Département de génie informatique et génie logiciel
Conférencier : Marc-André Laverdière, chercheur chez TCS Innovation Labs de Tata Consultancy Services et étudiant au doctorat à l'Ecole Polytechnique de Montréal
Date : le jeudi 17 Novembre 2016 de 11h30 à 12h20
Lieu : L-4812, pavillon Lassonde de l'École Polytechnique (campus de l'Université de Montréal)
Résumé:
Les applications web utilisent régulièrement le contrôle d'accès à base de rôles pour protéger l'information et restreindre les opérations. Des changements au niveau du code peut affecter cette sécurité et doivent être vérifiés, ce qui représente un effort considérable. Un élément augmentant la difficulté des vérifications est que le changement dans le code et son impact sur la sécurité peuvent être distantes (e.g. dans des fonctions ou fichiers différents).
Nous présenterons les concepts de base d'analyse statique et la méthode de détection des protections de privilèges par vérification de propriétés booléennes. Nous définissons les changements de protection de privilèges et leur classification basée sur la théorie des ensembles. De plus, nous calculons des contres-exemples dans les cas de pertes de privilèges. Ces contre-exemples montrent un chemin démontrant comment le privilège a été perdu.
Nous présentons une étude de cas sur 147 paires de versions de WordPress, de 2.0 à 4.5.2. Seulement 64 (43%) paires de versions ont des changementes de protection de privilèges. Au total, nous avons détecté environ 32000 changements de protection de privilèges - ce qui représente 0.11% du code évalué. Les cas les plus fréquents sont les gains totaux, pertes totales et substitution. Nous avons calculé plus de 14000 contre-exemples. Ils sont généralement courts (88 instructions), locaux (traversent une seule limite de fonction) et contenus dans le même fichier. Ces méthodes indiquent que nous pouvons grandement faciliter la revue des changements de sécurité avec des outils adaptés.
Bio:
Marc-André Laverdière est chercheur chez TCS Innovation Labs de Tata Consultancy Services, une des plus grandes firmes de consultants en logiciels au monde. De plus, il est doctorant à l'École Polytechnique de Montréal et son domaine de recherche est la sécurité des applications Web.
Bienvenue à tous!