FR2822257A1

FR2822257A1 - Verification de la coherence de conditions d'acces de sujets a des objets dans un moyen de traitement de donnees

Info

Publication number: FR2822257A1
Application number: FR0103487A
Authority: FR
Inventors: Christophe Bidan; Carinne Boursier
Original assignee: Gemplus Card International SA; Gemplus SA
Current assignee: Gemplus SA
Priority date: 2001-03-13
Filing date: 2001-03-13
Publication date: 2002-09-20
Anticipated expiration: 2021-03-13
Also published as: FR2822257B1; EP1374014A1; WO2002073376A1

Abstract

Un ensemble (ER) de règles d'accès (Re) de sujets (Su) à des objets (Ob) est vérifié dans un moyen de traitement de données de type carte à puce où les sujets et les objets sont des utilisateurs et des applications. Chaque règle définit un droit d'un sujet à accomplir une action sur un objet. Après notamment la suppression ou l'ajout de règle ou de sujet donné (Su) en relation avec un objet donné (Ob), des règles "suspectes" (SuROb) appliquées aux sujet et objet donnés sont recherchées (ET4) parmi l'ensemble des règles d'accès. La suppression de chaque règle trouvée par la recherche est proposée (ET5) à l'entité chargée des règles d'accès afin de sélectionner la suppression (ET7) particulièrement en cohérence (ET8-ET14) avec des règles relatives au sujet donné dans des groupes, ou le maintien (ET6) de la règle trouvée.

Description

Vérification de la cohérence de conditions d'accès de sujets à des objets dans un moyen de traitement de données
La présente invention concerne d'une manière générale la vérification de conditions d'accès par des premiers éléments, tels que des sujets constituant des utilisateurs ou modules logiciels d'un moyen de traitement de données, à des deuxièmes éléments tels que des données implémentées dans le moyen de traitement de données. Plus particulièrement, l'invention est relative à des conditions d'accès à des données d'application implémentées dans une carte à puce, dite également carte à microcontrôleur ou à circuit intégré, qui comporte plusieurs applications relatives à divers services, tels que des applications de commerce électronique, porte-monnaie électronique, service de fidélité, etc.

L'invention est ainsi particulièrement dirigée vers la gestion des conditions d'accès à une carte à puce multi-applicative, c'est-à-dire vers les définitions et les modifications des conditions d'accès à des applications.

La coexistence et la coopération de plusieurs applications au sein d'une même carte à puce soulève de nombreux problèmes du point de vue de la sécurité.

En particulier, chaque application possède ses propres données pour lesquelles le fournisseur de l'application définit des droits d'accès propres à l'application. Les conditions d'accès sont des moyens de liaison entre des accès externes qui peuvent être des utilisateurs de la carte ou bien des modules logiciels, comme des interfaces d'usager, et des

accès internes à la carte tels que des applications, éventuellement par l'intermédiaire d'autres applications ou d'autres éléments logiciels d'application dans la carte.

Le contrôle des conditions d'accès repose sur l'authentification des sujets, tels que les utilisateurs, qui sont des éléments"actifs"qui manipulent des informations contenues dans des objets, tels que des données d'application, qui sont des éléments"passifs"contenant des données. Les conditions d'accès des sujets aux objets sont régies par des règles de contrôle d'accès entre les sujets et les objets. Chaque règle comporte un droit d'accès, c'est-à-dire un lien entre un sujet et un objet sous la forme d'une action qui peut être accomplie par le sujet sur l'objet.

Il est connu de représenter les conditions d'accès de sujets à des objets par une matrice d'accès MA dont les colonnes correspondent à des sujets et dont les lignes correspondent à des objets, comme montré à la figure 1. Par exemple, la matrice MA est relative à trois sujets S1, S2 et S3, tels que trois utilisateurs, et à trois objets 01,02 et 03, tels que des fichiers et des programmes. Chaque case de la matrice à l'intersection d'une ligne et d'une colonne contient des droits d'accès, c'est-à-dire des actions privilégiées qui peuvent être accomplies par le sujet respectif sur l'objet respectif.

Les droits d'accès peuvent être positifs pour autoriser une action prédéterminée d'un sujet sur un objet, ou peuvent être négatifs pour interdire une action prédéterminée d'un sujet sur un objet. Par exemple, le sujet S2 peut lire et exécuter l'objet 02 mais ne peut pas écrire dans cet objet, et le sujet

S3 peut enregistrer et lire l'objet 03 mais ne peut pas exécuter l'objet 03.

Comme il est connu, les règles de contrôle d'accès sont généralement traitées suivant deux approches.

La première approche consiste en des listes de contrôle d'accès ACL (Access Control List) correspondant aux lignes de la matrice d'accès MA et spécifiant chacune les droits d'accès de sujets à l'objet associé à la ligne. A titre d'exemple, dans une carte à puce multi-applicative du type WINDOWS (marque enregistrée), des listes de contrôle d'accès ACL définissent des accès d'utilisateurs à des fichiers inclus dans la carte.

A l'inverse, la deuxième approche consiste en des capacités correspondant aux colonnes de la matrice MA et spécifiant chacune les droits d'accès du sujet associé à la colonne sur les objets. Par exemple, le contrôle d'accès porte sur des méthodes d'applets pour cartes à puce multi-applicatives de type JavaCard dans lesquelles des programmes en langage Java ont été écrits. Les capacités sont sous la forme de pointeurs permettant d'effectuer des appels à des objets, dans des applets prédéterminés constituant des sujets.

Lors de la définition, la suppression, l'ajout et plus généralement lors de la modification de droits d'accès par des sujets à des objets, et plus précisément lors de la modification de données pendant la durée de vie d'un moyen de traitement de données tel que le microcontrôleur d'une carte à puce, se pose le problème de la cohérence entre des droits d'accès supprimés, ajoutés ou plus généralement modifiés par rapport à des droits

d'accès déjà existants, et par rapport aux souhaits de l'entité en charge de la modification des conditions d'accès, l'entité étant par exemple un développeur, un serveur ou une applet dans la carte.

Par exemple, en référence à la matrice d'accès MA de la figure 1, le groupe Gl a un droit de lecture sur l'objet 03. Si l'entité en charge de la modification des droits d'accès souhaite supprimer le droit de lecture à tout le groupe Gl, elle supprime la règle de lecture du groupe Gl sur l'objet 03. Mais cela ne sera pas suffisant : le sujet Sl a un droit de lecture sur l'objet 03 et d'autre part le sujet S2 appartient au groupe G2 qui a un droit de lecture sur l'objet 03.

Cet exemple met en relief qu'il est nécessaire de vérifier que les changements souhaités par le développeur ou la personne en charge de la définition des droits d'accès sont bien effectifs.

C'est précisément l'objectif principal de la présente invention de fournir un procédé de vérification des conditions d'accès après la modification, telle que suppression ou ajout, d'une règle de contrôle d'accès dans l'ensemble des règles, ou d'un sujet dans un groupe, de manière à rechercher des règles"suspectes"susceptibles de remettre en cause la cohérence entre les droits d'accès précédents et les droits d'accès nouvellement modifiés, et à garantir la cohérence avec les souhaits de l'entité en charge de la définition/modification des droits d'accès.

Pour atteindre cet objectif, un procédé pour vérifier un ensemble de règles d'accès de premiers éléments à des deuxièmes éléments dans un moyen de traitement de données, chaque règle définissant au moins un droit d'un premier élément à accomplir une action sur un deuxième élément, est caractérisé en ce qu'il comprend, après toute modification d'accès d'un premier élément donné à un deuxième élément donné, une recherche de règles appliquées aux premier et deuxième éléments donnés parmi l'ensemble des règles d'accès, et une proposition de supprimer chaque règle trouvée par la recherche afin de supprimer ou de maintenir la règle trouvée.

Comme on le verra dans la suite, un système de contrôle d'accès comporte des premiers éléments qui sont par exemple des sujets tels que des utilisateurs, et des deuxièmes éléments qui sont par exemple des objets, tels que des données d'application, dans une carte à puce multiapplicative constituant le moyen de traitement de données.

Certains des premiers éléments peuvent appartenir chacun à un ou plusieurs groupes de premier élément. Un premier élément dans un groupe a tous les droits d'accès accordés au groupe.

Une modification d'accès d'un premier élément donné à un deuxième élément donné peut être i) une modification d'un groupe, c'est-à-dire un ajout ou bien une suppression d'un premier élément dans le groupe ; ii) un ajout d'une règle dans l'ensemble de règles, c'est-à-dire un ajout d'une règle positive ou négative relative à un premier élément, ou bien un

ajout d'une règle positive ou négative relative à un groupe ; iii) une suppression d'une règle dans l'ensemble de règles, c'est-à-dire une suppression d'une règle positive ou négative relative à un premier élément, ou bien une suppression d'une règle positive ou négative relative à un groupe ; iv) un ajout d'un premier élément ou d'un groupe dans le système de contrôle d'accès ; et v) une suppression d'un premier élément ou d'un groupe dans le système de contrôle d'accès.

Selon une première réalisation, lorsque la modification concerne la suppression d'un premier élément donné dans un groupe donné, la recherche embrasse toutes les règles appliquées au premier groupe donné. Le procédé de vérification peut comprendre, en outre, lorsque la règle appliquée directement au premier élément donné supprimé du groupe donné a été supprimée ou lorsque cette règle n'a pas été trouvée, une recherche du premier élément donné dans les groupes et, si le premier élément donné est trouvé dans l'un des groupes, une recherche d'une règle qui est appliquée audit groupe et audit deuxième élément donné et qui a en commun l'action avec la règle précédemment appliquée au premier élément de manière à signaler cette règle sélectionnée si elle est trouvée dans ledit groupe.

Selon une deuxième réalisation, lorsque la modification concerne la suppression d'une règle donnée appliquée à un groupe donné et à un deuxième élément donné, la recherche embrasse tous les premiers éléments appartenant au groupe donné. Le procédé peut comprendre, en outre, lorsqu'une règle qui est appliquée directement à un premier élément du

groupe donné et audit deuxième élément donné et qui a en commun l'action avec la règle donnée supprimée, a été supprimée ou lorsque cette règle n'a pas été trouvée, une recherche du premier élément donné dans les groupes et, si le premier élément donné est trouvé dans l'un des groupes, une recherche d'une règle qui est appliquée audit groupe et audit deuxième élément donné et qui a en commun l'action avec la règle précédemment appliquée au premier élément de manière à signaler cette règle sélectionnée si elle est trouvée dans ledit groupe.

Selon encore une autre réalisation, le procédé de vérification comprend, en outre, une proposition de supprimer le premier élément donné d'un groupe lorsqu'une règle appliquée aux premier et deuxième éléments donnés a été trouvée afin de sélectionner la suppression ou le maintien du premier élément donné dans le groupe.

Plus particulièrement, lorsque des règles négatives sont présentes dans l'ensemble des règles, et lorsque la modification concerne l'ajout d'une règle donnée définissant un droit d'un groupe donné à accomplir une action sur un objet donné, la recherche peut embrasser toutes les règles négatives appliquées aux premiers éléments appartenant au groupe donné et au deuxième élément donné et qui a en commun l'action avec la règle ajoutée. Le procédé comprend alors, en outre, lorsqu'une règle négative appliquée directement à un premier élément du groupe donné a été supprimée ou lorsqu'un premier élément du groupe donné a été supprimée dudit groupe ou lorsque la règle négative n'a pas été trouvée, une recherche du premier élément donné dans les groupes et, si le premier élément donné est trouvé dans l'un des

groupes, une recherche de la règle négative appliquée audit groupe et audit deuxième élément, et une proposition de supprimer la règle négative ou le premier élément donné dudit groupe si la règle négative est trouvée afin de supprimer le premier élément donné dans ledit groupe ou la règle négative relative audit groupe ou de signaler la règle négative relative audit groupe.

D'autres caractéristiques et avantages de la présente invention apparaîtront plus clairement à la lecture de la description suivante de plusieurs réalisations préférées de l'invention en référence aux dessins annexés correspondants dans lesquels : - la figure 1 est un diagramme montrant une matrice de contrôle d'accès entre trois sujets et trois objets, déjà commentée selon la technique antérieure ; - la figure 2 est un algorithme d'une première réalisation du procédé de vérification selon l'invention relatif à la suppression d'un sujet dans un groupe, en l'absence de droit d'accès négatif ; - la figure 3 est un algorithme d'une deuxième réalisation du procédé de vérification selon l'invention relatif à la suppression d'un droit d'accès dans un groupe de sujet donné, en l'absence de droit d'accès négatif ; et - la figure 4 est un algorithme d'une troisième réalisation du procédé de vérification selon l'invention relatif à l'ajout d'un droit positif pour un groupe de sujet donné, en présence de droits d'accès négatifs.

Les réalisations décrites ci-après du procédé de vérification des conditions d'accès de sujets à des

objets se réfèrent à un système de contrôle d'accès qui est implémenté dans le microcontrôleur d'une carte à puce et qui comprend les quatre ensembles suivants : - un ensemble de sujet ES = {SI,... Su,... SU}

avec 1 u < U, - un ensemble d'objet EO = {01,... Ob,... OB} avec 1 < b < B, - un ensemble de groupe de sujet EG = {G1,...

Gp,... GP}, un sujet dans un groupe ayant tous les droits accordés à ce groupe, et - un ensemble de règle ER = {RI,... Re,... RE}

avec 1 e < E.

Si R désigne un droit, c'est-à-dire une action telle que lecture, écriture, exécution ou enregistrement, qui peut être accomplie par un sujet quelconque Su sur un objet quelconque Ob, le système de contrôle d'accès ne comprend que les deux types de règles suivantes si aucun droit négatif n'est autorisé : - (SuROb) : le sujet Su a le droit R sur l'objet

Ob ; - (GpROb) : les sujets du groupe Gp ont le droit R sur l'objet Ob.

En outre, lorsque le système de contrôle d'accès autorise également des droits négatifs, les deux types de règles suivantes s'ajoutent aux deux types de règles précédentes : - non (SuROb) : le sujet Su n'a pas le droit R sur l'objet Ob ; - non (GpROb) : les sujets du groupe Gp n'ont pas le droit R sur l'objet Ob.

Dans la suite, on appellera"règle par défaut", une règle qui s'applique lorsqu'un droit n'est pas

spécifié ;"règle de priorité", une règle qui

s'applique lorsqu'un droit positif et un droit négatif sont simultanément définis ;"droit direct" du sujet Su sur l'objet Ob, un droit obtenu directement par la règle (SuROb), c'est-à-dire sans passer par l'intermédiaire d'un groupe ; et"droit indirect"du sujet Su sur l'objet Ob, un droit obtenu par la règle (GpROb) à travers un groupe Gp dans lequel est inclus le sujet Su.

Les deux réalisations du procédé de vérification des conditions d'accès selon l'invention qui sont maintenant décrites ci-après en référence aux figures 2 et 3 sont relatives à un système de contrôle d'accès sans droit d'accès négatif. Il est rappelé que, en l'absence de droit d'accès négatif, un sujet est autorisé à accéder à un objet dès lors que le droit d'accès correspondant, par définition positif, est déterminé. Inversement, l'absence du droit d'accès sur un objet donné peut être interprétée comme l'interdiction d'accéder à cet objet (règle par défaut).

Le procédé de vérification des conditions d'accès selon l'invention permet alors de maintenir la cohérence des droits d'accès lors de la modification de la composition de groupes de sujet existants, comme la suppression d'un sujet directement ou d'un sujet dans un groupe en référence à la figure 2, ou comme la suppression d'un droit d'accès pour un sujet ou bien pour un groupe en référence à la figure 3.

La vérification de droit d'accès après la suppression d'un sujet donné Su appartenant à un groupe donné par exemple le groupe Gl, comprend des étapes ETO à ET15, comme montré à la figure 2. Après

une suppression du sujet Su, le procédé de l'invention vise particulièrement à lister les droits perdus pour le sujet supprimé Su et à vérifier si les droits perdus ne sont pas maintenus par d'autres règles relatives au sujet Su considéré individuellement ou inclus dans d'autres groupes que le groupe donné Gl, de manière à signaler des règles indirectes communes au groupe donné Gl et à d'autres groupes contenant le sujet donné Su.

A l'étape ETO, au début du procédé de vérification de droits d'accès, il est supposé que le système de contrôle d'accès comprend les quatre ensembles définis ci-dessus ES, EO, EG et ER. Un incrément e correspondant à l'indice des règles Re de l'ensemble ER est mis à 0. A l'étape ET1, à chaque valeur de l'incrément e, tant que celui-ci est strictement inférieur à l'entier E, le procédé incrémente d'une unité l'incrément e et sélectionne la règle correspondante Re à l'étape ET2. L'étape suivante ET3 vérifie que la règle sélectionnée concerne le groupe donné Gl, c'est-à-dire est de la forme (GlROb) où R désigne un droit prédéterminé d'accès à"actionner"un objet donné Ob selon la règle Re. Si la règle Re n'est pas de la forme (GlROb), le procédé revient à l'étape ET1 et se termine à l'étape ET15 si l'incrément e est supérieur ou égal à l'entier E.

Lorsque la règle sélectionnée Re est applicable au groupe donné Gl à l'étape ET3, l'étape ET4 vérifie que le droit d'accès prédéterminé R selon la règle Re est applicable directement au sujet donné Su supprimé dans le groupe Gl. Si la règle (SuROb) existe dans l'ensemble de règle ER, le procédé propose à l'entité en charge de la modification des conditions d'accès

et donc des ensembles ES, EO, EG et ER, de supprimer la règle (SuROb), par exemple en transmettant un message à l'entité. Si à l'étape ET5, l'entité décide de ne pas supprimer la règle précédente, c'est-à-dire de maintenir la règle (SuROb) à l'étape ET6, le procédé revient à l'étape ET1.

Par contre, si l'entité décide de supprimer la règle (SuROb) correspondant à la règle sélectionnée Re, comme indiqué à l'étape ET7, ou bien si la règle (SuROb) n'est pas trouvée dans l'ensemble de règle ER à l'étape ET4, le droit d'accès prédéterminé R appliqué au sujet donné Su est recherché dans les groupes de l'ensemble EG à partir de l'étape ET8, en mettant un incrément p à 0 correspondant à l'indice courant des groupes Gl à GP.

L'étape suivante ET9 est le début d'une boucle d'analyse de l'ensemble des groupes tant que l'incrément p est strictement inférieur à P ; si p P, le procédé passe à l'étape ET10 pour indiquer que le droit R du sujet Su sur l'objet Ob correspondant à un droit indirect et éventuellement à un droit direct concernant le sujet Su est perdue, l'étape ET10 étant suivie par l'étape ET1.

A partir de l'étape ET9, lorsque l'incrément p est strictement inférieur à l'entier P, le procédé choisit itérativement un groupe Gl à GP à l'étape ET11 en incrémentant d'une unité l'incrément p. A l'étape suivante ET12, si le sujet Su n'appartient pas au groupe courant Gp, le procédé revient à l'étape ET9. Si le sujet Su appartient au groupe courant Gp, le procédé vérifie à l'étape ET13 que la règle (GpROb) qui est appliquée au groupe Gp et à l'objet donné Ob et qui a en commun un droit R avec la règle (SuROb) précédemment appliquée au sujet donné Su supprimé dans le groupe Gl, existe dans

l'ensemble de règle ER. Si ce n'est pas le cas, le procédé passe à l'étape ET9.

Si la règle (GpROb) est trouvée dans l'ensemble ER, l'étape ET14 signale le droit indirect R du sujet Su sur l'objet Ob obtenu par son appartenance au groupe Gp, quand bien même la suppression demandée de la règle (SuROb) à l'étape ET5. Le procédé revient ensuite à l'étape ET1 pour incrémenter l'incrément e d'une unité et choisir une autre règle à l'étape ET2 comme cela a été décrit ci-dessus, si l'incrément e est strictement inférieur à l'entier E.

Ainsi, grâce aux étapes ET5, ET6 et ET7, l'entité en charge des modifications des conditions d'accès peut décider de maintenir ou non une règle existante relative à un sujet donné Su qui est supprimé dans un groupe donné Gl. Particulièrement en choisissant l'étape ET7, l'entité est informée du maintien pour le sujet donné Su de l'accès indirect à un objet donné Ob par l'intermédiaire de son appartenance à un autre groupe Gp, alors que l'entité méconnaissait ou avait oublié cet accès indirect.

L'étape ET14 conserve des droits R communs au groupe donné Gl et à au moins un autre groupe de l'ensemble EG qui sont applicables au sujet donné Su, et ainsi ne supprime pas des accès autorisés par ailleurs pour le sujet Su. L'entité peut alors à une étape ultérieure à l'étape ET14 décider de supprimer le sujet Su du groupe Gp selon l'algorithme de la figure 2, ou bien de supprimer la règle (GpROb) selon l'algorithme de la figure 3.

La figure 2 avec suppression de l'étape ET3 et la liaison des étapes ET2 et ET4 est également applicable pour un sujet donné Su supprimé individuellement dans l'ensemble ES.

En référence maintenant à la figure 3, la vérification des droits d'accès après la suppression d'une règle donnée (GlROb) concernant par exemple le premier groupe Gl de l'ensemble EG et un objet donné Ob vise à proposer que les droits pour chaque sujet Su du groupe Gl soient maintenus ou supprimés, l'indice u étant considéré ici comme relatif aux sujets appartenant au groupe donné Gl et non à l'ensemble de sujet ES. Il s'agit donc de décider de maintenir ou de supprimer des droits directs relatifs à des règles du type (SuROb) qui sont appliquées à des sujets Su appartenant au groupe donné Gl et qui ont en commun une action R avec la règle donnée (GlROb), et des droits indirects selon des règles du type (GpROb) pour des sujets Su appartenant à la fois aux groupes Gl et Gp. Ainsi, le procédé selon la

figure 3 présente, après des étapes initiales ETOa, ETla et ET2a analogues respectivement aux étapes ETO, ET1 et ET2 de la figure 2, des étapes ET4 à ET7 identiques à celles montrées à la figure 2 relatives au maintien ou à la suppression d'une règle (SuROb) et des étapes ET9 à ET14 respectivement identiques à celles de la figure 2 et relatives principalement au signalement d'un droit indirect du type (GpROb).

A l'étape ETOa, outre la définition des quatre ensembles ES, EO, EG et ER, l'incrément u relatif seulement aux sujets Su appartenant au groupe Gl est mis à 0. Tant que l'incrément u est strictement inférieur à l'entier U à l'étape suivante ETla, le procédé vérifie la mise à jour des conditions d'accès engendrées par la suppression de la règle (GlROb) pour l'objet donné Ob ; le procédé se termine à l'étape ET15 lorsque l'incrément u a été incrémenté à l'étape ET2a pour être supérieur ou égal à l'entier U après la recherche de droits directs et indirects

liés à tous les sujets du groupe donné Gl et relatifs au droit déterminé R sur l'objet donné Ob. Ainsi pour une valeur de l'incrément u, l'étape ET2a choisit le sujet courant Su dans le groupe donné Gl afin que l'étape suivante ET4 vérifie s'il existe une règle (SuROb) qui applique directement le droit d'accès prédéterminé R au sujet Su du groupe Gl. Puis si la règle (SuROb) est trouvée dans l'ensemble ER, l'entité en charge de la modification des conditions d'accès exprime à l'étape ET5 sa volonté de maintenir cette règle en poursuivant le procédé par les étapes ET6 et ETla, ou bien de supprimer cette règle en poursuivant le procédé par l'étape ET7 et de vérifier si un droit indirect n'est pas maintenu pour le sujet Su par un autre groupe aux étapes ET8 à ET14.

Puis à la suite de l'étape ET4 lorsque la règle (SuROb) n'est pas trouvée dans l'ensemble ER ou après l'étape ET7 lorsque l'entité a décidé de supprimer cette règle, un incrément de groupe p est mis à 0 à l'étape ET8. Tant que l'incrément p est strictement inférieur à l'entier P à l'étape ET9, l'incrément p

est incrémenté d'une unité à l'étape ETll pour analyser successivement les groupes Gl à GP aux étapes ET12 et ET13 jusqu'à trouver un groupe Gp qui contient le sujet Su choisi à l'étape ET2a et tel que la règle (GpROb) a un commun l'action R avec la règle supprimée (GlROb). Dès que ce groupe Gp est trouvé, l'étape ET14 signale que la règle indirecte GpROb est maintenue même si la suppression de la règle directe (SuROb) avait été décidée à l'étape ET5. L'entité peut alors, dans une étape ultérieure, choisir de supprimer le sujet dans le groupe Gp, ou bien de supprimer la règle (GpROb).

Ainsi, comme pour le procédé selon la figure 2, le procédé selon la figure 3 permet à l'entité ayant

en charge de définir les droits d'accès de vérifier si la suppression du droit R sur l'objet Ob sélectivement pour chacun des sujets appartenant au groupe Gl est effective ou non.

La figure 3 est également applicable pour la suppression d'un droit direct R appliqué à un sujet donné Su en supprimant les étapes ETla et ET2a relative à l'incrémentation u, et en reliant directement l'étape ETOa à l'étape ET4 et les étapes ET6, ET10 et ET14 à l'étape de fin ET15.

La troisième réalisation montrée à la figure 4 concerne la vérification des conditions d'accès après l'ajout d'un droit positif prédéterminé R sur un objet donné Ob selon la règle (GlROb) pour un groupe donné, par exemple le groupe Gl, lorsque le système de contrôle d'accès comprend des droits d'accès négatifs coexistant avec des droits d'accès positifs.

Afin de garantir la consistance des accès, le procédé selon l'invention vérifie que, pour tout sujet appartenant au groupe donné Gl, il n'y aura pas à la fois un droit d'accès positif et un droit d'accès négatif sur un objet donné Ob, et si c'était le cas, propose à l'entité ayant en charge les droits d'accès de supprimer la règle d'accès négative. Ainsi, de manière analogue aux figures 2 et 3, le procédé selon la figure 4 invite d'abord l'entité à exprimer sa volonté pour supprimer un droit négatif existant qui correspond au droit positif à ajouter et qui est soit direct sur l'objet Ob pour un sujet dans le groupe donné Gl, soit indirect sur l'objet Ob pour un sujet dans au moins un groupe de l'ensemble EG.

L'ajout d'un droit positif pour un groupe selon le procédé montré à la figure 4 comprend des étapes ET20 à ET38 et vérifie la cohérence des conditions

d'accès qui sont modifiées par cet ajout de droit positif en proposant de supprimer certaines règles négatives directes ou indirectes sur l'objet Ob pour des sujets du groupe Gl ou d'utiliser des règles de priorité.

A l'étape initiale ET20, les quatre ensembles ES, EO, EG et ER sont définis et un incrément u correspondant à l'indice des sujets Su n'appartenant qu'au groupe donné Gl est mis à 0. L'étape suivante ET201 recherche tout de suite et simplement une règle

de droit négatif non (GlROb) dans l'ensemble de règle ER qui correspond à la négation de la règle ajoutée (GlROb). Si cette règle de droit négatif existe, elle est immédiatement supprimée à l'étape ET202.

Que la règle non (GlROb) soit trouvée ou non à l'étape ET202, le procédé est poursuivi par l'étape ET21 qui compare l'incrément u, considéré ici comme l'indice des sujets appartenant au groupe donné Gl, à l'entier U. Le procédé est terminé à l'étape ET38 lorsque toutes les règles de droit négatif associées aux sujets du groupe donné Gl pour l'objet donné Ob et relatives au droit prédéterminé R sont analysées, ou bien éventuellement lorsque l'ensemble de sujet dans le groupe Gl a été entièrement examiné, soit u = U.

Au début de la vérification après l'adjonction de la règle positive (GlROb), un sujet Su est choisi dans le groupe Gl, en incrémentant l'indice u d'une unité à l'étape ET22. Puis la règle de droit négatif non (SuROb) est recherchée dans l'ensemble de règle ER à l'étape ET23.

Si le droit négatif prédéterminé R correspondant à la règle supprimée (GlROb) est déjà appliqué directement au sujet Su, le microcontrôleur de la carte à puce propose à l'entité ayant en charge la

modification des droits d'accès, d'abord de supprimer la règle de droit direct négatif non (SuROb) à l'étape ET24, puis si cette suppression n'est pas acceptée, propose de supprimer le sujet Su dans le groupe donné Gl à l'étape ET25. Si à la fois la suppression de la règle de droit négatif non (SuROb) et la suppression du sujet Su dans le groupe Gl sont refusées aux étapes ET24 et ET25, une règle de priorité est appliquée à l'étape suivante ET28 qui est suivie de l'étape ET21. La règle de priorité est par exemple un choix prioritaire des règles de droit négatif non (SuROb) et non (GpROb) sur la règle de droit positif (GlROb) à ajouter.

En revanche, si à l'étape ET24 la suppression du droit négatif pour le sujet Su a été acceptée, comme indiqué à l'étape ET26, ou si à l'étape ET25 la suppression du sujet Su a été acceptée, comme indiqué à l'étape ET27, le procédé passe à l'étape ET29.

L'étape E29 est également effectuée après l'étape ET23 si aucune règle négative non (SuROb) n'existe.

Les étapes suivantes ET29 à ET35 vérifient que la suppression demandée est compatible avec la présence ou non d'une règle relative au droit négatif prédéterminé R dans les groupes Gl à GP contenant le sujet Su. A l'étape ET29, un incrément p correspondant à l'indice p des groupes Gl à GP de l'ensemble EG est mis à zéro, puis est comparé à l'entier P à l'étape ET30. Le sujet Su est recherché dans l'ensemble des groupes EG tant que l'incrément p est strictement inférieur à l'entier P, et tant que l'entité ayant en charge les conditions des droits d'accès a la volonté de supprimer un droit négatif relatif au sujet Su ou le sujet Su lui-même, comme on le verra ci-après. Sinon le procédé passe de l'étape

ET30 à l'étape ET21 lorsque l'incrément p est supérieur ou égal à l'entier P.

Ainsi, à l'étape ET31 succédant à l'étape ET30 lorsque l'incrément p est strictement inférieur à l'entier P, le groupe courant Gp différent du groupe donné Gl est sélectionné dans l'ensemble EG, en incrémentant l'indice p d'une unité. Si aux étapes suivantes ET32 et ET33, le sujet Su n'a pas été trouvé dans le groupe courant Gp, et/ou bien si la règle de droit négatif non (GpROb) n'a pas été trouvée dans l'ensemble de règle ER, le procédé revient aux étapes ET30 et ET31 de manière à sélectionner le groupe suivant. Si après l'étape ET33, le sujet Su a été trouvé dans le groupe Gp et la règle de droit négatif non (GpROb) a été trouvée dans l'ensemble ER, le microcontrôleur de la carte à puce invite l'entité d'abord à supprimer la règle de droit négatif non (GpROb) à l'étape ET34, puis si cette suppression est refusée, à supprimer le sujet Su dans le groupe Gp à l'étape ET35, de manière analogue aux étapes ET24 et ET25. L'étape ET28 est également sollicitée pour appliquer la règle de priorité si les deux suppressions signalées aux étapes ET34 et ET35 sont refusées.

En revanche, si après l'étape ET34, la suppression de la règle de droit négatif non (GpROb) est décidée, comme indiqué à l'étape ET36, ou bien si après l'étape ET35, le sujet Su dans le groupe courant Gp est supprimé comme indiqué à l'étape ET37, le procédé continue en revenant à l'étape ET30 pour décider si le sujet Su ou une règle de droit négatif correspondante doit être supprimée dans le groupe suivant G (p+l).

La figure 4 est également applicable pour l'ajout d'une règle de droit négatif du type

non (GlROb), après avoir corrigé les étapes ET201, ET202, ET23, ET24, ET26, ET33, ET34 et ET36 qui sont maintenant relatives à des recherches et suppressions de règles positives (SuROb) et (GpROb) ; dans ce cas, la règle de priorité appliquée à l'étape ET28 donne par exemple la priorité aux règles de droit positif existantes SuROb, GlROb et GpROb par rapport à la règle de droit négatif à ajouter non (GlROb) pour assurer la coexistence des droits d'accès positifs et négatifs.

La figure 4 est encore applicable pour l'ajout d'une règle de droit direct positif (SuROb) en supprimant les étapes ET21 et ET22 et en reliant directement l'étape ET201 et ET202 à l'étape ET23 et l'étape ET28 à l'étape de fin ET38.

Claims

REVENDICATIONS

1-Procédé pour vérifier la cohérence entre des règles d'accès (Re) définissant respectivement des droits autorisant et/ou interdisant des premiers éléments (Su), tels que des utilisateurs, à accomplir des actions sur des deuxièmes éléments (Ob), tels que des applications implantées dans un moyen de traitement de données tel qu'une carte à puce, caractérisé en ce qu'il comprend, après toute modification d'accès d'un premier élément donné (Su) à un deuxième élément donné (Ob), une recherche (ET4 ; ET23) de règles (SuROb, non (SuROb) ) appliquées aux premier et deuxième éléments donnés parmi l'ensemble des règles d'accès (ER), et une proposition (ET5 ; ET24) de supprimer chaque règle trouvée par la recherche afin de supprimer (ET7 ; ET26) ou maintenir (ET6 ; ET28) la règle trouvée.

2-Procédé conforme à la revendication 1, selon lequel certains des premiers éléments appartiennent chacun à un ou plusieurs groupes de premier élément (Gp), un premier élément dans un groupe ayant tous les droits d'accès accordés au groupe, caractérisé en ce que, lorsque la modification concerne la suppression d'un premier élément donné (Su) dans un groupe donné (gel), la recherche (ET3 ; ET4) embrasse toutes les règles (Re) appliquées au premier groupe donné (gel) ainsi qu'au deuxième élément donné (Ob), et le procédé comprend, en outre, lorsque la règle appliquée directement au premier élément donné (Su) supprimé du groupe donné (Gl) a été supprimée (ET7) ou lorsque cette règle n'a pas été trouvée, une recherche (ET12) du premier élément donné (Su) dans les groupes (EG) et, si le premier élément donné est

trouvé dans l'un (Gp) des groupes, une recherche (ET13) d'une règle (GpROb) qui est appliquée audit groupe (Gp) et audit deuxième élément donné (Ob) et qui a en commun l'action (R) avec la règle précédemment appliquée au premier élément, de manière à signaler (ET14) cette règle (GpROb) si elle est trouvée dans ledit groupe (Gp).

3-Procédé conforme à la revendication 1, selon lequel certains des premiers éléments appartiennent chacun à un ou plusieurs groupes de premier élément (Gp), un premier élément dans un groupe ayant tous les droits d'accès accordés au groupe, caractérisé en ce que, lorsque la modification concerne la suppression d'une règle donnée (GlROb) appliquée à un groupe donné (gel) et à un deuxième élément donné (Ob), la recherche (ET4) embrasse tous les premiers éléments (Su) appartenant au groupe donné (Gl), et le procédé comprend, en outre, lorsqu'une règle qui est appliquée directement à un premier élément du groupe donné et audit deuxième élément donné et qui a en commun l'action (R) avec la règle donnée supprimée, a été supprimée (ET7) ou lorsque cette règle n'a pas été trouvée, une recherche (ET12) du premier élément donné (Su) dans les groupes (Gp) et, si le premier élément donné est trouvé dans l'un des groupes, une recherche (ET13) d'une règle (GpROb) qui est appliquée audit groupe (Gp) et audit deuxième élément donné (Ob) et qui a en commun l'action (R) avec la règle précédemment appliquée au premier élément, de manière à signaler (ET14) cette règle (GpROb) si elle est trouvée dans ledit groupe (Gp).

4-Procédé conforme à la revendication 1, selon lequel certains des premiers éléments appartiennent

chacun à un ou plusieurs groupes de premier élément (Gp), un premier élément dans un groupe ayant tous les droits d'accès accordés au groupe, comprenant en outre, une proposition (ET25) de supprimer le premier élément donné (Su) d'un groupe (gel) lorsqu'une règle appliquée aux premier et deuxième éléments donnés a été trouvée afin de sélectionner la suppression (ET27) ou le maintien (ET28) du premier élément donné dans le groupe (G1).

5-Procédé conforme à la revendication 1, selon lequel certains des premiers éléments (Su) appartiennent chacun à un ou plusieurs groupes de premier élément (Gp), un premier élément dans un groupe ayant tous les droits d'accès accordés au groupe, et selon lequel des règles négatives sont présentes dans l'ensemble de règles, caractérisé en ce que, lorsque la modification concerne l'ajout d'une règle donnée (GlROb) définissant un droit d'un groupe donné (gel) à accomplir une action (R) sur un objet donné (Ob), la recherche (ET23) embrasse toutes les règles négatives appliquées aux premiers éléments (Su) appartenant au groupe donné (gel) et au deuxième élément donné (Ob) et qui a en commun l'action (R) avec la règle ajoutée, et le procédé comprend, en outre, lorsqu'une règle négative (non (SuROb))

appliquée directement à un premier élément (Su) du groupe donné (gel) a été supprimée (ET26) ou lorsqu'un premier élément (Su) du groupe donné (gel) a été supprimé dudit groupe ou lorsque la règle négative n'a pas été trouvée, une recherche (ET32) du premier élément donné (Su) dans les groupes (EG) et, si le premier élément donné est trouvé dans l'un (GP) des groupes, une recherche (ET33) de la règle négative appliquée audit groupe (GP) et audit deuxième élément

la règle négative (ET36) ou le premier élément donné (Su) dudit groupe (Gp) (ET37) si la règle négative est trouvée afin de supprimer (ET36 ; ET37) le premier élément donné (Su) dans ledit groupe (Gp), ou la règle négative relative audit groupe, ou de signaler (ET28) la règle négative relative audit groupe.

(Ob), et une proposition (ET34 ; ET35) de supprimer