The widespread usage of computing devices is eroding the individual's right to privacy. Pervasive computing environments, where users interact with a number of computing devices unconscious of their presence, harm user privacy by generating digital trails of every ordinary user activity. Privacy protection is thus a critical factor for the success of pervasive computing applications. <br><br>Service oriented pervasive computing, where resources and applications are modeled as services, offers a compelling implementation of pervasive computing. In service oriented computing, applications can more easily handle the openness, heterogeneity and dynamics typical of pervasive computing environments. Realization of this view requires a service-oriented middleware that provides the basic features for provision and consumption of pervasive services: namely, service access, service discovery and service composition. The service-oriented middleware is particularly critical for privacy protection in service oriented pervasive computing since privacy vulnerabilities at the middleware layer affect any application using the middleware. <br><br>In this thesis, we study how a service oriented middleware affects the privacy of users in pervasive computing environments. Our contribution is a privacy-enhanced middleware that increases privacy protection during service access, discovery and composition. The middleware provides a service access protocol that enables nodes to communicate privately without the problems of public key encryption. The protocol splits messages through multiple paths that resist to attackers controlling a certain number of nodes or networks. It also provides a privacy-enhanced service discovery protocol that uses encoded service descriptions to protect personal information and that reduces the trust requirements of service directories. Since different service descriptions can generate the same encoded data, attackers are unable to identify the original service from the encoded description in service announcements and requests. Finally, the middleware provides a service composition mechanism that allows users to compare the privacy impact of executing service compositions that are functionally equivalent but define different partitions of data among service providers, thus enabling selection of the composition that causes the smallest impact on user privacy. The middleware features are implemented and evaluated in terms of performance and effectiveness. <br><br>Our middleware architecture facilitates the development of service-oriented pervasive applications that respect the privacy of individuals. Since the middleware handles the privacy issues introduced by the underlying software platform, applications can focus on application-specific mechanisms for privacy protection. Users that consume services on top of this middleware are also able to more effectively protect their privacy, since they can rely on middleware provided functionalities to better control personal information disclosure.

Avec l'arrivée des systèmes auto-organisés tels que les réseaux ad hoc ou l'informatique diffuse, les protocoles de sécurité doivent répondre à de nouveaux besoins. Dans ce travail nous étudions comment une relation de confiance peut être établie entre des entités qui ne se connaissent pas a priori. Nous proposons des protocoles de sécurité permettant à une entité de garder un historique de ses interactions: après chaque interaction, une preuve est délivrée par exemple sous la forme d'une recommandation ou d'une preuve d'interaction. Chaque preuve concernant une entité est stockée par celle-ci dans son historique. Les preuves peuvent être sélectivement démontrées, lorsqu'il est nécessaire de dévoiler une partie de son historique pour établir une relation de confiance. Prouver son historique à différentes entités révèle en général trop d'information et des mécanismes pour protéger la vie privée des utilisateurs sont nécessaires. Dans ce but, nous proposons un mécanisme de certificat non traçable qui empêche de faire le lien entre plusieurs preuves et qui protège l'anonymat des utilisateurs. Ce schéma est une extension des signatures de groupe où le signataire n'est plus un membre anonyme d'un groupe mais le détenteur d'un historique. Un autre besoin récurrent de l'informatique diffuse est la création d'un lien entre les entités virtuelles et le monde physique qui les entoure. Dans ce but, nous proposons les preuves de proximité qui combinent une mesure de distance et de la cryptographie dans le but de vérifier la proximité d'une entité connaissant un secret, par exemple une clé privée. Ce mécanisme peut être utilisé durant une interaction pour obtenir une preuve de cette interaction ou une preuve de localisation. Finalement, nous combinons ces deux mécanismes pour définir une architecture dédiée à l'établissement de confiance basé sur un historique. Ce schéma nous permet de confirmer la thèse qu'il est possible d'établir une relation de confiance en protégeant sa vie privée. Les résultats d'une première implémentation sont également discutés.

La question de sécurité a toujours constitué un défi pour les chercheurs dans le domaine des réseaux de communication. L’apparition de nouveaux paradigmes, applications et des technologies d’un côté ; l’ubiquité et l’hétérogénéité des entités communicantes d’un autre côté, ont induit des problèmes de sécurité très complexes. Les préjudices engendrés sur la vie privée des utilisateurs peuvent être irréparables. D’abord, nous avons proposé une approche systémique et cognitive permettant d’inclure les aspects de sécurité d’Internet des Objets (IdO) dans un cadre cohérent. Comparé à l’approche analytique, elle peut manquer de rigueur théorique, mais reste flexible et utilisable dans la prise de décision dans l’environnement ubiquitaire d’IdO. Ensuite, nous avons défini des questions liées aux menaces accidentelles ou intentionnelles, pouvant arriver en cas de compromission de données privées échangées. La caractérisation du problème a eu lieu en étudiant les concepts fondamentaux dans IdO et les travaux de recherche effectués dans le contexte de la sécurité. En examinant les différents travaux de recherche, nous avons constaté que plusieurs solutions classiques restent applicables de point de vue sécurité mais sont limitées par des contraintes d’énergie, de mémoire et de capacité de calcul. Pour y remédier, nous avons visé à construire une réponse pragmatique en utilisant la théorie des jeux. L’avantage de cette approche réside dans ses bases mathématiques et formelles solides permettant d’atteindre les meilleurs équilibres. Après, nous avons justifié analytiquement nos choix portant sur des éléments essentiels de notre système, leurs interactions et leurs objectifs. Nous avons utilisé un calcul probabiliste basé sur un processus Markovien. Dans notre approche, nous avons défini trois scénarios différents (e-santé, commerce et transport intelligent), deux acteurs principaux (DH : Data Holder, et DR : Data Requester), ayant des comportements de types différents (trusted-regular, trusted-curious, untrusted-curious et untrusted-malicious), et un ensemble de stratégies dépendant de quatre paramètres (moyens de communication, détection d’attaque, motivation financière, et concession sur les données privées). Enfin, nous avons montré l’existence d’un équilibre du jeu avec une valeur de motivation financière et un niveau de protection des données privées satisfaisants, et en calculant les probabilités correspondantes. Nous avons validé notre modèle en obtenant des résultats numériques conformes à ceux tirés du modèle théorique. / Security questions have always constituted a research challenge in the field of communication networks. The appearance of new paradigms, concepts, applications and technologies from one hand, and the ubiquity and the heterogeneity of the communicating entities from another hand, led to new complex problems of security. In some cases, the damages caused to the private life of every user can be irreparable. First, we propose a systemic and cognitive approach to include all Internet of Things (henceforth IoT) security aspects in a coherent framework. Compared to the analytic approach, our vision may lack theoretical rigor, but remains a flexible approach that may be required during decision making in ubiquitous environment. Next, we identify precise questions related to accidental or intentional threats, which may lead to private data breach during their exchange over networks. Then, we characterize the privacy problem by studying the fundamental concepts of IoT and the research activities related to security. By examining the related research work, it has been noticed that several classical solutions remain applicable but are limited by energy constraints, memory space, and calculation capacities. To overcome this problem, we propose a logical and controllable solution based on game theory approach. The advantage of this choice resides in its solid mathematical and formal basis. Then, we analytically explain the choice of the main system components, their interactions and their objectives. We used a probabilistic approach using a Markovian process, where we define three different application scenarios (e-health, trade and intelligent transport), two main actors (private data owner and requester) with different player’s types (trusted-regular, trusted-curious, untrusted-curious and untrusted-malicious), and a set of strategies depending on communication facilities, attack detection, incentive motivation and privacy concession. Finally, we evaluate the model by demonstrating the existence of an equilibrium solution with a satisfactory value of incentive motivation and data privacy concession, and by calculating the final state probabilities. We validate the proposed model through numerical results obtained from the theoretical model.

Les bénéfices engendrés par les études statistiques sur les données personnelles des individus sont nombreux, que ce soit dans le médical, l'énergie ou la gestion du trafic urbain pour n'en citer que quelques-uns. Les initiatives publiques de smart-disclosure et d'ouverture des données rendent ces études statistiques indispensables pour les institutions et industries tout autour du globe. Cependant, ces calculs peuvent exposer les données personnelles des individus, portant ainsi atteinte à leur vie privée. Les individus sont alors de plus en plus réticent à participer à des études statistiques malgré les protections garanties par les instituts. Pour retrouver la confiance des individus, il devient nécessaire de proposer dessolutions de user empowerment, c'est-à-dire permettre à chaque utilisateur de contrôler les paramètres de protection des données personnelles les concernant qui sont utilisées pour des calculs.Cette thèse développe donc un nouveau concept d'anonymisation personnalisé, basé sur la généralisation de données et sur le user empowerment.En premier lieu, ce manuscrit propose une nouvelle approche mettant en avant la personnalisation des protections de la vie privée par les individus, lors de calculs d'agrégation dans une base de données. De cette façon les individus peuvent fournir des données de précision variable, en fonction de leur perception du risque. De plus, nous utilisons une architecture décentralisée basée sur du matériel sécurisé assurant ainsi les garanties de respect de la vie privée tout au long des opérations d'agrégation.En deuxième lieu, ce manuscrit étudie la personnalisations des garanties d'anonymat lors de la publication de jeux de données anonymisés. Nous proposons l'adaptation d'heuristiques existantes ainsi qu'une nouvelle approche basée sur la programmation par contraintes. Des expérimentations ont été menées pour étudier l'impact d’une telle personnalisation sur la qualité des données. Les contraintes d’anonymat ont été construites et simulées de façon réaliste en se basant sur des résultats d'études sociologiques. / The benefit of performing Big data computations over individual’s microdata is manifold, in the medical, energy or transportation fields to cite only a few, and this interest is growing with the emergence of smart-disclosure initiatives around the world. However, these computations often expose microdata to privacy leakages, explaining the reluctance of individuals to participate in studies despite the privacy guarantees promised by statistical institutes. To regain indivuals’trust, it becomes essential to propose user empowerment solutions, that is to say allowing individuals to control the privacy parameter used to make computations over their microdata.This work proposes a novel concept of personalized anonymisation based on data generalization and user empowerment.Firstly, this manuscript proposes a novel approach to push personalized privacy guarantees in the processing of database queries so that individuals can disclose different amounts of information (i.e. data at different levels of accuracy) depending on their own perception of the risk. Moreover, we propose a decentralized computing infrastructure based on secure hardware enforcing these personalized privacy guarantees all along the query execution process.Secondly, this manuscript studies the personalization of anonymity guarantees when publishing data. We propose the adaptation of existing heuristics and a new approach based on constraint programming. Experiments have been done to show the impact of such personalization on the data quality. Individuals’privacy constraints have been built and realistically using social statistic studies

La protection des données et de la vie privée des personnes est devenue aujourd’hui un enjeu majeur pour les entreprises et les organisations gouvernementales qui collectent et entreposent les données à caractère personnel. L’adoption d’une politique de sécurité est un impératif. Plusieurs modèles de contrôle d’accès sont proposés dans la littérature pour guider les utilisateurs dans la mise en oeuvre de leurs politiques de sécurité. Chacun de ces modèles a ses forces et faiblesses. Les systèmes de contrôle d’accès mis en place s’érigent souvent en de véritables obstacles, rendant inefficace le travail de leurs utilisateurs. Il convient de mieux connaître les modèles de contrôles d’accès avant de les implémenter. Ce mémoire présente une étude complète des modèles de contrôle d’accès RBAC, XACML et SGAC, en dégageant les enjeux auxquels les utilisateurs devront s’attendre en adoptant ces modèles. RBAC et XACML ont été normalisés respectivement par ANSI et OASIS et sont actuellement les modèles dominants dans l’industrie et dans le monde de la recherche. SGAC est un modèle proposé à la suite d’une étude, pour implémenter le contrôle d’accès aux dossiers médicaux au profit du réseau de santé de Sherbrooke. Les récentes études ont montré que c’est dans le domaine de la santé que les violations de la vie privée sont plus fréquentes. Le mémoire présente aussi les principales exigences d’un système de contrôle d’accès dans le domaine de la santé. Sur la base des exigences identifiées, il propose une évaluation des modèles de contrôle d’accès étudiés, et fournit une comparaison de ces modèles.

Ce travail de thèse a pour objectif de renforcer la protection de la vie privée dans l'édition collaborative de documents dématérialisés. Une première partie de notre travail a consisté en l'élaboration d'un modèle sécurisé d'éditeur collaboratif de documents. La confidentialité des documents est assurée grâce à un contrôle d'accès décentralisé. Une seconde partie a été de protéger l'identité des utilisateurs communicants en assurant leur anonymat lors de l'édition des documents. Notre concept d'éditeur collaboratif est fondé sur l'utilisation d'ensembles de modifications apportées à un document, que nous nommons deltas, lesquels définissent des versions du document. Les deltas permettent de conserver l'historique des modifications successives. Lorsqu'une nouvelle version d'un document apparait, seul le nouveau delta qui en découle doit être transmis et stocké : les documents sont ainsi distribués à travers un ensemble de sites de stockage. Cela permet, d'une part, d'alléger la charge du gestionnaire des versions des documents, et d'autre part, d'améliorer la sécurité générale. La récupération décentralisée d'une nouvelle version nécessite seulement celle des deltas manquants par rapport à une version précédente; elle est donc moins coûteuse que la récupération du document en entier. L'information du lien entre les deltas est enregistrée directement avec les deltas et non dans une table ou dans un objet de métadonnées ce qui améliore leur sécurité. La gestion des versions est faite afin de maintenir une cohérence entre les versions. / This thesis aims to strengthen the protection of privacy of authors in collaborative editing of electronic documents. The first part of our work consisted in the design a secured model for a collaborative document editor. Documents' confidentiality is ensured through a decentralized access control mechanism. A second part of the work was to protect the identity of communicating users by ensuring their anonymity during collaborative document editing. Our concept of collaborative editor is based on the use of sets of modifications for a document, which we call textit{deltas}. Thus, deltas define versions of the document and they can keep the history of subsequent modifications. When a new version of a document appears, only the new delta that results must be transmitted and stored : documents are thus distributed across a set of storage sites (servers). We show how this allows, first, to reduce the load of document version control system, and secondly, to improve overall security of the collaborative system. Decentralized recovery of a new version requires only recovery of appropriate deltas against a previous version and is therefore more efficient than recovering the entire document. The information of the link between deltas is stored directly with deltas and not in a table or a metadata object, that improves their security. The version control system maintains consistency between versions. Once a user has retrieved versions, she holds them in local, and the history can be accessed at any time without being necessary to connect to the central server. Deltas can be identified, indexed and maintained their integrity through the use of hash functions.

Le partage d'informations dans les systèmes de réseaux sociaux (SRS) suscite des inquiétudes concernant de possibles abus impactant la vie privée. La possibilité pour les utilisateurs de contrôler les informations qu'ils partagent avec le fournisseur de SRS et avec les autres utilisateurs peut être améliorée par la décentralisation des données personnelles et par une gestion appropriée des conflits entre politiques. Prenant son inspiration dans l'approche de décentralisation, la première contribution de cette thèse est la proposition de propriétés relevant de la conception du SRS et impactant la vie privée lorsqu'elles sont considérées par rapport à une gradation de la décentralisation. Ces propriétés ont été organises dans une grille d'analyse multicritères conçue pour analyser et comparer les SRS. L'application de la théorie des treillis à cette grille permet d'évaluer, de classifier et de visualiser différents SRS dans une hiérarchie partielle. Alors que la décentralisation résoudre des problèmes impliquant le fournisseur de SRS, les politiques de vie privée jouent un rôle majeur dans la protection contre les accès non autorisés par d'autres utilisateurs. La seconde contribution de cette thèse consiste en l'introduction du concept d'équité dans le contexte de la gestion des conflits entre politiques. Un algorithme conçu pour maintenir l'équité entre les utilisateurs de SRS est introduit pour résoudre les conflits pouvant survenir entre les politiques de plusieurs utilisateurs, évitant que certains puissent gagner un avantage sur d'autres. L'évaluation montre que l'approche introduite dans cette thèse conduit à de meilleurs résultats que les stratégies classiques de résolution de conflits, réduisant ainsi les iniquités existantes en termes d'application des politiques. / In Social Network Systems (SNSs), the sharing of information leads to many privacy concerns about potential abuses of personal information. Users’ control over information shared with the SNS provider and with other users could be improved in SNSs through the decentralization of personal data, and the proper management of policy conflicts. Inspired by the decentralization approach, the firrst contribution of this thesis is the proposal of SNS design properties relevant to privacy when considered along a gradation of decentralization. These properties are organized in a multi-criteria analysis grid, designed to analyze and compare SNSs. The application of a lattice structure on this grid allows to evaluate, classify and visualize different SNSs within a partial hierarchy. While decentralization solves issues involving the SNS provider, privacy policies play a leading role in the protection of unauthorized data access from other users. The second contribution of this thesis consists in the introduction of the concept of equity in the context of policy conflict management. An algorithm to maintain equity between users in SNSs is introduced to solve conflicts that may arise between the privacy policies of several users, avoiding that some users take advantage over others. The evaluation shows that the equity approach introduced in this thesis leads to better results than classical conflict resolution strategies, reducing existing inequities in terms of policy enforcement.

L'évolution rapide du web a changé la façon dont l'information est créée, distribuée, évaluée et consommée. L'utilisateur est dorénavant mis au centre du web en devenant le générateur de contenu le plus prolifique. Pour évoluer dans le flot d'informations, les utilisateurs ont besoin de filtrer le contenu en fonction de leurs centres d'intérêts. Pour bénéficier de contenus personnalisés, les utilisateurs font appel aux réseaux sociaux ou aux systèmes de recommandations exploitant leurs informations privées. Cependant, ces systèmes posent des problèmes de passage à l'échelle, ne prennent pas en compte la nature dynamique de l'information et soulèvent de multiples questions d'un point de vue de la vie privée. Dans cette thèse, nous exploitons les architectures pair-à-pair pour implémenter des systèmes de recommandations pour la dissémination personnalisée des news. Une approche pair-à-pair permet un passage à l'échelle naturel et évite qu'une entité centrale contrôle tous les profils des utilisateurs. Cependant, l'absence de connaissance globale fait appel à des schémas de filtrage collaboratif qui doivent palier les informations partielles et dynamiques des utilisateurs. De plus, ce schéma de filtrage doit pouvoir respecter la vie privée des utilisateurs. La première contribution de cette thèse démontre la faisabilité d'un système de recommandation de news totalement distribué. Le système proposé maintient dynamiquement un réseau social implicit pour chaque utilisateur basé sur les opinions qu'il exprime à propos des news reçues. Les news sont disséminées au travers d'un protocole épidémique hétérogène qui (1) biaise l'orientation des cibles et (2) amplifie la dissémination de chaque news en fonction du niveau d'intérêt qu'elle suscite. Ensuite, pour améliorer la vie privée des utilisateurs, nous proposons des mécanismes d'offuscation permettant de cacher le profil exact des utilisateurs sans trop dégrader la qualité de la recommandation fournie. Enfin, nous explorons un nouveau modèle tirant parti des avantages des systèmes distribués tout en conservant une architecture centralisée. Cette solution hybride et générique permet de démocratiser les systèmes de recommandations en offrant aux fournisseurs de contenu un système de personnalisation à faible coût.

Dans ce mémoire nous proposons des systèmes de communication anonyme à faible latence. Pour cela nous étudions les performances des systèmes basés sur les primitives classiques : envoi superposé ou bourrage chiffré pour l'émission, et diffusion avec adressage implicite pour la réception, quand les groupes d'utilisateurs potentiels sont contraints à être de petite taille, peu changeants, ou localisés. Nous proposons l'utilisation des protocoles de récupération d'informations privée (ou protocoles PIR pour Private Information Retrieval) comme alternative à la diffusion avec adressage implicite, et nous étudions les systèmes en résultant. Ces systèmes permettent de réduire significativement le coût des communications, au prix d'un coût calculatoire important. Au moyen d'exemples, nous montrons que ces nouvelles solutions offrent un meilleur choix dans certaines situations, notamment pour les utilisateurs connectés au service par Internet. Dans un deuxième temps, nous mettons en avant les relations entre les différentes techniques et montrons que les systèmes basés sur les primitives classiques ne sont en fait que des instances d'une famille qui, par l'utilisation de la récupération d'informations privée, devient nombreuse et polyvalente. Ainsi, on dispose de beaucoup plus de degrés de liberté pour l'implémentation de solutions fournissant des communications anonymes dans le cadre des groupes d'utilisateurs sous contraintes.

Le partage d'informations dans les systèmes de réseaux sociaux (SRS) suscite des inquiétudes concernant de possibles abus impactant la vie privée. La possibilité pour les utilisateurs de contrôler les informations qu'ils partagent avec le fournisseur de SRS et avec les autres utilisateurs peut être améliorée par la décentralisation des données personnelles et par une gestion appropriée des conflits entre politiques. Prenant son inspiration dans l'approche de décentralisation, la première contribution de cette thèse est la proposition de propriétés relevant de la conception du SRS et impactant la vie privée lorsqu'elles sont considérées par rapport à une gradation de la décentralisation. Ces propriétés ont été organises dans une grille d'analyse multicritères conçue pour analyser et comparer les SRS. L'application de la théorie des treillis à cette grille permet d'évaluer, de classifier et de visualiser différents SRS dans une hiérarchie partielle. Alors que la décentralisation résoudre des problèmes impliquant le fournisseur de SRS, les politiques de vie privée jouent un rôle majeur dans la protection contre les accès non autorisés par d'autres utilisateurs. La seconde contribution de cette thèse consiste en l'introduction du concept d'équité dans le contexte de la gestion des conflits entre politiques. Un algorithme conçu pour maintenir l'équité entre les utilisateurs de SRS est introduit pour résoudre les conflits pouvant survenir entre les politiques de plusieurs utilisateurs, évitant que certains puissent gagner un avantage sur d'autres. L'évaluation montre que l'approche introduite dans cette thèse conduit à de meilleurs résultats que les stratégies classiques de résolution de conflits, réduisant ainsi les iniquités existantes en termes d'application des politiques. / In Social Network Systems (SNSs), the sharing of information leads to many privacy concerns about potential abuses of personal information. Users’ control over information shared with the SNS provider and with other users could be improved in SNSs through the decentralization of personal data, and the proper management of policy conflicts. Inspired by the decentralization approach, the firrst contribution of this thesis is the proposal of SNS design properties relevant to privacy when considered along a gradation of decentralization. These properties are organized in a multi-criteria analysis grid, designed to analyze and compare SNSs. The application of a lattice structure on this grid allows to evaluate, classify and visualize different SNSs within a partial hierarchy. While decentralization solves issues involving the SNS provider, privacy policies play a leading role in the protection of unauthorized data access from other users. The second contribution of this thesis consists in the introduction of the concept of equity in the context of policy conflict management. An algorithm to maintain equity between users in SNSs is introduced to solve conflicts that may arise between the privacy policies of several users, avoiding that some users take advantage over others. The evaluation shows that the equity approach introduced in this thesis leads to better results than classical conflict resolution strategies, reducing existing inequities in terms of policy enforcement.