REPUBLIQUE DU CAMEROUN REPUBLIC OF CAMEROON

Paix-Travail-Patrie Peace-Work-Fatherland
-------------- --------------
ECOLE NATIONALE SUPERIEURE NATIONAL ADVANCED SCHOOL
DES POSTES, DES OF POSTS, TELECOMMUNICATIONS
TELECOMMUNICATIONS ET DES TICS AND ICT
------------- ----------------

DIVISION DES TECHNIQUES DES TELECOMMUNICATIONS

INGENIEURS DES TRAVAUX DES TELECOMMUNICATIONS
3èmeannée IR, Année académique 2018/2019

CORRIGE EXAMEN DU SEMESTRE V

Matière : Sécurité Avancée des Réseaux Durée : 2h

Par : Papy FONDJO NYAMSI Laurent

Questions : 10 pts

1. C’est quoi le ’Overbulding Attack’, donner deux contremesure à cet attaque 0,5pt
R : Le overbulding attack est une attaque qui consiste pour une fonderie, à produire
plus de puces électronique que ce qui lui a été commandé afin de vendre le surplus au
marché noir. Deux contremesures : Remote activation et le hardware metric.
2. C’est le ‘Reverse Engineering Attack’, donner deux contremesures à cet attaque 0,5pt
R : Attaque qui consiste à ressortir les modèles et les spécifications de conception d’un
produit (matériel ou logiciel) à partir d’un exemplaire de ce produit, ceci en
l’analysant et l’observant juste. Comme contre mesure, on a : - le Cheamestral, -
Obfuscation
3. C’est quoi l’obfuscation de code source ? 0,5pt
R : L’obfuscation de code est la technique qui consiste à rendre illisible (obscurcir) le
code source d’une application afin qu’il ne soit pas lisible par une personne mal
intentionnée.
4. C’est quoi le clonage ? donner trois techniques utilisées pour lutter contre le clonage dans la
sécurité matériel 0,5pt
R : Le clonage est l’attaque qui consiste à reproduire illégalement l’exemplaire d’ un
produit (matérielle ou logiciel) afin de le revendre au marché noire. 3 contremesure : -
Watermarking – fingerprint - PUF
5. C’est quoi le Watermarking, quel est la différence fondamentale avec le fingerprint 0,5pt
R : Le watermarking est une technique de protection qui consiste à insérer comme
fonctionnalité (spécification) d’un équipement, un identifiant. La différence
fondamentale entre le watermarking et le fingerprint est que le premier est le même
pour tous les équipements produits par un entreprise, alors que le second est différent
pour chaque équipement produit.
6. Que signifie le sigle PUF, donner deux propriétés d’un PUF 0,5pt
R : PUF (Physically Unclonable Function). Deux proprieties d’un PUF: imprédictible,
aléatoire, non reproductible (non clonable),
7. C’est quoi la Rémanence des données (Data Remanence), donner deux solution à cette
attaques. 0,5pt

1
 R : Attaque qui consiste à extraire des données importantes sur des supports de
stockage que l’on a jeté ou que l’on a abandonnés. 2 contremesure : Faire un
formatage de bas niveau des disques dures et clé USB lorsqu’on veut s’en séparer,
incinérer si possible les supports de stockage quand on veut les jeter, Toujours se
déconnecter de tous ces comptes sur son ordinateur ou sur son téléphone quant on
veux les vendre…
8. Quel sont les acteurs intervenant dans un processus d’audit au Cameroun ? 0,5pt
R : Les acteurs intervenant dans le processus d’audit de sécurité des systèmes
d’information au Cameroun sont : - L’entreprise auditée – L’expert auditeur -
l’ANTIC – ART - MINPOSTEL
9. Quelles sont les objectifs d’un Audit de sécurité ? 0,5pt
R : L’audit de sécurité à pour objectif : de répertorier les actifs informationnels de
l’entreprise à protéger, identifier les vulnérabilités du système d’information, identifier
les menaces sur ce système, évaluer les risques, ressortir une politique de sécurité et un
plan de mise en œuvre des solutions de sécurité qui adressent les vulnérabilités et les
menaces identifiées.
10. Si on construit un schéma de chiffrement asymétrique C à partir d’une fonction à sens
unique sans trappe f avec d sa trappe. Quel sera la clé privée de C ainsi que sa clé
publique 1pt
R : La clé privé ici sera la trappe d et la clé publique sera la description de la fonction
f
11. Donner l’expression de la fonction RSA et dire si c’est une fonction à sens unique ou une
fonction à sens unique avec trappe. 1pts
R : soient, p, q 2 nombres premiers, n =p*q, Φ(n) = (p-1)*(q-1), d*e = 1 mod Φ(n)
avec e un nombre premier choisie aléatoirement. La fonction RSA est la fonction de
Zn  Zn ,

12. Quel est l’inconvénient de l’identification par mot de passe? Comment cela est partiellement
résolu de nos jours? 1pt
R : Un espion passif (sniffer) sur la ligne peut intercepter le mot de passe ou le
vérifieur (Serveur) a connaissance du mot de passe et donc s’il est de mauvaise foi ou
si lui-même se fait piraté, votre mot de passe ne sera plus secret. Pour solutionner ça
on couple ce schéma avec un schéma de chiffrement et /ou une fonction de hachage .

13. Quels sont les éléments de base du Cyber-Security Framework de la NIST ? 0,5pt
R:
 Framework core (Core )
 Framework Implementation Tiers (Tiers)
 Framework Profile (Profile)
 Coordination of Framework Implementation (Coordination)
14. Quelles sont les fonctions de la cyber-Sécurités 1pt
R:
 Identifier (identify)  Détecter (Detect)  Restaurer (Recover)
 Protéger (Protect)  Répondre (Respond)
15. En quoi consiste la fonction « réponse » ? 0,5pt

2
 R : La fonction Répondre consiste à développer et mettre en œuvre les activités
appropriées permettant de répondre à chaque cyber-attaque détecté.

16. Dans le Cyber-Security Framework, les actions de cyber-sécurités sont organisées en

catégories et sous-catégories. Chacune appartenant à une fonction de sécurité et pour des
besoins de simplification, chacun est codé. Soit la catégorie ‘Detection Process’ donc le
code est DE.DP, à quelle fonction appartient cette catégorie. 0,5pt
R : La fonction Détection

Exercice 1 : 6 pts

Choisir la ou les réponses justes pour chacune des questions suivantes

R : Les bonnes réponses sont celles qui sont en gras et soulignées.

1. Lesquels parmi les affirmations suivantes, sont des solutions pour réduire le vol des cookies
?
o Empêcher les cookies d’entrer dans le cache DNS
o Changer les cookies d’authentification d’un utilisateur à chaque session
o Donner à chaque cookie un délai d’expiration
2. Pourquoi n’est-il pas désirable d’implémenter l’identifiant de session en utilisant
uniquement les champs cachés
o Un tel champ ne peut contenir des données binaires
o Un tel champ ne peut inclure un délai d’expiration des informations
o Ce champ est facilement modifiable par l’utilisateur
o L’identifiant de session est immédiatement oublier quand le navigateur est fermé.
3. Supposons qu’une application web implémente l’authentification en construisant une
requête SQL en utilisant le Php prepared statement (séparation du code et des données). Que
se passera t’il si un pirate, en voulant faire une sql injection, introduit dans le champs de
saisi du login, le texte suivant : FRANK ‘ OR 1 = 1 ; --
o Ce texte va corrompre au niveau du serveur, la structure de la requête d’authentification
vers la base de données et cette dernière va détecter une erreur de syntaxe
o Ce teste sera confondu au mot de passe et l’authentification va probablement échouer
o Ce texte va modifier au niveau du serveur, la structure de la requête d’authentification
vers la base de données et cette dernière va détecter by passer l’authentification et
permettre la connexion.
o L’application va tender d’authentifier un utilisateur qui s’appel FRANK ‘ OR 1 =
1 ; --

3
 4. L’injection SQL exploit une erreur à quel niveau d’interaction d’une application web
o Du serveur vers la Base de données o Du serveur vers le client
o Du réseau vers le serveur o Du client vers le serveur
5. Pour quelles raisons les navigateurs implémentent une sécurité pour les programmes
JavaScript
o Ils ne le font pas : les programmes JavaScripts s’exécutent au niveau du serveur, donc
les navigateurs peuvent les ignorer
o Chacun de ces programmes peut accéder aux ressources du navigateur, se qui
inclus l’accès aux données sensibles dans les documents Html et dans les cookies.
o Chacun de ces programmes peut refuser le service en s’exécutant pour toujours
o Ils ne le font pas : Ces programmes sont uniquement utilisés pour rendre dynamique les
contenues, mais sinon ils ne sont pas pertinent pour la sécurité.

Exercice 2 : 5 pts

1. Vous avez exposé sur la sécurité des systèmes embarqués d’identification (tag RFID, carte à
puces, cartes magnétiques). Donné au moins 4 raisons qui justifient la nécessitée de
sécuriser ce type de système embarqués. 2pts
R:
 Dans ces systèmes d’identification, il y a nos données personnelles (biométrique)
qui peuvent être volées
 A partir de ces systèmes, quelqu’un peut se faire passer pour nous en les clonant
 Pour les tags RFID, quelqu’un qui est à proximité de nous, sans nous toucher, peut
utiliser notre tag RFID pour se connecter à un distributeur ou tout autre système
auquel notre tag nous donne l’accès.
 Aujourd’hui, ces systèmes sont utiliser dans presque tous les domaines pour
l’identification et l’authentification, donc ils doivent être sécurisés pour rassurer les
consommateurs
2. Après votre lecture sur le virus stuxnet, quel était la cible finale de ce virus ? 1pt
R : La cible était la centrale d’enrichissement de l’Uranium en IRAN, l’objectif étant
de détruire cette centrale.
3. Donner 4 champs d’application du chiffrement homomorphe et 4 champs d’application du
chiffrement fonctionnel. 2pts