2UD Project. Étude de l existant. Master 1 Informatique. Auteurs : Antoine Barrault David Pequegnot Thibault Tigeon

Transcription

1 Master 1 Informatique Étude de l existant 2UD Project Auteurs : Antoine Barrault David Pequegnot Thibault Tigeon Encadrants : M. Julien Iguchi-Cartigny M. Jean-Louis Lanet Analyse et Développement Logiciel Limoges, le 25 mars 2010

2 Sommaire 1 Présentation du projet 2 2 Campus Entrepreneur 5 3 L existant 6 Conclusion 10 Bibliographie 12 Liste des figures 13 Table des matières 14 1

3 Chapitre 1 Présentation du projet 1.1 L équipe L équipe 2UD est constituée des étudiants de Master Informatique : Antoine Barrault ; David Pequegnot ; Thibault Tigeon. 2UD est une tentative de jeu de mot signifiant USB Unlimited Device et pouvant se prononcer To You Device (Appareil pour vous). 1.2 Notre projet Notre projet consiste en la création d une clé USB qui permettra de stocker des données informatiques de manière illimitée. Les données seront stockées en ligne, la clé USB permettant d y avoir accès de manière sécurisée. Nous souhaitons développer un ensemble de services autour de notre produit comme : la récupération des données en cas de perte ou de vol ; le blocage de la clé en cas de perte ou de vol ; l authentification en ligne ;... En résumé, notre produit se veut : un moyen de stockage illimité ; ultra-sécurisé : les seules personnes qui peuvent avoir accès aux données sont celles qui y ont été explicitement autorisées ; extrêmement simple d utilisation : l utilisateur ne doit pas avoir de connaissances particulières afin d utiliser le produit. Pour cela, nous prévoyons plusieurs axes de développements. 1.3 Les différentes parties de notre projet Nous avons d ores et déjà définit les quatre principaux axes de développement qui constitueront notre projet au final. La figure 1.1 reprend les différentes 2

4 parties de manière schématisée L aspect «ultra-sécurisé» Nous souhaitons que l utilisateur puisse utiliser ses données en toute sécurité. Ainsi, les seules personnes qui peuvent avoir accès aux données sont celles qui y ont été explicitement autorisées. Il nous faut alors un système d authentification fiable, qui permettra d avoir accès aux données de manière très sécurisée. Nous avons choisi d utiliser une carte à puce de type JavaCard : celle-ci permettra d authentifier l utilisateur et de chiffrer/déchiffrer les données. JavaCard permet un cycle de développement très court : c est la raison pour laquelle nous souhaitons utiliser cet outil. De plus, le département est spécialisé dans son utilisation L interface Homme-Machine L utilisation d une clé USB signifie également qu il faudra créer une interface informatique que l utilisateur pourra manipuler pour avoir accès à ses données. Cette interface doit pouvoir communiquer avec la clé USB (et donc la JavaCard précédemment citée) mais aussi avec les serveurs qui permettront le stockage et le WebService 1 (nous reviendrons dessus dans un paragraphe suivant). L idéal serait évidemment que l utilisation de la clé USB soit transparente avec le système d exploitation de l ordinateur, c est à dire que l utilisateur n ai pas besoin de changer ses habitudes pour ajouter ses fichiers, les supprimer ou les modifier Le stockage des données L utilisateur doit être libre de choisir le serveur sur lequel stocker les données. Nous pensions notamment aux solutions de stockage en ligne offrant des services gratuits comme MegaUpload, RapidShare... Les données doivent être stockées de manière «illimitée» et sécurisée. Elles devront être, entre autres, chiffrées et seuls les utilisateurs autorisés pourront y accéder Le WebService C est grâce à lui que nous souhaitons proposer un ensemble de services pour l utilisateur tel que la restauration des données en cas de perte ou de vol, le blocage de la clé... Ce WebService récupérera la liste des fichiers de l utilisateur de façon transparente et sera en mesure de la restituer dans les cas prévus précédemment. Il devra aussi pouvoir authentifier l utilisateur de manière optionnelle, si ce dernier a souscrit au service, augmentant le niveau de sécurité (possibilité de blocage de la carte par exemple). 1 Un WebService peut être assimilé à une application comme il en existe tant sur les postes informatiques, sauf qu elle est accessible à travers le réseau Internet. 3

5 Fig. 1.1 Schéma technique simplifié 4

6 Chapitre 2 Campus Entrepreneur 2.1 Présentation Nous participons à un concours nommé Campus Entrepreneur. «Il s agit d imaginer un projet de création d entreprise sous la forme de gestion de projets et de mener une enquête de terrain pour en mesurer la faisabilité». Nous avons donc proposé ce projet et avons été retenus pour le présenter lors d un jury final qui aura lieu à la fin du mois de Mai. Grâce à cela, nous avons déjà procédé à un certain nombre d études avec notamment : une étude de marché que nous vous présenterons succintement dans la suite de ce chapitre ; une étude de rentabilité. 2.2 L étude de marché Après un certain nombre de recherches, nous n avons trouvé qu un seul concurrent direct qui se trouve être Gemalto. Gemalto propose deux clés USB qui peuvent nous concurrencer : Yuwaa qui permet un stockage limité en ligne, où seuls les échanges sont chiffrés ; Smart Guardian, clé USB destinée aux professionels, utilisant une carte à microprocesseur et se rapprochant plus de notre produit. En revanche, nous avons un certain nombre de concurrent indirects : tous les fabricants ou fournisseurs de moyens de stockage (Kingston, Seagate, MegaUpload, le P2P,...). Ce qui va pouvoir différencier notre produit de ceux existant sera sa flexibilité : la possibilité d utiliser ses propres serveurs pour le stockage, ainsi que tous les services que nous souhaitons proposer autour. 5

7 Chapitre 3 L existant Dans ce chapitre, nous allons décrire nos recherches sur l existant. Dans un soucis de structuration des informations que nous allons citer, nous allons les organiser par domaines de développement de notre projet. 3.1 Le développement carte à puce Une des bases de notre projet va être constituée par du développement JavaCard (carte à puce utilisant le langage Java). S agissant d une des spécialités du département informatique de Limoges, nous avons accès à plusieurs cours Le développement Le développement sur carte à puce va nécessiter un certain nombre d outils. En effet, il sera nécessaire de charger les applications que nous allons créer sur la JavaCard. Un outil que nous sommes susceptibles d utiliser et qui a été développé par des étudiant de Master du département informatique est le projet OPAL Les applications JavaCard Étant donné tous les services que nous souhaitons proposer avec notre produit, nous aurons un certain nombre de problématiques à gérer : La gestion d un code PIN permettant d identifier l utilisateur. Heureusement, l API JavaCard pour Java propose une classe OwnerPIN 3 et nous disposons d un certain nombre d exemples (voir [BC10]). À un niveau plus bas, il existe un système d authentification entre la carte à puce et l outil qui lui enverra les commandes APDU 4. Pour la suite de notre projet, nous souhaitons faire communiquer la carte à puce avec le WebService - qui, il faut le rappeler, est en ligne. Il faudra donc que nous implémentions un système d authentification entre les deux 1 Voir Lan10. 2 Voir ICAL08. 3 Voir Mic

8 unités. À cet effet, mais en dernier temps, nous pensions peut être pouvoir utiliser l algorithme cryptographique GPS (Girault, Poupard/Paillès, Stern) 5 qu un autre groupe de Master 1 souhaite implémenter dans le cadre de leur projet. Le reste des applications reste à définir, mais les points qui pourraient poser problèmes sont cités précédemment. 3.2 La communication entre la carte à puce et l ordinateur Il va s agir de l application principale de notre projet. Nous avons un cahier des charges assez strict à respecter : l utilisation de notre clé doit être transparente sur le système d exploitation hôte ; et simple! Cet élément se nommera le driver La communication avec la carte à puce Pour cette partie, nous avons déjà une idée d utilisation bien précise. La librairie PC/SC Lite du projet MUSCLE 6 en sera l élément central. Nous avons également besoin de quelques outils pour tester le driver qui est utilisé et vérifier que notre matériel fonctionne correctement : les outils de Ludovic Rousseau PC/SC Tools 7 correspondent à nos besoins : ils permettent entre autre de scripter l envoi de commandes à la carte à puces, de tester la connexion de cartes à puces et de lecteurs... Le driver doit donc communiquer avec la carte à puce contenue dans la clé USB. Pour cela, nous devons envoyer des commandes APDU (note 4) à la carte (ce qui peut correspondre à une suite d octets dans un format bien défini que l on envoie à la carte). Il existe des commandes standardisées par l ISO 7816(voir [Iso]) dont nous avons un tableau complet dans le document [She10]. La librairie pcsc-lite nous servira à cet usage. Elle est destinée au langage C et fourni tous les outils nécessaires. Nous bénéficions pour nous aider d un article provenant d une revue Linux Magazine(voir [RC08]) L intégration à l environnement Dans un soucis d efficacité, nous avons décidé de développer sur une plateforme unique : LINUX 8. Il existe en effet un outil qui est aujourd hui complètement intégré aux distributions LINUX : Filesystem in Userspace (Fuse) Voir Mus. 7 Voir RVL08. 8 Système d exploitation libre 9 Voir HS10. 7

9 Ainsi, nous n auront pas à modifier l environnement LINUX de l utilisateur, mais seulement à utiliser cette librairie qui est disponible dans divers langages de programmation, mais originellement en C. À titre d information, Fuse est déjà très largement utilisé, notamment pour le support du système de fichiers NTFS La communication avec les serveurs Dans un soucis de sécurisation des données de l utilisateur, la meilleure solution est d utiliser SSL 10. À cet effet, il existe la bibliothèque OpenSSL 11 qui nous fournit tout ce dont nous avons besoin pour communiquer avec les divers serveurs en SSL avec le langage C. Le protocole d échange de données sera le nôtre que nous définirons en fonction de nos besoins L interface utilisateur Il y aura évidemment une interaction de notre produit avec le logiciel qui sortira du cadre du «montage» d une clé USB sur son ordinateur - comme par exemple le choix d un serveur... Les bibliothèque permettant de faire des interfaces graphiques sont nombreuses. À titre d exemple, nous pouvons citer GTK+ 12 ou Qt 13 : nous avons une certaine expérience avec ce dernier. GTK+ est mieux intégré à un environnement GNOME 14 et est destiné à être utilisé avec le langage C, même s il est possible d utiliser d autres langages de programmation. En revanche, Qt s intègre plus à un environnement KDE 15 et utilise le langage C++, même si là aussi il est possible d utiliser d autres langages de programmation. Dans le cadre de Campus Entrepreneur, il sera à noté que les deux frameworks sont sous licence LGPL Le WebService Un WebService peut être assimilé à une application accessible à travers le réseau Internet. Nous n avons pas encore choisi par quel moyen fonctionnera notre WebService. Les solutions sont évidemment nombreuses. Nous pourrions par exemple 10 Secure Sockets Layer : un protocole de sécurisation des échanges sur Internet 11 Voir Ope Voir Gtk. 13 Voir Nok GNU Lesser General Public License 8

10 réutiliser les cours de Développement d Applications Distribuées 17, ou utiliser les langages PHP ou Python. Dans le cas où nous souhaiterions réutiliser le cours de Développement d Applications Distribuées, nous utiliserions le framework JavaEE 18 Spring 19. Dans le cadre de notre application, cette partie sera optionnelle. Dans notre Business Model, nous allons vendre ce service. 3.4 Le serveur de stockage Dans l idéal, nous devrions gérer tous les protocoles de communication de manière à ce que l utilisateur soit libre de choisir le serveur qu il souhaite utiliser sans distinction. Le problème est que la notion d accès concurrent 20 aux ressources est difficile à appréhender. De ce fait, nous souhaitons utiliser dans un premier temps un outil qui les gère déjà, ce que ne font pas les protocoles HTTP, FTP... Cet outil sera WebDAV 21 qui fournit un ensemble de modules permettant de gérer les accès concurrents 22. En pratique, WebDAV est une extension du protocole HTTP. Il existe en plus une librairie qui permet d implémenter en PHP 5 un serveur WebDAV. 17 Voir IC Java Entreprise Edition 19 Voir sou lorsque deux utilisateurs veulent modifier une donnée en même temps. 21 Web-based Distributed Authoring and Versioning 22 Voir Whi08. 9

11 Conclusion Nous terminons ainsi notre étude de l existant. Cette étude nous l avions déjà commencée au démarrage de notre projet (et a été nécessaire) pour nous fixer une direction dans laquelle nous diriger. Nous avons donc des idées assez précises de nos besoins. Notre projet nécessite beaucoup de technologies différentes, et possède donc de nombreux axes de développement : développement carte à puce ; système de fichiers LINUX ; communication via socket SSL ; WebService ; WebDav et système de stockage de données sur un serveur distant qui appartient à un utilisateur. Ce projet est tout de même ambitieux et fait écho au concours Campus Entrepreneur. Nous devons en plus travailler les aspects «communication» et «création d entreprise». À la fin du mois prochain, nous devrons rendre le plan de financement. En ce qui concerne les problèmes, nous en avons déjà rencontré quelques uns au niveau du développement JavaCard : les fournisseurs de cartes souhaitant vendre leurs outils propriétaires, ils ne respectent pas forcément les spécifications GlobalPlatform (voir [Glo06]). Heureusement, d autres étudiants - Damien Arcuset et Éric Linke - ont eu ce problème lors de la création de la librairie Java OPAL et nous ont fait bénéficier de la solution. Il est évident que nous rencontrerons d autres ennuis, notamment sur toutes les technologies que nous ne maitrisons pas. 10

12 Bibliographie [BC10] [Glo06] [Gtk] [Web] [HS10] [IC10] [ICAL08] [Iso] [Lan10] [Mic03] Samia Bouzefrane et Julien Cordry. ED3 sur la Technologie Java Card. [COURS]. CNAM url : ~bouzefra/cours/cours_sem/. GlobalPlatform. GlobalPlatform Card Specification. The Standard for Smart Card Infrastructure. Version 2.2. [Spécification] p. GTK+. The GIMP Toolkit. Version [Software]. GNOME Project url : (visité le 24/03/2010). Guide pratique de mise en œuvre d un serveur WebDAV sous Apache avec LDAP et SSL url : http : / / www. ibiblio. org / pub/linux/docs/howto/translations/fr/html-1page/apache- WebDAV-LDAP-HOWTO.html. Csaba Henk et Miklos Szeredi. Filesystem in Userspace. Version [Software]. 2 fév url : net/ (visité le 02/02/2010). Julien Iguchi-Cartigny. Introduction. Développement d Application Distribuées. [Cours]. Université de Limoges url : http: // kartoch. msi. unilim. fr ; Julien Iguchi-Cartigny. Le point de vue du programmeur. Développement d Application Distribuées. [Cours]. Université de Limoges Julien Iguchi-Cartigny, Damien Arcuset et Éric Linke. Open Platform Access Library. [Bibliothèque Java]. Déc url : ISO/IEC 7816 Smart Card Standard. [International standard]. [ABSTRACT]. International Organization for Standardization et International Electrotechnical Commission url : http: //en.wikipedia.org/wiki/iso/iec_7816 (visité le 24/03/2010). Jean-Louis Lanet. Smart Card Introduction. [Part 1] ; Jean- Louis Lanet. Smart Card Concepts. [Part 2] ; Jean-Louis Lanet. Java Virtual Machine. [Part 3] ; Jean-Louis Lanet. Java Virtual Machine Advanced features. [Part 4] ; Jean-Louis Lanet. Logical attacks. [Part 6] Sun Microsystems, éd. Class javacard.framework.ownerpin. [JavaCard API] url : javacardapi221/javacard/framework/ownerpin.html (visité le 24/03/2010). 11

13 [Mus] Movement for the Use of Smart Cards in a Linux Environment. Version 1.9. [UNIX Project]. MUSCLE url : linuxnet.com/. [Nok10] Nokia, éd. Qt. Cross-platform application and UI framework [Ope10] [RC08] [RVL08] [She10] OpenSSL. OpenSSL. Cryptography and SSL/TLS Toolkit. Version 0.9.8n. [Software]. OpenSSL. 24 mar url : openssl.org/ (visité le 24/03/2010). Ludovic Rousseau et David Corcoran. «Le projet MUSCLE ou la bibliothèque PC/SC Lite». Éd. par Diamond éditions. Dans : LINUX Magazine / France. Cartes à puce : administration et utilisation 39 (2008). Ludovic Rousseau, Lionel Victor et Christophe Levantis. PCSCtools url : pcsc-tools/. Alexander Shevelev. APDU Table. 24 mar url : cheef.ru/docs/howto/apdu.table (visité le 24/03/2010). [sou10] Spring source, éd. Spring source url : http : / / www. springsource.org. [Wik] [Whi08] WebDAV on wikipedia url : wiki/webdav. Jim Whitehead. WebDAV Resources url : webdav.org/. 12

14 Table des figures 1.1 Schéma technique simplifié

15 Table des matières 1 Présentation du projet L équipe Notre projet Les différentes parties de notre projet L aspect «ultra-sécurisé» L interface Homme-Machine Le stockage des données Le WebService Campus Entrepreneur Présentation L étude de marché L existant Le développement carte à puce Le développement Les applications JavaCard La communication entre la carte à puce et l ordinateur La communication avec la carte à puce L intégration à l environnement La communication avec les serveurs L interface utilisateur Le WebService Le serveur de stockage Conclusion 10 Bibliographie 12 Liste des figures 13 Table des matières 14 14