The Internet of Things promises a connected environment reacting to and addressing our every need, but based on the assumption that all of our movements and words can be recorded and analysed to achieve this end. Ubiquitous surveillance is also a precondition for most dystopian societies, both real and fictional. How our personal data is processed and consumed in an ever more connected world must imperatively be made transparent, and more effective technical solutions than those currently on offer, to manage personal data must urgently be investigated.

Open data and open source software might be part of the solution to sciences reproducibility crisis, but they are insufficient to guarantee reproducibility. Requiring minimal end-user expertise, the encapsulator system creates a time capsule with reproducible code in a self-contained computational environment. encapsulator provides end users with a fully featured desktop environment for reproducible research.

To realize the broad vision of pervasive computing, underpinned by the 'Internet of Things' (IoT), it is essential to break down application and technology-based silos and support broad connectivity and data sharing; the cloud being a natural enabler. Work in IoT tends toward the subsystem, often focusing on particular technical concerns or application domains, before offloading data to the cloud. As such, there has been little regard given to the security, privacy, and personal safety risks that arise beyond these subsystems; i.e., from the wide-scale, cross-platform openness that cloud services bring to IoT. In this paper, we focus on security considerations for IoT from the perspectives of cloud tenants, end-users, and cloud providers, in the context of wide-scale IoT proliferation, working across the range of IoT technologies (be they things or entire IoT subsystems). Our contribution is to analyze the current state of cloud-supported IoT to make explicit the security considerations that require further work.

As cloud computing becomes an increasingly dominant means of providing computing resources, legal and regulatory issues associated with the cloud also become more pronounced. In particular, there is a heightened focus on ensuring the privacy and integrity of users' personal data. At present, the cloud is opaque, a black box. The technical means for enforcing and demonstrating compliance with data management practices lag behind legal and regulatory aspirations. Information flow control (IFC) enables auditable, fine-grained management as data moves throughout systems. IFC offers the potential to improve the visibility and control over data flows within and between cloud services and cloud-hosted applications. The authors use real-world legal/regulatory examples to show how IFC can help satisfy data management obligations and improve the accountability of responsible parties.

Security concerns are widely seen as an obstacle to the adoption of cloud computing solutions. Information Flow Control (IFC) is a well understood Mandatory Access Control methodology. The earliest IFC models targeted security in a centralised environment, but decentralised forms of IFC have been designed and implemented, often within academic research projects. As a result, there is potential for decentralised IFC to achieve better cloud security than is available today. In this paper we describe the properties of cloud computing - Platform-as-a-Service clouds in particular - and review a range of IFC models and implementations to identify opportunities for using IFC within a cloud computing context. Since IFC security is linked to the data that it protects, both tenants and providers of cloud services can agree on security policy, in a manner that does not require them to understand and rely on the particulars of the cloud software stack in order to effect enforcement.

Organisé par la Société des études robespierristes et l'IRHIS, Université Paris 1 Panthéon Sorbonne

Organisée par l'Institut Jean Carbonnier, Université de Poitiers dans le cadre des Vespérales de l’Institut Jean Carbonnier, Cycle "Les représentations en droit du travail"

Organisé par l’équipe du Master de Droit Social, Université Paris-Nanterre

Colloque en ligne organisé par le LEJEP de CY Cergy Paris Université et l'IRERP de l'Université Paris Nanterre

Organisé par l’Equipe de recherche Louis Josserand, sous la direction scientifique de Xavier Delpech, Professeur associé, Université́ Jean Moulin Lyon 3, Centre de droit de l’entreprise

Organisé par l’IFG, Université de Lorraine, le Comptrasec, Université de Bordeaux - CNRS, l'IRERP, Université Paris Nanterre, et le CERCRID, Université Jean-Monnet Saint-Etienne - CNRS.

Advanced Persistent Threats (APTs) are difficult to detect due to their low-and-slow attack patterns and frequent use of zero-day exploits. We present UNICORN, an anomaly-based APT detector that effectively leverages data provenance analysis. From modeling to detection, UNICORN tailors its design specifically for the unique characteristics of APTs. Through extensive yet time-efficient graph analysis, UNICORN explores provenance graphs that provide rich contextual and historical information to identify stealthy anomalous activities without pre-defined attack signatures. Using a graph sketching technique, it summarizes long-running system execution with space efficiency to combat slow-acting attacks that take place over a long time span. UNICORN further improves its detection capability using a novel modeling approach to understand long-term behavior as the system evolves. Our evaluation shows that UNICORN outperforms an existing state-of-the-art APT detection system and detects real-life APT scenarios with high accuracy.

1ère Journée d’études « DISPROSAC » organisé par l’IETL, Lyon 2

Organisées par l'Institut d'Etudes du Travail de Lyon

Organisée par l’Université Lumière Lyon 2

Conférence-débat du cycle « Les séances d'actualité de l'IETL » organisée par l'Institut d'Etudes du Travail de Lyon et l'équipe "Mutations du travail et des organisations en temps de crise" du CERCRID (UMR 5137)

The execution of distributed data processing workloads (such as those running on top of Hadoop or Spark) in cloud environments presents a unique opportunity to explore multiple trade-offs between elasticity (and types of resources being allocated), overall runtime and total costs. However, beyond high-level constraints and objectives, it's not the end-users who should be mainly concerned with those optimizations, but the cloud providers. They have both the vantage point to collect actionable information, economies of scale and position to adjust parameters when dynamic conditions change, in order to fulfil SLOs that go beyond classic measures of latency and throughput.This is at odds with the existing approach of making software (including the interfaces to the cloud and the processing frameworks) as configurable as possible. We propose that rather than configurability, self-tunability (or the illusion of it as far as the end-user is concerned) is a better long-term goal.

Organisé par l'équipe "Mutations du travail et des organisations en temps de crise" du CERCRID (CEntre de Recherches CRItiques sur le Droit)

Identifying the root cause and impact of a system intrusion remains a foundational challenge in computer security. Digital provenance provides a detailed history of the flow of information within a computing system, connecting suspicious events to their root causes. Although existing provenance-based auditing techniques provide value in forensic analysis, they assume that such analysis takes place only retrospectively. Such post-hoc analysis is insufficient for realtime security applications; moreover, even for forensic tasks, prior provenance collection systems exhibited poor performance and scalability, jeopardizing the timeliness of query responses. We present CamQuery, which provides inline, realtime provenance analysis, making it suitable for implementing security applications. CamQuery is a Linux Security Module that offers support for both userspace and in-kernel execution of analysis applications.We demonstrate the applicability of CamQuery to a variety of runtime security applications including data loss prevention, intrusion detection, and regulatory compliance. In evaluation, we demonstrate that CamQuery reduces the latency of realtime query mechanisms, while imposing minimal overheads on system execution. CamQuery thus enables the further deployment of provenance-based technologies to address central challenges in computer security.

Organisé par de l'équipe "Mutations du travail et des organisations en temps de crise" du CERCRID (UMR 5137)

Organisée par l’Université de Bordeaux, le GEFACT, le CIERA et le COMPTRASEC

Sous la direction scientifique de Mme Nathalie Martial-Braz, avec la participation des Master 2 Droit et Obligations Civiles et Commerciales, et Droit des Activités Numériques

Information Flow Control (IFC) extends conventional access control beyond application boundaries, and allows control of data flows after a point of authorised data disclosure. In a deployment of IFC within a cloud operating system (OS), the IFC implementation can be trusted by applications running over the same OS instance. In an IFC deployment within a widely distributed system, such as in the Internet of Things, the potential for trustworthy enforcement of IFC must be ascertained during connection establishment. IFC is based on tagging data in line with data management requirements. When audit is included as part of IFC, it can be shown that a system complies with these requirements. In this paper, we consider the possibility that some tags may be sensitive and discuss the use of Private Set Intersection (PSI) to prevent unnecessary disclosure of IFC tags during the establishment of communication channels. The proposed approach guarantees that on authorised flows, only the tags necessary for that interaction are disclosed and that no tags are disclosed for prevented flows. This functionality is particularly important in contexts such as healthcare, where privacy and confidentiality are paramount.

Concern about data leakage is holding back more widespread adoption of cloud computing by companies and public institutions alike. To address this, cloud tenants/applications are traditionally isolated in virtual machines or containers. But an emerging requirement is for cross-application sharing of data, for example, when cloud services form part of an IoT architecture. Information Flow Control (IFC) is ideally suited to achieving both isolation and data sharing as required. IFC enhances traditional Access Control by providing continuous, data-centric, cross-application, end-to-end control of data flows. However, large-scale data processing is a major requirement of cloud computing and is infeasible under standard IFC. We present a novel, enhanced IFC model that subsumes standard models. Our IFC model supports 'Big Data' processing, while retaining the simplicity of standard IFC and enabling more concise, accurate and maintainable expression of policy.

This paper reports on our experience with providing Information Flow Control (IFC) as a library. Our aim was to support the use of an unmodified Platform as a Service (PaaS) cloud infrastructure by IFC-aware web applications. We discuss how Aspect Oriented Programming (AOP) overcomes the limitations of RubyTrack, our first approach. Although use of AOP has been mentioned as a possibility in past IFC literature we believe this paper to be the first illustration of how such an implementation can be attempted. We discuss how we built FlowR (Information Flow Control for Ruby), a library extending Ruby to provide IFC primitives using AOP via the Aquarium open source library. Previous attempts at providing IFC as a language extension required either modification of an interpreter or significant code rewriting. FlowR provides a strong separation between functional implementation and security constraints which supports easier development and maintenance; we illustrate with practical examples. In addition, we provide new primitives to describe IFC constraints on objects, classes and methods that, to our knowledge, are not present in related work and take full advantage of an object oriented language (OO language). The experience reported here makes us confident that the techniques we use for Ruby can be applied to provide IFC for any Object Oriented Program (OOP) whose implementation language has an AOP library.

.

Le Cambodge a connu une période chaotique, peu propice au développement d’un ordre juridique et judiciaire digne de ce nom. Bien que l’ordre et le pays soient restaurés et que l’État se soit restructuré, le Cambodge n’est pas encore une démocratie avec tous les attributs que cela sous-entend. Le droit dans ses différentes composantes en est un exemple. Si de nombreuses normes ont été et continuent d’être régulièrement et démocratiquement adoptées, l’application des règles reste problématique et la justice est dans un état embryonnaire. La jurisprudence est quasi inexistante faute de magistrats compétents, de publication des jugements et de volonté politique. Cet état lacunaire touche aussi la doctrine qui est très rudimentaire. L’un des corps de règles les plus complets concerne le droit du travail. Il reprend toutes les normes internationales en particulier les droits fondamentaux collectifs : la reconnaissance et le respect de la liberté syndicale, le droit de la négociation collective et le droit de grève. Pourtant, ces droits ne sont pas effectifs. Dans le contexte économique et politique du Cambodge, les travailleurs sont rarement à même de réclamer la simple application du droit existant. Dans cette quête de l’effectivité du droit proclamé, de nouveaux acteurs sont intervenus : d’une part l’OIT, par un soutien structurel (Conseil d’arbitrage) et concret (programme Better Factories Cambodia) ; d’autre part les entreprises multinationales de grandes marques. Tournées vers une clientèle occidentale, elles se doivent d’apparaître vertueuses et prennent des engagements de responsabilité sociale. Cette thèse s’interroge sur le rôle que joue cette « soft law », au côté du droit national. Dans quelle mesure les engagements de ces acteurs permettent-ils le respect effectif des droits fondamentaux collectifs ?

Le numérique s’impose dans tous les pans de la société et galvanise les esprits de ceux qui s’intéressent de près ou de loin au travail. Le numérique est la clé de nouveaux moyens de communiquer, de participation aux décisions collectives, d’exécution de la prestation de travail ou de service, de nouvelles pratiques en entreprise, de nouveaux espaces de travail, de nouvelles organisations de travail, et parfois même de nouveaux métiers. Ces innovations bouleversent notre vision de l’entreprise traditionnelle, celle issue de la Révolution industrielle. Plus encore, les effets produits par les outils numériques sur l’activité professionnelle, essentielle en ce qu’elle permet à l’individu de gagner les moyens nécessaires à son existence et de s’insérer dans la société, inquiètent, effraient, alarment. Des risques pour le travailleur numérique sont renouvelés, tandis que d’autres émergent. Ils sont ceux du contrôle numérique, de la gestion algorithmique, de la communication virtuelle et, corrélativement, de l’éloignement de la communauté de travail. Ils sont ceux d’une dépendance à l’égard d’un donneur d’ordre, voire à la technologie elle-même. Il est pourtant une universalité, qui ne saurait être écartée. Qu’il soit salarié ou indépendant, le travailleur numérique a le droit au respect de son impérative dignité. Les droits fondamentaux ne s’avèrent pas seulement utiles ou pratiques, ils sont alors indispensables et inéluctables. Aussi, face au phénomène complexe du travail numérique, dont le législateur s’est saisi par touches ponctuelles, éparses et inévitablement partielles, cette thèse a pour objectif d’envisager, par un effort de généralisation et de conceptualisation, la protection du travailleur numérique par le truchement de ses droits fondamentaux. Actant les limites du droit positif, notamment au niveau législatif, elle invite à mettre en œuvre les droits fondamentaux des travailleurs numériques salariés, mais aussi indépendants, dans le Code du travail comme dans le Code de commerce. À partir de cette étude, une conception renouvelée de la protection du travailleur numérique est mise en lumière. Elle peut servir de base tant aux analyses sur les innovations technologiques futures qui continueront d’impacter le monde du travail, qu’à l’édification d’une garantie universelle des droits fondamentaux des travailleurs.

Les plateformes numériques de travail construisent leur modèle économique à l’écart des règlementations traditionnellement applicables aux secteurs d’activités dans lesquelles elles évoluent (par exemple, le transport privé de personnes), au premier rang desquelles figure le droit du travail. Au motif qu’elles ne seraient que des intermédiaires entre une offre et une demande, la qualification de travailleur salarié (parfois même, de travailleur tout court) est niée. On lui préfère l’indépendance supposée par le recours aux contrats civils et commerciaux. Les travailleurs des plateformes ne peuvent alors pas leur opposer le respect du droit social (ex : droit du licenciement, droit de négociation collective, congé maternité, assurance chômage, etc.). Pourtant, dès lors qu’une organisation développe une activité économique et commerciale qui suppose le recourt à des contrats portant sur la force de travail pour en permettre le développement, il est difficile d’affirmer l’absence de travail comme l’indépendance. Les plateformes de travail ne sont pas de simples plateformes d’intermédiation, mais des organisations productives s’inspirant bien plus que les entreprises des logiques de concurrence qui gouvernent le marché. La remise en cause de la législation sociale qu’elles provoquent s’inscrit dans une vision déterministe du droit du travail qui prétend que le droit doit nécessairement s’adapter aux exigences formulées par l’économie. En aucun cas cependant, le droit du travail se trouve dépourvu de réponse face à ces nouveaux modèles. Au contraire, les perturbations qu’ils provoquent font écho à l’histoire même de sa construction, invitant au-delà du droit français, le droit social européen et international, à affirmer ses exigences et ses ambitions.

Les données à caractère personnel ont subi de grands changements qui justifient une nouvelle étude de cette notion. Ces données particulières sont aujourd’hui au cœur de l’économie numérique et font, pour cette raison, l’objet de nombreuses revendications. Volonté d’appropriation de la part des exploitants, demande de protection de la part des personnes concernées par les données, font partie des enjeux qu’il s’agit de concilier. Une définition et une qualification adéquates des données personnelles apparaissent alors indispensables afin de trouver un équilibre entre les différents intérêts en présence. La thèse démontrera la nécessité d’adopter une nouvelle vision des données personnelles, pour refléter au mieux leurs caractéristiques actuelles et ce afin de les encadrer de manière efficace.