Spécification et gestion des autorisations dans les infrastructures multicloud // Authorization specification and management in multi-cloud infrastructures

Cette thèse de doctorat porte sur la cybersécurité et la confiance dans les environnements multi-cloud et se compose de deux parties :

Partie 1 : Modèles et mécanismes de contrôle d'accès.

Les modèles qui reposent sur l'identité des utilisateurs ne conviennent pas entièrement aux systèmes décentralisés et distribués. Notre objectif est de fournir un cadre formel de contrôle d'accès pouvant être utilisé pour spécifier les opérations et les procédures décisionnelles dans les systèmes cloud distribués et fédérés.

Inspiré du contrôle d'accès basé sur les attributs, le modèle proposé prendra en compte les informations contextuelles, les groupes d'utilisateurs et les relations entre les entités (causales, sociales ou définies par l'application).

Le modèle que nous souhaitons développer offrira un contrôle plus granulaire que les modèles traditionnels. En particulier, différents utilisateurs peuvent entretenir des relations différentes avec les mêmes ressources (ou applications), et ces dernières peuvent avoir des dépendances entre elles. De plus, la gestion des accès est intrinsèquement dynamique dans les environnements ouverts et distribués, tels que le multi-cloud, ce qui nécessite des règles s'adaptant à des conditions en constante évolution.

Actuellement, la plupart des solutions d'autorisation existantes s'appuient sur un module d'autorisation centralisé qui gère les politiques et les identifiants pour prendre des décisions d'autorisation (par exemple, le serveur d'autorisation dans le cas d'OAuth2.0 ou le module PDP/PEP dans le cas de XACML) [1]. D'autre part, la blockchain est apparue ces dernières années comme une solution pertinente pour renforcer la sécurité et le contrôle d'accès dans les environnements cloud. En tant que registre distribué et immuable, la blockchain garantit la traçabilité et l'intégrité des transactions, notamment celles liées à l'accès et à la gestion des données.

Nous souhaitons explorer la manière dont la technologie blockchain peut faciliter l'enregistrement d'informations contextuelles et leur intégration dans les politiques de contrôle d'accès.

Partie 2 : Abus de privilèges et contremesures

Le niveau de sécurité offert par un système de contrôle d'accès dépend principalement de l'exactitude et de la précision de ses politiques. Si des principes tels que le principe du moindre privilège et la séparation des tâches constituent une base solide pour la conception de ces politiques, ils sont par nature statiques et ne permettent pas d'anticiper l'utilisation abusive de privilèges légitimement accordés. Cette limitation devient particulièrement critique dans des environnements dynamiques, comme les plateformes cloud, où les utilisateurs, les données et les services sont en constante évolution.

Pour remédier à ce problème, nous proposons de compléter les systèmes de contrôle d'accès traditionnels par des mécanismes proactifs de détection des anomalies. L'apprentissage automatique (ML) offre des outils prometteurs pour atteindre cet objectif, car il permet d'apprendre les modèles de comportement des utilisateurs à partir des données d'accès historiques et d'identifier les écarts qui peuvent indiquer un abus de privilèges ou une menace interne. Ces modèles contribuent également à transformer le contrôle d'accès en un système auto-adaptatif et sensible au contexte, capable d'évoluer en fonction du comportement des utilisateurs et de la nature dynamique des environnements cloud.

L'intégration de ces mécanismes d'apprentissage dans les cadres de contrôle d'accès permet d'affiner en permanence les politiques. Lorsqu'une anomalie est détectée, le système peut déclencher des alertes ou adapter automatiquement les politiques afin d'empêcher toute utilisation abusive future. Cette approche transforme le contrôle d'accès en un système auto-adaptatif et sensible au contexte, capable d'évoluer en fonction du comportement des utilisateurs et de la nature dynamique des environnements cloud.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------

The proposed PhD thesis focuses on cybersecurity and trust in multi-cloud environments, and includes the two following parts :

Part 1: Access control models and mechanisms

Models that rely on user identities are not fully suited to decentralized and distributed systems. Our goal is to provide a formal access control framework that can be used to specify operations and decision-making procedures in distributed and federated cloud systems [4].

Inspired by attribute-based access control, the proposed model will support the notions of contextual information, user groups and relationships between entities (e.g. causal, social, defined by the application) [5].

The model we aim to develop will offer more granular control than traditional models. In particular, different users may have different relationships with the same resources, and resources (or applications) may have dependencies between them. Furthermore, access management is inherently dynamic in open and distributed environments such as multi-cloud, requiring rules to adapt to evolving conditions. These changes may include updates to user attributes, revocations, or contextual factors such as geolocation, time of access, device type, or authentication strength [6].

Nowadays, most of the existing authorization solutions rely on a centralized authorization module, which can include policy administration and credential management for authorization decisions (e.g., the authorization server in the case of OAuth2.0 or the PDP/PEP module in the case of XACML) [1]. On the other hand, blockchain has emerged in recent years as a relevant solution for strengthening security and access control in cloud environments [3,8].
As a distributed and immutable ledger, blockchain guarantees the traceability and integrity of transactions, particularly those related to the access and management of data. Blockchain enables to decentralize the access evaluation process by enforcing access control rules in the form of smart contracts [2].

We aim to explore how blockchain technology can facilitate the recording of contextual information and its integration into access control policies.

Part 2: Privilege Abuse and Mitigation Measures

The level of security offered by an access control system mainly depends on the correctness and precision of the policies that govern it. While principles such as least privilege and separation of duties provide a solid foundation for policy design, they are static by nature and cannot anticipate the misuse of legitimately granted privileges. This limitation becomes particularly critical in dynamic environments such as cloud platforms, where users, data, and services are in a constant state of evolution.

To address this issue, we propose to complement traditional access control systems with proactive anomaly detection mechanisms. Machine learning (ML) (e.g. sequence- or graph-based) provides promising tools to achieve this goal, as it can learn user behavior patterns from historical access data and identify deviations that may indicate privilege abuse or insider threats [7]. These models can analyze access frequencies and resource types, as well as contextual information such as time, location, and co-occurring actions, to establish comprehensive behavioral profiles. Moreover, it helps to transforms access control from a static rule-based mechanism into a self-adaptive, context-aware system that can evolve alongside user behavior and the dynamic nature of cloud environments.

Ultimately, integrating these learning mechanisms into access control frameworks enables policies to be continuously refined. When an anomaly is detected, the system can trigger alerts or automatically adapt policies to prevent future misuse. This approach transforms access control from a static rule-based mechanism into a self-adaptive, context-aware system that can evolve alongside user behavior and the dynamic nature of cloud environments.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Début de la thèse : 01/03/2026

Autre financement public

ANR Financement d'Agences de financement de la recherche*

Télécom SudParis

626 Ecole Doctorale de l'Institut Polytechnique de Paris

- Profil cyber sécurité avec une appétence forte pour le formalisme - Expérience en machine learning - Expérience en programmation (Python) - Anglais parlé et écrit - Rigueur - Autonomie - Travail en équipe - Optionnellement : connaissances en blockchain et/ou cloud
- Cybersecurity profile with a strong appetite for formalism. - Experience of machine learning. - Programming experience (Python). - Fluency in spoken and written English - Rigorous - Autonomous - Team player Optional: knowledge of blockchain and/or cloud.