Intitule du module : SECURITE DES RESEAUX

Année Universitaire : 2020-2021 Enseignant : ZONGO W. Roland

Table des matières
Chapitre I : Aspects généraux de la sécurité réseau .............................................. 4

I. Aspects généraux de la sécurité réseau ...................................................................... 4

1.Type d'activité .................................................................................................................... 4

2.Type de données ............................................................................................................... 5

3.Concept de gestion .......................................................................................................... 5

4.Politique d'utilisation acceptable ........................................................................... 5

5.Normes relatives au nom d'utilisateur et au mot de passe .................... 5

6.Normes relatives à la protection contre les virus ......................................... 6

A.La confidentialité....................................................................................................................... 7

B.l'intégrité ...................................................................................................................................... 7

C.La disponibilité ........................................................................................................................... 7

D.La non-répudiation .................................................................................................................. 9

E.L'authentification ...................................................................................................................... 9
Chapitre II : Les vulnérabilités : les menaces et leurs origines, le manque de politique efficace, la
faiblesse de configuration, les faiblesses technologies...................................................................... 10
I. Menaces en matière de sécurité du réseau ..................................................................................... 10
1. Vue d'ensemble ......................................................................................................................... 10

2. Menaces extérieures ................................................................................................... 11

Menaces internes ................................................................................................................ 17

Espionnage industriel ...................................................................................................... 18

Utilisateurs récalcitrants................................................................................................ 18

II. Les vulnérabilités ................................................................................................................ 19

1. Les menaces et leurs origines ............................................................................ 19

2. Le manque de politique efficace .......................................................................... 19

3. La Faiblesse de configuration ................................................................................ 20

4. Les Faiblesses technologiques .............................................................................. 20

III. TECHNIQUES D’ATTAQUES : TYPES D’ATTAQUES, SOCIAL ENGINEERING,

SPOOFING IP, DNS SPOOFING, MAN IN THE MIDDLE, DHCP SPOOFING, ARP
SPOOFING, SOURCE ROUTING, SYN FLOOD, SMURF .................................................. 20

IV : POLITIQUES DE SECURITE ; ....................................................................................... 26

Le processus perpétuel de sécurisation (Security Wheel) ........................ 26

Chapitre III : Cryptographie ................................................................................................ 28

I. Les techniques de cryptographie au cours de l’histoire ........................................................... 28

2
 1. Le système de César ................................................................................................................. 28
2. Le système de Vigenère ........................................................................................................... 29
II. Crypto systèmes actuels .................................................................................................. 30

1. La cryptographie à clé publique......................................................................... 30

2. La cryptographie à clé privée ................................................................................ 31

a. Les crypto systèmes par flots .................................................................................................. 31

3. Les algorithmes de cryptage .................................................................................. 31

III. La fonction de hachage, la signature, et le certificat Electronique ............................................ 32
1. La fonction de hachage ........................................................................................... 32

2. Signatures ....................................................................................................................... 33
b. PKI (Public Key Infrastructure) ............................................................................................. 35
c. Certificat X.509 ........................................................................................................................ 36

d. L'autorité de certification ........................................................................................ 37

Chapitre IV : Authentification ............................................................................................. 38

LES PROTOCOLES D’AUTHENTIFICATION ............................................................................... 38

I. TACACS+ ............................................................................................................................... 38
TACACS+ : Les acteurs ............................................................................................................... 39

II. RADIUS ................................................................................................................................... 41

III. KERBEROS ......................................................................................................................... 45

Chapitre V : Conception d’architecture réseau sécurisée .................................. 51

I Equipements : commutateur, routeur, firewall, proxy, IDS/IPS ;.................................................... 51
Les firewalls ................................................................................................................................. 52
3. La zone de démilitarisation : DMZ ................................................................................................ 53
5. Le serveur proxy....................................................................................................................... 55

Les Réseaux Privés Virtuels (VPN) ....................................................................................... 57

a. Définition d'un VPN ............................................................................................................ 57
b. Objectifs et caractéristiques des VPN................................................................................ 58
c. Le tunneling ......................................................................................................................... 58
d. Caractéristiques : ................................................................................................................. 58
e. Tunnels – Principe de fonctionnement.............................................................................. 58
f. Tunnels – Principaux protocoles........................................................................................ 59
Tunnels – Protocoles niveau 2, 3 & 4......................................................................................... 59

3
Chapitre I : Aspects généraux de la sécurité réseau
I. Aspects généraux de la sécurité réseau
Dans l'univers de la technologie de l'information, la sécurité du réseau est au centre des
préoccupations. Vous ne pouvez pas ouvrir un journal sans tomber sur une information
faisant état d'intrusions sur les réseaux des gouvernements ou des grandes entreprises, de
vastes attaques de virus, et de criminalité organisée impliquant des pirates informatiques. De
la grande multinationale au PC familial sur lequel l'utilisateur se connecte avec un compte
Internet via une ligne téléphonique, chaque personne connectée à Internet redoute, à des
degrés divers, les accès non autorisés.
Chaque personne a sa propre vision de la sécurité. Selon le dictionnaire American Héritage
Dictionary, il faut voir en ce terme un synonyme de garantie. Dans le contexte des réseaux, la
sécurité n'est jamais absolue. Pour être totalement sûr, un système ne doit être accessible par
personne, ce qui est bien évidemment impossible. Il est plus généralement admis que la
sécurité d'un ordinateur correspond aux mesures prises pour le protéger lui, ainsi que les
informations qu'il contient. Cette définition n'implique aucune notion de garantie.
Étant donné que la fonction première des réseaux informatiques est de partager des
ressources, il est impératif de trouver le parfait compromis entre sécurité et accessibilité. Plus
un réseau est sûr, moins il est accessible. Plus un réseau est accessible, moins il est sûr.
Les problèmes de sécurité peuvent rendre difficiles les relations entre les administrateurs et
les utilisateurs des réseaux. Généralement, les utilisateurs privilégient l'accessibilité alors que
les administrateurs privilégient la sécurité.
De quel niveau de sécurité un réseau informatique a-t-il besoin? La réponse dépend de la
société. Pour développer un plan de protection des données d'un réseau, il faut commencer
par évaluer ses besoins en sécurité. Plusieurs facteurs doivent être pris en compte:
• Le type d'activité de la société
• Le type de données stockées sur le réseau
• La culture d'entreprise

1.Type d'activité
Certaines activités, notamment juridiques ou médicales, génèrent par définition des données
qui doivent rester confidentielles. La loi protège la confidentialité des dossiers médicaux d'un
patient, ainsi que les conversations d'un avocat avec son client. Si des documents
confidentiels sont stockés sur le réseau, il est impératif de conserver un niveau élevé de
sécurité. Sinon, l'organisation fait face à un risque de responsabilité civile, voire va au-devant
de sanctions pénales.
D'autres types d'organisation manipulent elles aussi des données confidentielles:
• Les autorités de police, tribunaux et autres organes gouvernementaux ;
• Les organismes d'éducation qui stockent en réseau les dossiers scolaires de leurs
étudiants ;
• Les hôpitaux, établissements psychiatriques et centres de désintoxication ;
• Les sociétés sous contrat avec l'armée ou agissant pour la sécurité nationale ;
• Les organisations qui collectent des données en en garantissant la confidentialité ;
4
 • Les organisations qui fournissent un produit ou un service dans un secteur très com-
pétitif ;
• Les organisations dont les réseaux sont connectées à Internet.

2.Type de données
Quel que soit le type d'activité, certains types de données sont considérés comme étant
confidentiels et doivent par conséquent être protégés. Parmi ces types de données figurent les
suivants:
• Les fiches de paye et autres informations personnelles concernant les employés
• Informations comptables et fiscales ;
• Secrets de fabrication (code d'origine, plans, diagrammes, recettes et stratégies com-
merciales).
Si un réseau contient ces types d'informations, un plan de sécurité doit être mis en œuvre
pour les protéger.

3.Concept de gestion
Si les données d'un réseau ne sont pas soumises à des réglementations relatives à la
confidentialité, le niveau de sécurité dépend des concepts personnels des propriétaires ou
gérants de la société. Dans certaines organisations, chaque employé est considéré comme un
membre d'une grande famille. Dans ces sociétés, l'accessibilité l'emporte sur la confidentialité
et sur la sécurité. Les autres organisations fonctionnent sur le mode du besoin de savoir. En
mode géré, les informations ne sont accessibles qu'aux personnes dont le poste justifie
qu'elles y aient accès. Aucune de ces politiques n'est meilleure que l'autre. Les
administrateurs des réseaux doivent simplement faire en sorte de mettre en œuvre une
sécurité de réseau correspondant au type de gestion de leur organisation.

4.Politique d'utilisation acceptable

Lors de la création d'une politique de sécurité, la première étape pour un réseau d'entreprise
consiste à définir une politique d'utilisation acceptable. Cette politique indique aux
utilisateurs ce qui est acceptable et autorisé sur le réseau de leur société. Cela peut
notamment concerner les sites Web qu'ils sont autorisés à visiter ou encore le temps qu'ils
peuvent passer sur Internet. Par exemple, la politique d'utilisation acceptable peut
déterminer les informations relatives à l'installation d'éléments logiciels et matériels.
L'administrateur système peut déterminer l'étendue des éléments dépendant de la politique
d'utilisation acceptable. Il peut choisir d'y intégrer tout élément potentiellement dangereux
pour le réseau en cas d'utilisation incorrecte.
5.Normes relatives au nom d'utilisateur et au mot de passe
En règle générale, l'administrateur système définit les conventions d'attribution des noms
d'utilisateur sur le réseau. Par exemple, il peut déterminer que le nom d'utilisateur sera
composé de l'initiale du prénom de la personne, suivie de son nom de famille entier, comme
dans la figure ci- dessous :
Exemple nommés d’utilisateur

5
 Nom Nom d’utilisateur

John Doe Jdoe

Kevin Smith Ksmith

Mary Smith Msmith

Il est recommandé d'utiliser une convention d'attribution de nom d'utilisateur simple de

manière à ce que les utilisateurs n'aient aucun mal à la mémoriser. En revanche, il vaut
mieux utiliser une convention d'attribution de mots de passe complexe.
Lorsque vous attribuez des mots de passe, le niveau de contrôle de ces mots doit
correspondre au niveau de protection requis. La politique de sécurité doit être appliquée
rigoureusement et respecter notamment les règles suivantes:
• Les mots de passe doivent comporter une date d'expiration ;
• Les mots de passe doivent être composés de lettres et de chiffres afin de ne pas
pouvoir être facilement devinés ;
• Les utilisateurs doivent être mis en garde que le fait de noter leurs mots de passe
entraîne un risque sérieux de divulgation ;
• Des règles doivent être définies concernant l'expiration et le verrouillage des mots
de passe. Les règles de verrouillage s'appliquent lorsqu'une tentative d'accès au
système a échoué ou lorsqu'une tentative de modification particulière a eu lieu au
niveau de la configuration du système.
6.Normes relatives à la protection contre les virus
Pour être efficaces, ces normes doivent impliquer l'installation d'un logiciel de protection
antivirus à jour sur l'ensemble des ordinateurs du réseau. Positionnez les filtres et les listes
d'accès qui s'imposent sur l'ensemble des passerelles entrantes afin de protéger le réseau
contre tout accès non souhaité. Pour contrer les virus, des politiques de messagerie doivent
également être mises en place. Elles détermineront les éléments qui pourront être envoyés et
reçus. Ces politiques peuvent être source de conflits car bien souvent, les utilisateurs
apprécient de pouvoir «chater» et envoyer des mails non professionnels pendant leurs heures
de travail. Les utilisateurs doivent être informés des problèmes de sécurité et des
conséquences liées à la violation des règles de sécurité tant au niveau du réseau que de leurs
données
En outre, il est essentiel de mettre en place une procédure centralisant tous les avertissements
de virus autour d'un seul et même administrateur. Il reviendra ainsi à une seule personne de
déterminer si une alerte de virus est justifiée et réclame de prendre certaines mesures ou s'il
s'agit d'un canular. Les canulars sont évidemment moins dangereux que les véritables virus.
En revanche, ils sont facteurs de frustration. En effet, le traitement de ces canulars peut pren-
dre du temps et des ressources.
La sécurité réseau, d'une manière générale, consiste à assurer que les ressources matérielles ou
logicielles d'une organisation sont uniquement utilisées dans le cadre prévu.
La sécurité réseau vise généralement cinq principaux objectifs :

6
A.La confidentialité
La confidentialité consiste à rendre l'information inintelligible à d'autres personnes que les
seuls acteurs de la transaction.
La confidentialité consiste à ne rendre l'information compréhensible que par son destinataire.
Le principal outil permettant la confidentialité est la cryptographie. Suivant la confidentialité
désirée, il est possible de crypter un transfert de donnée, notamment grâce à IPSEC ou à SSL,
un fichier, un dossier, une partition et même l’espace mémoire d’échange (Swap). Il existe
principalement trois types de chiffrement.
• Les chiffrements à clef privée : la clé de chiffrement, est identique à la clé de déchiffrement ;
• les chiffrements à clef public : les clés de chiffrement et de déchiffrement sont distinctes ;
• les mixtes : tirer au hasard une clé secrète, chiffrer le message avec un algorithme à clé pri-
vée en utilisant cette clé, puis chiffrer cette clé aléatoire elle-même avec la clé publique du
destinataire.
La bonne gestion du contrôle d’accès (ACL) et des authentifications permet également de
limiter l'entrée aux seuls utilisateurs désirés.

B.l'intégrité
Vérifier l'intégrité des données consiste à déterminer si les données n'ont pas été altérées
durant la communication (de manière fortuite ou intentionnelle).
Le contrôle d’intégrité consiste à vérifier qu’une information reçue doit être identique à
l’information transmise. L'entreprise doit prendre toutes les mesures nécessaires pour
empêcher que les données ne soient modifiées pendant la transmission, que ce soit de façon
délibérée ou accidentelle. L’intégrité des données peut être protégée par les firewalls, les
anti-virus et la sauvegarde des données.
Le logiciel antivirus vérifie l'intégrité de l'information et des données reçues et veille à ce que
les données transmises ne soient pas contaminées. Lorsqu'il est mis à jour régulièrement,
l'antivirus est un outil de sécurité peu coûteux, mais extrêmement efficace.
La cryptographie permet également d’assurer l’intégrité des données en empêchant la lecture
des données par une personne n’en possédant pas les droits.

C.La disponibilité
L'objectif de la disponibilité est de garantir l'accès à un service ou à des ressources.
Si l'entreprise dépend de données ou de services informatiques, elle doit avoir l'assurance que
ces derniers sont disponibles quand elle en a besoin. Les utilisateurs doivent être sûrs des
outils qu’ils utilisent et donc doivent avoir confiance en leur fonctionnement.
L’indisponibilité d’un service ou d’une donnée est directement répercutée sur la productivité
de l’entreprise. Si un serveur de fichiers où les utilisateurs stockent leurs travaux n’est pas
disponible durant une journée, l’entreprise est gelée durant ce même temps, et la perte
d’argent est très importante. Il est possible de prévenir ces risques en mettant en place une
politique de haute disponibilité, et en réduisant au maximum les fautes envisageables.
On calcul la fiabilité d’un service en divisant le nombre de jour de disponibilité de celui-ci sur
un an.

7
 Pourcentage Nb jours indisponible par an
90% 36 jours et 12 heures
98% 7 jours
99% 3 jours et 15 heures
99,9% 8 heures et 48 minutes
99,99% 53 minutes
99,999% 5 minutes

Ainsi, on se rend compte qu’un taux de disponibilité de 90% qui paraîtrait correct est inenvi-
sageable pour une entreprise, qui devrait se situer au minimum sur une disponibilité de
99,9%.

1. Les différents moyens d’augmenter le taux de disponibilités sont :

i. La mise en cluster
Un Cluster est une grappe d’ordinateurs formant des nœuds. Ces nœuds sont capables de
fonctionner indépendamment les uns des autres. Il existe deux types de cluster.
Les technologies RAID permettent de mettre en place une disponibilité accrue des données
sur un serveur. Plusieurs types de raid existent mais le raid 1 et le raid 5 sont les principaux
utilisés. Le raid 1 (mirroring) effectue une copie bit à bit des données écrites d’un disque sur
un ou plusieurs autres disques. Le raid 5 (disk array with block-interleaved distributed parity)
permet d’écrire sur plusieurs disques avec un bit de parité. Le bit de parité n’étant jamais sur
le même disque, si un des trois disques tombe en panne, il est possible de recalculer la partie
manquante.
ii. La redondance matérielle
Il est important de pouvoir se prémunir contre une panne matérielle sur un serveur. Pour cela,
il est nécessaire que celui-ci gère la redondance matérielle et le remplacement « à chaud »,
c'est-à-dire sans éteindre le serveur (hot swapping). Cela permet d’assurer une continuité du
service le temps de la réparation. Pratiquement toutes les pièces contenues dans un
ordinateur peuvent être redondante. Le processeur, la mémoire, les ventilateurs, les disques
durs, les lecteurs…
iii. La sauvegarde
Le service d’archivage permet de garder une trace datée des données et permet de se prémunir
contre la modification ou suppression accidentelle de données, ce que le raid ne permet pas.
Les sauvegardes doivent être programmées pour s’effectuer périodiquement, et idéalement
sur un site distant, afin de prévenir une catastrophe naturelle ou un vol.
9. La Quantification
✓ La FIABILITE : d’un système est la probabilité pour que le système fonctionne
correctement pendant une durée donné dans des conditions définies.
✓ La MAINTENABILITE d’un système est la probabilité de retour à un bon fonction-
nement dans le temps donné.

8
Les différentes pannes pouvant être catalectiques (l’élément fonctionne ou ne fonctionne
pas), ou aléatoires (défaillance statistiquement indépendante d’une précédente, la panne d’un
élément n’affecte pas d’autres).
Le comportement d’un système peut être décrit dans le temps comme une suite d’état bon et
de mauvais fonctionnement.
On appelle MTTR, (Mean Time To Repair, temps moyen de toute réparation), le temps
nécessaire à la remise en état du système (maintenabilité)
et MTBF (Mean Time Between Failure, temps moyen de bon fonctionnement), le temps
moyens entre deux pannes successives (fiabilité).
 La relation entre disponibilité et MTTR / MTBF
La disponibilité (Avaibility) est définie comme étant le rapport :
A = ((MTBF)/(MTBF + MTTR))
 Et l’indisponibilité comme en étant le complément (le matériel est indisponible lors-
qu’il n’est plus disponible) :
I = 1 – A = ((MTTR)/(MTBF + MTTR)) avec I/A = MTTR/MTBF
Pour rentre un système plus efficace, on peut jouer sur deux valeurs : augmenter la MTBF, les
composants réseaux seront plus alors plus onéreux, ou diminuer les temps d’indisponibilité
et c’est la maintenance qui devient plus coûteuse.

D.La non-répudiation
La non-répudiation de l'information est la garantie qu'aucun des correspondants ne pourra
nier la transaction.
L'entreprise doit s'assurer que l'autre partie engagée dans une transaction ne puisse nier
qu'une transaction a eu lieu. Cela à deux valeurs. Lors de transactions, il est important de
s’assurer, pour le récepteur que l’expéditeur est le bon (non répudiation d'origine), et vice-
versa (non répudiation de remise), cela garantie la qualité du message. Les signatures et les
certificats numériques sont de plus en plus utilisés pour assurer la non répudiation des
transactions.
Le système de log permet également de garder une trace des actions effectuées sur un serveur.
Leur analyse permet de savoir ce qui s’y est passé et à quelle heure. La plupart des logiciels
créent des fichiers de logs, les différents matériels tels que les Switch, les routeurs, les
firewalls, … les gèrent également. Lors d’une intrusion dans un système d’information, le
pirate tentant de passer le plus inaperçu possible, tentera de modifier ces logs pour cacher sa
présence. Il est donc également nécessaire de limiter l’accès de ces fichiers de logs. Un serveur
Sys log peut être un moyen de gérer la sécurité des fichiers de logs.

E.L'authentification
L'authentification consiste à assurer l'identité d'un utilisateur, c'est-à-dire de garantir à
chacun des correspondants que son partenaire est bien celui qu'il croit être.
L'authentification de l'émetteur et du récepteur constitue une première préoccupation. En
effet, comment être certain de l'identité de l'émetteur et du récepteur ? Comment être certain
qu'il s'agit d'une personne habilitée à émettre ou à recevoir ?

9
Chapitre II : Les vulnérabilités : les menaces et leurs origines, le
manque de politique efficace, la faiblesse de configuration, les
faiblesses technologies
I. Menaces en matière de sécurité du réseau
1. Vue d'ensemble
Au cours de la dernière décennie, l'industrie des réseaux s'est beaucoup développée, en
même temps que le souci de la sécurité. De nos jours, les réseaux prennent en charge des
milliards de transactions financières, de documents confidentiels et de dossiers
personnels. De nombreux échanges d'informations confidentielles ont lieu sur l'Internet
public.
Du point de vue de la sécurité, Internet présente de nombreuses gageures. Tout d'abord,
Internet repose sur des protocoles ouverts connus qui constituent la suite TCP/IP
(Transmission Control Protocol/Internet Protocol). Ces protocoles, notamment le
protocole IP proprement dit, n'ont pas été conçus dans l'idée d'avoir une vocation
mondiale. Même si la suite TCP/IP a su s'adapter aux nouvelles exigences du réseau
Internet global actuel, ces protocoles présentent par essence des failles au niveau de la
sécurité.
Autrement dit, Internet fonctionne avant tout selon les règles suivantes, connues du
public. Toute personne étudiant de près ces règles sera en mesure de connaître les failles
du système. Malheureusement, les personnes malveillantes sont légion, qu'elles exploitent
ces failles à des fins de profit ou simplement pour se distraire. La nature même des
connexions Internet engendre un deuxième souci de sécurité. On assiste actuellement à
une croissance du nombre d'individus, d'organisations et d'institutions connectées à
Internet. C'est sur cette masse de connexions Internet que reposent les activités de
nombreux secteurs du monde. En revanche, cette pléthore de connexions ouvre également
une porte béante aux intrus. En règle générale, une connexion Internet est
bidirectionnelle. Si un utilisateur se connecte à Internet, les hôtes Internet peuvent se
connecter à cet utilisateur.
En principe, n'importe quel NOS prend en charge le protocole TCP/IP. Windows 2000 et
Red Hat Linux offrent un éventail complet de services IP. Ce module se concentre sur les
problèmes de sécurité liés aux protocoles TCP/IP car ils sont au centre de la plupart des
communications de réseau actuelles. En exécutant TCP/IP et en se connectant à Internet,
une société s'expose à d'importantes menaces externes.
Outre les menaces externes issues d'Internet, les réseaux d'entreprise font face également
à de nombreux problèmes de sécurité internes. Les services standard, du type échange de
fichiers ou messagerie, doivent être sécurisés sur les réseaux d'entreprise. Cette mesure
doit permettre de limiter l'accès aux informations confidentielles et personnelles aux
seuls utilisateurs autorisés. À l'image des fichiers papier confidentiels qui sont conservés à
l'abri dans des armoires fermées à clé, les dossiers électroniques doivent également être
sécurisés.
Les failles au niveau de la sécurité interne peuvent également laisser le champ libre à des
attaques externes. Les utilisateurs autorisés peuvent faire entrer un virus sur le réseau
10
tout à fait involontairement, simplement en lisant un message électronique ou en navigant
sur le Web. Certains utilisateurs peuvent, volontairement ou non, installer des logiciels
non autorisés qui ouvrent une faille dans le système voire dans l'ensemble du réseau. Et,
bien évidemment, les employés malveillants peuvent sciemment créer une menace de
l'intérieur ou de l'extérieur. Pour réduire les risques liés à toutes ces situations, il est
impératif de mettre en œuvre des politiques de sécurité adaptées.
2. Menaces extérieures
Les anciennes versions des NOS utilisaient divers protocoles de réseau, parfois propriétaires
parfois non. L'explosion d'Internet, qui a eu lieu à la fin des années 1980, a alimenté la
demande en logiciels et services TCP/IP. Pour mettre Internet à la disposition des utilisateurs
directement sur leur bureau, les administrateurs de réseau ont dû déployer le protocole
TCP/IP. La suite TCP/IP a prouvé sa valeur dans le domaine des réseaux d'entreprise. Les
administrateurs de réseau ont commencé à négliger les autres protocoles, comme AppleTalk
et IPX/SPX. À la fin des années 1990, l'ensemble des grands développeurs de NOS, notamment
Apple et Novell, ont conçu leurs logiciels autour des services TCP/IP et Internet.
La quasi-totalité des NOS ont ainsi été déployés avec une connexion Internet. Cependant,
une connexion Internet est également une porte ouverte permettant l'accès au système. Les
règles d'Internet sont ouvertes, connues de tous et créent des failles au niveau de la sécurité.
Du moment où des services TCP/IP sont exécutés sur un NOS connecté à Internet, le risque
existe.
On parle de vol de données lorsqu'une personne non autorisée ou un programme logiciel
obtient de manière illégale des informations confidentielles stockées ou transmises sur un
réseau. Le vol de données peut se produire sous diverses formes, notamment par le biais du
reniflage de paquets et d'effractions sur le système. En règle générale, les voleurs de données
dérobent des informations permettant de générer un profit financier (informations de carte
de crédit, informations relatives aux comptes bancaires ou secrets de fabrication). Toutefois,
le vol d'informations peut également désigner les agissements d'une personne accédant
illégalement à un serveur de messagerie pour lire les messages des employés. Récemment, un
cas délicat de vol d'un journal de conversation en ligne a entraîné des conséquences
financières graves.
La destruction de données désigne le fait qu'une personne ou un programme logiciel non
autorisé s'infiltre sur un système et supprime des données. Parfois les données supprimées
sont remplacées par des données erronées. Dans certains cas, l'effraction est réalisée par un
logiciel malveillant installé sur un système. Les logiciels malveillants peuvent être installés à
la suite d'une attaque directe, par le biais d'une pièce jointe à un e-mail, ou à cause d'un virus
ou d'un ver.
Une attaque par déni de service consiste à nuire aux performances du serveur ou à le
supprimer totalement du réseau. Le but d'une attaque de ce type est d'empêcher les autres
hôtes d'utiliser le serveur ou de refuser un service. La panne ou l'inaccessibilité d'un serveur
peut coûter des milliers d'euros par heure à certaines sociétés.

Pirates (hackers)
Ce terme possède plusieurs définitions contradictoires. Pour le public et les médias, le terme
de pirate est souvent utilisé pour décrire de manière péjorative une personne qui s'infiltre
11
dans un ordinateur pour en endommager les données. Toutefois, au sein de la communauté
des pirates, une distinction est faite entre les personnes qui s'infiltrent simplement dans un
système et celles qui le font dans un but malveillant. Pour certains, le terme pirate fait
référence à un expert des systèmes informatiques. Selon cette définition, un pirate peut
s'infiltrer dans un système afin de l'explorer et d'enrichir ses connaissances. Le véritable
pirate a pour unique intention de disséquer les systèmes et les programmes afin d'en
comprendre le fonctionnement. Ce terme s'oppose par conséquent à celui de saboteur.
Saboteurs (crackers)
Ce terme s'applique aux personnes qui s'infiltrent dans des systèmes informatiques afin
d'endommager, de voler ou de détruire les données qui s'y trouvent. r, de voler ou de détruire
les données qui s'y trouvent. La communauté des pirates associe les saboteurs au terme de
«chapeau noir», qui fait référence au costume du méchant dans les westerns de la télévision
américaine. Les pirates de petite envergure sont parfois désignés par le terme de «chapeau
blanc». nés par le terme de «chapeau blanc».
Virus
Un virus est un petit programme qui prend généralement la forme d'autre chose. Il a des
conséquences inattendues et souvent gênantes. Un virus est souvent conçu pour se propager
automatiquement vers les autres ordinateurs. Ils peuvent être transmis dans des pièces
jointes d'e-mails, lors de téléchargements, ou via une disquette ou un CD. Le destinataire de
l'e-mail ou la personne qui reçoit le fichier téléchargé ou la disquette n'est que rarement
consciente de l'existence du virus. Certains effets des virus se font sentir dès l'exécution des
codes. D'autres virus restent inactifs jusqu'à ce que certaines circonstances en déclenchent
l'exécution sur l'ordinateur. Certains virus relèvent seulement du canular. En revanche,
d'autres sont dangereux, supprimant des données ou endommageant le système.
Vers
Un ver est un virus autoreproducteur qui n'endommage pas les fichiers mais élit domicile
dans la mémoire active et se reproduit. Les vers utilisent certaines parties automatiques et
souvent invisibles d'un système d'exploitation. Bien souvent, leur présence ne peut être
détectée que lorsque leur développement est tellement important qu'il nuit aux performances
en consommant une grande quantité de ressources système, et en ralentissant ou en
interrompant les autres tâches.
Chevaux de Troie
Les chevaux de Troie sont des programmes qui usurpent l'identité d'autres programmes afin
d'obtenir des informations. Par exemple, un cheval de Troie peut émuler l'écran de connexion
du système. Lorsque les utilisateurs saisissent leur nom d'utilisateur et leur mot de passe, les
informations sont stockées ou transmises au créateur du cheval de Troie. Ces données lui
permettent ensuite d'accéder au système.

Déni de service
Une attaque par déni de service désigne le fait que le système visé ne soit plus en mesure de
répondre efficacement aux demandes légitimes du réseau. Le système est saturé par les
messages illégitimes. Les attaques par déni de service peuvent prendre diverses formes.
Généralement, les attaques par déni de service profitent des failles des protocoles TCP/IP ou
du code des logiciels du NOS.

12
Ces attaques proviennent d'un hôte ou d'un groupe d'hôtes. Lorsque l'attaque provient d'un
groupe coordonné d'hôtes, elle porte le nom de DDoS (déni de service distribué).
De par ces attaques, le système cible est surchargé par l'envoi d'une importante quantité de
données qu'il n'est pas en mesure de gérer. Par exemple, l'assaillant enverra un énorme
volume de paquets à une cible. Le trafic important qui en résulte sature le logiciel cible, ce qui
peut même entraîner son blocage. En outre, une grande quantité de trafic DoS peut saturer un
lien cible vers Internet. Dans ce cas, la cible est exclue d'Internet.
Il existe plusieurs types d'attaque DoS.
Les attaques visant à saturer la mémoire tampon sont conçues afin de saturer le logiciel
exécuté sur le système cible. Les applications logicielles sont conçues de manière à pouvoir
stocker les données entrantes et sortantes dans une mémoire tampon. Dans certains cas, il est
possible d'envoyer davantage de données que le tampon peut en contenir. Il est également
possible d'envoyer des données dans un format qui va perturber le programme ou sa mémoire
tampon. Si le code du logiciel n'est pas écrit de manière à gérer correctement la saturation de
la mémoire tampon, le programme se retrouve bloqué.
Le ping of death est une attaque DoS très connue qui consiste justement à saturer la
mémoire tampon. Pour se livrer à une attaque de type ping of death, l'assaillant envoie à la
cible une demande d'écho ICMP (Internet Control Message Protocol) beaucoup trop
volumineuse. Les anciens logiciels TCP/IP ne réussissaient pas à gérer correctement ces
commandes ping et se bloquaient. En règle générale, les dépassements de mémoire tampon
profitent des failles des logiciels du NOS.
Les attaques de type synchronisation TCP (SYN) exploitent la fonction d'échange en trois
étapes du protocole TCP. L'assaillant envoie un énorme volume de demandes de
synchronisation TCP (demandes SYN). Ces demandes constituent la première partie de
l'échange en trois étapes. Le système cible répond. Sa réponse constitue la deuxième étape de
l'échange. Il attend ensuite une réponse. Cette réponse constitue la troisième et dernière
étape de l'échange. La cible n'attend pas indéfiniment. La cible doit attendre suffisamment
pour permettre l'établissement des sessions légitimes. Le système responsable de l'attaque ne
répond pas. Au lieu de cela, il envoie autant d'autres demandes SYN que possible. Le volume
de connexions partiellement ouvertes qui en résulte peut être trop important pour être géré
par la cible, dont le logiciel se bloque. Même si le logiciel ne va pas jusqu'à se bloquer, le taux
d'occupation du système est si important à cause des connexions partielles qu'il ne réussit
plus à traiter efficacement les demandes SYN légitimes.
En 1997, une variation des attaques SYN TCP, appelée land, a été découverte. Ce type
d'attaque utilise un programme qui endommage l'en-tête IP de la demande SYN. Cette
modification a pour effet de donner l'impression que la demande SYN provient de la cible elle-
même. Cette modification de l'en-tête IP visant à masquer la vraie source est une tromperie.
La cible reçoit le faux paquet et tente de se répondre à elle-même, ce qui a pour effet immédiat
bien souvent de la faire se bloquer. Au départ, plusieurs systèmes TCP/IP ont été touchés par
ce type d'attaque, dont des systèmes Windows 95/NT, BSD UNIX et Solaris.
Les dispositifs du réseau peuvent être configurés de manière à bloquer les attaques SYN TCP
provenant d'une même source. L'un des moyens de défense face aux attaques SYN TCP
consiste à augmenter le nombre de connexions partielles autorisées par le logiciel. Un autre
moyen consiste à diminuer le délai pendant lequel le logiciel attend une réponse. De nos jours,
les attaques SYN TCP, notamment de type land, sont bien connues et souvent évitables:
13
Teardrop est le nom d'un programme qui profite de la manière dont le protocole IP gère la
fragmentation. Les règles du protocole TCP/IP permettent à un paquet IP volumineux d'être
divisé en plusieurs paquets plus petits et donc plus facilement gérables. Chaque fragment est
envoyé sous la forme d'un paquet individuel. Chaque fragment contient les informations
nécessaires au réassemblage du paquet d'origine une fois celui-ci arrivé à destination.
Teardrop envoie des fragments comportant des informations de réassemblage en double, ce
qui a pour effet de perturber le logiciel cible qui se bloque. Teardrop touche en particulier les
systèmes Windows 3.1, 95, NT et certaines versions de Linux. De nos jours, la quasi-totalité
des systèmes d'exploitation contiennent des codes visant à les protéger contre cette attaque.
Tout comme les attaques de type land, les attaques Smurf consistent à tromper le système à
l'aide de l'en-tête IP du paquet. Smurf repose également sur le protocole ICMP ou sur une
commande ping. La plupart des organisations utilisent la technologie des pare-feu pour
bloquer les demandes ping provenant de réseaux extérieurs. Toutefois, les réponses aux
commandes ping sont généralement autorisées sur les réseaux car elles servent aux hôtes qui
souhaitent les utiliser pour tester leur connectivité externe. Si une organisation permet à son
réseau de recevoir les réponses aux commandes ping, elle peut être victime d'attaques Smurf.
Lors d'une attaque Smurf, l'assaillant envoie un énorme volume de demandes de ping à un
réseau cible. Il peut s'agir du réseau où réside l'hôte cible ou d'un autre. L'assaillant trompe le
système en modifiant les en-têtes IP de ces demandes de ping de manière à ce qu'elles
semblent provenir de la cible. Une fois que les hôtes du réseau cible ont reçu la demande ping,
ils dirigent l'ensemble de leurs réponses vers l'hôte cible. Cette opération peut entraîner la
surcharge de l'hôte cible et/ou de ses connexions de réseau et par conséquent un déni de
service.
Les exemples répertoriés ici sont des failles très connues. Les logiciels des systèmes
d'exploitation sont désormais conçus dès le départ en prenant en compte ces attaques. Par
exemple, la plupart des systèmes sont désormais totalement protégés contre les attaques de
type land et Teardrop.
Les failles connues des logiciels sont des points faibles pour le système. Ces points faibles
peuvent être corrigés en installant des mises à jour de logiciels lorsque celles-ci sont
disponibles auprès d'un fournisseur. Lorsque vous installez un système d'exploitation, véri-
fiez auprès du fabricant s'il existe des correctifs de sécurité pour le système en question. Bien
entendu, bien d'autres failles restent à découvrir. Par conséquent, il est judicieux de vérifier
régulièrement les nouvelles découvertes auprès des autorités de sécurité du Web, comme le
CERT/CC.

14
Déni de service distribué

La plupart des attaques DoS surchargent la cible en envoyant une énorme quantité de
paquets. Les développeurs de matériels et de logiciels fournissent désormais des outils
permettant d'identifier les motifs de trafic suspects provenant d'une adresse d'hôte
donnée. Une fois le trafic suspect identifié, un filtre ou un pare-feu peut bloquer le trafic
provenant de cette adresse.
À la fin des années 90, les attaques DoS ont connu une évolution pour le moins gênante.
Les pirates ont développé des méthodes visant à coordonner plusieurs hôtes afin
d'entraîner un déni de service. Les attaques DDoS sont difficiles à enrayer car elles
peuvent provenir de plusieurs centaines voire milliers d'hôtes coordonnés. Comment une
cible peut-elle distinguer les demandes légitimes de celles qui ne le sont pas? Dans
certains cas, la seule différence se situe au niveau de l'intention. Il peut être très difficile,
voire impossible, de déterminer l'intention d'un paquet.
Les attaques DDoS standard commencent par des semaines, voire des mois, de piratage.
L'attaque DDos de type Tribal Flood Network est illustrée à la figure . Avant que le
pirate puisse attaquer la cible, tout un réseau de systèmes doit être coordonné dans ce
but. Ce réseau regroupe des hôtes «zombies». En règle générale, un hôte zombie est un
hôte non sécurisé disposant d'une connexion Internet ADSL illimitée. Le pirate tire parti
des manquements du système en matière de sécurité. Il pénètre le système directement ou
par le biais d'un virus envoyé par e-mail. Le but de cette intrusion ou de ce virus est
d'installer un logiciel sur le système zombie. Le logiciel installé permet au pirate d'obtenir
un contrôle partiel du système. L'étape suivante pour le pirate consiste à obtenir le
contrôle partiel d'un grand nombre de zombies. Le pirate utilise les zombies pour lancer
une attaque DDoS sur la cible. Récemment, une nouvelle tendance est apparue en matière
d'attaques DDoS: elle consiste à utiliser la technologie IRC (Internet Relay Chat) pour
contrôler les zombies et déclencher des attaques.
Pour certains assaillants lançant des attaques DDos, la création de réseaux de systèmes
zombies est devenue un jeu d'enfants. La prolifération des services Internet à large bande
pour une utilisation privée est une véritable aubaine pour les attaques DDoS. Des millions
de foyers disposent désormais de connexions Internet ADSL illimitées. Les utilisateurs
privés sont des victimes faciles pour les virus logés dans les e-mails. En ouvrant
simplement une pièce jointe, l'utilisateur peut faire de son PC personnel un zombie. Les
ordinateurs des réseaux scolaires et universitaires sont également susceptibles de devenir
des zombies. Les réseaux des campus sont en effet connus pour être particulièrement
étendus et difficiles à gérer. La plupart des réseaux scolaires souffrent de politiques de
sécurité laxistes, d'un accès sans fil non sécurisé et d'un accès non réglementé.

15
Exploitations connues
Les attaques DoS visent en priorité les grandes failles qui se retrouvent dans toutes les mises
en oeuvre TCP/IP. Les attaques extérieures peuvent se concentrer sur certains logiciels du
système, notamment sur le NOS lui-même. Chaque combinaison NOS/logiciel contient son
lot de failles et de points faibles.
Si un saboteur est expérimenté, bien informé et rapide, il a de fortes chances de réussir à
attaquer un système. Avec un saboteur de cette trempe, la seule mesure efficace à 100% pour
protéger un système des attaques extérieures consiste à le déconnecter. Heureusement, les
saboteurs de haut vol ne sont que peu nombreux.
La plupart des experts en sécurité de réseau s'accordent à dire que l'une des plus grandes
menaces en matière de sécurité de réseau provient des individus qui possèdent des outils
perfectionnés. Toutefois, ces individus ne possèdent pas forcément la compétence adéquate.
Ces personnes sont souvent qualifiées de «pirates adolescents». Ce terme péjoratif est utilisé
pour définir des individus immatures qui utilisent des scripts, des programmes ou d'autres
techniques, créés par d'autres saboteurs plus compétents. Les pirates adolescents sont parfois
plus redoutables que leurs collègues plus expérimentés. En effet, ils ne comprennent que
rarement les implications de leurs actes. Par conséquent, un pirate adolescent pourra attaquer
au hasard des douzaines de systèmes dans le seul but de s'amuser.
Les pirates adolescents et débutants utilisent les sites Web des pirates et autres forums de
discussion afin d'obtenir les outils nécessaires à leurs attaques. Ces outils peuvent être des
programmes logiciels ordinaires ou même une simple procédure qu'ils détourneront contre
une cible. Une attaque spécifique est souvent appelée exploitation. Une exploitation tire par-
ti des faiblesses d'un système.
De nombreuses exploitations connues sont liées aux programmes suivants

16
Menaces internes
Les menaces provenant de l'intérieur d'un réseau peuvent être plus redoutables que les
menaces externes. Les menaces internes sont tout particulièrement dangereuses et pourtant,
il arrive que les administrateurs des réseaux les prennent trop à la légère. Les ordinateurs d'un
réseau interne bénéficient généralement d'un niveau d'accès important aux ressources
internes. En outre, les employés et utilisateurs autorisés sont souvent amenés à détenir des
informations essentielles à propos du réseau, notamment les mots de passe.
La plupart des menaces internes sont dues à des employés déloyaux, que le ressentiment
pousse à utiliser leur accès interne afin de détruire, dérober ou endommager des données.
Rien ne peut être fait pour protéger totalement les systèmes contre ces types d'attaque.
Toutefois, en définissant des politiques de sécurité efficaces, vous réduirez les risques liés à ce
type de menace. Par exemple, les organisations ne doivent pas se contenter de quelques mots
de passe pour protéger leurs ressources informatiques. Les grandes sociétés doivent mettre au
point des procédures claires afin de supprimer les comptes utilisateur et mots de passe des
employés qui quittent la société.
La menace interne la plus redoutable est généralement liée à un utilisateur final ordinaire d'un
réseau. Des utilisateurs finals inconscients peuvent entraîner le blocage d'un réseau
simplement en ouvrant sans précaution des pièces jointes d'e-mails, en installant des logiciels
non autorisés, en montant sur le système des supports personnels ou même en navigant sur le
Web. Les attaques internes sont souvent attribuables à un utilisateur final qui aura ouvert
une pièce jointe, ce qui aura eu pour effet de copier un virus sur l'ordinateur. De nombreux
virus se propagent sur les réseaux d'entreprise. Généralement, les virus contenus dans des e-
mails se propagent eux-mêmes vers les comptes figurant dans les carnets d'adresses des
messageries. Dans la plupart des sociétés, une liste complète des adresses des employés est
conservée sur chaque ordinateur. Un virus peut ainsi rapidement se propager à l'ensemble des
membres d'une société. Les virus peuvent également rechercher et infecter les fichiers et
dossiers partagés, qui sont monnaie courante sur les réseaux d'entreprise.
17
Les réseaux d'entreprise font également face à un problème grandissant: l'utilisation
croissante des programmes de messagerie instantanée et de partage de fichiers de particulier à
particulier. Les employés peuvent télécharger des logiciels de messagerie instantanée, comme
Microsoft Messenger ou America Online (AOL) Instant Messenger. Ces logiciels servent à
converser en temps réel avec ses collègues, amis ou proches. D'autres utilisateurs peuvent
télécharger des programmes de partage de fichiers de particulier à particulier fondés sur les
technologies du type Gnutella. Ces deux types de programme peuvent servir de vecteur au
transfert de fichiers infectés sur l'ordinateur local. Ils ont en commun d'écouter les
connexions provenant d'Internet. Les applications de conversation et de partage de fichiers
sont particulièrement vulnérables et peuvent être utilisées à des fins malveillantes.

Espionnage industriel
L'espionnage industriel est le plus perfectionné des types de menace au niveau de la sécurité
interne. Le vol de secrets de fabrication est une activité florissante. Le vol d'un secret de
fabrication peut causer la réussite ou la perte d'une société en quelques heures. Les employés
peuvent être approchés par des sociétés concurrentes qui leur proposeront un pont d'or pour
qu'ils leur livrent des informations confidentielles. D'autres fois, des employés d'autres
sociétés réussiront à obtenir un poste dans une société concurrente afin de s'y infiltrer et de
collecter des informations dont ils feront part à leur société d'origine. En plus, ils obtiennent
un joli chèque des deux sociétés simultanément!
Il existe également des espions industriels indépendants qui agiront sur contrat. Dans les
secteurs très compétitifs, ces espions peuvent dérober des données de leur propre initiative et
les vendre ensuite au plus offrant. Ces kidnappeurs de données peuvent même prendre en
otage des données confidentielles. Ils s'engagent ensuite, contre versement d'une rançon, à ne
pas divulguer ces informations à la concurrence.
Les espions industriels sont souvent des personnes intelligentes, hautement qualifiées et bien
équipées au niveau technique. Ils sont en outre souvent bien financés et restent indétectables
jusqu'à ce qu'il soit trop tard. Certaines sociétés sont dans des secteurs où l'espionnage
industriel est très répandu.
Le succès de ces sociétés reposant sur leur capacité à fournir des produits et des services
innovants avant tout le monde, elles sont particulièrement vulnérables en ce qui concerne
l'espionnage industriel.
Les protections à mettre en place pour contrer ces espions professionnels doivent par
conséquent être à la mesure de leur talent. Les sociétés peuvent être amenées à faire appel à
des consultants spécialisés dans la protection des réseaux d'entreprise contre les intrusions.

Utilisateurs récalcitrants
Les failles internes en matière de sécurité peuvent être dues à des utilisateurs qui s'opposent
aux politiques de sécurité mises en place. Ces utilisateurs trouvent que ces politiques sont
trop contraignantes. Même si elles sont volontaires, ces failles ne sont que rarement
malveillantes. Elles ont souvent pour seul but de permettre à l'utilisateur d'effectuer une
opération interdite.
La réponse de la société aux utilisateurs récalcitrants dépend des politiques mises en place et
du niveau de sécurité requis sur le réseau. Il peut s'avérer utile de mettre en œuvre des
18
contrôles plus efficaces ou d'évaluer les politiques de sécurité existantes afin de déterminer si
elles sont trop contraignantes et s'il est possible de libérer quelque peu l'accès concédé aux
utilisateurs

II. Les vulnérabilités

1. Les menaces et leurs origines
• Origines physiques : elles peuvent être d'origine naturelle ou criminelle :
o Désastre naturel (inondation, séisme, incendie) ;
o Environnement (intempéries, taux d'humidité de l'air, température) ;
o Panne matérielle ;
o Panne du réseau ;
o Coupure électrique.
• Origines humaines : elles peuvent être intentionnelles ou fortuites :
o Erreur de conception (bogue logiciel, mauvais dimensionnement du réseau) ;
o Installation de software ‘troués’ ;
o Navigation web non maîtrisée ;
o Modification d’une configuration ;
o Manque de prudence face aux mails inconnus ;
o Crédulité : Attaques fishing et Social Engineering.
• Origines opérationnelles : elles sont liées à un état du système à un moment donné :
o Bogue logiciel : Buffer Overflow ;
o Dysfonctionnement logiciel ;
o Problèmes de configuration.
La plupart de ces problèmes sont traduites par des failles provoquant la possibilité d’attaques
telles que les dénis de services, et laissent des portes grandes ouvertes aux pirates.
2. Le manque de politique efficace
50% de la sécurité a tout simplement trait au bon sens. Il peut s’agir simplement, par
exemple, de vérifier l’identité des personnes avant de les laisser entrer dans les locaux, de ne
communiquer aucune information par téléphone à un inconnu ou encore d’éviter les mots de
passe trop simple. Pourtant, de nombreuses entreprises n’ont pas de politique de sécurité
efficace. Elles sont généralement considérées comme lourdes et chères, et l’action n’est pas
directement visible. Il en découle de nombreux problèmes suite à une réflexion trop hâtive. Il
faut un document écrit compréhensible par tous et en corrélation avec le niveau de sécurité
que l’on souhaite pour son entreprise. La mise en place d'une politique de sécurité adéquate
est essentielle à la bonne sécurisation des réseaux et du système d'information. Lors de la
mise en place d'une politique de sécurité, tout le monde doit y être impliqué (utilisateurs,
administrateurs, etc).
Un élément critique souvent négligé est la politique sur la réponse d'incident. Quelle est la
réponse à donner si un des points de la politique de sécurité est violé. La politique de sécurité
doit prendre en compte le niveau de risque que l’entreprise est prête à assumer et sur quelles

19
parties. On ne peut pas tout sécuriser à 100%, car les coûts ne seraient généralement pas
envisageables, qu’est ce qui revête la plus grande importance pour l’entreprise ?
La politique de sécurité d’une entreprise doit s'articulent autour de 5 axes :
• Sensibiliser aux risques pesant sur les systèmes d'information et aux moyens
disponibles pour s'en prémunir.
• Créer une structure chargées d'élaborer, de mettre en oeuvre des règles consignes et
procédures cohérentes pour assurer la sécurité des systèmes informatiques.
• Promouvoir la coopération entre les différents services et unités de l'établissement
pour l'élaboration et la mise en oeuvre des règles consignes et procédures définies.
• Susciter la confiance dans le système d'information de l'établissement.
• Faciliter la mise au point et l'usage du système d'information pour tous les utilisa-
teurs autorisés de l'établissement.
3. La Faiblesse de configuration
Un des premiers problèmes de sécurité vient de la faiblesse des configurations appliquées aux
différents matériaux. Les administrateurs réseaux préfèrent souvent une configuration d’un
serveur, d’un routeur, ou d’un point d’accès wifi qui fonctionne bien et qui est faite
rapidement. Inclure de la sécurité dans un équipement peut prendre du temps, ou peut
compliquer fortement le système. Ainsi, pour le wifi, par exemple, Il n’est pas rare de voir des
bornes qui utilisent des clefs wep, plutôt que des clefs wpa. Pourtant, on sait parfaitement
qu’il ne suffit que de quelques minutes à cracker une clef wep, alors que le wpa avec une
authentification radius nécessite des ressources énormes.
4. Les Faiblesses technologiques
Les équipements informatiques doivent être en concordance avec la politique de sécurité que
l’on s’est fixé. Il ne fait donc pas hésiter à renouveler un matériel qui, même s’il fonctionne
encore, n’est pas prêt à évoluer. Un matériel nouveau offrira toujours plus de sécurité mais
aussi plus de performance.
Ainsi, vous souhaitez par exemple configurer des connections VPN. Le matériel que vous
possédez actuellement est déjà âgé de quelques années, et il ne permet donc pas
d’implémenter l’algorithme que vous aviez choisis pour effectuer votre tunnel. Il est donc très
préférable de le changer, même si cela est un coût supplémentaire, que de changer
d’algorithme de cryptage pour une version plus ancienne, donc moins sécurisée

III. TECHNIQUES D’ATTAQUES : TYPES D’ATTAQUES, SOCIAL

ENGINEERING, SPOOFING IP, DNS SPOOFING, MAN IN
THE MIDDLE, DHCP SPOOFING, ARP SPOOFING, SOURCE
ROUTING, SYN FLOOD, SMURF
Voici quelques techniques fréquemment utilisées par les pirates.
1. Le ‘social engineering’ désigne l’art de manipuler des personnes afin de récupérer des
informations confidentielles ou nécessaires à la préparation de l’attaque. Il s’agit ainsi
d’une technique consistant à obtenir des informations de la part des utilisateurs par
téléphone, courrier électronique, courrier traditionnel ou contact direct. Elle est basée sur
l’utilisation de la force de persuasion et l’exploitation de la naïveté des utilisateurs en se
20
 faisant passer pour une personne de la maison, un technicien, un administrateur, ou même
un client.
Le hacker va généralement tenter d’utiliser un mélanges des quatre possibilités pour être
encore plus crédible et va d’abord tenter de soutirer les informations aux personnes les plus
‘faibles’, comme un nouveau employé.
Le ‘jeu’ du hacker doit être parfait afin de ne pas éveiller les soupçons. Il n’hésitera pas à faire
imprimer du papier à filigrane pour une lettre, ou d’enregistrer des bruits de bureaux pour
qu’un coup de téléphone soit plus crédible.

2. Le ‘Spoofing IP’ consiste à remplacer l’adresse IP de l’expéditeur d’un paquet IP par

l’adresse IP d’une autre machine. Cette technique permet ainsi à un pirate d’envoyer des
paquets anonymement, de manière plus sûre que de passer par un proxy car les logs de
celui-ci gardent l’adresse ip d’origine. L’adresse ip n’est toutefois pas modifiée dans le
packet mais masquée. Le spoofing est notamment utilisée pour passer un firewall.
• En se faisant passer pour une machine ayant le droit de communiquer avec la machine
cible (généralement une machine interne au réseau), le firewall ne bloquera plus
l’accès (dans le cas de règles basées sur les adresses IP) [1].
• Le hacker devra encore rendre inaccessible la machine spoofée car c’est elle qui recevra
les réponses de la cible. Sinon, n’ayant pas initialisé avec elle la communication,
l’ordinateur spoofé mettra fin à la connexion [2].
• Il est ensuite nécessaire d’accuser réception du dernier paquet reçu pour finir d’établir
la connexion [4].
• Pour cela, il faut renvoyer le bon numéro de séquence (voire structure d’un segment
TCP). Il faut donc écouter la connexion pour déterminer ce numéro [3].
• Si cela s’avère impossible, il est toujours possible d’envoyer des numéros de séquences
à l’aveugle.

21
Lors d’une attaque de type ‘DHCP Spoofing’, le pirate met en place un serveur DHCP
(Dynamic Host Configuration Protocol) au sein du réseau afin de répondre aux requêtes
effectuées par les clients. Il va ainsi pouvoir fournir de mauvaises adresses à l’ordinateur.
• Une fausse adresse de passerelle peut lui permettre de rediriger les flux des ordina-
teurs afin de les écouter et d’en extraire des informations telles que des mots de passe.

• Une fausse adresse de DNS pourrait lui permettre de rediriger les requêtes web sur
des serveurs disposant d’informations corrompues et donc ensuite faire passer une
demande de www.mabanque.com pour www.pirate.com sans que l’utilisateur s’en
rende compte.

3. Le ‘Source Routing’ est une méthode de détournement de paquets consistant à utiliser

l'option source routing du protocole IP. Cela permet de spécifier le chemin à suivre pour les
paquets IP, à l'aide d'une série d'adresses IP indiquant les routeurs à utiliser. En exploitant
cette option, le pirate peut indiquer un chemin de retour pour les paquets vers un routeur
sous son contrôle. C’est par exemple cette méthode qui permet lors d’un spoofing de
récupérer les paquets émis par la cible. Il existe deux méthodes de source routing.
• La strict permet de définir la totalité des routeurs par lequel va passer le paquet.

• Le source routing relatif consiste à imposer seulement certains passages.

<!--[if !vml]--

22
Le source routing est utilisé par exemple lors d’un traceroute. La plupart des équipements
réseaux désactivent maintenant cette fonctionnalité.
Dans l’attaque ‘Man In the Middle’, l'attaquant se situe entre le client et l'application
Internet réelle et enregistre toutes les communications entre les systèmes. Ce type d'attaque
est valide pour les communications HTTP et HTTPS. Le client se connecte au serveur
corrompu comme s'il s'agissait du vrai site, pendant que ce serveur se connecte au vrai site.
Dans le cas des communications sécurisées HTTPS, une connexion SSL est établie entre le
client et le proxy de l'attaquant et le proxy de l'attaquant crée sa propre connexion SSL avec
le véritable serveur. Pour que ce genre d'attaque réussisse, il faut que l'attaquant arrive à
diriger le client vers son proxy plutôt que vers le vrai serveur.

4. Le ‘SYN Flood’ : Une machine A envoie à une machine Y un paquet SYN semblant venir
d'une machine X non accessible -éteinte ou inexistante-. La machine Y envoie donc le
second paquet pour l'ouverture de la connexion et attend la réponse de la machine X, qui
ne viendra jamais. Ainsi, la machine Y aura une connexion monopolisée pendant un certain
laps de temps. Si la machine A envoie de nombreux paquets SYN, la machine Y peut
saturer et ne plus accepter de nouvelles connections. Cette attaque fait donc
partie des attaques du type Dénis de Service, puisque la machine cible devient indisponible
et refuse ainsi un service à d'autres utilisateurs.
5. Le ‘Smurf’ ou ‘Attaque par réflexion’ : La machine attaquante falsifie d’abord son adresse
IP pour se faire passer pour la machine cible. Elle envoie alors un ping sur un serveur de
broadcast. Il le fera suivre à toutes les machines qui sont connectées qui renverront
chacune une réponse au serveur qui fera suivre à la machine cible. Celle-ci sera alors
inondée sous les paquets et finira par se déconnecter.

6. L’ARP cache Poisonning’ ou ‘ARP Spoofing’ est une attaque ‘Man in the Middle’. Elle
repose sur le protocole ARP (Address Resolution Protocol). L'attaque consiste à
s'interposer entre deux machines du réseau et de transmettre à chacune un paquet ARP
falsifié indiquant que l’adresse MAC de l'autre machine a changé, l'adresse ARP fournie
étant celle de l'attaquant. Les deux machines cibles vont ainsi mettre à jour leur Cache
ARP. De cette manière, à chaque fois qu'une des deux machines souhaitera communiquer
avec la machine distante, les paquets seront envoyés au pirate.

23
7. ‘Pharming’ ou ‘DNS cache poisonning’ : Les serveurs DNS possèdent un cache
permettant de garder pendant un certain temps la correspondance entre un nom de
machine et son adresse IP. En effet, un serveur DNS n'a les correspondances que pour les
machines du domaine sur lequel il a autorité. Pour les autres machines, il contacte le
serveur DNS ayant autorité sur le domaine auquel appartiennent ces machines. Ces
réponses, pour éviter de sans cesse les redemander aux différents serveurs DNS, seront
gardées dans ce cache.
Le DNS Cache Poisoning consiste à corrompre ce cache avec de fausses informations. Pour
cela le pirate doit avoir sous son contrôle un nom de domaine (ici pirate.fr) et le serveur DNS
ayant autorité sur celui-ci (ns.pirate.fr).
L'attaque se déroule en plusieurs étapes :
Le pirate envoie une requête vers le serveur DNS cible demandant la résolution du nom d'une
machine du domaine pirate.fr (www. pirate.fr)
• Le serveur DNS cible relaie cette requête à ns. pirate.fr puisque c'est lui qui a autorité
sur le domaine pirate.fr
• Le serveur DNS du pirate (modifié pour l'occasion) enverra alors, en plus de la ré-
ponse, des enregistrements additionnels (dans lesquels se trouvent les informations
falsifiées à savoir un nom de machine publique associé à une adresse IP du pirate)
• Les enregistrements additionnels sont alors mis dans le cache du serveur DNS cible

24
Une machine faisant une requête sur le serveur DNS cible demandant la résolution d'un des
noms corrompus aura pour réponse une adresse IP autre que l'adresse IP réelle associée à
cette machine.

8. Le ‘buffer overflow’ se base sur une faille du protocole IP. On envoie à la machine cible
des données d'une taille supérieure à la capacité d'un paquet. Celui-ci sera alors fractionné
pour l'envoi et rassemblé par la machine cible. A ce moment, il y aura débordement des
variables internes. En effet, les programmes acceptant des données en entrée, passées en
paramètre, les stockent temporairement dans une zone de la mémoire appelée tampon (en
anglais buffer). Or, certaines fonctions de lecture, telles que les fonctions strcpy() du
langage C, ne gèrent pas ce type de débordement et provoquent un plantage de
l'application pouvant aboutir à l'exécution du code arbitraire (Shellcode) et ainsi donner
un accès au système. Suite à ce débordement, plusieurs cas se présentent : la machine se
bloque, redémarre ou ce qui est plus grave, écrit sur le code en mémoire. On peut ainsi
modifier directement le code des programmes de la machine.

25
IV : POLITIQUES DE SECURITE ;
LE PROCESSUS PERPETUEL DE SECURISATION (SECURITY WHEEL)
OBJECTIFS, CONSIDERATIONS, METHODES
Le processus perpétuel de sécurisation (Security Wheel)

La sécurité est un processus en perpétuelle évolution. Il fait toujours faire évoluer son système
et ses techniques car si à un moment donné, le niveau de sécurité est estimé satisfaisant, il
baisse au fur et à mesure que le temps passe. Le ‘security wheel’ se découpe en quatre par-
ties cycliques comme le montre le schéma ci-dessous :

• Sécuriser le réseau
• Surveiller et répondre aux attaques
• Tester l’état de la sécurité en place
• Analyser et améliorer la sécurité

a. Sécuriser le réseau :

Il faut mettre en place la politique de sécurité définie en tenant compte des utilisateurs, du
budget alloué et des points clef. Il faut être capable de mesurer le niveau de sécurité du réseau.
Il est nécessaire pouvoir évaluer la complexité du réseau en connaissant sa topologie et
l’emplacement des ressources critiques.

b. Surveiller et répondre aux attaques :

Une fois le réseau sécurisé, il est nécessaire de constamment le surveiller afin d’intercepter le
plus rapidement possibles toutes les menaces potentielles. Si un problème apparaît, il fait
rapidement prendre les bonnes décisions pour le stopper. Les procédures de réponses
spécifiques doivent ensuite être intégrées dans la politique de sécurité.

26
c. Tester l’état de la sécurité en place :

Afin de détecter de nouvelles vulnérabilités, on peut utiliser le scan pour examiner

régulièrement les configurations de tous les composants du réseau. L’évolution du réseau et
des services/technologies peuvent créer de nouveaux trous de sécurité. Il fait ainsi pouvoir
déterminer quels composants du réseau sont les plus vulnérables et recommander des
méthodes d'amélioration.

d. Analyser et améliorer la sécurité :

Il faut ensuite analyser toutes les mesures effectuées dans les autres parties du cycle de sécu-
rité afin d’identifier les ressources qui nécessitent des modifications. Il faut bien entendu
suivre attentivement l’évolution des nouvelles menaces et la traduite sur la politique de sécu-
rité.

Conclusion
On peut donc voire que les attaques sont légions et qu'une mauvaise protection est périlleuse
pour la pérennité de l'entreprise.

Si la sécurité à 100 % n'est qu'une chimère, il est important de suivre une politique créée en
prenant compte des besoins réels que l'on a et en étudiant le coût que peut entrainer un
problème de sécurité par rapport à son coût pour le colmater.

REMARQUE :
En dehors d'une politique de sécurité judicieuse, les organisations doivent se doter de
programmes de formation pour l'ensemble des employés qui font usage du réseau
informatique. Étant donné que c'est souvent par l'intermédiaire des employés que les pirates
réussissent à pénétrer l'intranet, une formation doit impérativement être prodiguée aux
employés afin qu'ils sachent protéger le système contre l'arrivée de virus, les attaques DoS, le
vol de données, etc. Bien souvent, les employés pêchent par ignorance plus que par
incompétence.

27
Chapitre III : Cryptographie
Dès que les hommes apprirent à communiquer, ils durent trouver des moyens d’assurer la
confidentialité d’une partie de leurs communications : l’origine de la cryptographie remonte
sans doute aux origines de l’homme.
En effet, le mot cryptographie est un terme générique désignant l’ensemble des techniques
permettent de chiffrer des messages c’est-à-dire de les rendre inintelligibles sans une action
spécifique. Mais ce n’est qu’à l’avènement de l’informatique et de l’internet que la
cryptographie prend tout son sens. Les efforts conjoint d’IBM et de la NSA conduisent à
l’élaboration du DES (Data Encryption Standard), l’algorithme de chiffrement le plus utilisé
au monde durant le dernier quart du XX éme siècle.
A l’ère d’internet, le nombre d’application civiles de chiffrement (Banques,
télécommunications, cartes bleues,…) explose. Le besoin d’apporter une sécurité accrue dans
les transactions électroniques fait naitre les notions de signature et d’authentification
électronique. La première technique de chiffrement à clé publique sûre apparait : RSA.

I. Les techniques de cryptographie au cours de l’histoire

Contrairement à ce que l’on peut penser, la cryptographie n’est pas seulement une technique
moderne, ni un produit de l’ère informatique. En effet de tout temps, les hommes ont ressenti
le besoin de cacher des informations confidentielles.

Bien évidement depuis ses débuts la cryptographie a grandement évoluée. Au cours des
siècles, de nombreux systèmes de chiffrage ont été inventés, tous de plus en plus robuste, et il
est vrai que l’informatique y a beaucoup contribué. Mais au commencement les algorithmes
étaient loin d’être aussi complexes et astucieux qu’à notre époque. La majeure partie des
méthodes d’antan reposait sur deux principes fondamentaux : la substitution et la
transposition.
1. Le système de César
L’un des systèmes les plus anciens et les plus simples est le codage par substitution
monoalphabétiques. Chaque lettre est remplacée "substitution" par une seule autre
"monoalphabétique", selon un certain décalage dans l'alphabet ou de façon arbitraire. D'après
Suétone, César avait coutume d'utiliser un décalage de trois lettres : A devient D, B devient E,
C devient F, etc. Il écrivait donc son message normalement, puis remplaçait chaque lettre par
celle qui lui correspondait :

Exemple : d'après cette méthode, "VIVE LES MATHS" devient donc "YLYH OHV PDWKV" !
Il existe donc 26 façons de coder le message, ce qui fait que ce système a été longtemps utilisé
par les armées pendant l’antiquité. Ce procédé très fiable à l’époque est tout de même
problématique car il est nécessaire que les interlocuteurs se souviennent tous de la clé. De
plus, il est évident que la sureté de ce codage est quasi nulle et qu’il se pourrait être déchiffré
par n’importe quelle personne qui y mettrait le temps nécessaire.
28
2. Le système de Vigenère
Un autre système de cryptographie des plus anciens est cette fois-ci, la substitution poly
alphabétique, qui utilise plusieurs alphabets décalés pour crypter un message. L’algorithme
de substitution poly alphabétique le plus connu est le chiffre de Vigenère, mis au point par
Blaise de Vigenère en 1586, qui fut utilisé pendant plus de trois siècles.
Son chiffre consiste à utiliser le chiffre de César, mais en changeant le décalage à chaque fois.
Il utilise alors un carré composé de 26 alphabets alignés, décalés de colonne en colonne d’un
caractère. Il place également au-dessus de ce carré, un alphabet pour la clef et à sa gauche un
autre alphabet pour le texte à coder. Il suffit alors, pour chiffrer un message, de choisir un mot
de longueur quelconque, de l’écrire sous le message à coder (de façon répétée s’il le faut) et de
regarder dans le tableau l’intersection de la lettre à coder et de la lettre de la clef.
Pour mieux comprendre le fonctionnement du Carré de Vigenère nous vous proposons cet
exemple : Supposons que nous voulons coder le texte « CARRE DE VIGENERE » avec la clef
« MALICE ». On commence par écrire la clef sous le texte à coder.
Pour coder la lettre C, la clef est donnée par la lettre M. On regarde dans le tableau
l’intersection de la ligne donnée par le C, et de la colonne donnée par le M.

29
On trouve O. Puis on continue, jusqu’à ce qu’on ait fini de chiffrer notre texte. En chiffrant le
texte « Carre de Vigenere », on obtient donc le texte « OACZG HQ VTOGRQRP ». Cet
algorithme de cryptographie ainsi que celui de César sont les premiers des algorithmes à clef
privée.

II. Crypto systèmes actuels

Les crypto systèmes actuels peuvent être regroupés en deux grandes cryptographies à clé
publique et la cryptographie à clé privée.
1. La cryptographie à clé publique
Elle repose sur l'utilisation d'une clé publique et d'une clé privée, l'une permettant de coder le
message et l'autre de le décoder. Ainsi, l'expéditeur peut utiliser la clé publique du
destinataire pour coder un message que seul le destinataire peut décoder, garantissant la
confidentialité du contenu. Inversement, l'expéditeur peut utiliser sa propre clé privée pour
coder un message que le destinataire peut décoder avec la clé publique

Ces différentes figures illustrent possédant deux clés une clé publique en vert et une clé
privée en orange, dans un temps Alice envoi sa clé publique à Bob puis lorsqu’elle veut
envoyer un message elle crypte le document avec sa clé privée puis le décrypte avec la clé
publique d’Alice.

30
2. La cryptographie à clé privée
La cryptographie à clés privées, appelée aussi cryptographie symétrique est depuis déjà
plusieurs siècles. C’est l’approche la plus authentique du chiffrement de données et
mathématiquement la moins problématique. La clé servant à chiffrer les données peut être
facilement déterminée si l’on connaît la clé servant à déchiffrer et vice versa. Dans la plupart
des systèmes symétriques, la clé de cryptage et la clé de décryptage sont une seule et même
clé. Les principaux types de crypto systèmes à clés privés utilisés aujourd’hui se répartissent
en deux grandes catégories :

a. Les crypto systèmes par flots

Dans un crypto système par flots, le cryptage des messages se fait caractère par caractère ou
bit à bit, au moyen de substitutions de type César générées aléatoirement la taille de la clé est
donc égale à la taille du message.
Il a été démontré par le mathématicien Claude Elwood Shannon qu’il était impossible de
retrouver un message crypté par le principe de Vernam sans connaître la clé. Ce qui ferait en
théorie du chiffre de Vernam un cryptosystème incassable. Mais dans la pratique, le
cryptosystème par flots pose des problèmes délicats : canaux sûrs de distribution des clés,
taille des clés encombrantes car de même taille que le message et surtout caractère aléatoire
des générateurs de bits de clés utilisés. En revanche, un des avantages du système est qu’il est
insensible aux phénomènes de propagation d’erreurs : un bit erroné donne une erreur à la
réception ou à l’émission, mais est sans incidence sur les bits suivants.

b. Le chiffrement par bloc

Un algorithme de chiffrement par bloc est un algorithme à clé symétrique capable de chiffrer
un bloc de taille fixe, typiquement 64 ou 128 bits, en fonction d’une clef secrète dont la taille
varie généralement de 40 à 256 bits selon l’algorithme et la configuration considérés. La taille
minimale recommandée pour les clefs est de 128 bits.

3. Les algorithmes de cryptage

a. L’algorithme RSA
L’algorithme le plus célèbre est celui à clé publique inventé en 1977 par Ron Rivest, Adi
Shamir et Len Adleman, à la suite de la publication de l’idée d’une cryptographie à clé
publique par Diffie et Hellman. Il fut appelé RSA, des initiales de ces inventeurs. RSA est basé
sur la difficulté de factoriser un grand nombre en produit de deux grands facteurs premiers.
L’algorithme fonctionne de la manière suivante :
Imaginons que Bob souhaite recevoir d’Alice des messages en utilisant RSA.

1. Génération des clefs :

Maintenant que le principe est compris passons maintenant à l'aspect mathématique du RSA,
comment génère-t-on les clés, comment crypter le message et comment le décrypter.
Soit m le message en clair (non crypté).
Soit c le message encrypté.
Soit (e,n) le couple qui constitue la clé publique.
Soit (d,n) le couple qui constitue la clé privé.
● On choisit deux grands nombres premiers p et q du même ordre de grandeur.
● On calcule n : n= p*q
● On calcul e tel que e n'ai aucun facteur commun avec (p-1)(q-1).
31
Pour cela on va utiliser l'algorithme de Bachet - Bézout.
(Conféré : Compléments Mathématiques).
Apres avoir calculé e, on a la clé publique (e,n).
● On calcule d tel que ed mod (p-1)(q-1) = 1
(L’opération modulo (mod) est décrite dans les Compléments Mathématiques).
Apres avoir calculer d, on a la clé privé (d,n).
Maintenant que nous avons nos couples de clés (publique et privé) nous pouvons encrypter
nos messages et les décrypter.
Pour cela on effectue les opérations suivantes :
Pour encrypter le message : c = m^e mod n
Pour décrypter le message : m = c^d mod n
Exemple.
Maintenant que nous avons nos couples de clés (publique et privé) nous pouvons encrypter
nos messages et les décrypter.
Pour cela on effectue les opérations suivantes :
Pour encrypter le message : c = m^e mod n
Pour décrypter le message : m = c^d mod n
On choisit d'illustrer l'algorithme sous forme d'un exemple simple :
On prend deux nombres premiers : p = 47 et q = 71
Bien sûr en réaliser ces nombres est beaucoup plus grand, 1024 chiffres dans notre réalisation
en java.
On calcul n = p*q = 47 * 71 = 3337
(p-1)(q-1) = 3220
e = 79 (démonstration avec le Théorème de Bezout)
On calcul d = = 1019
On vérifie que e*d = 80501 = 1 mod 3220
Prenons un message préalablement transformé en nombre garce par exemple à la table ASCII
m = 6882326879666683
On découpe m : m1=688 m2=232 m3=687 m4=966 m5=668 m6=3
On calcul chaque bloc : cx=mxe mod n (Grace a au couple (e,n), clé publique)
On trouve c1=1570 c2=2756 c3=2091 c4=2276 c5=2423 c6=158
Le message crypter est donc : c = 15702756209122762423158
On retrouve m en calculant mx=cxd mod n (Grace a au couple (d,n), clé privé)

III. La fonction de hachage, la signature, et le certificat

Electronique
1. La fonction de hachage
Les fonctions cryptographiques de hachage sont des primitives qui ont pour objectif de calcu-
ler une empreinte cryptographique à partir de données pouvant être de taille arbitraire. Cette
empreinte a une taille fixe.
Les propriétés attendues pour une fonction cryptographique de hachage h incluent :
- il doit être impossible en pratique de trouver deux message différents m et m’ tels que
h(m)=h(m’)

32
 - étant donné une empreinte d, il doit être impossible en pratique de trouver un mes-
sage m tel que h(m)=d. une fonction de hachage possédant cette propriété est dite ré-
sistante à la première pré image.
- Etant donné un message m, il doit être impossible en pratique de trouver un message
m’ différent de m tel que h(m)=h(m’). une fonction de hachage possédant cette
propriété est dite résistante à la seconde pré image.

Lors d’échanges de messages cryptés, il est important de pouvoir s’assurer que le message n’a
pas été altéré ou modifié par un tiers pendant l’envoi. Les fonctions de hachage permettent
alors de s’assurer de l’intégrité du message.

Une fonction de hachage calcule l’empreinte y d’un message x. Cette fonction F doit être une
fonction à sens unique c’est-à-dire qu’il doit être facile de trouver y à partir de x, mais très
difficile de trouver x à partir de y. Elle doit aussi être très sensible pour qu’une petite
modification du message entraîne une grande modification de l’empreinte. En envoyant le
message accompagné de son empreinte, le destinataire peut ainsi s’assurer de l’intégrité du
message en recalculant le résumé à l’arrivée et en le comparant à celui reçu.

Les fonctions de hachage les plus répandus sont MD5 et SHA-1 qui sont basés tous les deux
sur MD4, MD5 générant des empreintes de 128 bits et SHA-1 de 160 bits (seul MD5 sera
décrit, ces deux fonctions ayant un fonctionnement similaire).

2. Signatures
La signature numérique (parfois appelée signature électronique) est un mécanisme
permettant de garantir l'intégrité d'un document électronique et d'en authentifier l'auteur,
par analogie avec la signature manuscrite d'un document papier

C’est le rôle de la signature numérique, celle-ci fournissant donc les services d’intégrité des
données, d’authentification de l’origine des données et de non-répudiation. La façon la plus
simple de signer un message est d’utiliser la cryptographie asymétrique pour le chiffrer en
utilisant sa clef privée : seul le possesseur de cette clef peut générer la signature et toute
personne ayant accès à la clef publique correspondante peut la vérifier.

Mais cette méthode est très lente et en pratique elle n’est que peu utilisée. La méthode
réellement utilisée repose non pas sur le chiffrement du message lui-même mais sur
l’empreinte (empreinte issue d’une fonction de hachage comme MD5 par exemple) de celui-
ci. En effet, cette méthode est beaucoup plus rapide du fait de la quantité réduite des données
à chiffrer. Une signature numérique est plus sûre qu’une signature papier car la signature
change à chaque message. Elle est de ce fait inimitable (sans la connaissance de la clef secrète
bien entendue).

33
a. Le standard DSS ( Digital Signature Standard):
L’algortihme DSS est une amélioration du procède de El Gamal, à sa création en 1991 il s’est
appelé DSA (Digital Signature Algorithm). Son nom est devenu DSS (Digital Signature
Standard) lorsqu’il est devenu une norme fédérale aux Etats-Unis en 1994.
Avec le DSS on va obtenir une signature plus courte quí avec El Gamal pour une sécurité
identique.

b. Le standard PKCS (Public-Key Cryptography Standard):

Les PKCS (Public-Key Cryptography Standards) sont des spécifications issues des travaux
d’une compagnie américaine, RSA Data Security, en coopération avec le Massachusetts
Institute of Technology et un consortium de compagnies informatiques incluant Apple,
Microsoft, DEC, Lotus, Sun Microsystems. Elles ont été développées dans le but d’accélérer le
déploiement de la cryptographie à clé publique ;

Une empreinte du message doit être fabriquée en utilisant l’un des algorithmes de
compression MD2, MD4, MD5 ou SHA-1.

L’empreinte doit ensuite être chiffrée avec la clef secrète RSA du signataire. C’est l’ensemble
formé du message et de l’empreinte chiffrée qui constitue la signature digitale.

3. Les certificats électroniques :

a. Infrastructure à clé publique (ICP)
L’infrastructure à clé publique définit un ensemble de services de sécurité afin de rendre les
échanges électroniques fiables. A l’intérieur de l’ICP, les éléments sont organisés
hiérarchiquement dans le but de garantir un niveau de sécurité élevé. Elle est composée de :
✓ une autorité d’enregistrement (Registration Authority) ;
✓ une autorité de certification ;
✓ un système de distribution des clefs.

Les ICP sont évolutives et interopérables c’est-à-dire qu’elles sont capables de suivre la
croissance du nombre d’utilisateurs et doivent supporter l’ajout de nouvelles autorités de
certification et l’établissement de certification croisée entre plusieurs autorités.

34
Le problème qui a amené à créer les certificats est l’opposé de celui qui a amené à créer les
signatures numériques.

Un certificat permet d’attester l’identité du destinataire de la même façon qu’un papier

d’identité permet d’identifier une personne. En effet, les certificats numériques fonctionnent
sur le même principe : ils sont émis par un organisme supérieur (l’Etat pour le papier
d’identité) appelés autorité de certification.

Une autorité d’enregistrement est un organisme approuvé pour vérifier que les autres
organismes sont bien ce qu’ils prétendent être. Pour cela elle applique des procédures
d’identification conformes aux règles définies par l’autorité de certification.

b. PKI (Public Key Infrastructure)

Le but
Le but de la PKI est de présenter l'autorité de certification, à savoir une entité humaine (une
personne, un groupe, un service, une entreprise ou une autre association) autorisée par une
société à émettre des certificats à l'attention de ses utilisateurs informatiques. Une autorité
de certification fonctionne comme un service de contrôle des passeports du gouvernement
d'un pays. L'autorité de certification crée des certificats et les signe de façon numérique à
l'aide d'une clé privée qui lui appartient. Elle gère une liste de révocation qui permet
d'invalider des certificats déjà diffusés.

Vérification d'un certificat

On peut vérifier la signature numérique de l'AC émettrice du certificat, à l'aide de la clé
publique de l'AC. Si c'est le cas alors il garantit l'intégrité du contenu du certificat (la clé
publique et l'identité du détenteur du certificat). L'utilisation que fait le titulaire du certificat
ne concerne plus la PKI, mais les diverses applications qui sont compatibles.

Comment obtenir un certificat ?

Pour obtenir un certificat d’une autorité d’enregistrement, il faut donc fournir à celle-ci des
informations prouvant votre identité ou celle de votre organisation ainsi que votre clé
publique. L’autorité vérifie alors votre identité mais aussi que la clé fournie est bien issue d’un

35
algorithme de cryptage à clé publique particulier. Il existe trois classes de certificats
correspondant à différents niveaux de sécurité :
✓ certificats de classe 1 : Le demandeur ne fournit qu’une adresse e-mail.
✓ certificats de classe 2 : Ils requièrent une preuve d’identité du demandeur.
✓ certificats de classe 3 : Ces certificats ne peuvent être délivrés que si le demandeur est
présent physiquement.

d. Comment accéder aux informations du certificat?

Une fois le certificat racine de l’autorité de certification intégré au navigateur Internet, le
destinataire peut déchiffrer celui-ci et identifier son auteur en comparant les deux condensés
(condensé issu de la signature et condensé calculé grâce à une fonction de hachage le plus
souvent MD5 ou SHA-1).

e. La durée de validité d’un certificat

Pour des raisons de sécurité, un certificat est accordé pour une durée limitée. Il peut être
également remis en question dans la période de validité pour différentes raisons:
✓ volonté du détenteur du certificat ;
✓ changement de situation du détenteur ;
✓ volonté de l’autorité de certification sécurité.

Le certificat est alors suspendu ou révoqué, la suspension ou la révocation étant notifié dans
un annuaire spécifique facilement accessible (en ligne).

c. Certificat X.509
Le format de certificats numériques X.509 de l’ISO est le plus répandu. Un certificat X.509 est
composé de la signature de l’autorité de certification et d’informations.

Les informations contiennent :

✓ la version de la norme X.509 désigné par un nombre entier : 0 pour la version 1, 1 pour
la version 2 et 2 pour la version 3.
✓ le numéro de série : chaque certificat a un numéro unique.
✓ l’algorithme de signature utilisé par l’autorité : MD5, DSA, etc.
✓ la période de validité du certificat

36
 ✓ le nom de l’autorité de certification
Le nom du sujet renseignements sur la certification de la clef publique :
✓ algorithme utilisé ;
✓ chaîne de bits représentant la clef publique ;
✓ informations optionnelles spécifiques à la version 3.
La version 3 de X.509 est la version actuelle, mais toutes les versions sont utilisées. La version
3 donne la possibilité d’ajouter des extensions personnalisées (optionnelles) aux certificats.

d. L'autorité de certification
C’est une organisation qui délivre des certificats à une population. Il existe des :
✓ autorités privées (intranet d’une entreprise),
✓ organisationnelles (CRU, CNRS),
✓ corporative (notaires),
✓ commerciales (Thawte, Verisign, …),
✓ très commerciales (Microsoft),
✓ institutionnelles, etc
Leurs rôles est de :
✓ Protège la clé privée de la AC (bunker informatique) ;
✓ Vérifie les demandes de certificats (Certificat Signing Request) provenant des AE ;
✓ Génère les certificats et les publie ;
✓ Génère les listes de certificats révoqués (Certificat Revocation List) ;

Conclusion
La cryptographie est l’art de savoir cacher l’information à travers des codes, algorithmes, avec
pour but d’assurer une confidentialité et une intégrité des données. Elle date de depuis
37
l’antiquité mais reste toujours d’actualité car nous sommes devenus de plus en plus accro aux
TIC d’où la nécessité de crypter ces données avant de les envoyées. C’est dans ce climat
d’insécurité que les professionnelles des TIC ont pensée à la mise en place de signature et de
certificat numérique pour permettre d’identifier toute personne.

Chapitre IV : Authentification
L'authentification est la procédure qui consiste, pour un système informatique, à vérifier
l'identité d'une entité (personne, ordinateur...), afin d'autoriser l'accès de cette entité à des
ressources (systèmes, réseaux, applications...).
Qu'est-ce que l'authentification réseau
Il s'agit d'authentifier une machine lorsqu'elle se branche sur le réseau, afin de lui
autoriser ou refuser l'usage du réseau.

Pourquoi faire de l’authentification réseau ?

 Sécuriser un réseau

✓ Pour éviter une utilisation illicite du réseau par des « inconnus »

✓ Pour interdire les postes inconnus

✓ Pour donner des autorisations spécifiques sur le réseau (vlan, application, … )

✓ Pour savoir quelle machine est connectée et où elle est connectée

LES PROTOCOLES D’AUTHENTIFICATION

I. TACACS+
TACACS+ (Terminal Access Controller Access Control System Plus)
Protocole de sécurité inventé dans la fin des années 90 par CISCO Systems.
TACACS+ permet de vérifier l’identité des utilisateurs distants mais aussi, grâce au modèle
AAA, d’autoriser et de contrôler leurs actions au sein du réseau local.
Il a fini par remplacer les protocoles TACACS et XTACACS, TACACS+ n’est pas basé sur ces
derniers
TACACS+ est un serveur d’authentification permettant de centraliser les autorisations
d’accès (Les mots de passe utilisés sont gérés dans une base de données centrale)
TACACS+ se base sur le framework AAA qui signifie :
Authentication(authentification)
Authorization(autorisation)
Accounting(Comptabilisation)

38
Cette séparation permet une modularité au niveau des technologies utilisées pour chaque
fonction. On peut par exemple grâce à ce principe choisir RADIUS pour l’authentification et
TACACS+ pour le reste des fonctions.
Authentification (authentication)
 Mécanisme permettant la détermination de l’identité de l’utilisateur. Cette opération
peut se faire de différentes façons :

✓ En utilisant ce que l’utilisateur sait (mot de passe, code PIN etc.)

✓ En utilisant ce que l’utilisateur possède (Carte à puce, clé

d’authentification) ;
✓ En utilisant ce qui constitue physiquement un utilisateur (Biométrie)
Autorisation (authorization)
 Permet de déterminer ce que l’utilisateur a le droit de faire, le type de service ou de
ressource qu’il peut utiliser.

 Permet de savoir les actions faites par l’utilisateur depuis l’authentification jusqu'à la
fin de sa session dans le système

 Il est généralement utilisé pour la génération d’audits et de rapports dans une optique
de sécurité.

Comptabilisation
 Lors d’une action de l’utilisateur, le client TACACS+ envoie un paquet « REQUEST »
comprenant toujours des arguments « attributs-valeurs» qui permettent, entre autres,
de savoir le début, la fin et le type d’action exécuté par l’utilisateur.

 Le serveur TACACS+ enregistre alors les informations dans sa base et renvoie un pa-
quet « RESPONSE » avec le résultat de l’enregistrement (échec ou succès).

TACACS+ : Les acteurs

3 Acteurs
 L'utilisateur : émetteur de la requête d’authentification (poste de travail, un portable,
un PDA…)

 Le client TACACS+:le point d'accès au réseau

 Le serveur TACACS+: relié à une base d'authentification (Base de données, annuaire

LDAP)

TACACS+ : Architecture
D’un utilisateur distant souhaitant se connecter à son réseau d’entreprise par une connexion
point à point.

39
  L’utilisateur distant se connecte grâce à son modem au Serveur d’accès de son entre-
prise

 Le serveur d’accès va, par la suite interroger, le serveur TACACS+ afin de déterminer :

- la validité de l’utilisateur (authentification);

- les services auquel il a droit (autorisation) et de contrôler ses actions à
l’intérieur du réseau.
C’est donc le serveur d’accès qui va agir en tant que Client TACACS+ et communiquer les
informations au serveur TACACS+
Cas d’un utilisateur WIFI souhaitant se connecter à son réseau local d’entreprise.

 L’utilisateur se connecte ici en VPN par Internet au serveur d’accès de son entreprise
qui jouera le rôle de client TACACS+.

 Cas de l’administration d’un matériel CISCO

 lorsque l’utilisateur se connecte et saisit ses informations d’authentification sur le ma-

tériel CISCO, ce dernier interroge le serveur TACACS+ afin de l’identifier.
40
TACACS+ : Fonctionnement
 Description d'un paquet TACACS+

 La taille d’une entête d’un paquet TACACS+ est de 12 Octet

 Format d’un paquet TACACS+ :

 Major version : donne le Numéro de la version Majeure de TACACS+

 Minor version : donne le Numéro de la version Mineure de TACAS+

 TACACS+ utilise pour communiquer le port TCP (port 49)

 Type : définit s’il s’agit d’un paquet d’authentification, d’autorisation, ou de comptabi-

lisation (conformément au AAA)

 Seq_no : numéro de séquence s’incrémentant de 1 pour chaque paquet envoyé lors

d’une session.

 Flags : différents drapeaux permettant entre autre de crypter le paquet entier grâce à
l’algorithme MD5.

 Length : taille du paquet.

 Nous allons détailler le fonctionnement de TACACS + pour chaque fonction AAA :

II. RADIUS
Le protocole RADIUS fonctionne sur le modèle client/serveur et utilise le protocole UDP sur
le port 1812.
La RFC le définissant est la RFC 2865.
 UDP est utilisé quand il est nécessaire soit de transmettre des données très rapide-
ment, et où la perte d'une partie de ces données n'a pas grande importance, soit de
transmettre des petites quantités de données,

 TCP serait inutilement coûteuse en ressources. Par exemple, dans le cas de la trans-
mission de la voix sur IP, la perte occasionnelle d'un paquet est tolérable dans la me-
sure où il existe des mécanismes de substitution des données manquantes, par contre
la rapidité de transmission est un critère primordial pour la qualité d'écoute.

 RADIUS est un mécanisme de transport des données d'authentification

41
 - Un moyen pour les FAI de centraliser leurs bases de données utilisateurs
- Protocole de type AAA (Authentication Authorization Accounting )
- Dernière version du protocole RADIUS normalisée par l'IETF dans la RFC 2865
 RADIUS est aujourd’hui le protocole d’authentification le plus utilisé et le plus im-
plémenté par les équipementiers réseaux. En effet bon nombre d’entre eux possèdent
leur propre bibliothèque de paramètres RADIUS.

RADIUS : Mode opératoire type

3 Acteurs
 L'utilisateur : émetteur de la requête d'authentification (poste de travail, un por-
table, un PDA…)

 Le client RADIUS: le point d'accès au réseau (NAS, firewall, point d'accès wireless,
etc...)

 Le serveur RADIUS: relié à une base d'authentification

(Base de données, annuaire LDAP)

 l'utilisateur émet une requête d'authentification auprès du client RADIUS ;

 Protocole comme PPP ou Telnet ;

 Le client transmet la requête au serveur Radius ;

 Le client radius demande à l'utilisateur ses informations d'authentification (User-

name, password )

 Dans le cas de PPP : il utilise les informations déjà présentes dans le paquet Requête
de type Access-Request : (de manière sécurisée)

 Le serveur Radius retourne l’une des réponses suivantes

 Access-Accept : Acceptation la requête du client

 Access-Reject : pour spécifier au client que sa requête est rejetée.

RADIUS : Mode opératoire type L'authentification mode Challenge

42
  RADIUS peut utiliser un mode Challenge

En fonction de la zone d’accès demandée et des droits de l’utilisateur, le serveur RADIUS

peut exiger des informations supplémentaires pour l’authentification.
Réponse: Access- CHALLENGE :éviter de transmettre le mot de passe.
Le client envoie alors une autre requête répondant au Challenge pour s'authentifier
1) EAP START : le client, associé physiquement au point d’accès, envoie un message EAP
START : c’est sa démarche d’accès directe en tapant une adresse sur un navigateur web.
2) EAP REQUEST identity : comme réponse, le point d’accès demande au client de
s’identifier, il envoi au client une requête d’authentification.
3) Le client répond alors à cette demande d’identité qui lui est attribuée par le point d’accès,
par son identifiant, en tapant son nom d’utilisateur et son mot de passe (login).
4) Puis, le point d’accès transmet la requête EAP (repose) dans une demande s’accès RADIUS
: le même message du client vers le point d’accès est transféré du point d’accès vers le serveur
RADIUS.
5) Ainsi, le serveur initie le processus d’authentification et envoie son certificat qui confirme
l’appartenance du client au groupe identifié.
6) La station vérifie le certificat du serveur RADIUS et lui envoie on certificat. Le client
génère une valeur aléatoire, puis l’émet au serveur RADIUS en la chiffrant avec la clé.
7) Le point d’accès envoie la clé de broadcast avec la clé Wep du RADIUS.
8) Maintenant, il y aura des échanges de données publiques du serveur RADIUS.
9) Le serveur RADIUS construit à partir de la valeur aléatoire une clé Wep qui est envoyée.
10) Le serveur RADIUS envoie un message RADIUS « ACCEPT » ou « refuse » ou «
CHALLENGE » au point d’accès.
11) Le point d’accès envoie un message EAP SUCCESS.
12) Echange de données.

RADIUS : Implémentations
 Plusieurs implémentations du protocole RADIUS sont disponibles

 Versions commerciales:
43
 - NPS (Network Policy Server) pour Windows Server Vista ,
- IAS pour Windows Serveur 2000/2003
 Versions libres:

- Cistron Radius,

- Livingston Radius et

- FreeRadius, OpenRadius

 Authentificateur Request

 Authenticator :requêtes du client

 Response Authenticator :réponses du serveur

 Nombre aléatoire de 16 octets utilisé pour authentifié la réponse du serveur

 Le client est alors en mesure de vérifier que le serveur qui répond est bien celui qu'il a
contacté.

 Attributs et valeurs

 Ensemble d'attributs et leur valeur qui indique quels services sont demandés ou auto-
risés.

 Richesse des informations qui peuvent être transmises entre le serveur et le client

 Informations appelées attributs

 ils permettent au client de communiquer des informations au serveur

 (password, MAC adresse…)

 ils permettent au serveur de communiquer les paramètres des autorisations qu'il dé-
livre (vlan…) ou bien demander des informations complémentaires.

 Inclus à la fin d'un paquet RADIUS, selon un format Type, Longueur,

 Valeur (TLV).

RADIUS : Sécurité
Secret partagé
 Élément principal de la sécurité RADIUS entre le client et le serveur:

Secret partagé différent peut être défini pour chaque client

44
  Possibilité d'avoir un secret unique pour tous les clients (plus pratique mais moins sé-
curisé)

 Ce secret peut être de n'importe quelle longueur, mais il est mieux d'avoir un secret
d'au moins 16 caractères et d'une bonne complexité.

 Le secret est utilisé pour vérifier l'authenticité du serveur:

MD5(Code +ID+Length+RequestAuth+Attributes+Secret).
 Le secret est aussi utilisé par le client pour encrypter le mot de passe envoyé pour l'au-
thentification ;

Secret partagé
Afin de renforcer la sécurité, RADIUS implémente le concept de secret partagé.
Un secret partagé est une chaîne de caractères connue uniquement par le client
RADIUS et le serveur RADIUS. Cette valeur permet d’authentifier les paquets
RADIUS grâce au mécanisme générant le champ Response Authenticator ainsi que de crypter
et décrypter les mots de passe transmis via l’attribut User-Password.
RADIUS : Faiblesses
-Sécurité relative reposant sur le secret partagé. Certaines implémentations clientes
limitent en plus sa taille.
-Possibilité de trouver le secret en utilisant une attaque bruteforce ou par dictionnaire
en interceptant à la fois le Access-Request envoyé par le client et la réponse du
serveur.
-Chiffrement de l’attribut Userpassword par une fonction de hashage MD5, plutôt
réservé pour des opérations de signature.
 Rejeu des réponses du serveur est possible

Si le client envoie des requêtes utilisant le même Request Authenticator que dans une requête
précédemment interceptée avec sa réponse C'est susceptible de se produire si
l'implémentation du client n'utilise pas une valeur aléatoire comme recommandée dans la
norme.

III. KERBEROS
Kerberos est apparu au milieu des années 1980 au cours du projet Athena du MIT,
Standardisé par l’IETF
Buts
- Fournir un accès réseau à plusieurs milliers de stations de travail
-Décharger les serveurs d'applications présents sur le réseau de la gestion de l'authentification
- Sécuriser un échange sur un réseau non sécurisé
Afin de garantir la confidentialité et l'intégrité des données, toutes les communications qui
transitent par le serveur Kerberos sont chiffrées avec le système DES.

45
Afin de réaliser correctement l'authentification des différents principaux
(Un principal est une entité présente sur le réseau définit par un identifiant unique),
Le protocole Kerberos fait appel à 3 acteurs différents
Le client : Utilisateur ou programme ayant besoin d'un service (ftp, mail, web, etc) fourni par
un serveur distant.
Le serveur d'application : Il fournit le service demandé par le client après que Celui-ci se soit
authentifié.
Le serveur de distribution des clés KDC (Key Distribution Center) : Il permet
l'authentification de tous les clients sur le réseau dont il a la responsabilité.
Kerberos se décompose en trois sous protocoles
Service d'authentification : permet d'authentifier les clients
Le service de délivrement de TGS : permet de fournir l'authentification auprès des serveurs
d'application
Service d'authentification Client / Serveur qui permet d'établir une communication
sécurisée entre le client et le serveur d'applications
Kerberos : système à tickets
 L’authentification Kerberos repose sur le principe que chaque client d'un réseau donné
doit s'identifier sur un serveur global

 Le client doit présenter au serveur un ticket d'authentification que lui a préalablement

fourni ce dernier

 Tout client muni de ce ticket est considéré comme authentifié

 Sécurisation du réseau puisque aucune données d'authentification non chiffrée ne circule

sur celui ci

46
  Un ticket est une structure de données constituée d’une partie chiffrée et d’une partie
claire.

 Les tickets servent à authentifier les requêtes des principaux

 Deux types de Tickets :

 Ticket Granting Ticket (TGT)

 Service Ticket (ST)

Kerberos : Fonctionnement du service de ticket

 L’utilisateur tente d'accéder à un service fourni par un serveur distant nécessitant une
authentification, un serveur web ou ftp par exemple, Le client envoie une requête
d'authentification au KDC (serveur kerberos) ;

 Si le client réussi à s'authentifier auprès du serveur KDC, Le serveur lui renvoie un

ticket lui permettant d'accéder au service demandé ;

 Le client se présente au serveur d'application avec le ticket d'authentification ;

 Le serveur d’application fournit au client le service demandé ;

 Le serveur d'application ne peut en aucun cas contredire une décision prise par le ser-
veur d'authentification

 Ce système nécessite donc une confiance absolue envers le serveur Kerberos.

Kerberos : Le KDC
 Le KDC est basé sur deux entités :

 Le serveur d’authentification (AS: Authentication Server) : prend en charge la partie

authentification du client. Permet au client de communiquer au TGS (grâce à un tick-
et d’accès).

 Le serveur de distribution de tickets (TGS : Ticket Granting Server) prend en

charge les demandes d’accès aux services des clients déjà Authentifiés

 L’ensemble des infrastructures du serveur Kerberos AS et TGS est appelé le centre de

distribution de clés (KDC : Key Distribution Center). Ils sont généralement regroupés
sur le même serveur.

Authentification initiale

47
 La requête initiale contient (en clair) l’identité du requérant et le serveur pour lequel
on demande un TGT.

Le serveur émet un TGT pour le client

La partie chiffrée l’est avec la clef Ksec du client => seul le bon client peut déchiffrer
cette partie

Demande d’un ST

On utilise le TGT obtenu précédemment pour requérir un ST

Le serveur émet un ST pour le client et pour le service considéré

Accès au service

On utilise le ST obtenu précédemment pour accéder au service

Le serveur de ressources valide alors (ou non) la requête

48
Kerberos : Mécanismes d’authentification
 Une clé de session Kc,tgs chiffrée avec Kc, qui fera office de mot de passe temporaire
pour chiffrer les communications suivantes.

 Un ticket d'accès T1 au service de délivrement de ticket, chiffré avec Ktgs ,Il contient
notamment:

✓ l’heure de l’opération ;

✓ sa durée de validité,

✓ l’adresse de la machine cliente ainsi que la clé de session Kc,tgs.

Kerberos : Points forts

 Le transit des mots de passe sur le réseau est chiffré ;

 Il permet aux utilisateurs de s’authentifier une fois pour toutes lors du login ;

 Séparation des rôles : l’AS et le TGT. C’est la base de Kerberos. Mais dans la réalité,
ces deux rôles sont regroupés en une même entité (KDC) ;

Kerberos : Points faibles

 Le chiffrement symétrique nécessite un partage des clés entre l’AS et le client.

 Les horloges doivent être parfaitement synchronisées : en effet, l’antirejeu s’appuie sur
le « timestamps ».

 L’authentification mutuelle n’est pas disponible lors du premier échange entre l’AS et
le client. Le client ne peut pas certifier que l’AS et bien celui qu’il prétend être.

49
IEEE 802.1X
Le standard 802.1x est une solution de sécurisation, mise au point par l'IEEE en juin 2001,
permettant d'authentifier (identifier) un utilisateur souhaitant accéder à un réseau (filaire ou
non) grâce à un serveur d'authentification.
Le 802.1x repose sur le protocole EAP (Extensible Authentication Protocol), dont le rôle est
de transporter les informations d'identification des utilisateurs.
EAP (Extensible Authentication Protocol),
 Le fonctionnement du protocole EAP est basé sur l'utilisation d'un contrôleur d'accès
(en anglais authenticator), chargé d'établir ou non l'accès au réseau pour un utilisa-
teur.

 Le contrôleur d'accès est un simple garde-barrière servant d'intermédiaire entre l'utili-

sateur et un serveur d'authentification (en anglais authentication server), il ne néces-
site que très peu de ressources pour fonctionner.

 Dans le cas d'un réseau sans fil, c'est le point d'accès qui joue le rôle de contrôleur
d'accès.

 Le serveur d'authentification permet de valider l'identité de l'utilisateur, transmis par

le contrôleur réseau, et de lui renvoyer les droits associés en fonction des informations
d'identification fournies.

 La plupart du temps le serveur d'authentification est un serveur RADIUS

50
Chapitre V : Conception d’architecture réseau sécurisée
I Equipements : commutateur, routeur, firewall, proxy, IDS/IPS ;

Introduction
De nos jours, toutes les entreprises possédant un réseau local possèdent aussi un accès à
Internet, afin d'accéder à la manne d'information disponible sur le réseau des réseaux, et de
pouvoir communiquer avec l'extérieur. Cette ouverture vers l'extérieur est indispensable et
dangereuse en même temps. Ouvrir l'entreprise vers le monde signifie aussi laisser place
ouverte aux étrangers pour essayer de pénétrer le réseau local de l'entreprise, et y accomplir
des actions douteuses, parfois gratuites, de destruction, vol d'informations confidentielles,
etc. Les mobiles sont nombreux et dangereux.

Pour parer à ces attaques, une architecture sécurisée est nécessaire. Pour cela, le cœur d'une
telle architecture est basé sur un firewall. Cet outil a pour but de sécuriser au maximum le
réseau local de l'entreprise, de détecter les tentatives d'intrusion et d'y parer au mieux
possible. Cela représente une sécurité supplémentaire rendant le réseau ouvert sur Internet
beaucoup plus sûr. De plus, il peut permettre de restreindre l'accès interne vers l'extérieur. En
effet, des employés peuvent s'adonner à des activités que l'entreprise ne cautionne pas, le

51
meilleur exemple étant le jeu en ligne. En plaçant un firewall limitant ou interdisant l'accès à
ces services, l'entreprise peut donc avoir un contrôle sur les activités se déroulant dans son
enceinte.
Les firewalls
Un firewall - littéralement "mur de feu" est un ordinateur (ou un programme) qui filtre ce qui
se passe entre un réseau et un autre :

Il est également défini comme un dispositif, placé au point de connexion d'un système (ou
groupe de systèmes) avec l'extérieur, et qui permet de contrôler les flux entrant ou sortant en
fonction de leur : nature, contenu, origine et destination. Les firewalls encore appelés coupe-
feu ou mur de feu visent, au niveau de la sécurité, deux objectifs:
Contrôler et protéger les hôtes du réseau local contre divers menaces :
✓ Contre la divulgation non autorisée d’informations sensibles ;
✓ Contre les virus de toutes sortes ;
✓ Contre les attaques par "cheval de Troie ;
Protéger les serveurs Internet ;
✓ contre des commandes jugées dangereuses associées à des services du type : "Telnet "
et "sendmail " ;
✓ contre la modification ou la suppression non autorisée de fichiers vitaux du système.

1. Fonctionnement d’un firewall

Lorsqu’un flux arrive sur une interface d’un firewall, ce dernier doit vérifier si le flux est
autorisé à transiter ou pas. Il compare donc ce flux (avec les champs adresses IP, etc.) avec les
règles qu’il a. Le flux est comparé avec chacune des règles, de manière ordonné, jusqu’à ce que
le flux corresponde exactement à la règle définit. Dans ce cas, il applique la règle, qui peut
être:
✓ Permettre au flux de transiter ;
✓ Bloquer le flux ;

52
 ✓ Faire un reset de la connexion (si la connexion est TCP) ;
✓ Réaliser une autre action, suivant le firewall, comme authentifier la connexion ;
etc.
Si aucune des règles ne permet d’identifier le paquet, alors ce dernier doit être détruit

2. Journalisation des connexions

Le plus souvent, le système pare-feu rend possible la journalisation (logs) des connexions. Il
est conseillé de journaliser la majeure partie des connexions, attention cependant à la taille de
logs générés. Pour cela, il est conseillé de journaliser sur un système différent du firewall
dédié, de sorte que le firewall ne se retrouve jamais bloqué faute d’avoir rempli son espace de
stockage. Il faut savoir que la journalisation des connexions peut consommer un gros volume
de données qui peut atteindre voire dépasser la taille du giga-octet, suivant le trafic
journalisé.

Malgré cette volumétrie, les logs ne comprennent (le plus souvent) que les en-têtes des
couches 3 et 4 des paquets traités, c'est-à-dire les informations IP et TCP/UDP/ICMP…
Le champ data n’est pas enregistré, faute d’espace de stockage suffisant, et d’intérêt à
conserver toutes ces données. La journalisation est donc un aspect capital d’une architecture
pare-feu, c’est cette partie qui permettra les analyses et enquêtes.
Il serait de plus très gênant de se retrouver sans logs, c'est-à-dire sans aucune trace des
attaques qui seraient survenues. A noter que ces logs peuvent faire l’objet de pièces à
conviction, sous réserve que leurs accès soient sécurisés. En effet, certains « exploits », c'est-à-
dire certaines méthodes d’attaques comportent la phase « effacements » des traces générés, ce
qui permet au hacker de s’assurer qu’il ne sera pas retrouvé.
Pour rappel, selon la loi du 23 janvier 2006, les fichiers de journalisations sont à conserver sur
une période d’un an.

3. La zone de démilitarisation : DMZ

En sécurité informatique, une zone démilitarisée (DMZ) est un sous-réseau isolé par un pare-
feu. Ce sous-réseau contient des machines se situant entre un réseau interne (LAN) et un
réseau externe (typiquement, Internet). Sur ce réseau nous disposons d’un espace confiné,
d’une taille limitée. Le nombre de serveurs présents sur ce réseau est limité, de sorte à ne pas
permettre une trop grande interaction entre les serveurs. Dans ce réseau « haute sécurité », il
n’y a aucun poste utilisateur, chaque flux à destination de l’un de ces serveurs (qu’il provienne
d’Internet ou d’un réseau interne) est clairement défini sur le firewall. De cette manière, nous
maitrisons précisément les connexions à destination et en provenance de ces machines.
Quelques règles spécifiques sont applicables aux DMZ :
Il convient de sécuriser spécifiquement ces machines, en limitant les services rendues par ces
serveurs. De plus, il faut désinstaller/désactiver ce qui ne serait pas nécessaire. Dans le cas
d’un serveur Windows, il convient par exemple de

53
Il ne faut surtout pas laisser trainer des exécutables de test de réseau (type nmap, etc.) sur ce
serveur (même si ces derniers ne sont que des programmes d’installation). Si un hacker
parvenait par un moyen non prévu à lancer ces exécutables, il pourrait compromettre la
sécurité de cette DMZ.
Les flux entre serveurs au sein de la DMZ sont à limiter. Si ces derniers sont nombreux et
sensibles, il faut dans ce cas envisager de mettre en place une seconde DMZ, déplacer certains
de ces serveurs sur la nouvelle DMZ et autoriser les flux spécifique sur le Firewall. Il est
courant pour le architectures « avancées » de disposer d’un certain nombre de DMZ. Au final,
il ne s’agit là que de segmenter les réseaux et de filtrer les interactions entre ces réseaux.

4. Les différents types de filtrages

Il existe trois types de filtrage à savoir :
Le stateless firewall : C'est la méthode de filtrage la plus simple, elle opère au niveau de la
couche réseau et transport du modèle OSI. La plupart des routeurs d'aujourd'hui permettent
d'effectuer du filtrage simple de paquet. Cela consiste à accorder ou refuser le passage de
paquet d'un réseau à un autre en fonction de :
✓ l’adresse IP source/destination ;
✓ le numéro de port source/destination ;
✓ le protocole de niveau utilisé 3 ou 4.

Le statefull firewall : il est un firewall qui conserve une trace de l'état des connexions
réseaux, avec pour objectif celui de filtrer plus profondément les paquets. A la base, les
protocoles concernés par cette technologie sont les protocoles qui fonctionnent en mode
connecté (comme TCP). La technologie employée porte le nom de "statefull inspection". Le
firewall est programmé pour distinguer les paquets légitimes sur l'ensemble des connexions
réseaux, par une inspection sur l’état de chaque paquet en rapport à sa connexion globale.
Seules les paquets qui correspondent à une connexion monté sont acceptés par le firewall, les
autres sont rejetés (sauf en cas d’initialisation de connexion).

Le Deep inspection : il consiste non seulement à analyser les paquets pour déterminer s'ils
sont autorisés à passer à partir des informations contenues dans les entêtes des protocoles,
mais aussi à analyser le contenu (payload) de ce paquet pour par exemple détecter une URL
malicieuse dans le cas d'un flux HTTP ou une tentative de « buffer overflow » dans une
requête FTP.

54
3. Les avantages et inconvénients firewall
a. Les avantages
Une architecture réseau cohérente, on bénéficie d'une centralisation dans la gestion des flux
réseaux l'utilisation de la journalisation offre une capacité d'audit du trafic réseau et peut
donc fournir des traces robustes en cas d'incident, si le pare-feu n'est pas lui-même une des
cibles.

Enfin le pare-feu permet de relâcher les contraintes de mise à jour rapide de l'ensemble d'un
parc en cas de vulnérabilité sur un service réseau : il est possible de maintenir une certaine
protection des équipements non vitaux au prix de la dégradation du service avec la mise en
place d'un filtrage.

b. Les inconvénients
Le firewall n'offre bien évidemment pas une sécurité absolue, bien au contraire. Les firewalls
n'offrent une protection que dans la mesure où l'ensemble des communications vers
l'extérieur passe systématiquement par leur intermédiaire et qu'ils sont correctement
configurés. Comme inconvénients nous pouvons cités entre autres :
✓ la capacité de filtrage d'un équipement dépend de son intégration dans le réseau mais
le transforme en goulet d'étranglement (capacité réseau et ressources du pare-feu) ;
✓ difficulté d’implantation du firewall ;

Les firewalls peuvent causés les disfonctionnement de certaines applications.

Le Firewall ne protège pas contre la malveillance des utilisateurs internes. Il faut en effet
savoir que 80% du piratage se fait via des collaborations internes à l'entreprise qui ne sont pas
détectées par le Firewall bien évidemment souvent peu flexible.
Enfin une bonne gestion d'un pare-feu nécessite la compréhension des protocoles filtrés
surtout lorsque les interactions deviennent complexes comme dans les cas FTP, H323,...avec
le transport de paramètres de connexion dans le segment de données. De plus il apparaît bien
souvent des effets de bord liés aux diverses fonctions (couches réseaux filtrées, traduction
d'adresses) et influencées par l'ordre d'application des règles Nous constatons donc qu'il
n'existe pas de solution miracle concernant le firewalling.
Chaque solution offre ses avantages et ses limitations.

5. Le serveur proxy
Le proxy, aussi appelé serveur mandataire est à l’origine une machine faisant fonction
d’intermédiaire entre les machines d’un réseau local et internet.

55
III. Les attaques, les outils, les défenses
1. Les attaques, les outils
Ils sont de plusieurs types aussi différents les unes des autres, comme exemple nous avons:
✓ Le deni de service DoS :
✓ les chevaux de Troie : Les chevaux de Troie sont des programmes infectant qui ont
pour but de donner, à la personne qui vous la installée, le pouvoir de prendre le con-
trôle de votre système. Les chevaux de Troie sont généralement constitués de deux
parties : le client et le serveur.
Le client va se connecter au serveur et ce dernier va effectuer ce que demande-le client (cela
dépend des fonctions que propose le client).
Le serveur est installé sur le système cible, le client sur le système du pirate.
Comme exemple de chevaux de Troie : Subseven, Back Orifice, Netbus, etc.
IP Spoofing : Le spoofing est une technique de piratage qui a pour but d’usurper les droits
d'une personne ou de fournir de fausses informations pour se camoufler ou passer les
systèmes de sécurité.

Sniffer : Le sniffing est une technique du piratage que l'on dit passive. C'est surtout une
technique servant à espionner le trafic d’un système en surveillant et en copiant les paquets
non cryptés circulant sur le réseau cible : cela va permettre de récupérer diverses informations
56
importantes pour un pirate. Contrairement à ce que vous pouvez croire et à se que certains
sites font croire, un sniffer ne permet pas d'espionner à distance un système éloigné et ne
permet pas de contrôler la formation, le forgeage, la route et l’acheminement d’un paquet. En
ce qui concerne les outils utilisé pour le sniffing nous avons entre autre : DNS Expert, whershare,
EtheralCap.

2. Les défenses
tout entreprise voulant se promouvoir à besoin de s’ouvrir au monde extérieur d’où
l’utilisation de la toile, certes il est nécessaire de s’ouvrir au monde extérieur mais il est
également important de se sentir en sécurité, cette sensation de sécurité passe par des
mesures de sécurité à implémenter tel :
✓ La mise en place de firewall, à ce niveau le choix se fait en fonction de nos besoins et
de notre bourse ;
✓ L’utilisation d’anti-virus réseaux et/ou personnel afin d’éviter les attaques virales ;
✓ L’implémentation de VPN pour les utilisateurs mobiles ou pour interconnecter des
sites distants à travers l’utilisation du protocole IPSec pour la sécurisation du canal et
du chiffrement des données circulant à l’intérieur de ce canal ;
✓ La mise en place du NAT (Network Adrress Translation) sur les serveurs proxy pour
garder l’anonymat sur la toile ;
✓ Les filtrages par adresse MAC pour limiter le nombre d’utilisateurs pour les réseaux
sans fils ;
✓ La sensibilisation du personnel sur le bien-fondé des politiques sécuritaires mises en
place et des risques dont ils courent pour le non-respect des règles, ainsi que la forma-
tion des responsables informatique sur les nouvelles technologies en vogues.

La liste des mesures sécuritaires citer ci-dessus n’est pas une liste exhaustive, cela pour dire
que nous avons également les contrôles d’accès et bien autres systèmes sécuritaires mais cela
ne veut également pas dire qu’il faudra ait tous les implémenter, nous tiendrons toujours
compte de notre budget, de nos besoins, des biens à protéger.

Conclusion
Le firewall est un des éléments de sécurités les plus anciens, mais avec l’évolution des
différentes technologies, celui-ci doit s’adapter, si l’on veut un niveau de sécurité optimale.
On peut bien renforcer la sécurité d’un réseau équipé d’un simple firewall en y ajoutant
d’autre élément de sécurité mais cela alourdie l’administration et ne garantit pas une
interaction correcte entre les services mis en place.

Les Réseaux Privés Virtuels (VPN)

a. Définition d'un VPN
Un VPN est un réseau privé qui utilise un réseau public comme backbone.
Seuls les utilisateurs ou les groupes qui sont enregistrés dans ce VPN peuvent y accéder.
Les données transitent dans un tunnel après avoir été chiffrées.
Tout se passe comme si la connexion se faisait en dehors d'infrastructure d'accès partagé
comme Internet.
VPN: extension sécurisée d’un réseau, protocols PPTP et L2TP, IPsec

57
 b. Objectifs et caractéristiques des VPN
Étanchéité du trafic entre les différents réseaux privés virtuels
• Sécurité des communications :
Confidentialité (chiffrement des données)
Authentification (utilisateurs ou DATA)
• Notion de qualité de service
Type best effort dans le cas de simples tunnels créés par l'utilisateur
QOS bien meilleure dans le cadre d'une offre VPN d'opérateur
• Coût :
Permet de réduire les coûts liés à l'infrastructure réseau des entreprises par la mise en place
d'une liaison vpn.

c. Le tunneling
Le VPN est basé sur la technique du tunnelling:
Processus d’encapsulation, de transmission et de désencapsulation.
Consiste à construire un chemin virtuel après avoir identifié l’émetteur et le destinataire ;
La source chiffre les données et les achemine en empruntant ce chemin
Virtuel ;
Les données à transmettre peuvent appartenir à un protocole différent d’IP.
• Le protocole de tunnelling encapsule les données en rajoutant un entête permettant le
routage des trames dans le tunnel.

d. Caractéristiques :
Un tunnel sert à transporter des données d’un point A vers un point B, au sens où les données
qui "entrent" dans le tunnel en A "ressortent" nécessairement en B.

e. Tunnels – Principe de fonctionnement

• Le transport de données se fait par encapsulation :
- Extrémité du tunnel: données à transporter insérées dans un paquet de protocole de
"tunnélisation", puis dans un paquet du protocole de transport de données ;
- L'autre extrémité du tunnel: données extraites du protocole de
"tunnélisation" et poursuivent leur chemin sous leur forme initiale.

58
Un tunnel est créé entre R1 et R2 :
Configuré dans les routeurs d’entrée et de sortie
Le paquet IP privé (avec adresses IP privées) est encapsulé dans un paquet IP public:
- Les adresses de R1 et R2 sont des adresses publiques
Tunnel IP dans IP :
- Le protocole GRE permet d'encapsuler les paquets IP dans IP
- L'entête GRE permet d'annoncer le type de paquet encapsulé (IPv4) ;

f. Tunnels – Principaux protocoles

Différents protocoles:
• Passenger Protocol – Les données originales (IP…) à transmettre.
• Encapsulating Protocol – Le protocole (GRE, IPSec, PPTP, L2TP) utilisé pour encapsuler
les données originales.
• Carrier Protocol – Le protocole employé par le réseau pour transporter les données.

Le protocole d'encapsulation peut assurer également le chiffrement des données.

Tunnels – Protocoles niveau 2, 3 & 4

Protocoles de niveau 2 : PPTP, L2TP tous les deux encapsulent
Les données utiles (payload) dans une trame PPP qui sera transmise à travers Internet.
- Le tunnel est semblable à une session ;
- Les deux extrémités du tunnel doivent être d'accord et doivent négocier des variables
de configuration, assignation des adresses, paramètres d’encryptions et/ou de com-
pression ;
- Un mécanisme de gestion et de maintenance du tunnel.
Protocoles de niveau 3 : IPSec encapsule les paquets IP dans un autre paquet IP avant de
l'envoyer sur Internet.
- Les variables sont pré-configurées ;
- Pas de phase d'entretien de tunnel
Protocoles de niveau 4 : utilise TLS/SSL pour sécuriser les échanges au niveau de la couche
Transport.
VPN – Usages (1)
VPN accès distant :
Permet à des utilisateurs itinérants d'accéder au réseau privé.
L'établissement de la connexion VPN se fait via une connexion Internet.
Deux cas :
La connexion est établie entre le NAS (Network Access Server) de l'ISP et
le serveur VPN disant.
La connexion est établie entre le client (client vpn) le serveur VPN distant.

59
VPN – Usages (2)
L'intranet VPN (VPN entre sites):
Permet de relier plusieurs sites distants au sein d'une entreprise.
Mise en œuvre avec des tunnels de niveau 3.
Garantie une authentification au niveau paquet

VPN – Usages (3)

Accès client distant via un intranet :
Utilisé pour sécuriser un réseau d’un département du reste de l'intranet d’une l'entreprise :
Le réseau département étant séparé d’intranet par un serveur VPN .
Les utilisateurs doivent bénéficier des autorisations appropriées pour établir une connexion
VPN au serveur VPN.
Pour tous les autres, le réseau du département est masqué.

Caractéristiques fondamentales d'un VPN

A Une solution de VPN devrait fournir au moins l'ensemble des caractéristiques suivantes :
• Authentification
Seuls les utilisateurs autorisés de la connexion VPN doivent pouvoir s'identifier sur le réseau
virtuel.
• Authentification au niveau utilisateur
- Protocole PPTP (niveau 2).
- Basée sur le schéma d'authentification de PPP (PAP, MS-CHAPv1& v2).
• Authentification au niveau paquet:
- Protocole Ipsec (niveau 3).
- Identification de la source des données transmises, non-répudiation, etc.
- Basée sur les signatures numériques ajoutées aux paquets.
• Authentification de type EAP:
- EAP-TLS (RFC 2716) est une méthode d’authentification forte basée sur des certifi-
cats à clés publique.

60
• Cryptage des données
Nécessité de cryptage des données pour protéger les données échangées entre le client et le
serveur VPN
- Le cryptage des données pour les tunnels PPTP (implémentation
Microsoft) utilise le protocole MPPE (Microsoft Point-to-Point Encryption),
- Utilise l'algorithme RSA/RC4 pour créer une clé de cryptage basée sur le mot de passe
client.
• Adressage
Attribuer au client VPN une adresse IP privée lors de la connexion au réseau distant et
garantir que cette adresse reste confidentielle:
Les protocoles de tunneling niveau 2 supportent une assignation dynamique d'une adresse à
un client, grace au protocole NCP (Network Control Protocol).
Les protocoles de tunneling niveau 3 Layer 3 tunneling assument une assignation statique
d'une adresse aux extrémités du tunnel avant que celui-ci soit établi.
• Filtrage de paquet
Mise en place de filtres sur l'interface correspondant à la connexion à Internet du serveur
VPN.
- Autoriser seulement le trafic VPN d'utilisateurs authentifiés
- Empêcher le serveur VPN de recevoir du trafic en dehors du trafic VPN.
- Assurer que seuls les données cryptées autorisées pénètrent au sortent du LAN privé.

• Gestion des clés

• Support Multi protocole.
La solution VPN doit supporter les protocoles les plus utilisés sur les réseaux publics en
particulier IP.
Les Protocoles de tunneling niveau 2 peuvent supportent plusieurs protocoles de liaisons de
données (Ethernet, PPP,
FR, MPLS, etc).
Les Protocoles de tunneling niveau 3, tels que IPSEC, supportent uniquement les couches
cibles utilisant le protocole IP.

61