Constellation, le dépôt institutionnel de l'Université du Québec à Chicoutimi

Résumé

L’implémentation de mesures de sécurité lors du développement d’une application Web comporte des lacunes. En effet, ces fonctions, lorsqu’elles existent, sont souvent développées à chaque nouveau projet avec une approche manquant de structure et de rigueur. Cela induit une forte probabilité d’erreurs. Le point de départ du présent travail a ainsi été de trouver une réponse à la question suivante : « Est-il possible d’extraire les mécanismes d’autorisation et d’authentification du code applicatif d’un système Web? ». Si oui, est-il possible de développer un composant gérant la sécurité qui serait réutilisable et dont le fonctionnement pourrait être validé par des experts dans le domaine ? La prépondérance de l’utilisation du serveur Apache pour livrer le contenu des applications Web sur le marché a orienté la mise en oeuvre d’une solution à ce problème. Il a été établi que développer et rendre disponible un module complémentaire pouvant gérer l’authentification d’un utilisateur et ses autorisations pour accéder à différentes ressources applicatives était réalisable. Une documentation pertinente pour sa mise en place à l’intérieur d’un projet de développement applicatif a été rédigée. Dans un premier temps, comme présenté dans tous les gabarits de gestion de la sécurité informationnelle, il a fallu identifier et classifier les différentes ressources contenues dans les logiciels. Dans un second temps, il a fallu définir les utilisateurs qui interagissent avec ces ressources et les permissions associées aux relations entre les utilisateurs et les ressources. Plusieurs méthodologies sont proposées pour définir ces relations. Sur ces bases, un modèle a été défini et appliqué pour conserver l’identification des ressources, des utilisateurs et les relations entre les deux. Ces informations ont servi de base pour développer un module gérant l’accès aux systèmes et la protection des ressources. La gestion de ces informations a été documentée et déléguée aux concepteurs d’application ce qui permettra d’avoir un couplage fort entre l’application, son domaine et la gestion des accès. L’application du modèle, assurée par le module développé, doit être réalisée par des spécialistes en sécurité.