Approches formelles de mise en oeuvre de politiques de contrôle d'accès pour des applications basées sur une architecture orientée services

Formal approaches for enforcing access control policies in service oriented architecture based applications

• Auteur / Autrice : Michel Embe Jiague
• Direction : Régine Laleau
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 12/12/2012
• Etablissement(s) : Paris Est en cotutelle avec Université de Sherbrooke
• Ecole(s) doctorale(s) : École doctorale Mathématiques, Sciences et Technologies de l'Information et de la Communication (Champs-sur-Marne, Seine-et-Marne ; 2010-2015)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'algorithmique, complexité et logique (Créteil)
• Jury : Président / Présidente : Froduald Kabanza
• Jury : Examinateurs / Examinatrices : Régine Laleau, Richard St-denis, Frédéric Gervais, Béchir Ktari
• Jury : Rapporteurs / Rapporteuses : Mohand-Said Hacid

Mots clés

Mots clés contrôlés

Filtres (informatique)

Systèmes informatiques -- Mesures de sûreté

Services Web

SOA

Systèmes d'information

Mots clés libres

Système d'information

Contrôle d'accès

Architecture orientée services

Méthode de spécification formelle

Transformation de spécifications

Interprétation de spécifications

Information system

Access control

Service oriented architecture

Formal specification method

Specification transformation

Specification transformation

Résumé

La sécurité des systèmes d'information devient un enjeu préoccupant pour les organisations tant publiques que privées, car de tels systèmes sont pour la plupart universellement accessibles à partir de navigateurs Web. Parmi tous les aspects liés à la sécurité des systèmes d'information, c'est celui de la sécurité fonctionnelle qui est étudié dans cette thèse sous l'angle de la mise en œuvre de politiques de contrôle d'accès dans une architecture orientée services. L'élément de base de la solution proposée est un modèle générique qui introduit les concepts essentiels pour la conception de gestionnaires d'exécution de politiques de contrôle d'accès et qui établit une séparation nette entre le système d'information et les mécanismes de contrôle d'accès. L'instanciation de ce modèle conduit à un cadre d'applications qui comporte, entre autres, un filtre de contrôle d'accès dynamique. Cette thèse présente également deux méthodes systématiques d'implémentation de ce filtre à partir de politiques écrites en ASTD, une notation graphique formelle basée sur les statecharts augmentés d'opérateurs d'une algèbre de processus. La notation ASTD est plus expressive que la norme RBAC et ses extensions, la solution actuellement privilégiée dans l'industrie. La première méthode repose sur une transformation de politiques de contrôle d'accès, instanciées à partir de patrons de base exprimés en ASTD, en des processus BPEL. La deuxième méthode est basée sur une interprétation de spécifications ASTD par des processus BPEL. Dans les deux cas, les processus BPEL s'exécutent dans un moteur d'exécution BPEL et interagissent avec le système d'information. Ces deux méthodes permettent une implémentation automatique d'un cadre d'applications à partir de la spécification de départ. Finalement, un prototype a été réalisé pour chacune des deux méthodes afin de montrer leur faisabilité au niveau fonctionnel et de comparer leurs performances au niveau système

Nowadays information systems are, more than ever, available through Web browsers. Therefore, they become vulnerable against attack, which has made security an important issue for public and private organizations. This thesis examines in depth one aspect of information system security, namely functional security through access-control policy enforcement, when such systems are implemented in a service-oriented architecture framework. The foundation of the proposed solution is a generic model that introduces essential concepts to design enforcement managers for access-control policies and clearly separates responsibilities between the information system and access control mechanisms. Instantiation of this model results in a general framework, which encompasses many components including a dynamic access-control filter. This thesis also presents two systematic implementation methods for the dynamic access-control filter from policies expressed in ASTD, a formal and graphical notation based on statecharts enriched with process algebra operators. The ASTD notation is more expressive than the RBAC standard and its extensions, the widely used solution in software engineering. The first method is based on the transformation of access-control policies, instantiated from ASTD patterns, into BPEL processes. The second method is based on the interpretation of ASTD specifications by BPEL processes. In these two cases, the BPEL processes are deployed and executed in a BPEL engine, and interact with the information system. Both methods allow for automatic implementation of an enforcement framework from the initial specification. Finally, prototypes have been developed to illustrate both methods and show their feasibility at the functional level and their performance