Specification and deployment of integrated Security Policy for Outsourced Data

Expression et déploiement de politiques de sécurité intégrés pour données externalisées

Anis Bkakria (1, 2)

1 Lab-STICC_TB_CID_SFIIS
2 LUSSI - Département Logique des Usages, Sciences sociales et Sciences de l'Information

Recent advance in cloud computing has transformed the way information is managed and consumed. Cloud service providers are increasingly required to take responsibility for the storage as well as the effcient and reliable sharing of information, thus carrying out a "data outsourcing" architecture. Despite that outsourcing information on Cloud service providers may cut down data owners' responsibility of managing data while increasing data availability, data owners hesitate to fully trust Cloud service providers to protect their outsourced data. Recent data breaches on Cloud storage providers have exacerbated these security concerns. In response, security designers defined approaches that provide high level security assurance, such as encrypting data before outsourcing them to Cloud servers. Such traditional approaches bring however the disadvantage of prohibiting useful information release. This raises then the need to come up with new models and approaches for defining and enforcing security and utility policies on outsourced data. This thesis aims to address this trade-off, while considering two kind of security policies. In the first hand, we focus on confidentiality policies specification and enforcement, which requires enforcing the secrecy of outsourced data stored by an untrusted Cloud service provider, while providing an efficient use (e.g., searching and computing) of the outsourced data by different authorized users. On the other hand, we address the problem of heterogeneous security policies (e.g., confidentiality requirements, privacy requirements, ownership requirements, etc) specification and deployment.

Les avancées récentes dans les domaines de l'informatique en nuage sont en train de transformer la manière dont les informations sont gérées et consommées. Les fournisseurs de services de l'informatique en nuage sont de plus en plus tenus d'assumer leur responsabilité par rapport au stockage, ainsi que du partage efficace et fiable des données externalisées. Les propriétaires des données hésitent à accorder une confiance aveugle aux fournisseurs de services Cloud quant à la protection de leurs données externalisées. Ceci est dû au fait que, pour les récentes fuites de données externalisées, des vulnérabilités au sein des services Cloud ont été exploitées. Cela soulève alors la nécessité d'inventer de nouveaux modèles et de nouvelles approches permettant la définition et la mise en application des politiques de sécurité et de fonctionnalité sur les données externalisées. Cette dissertation vise à surmonter ce dilemme, tout en tenant compte de deux types de politiques de sécurité. En premier lieu, nous nous concentrons sur la spécification et le déploiement des politiques de confidentialité, qui nécessite : (1) la protection des données sensibles externalisées stockées dans des serveurs Cloud considérés comme étant non fiables, et (2) l¿utilisation efficace des données externalisées par les utilisateurs autorisés. En deuxième lieu, nous abordons la problématique de la spécification et le déploiement des politiques de sécurité hétérogènes (par exemple, les politiques de confidentialité, de protection de la vie privée, d'intégrité, etc.) sur les données externalisées.

Mots clés: Outsourced Data; Security Policy; Policy Specification; Policy Enforcement; Formal Methods

Mots clés: Données Externalisées; Politique de sécurité; Politique de confidentialité; Spécification formelles; Méthode formelles

Domaines: Informatique [cs]

Anis Bkakria. Specification and deployment of integrated Security Policy for Outsourced Data. Computer Science [cs]. Télécom Bretagne; Université de Rennes 1, 2015. English. ⟨NNT : ⟩. ⟨tel-01272737⟩