Calculs tiers respectueux de la vie privée sur des systèmes de gestion de données personnels et sécurisés

The privacy of individuals is constantly undermined by some of the most prominent companies in the world. The business of gathering data about people has become gigantic following our extensive reliance on technology in many aspects of our daily lives. While these entities have traditionally centralized data, it implies a too strong trust assumption in their system, and breaches exposing the data of many individuals have become everyday events. Besides, their involvement in worldwide surveillance schemes alongside national intelligence agencies to spy on their populations has raised distrust towards them. Also, this data collection enables them to build highly accurate profiles of persons to influence their decisions. Individuals might feel overwhelmed by this and consider privacy constraining or time-consuming.In the last few years, legal means have been implemented to tip the balance in favor of individuals. The General Data Protection Regulation introduced by the European Council in 2018 is one of the most important in this matter. The collection and processing of personal data about European citizens have been strictly regulated, and citizens have been given new rights to understand and control it. In particular, the right to data portability enables citizens to export a structured copy of their data from a company holding it. Data portability is a new step toward empowering users to control their data, but it requires appropriate tools to help them in this task.Such solutions, named Personal Clouds or Personal Data Management Systems (PDMSs), emerge from industrial and scientific works, providing a hardware or software platform to facilitate many aspects of data management. Notably, they propose automatic data gathering from the many entities holding user data (administrations, banks, energy providers, etc.), informed data sharing to other individuals or companies, or beneficial computations to gain insights and knowledge. We are interested in the particular computation paradigm implemented by PDMSs where data is computed directly on a user device by a specialized data processing code written by a third party. In the case of a third party needing to perform a computation on this data, only the result of the computation is shared with them, not the raw data. For instance, the billing task of an energy provider only requires the total amount of energy consumed every month and not the detailed energy consumption traces.We consider that two fundamental requirements must be met to ensure the viability of a PDMS solution. On the one hand, it must ensure the security of the data it collects, stores, and computes, while the owner and sole administrator of the PDMS has very little knowledge about computer security. On the other hand, the PDMS must be extensible enough to handle various data and computation types. As such, designing a PDMS solution coupling security with extensiveness is challenging.This thesis aims at solving this conflict between PDMS extensiveness and its security. We rely on an architecture involving untrusted third-party code to provide computation extensiveness and recently ubiquitous mechanisms named Trusted Execution Environments to ensure security. In this setting, we study a data leakage problem arising from this particular use of third-party codes, which compute large amounts of data and produce results transmitted to third parties. To tackle this problem, we propose security design rules to limit leakage and we implemented them into computation algorithms providing both leakage protection and reasonable performance.La vie privée des individus est constamment mise à mal par certaines des entreprises les plus influentes du monde. Le commerce des données est devenu gigantesque dû à notre dépendance croissante à la technologie dans de nombreux aspects de notre vie quotidienne. La centralisation des données opérée par ces entreprises implique une confiance trop forte en elles, et les fuites exposant les données de nombreux individus sont devenues courantes. En outre, leur participation à des programmes de surveillance mondiale aux côtés d'agences de renseignement nationales pour espionner les populations a accru la méfiance à leur égard. De plus, cette collecte de données leur permet d'établir des profils très précis des individus afin d'influencer leurs décisions. Ceux-ci peuvent se sentir dépassés par cette situation et considérer que la protection de la vie privée est contraignante.Ces dernières années, des moyens juridiques ont été mis en œuvre pour faire pencher la balance en faveur des individus. Le Règlement Général sur la Protection des Données introduit par le Conseil Européen en 2018 est l'un des plus importants en la matière. La collecte et le traitement des données des citoyens européens ont été strictement encadrés, et les citoyens ont obtenu de nouveaux droits pour les comprendre et les contrôler. En particulier, le droit à la portabilité permet aux citoyens d'exporter une copie structurée de leurs données depuis un établissement qui les détient. La portabilité des données est une nouvelle étape vers l'autonomisation des utilisateurs dans le contrôle de leurs données, mais elle nécessite des outils appropriés pour les aider dans cette tâche.De telles solutions, appelées "Cloud Personnels" ou "Systèmes de Gestion des Données Personnels" (PDMS), émergent de travaux industriels et scientifiques, fournissant un moyen matériel ou logiciel pour faciliter de nombreux aspects de la gestion des données. Elles proposent notamment la collecte automatique de données auprès des nombreuses entités qui les détiennent (administrations, banques, fournisseurs d'énergie, etc.), le partage informé des données à d'autres personnes ou entreprises, ou la prise en charge de traitement avancés. Nous nous intéressons au paradigme particulier mis en œuvre par les PDMS, où les données sont traitées directement sur l’appareil de l'utilisateur par un code de traitement spécialisé écrit par un tiers. Dans le cas où un tiers a besoin d'effectuer un calcul sur ces données, seul le résultat est partagé avec lui, et non les données brutes. Par exemple, la facturation effectuée par un fournisseur d'énergie ne requiert que la quantité totale d'énergie consommée et non les traces détaillées de la consommation d'énergie.Nous considérons que deux critères fondamentaux doivent être satisfaits pour assurer la viabilité d'une solution PDMS. D'une part, elle doit assurer la sécurité des données qu'elle collecte, stocke et calcule, alors que le propriétaire et seul administrateur du PDMS a très peu de connaissances en matière de sécurité informatique. D'autre part, le PDMS doit être suffisamment extensible pour traiter différents types de données et de calculs. Ainsi, concevoir un PDMS couplant sécurité et extensibilité est difficile.Cette thèse vise à résoudre ce conflit entre l'extensibilité du PDMS et sa sécurité. Nous utilisons une architecture incluant du code tiers n’étant pas de confiance pour assurer l'extensibilité des calculs et des mécanismes appelés Environnements d’Exécution de Confiance pour assurer la sécurité. Dans ce contexte, nous étudions un problème de fuite de données découlant de cette utilisation particulière de codes tiers, qui traitent de grandes quantités de données et produisent des résultats transmis à des tiers. Nous proposons des règles de conception de sécurité pour limiter les fuites et nous les avons implémentées dans des algorithmes de traitement offrant à la fois une protection contre les fuites et des performances raisonnables