Fiche de révision : Sécurité informatique avancée

📋 Plan du Cours

1. Malwares et attaques réseau
2. Phishing et authentification des courriels
3. Attaques et triade CID
4. Identités et stockage des mots de passe
5. Résistance des mots de passe et sel
6. Jetons et gestion des sessions
7. Rôles et moindre privilège
8. VLAN et segmentation réseau
9. Règles de filtrage des paquets
10. Scan de ports et analyse réseau
11. Protection des données et RGPD
12. VPN et protection des secrets
13. Prévention des injections SQL et XSS

📖 1. Malwares et attaques réseau

🔑 Notions clés & Définitions

• Malware : Logiciel malveillant, quelle que soit sa méthode.
• Interception : Action de lire sans autorisation des données en transit.
• Altération : Action de modifier des données en transit à l’insu des deux parties.
• Virus : Programme qui se glisse dans un fichier sain et se propage quand ce fichier est exécuté.
• Ransomware : Logiciel qui chiffre les fichiers de la victime et demande une rançon pour les débloquer.

💡 Astuce mémo

Le malware s’installe sur la machine ; le phishing pousse une personne à cliquer.

📖 2. Phishing et authentification des courriels

🔑 Notions clés & Définitions

• Phishing : Message qui imite une source de confiance pour voler des identifiants ou de l’argent.

★ À maîtriser

• Un phishing peut conduire au vol d’identifiants lorsque la victime reçoit un faux courriel, clique vers un faux site, saisit ses identifiants et les transmet ainsi à l’attaquant.

• Les quatre signes d’un phishing sont :

  • un expéditeur étrange
  • un message d’urgence
  • un lien trompeur
  • une demande d’identifiants

Compléments

📌 En cas de doute sur un lien reçu, il faut ne pas cliquer et saisir soi-même l’adresse du site.

• Le spear phishing est une forme de phishing ciblé, le smishing passe par SMS et le vishing par téléphone.

• Dans l’exemple de courriel piégé, les domaines de l’expéditeur, de réponse et d’envoi sont banque-compte.example, gmail-secours.example et mailer-xk92.example, respectivement.

• Dans l’en-tête de l’exemple, SPF échoue et DKIM est absent, tandis que DMARC échoue ; le message n’est donc pas authentifié.

📖 3. Attaques et triade CID

🔑 Notions clés & Définitions

• Déni de service : Attaque qui empêche l’accès à un service, notamment en le bloquant par une foule de requêtes.

📝 Points essentiels

• La triade CID comprend :
  • la confidentialité
  • l’intégrité
  • la disponibilité

📌 L’interception atteint la confidentialité (C), l’altération atteint l’intégrité (I) et le déni de service atteint la disponibilité (D).

💡 Astuce mémo

CID : lire compromet C, modifier compromet I, bloquer compromet D.

📖 4. Identités et stockage des mots de passe

🔑 Notions clés & Définitions

• Hachage : Transformation d’une donnée en une empreinte irréversible qui ne peut pas être relue comme le mot de passe d’origine.

★ À maîtriser

📌 Les mots de passe ne doivent jamais être stockés en clair ; leur empreinte est stockée à la place.

Compléments

• Active Directory est un annuaire centralisé des comptes et des machines.

• À la connexion, le système recalcule l’empreinte du mot de passe saisi et la compare à celle qui est stockée.

• Les algorithmes de mots de passe cités sont :

  • bcrypt
  • Argon2
  • scrypt
  • PBKDF2

💡 Astuce mémo

Le hachage est irréversible ; le chiffrement se défait avec la bonne clé.

📖 5. Résistance des mots de passe et sel

🔑 Notions clés & Définitions

• Sel : Texte aléatoire ajouté devant le mot de passe avant le calcul de son empreinte.

★ À maîtriser

• Le nombre de combinaisons d’un mot de passe est $\text{taille de l’alphabet}^{\text{longueur}}$.

• Pour stocker un mot de passe avec un sel, on génère un sel propre à l’utilisateur, on calcule l’empreinte de la concaténation du sel et du mot de passe, puis on stocke le sel et l’empreinte.

Compléments

📐 Formule - Le temps estimé pour tester les combinaisons est $\frac{\text{nombre de combinaisons}}{\text{essais par seconde}}$.

• La méthode pédagogique utilise l’hypothèse de 10 milliards d’essais par seconde pour estimer le temps de recherche.

• L’alphabet comprend 10 chiffres, 26 lettres minuscules et 62 caractères lorsqu’on combine lettres et chiffres.

• Avec l’hypothèse de 10 milliards d’essais par seconde, 4 chiffres représentent 10 000 combinaisons et prennent moins d’une seconde à tester.

• Avec la même hypothèse, 8 lettres minuscules représentent 208 827 064 576 combinaisons et environ 21 secondes de recherche.

• Avec la même hypothèse, 8 caractères composés de lettres et de chiffres représentent 218 340 105 584 896 combinaisons et environ 6 heures de recherche.

• Ajouter un caractère multiplie le travail de l’attaquant, et augmenter la longueur pèse plus que changer de symbole.

• Le sel n’est pas secret et permet que deux comptes utilisant le même mot de passe aient des empreintes différentes.

• Les applications réelles préfèrent bcrypt ou Argon2, qui gèrent eux-mêmes le sel.

📖 6. Jetons et gestion des sessions

🔑 Notions clés & Définitions

• Jeton : Preuve transmise avec les demandes d’accès après la connexion, sans renvoyer le mot de passe.
• OAuth 2.0 : Protocole utilisé derrière la fonction « se connecter avec Google », qui permet de prouver son identité sans donner son mot de passe à l’autre site.

★ À maîtriser

• Dans le parcours d’un jeton, l’utilisateur se connecte avec son identifiant et son mot de passe, reçoit un jeton signé et expirant, le présente à chaque demande, puis le serveur vérifie sa signature et sa date d’expiration.

• Un jeton expiré ou modifié est refusé.

Compléments

• Les trois parties d’un JWT sont :
  • l’en-tête, qui annonce l’algorithme de signature
  • le contenu, qui indique notamment l’utilisateur et son rôle
  • la signature, calculée avec le secret du serveur

💡 Astuce mémo

Le jeton est un ticket d’entrée présenté à chaque demande.

📖 7. Rôles et moindre privilège

★ À maîtriser

📌 Le principe du moindre privilège consiste à donner à chaque rôle uniquement les droits nécessaires à son travail.

• Pour construire un tableau de droits, on liste les ressources et les rôles, on détermine les besoins de chaque rôle, puis on accorde le minimum nécessaire et on révise les droits lors d’un départ ou d’un changement de poste.

Compléments

• Dans l’exemple, Awa et Nina, comptables, ont des droits sur le dossier de comptabilité ; Karim, des ressources humaines, a des droits sur le dossier RH ; Léa, développeuse, a des droits sur le code source ; Omar, administrateur système, a la gestion du serveur de paie.

📌 Lorsqu’un employé quitte l’entreprise, son compte doit être désactivé immédiatement, le jour même dans l’exemple.

📖 8. VLAN et segmentation réseau

🔑 Notions clés & Définitions

• VLAN : Segmente un même réseau physique en plusieurs réseaux virtuels isolés sans changer le câblage.

★ À maîtriser

📌 Un appareil ne voit que son VLAN ; pour communiquer entre VLAN, le trafic doit passer par un routeur ou un pare-feu.

Compléments

• Dans l’exemple, les VLAN 10, 20 et 30 correspondent respectivement à la comptabilité, au wifi invités et à la direction.

• Un câble trunk entre deux switchs peut transporter tous les VLAN grâce à une étiquette de 12 bits, soit 4 094 numéros utilisables.

• Dans l’exemple de configuration, les ports 1 et 2 sont rattachés à la comptabilité, les ports 3 et 4 aux invités et le port 5 à la direction.

💡 Astuce mémo

Un switch est un immeuble : les VLAN sont des appartements séparés par des cloisons.

📖 9. Règles de filtrage des paquets

★ À maîtriser

📌 Les règles de filtrage sont lues de haut en bas et la première règle correspondante s’applique.

📌 Si aucune règle ne correspond à un paquet, le blocage s’applique par défaut dans les exemples du cours.

Compléments

• Les exemples bloquent le trafic du réseau invité vers la comptabilité sur tous les ports, autorisent le trafic vers le serveur web DMZ sur le port 443 et bloquent le trafic vers le serveur de paie sur tous les ports.

• Dans l’exemple iptables, la politique FORWARD par défaut est DROP.

📖 10. Scan de ports et analyse réseau

🔑 Notions clés & Définitions

• Nmap : Outil qui scanne un réseau pour découvrir les appareils connectés et les ports ouverts sur chacun.
• Wireshark : Outil qui capture et analyse le trafic réseau en détail, paquet par paquet.

★ À maîtriser

• Nmap et Wireshark ne doivent être utilisés que sur un réseau possédé ou pour lequel une autorisation explicite a été accordée.

• Un port est ouvert si la connexion réussit et qu’un service écoute, fermé si la connexion est refusée, et filtré si aucune réponse ne revient avant le délai.

• Une capture HTTP peut montrer un mot de passe lisible, tandis qu’une capture HTTPS montre un contenu chiffré illisible sans la clé de session.

Compléments

• Les états de ports de l’exemple sont :

  • 22 SSH, ouvert
  • 80 HTTP, ouvert
  • 3306 MySQL, ouvert
  • 3389 ms-wbt-server, ouvert
  • 8080 HTTP-alt, ouvert
  • 443 HTTPS, fermé

• Les colonnes présentées comprennent :

  • le numéro
  • le temps
  • la source
  • la destination
  • le protocole
  • l’information

💡 Astuce mémo

Ouvert : un service écoute ; fermé : la machine refuse ; filtré : le pare-feu garde le silence.

📖 11. Protection des données et RGPD

★ À maîtriser

📌 Le principe de minimisation du RGPD consiste à ne collecter que les données utiles à la finalité proposée.

• Les données écartées dans l’exemple sont :
  • la date de naissance complète
  • le numéro de sécurité sociale
  • l’adresse postale
  • la situation familiale

Compléments

• Pour fournir un cours en ligne, l’exemple conserve le nom et le prénom pour identifier l’inscrit ainsi que l’adresse e-mail pour envoyer les accès.

• Les autres principes cités sont :

  • la finalité précise
  • la durée de conservation limitée
  • les droits des personnes
  • la sécurité

• Une donnée qui n’est pas collectée ne peut pas fuiter ni être volée à partir de cette collecte.

💡 Astuce mémo

Moins de données collectées → moins de données susceptibles de fuiter.

📖 12. VPN et protection des secrets

🔑 Notions clés & Définitions

• VPN : Tunnel chiffré qui protège le trafic pendant son trajet sur un réseau public.

★ À maîtriser

• 🔄 Le parcours du trafic VPN suit ces étapes :
  1. Le télétravailleur se connecte au VPN et chiffre son trafic avant son départ.
  2. Le trafic traverse Internet dans un tunnel chiffré.
  3. La passerelle de l’entreprise déchiffre le trafic et le transmet au réseau interne.

📌 Les clés d’API doivent être stockées hors du code, par exemple dans une variable d’environnement, et ne doivent jamais être versionnées sur Git.

• Git conserve l’historique : un secret supprimé après avoir été envoyé reste lisible et doit être renouvelé.

Compléments

• Les protocoles VPN cités sont :
  • IPsec
  • OpenVPN
  • WireGuard

📌 Le fichier .env doit être inscrit dans .gitignore pour que Git l’ignore et ne l’envoie pas.

💡 Astuce mémo

Le VPN est un convoi blindé qui traverse une route publique.

📖 13. Prévention des injections SQL et XSS

★ À maîtriser

📌 Une requête SQL paramétrée envoie la requête et la donnée séparément afin que la donnée soit traitée comme une valeur et non comme un ordre.

📌 Pour prévenir le XSS, les caractères spéciaux d’une saisie doivent être échappés avant que celle-ci soit affichée dans une page.

Compléments

• Dans l’exemple, une requête paramétrée renvoie une ligne pour [email protected] et zéro ligne pour la saisie x' OR '1'='1.

• Dans l’exemple XSS, <script>alert(1)</script> est transformé en <script>alert(1)</script> et affiché comme du texte.

💡 Astuce mémo

En SQL, séparer requête et donnée ; en XSS, échapper la donnée avant affichage.