Tarpits de testabilité - Relever les défis des outils statiques dans les applications Web

Testability Tarpits - Navigating the Challenges of Static Tools in Web Applications

• Auteur / Autrice : Feras Al-Kassar
• Direction : Davide Balzarotti, Luca Compagna
• Type : Thèse de doctorat
• Discipline(s) : Sciences de l'ingénieur
• Date : Soutenance le 26/06/2023
• Etablissement(s) : Sorbonne université
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-...)
• Partenaire(s) de recherche : Laboratoire : Institut EURECOM (Sophia-Antipolis, Alpes-Maritimes ; 1992-....)
• Jury : Président / Présidente : Tamara Rezk
• Jury : Examinateurs / Examinatrices : Johannes Dahse, Simone Aonzo
• Jury : Rapporteurs / Rapporteuses : Tamara Rezk, Martin Johns

Mots clés

Mots clés contrôlés

Sécurité des systèmes

Logiciels -- Développement

Codage

Applications Web

Mots clés libres

Sécurité Web

Test Web

Outil statique

Web security

Web testing

Static tool

Résumé

L'objectif de cette thèse était d'évaluer l'efficacité d'une combinaison de scanners de sécurité commerciaux et open source. Grâce à l'expérimentation, nous avons identifié divers modèles de code qui entravent la capacité des outils de pointe à analyser les projets. En détectant ces modèles au cours du cycle de développement des logiciels, notre approche peut offrir aux développeurs un retour d'information précieux sur la testabilité de leur code. En outre, elle leur permet d'évaluer plus précisément le risque résiduel que leur code puisse encore contenir des vulnérabilités, même si les analyseurs statiques ne font état d'aucune découverte. Notre approche suggère également des méthodes alternatives pour transformer le code et améliorer sa testabilité pour SAST.

The goal of this thesis was to evaluate the effectiveness of a combination of commercial and open source security scanners. Through experimentation, we identified various code patterns that hinder the ability of state-of-the-art tools to analyze projects. By detecting these patterns during the software development lifecycle, our approach can offer valuable feedback to developers regarding the testability of their code. Additionally, it enables them to more accurately evaluate the residual risk that their code might still contain vulnerabilities, even if static analyzers report no findings. Our approach also suggests alternative methods to transform the code and enhance its testability for SAST.