Inférence automatique de modèles d'applications Web et protocoles pour la détection de vulnérabilités

Automatic model inference of Web applications and protocols for vulnerability detection

• Auteur / Autrice : Karim Hossen
• Direction : Roland Groz
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 15/12/2014
• Etablissement(s) : Grenoble
• Ecole(s) doctorale(s) : École doctorale mathématiques, sciences et technologies de l'information, informatique (Grenoble ; 199.-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique de Grenoble
• Jury : Président / Présidente : Marie-Laure Potet
• Jury : Examinateurs / Examinatrices : Catherine Oriat, Frédéric Dadeau
• Jury : Rapporteurs / Rapporteuses : Yves Le Traon, Jean-Christophe Janodet

Mots clés

Mots clés contrôlés

Systèmes informatiques -- Mesures de sûreté

Inférence

Mots clés libres

Modèle

Inférence

Sécurité

Vulnérabilité

Web

Services

Model

Inference

Security

Vulnerability

Web

Services

Résumé

Les approches de tests basées sur les modèles (MBT) ont su montrer leur efficacité pour le test logiciel, mais elles nécessitent de disposer au préalable d'un modèle formel du logiciel. Dans la plupart des cas, ce modèle n'est pas disponible pour des raisons de coût, de temps ou encore de droits. Dans le cadre du projet SPaCIoS qui vise à développer une plate-forme pour le test de la sécurité basé sur les modèles, l'objectif est de fournir un outil d'inférence automatique de modèle pour les applications Web ainsi que des méthodes de détection de vulnérabilités à partir de ce modèle. Nous avons conçu pour cela un algorithme d'inférence adapté aux applications Web et à leurs caractéristiques. Cette méthode prend en compte les données et leurs impacts sur le flot de contrôle. À l'aide d'algorithmes de fouille de données, le modèle est complété par des gardes ainsi que des fonctions de sortie. Nous avons aussi travaillé sur l'automatisation de la procédure d'inférence. Dans les approches d'inférence active, il est généralement nécessaire de connaître l'interface complète du système à inférer pour pouvoir communiquer avec l'application. Cette étape a été rendue automatique par l'utilisation d'un collecteur qui parcourt l'application pour en extraire les informations nécessaires et optimisées pour l'inférence. Ce collecteur est aussi utilisable par des méthodes d'inférence tierces. Dans la version complète de l'algorithme, nous avons fusionné l'algorithme d'inférence et celui d'extraction d'interfaces pour obtenir une méthode automatique. Nous présentons ensuite l'outil libre SIMPA qui implémente ces différents algorithmes ainsi que divers résultats obtenus sur les cas d'études du projet SPaCIoS ainsi que des protocoles.

In the last decade, model-based testing (MBT) approaches have shown their efficiency in the software testing domain but a formal model of the system under test (SUT) is required and, most of the time, not available for several reasons like cost, time or rights. The goal of the SPaCIoS project is to develop a security testing tool using MBT approach. The goal of this work, funded by the SPaCIoS project, is to develop and implement a model inference method for Web applications and protocols. From the inferred model, vulnerability detection can be done following SPaCIoS model-checking method or by methods we have developed. We developed an inference algorithm adapted to Web applications and their properties. This method takes into account application data and their influence on the control flow. Using data mining algorithms, the inferred model is refined with optimized guards and output functions. We also worked on the automation of the inference. In active learning approaches, it is required to know the complete interface of the system in order to communicate with it. As this step can be time-consuming, this step has been made automatic using crawler and interface extraction method optimized for inference. This crawler is also available as standalone for third-party inference tools. In the complete inference algorithm, we have merged the inference algorithm and the interface extraction to build an automatic procedure. We present the free software SIMPA, containing the algorithms, and we show some of the results obtained on SPaCIoS case studies and protocols.