Fiche de révision : Principes fondamentaux de la sécurité informatique

📋 Plan du Cours

1. Propriétés de sécurité
2. Vocabulaire sécurité
3. Confidentialité données
4. Intégrité systèmes
5. Disponibilité systèmes
6. Vulnérabilités
7. Menaces
8. Arbres d’attaque
9. Contre-mesures techniques
10. Contre-mesures organisationnelles

📖 1. Propriétés de sécurité

🔑 Notions clés & Définitions

• Confidentialité (voir section 3) : Assurance que des informations privées ou secrètes ne sont pas accessibles ou données à des personnes non-autorisées.
• Respect de l’individualité (Privacy) : Garantie que les personnes peuvent contrôler quelles informations personnelles sont collectées, stockées, et distribuées, permettant la protection de leur vie privée.
• Intégrité des données (voir section 4) : Assurance que les informations et programmes ne sont modifiés que suivant des moyens spécifiés et autorisés, préservant leur exactitude et leur fiabilité.
• Auditabilité (voir section 4) : Capacité à retracer chaque opération d’un système pour identifier la personne responsable de son exécution, permettant de vérifier la conformité et la traçabilité.
• Authentification (voir section 4) : Processus permettant de vérifier l’identité d’un bien ou d’une personne, assurant leur légitimité et leur intégrité depuis leur origine.

📝 Points essentiels

• La sécurité repose sur la préservation simultanée de plusieurs propriétés : confidentialité, intégrité, disponibilité, authentification, et auditabilité, comme le définit NIST (date non précisée).
• La confidentialité des données concerne la protection contre l’accès non autorisé, tandis que le respect de l’individualité concerne le contrôle par la personne des informations la concernant.
• L’intégrité garantit que les données ou systèmes ne sont pas modifiés de manière non autorisée, ce qui est crucial pour la fiabilité des systèmes.
• L’auditabilité permet de vérifier la traçabilité des opérations, essentielle pour détecter des anomalies ou des attaques.
• L’authentification assure que les entités (biens ou personnes) sont bien celles qu’elles prétendent être, renforçant la confiance dans le système.

💡 À retenir

Les propriétés de sécurité essentielles visent à protéger les biens contre les accès non autorisés, les modifications malveillantes, et à assurer la traçabilité et le contrôle des informations personnelles, garantissant ainsi la confiance et la fiabilité des systèmes.

📖 2. Vocabulaire sécurité

🔑 Notions clés & Définitions

Authentifié : Garantie que l’identité d’une personne ou d’un bien a été vérifiée et confirmée, permettant d’établir une confiance dans l’origine de l’action ou de l’information. (voir section 10)

Auditabilité : Capacité à retracer et vérifier chaque opération ou événement dans un système, en identifiant la personne ou le processus responsable de chaque action. (Chevalier, 2023)

Authentifié : (répété pour insistance) Vérification de l’identité d’un utilisateur ou d’un bien, assurant que celui-ci est bien celui qu’il prétend être, souvent via des mécanismes de preuve ou de certification.

Auditabilité : (répété pour précision) Permet de garantir la traçabilité des actions, essentielle pour la détection d’incidents, la conformité réglementaire, et la responsabilisation.

📝 Points essentiels

• L’authentification est une étape préalable à la sécurisation des échanges ou des accès, permettant de distinguer les acteurs légitimes des acteurs non autorisés. Elle repose souvent sur des mécanismes comme mot de passe, certificats, ou biométrie. (voir section 10)

• L’auditabilité est une propriété critique pour assurer la conformité, la détection d’anomalies, et la responsabilité. Elle nécessite que chaque opération soit enregistrée avec des informations sur l’origine, la nature, et le moment de l’action. (Chevalier, 2023)

• La combinaison des deux notions renforce la sécurité globale : l’authentification garantit l’identité, tandis que l’auditabilité permet de vérifier et d’analyser les actions passées pour détecter d’éventuelles anomalies ou attaques.

• La traçabilité via l’auditabilité doit respecter la confidentialité et la légitimité, en évitant la fuite d’informations sensibles tout en permettant une vérification fiable.

💡 À retenir

L’authentifié assure la vérification de l’identité ou de l’intégrité d’un bien, tandis que l’auditabilité garantit la traçabilité et la responsabilité des actions dans un système sécurisé. Ces deux propriétés sont essentielles pour renforcer la confiance et la conformité en sécurité informatique.

📖 3. Confidentialité données

🔑 Notions clés & Définitions

• Confidentialité des données : assurance que des informations privées ou secrètes ne sont pas accessibles ou divulguées à des personnes non-autorisées. Yannick Chevalier (Introduction à la sécurité) : « assurer que des informations privées ou secrètes ne sont pas accessibles ou données à des personnes non-autorisées ».
• Respect de l’individualité (Privacy) : garantir que les personnes contrôlent la collecte, le stockage, et la diffusion de leurs informations personnelles. Yannick Chevalier (Introduction à la sécurité) : « assurer que les personnes puissent contrôler quelles informations personnelles peuvent être collectées et stockées, par qui, et à qui elles sont distribuées ».
• Savoir-faire d’une entreprise : ensemble de compétences, procédés, ou connaissances stratégiques qui constituent un secret industriel ou commercial, protégé pour préserver un avantage concurrentiel. (Concept spécifique mentionné dans le contexte, sans auteur précis dans la source).
• Stratégie : plan ou méthode élaborée pour atteindre un objectif précis, notamment en matière de protection des informations ou de positionnement concurrentiel. (Concept spécifique mentionné dans le contexte, sans auteur précis dans la source).

📝 Points essentiels

• La confidentialité des données vise à empêcher l’accès non autorisé à des informations sensibles, telles que le savoir-faire d’une entreprise ou sa stratégie, qui sont considérées comme des biens immatériels précieux.
• La notion de respect de l’individualité (ou privacy) permet aux personnes de garder le contrôle sur leurs données personnelles, notamment en ce qui concerne leur collecte et leur diffusion.
• La protection de ces biens immatériels, comme le savoir-faire ou la stratégie, est essentielle pour préserver la compétitivité et la confidentialité stratégique de l’organisation.
• La sécurité informatique doit assurer la confidentialité en empêchant la divulgation non autorisée tout en respectant la vie privée des individus.

💡 À retenir

La confidentialité des données concerne la protection des informations sensibles et personnelles contre tout accès ou divulgation non autorisée, tout en permettant aux individus de contrôler leurs données.

📖 4. Intégrité systèmes

🔑 Notions clés & Définitions

• Intégrité des données : Yannick Chevalier (Introduction à la sécurité) : Les informations et les programmes ne doivent être modifiés que suivant des moyens spécifiés et autorisés, garantissant leur exactitude et leur fiabilité.
• Intégrité des systèmes : Yannick Chevalier (Introduction à la sécurité) : Le système doit fonctionner sans restrictions fonctionnelles ni manipulations non autorisées, que ce soit délibéré ou accidentel, notamment en évitant la présence de malware ou de versions piratées.
• Absence de malware : Exemple d’intégrité du système, signifiant qu’aucun logiciel malveillant n’a été introduit ou persiste dans le système, ce qui pourrait compromettre son bon fonctionnement.
• Version non piratée : Exemple d’intégrité des logiciels, indiquant que le logiciel utilisé n’a pas été modifié ou falsifié, garantissant sa conformité avec la version officielle.

📝 Points essentiels

• L’intégrité des données assure que les informations restent exactes, complètes et non modifiées sans autorisation, ce qui est crucial pour la fiabilité des systèmes informatiques.
• L’intégrité des systèmes implique que le fonctionnement du système n’a pas été altéré par des manipulations non autorisées, notamment par la présence de malware ou de versions piratées, qui peuvent compromettre la sécurité et la fiabilité.
• La vérification de l’intégrité repose sur des moyens spécifiés et autorisés, tels que des contrôles de somme, signatures numériques ou autres mécanismes de vérification.
• La sécurité de l’intégrité est essentielle pour maintenir la confiance dans les systèmes et prévenir les attaques visant à modifier ou falsifier des données ou des logiciels.

💡 À retenir

L’intégrité des systèmes garantit que les données et le fonctionnement du système restent fiables et non altérés, ce qui est fondamental pour la sécurité globale.

📖 5. Disponibilité systèmes

🔑 Notions clés & Définitions

Disponibilité : capacité d’un système à fonctionner sans ralentissement ni refus de service pour les utilisateurs autorisés. (source : Yannick Chevalier, 2023)

Accessibilité : propriété selon laquelle les données ou services sont accessibles et utilisables par les utilisateurs légitimes, en tout temps. (source : Yannick Chevalier, 2023)

Site web accessible : exemple illustrant la disponibilité, où le site ne rame pas et reste opérationnel pour les visiteurs. (source : Yannick Chevalier, 2023)

📝 Points essentiels

• La disponibilité garantit que le système fonctionne sans interruption ou dégradation notable, permettant aux utilisateurs légitimes d’accéder aux services en permanence.
• Elle est une des trois propriétés fondamentales de la sécurité informatique, avec la confidentialité et l’intégrité (voir section 3).
• La disponibilité peut être affectée par des attaques ou des défaillances techniques, telles que les dénis de service (DoS) ou les pannes matérielles.
• La définition, selon Yannick Chevalier (2023), insiste sur le fonctionnement sans ralentissement ni refus de service, ce qui implique une résilience face aux perturbations.
• La disponibilité est essentielle pour des services critiques (ex : sites web, bases de données, systèmes de santé) où l’accès continu est vital.
• La gestion de la disponibilité implique des mécanismes comme la redondance, la sauvegarde, la maintenance proactive, et la détection des anomalies.

💡 À retenir

La disponibilité assure que les systèmes restent opérationnels et accessibles en permanence, ce qui est crucial pour la continuité des services et la satisfaction des utilisateurs.

📖 6. Vulnérabilités

🔑 Notions clés & Définitions

• Vulnérabilité : propriété d’un système qui va à l’encontre des propriétés de sécurité désirées, permettant à un attaquant d’exploiter une faiblesse pour compromettre la sécurité (voir section 8).
• Corruption : modification non autorisée du comportement ou des réponses d’un système, compromettant l’intégrité ou la fiabilité des données ou des processus.
• Fuite : accès non autorisé à des données confidentielles ou sensibles, permettant à un adversaire d’obtenir des informations normalement protégées.
• Indisponibilité : état où un système devient lent ou inutilisable, empêchant l’accès ou le fonctionnement normal des services.
• Attaque : exploitation d’une vulnérabilité par un adversaire dans le but de violer une propriété de sécurité, active ou passive (voir section 8).
• Asymétrie de l’information : situation où une partie détient des informations que l’autre ne possède pas, pouvant être exploitée pour manipuler ou tromper, notamment dans l’ingénierie sociale (concept réservé à cette section).

📝 Points essentiels

• Les vulnérabilités sont des propriétés du système qui permettent à un attaquant d’exploiter une faiblesse pour atteindre ses objectifs, comme la corruption, la fuite ou l’indisponibilité des biens (voir section 8).
• La distinction entre vulnérabilités et menaces est cruciale : une vulnérabilité est une faiblesse technique ou organisationnelle, tandis qu’une menace est une potentialité d’exploitation de cette faiblesse par un adversaire.
• Les attaques exploitent ces vulnérabilités pour compromettre la sécurité, qu’il s’agisse d’actions actives (modification du système) ou passives (analyse des données).
• La complexité des mécanismes de sécurité, notamment ceux reposant sur l’asymétrie de l’information, augmente la difficulté d’anticiper toutes les vulnérabilités possibles, ce qui complique la conception d’un système totalement sécurisé.
• L’ingénierie sociale illustre une vulnérabilité liée à l’exploitation de l’asymétrie de l’information, où l’attaquant manipule la partie moins informée pour atteindre ses fins (exemple : phishing).

💡 À retenir

Les vulnérabilités sont des failles du système exploitées par des attaques pour violer les propriétés de sécurité, et leur complexité, notamment liée à l’asymétrie de l’information, rend leur prévention particulièrement difficile.

📖 7. Menaces

🔑 Notions clés & Définitions

• Menaces : Circonstances ou événements susceptibles de nuire aux biens en provoquant leur destruction, fuite, modification ou déni de service, en exploitant des vulnérabilités (voir aussi "menaces présentent sur les biens"). Selon Yannick Chevalier (Introduction à la sécurité), une menace représente le potentiel de nuire aux biens par destruction, fuite ou modification.

• Attaques : Exploitations actives ou passives de vulnérabilités par un adversaire pour atteindre ses objectifs malveillants. Yannick Chevalier (Introduction à la sécurité) distingue deux types : active (modification du système) et passive (analyse sans modification).

• Exemples d’impacts : Conséquences concrètes des menaces sur les personnes ou systèmes, classées selon leur gravité en niveaux de conséquences (voir aussi "Niveaux de conséquences"). Par exemple, une attaque peut entraîner une baisse de performance, des dommages matériels, ou des pertes financières.

• Niveaux de conséquences : Classification des impacts selon leur gravité :

  • Bas : dommages mineurs, perte financière mineure, léger blessé.
  • Moyen : dommages importants, perte financière importante, blessé grave.
  • Haut : conséquences catastrophiques, pertes irréversibles, risques de mortalité.
    Selon Yannick Chevalier, ces niveaux permettent d’évaluer la gravité d’une violation de propriété de sécurité.

📝 Points essentiels

• La sécurité repose sur la compréhension que tout bien possède des propriétés à protéger contre des menaces potentielles, qui peuvent exploiter des vulnérabilités (voir "Vulnérabilités").
• Les adversaires, qu’ils soient internes ou externes, cherchent à détruire ou abuser des biens en exploitant ces vulnérabilités (voir "Adversaire" et "Vulnérabilités").
• Une menace peut se matérialiser sous forme d’attaques actives (modification ou sabotage) ou passives (analyse ou espionnage).
• La gravité des impacts dépend de leur niveau de conséquences, allant de dommages mineurs à des conséquences catastrophiques (voir "Niveaux de conséquences").
• La prévention et la réduction des risques impliquent la mise en place de contre-mesures pour limiter l’impact des menaces (voir "Contre-mesures").
• La compréhension des menaces doit aussi prendre en compte le contexte, la nature des biens, et les motivations des adversaires.

💡 À retenir

Les menaces représentent le potentiel de nuire aux biens informatiques ou immatériels, et leur impact varie selon leur gravité, nécessitant une évaluation précise pour élaborer des stratégies de sécurité efficaces.

📖 8. Arbres d’attaque

🔑 Notions clés & Définitions

• Arbres d’attaque : Représentations hiérarchiques structurées des différentes stratégies qu’un attaquant peut employer pour compromettre un système ou un bien, en décomposant chaque étape en sous-attaques possibles (d’après Yannick Chevalier).
• Analyse des menaces par scénarios : Approche consistant à modéliser et examiner différents scénarios d’attaque en identifiant les chemins possibles que pourrait emprunter un adversaire pour atteindre ses objectifs, permettant d’évaluer la vulnérabilité globale (d’après Yannick Chevalier).
• Vulnérabilités : Propriétés du système qui vont à l’encontre des propriétés de sécurité désirées, constituant les points faibles exploités par les attaques (d’après Yannick Chevalier).
• Menaces : Exploitations potentielles des vulnérabilités par un adversaire, pouvant entraîner la violation d’une propriété de sécurité (d’après Yannick Chevalier).
• Adversaire (ou attaquant) : Individu, groupe ou organisation qui cherche à détruire ou abuser des biens ou propriétés de sécurité, en exploitant des vulnérabilités (d’après Yannick Chevalier).
• Points d’attaque : Situations ou composants spécifiques du système où une vulnérabilité peut être exploitée pour initier une attaque (d’après Yannick Chevalier).

📝 Points essentiels

• Les arbres d’attaque permettent de visualiser et d’organiser les différentes méthodes qu’un adversaire peut utiliser pour atteindre ses objectifs, en décomposant chaque attaque en sous-attaques ou étapes successives (d’après Yannick Chevalier).
• L’analyse par scénarios facilite la compréhension des chemins d’attaque possibles, en tenant compte des vulnérabilités, des propriétés de sécurité à préserver, et des capacités de l’adversaire (d’après Yannick Chevalier).
• La construction d’un arbre d’attaque commence par l’identification des objectifs de l’attaquant, puis par la recherche des points faibles et des chemins exploitables pour atteindre ces objectifs.
• La méthode permet d’évaluer la probabilité d’atteinte des objectifs malveillants et d’identifier les contre-mesures efficaces à mettre en place.
• La modélisation hiérarchique des attaques facilite la priorisation des actions de sécurité en concentrant les efforts sur les points d’entrée ou de vulnérabilité critiques.

💡 À retenir

Les arbres d’attaque, combinés à l’analyse des scénarios, constituent un outil essentiel pour anticiper et modéliser les stratégies d’attaque, permettant d’identifier efficacement les vulnérabilités et de renforcer la sécurité du système.

📖 9. Contre-mesures techniques

🔑 Notions clés & Définitions

• Contre-mesures techniques : Ensemble des solutions technologiques visant à protéger les biens informatiques contre les attaques en réduisant ou en éliminant les vulnérabilités, telles que la cryptographie ou le stockage sécurisé des mots de passe. Yannick Chevalier (Introduction à la sécurité) : "Les contre-mesures techniques sont des mécanismes implémentés pour renforcer la sécurité des systèmes informatiques."

• Cryptographie : Technique de sécurisation de l'information par le chiffrement, permettant de garantir la confidentialité, l'intégrité, et l'authenticité des données. Yannick Chevalier (Introduction à la sécurité) : "La cryptographie est essentielle pour assurer la confidentialité et l'authenticité des échanges numériques."

• Stockage sécurisé des mots de passe : Méthodes et mécanismes pour sauvegarder les mots de passe de façon à prévenir leur vol ou leur compromission, notamment par l'utilisation de fonctions de hachage, salage, et autres techniques de sécurisation. Yannick Chevalier (Introduction à la sécurité) : "Le stockage sécurisé des mots de passe repose sur des techniques de hachage et de salage pour rendre leur récupération difficile en cas de fuite."

• Contre-mesures contre la cryptanalyse : Techniques visant à rendre difficile l'analyse cryptographique par des attaquants, telles que l'utilisation de clés longues, de protocoles robustes, ou de techniques d'obfuscation. Yannick Chevalier (Introduction à la sécurité) : "Les contre-mesures contre la cryptanalyse renforcent la résistance des algorithmes cryptographiques face aux tentatives d'intrusion."

• Mécanismes de stockage sécurisé : Dispositifs ou méthodes hardware/software garantissant la confidentialité et l'intégrité des données sensibles, comme les modules de sécurité matériels (HSM). Yannick Chevalier (Introduction à la sécurité) : "Les mécanismes de stockage sécurisé protègent les clés cryptographiques et autres données sensibles contre le vol ou la manipulation."

📝 Points essentiels

• Les contre-mesures techniques sont indispensables pour renforcer la sécurité des systèmes et réduire la surface d'attaque exploitée par les adversaires, notamment via la cryptographie et le stockage sécurisé des mots de passe.
• La cryptographie doit être utilisée avec des clés suffisamment longues et des algorithmes éprouvés pour résister aux attaques modernes, en particulier la cryptanalyse.
• Le stockage sécurisé des mots de passe implique l'utilisation de fonctions de hachage résistantes aux attaques par force brute, combinées à des techniques comme le salage pour empêcher la récupération des mots de passe en cas de fuite.
• Ces mécanismes doivent être intégrés dans une architecture globale de sécurité, en complément des contre-mesures organisationnelles et des contrôles d'accès.

💡 À retenir

Les contre-mesures techniques, telles que la cryptographie et le stockage sécurisé des mots de passe, constituent la première ligne de défense pour protéger efficacement les biens informatiques contre les attaques.

📖 10. Contre-mesures organisationnelles

🔑 Notions clés & Définitions

• Contre-mesures organisationnelles : Ensemble des actions et politiques mises en place au sein d’une organisation pour réduire les risques liés à la sécurité, en complément des mesures techniques (voir aussi "contraintes fonctionnelles").
• Contraintes fonctionnelles : Limitations ou exigences liées à l’usage ou à la conception d’un système, qui peuvent impacter la mise en œuvre des mesures de sécurité (voir aussi "contraintes fonctionnelles").
• Handicap financier pour l’architecte de sécurité : Difficulté de quantifier le retour sur investissement des mesures de sécurité, engendrant une contrainte budgétaire qui limite la mise en œuvre de solutions efficaces (voir aussi "handicap financier").
• Paysage mouvant des logiciels et attaquants : Évolution constante des logiciels, des vulnérabilités et des techniques d’attaque, nécessitant une adaptation continue des mesures organisationnelles (voir aussi "paysage mouvant").
• Importance de l’utilisabilité : Nécessité que les mesures de sécurité soient compatibles avec l’usage quotidien des utilisateurs, afin d’éviter leur contournement ou leur rejet (voir aussi "contraintes fonctionnelles").

📝 Points essentiels

• La sécurité ne se limite pas aux aspects techniques, elle doit aussi s’appuyer sur des politiques et processus organisationnels pour être efficace.
• Les contre-mesures organisationnelles doivent prendre en compte le paysage mouvant des logiciels et des attaquants, ce qui impose une vigilance constante et une adaptation régulière.
• L’architecte de sécurité doit faire face à un handicap financier, rendant difficile la justification des investissements, d’où l’importance d’une gestion stratégique des ressources.
• La conception de mesures de sécurité doit équilibrer la robustesse technique et l’utilisabilité pour éviter que les utilisateurs ne cherchent à contourner les protections, ce qui pourrait compromettre la sécurité globale.
• La mise en place de politiques, de sensibilisation et de formation constitue une composante essentielle des contre-mesures organisationnelles efficaces.

💡 À retenir

Les contre-mesures organisationnelles, en intégrant la gestion des contraintes et du paysage évolutif, jouent un rôle crucial pour renforcer la sécurité en complément des mesures techniques, tout en assurant leur acceptabilité par les utilisateurs.

📅 Repères chronologiques

📊 Tableaux de Synthèse

⚠️ Pièges & Confusions Fréquentes

1. Confondre confidentialité et respect de l’individualité (privacy) ; la première concerne l’accès aux données, la seconde le contrôle par la personne.
2. Confusion entre intégrité des données et intégrité des systèmes : la première concerne la fiabilité des informations, la seconde la sécurité du fonctionnement.
3. Répétition excessive des notions d’authentification et d’auditabilité sans distinction claire.
4. Omettre que la disponibilité concerne l’accès opérationnel, pas seulement la sécurité des données.
5. Confondre malware avec une simple erreur ou défaillance technique.
6. Ignorer que la confidentialité inclut aussi la protection des biens immatériels comme le savoir-faire.
7. Confusion entre la traçabilité (auditabilité) et la surveillance continue.

✅ Checklist Examen

• Connaître la définition de Perroux sur la croissance et ses implications pour la sécurité économique.
• Maîtriser la différence entre confidentialité, intégrité, disponibilité, authentification, et auditabilité, en citant leurs auteurs ou références clés.
• Savoir expliquer la propriété de confidentialité selon Yannick Chevalier.
• Comprendre le rôle de l’auditabilité dans la traçabilité et la responsabilité, en citant Chevalier, 2023.
• Identifier les mécanismes d’authentification (mot de passe, biométrie, certificats) mentionnés dans le contenu.
• Connaître la différence entre intégrité des données et intégrité des systèmes.
• Être capable de définir ce qu’est une vulnérabilité et une menace en sécurité informatique.
• Savoir décrire un arbre d’attaque et ses utilités pour la gestion des risques.
• Connaître les contre-mesures techniques (cryptographie, firewall, etc.) et organisationnelles (politiques, formations).
• Savoir expliquer la différence entre vulnérabilités, menaces, et attaques.
• Maîtriser la notion de savoir-faire stratégique et sa protection.
• Vérifier la maîtrise du vocabulaire spécifique à la sécurité (confidentialité, intégrité, auditabilité, etc.).
• Vérifier la compréhension des principes fondamentaux de la sécurité selon le référentiel NIST.
• Connaître les concepts de version non piratée et de malware comme exemples d’intégrité.
• S’assurer de la compréhension de la différence entre sécurité technique et organisationnelle.
• Vérifier la capacité à illustrer un exemple d’application concrète des propriétés de sécurité.
• Connaître les enjeux liés à la confidentialité des données personnelles et stratégiques.
• Vérifier la maîtrise de la terminologie en lien avec la sécurité de l’information.