Services de sécurité inter-locataire et multi-locataire pour les logiciels en tant que service

Récemment, l'infonuagique a joué un rôle essentiel dans l'évolution de la technologie d'informatique. Les logiciels en tant que service (SaaS for software as a service) sont parmi les services infonuagiques les plus attractifs qui ont suscité l'intérêt des fournisseurs et des consommateurs d'applications Web. D'une part, l'externalisation des ressources permet au fournisseur de déployer une application dans une infonuagique publique au lieu de gérer ses ressources sous-jacentes (machines physiques). D'autant plus, les ressources de cette application peuvent être dynamiquement et automatiquement mises à l'échelle en fonction de l'évolution de la clientèle et/ou de la quantité du trafic. D'autre part, la mutualisation (partage) des ressources permet au fournisseur une réduction significative des coûts d'infrastructure et de maintenance en partageant la même instance d'application entre plusieurs locataires, appelés tenants (en anglais). Un locataire peut s'abonner aux SaaS à la demande en payant à l'usage. En dépit de leurs avantages, l'externalisation et la mutualisation des ressources entraînent de nouveaux défis et risques de sécurité qui doivent être inventoriés et résolus par le fournisseur d'un SaaS. Le locataire d'un SaaS ne peut pas déployer ses systèmes de détection d'intrusion (IDS for intrusion detection system) préférés puisqu'il ne contrôle ni le code source ni l'infrastructure de l'application (déployée par le fournisseur dans une infonuagique publique). Le fournisseur doit donc non seulement intégrer des IDS en tant que service dans son infrastructure infonuagique, mais aussi protéger chaque locataire selon ses propres exigences de sécurité. Dans un SaaS multi-locataire, les données des locataires, qui peuvent être des compétiteurs, sont stockées dans la même base de données. Le fournisseur doit donc détecter et prévenir les attaques réalisées par un locataire contre les données d'autres locataires. Plusieurs recherches scientifiques proposent des IDS infonuagiques qui se focalisent sur l'infrastructure (réseaux virtuels, machines virtuelles, etc.). Cependant, ces IDS n'offrent pas une sécurité en tant que service au fournisseur et aux locataires d'un SaaS. D'autres recherches scientifiques et entreprises informatiques suggèrent des mécanismes d'isolation des données des locataires afin de réduire les risques d'attaques entre eux. Cependant, ces mécanismes ne sont pas automatisés et ne permettent pas de prévenir les attaques entre les locataires partageant la même base de données.