these doctorat une architecture de securité

Chapitre 2. Théories et Modèles
Le modèle à matrice d’accès s’implémente selon deux approches classiques du contrôle d’accès
: les capacités et les listes de contrôle d’accès (ACL).
– La représentation par capacités [72] correspond à une lecture des droits d’accès de la matrice
par ligne. Une capacité correspond à une preuve irréfutable que celui qui la détient
est autorisé à effectuer l’action désignée par la capacité sur l’objet donné. Un sujet peut
contenir plusieurs capacités. Cette approche permet au sujet de connaître l’ensemble des
objets sur lesquels il peut effectuer une action.
– La représentation par ACL correspond à une lecture des droits d’accès de la matrice par
colonne. À chaque objet est associée la liste des droits d’un sujet donné. Lors de chaque
opération, le mécanisme de contrôle d’accès vérifie que le sujet correspondant possède des
droits conformes à l’opération demandée.
Un autre principe à respecter lors de la définition des autorisations est le principe du moindre
privilège. Un objet ne doit disposer que des droits qui lui sont strictement nécessaires pour réaliser
les tâches qui lui incombent.
2.3.1 Contrôle d’accès distribué
tel-00239252, version 1 - 5 Feb 2008
Les stubs ou proxies se sont imposés comme la solution standard dans la construction de systèmes
distribués. Leur rôle est de représenter localement un objet distant et masquer de manière
transparente l’éloignement physique de l’objet qu’il représente.
Le modèle des proxies restreints [92] proposé par Clifford Neuman introduit un mécanisme
d’autorisation pour les applications distribuées. Initialement, si un principal A possède un proxy
vers un service et qu’il le passe à un principal B alors le principal B possédera les mêmes autorisations
que le principal A. Un proxy restreint est un proxy sur lequel des restrictions d’utilisations
ont été définies. Il doit être possible pour un serveur de vérifier que les restrictions associées au
proxy sont valides avant d’autoriser une opération reçue au travers de celui-ci. Une approche
similaire a été proposée dans Decentralized Jiny Security [37].
Dans [21], les auteurs présentent une autre approche dans l’utilisation de proxies sécurisés au
sein de réseaux de dispositifs mobiles. Ces dispositifs peuvent être soit logiques (un programme),
soit matériels (un capteur). Le modèle de sécurité suppose le partage entre l’appareil et le proxy
d’une clé symétrique permettant le chiffrement de leurs communications. La partage de la clé est
effectué lors de l’initialisation du dispositif.
1. Le proxy et l’utilisateur s’authentifient mutuellement et initient une communication sécurisée.
2. L’utilisateur envoie sa requête au proxy.
3. Le proxy vérifie dans la liste d’accès si l’utilisateur est autorisé à effectuer cette requête. Si
l’autorisation est accordée, la requête est émise, dans le cas contraire, un message d’erreur
est expédié à l’utilisateur.
4. L’appareil effectue l’action et renvoie une réponse au proxy.
5. Le proxy transfère la réponse à l’utilisateur.
Les proxies présentés dans ces travaux peuvent être qualifiés de proxies intelligents. En effet,
ces proxies ne se limitent pas à transférer les communications entrantes et sortantes vers l’objet
qu’ils représentent mais possèdent des fonctionnalités supplémentaires comme la possibilité de
chiffrer les communications avant de les envoyer à l’objet destinataire. Un système de gestion de
droit peut aussi être implanté à l’aide de proxies. L’obtention d’un service donc d’un proxy par
une entité tierce pouvant être limité dans le temps, il doit être possible d’imposer une durée de
validité à un proxy donné.
Cependant, introduire des mécanismes de sécurité au sein des proxies possède un effet de
bord, il faut pouvoir contrôler le proxy afin de vérifier les informations qu’il fournit et principalement
qu’il est bien un proxy vers celui qu’il prétend représenter.
10