these doctorat une architecture de securité

Section 6.7. Modèle à composants hiérarchiques et distribués
torisations nécessaires qui lui seront demandés lors du redémarrage de l’application. Dans le
cas contraire, l’application ne pourrait être redémarrée même si le mécanisme de tolérance aux
pannes aurait été en mesure de la redémarrer.
Dans la taxonomie des pannes que nous avons présenté précédemment, il est intéressant de
se pencher également sur le cas des pannes byzantines. Il est admis que, dans ce type de panne,
le processus défaillant peut-être amené à exécuter n’importe quelle action et notamment acquérir
un comportement malveillant. Dans notre cas, ce processus malveillant est représenté par un
objet actif. Si on considère que la panne n’affecte que le comportement métier de l’objet actif et
pas son gestionnaire de sécurité qui appartient au niveau méta, alors ce dernier est capable de
contenir certains des agissements de l’objet actif malveillant selon la politique de sécurité de l’application
et dans la limite des interactions gérées par un gestionnaire de sécurité. Effectivement,
le comportement malveillant ne peut être contenu s’il s’agit d’actions non perceptibles par le gestionnaire
de sécurité (occupation totale du processeur ou de la mémoire, écriture sur le disque,
modification des données internes de l’objet). Cette limitation n’est pas dû à notre modèle mais
plutôt à son implantation au-dessus de la machine virtuelle qui n’offre pas les fonctionnalités
et/ou les informations nécessaires pour surveiller et contrôler finement l’exécution d’un processus
java (thread).
tel-00239252, version 1 - 5 Feb 2008
Par exemple, considérons qu’un objet actif ait été déconnecté du reste de son application et
que suite à cette déconnexion, il ait acquis un comportement malveillant qui consiste à :
– scanner tous les registres disponibles à la recherche d’objets actifs ;
– une fois un objet actif trouvé, il essaie dans un premier temps de communiquer avec cet
objet puis de migrer vers cet objet.
Dans ce cas, nous nous trouvons face à des interactions sur lesquelles le gestionnaire de sécurité
peut intervenir. Ce dernier, comme dans le cas standard, n’autorisera l’objet actif à communiquer
ou à migrer que selon la politique qu’il aura établi en fonction de l’objet actif cible.
Pour conclure, nous avons montré dans cette section qu’il était possible de combiner deux comportements
non fonctionnels (tolérance aux pannes et mécanisme de sécurité) présents au sein de
la bibliothèque. Cette combinaison est possible notamment grâce à la propriété de transparence
que possède le mécanisme de sécurité vis-à-vis des autres fonctionnalités, son utilisation étant
implicite lors de l’utilisation de communications entre objets actifs.
6.7 Modèle à composants hiérarchiques et distribués
La conception, le développement et la maintenance d’applications distribuées à large échelle
confrontent développeurs et administrateurs à des contraintes de réutilisation de code existants
dans des contextes différents, de configurations de logiciels et matériels dans des contextes matériels
et logiciels amenés à évoluer au cours du temps. La programmation de ces applications a
été influencée par divers modèles tels que la programmation modulaire, la programmation objet
et finalement l’utilisation de composants logiciels. Il n’existe pas une définition universelle du
composant logiciel, cependant une définition généralement admise est celle donnée par J. Harris
en 1995 :
Définition 13 Composant logiciel :
Un composant est un morceau de logiciel assez petit pour qu’on puisse le créer et le maintenir,
et assez grand pour qu’on puisse l’installer et en assurer le support. De plus, il doit être doté
d’interfaces standards pour pouvoir interopérer avec des entités tierces.
Dans son approche de bibliothèque pour la construction d’applications pour les grilles de calcul,
ProActive propose un modèle de composants basé sur le modèle de composants Fractal [20].
Le modèle à composant Fractal fournit une vision homogène du logiciel en définissant un ensemble
réduit de concepts tels que composants, contrôleur, contenu, interface et binding. Sa
principale innovation réside dans la définition récursive de la définition de la structure d’un
composant.
117