Lot 3.2 : Protection du système d'information:

Sécurisation des flux des données

Laboratoire IRIT / Equipe SIERA

François BARRERE

Abdelmalek BENZEKRI

Maud BOUTEILLIER

Romain LABORDE

2

Equipe SIERA

• Service IntEgration and netwoRk Administration

• Personnel– 12 permanents– 11 doctorants– 2 contractuels

• Trois axes de recherche– Gestion intégrée– Gestion d’environnement d’e-learning– Gestion de la sécurité

3

Géotraçabilité

• Géowine– remonter « de la bouteille à la parcelle »– Traçabilité = tracer l’historique d’un produit en

amont de la chaîne– Géotraçabilité = utilisation d'informations

géographiques associées aux données de traçabilité

4

remonter « de la bouteille à la parcelle »

Chaîne de production de l’information de (géo)traçabilité

5

Besoin de traçabilité

• L’information de géotraçabilité doit être:– Pertinente– De bonne qualité (vraie)

• Risque– Perte de crédibilité du système Géowine

Traçabilité de l’information de géotraçabilité

6

Pour la sécurité …

• D’un point de vue sécurité, c’est un problème d’intégrité

• Propriété d’intégrité– Confiance que l’on peut avoir dans une

information• Plusieurs approches

– En se basant sur la source (ex: modèle de Biba)

– En se basant sur le processus qui a généré l’information (ex: modèle de Clark & Wilson)

7

Approche basée sur les processusD

onnées contrôlées/validées

8

Système Géowine

Approche basée sur les processusD

onnées contrôlées/validées

Données

non contrôlées

Données Géowine

Données extérieures utilisées par Géowine

9

Un système distribué

10

Un système distribué

11

Contexte Géowine

• Difficultés– Hétérogénéité

• Différents membres du système Géowine indépendants• Différentes informations de géotraçabilité (composition des

informations possédées par chacun des membres)• Différentes technologies

– Flexibilité• Plusieurs participants peuvent mutualiser des ressources

informatiques• Le système doit pouvoir intégrer de nouveaux participants

• Mais …– Sécurité associée au processus de spécification du

système intégré

12

Travail 1: Analyse de la chaîne de flux de données

• Modélisation des flux d’information– les différentes informations

• Extérieures• Contrôlées et/ou produites par Géowine

– les rôles des membres• Responsabilité d’une partie des informations de

traçabilité• Vérification des données

– les dépendances entre membres, etc …

Internet

Travail 2 : Implémentation

ProoftagPortail

Géowine

Service Web

ClientService Web

Certificat = carte d’identité Infrastructure à clé publique

- Création-

Révocation

13

Travail 2 : Implémentation

ProoftagPortail

Géowine

Service Web

ClientService Web

Infrastructure à clé publique

- Création-

Révocation

Message

Message Signature

Standard W3C XML Signature

Signer

Valider certificat Vérifier SignatureSigner

Valider certificat Vérifier Signature

Signature

14

Message

Travail 2 : Implémentation

ProoftagPortail

Géowine

Service Web

ClientService Web

Infrastructure à clé publique

- Création-

Révocation

Message Signature

Message Signature

Standard W3C XML Signature

Signer

Valider certificat Vérifier SignatureSigner

Valider certificat Vérifier Signature

Journalisation Journalisation

15

Message

16

En résumé

Infrastructure à clé publiqueGEOWINE

XML Sig

XML Sig

XML Sig

Logs

Logs

Logs Logs

17

remonter l’information de géotraçabilité

Chaîne de production de l’information de (géo)traçabilité

18

Réalisations Lot 3.2

• Analyse– Modélisation chaîne de production de l’information de Géotraçabilité– Identification des besoins sécurité (problème d’intégrité distribuée

dans un système collaboratif)• Démonstrateur

– Etude/Installation d’une ICP (EJBCA) – Implémentation des fonctionnalités pour les signatures

• pour signer/vérifier les messages signés (Standard W3C XML Signature)• Pour vérifier la validité des certificats (CRL ou OCSP)

– Implémentation des fonctionnalités pour la journalisation des échanges

• Fichier texte• Serveur de journalisation SyslogNG

• Transfert de compétences– Manuels d’installation/utilisation– Formation

19

Merci de votre attention