Projet : LANDE - lande

<body bgcolor="#FFFFFF" text="#000000" link="#9944EE" vlink= "#0000FF" alink="#00FF00"> <h2><a name="SECTION00073000000000000000" id= "SECTION00073000000000000000">Action Java-Sécurité</a></h2>  <a name="LANDE_contrats_module-15" id= "LANDE_contrats_module-15"></a> <p><a name="action-vip" id="action-vip"></a><br /> <br /> <span class="textbf">Participants :</span> Marc Eluard, Thomas Jensen.<br /> <br /></p> <p><strong>Mots clés :</strong> <i>téléchargement, vérification, analyse, sécurité, sûreté, chargement dynamique, visibilité, typage, Java .</i></p> <h3>Résumé :</h3> <div class="ABSTRACT"> <i>Dans le cadre de l'action <small>VIP</small> du <small>GIE</small> Dyade, nous avons proposé une formalisation de la sémantique de certains aspects du langage Java et Java Card. Nous nous sommes focalisés en ce qui concerne Java sur les règles de visibilité (des classes et de leurs membres) et leur évolution lors du chargement dynamique de classes et en ce qui concerne Java Card sur le pare-feu et les objets partageables qui servent à sécuriser la communication entre applettes installées sur une carte à puce multi-applicative.</i> </div> <p>Nous participons à l'action <small>VIP</small> du <small>GIE</small> Bull-Inria Dyade. Le thème de cette collaboration est la formalisation de certains aspects de la sémantique de Java et la preuve de propriétés de sécurité de programmes (cf. module <a href= "resul_module-11_Toc.html#analyse-et-securite">6.2.3</a>). L'étude des problèmes de sécurité (au sens de confidentialité et d'intégrité notamment) dans le contexte du langage Java représente un défi de première importance pour plusieurs raisons :</p> <ul> <li>La sûreté (au sens du typage) et la sécurité sont présentées comme des arguments pour la promotion d'un langage qui a vocation à être utilisé dans des contextes mettant en jeu des coopérations entre des codes issus de sites différents.</li> <li>Le langage inclut des caractéristiques complexes (comme le chargement dynamique ou des règles de visibilité inhabituelles) qui justifient le besoin de définition formelle. Une telle définition permettrait de clarifier certains aspects du langage et servirait de base à un raisonnement rigoureux sur des propriétés cruciales comme la sûreté du typage ou la garantie de politiques de sécurité.</li> <li>Le développement de Java Card, la version de Java dédiée aux cartes à puces, augmente encore l'importance des défis cités plus haut et permet de les aborder dans un cadre restreint, permettant l'application de techniques (analyse, preuve) plus sophistiquées.</li> </ul> <p>Nous nous sommes attaqués à cette formalisation en nous focalisant sur les règles de visibilité (des classes et de leurs membres) et leur évolution lors du chargement dynamique de classes. Il s'agit en effet de caractéristiques particulières de Java qui ont un impact direct sur la sécurité et dont les définitions informelles ne sont pas exemptes d'ambiguïtés ou d'insuffisances. Cette formalisation en terme de systèmes d'inférence nous a permis de décrire de manière rigoureuse l'origine d'une erreur de sécurité qui avait été découverte empiriquement par des chercheurs d'<small>ATT</small>.</p> <p>Nous avons ensuite étudié comment décrire formellement le pare-feu de Java Card. La spécification du langage Java Card comprend la description d'un pare-feu entre les applettes installées sur une carte. Ce pare-feu garantit par défaut une séparation totale entre différentes applettes mais il peut être contourné en s'appuyant sur la notion d'<span class= "textit">objets partagées</span> qui permettent d'échanger des objets entre applettes. Afin d'analyser les conséquences en matière de sécurité d'un partage des objets il est nécessaire de mettre la description informelle de la spécification Java Card sous une forme qui permet d'effectuer des vérifications formelles. Nous avons décrit une sémantique opérationnelle du pare-feu Java Card et nous étudions actuellement comment extraire de cette sémantique des analyses statiques permettant de construire des modèles abstraits afin d'y appliquer nos techniques (décrites en module <a href="resul_module-11_Toc.html#securite">6.2.3</a> de vérification de propriétés de sécurité.</p> </body>