telles que nous les connaissions il y a quelques décennies, sont des notions difficilement compatibles avec la société ouverte et commerciale comme la nôtre. Face à cette nouvelle réalité menaçante pour les droits et libertés de l'homme, il est essentiel de donner un cadre technique et légal stable qui garantisse un niveau de protection adéquat de ces données personnelles. Pour rester dans le marché ou bénéficier de la confiance des individus, les entreprises et les gouvernements doivent posséder une infrastructure de sécurité informatique efficace. Cette nouvelle donne a tendance à devenir plus qu'une simple règle de compétitivité, elle se transforme en une authentique obligation légale de protéger les données à caractère personnel par des mesures de sécurité adéquates et suffisantes. Ce mémoire aborde justement ces deux points: premièrement, l'étude du développement d'une obligation légale de sécurité et ensuite, l'encadrement juridique de la mise en place d'un programme de sécurisation des données personnelles par des mesures de sécurités qui respectent les standards minimaux imposés par les textes législatifs nationaux et internationaux. / The latest development in information networks largelly contributed to the increasing amount of personal data being collected by the public and private sector and the replacement of old fashioned collection methods by faster and cheaper techniques. Notions of privacy and control of personnal data are not as we used to know them a decade ago and they became somehow incompatible with an open and commercial society in which we live. Facing this new and dangerous reality to fondamental human rights and liberties, it is pressing to give a legal and technical stable framework insuring an adequate level of protection to personnal data. To keep a competitive position in the market and maintain individuals trust in the system, companies and governments must guarantee an efficent security infrastructure. If this feature was until now a strategie advantage, it has become an authentic legal obligation to protect personnal data by suffisant safeguards. The purpose of this work is essentially consider those two statements: the study of the development of a legal obligation to guarantee the security of personnal data and the legal backing for the implementation of a security policy respecting minimal standards imposed by national and international laws. / "Mémoire présenté à la Faculté des études supérieures en vue de l'obtention du grade de maîtrise en droit (LL.M.) option Nouvelles technologies de l'information"

Thèse numérisée par la Division de la gestion de documents et des archives de l'Université de Montréal

La sécurité des services informatiques d'aujourd'hui dépend significativement de la bonne configuration des systèmes qui sont de plus en plus distribués. Au même temps, la gestion des configurations de sécurité est encore fortement basée sur des activités humaines, qui sont coûteuses et sujettes à erreurs. Au cours de la dernière décennie, il a été reporté à plusieurs reprises qu'une partie significative des incidents de sécurité et des pertes de données a été causée par des configurations incorrectes des systèmes. Pour résoudre ce problème, plusieurs techniques ont été proposées pour automatiser les tâches de gestion des configurations. Beaucoup d'entre elles mettent l'accent sur les phases de planification et de mise en œuvre, où les exigences et les politiques de sécurité abstraites sont conçues, harmonisées et transformées dans des configurations concrètes. Ces techniques nécessitent souvent d'opérer sur des politiques formelles ou très structurées qui se prêtent à un raisonnement automatisé, mais qui sont rarement disponibles dans la pratique. Cependant, moins d'attention a été consacrée aux phases de gestion de suivi et de changement des configurations, qui complètent les étapes précédentes en détectant et en corrigeant les erreurs afin d'assurer que les changements de configuration n'exposent pas le système à des menaces de sécurité. Les objectifs et les contributions de cette thèse se concentrent sur ce deuxième point de vue, de façon pragmatique sur la base des configurations de sécurité concrètes. En particulier, nous proposons trois contributions visant à analyser et à vérifier des configurations de sécurité

Garantir la sécurité d’une application tout au long de son cycle de vie est une tâche fastidieuse. Le choix, l’implémentation et l’évaluation des solutions de sécurité est difficile et sujette a des erreurs. Les compétences en sécurité ne sont pas répondues dans toutes les équipes de développement. Afin de réduire ce manque de compétences en sécurité, les développeurs ont a leurs disposition une multitude de documents décrivant des problèmes de sécurité et des solutions requises (i.e., vulnérabilités, attaques, principes de sécurité, patrons sécurité, etc.). Abstraites et informelles, ces documents sont fournis par des sources différentes et leur nombre est en constante croissance. Les développeurs sont noyés dans une multitude de documents ce qui fait obstruction à leur capacité à choisir, implémenter et évaluer la sécurité d’une application. Cette thèse aborde ces questions et propose un ensemble de méthodes pour aider les développeurs à choisir, implémenter et évaluer les solutions de sécurité face aux problèmes de sécurité. Ces problèmes sont matérialisés par les failles, les vulnérabilités, les attaques, etc. et les solutions fournies par des patrons de sécurité. Cette thèse introduit en premier une méthode pour aider les développeurs dans l’implémentation de patrons de sécurité et l’estimation de leur efficacité face aux vulnérabilités. Puis elle présente trois méthodes associant les patrons de sécurité, les vulnérabilités, les attaques, etc. au sein d’une base de connaissance. Cette dernière permet une extraction automatique de classifications de patrons et améliore la rapidité et la précision des développeurs dans le choix des patrons de sécurité face à une vulnérabilité ou une attaque. En utilisant la base de connaissance, nous présentons une méthode pour aider les développeurs dans la modélisation des menaces ainsi que la générations et l’exécution des cas de test de sécurité. La méthode est évaluée et les résultats montrent que la méthode améliore l’efficacité, la compréhensibilité et la précision des développeurs dans le choix des patrons de sécurité et d’écriture des cas de test de sécurité. / Ensuring the security of an application through its life cycle is a tedious task. The choice, the implementation and the evaluation of security solutions is difficult and error prone. Security skills are not common in development teams. To overcome the lack of security skills, developers and designers are provided with a plethora of documents about security problems and solutions (i.e, vulnerabilities, attacks, security principles, security patterns, etc.). Abstract and informal, these documents are provided by different sources, and their number is constantly growing. Developers are drown in a sea of documentation, which inhibits their capacity to design, implement, and the evaluate the overall application security. This thesis tackles these issues and presents a set of approaches to help designers in the choice, the implementation and the evaluation of security solutions required to overcome security problems. The problems are materialized by weaknesses, vulnerabilities, attacks, etc. and security solutions are given by security patterns.This thesis first introduces a method to guide designers implement security patterns and assess their effectiveness against vulnerabilities. Then, we present three methods associating security patterns, attacks, weaknesses, etc. in a knowledge base. This allows automated extraction of classifications and help designers quickly and accurately select security patterns required to cure a weakness or to overcome an attack. Based on this nowledge base, we detaila method to help designers in threat modeling and security test generation and execution. The method is evaluated and results show that the method enhances the comprehensibility and the accuracy of developers in the security solutions choice, threat modeling and in the writing of security test cases.

Le but de cette étude est de clarifier le rôle de la publicité dans les stratégies de prévention des accidents, à travers l’examen des campagnes québécoises de 1978 à 2011. Elle utilise une analyse discursive de type qualitatif et de nature exploratoire qui procède d’une méthode mixte, ancrée aux intersections de la sociologie des problèmes publics et de la communication-marketing. Elle compare ce que les gestionnaires savent du rôle et des effets de leur communication à ce qu’ils en disent et à ce qu’ils en font. Elle interprète les résultats au filtre de quatre approches du problème : une modélisation de l’approche dissuasive, une modélisation des principaux effets de la publicité, une revue de la littérature empirique sur l’efficacité des publicités en sécurité routière et l’analyse dramaturgique que le sociologue Gusfield a développée pour étudier la construction sociale du problème de l’alcool au volant. Il en ressort que la sécurité routière est un problème que l’État québécois a choisi de gérer préventivement par le recours à diverses stratégies de contrôle social, mais toujours avec la contrainte comme variable clé de l’amélioration du bilan routier et l’acceptation de la contrainte comme modérateur de la relation, voire comme médiateur de tous les modérateurs. La publicité sociale est surtout apte à faire que la population connaisse un problème (notoriété) et l'envisage de la manière voulue (familiarité avec les causes suggérées et les solutions promues). Elle est utilisée en agenda setting pour obtenir que la population atteigne un tel niveau d’intolérance (upset outrage) qu’elle endossera l’imposition de mesures toujours plus drastiques. La promotion de la conversion libre et éclairée aux comportements sécuritaires (fonction manifeste de la publicité) est un échec programmé, le moyen de susciter des attentes irréalistes qui doivent se transformer en intolérances proportionnelles que l’État peut ensuite satisfaire en introduisant de nouvelles contraintes (fonction latente de la publicité). En satisfaisant une demande dont on ne voit pas qu’il l’a créée, l’État obtient que ses nouvelles contraintes soient perçues comme légitimes, condition nécessaire pour qu’elles soient effectivement appliquées et pour qu’elles produisent leur plein effet dissuasif. / The purpose of this study is to clarify the role of advertising in accident prevention strategies through the review of its usage and impacts in Quebec from 1978 to 2011. It uses a discursive analysis, qualitative and exploratory in nature, which proceeds from a mixed method, anchored at the intersection of sociology of public problems and of marketing communications. It compares what managers know about the role and impact of their communication to what they say about it and what they do. Results are filtered and interpreted through four approaches of this specific problem: a model of the deterrence approach, a model of the main effects of advertising, a review of empirical literature on the effectiveness of road safety advertisements and the dramaturgical analysis developed by Gusfield to study the social construction of the drunk driving problem. It appears that road safety is an issue that the Quebec government manages in a preventive manner by using various strategies of social control, but always with constraint as a key variable to the improvement of road safety record and the acceptance of constraint as moderator of the relationship, and potentially as mediator of all moderators. Advertising is especially powerful to raise awareness of a social problem and build familiarity (acceptance of suggested causes and solutions promoted). It is used as an agenda setting tool, to create an upset outrage and thus a public endorsement of government’s ever more drastic solutions. Promoting free and informed conversion to safe road behaviours (manifest function of advertising) is a programmed failure aimed to raise the unrealistic and deceptive expectations that give way to proportional intolerances and public acceptance of new constraints (latent function of advertising). By satisfying a demand it has discretely created, State obtains legitimacy for its new constraints, a necessary condition for their effective implementation and full deterrent effect.

Ce mémoire s’intéresse à l’objet et au champ d’application de la Loi sur la santé et la sécurité du travail (LSST). Ce mémoire soutient que cette loi québécoise vise à protéger, non seulement les travailleurs, mais également : 1) d’autres personnes qui sont au travail et 2) les personnes autres que celles qui sont au travail, c’est-à-dire le public en général. En ce sens, la déclaration d’objet de la LSST, énoncée à son article 2, est incomplète et n’embrasse pas l’ensemble de son dispositif. De plus, ce mémoire reconsidère les limites du champ d’application de la LSST. Au sujet de sa dimension personnelle, est mise à mal l’idée que la présence de travailleurs est essentielle à l’application de cette loi. Au sujet de sa dimension territoriale, est réitérée l’idée que la LSST déborde du strict lieu de l’établissement et s’étend à tout lieu de travail. Enfin, émerge de la loi une dimension circonstancielle inédite reposant sur l’activité de travail. Cette dimension transcende les dimensions territoriale et personnelle, mais n’est pas bien définie et n’est pas pleinement concrétisée dans la loi. Elle parait néanmoins favoriser davantage la réalisation de l’objet de la LSST. Ces constats sur l’objet et le champ d’application émergent d’abord d’un examen de l’ensemble du texte de la LSST et de ses règlements. Ils s’expliquent également par les origines et l’historique des lois relatives à la santé et à la sécurité du travail. Malgré qu’ils soient confortés par les droits fondamentaux contenus dans les documents nationaux et internationaux en droit du travail et plus largement en matière de droit à la vie ainsi qu’à la sureté, à l’intégrité de la personne, ces constats se heurtent néanmoins au libellé de plusieurs dispositions de la LSST qui réfèrent strictement au « travailleur ». Les règles d’interprétation et les principes de droit administratif ne peuvent redresser pleinement cette situation. En définitive, ce mémoire invite le législateur à modifier la LSST afin d’améliorer la protection de la santé, de la sécurité et de l’intégrité physique de toute personne dans la réalisation d’activités de travail : l’objet fondamental de cette loi. / This thesis focuses on the object and scope of application of the Act respecting occupational health and safety (AOHS). It maintains that the purpose of this Quebec legislation is to protect not only workers, but also: 1) other persons at work and 2) persons other than those at work, namely the public at large. In this sense, the stated object of the AOHS, as worded in section 2, is incomplete and does not encompass its entire purpose. Moreover, this thesis re-examines the limits of the scope of application of the AOHS. With regard to the individual dimension of the Act, this thesis challenges the idea that the presence of workers is essential to its application. As for its territorial dimension, this thesis reiterates the idea that the AOHS goes beyond the strictly defined workplace itself and extends to any place where work is carried out. Finally, from the Act there emerges a new circumstantial dimension – based on work activity – that transcends the territorial and individual dimensions, but is not well defined and not fully reflected in the Act. However, this dimension would appear to further foster the achievement of the objectives of the AOHS. These findings regarding the object and scope of application are based, first of all, on an examination of the entire text of the Act and its attendant regulations. They are also explained by the origins and history of laws relating to occupational health and safety. Although these findings are supported by the fundamental rights stated in national and international labour law instruments and, more broadly, in legislation relating to the right to life and to personal security and inviolability, they nevertheless clash with the wording of many of the provisions of the AOHS, which refer strictly to “workers.” The rules of interpretation and the principles of administrative law cannot fully remedy this situation. Ultimately, this thesis invites the legislator to amend the AOHS to improve the protection of the health, safety and physical well-being of all individuals in the achievement of work activities, which is the fundamental object of this Act.