Blockchain and access control : towards a more secure Internet of Things
Blockchain et contrôle d’accès : vers un Internet des Objets plus sécurisé
Résumé
The thesis takes place in the Internet of objects context and meets the need for security and privacy, and more specifically the authorization and token management [RFC6749, UMA, HMM15] in order to regulate interactions between objects and access to data produced by the objects. A first objective of the thesis is to position the authorization delegation with respect to other methods used for authentication and authorization management, such as those traditionally used in a classical information system. For this, the approach will raise on established formal models such as [AG13]. Another objective is to elaborate a critical state of the art on current authorization solutions, as defined in the standard solutions [RFC6749, UMA, HMM15] and as proposed in the literature [HSR14]. Two lines of research are then proposed for investigation in the doctoral thesis. One of them is to propose solutions to simplify the definition of access control rules in the context of the Internet of Things. The idea is to simplify and optimize the definition of these rules for example by defining several levels of abstraction, as done in RBAC [RBAC, BCC07]. The other line of research is to clearly identify the security risks raised by the centralized management of authorization rules which positions the authorization server as a single point of failure, and to propose solutions to reduce these risks. For this, we intend to investigate some methods emerged recently in the literature, which consists in replicating the critical information a large number of times to increase the system attack surface. For example, it could be based on the principle of BlockChain [Zys, DW13] that ensures the integrity of certain transactions (eg Bitcoin) in a fully distributed environment.
L’Internet des objets connait un développement très fort et rapide avec 1,5 milliards d’objets actuellement connectés dans le monde et une évolution estimée à 16,9% par an pour atteindre 1700 milliards de dollars US en 2020 [IDC14]. Le sujet de thèse se place dans ce contexte d’Internet des objets et répond au besoin de sécurité et de vie privée et plus précisément à la gestion des autorisations et des tokens [RFC6749, UMA, HMM15] en vue de réglementer les échanges inter-objets et l’accès aux données issues des objets. Une question centrale dans la gestion sécuritaire a trait à la définition des responsabilités de gestion des credentiels (gestion de « trust »). Le rôle de gestionnaire de « trust » est souvent assumé par un fournisseur de services, qui dans le cadre de la délivrance d’un service à ses propres clients, leur distribue des credentiels afin de sécuriser ce service. Ce type d’organisation est souvent inadapté dans l’internet des choses où le déploiement d’applications est souvent fait par des partenaires associés dans des relations d’égal à égal. Il importe donc d’identifier des modèles de gestion de « trust » adaptés à de tels modèles business. La délégation d’autorisation, qui permet à des entités business de déléguer à une tierce partie la gestion du contrôle d’accès à certaines de leur ressources apparait comme un modèle potentiellement bien adapté pour gérer la sécurité dans ce contexte. Un premier objectif consistera à positionner la délégation d’autorisation vis-à-vis d’autres méthodes de gestion des fonctions d’authentification et d’autorisation telles que celles traditionnellement utilisées dans un système d’information classique. Pour cela, la démarche prendra appui sur des modèles formels établis tels que [AG13]. Il s’agira aussi de réaliser un état de l’art sur les solutions d’autorisations actuellement définies dans les standards [RFC6749, UMA, HMM15] et proposées dans les publications scientifiques [HSR14]. Deux pistes de recherche seront ensuite explorées dans la thèse de doctorat. L’une d’elles consiste à proposer des solutions visant à simplifier la définition des règles de contrôle d’accès dans le cadre de l’Internet des objets. L’idée est de simplifier et optimiser la définition de ces règles en passant par exemple par plusieurs niveaux d’abstraction à la manière de RBAC [RBAC, BCC07]. L’autre piste consiste à clairement identifier les risques de sécurité posés par la centralisation de la gestion des règles d’autorisation qui positionne le serveur d’autorisation comme un point d’attaque central, et à proposer des solutions pour réduire ces risques. Pour cela on explorera l’intérêt de méthodes récemment apparues dans la littérature, et consistant à répliquer l’information à protéger un grand nombre de fois pour pour éliminer le risque d’attaque du système par concentration des attaques sur un point unique. On pourra par exemple s’appuyer sur le principe des BlockChain [Zys, DW13] qui permettent d’assurer l’intégrité de certaines transactions (e.g. Bitcoin) dans un contexte totalement distribué. Les contributions feront l’objet de vérifications ou preuves (simulations et/ou preuves mathématiques) et d’une preuve de concept sur la plate-forme de l’IRT-SystemX. Les contributions seront valorisées dans des conférences et journaux scientifiques de haut niveau.
| Origine | Version validée par le jury (STAR) |
|---|
Loading...