Séminaire
Intech'Sophia :
Sécurité
sur Internet: est-ce possible ?
jeudi
5 juin 2003, de 14h à 17h
L'objectif de cette session
est d'explorer ensemble les différentes voies de recherche
et de développement en cours pour rendre, si cela est
dans le domaine du possible, le monde Internet et les applications
distribuées mobiles sécurisés.
Plusieurs approches logicielles et matérielles seront
successivement présentées et comparées
en vue de promouvoir des applications (scientifiques) sur
grille sécurisées et des applications réparties
et mobiles dans le domaine du commerce, en toute confiance.
Ce seminaire s'inscrit
naturellement dans le cadre d'un petit groupe de travail sophipolitain
sur la sécurité - SecurAntipolis.
Lieu de rencontre informelle et d'échange, SecurAntipolis
a été initié par Isabelle
Attali (INRIA), Refik
Molva (Eurécom), et Joachim
Posegga (SAP)
Responsable scientifique
du séminaire : Isabelle Attali, responsable du projet
OASIS, Inria-Sophia
Antipolis
Présentations
(format 25mn + 5mn de questions)
Ouverture par Michel
Cosnard (Inria-Sophia Antipolis, Directeur)
- Une architecture
de sécurité déclarative pour les applications
Grid
- Denis Caromel, Professeur UNSA-IUF,
- Arnaud Contes, Doctorant DGA, projet OASIS, INRIA
Sophia Antipolis.
- Résumé:
L'avènement des grilles de calcul a permis
le partage de services et de ressources au sein
d'une communauté d'utilisateurs répartis,
utilisant des ressources elles-mêmes potentiellement
réparties sur de nombreux domaines administratifs.
Dans cet univers, la sécurité, aussi
bien des applications que des ressources, représente
un challenge important. Pour répondre aux
besoins des différents protagonistes (utilisateurs
et administrateurs), un système de sécurité
doit être facilement configurable.
Nous proposons une telle solution dans le cadre
du middleware ProActive, un logiciel Open Source
du consortium ObjectWeb.
ProActive est une librairie Java facilitant le développement
et la migration d'applications existantes vers le
monde des grilles de calcul en proposant aux utilisateurs
des fonctionnalités telles que le déploiement,
la migration d'activités, les appels distants,
des communications de groupe. Un point clé
est la possibilité de définir d'une
façon déclarative des politiques de
sécurité, au niveau des domaines,
et des applications.
A terme, un des objectifs est la création
de composants sécurisés qui permettront
la construction pas assemblage d'applications réparties
à grande échelle.
- The EU IST Project
"WiTness - Wireless Trust for Mobile Business"
- Roger Kilian-Kehr, SAP AG
- Résumé:
The presentation will give an overview on the EU
IST Project "WiTness - Wireless Trust for Mobile
Business" lead by SAP Corporate Research, France.
WiTness aims at enabling secure mobile applications
of third-party application providers in 3G wireless
networks by providing technology for application
level security. This project brings together mobile
operators, smart card manufacturers, mobile device
manufacturers, application providers, and research
institutions to define and develop a framework for
the development and deployment of secure mobile
business applications in a business to-employee,
i.e. corporate environment. WiTness focuses on technology
that allows application providers to set up their
own security solutions for mobile applications.
This will be achieved by defining security platforms
and security services in mobile devices and smart
cards.
- Palladium,
Mythes et Réalité
- Bernard Ourghanlian, Directeur Technique & Sécurité
- Microsoft France
- Résumé :
"Palladium" désigne le nom de code
(on parle maintenant de NGSCB : "Next Generation
Secure Computing Base") d'un ensemble évolutionnaire
de fonctionnalités destiné au système
d'exploitation Windows qui, une fois combinées
à une nouvelle catégorie de matériels
et d'applications, fournira des services de sécurité
supplémentaires aux postes de travail et
aux serveurs. Ces fonctionnalités appartiennent
à quatre catégories :
- Mémoire cloisonnée. Possibilité
de cloisonner et de cacher les pages de la mémoire
principale pour qu'aucune application "Palladium"
ne puisse être modifiée ou observée
par aucune autre application ou même par le
système d'exploitation.
- Attestation. Capacité d'un élément
de code à signer numériquement ou
à attester un élément de données
et à garantir ensuite au destinataire de
la signature que les données ont été
construites par une pile logicielle, infalsifiable
et identifiée par chiffrement.
- Stockage scellé. Capacité à
stocker les informations afin qu'une application
ou un module "Palladium" puisse imposer
que les informations ne soient accessibles qu'uniquement
à eux-mêmes ou à un ensemble
d'autres composants approuvés identifiables
par chiffrement.
- Entrée et sortie sécurisées.
Chemin sécurisé entre le clavier et
la souris jusqu'aux applications "Palladium",
et chemin sécurisé depuis les applications
"Palladium" jusqu'à une zone de
l'écran.
L'objet de cette présentation est de présenter
les architectures logicielles et matérielles
qui seront mises en oeuvre par NGSCB. Seront notamment
abordés sur le plan du hardware les changements
nécessaires du CPU, de la MMU, du "southbridge"
ainsi que l'introduction de nouveaux composants
matériels comme le SSC (Security Support
Component), du "Hub" USB et du GPU dignes
de confiance. Seront également mis en évidence
les différences entre NGSCB et la version
actuellement disponible des spécifications
de TCPA. Sur le plan du logiciel, en plus de l'architecture
générale de NGSCB, seront présentés
les mécanismes mis en oeuvre pour permettre
au noyau de sécurité de NGSCB (le
"nexus") de prouver son identité
ainsi que ceux qui sont mis en oeuvre pour permettre
à des applications de prouver leur identité
(notion de manifeste). Un certain nombre de scénarios
applicatifs seront également présentés
dans le cadre de la mise en place d'une politique
de sécurité.
Pause café
- SW@P,
TI Solution for Mobile Commerce
- Jerome Azema, Texas Instruments, Security
Architect
- Résumé:
Open architectures require security not least because
of the threat of viruses but also because malicious
software can compromise the intended commercial
use of the phone and the deployment of value added
services.
As the supplier of the basic architecture that is
used in the vast majority of 2G wireless devices,
TI has the depth of knowledge and real-world experience
that is imperative for understanding how critically
important security will be to the success of 2.5G
and 3G.
The presentation will give an overview of Texas
Instruments Security solution called SW@P, a security
architecture for installing and dynamically downloading
non-OEM software with various levels of validation/trust
in an open platform.
This architecture relies on intimate interleaving
of hardware-based and software-based mechanisms
that together enforce the security policy, and provide
secure functionalities to the platform within a
Public Key Infrastructure. The majorities of the
principles are equally valid for application services
and modem integrity.
- Table ronde : NGSCB (Next Generation Secure
Computing Base): quelle(s) infrastructure(s) pour une meilleure
sécurité sur Internet ??
- participants confirmés au panel:
|