Rapport enregistré du test local. Les mesures ci-dessous ont été produites dans une capsule Python locale. La démonstration interactive rejoue les fonctions fictives en JavaScript dans votre navigateur.
DEEPSCI LABS · TEST DE FAISABILITÉ · CAS FICTIFS
DeepSci Trust Verify rejoue un accès interdit sur une cible fictive, puis sur sa version corrigée. Il vérifie aussi qu’un accès légitime fonctionne encore. Ce rapport s’adresse aux développeurs et responsables techniques qui doivent examiner des signalements de sécurité.
Lecture : « before » est la version initiale, « after » la version corrigée. Les premières observations correspondent aux accès interdits ; les suivantes aux accès légitimes. Les nombres 200, 401 et 403 sont des statuts simulés par les fonctions, pas des réponses HTTP reçues sur le réseau.
| Cas | Signalement fictif | Résultat observé | Preuves avant / après |
|---|---|---|---|
| V01 | Accès privé sans connexion | Faille reproduite, correctif efficace sur les probes | {"before": [200, 200], "after": [401, 200]} |
| V02 | Lecture du document d’un autre utilisateur | Faille reproduite, correctif efficace sur les probes | {"before": [200, 200], "after": [403, 200]} |
| V03 | Sortie du dossier autorisé | Faille reproduite, correctif efficace sur les probes | {"before": [200, 200, 200, 200], "after": [403, 403, 200, 200]} |
| V04 | Jeton expiré encore accepté | Faille reproduite, correctif efficace sur les probes | {"before": [200, 200, 200], "after": [401, 401, 200]} |
| V05 | Fonction administrateur ouverte aux membres | Faille reproduite, correctif efficace sur les probes | {"before": [200, 200], "after": [403, 200]} |
| V06 | Correctif propriétaire qui oublie le client | Faille reproduite, correctif insuffisant | {"before": [200, 200, 200], "after": [403, 200, 200]} |
| V07 | Correctif chemin limité au préfixe textuel | Faille reproduite, correctif insuffisant | {"before": [200, 200, 200], "after": [403, 200, 200]} |
| V08 | Alerte ignorant le contrôle d’accès déjà présent | Alerte non reproduite dans ce cas contrôlé | {"before": [401, 200], "after": [401, 200]} |
| V09 | Lecture publique signalée comme accès non autorisé | Alerte non reproduite dans ce cas contrôlé | {"before": [403, 200], "after": [403, 200]} |
| V10 | Rapport sans version ni cible reproductible | Vérification impossible | {"reason": "Version et cible de reproduction absentes ; aucun code exécuté."} |
Avant chaque campagne, quatre sondes vérifient le refus d’ouverture réseau, d’ouverture de fichier, de création de processus et de lancement de programme. Les cibles chargées à l’avance travaillent uniquement sur des valeurs en mémoire. Restrictions Linux seccomp et limites CPU/mémoire/durée. Ce dispositif n’est pas un bac à sable pour code hostile.
Le mécanisme peut conserver des observations avant/après, détecter les deux correctifs volontairement incomplets et refuser de conclure lorsqu’il manque une cible. La précision sur de vrais rapports, l’isolation de programmes externes et la demande payante restent à valider.
L’archive du prototype contient le mode d’emploi README.md et les observations détaillées report/results.json.