Protection obligatoire des serveurs d’applications Web : application aux processus métiers

Mandatory protection of Web applications servers : usage for the workflow environments

• Auteur / Autrice : Maxime Fonda
• Direction : Christian Toinard
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 21/05/2014
• Etablissement(s) : Orléans
• Ecole(s) doctorale(s) : École doctorale Mathématiques, Informatique, Physique Théorique et Ingénierie des Systèmes (Centre-Val de Loire)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique fondamentale d'Orléans (Orléans ; 1987-....) - Laboratoire d'Informatique Fondamentale d'Orléans
• Jury : Président / Présidente : Jean-Michel Couvreur
• Jury : Examinateurs / Examinatrices : Christian Toinard, Jean-Michel Couvreur, Fabrice Bouquet, Franck Barbier, Stéphane Moinard
• Jury : Rapporteurs / Rapporteuses : Fabrice Bouquet, Franck Barbier

Mots clés

Mots clés contrôlés

Flux de travail

Systèmes informatiques -- Mesures de sûreté

Serveurs Web

Mots clés libres

Sécurité

Contrôle d’accès

Serveurs Web

Protection obligatoire

Workflows

Security

Access control

Web servers

Mandatory protection

Workflows

Résumé

Dans cette thèse, nous nous intéressons au contrôle d’accès obligatoire dans les serveurs d’applications Web. Nous présentons une approche de protection obligatoire fondée sur un modèle abstrait d’applications Web. Les modèles d’applications Web existants, comme par exemple SOA peuvent être représentés par ce modèle abstrait d’application. Notre protection obligatoire s’appuie sur un langage de protection dédié permettant d’exprimer les besoins en terme de contrôle d’accès au sein d’un serveur d’application Web. Ce langage de protection utilise notre modèle d’application pour contrôler de manière efficace les accès des sujets aux objets de l’applications Web. Nous établissons également une méthode de calcul automatisé des politiques de sécurité qui facilite donc l’administration de la protection obligatoire proposée. Une implémentation sur des environnements Microsoft basés sur le serveur Web IIS et le canevas .Net est présentée. La solution est indépendante des applications Web protégées car elle repose sur l’utilisation d’un adaptateur applicatif pour s’interfacer avec n’importe quelle application. Celle-ci est fonctionnelle sur des environnements de workflow de la société QualNet ayant co-financée cette thèse. Les expérimentations menées montrent que notre protection obligatoire supporte des environnements à grande échelle et impose une élévation faible du temps de traitement, de l’ordre de 5%, qui diminue lorsque la taille des applications augmente.

This thesis focuses on mandatory access control in Web applications server. We present a novel approach of mandatory protection based on an abstract Web application model. Existing models of Web applications such as SOA fit with our abstract model. Our mandatory protection uses a dedicated language that allows to express the security requirements of a Web application. This dedicated protection language uses our Web application model to control efficiently the accesses of the subjects to the objects of a Web application. We establish a method to automatically compute the requested security policies facilitating thus the administration of the mandatory protection. An implementation on Microsoft-based environments uses the IIS Web server and the .Net Framework. The solution is independent from the Web applications to protect since it uses an application adaptor to interface our mandatory protection with the applications. This implementation is fully running on the workflow environments from the QualNet society, that cofunded this Ph.D thesis. Experiments show that our mandatory protection supports large scale environments since the overhead is near to 5 % and decreases when the size of the application increases.