Apprenti.e (H / F) Vers un profilage des attaques de désérialisation à l’aide d’un méta-modèle

INRIA; Villeneuve-d'Ascq; Hybride; EUR 20 000 - 40 000; Plein temps

Résumé du poste

Un institut de recherche en informatique recherche un(e) apprenti(e) pour travailler sur la prévention des attaques de désérialisation. Vous devrez réaliser des études, développer des outils et collaborer avec des chercheurs sur des projets de sécurité logicielle. Ce poste offre une rémunération selon la réglementation en vigueur, des congés avantageux et la possibilité de télétravail.

Prestations

Restauration subventionnée

Transports publics remboursés partiellement

7 semaines de congés + 10 jours de RTT

Possibilité de télétravail

Accès à la formation professionnelle

Sécurité sociale

Qualifications

• Connaissances en programmation orientée objet et analyse statique requises.
• La connaissance du langage Pharo et de la machine virtuelle Java est un plus.
• Capacité à travailler en équipe et à communiquer ses résultats.

Responsabilités

• Travailler sur la méta-modélisation des piles d’attaques.
• Définir des contextes de vulnérabilité pour les méthodes.
• Développer un outil pour générer automatiquement des chaînes d’attaques.

Connaissances

Programmation orientée objet

Analyse statique de code

Méta-modélisation

Connaissance de Pharo

Communication en équipe

Outils

VSCode

Eclipse

Description du poste

Contexte et atouts du poste

L’objectif est de concevoir des méthodes permettant de définir une sémantique des attaques de désérialisation dans les applications afin de les prévenir.

Mission confiée

Objectif principal : fournir un modèle décrivant la sémantique (profil) des attaques de désérialisation pour leur prévention dans les applications réelles. L’apprenti travaillera de manière incrémentale sur les tâches suivantes : étude de la littérature sur les failles de sécurité, techniques de construction de chaînes d’attaque et détection de patterns d’attaques. Il/elle utilisera le langage Pharo, la plateforme Moose, et des IDE comme VSCode ou Eclipse pour produire une description des profils d’attaques de désérialisation.

La personne recrutée travaillera sur trois tâches principales :

1. Méta-modélisation des piles d’attaques : approfondir la compréhension des comportements des attaques de désérialisation en analysant les piles d’appels dans la littérature. Fournir un méta-modèle de ces piles en Moose.
2. Classification et contextualisation des gadgets : définir dans quels contextes une méthode ou un code est vulnérable, car les attaques reposent souvent sur l’enchaînement de méthodes vulnérables dans certains contextes.
3. Construction automatique de chaînes d’attaques : développer un outil (PoC) permettant de générer automatiquement ces chaînes, basé sur le profil défini et le contexte.

Pour mieux comprendre le sujet :

Une étude de l’état de l’art sur la détection des vulnérabilités et la construction de chaînes d’attaques sera menée.

Responsabilités

Travailler sur les trois tâches de la mission.

Principales activités :

1. Étude et compréhension du code des attaques existantes
2. Caractérisation des attaques selon leur contexte, comportement, points d’entrée, etc.
3. Étude des dépendances des attaques
4. Définition d’un profil des attaques
5. Génération de nouvelles chaînes d’attaques

Activités complémentaires :

1. Recherche bibliographique sur les attaques de désérialisation
2. Consultation des bases de données existantes sur les attaques logicielles

Compétences requises :

- Programmation orientée objet, analyse statique de code, méta-modélisation.

- La connaissance du langage Pharo et de la machine virtuelle Java est un plus.

Langues : Français, anglais

Compétences relationnelles :

• Capacité à travailler en équipe : collaboration avec l’équipe EVREF et les chercheurs en Génie Logiciel
• Facilité de communication orale et écrite : présenter ses travaux en réunions
• Adaptabilité et écoute active : intégrer les retours pour faire évoluer la recherche
• Capacité à vulgariser les résultats pour différents publics
• Interactions avec les chercheurs du partenaire Berger-Levrault

Compétences additionnelles appréciées : organisation de journées thématiques sur la sécurité logicielle.

Avantages :

• Restauration subventionnée
• Transports publics remboursés partiellement
• Congés : 7 semaines + 10 jours de RTT + autorisations exceptionnelles
• Possibilité de télétravail et aménagement du temps de travail
• Équipements professionnels (visioconférence, matériel informatique, etc.)
• Prestations sociales, culturelles, sportives (Inria)
• Accès à la formation professionnelle
• Sécurité sociale

Rémunération : Selon la réglementation en vigueur