Control Flow Analysis

Définition

La Control Flow Analysis (CFA — analyse du flux de contrôle) est une technique d'analyse statique de code qui modélise et analyse les chemins d'exécution possibles d'un programme — toutes les séquences de code qui peuvent être exécutées selon les conditions et les branchements (if/else, switch, boucles, exceptions). Dans le contexte du SAST de sécurité, la CFA permet de détecter des vulnérabilités liées à la logique de contrôle : chemins d'exécution non sécurisés, vérifications de sécurité contournables, et comportements inattendus en cas d'exception. La Control Flow Analysis construit un Control Flow Graph (CFG) représentant le programme comme un graphe orienté où les nœuds sont des blocs de code (séquences d'instructions sans branchement) et les arcs représentent les transitions possibles entre ces blocs selon les conditions d'exécution. Ce graphe permet d'analyser formellement les propriétés de sécurité du programme : "existe-t-il un chemin d'exécution depuis l'entrée utilisateur jusqu'à l'exécution d'une commande système sans passer par une validation ?" — question à laquelle la CFA peut répondre formellement. Les vulnérabilités de sécurité détectables via la CFA incluent : les exceptions non gérées qui exposent des informations sensibles (un chemin d'exécution via une exception NullPointerException contourne les blocs catch et affiche des stack traces), les vérifications d'autorisation contournables (un chemin d'exécution via une combinaison spécifique de paramètres peut contourner un bloc if(authorized)), les conditions de race (deux chemins d'exécution parallèles accédant à la même ressource sans synchronisation), et les erreurs de logique de sécurité (une vérification de sécurité incorrectement positionnée dans le CFG). Des outils SAST avancés (CodeQL, Infer, Coverity) utilisent la CFA combinée à la Data Flow Analysis pour des analyses de sécurité plus précises que les outils basés sur des patterns textuels simples. CodeQL, par exemple, représente le code source en base de données et permet d'écrire des requêtes logiques exploitant les informations de flux de contrôle pour détecter des vulnérabilités complexes.