UNIVERSITE PROTESTANTE AU CONGO

FACULTE DES SCIENCES INFORMATIQUES

Notes de Cours d’Introduction a la Sécurité Informatique

BOPE DOMILONGO Christian, Ph.D

Christian.bope@unikin.ac.cd

ANNEE ACADEMIQUE

2019-2020

1
Objectif et plan du cours

Ce cours a pour objectif de donner aux étudiants de troisième graduat

Informatique, Université Protestante du Congo, une compréhension
théorique et pratique sur l’introduction à la sécurité Informatique incluant
la cyber sécurité et la cybercriminalité.

Et pour ce faire, le plan du cours se présente de la manière suivantes :

hormis l’introduction générale et la conclusion. Chapitre 1, Menace,
Risque et vulnérabilité d’un système d’Information, un résumé des
différents types de menace, risque et vulnérabilité seront présentés aux
étudiants pour s’imprégner de ses ampleurs et ses conséquences sur
l’économie, les citoyens et la nation. Chapitre 2, Cryptographie, les
algorithmes de cryptage et chiffrement, et leurs applications seront
couverts. Chapitre 3, Sécurité Réseau et Logiciel, les notions théoriques
et pratiques sur la sécurité réseau et logiciel sera abordée. Chapitre 4,
Risque management et audit de Système d’Information, la gestion du
risque des infrastructures Numériques et son audit sont un élément
important pour la pérennité d’une organisation. Sa maîtrise théorique et
pratique est d’une importance capitale pour un ingénieur informaticien.
Chapitre 5, Cybercriminalité, dans un monde globalisé avec l’absence
des frontières dans le cyberespace, la protection des données à caractère
personnel, des infrastructures critiques, des personnes vulnérables sur
l’Internet.

Résultat d'apprentissage

L’étudiant qui suivra ce cours sera en mesure de :

1. Comprendre la vulnérabilité de tout système (matériel ou logiciel)

se connectant dans un réseau (local ou Internet) ;
2. Maîtriser le chiffrement des données et la sécurisation des réseaux
Informatique et logiciels en tenant en compte des exigences de la
gestion de risque ;
3. Comprendre le menace cybercriminel et mettre en place des
mesures préventives.

2
Activités d’apprentissage

1. L’étudiant trouvera sur sa table un questionnaire anonyme. Le

questionnaire est composé des concepts clés pour aider le
facilitateur d’évaluer le niveau des études ;
2. Répondre aux questions et écrire en trois ligne vos attentes du
cours ;
3. Après deux chapitres, il y aura une interrogation. Le nombre total
des interrogations va être deux ;
4. Chaque chapitre constituerait un TP qui seras coté ;
5. Les étudiants se constituent un groupe de 5 et seront assigner un
projet qui sera défendu en oral ;
6. La présence au cours est obligatoire ;
7. L’examen final aura 2 parties (Écrit et Oral).

Analyse d’activités

Les activités d’apprentissage ci-haut sont alignées avec les objectifs du

cours qui nous permettra d’atteindre les résultats d’apprentissage. Les
activités 1 et 2 permettront aux facilitateurs de comprendre le niveau
intellectuel des étudiants et d’ajuster le contenu du cours pour une
meilleur satisfaction et compréhension. Les activités d’évaluation
participative de 3 à 7 permettront aux facilitateurs d’évaluer le niveau de
compréhension des étudiants.

3
Table des Matières
INTRODUCTION .................................................................................................................. 7
CHAPITRE I. MENACE, RISQUE ET VULNERABILITE D’UN SYSTEME
D’INFORMATION ................................................................................................................ 8
I.1 Vulnérabilité .......................................................................................................................... 8
I.1.1 Définition de la vulnérabilité ................................................................................................... 8
I.2 Menace dans un système d’information ................................................................................. 8
I.1.2 Risque de sécurité ....................................................................................................................... 10
I.1.3 Attaque ............................................................................................................................................ 11
II. LA MALVEILLANCE INFORMATIQUE ............................................................................. 16
II.1 Les Types de logiciels malveillants ........................................................................................ 17
III. Les Antivirus ....................................................................................................................... 33
III.1. La Notion d’Antivirus ................................................................................................................ 33
III.2. La Détection des Virus .............................................................................................................. 33
III.3 Quelques statistiques ................................................................................................................. 35

CHAPITRE II. CRYPTOGRAPHIE .................................................................................. 37

II.1 Introduction ....................................................................................................................... 37
II.2. But de la cryptographie ............................................................................................................. 42
II.3. Vocabulaire de base .................................................................................................................... 43
I. Méthodes de chiffrement ............................................................................................... 44
II.1 Chiffrement symétrique à clé secrète ................................................................................... 45
II.4. Sortes de cryptographie ................................................................................................ 61
II.4.1 Cryptographie symétrique .................................................................................................... 61
II.8 Fonction de hachage ........................................................................................................ 76

CHAPITRE III. SECURITE RESEAU ET LOGICIEL .................................................... 80

III.1 Le système de management de la sécurité de l’information ............................ 80
III.2 Sécurisation du système d’information .................................................................. 81
III.3 SECURITE RESEAU .......................................................................................................... 85
A. Architecture Sécurisée .................................................................................................. 89
B. Les Réseaux VPN .............................................................................................................. 98
B.1 Introduction ........................................................................................................................ 98
B.2 Principe de fonctionnement ........................................................................................... 99
1. Principe général ................................................................................................................................ 99
2. Fonctionnalités des VPN ................................................................................................................ 99
B.3 Protocoles utilisés pour réaliser une connexion Vpn ............................................ 103
B.3.1 Rappels sur PPP ....................................................................................................................... 103
B.3.2 Le protocole PPTP .................................................................................................................. 106
B.3.3 Le protocole L2TP .................................................................................................................. 108
B.3.4 Le protocole IPSEC ................................................................................................................. 109
B.3.5 Le protocole MPLS .................................................................................................................. 112
B.3.6 Le protocole SSL ...................................................................................................................... 116
III.4 Mécanismes symétriques ........................................................................................... 118
III.5 Mécanismes Asymétriques ........................................................................................ 118
III.4.1 Les tunnels ............................................................................................................................... 118

4
 III.5 Solutions sécurisées classiques ............................................................................... 119
III.5.1 IPSEC .......................................................................................................................................... 119
III.5.2 TLS/SSL ..................................................................................................................................... 120
III.6 LOGICIEL .......................................................................................................................... 120

CHAPITRE IV. RISQUE MANAGEMENT ET AUDIT DE SYSTEME

D’INFORMATION ........................................................................................................... 126
IV.1 Risque management .................................................................................................... 126
IV.1.1.1 Définition Du Management Des Risques ................................................................. 126
IV.1.1.2 Éléments Du Dispositif De Management Des Risques ....................................... 127
IV.1.1.3 Relation entre objectifs et éléments .......................................................................... 129
IV.1.2 Efficacité d’un dispositif de management des risques .................................. 130
IV.1.3 Intégration Du Contrôle Interne .......................................................................... 130
IV.1.4 Rôles et responsabilités du management des risques .................................. 130
IV.1.5 Finalité du management des risques .................................................................. 131
IV.1.6 Le management des risques en pratique .......................................................... 136
IV.2 AUDIT DU SYSTEME D’INFORMATION ................................................................... 139
IV.2.1 Le système d’information .................................................................................................. 139
IV.2.2 L'audit du système d'information .................................................................................. 140
IV.2.3 Objectifs de l’audit informatique ......................................................................... 140
IV.2.3.1 Caractéristique de l’audit informatique ................................................................... 140
IV.2.4 Les techniques d'audit ............................................................................................. 141
IV.2.4.1 L'audit dit "boite blanche" ............................................................................................. 141
IV.2.4.2 L'audit dit "boite noire" .................................................................................................. 143
IV.2.5 Principes généraux de l’audit des systèmes d’information ........................ 144
IV.2.6 Modèles de l’audit des systèmes d’information .............................................. 144
IV.2.6.1 Modèle de l’audit de besoin .......................................................................................... 145
IV.2.6.2 Modèle de l’audit de couverte des connaissances ............................................... 145
IV.2.7 Typologie de l'audit des systèmes d’information ........................................... 146
IV.2.7.1 Audit de la fonction informatique .............................................................................. 146
IV.2.7.2 Audit des études informatiques .................................................................................. 147
IV.2.7.3 Audit de l'exploitation ..................................................................................................... 148
IV.2.7.4 Audit des projets informatiques ................................................................................. 148
IV.2.7.5 Audit de la sécurité informatique ............................................................................... 149
IV.2.8 Schéma conceptuel de l’audit des systèmes d’information ........................ 149
IV.2.8.1 Démarche d'audit des systèmes d’information .................................................... 150
IV.2.8.2 La compréhension de l’environnement informatique ....................................... 150

CHAPITRE V. CYBERCRIMINALITE .......................................................................... 151

V.1 Impact de la cybercriminalité sur la société ......................................................... 153
V.2 Catégories de cybercriminalité ................................................................................. 153
V.3 Les types de cybercriminalité .................................................................................... 154
V.3.1 Les attaques DDoS .................................................................................................................. 154
V.3.2 Les botnets ................................................................................................................................. 154
V.3.3 Le vol d’identité ....................................................................................................................... 154
V.3.4 Le cyber harcèlement (Cyberstalking) .......................................................................... 154
V.3.5 L’ingénierie sociale ................................................................................................................ 154

5
 V.3.6 Les PUPs (Potentially Unwanted Programs (Programmes Potentiellement
Indésirables) ........................................................................................................................................ 155
V.3.7 Le Phishing ................................................................................................................................ 155
V.3.8 Contenu interdit / illégal ..................................................................................................... 155
V.3.9 Les escroqueries en ligne .................................................................................................... 156
V.3.10 Les kits d’exploitation ........................................................................................................ 156
V.4 Lutter contre la cybercriminalité ............................................................................. 156
V.4.1. Analyse de l’existant ................................................................................................. 156
1. Introduction ..................................................................................................................................... 156
2. Etats de lieux de la Cybercriminalité en RDC .................................................................... 157
3. Le Danger de cette léthargie ..................................................................................................... 159
4. Quelles sont les pistes de solutions ...................................................................................... 160
5. Les acteurs clés ............................................................................................................................ 163
V.4.2. Conception du RDC CISRT et son fonctionnement .......................................... 165
1. Introduction ..................................................................................................................................... 165
2. Elaboration du plan d’activité ..................................................................................................... 165
3. Architecture technique et matérielle .................................................................................... 168
4. Plan de Restauration en cas de crash ................................................................................... 175
5. Les outils utiliser pour le fonctionnement du CISRT ........................................................ 177

BIBLIOGRAPHIE ............................................................................................................ 195

6
INTRODUCTION
La sécurité informatique est un ensemble d’outils et méthodes
conçus en vue de minimiser les menaces, évaluer les vulnérabilités du
système d’information, minimiser les risques et faire face aux pirates
informatiques tout en protégeant des données.

But de la sécurité

La sécurité d’un système d’information concourt généralement aux

objectifs de garantir :

! L’Authentification : C’est une qualité de sécurité qui ne permet

pas à une personne non autorisée de s’introduire dans le système ;
! Le Contrôle d’accès : C’est une qualité de sécurité qui empêche
l’utilisation non autorise à de ressource accessibles par le réseau ;
! La Confidentialité : C’est une qualité de sécurité qui consiste à
assurer que seules les personnes autorisées aient accès aux
ressources ;
! L’Intégrité : C’est une qualité de sécurité qui consiste à
déterminer si les données n’ont pas été altérées durant la
communication (de manière fortuite ou intentionnelle) ;
! La Non répudiation : C’est une qualité de sécurité qui ne permet
pas à un correspondant de nier une action dans le système ;
! La Disponibilité : C’est une qualité de sécurité qui consiste à
maintenir le bon fonctionnement du système informatique.
Sécurité informatique vue selon ISO
Le standard ISO 7498-2 que nous allons parler sur notre ce cours
définit les concepts fondamentaux autour de la sécurité qui sont basés sur
les axes suivants :

! Menace de sécurité : ce point fera l’objet de notre Premier chapitre

;
! Service de sécurité : est l’ensemble de service qui augmente le
niveau de sécurité des traitements et des échanges de données. ;
! Mécanisme de sécurité : Un mécanisme de sécurité est l’ensemble
d’algorithmes qui mettent en œuvre les fonctions de sécurité dans
un réseau sécurisé.

7
CHAPITRE I. MENACE, RISQUE ET VULNERABILITE D’UN
SYSTEME D’INFORMATION

I.1 Vulnérabilité
Caractéristique d'une entité qui peut constituer une faiblesse ou une
faille au regard de la sécurité de l'information. Ces vulnérabilités peuvent
être organisationnelle (ex : pas de politique de sécurité), humaine (ex :
pas de formation des personnels), logicielles ou matérielles (ex :
utilisation de produits peu fiables ou non testés), ...Exemple : les fichiers
sur les ordinateurs portables ne sont pas protégés en lecture

I.1.1 Définition de la vulnérabilité

La vulnérabilité représente le niveau d'exposition face à la menace
dans un contexte particulier.

Autrement, la vulnérabilité est une faiblesse dans un système

informatique permettant à un attaquant de porter atteinte à
l’intégrité/confidentialité du système trois éléments nécessaires

• Des bugs
• L’accès au système
• La capacité d’exploitation

I.2 Menace dans un système d’information

Définition : une menace est une cause potentielle d'incident, qui peut
résulter en un dommage au système ou à l'organisation

Les menaces contre le système d’information entrent dans l’une des

catégories suivantes : atteinte à la disponibilité des systèmes et des
données, destruction de données, corruption ou falsification de données,
vol ou espionnage de données, usage illicite ou sabotage d’un système ou
d’un réseau, usage d’un système compromis pour attaquer d’autres cibles.
La falsification de sites web afin de détournement de fonds est
aujourd’hui la forme d’attaque qui connaît l’expansion la plus rapide.

Les menaces engendrent des risques et des coûts humains et financiers :

perte de confidentialité de données sensibles, indisponibilité des
infrastructures et des données, dommages pour le patrimoine intellectuel
et la notoriété.

8
Types de menace
Parmi les types de menace nous citons : L’interruption, l’interception,
modification et la fabrication.

" Interruption : la destruction d’un compassant du système, ou son

indisponibilité. L’interruption est une atteinte à la disponibilité.

Comme nous pouvons remarquer sur la figure suivante :

Figure.I.5. L’interruption

" Interception : Une tierce non-autorisée accède à l’information. La

tierce non-autorisée peut être une personne, un programme, un
ordinateur. L’interception est l’atteinte à la confidentialité. La
figure suivante illustre l’interception :

" Modification : Non seulement une tierce accède à l’information

système, mais se permet de la modifier. Il s’agit d’une atteinte à
l’intégrité
La modification est illustrée sur la figure ci-après :

9
Figure.I.7. Modification

" Fabrication : Une tierce non-autorisée introduit des objets

contrefaits dans le système. Il s’agit d’une atteinte à l’intégrité. La
fabrication est illustrée sur la figure ci-après :

I.1.2 Risque de sécurité

Combinaison d'une menace et des pertes qu'elle peut engendrer : c'est-
à-dire de la potentialité de l'exploitation de vulnérabilité par un élément
menaçant et de l'impact sur l'organisme. La notion de risque dépend de
l’impact : une menace ayant une grande probabilité de se concrétiser,
mais ayant un impact nul ne constitue un risque nul. Dans le langage
courant, l'acceptation du mot "risque" peut-être un peu différente et ne
pas intégrer la notion d'impact.

Risques techniques

• Bris de services (denial of service, DoS)

• Vandalisme
• Divulgation d’information (information disclosure)
• Fuite de données (data leakage)
• Augmentation de privilège (privilege escalation)
• Exécution arbitraire de code

10
 Risques économiques (Business)

• Direct (perte de revenu)

• Mise-à-jour/réparation des systèmes
• Réputation
• Assurance
• Amendes pour non-conformité (regulatory compliance)

Les composants logiciels, tels que les bibliothèques, les

frameworks et autres modules logiciels, fonctionnent avec les mêmes
privilèges que l’application. Si un composant vulnérable est exploité, une
telle attaque peut faciliter la perte de données ou la prise de contrôle du
serveur. Les applications et les API utilisant des composants présentant
des vulnérabilités connues peuvent compromettre les défenses de
l’application et permettre diverses attaques et impacts.

Les risques peuvent se réaliser si les systèmes menacés présentent des

vulnérabilités.

Il est possible de préciser la notion de risque en la décrivant comme le

produit d’un préjudice par une probabilité d’occurrence :

Risque = préjudice × probabilité d’occurrence.

Cette formule exprime qu’un événement dont la probabilité à survenir est

assez élevée, par exemple la défaillance d’un disque dur, mais dont il est
possible de prévenir le préjudice qu’il peut causer par des sauvegardes
régulières, représente un risque acceptable ; il en va de même pour un
événement à la gravité imparable, comme l’impact d’une météorite de
grande taille, mais à la probabilité d’occurrence faible.

I.1.3 Attaque
Tout ordinateur connecté à un réseau informatique est
potentiellement vulnérable à une attaque.

Une « attaque » est l'exploitation d'une faille d'un système

informatique (système d'exploitation, logiciel, erreur de configuration,
etc.) à des fins non connues par l'exploitant du système et généralement
préjudiciables.

11
 Sur l’Internet, des attaques ont lieu en permanence, à raison de
plusieurs attaques par minute sur chaque machine connectée. Ces
attaques sont pour la plupart lancées automatiquement à partir de
machines infectées (par des virus, chevaux de Troie, vers, etc.), à l'insu de
leur propriétaire. Plus rarement il s'agit de l'action de pirates
informatiques.

On peut classiquement définir deux grands types d’attaque sur les réseaux
: les attaques sur les protocoles de communications, d’une part, et les
attaques sur les applications standards, d’autre part.

Les attaques sur les protocoles de communications consistent pour un

agresseur à profiter des failles des protocoles de communications (IP,
ICMP, TCP et UDP pour l’essentiel). L’autre volet bénéficie des
vulnérabilités des applications classiques mises en œuvre dans les
Intranets et les Extranets (HTTP, SMTP, FTP…).

On peut également distinguer les attaques sur l’information elle-même

des attaques sur les systèmes d’informations.

Alors que dans le premier cas on s’attache atteindre en intégrité /

disponibilité / confidentialité aux données traitées par les systèmes (par le
biais de virus, d’écoute réseau, de modifications de données…), le second
cas de figure vise à se ménager une porte d’entrée dans les systèmes
traitant les données (vols de mots de passe, exécution de processus non
autorisés, accès illicites aux composants du système d’exploitation…).

I.1.3.1 Types d’attaques

Nous classifions les attaques des différentes manières entre autre :

# Attaques applicatives ;
# Attaques systèmes ;
# Attaques protocolaires ;
# Attaques matérielles.

Attaques applicatives

Les menaces applicatives se basent sur des failles dans les

programmes utilisés, ou encore des erreurs de configuration.

12
Nous pouvons avoir :

• Les bugs : Qui sont liés à un problème dans le code source, ils
peuvent amener à l’exploitation de failles. Il n’est pas rare de voir
l’exploitation d’une machine suite à une simple erreur de
programmation ;
• Le dépassement de la pile (buffer overflows) : sont de catégorie
de bug particulier, issus d’une erreur de programmation, il
permettent l’exploitation d’un Shell code à distance. Ce Shell code
permettra à une personne mal intentionnée d’exécuter des
commandes sur le système distant, pouvant aller jusqu’à sa
destruction.
• Les scripts : Principalement web (exemple : Perl, PHP, ASP), ils
s’exécutent sur un serveur et renvoie un résultat au client.
Cependant, lorsqu’ils sont dynamiques, des failles peuvent
apparaitre si les entrées ne sont pas correctement contrôlées.
• L’exploit : c’est un programme permettant d’exploiter une faille
de sécurité logiciel.

Attaques systèmes

Les menaces systèmes sont des menaces qui peuvent porter atteinte
au système.

Ces menaces systèmes sont :

- Virus ;
- Bombe logique ;
- Vers ;
- Cheval de Troie ;
- Trappe ;
- Craquage de mot de passe.
Virus : est un programme écrit dans le but de détruire un système
(exemple effacer des disques, des fichiers pertinents) ;
Bombe logique : est un programme conçu uniquement dans le but
de détruire des activités lorsqu’elles sont lancées.
Vers : c’est un agent autonome capable de se propager sans une
action extérieure (programme ou personne) mais uniquement en

13
 utilisant les ressources d’une machine pour infecter d’autre
machines.
Cheval de Troie : c’est un programme qui se cache lui-même dans
un autre programme apparemment au-dessus de tout soupçon.
Quand la victime lance ce programme, elle lance par la même
occasion le cheval de Troie caché. Un cheval de Troie peut ouvrir
l’accès au système a des personnes particulières ou même à tout le
monde.
Trappe : c’est un point d’entrée dans un système informatique qui
passe au-dessus des mesures de sécurité normales. La plupart du
temps, c’est un programme cache qui est souvent active par un
évènement ou une action normale et dont le but est de fragiliser un
système de protection ou même le rendre inefficace.
Craquage de mots de passe : le moyen le plus classique de
« craquer » des mots de passe est d’utiliser un programme
appelé « cracker ». Ce programme utilise un dictionnaire de mots
et de noms propres et opère sur les mots de passe encryptes, qui se
trouvent dans un fichier (par exemple le fichier UNIX
/etc/passwd).
Attaques protocolaires

Ce sont les menaces qui visent les protocoles de communication ou

réseau, parmi ces menaces nous citons :

- DNS Spoofing : L’objet de cette attaque est de rediriger, à leurs

insu, des internautes vers des sites pirates. Pour la réussite de
cette attaque, les pirates utilisent des faiblesses du protocole
DNS (Domain Name System) et de son implémentation au
travers des serveurs de nom de domaine.
Le protocole DNS permet de faire la correspondance entre une
adresse IP et un nom de machine. Il existe 2 types d’attaques
DNS Spoofing : le DNS ID Spoofing et le DNS Cache Poising.
Le but du pirate est de faire correspondre l’adresser IP d’une
machine qu’il a à son contrôle à un nom réel et valide d’une
machine publique. La figure ci-dessous représente un DNS
Spoofing.
- IP Spoofing : c’est une usurpation du protocole adresse IP,
c’est une ancienne attaque dont certaines de ses variétés sont
encore d’actualité. Il y a 2 manières d’utiliser l’IP Spoofing :

14
 • La première utilité sera celle de falsifier la source d’une
attaque afin que la victime ne parvienne pas de remonter
à l’origine de l’attaque ;
• L’autre usage de l’IP Spoofing va permettre de profiter
d’une relation de confiance entre deux postes pour
prendre avantage sur l’un de deux.
Attaque matériels

Ce point s’appuie beaucoup plus sur la menace physique du

matériel, tout ce qui peut altérer le matériel : Inondation, le vol de
matériel, Incendie d’électricité.

I.1.4. Classification d’Attaques

Une attaque est une action qu’on peut poser pour porter atteinte au
but de la sécurité.

Nous pouvons classifier une attaque sous forme :

" Une attaque passive ;

" Une attaque active ;
Attaque passive

Une attaque passive est celle qui porte atteinte à la confidentialité

de données transmises. Elle est basé d’une part sur la lecture de données
confidentiels, courriel électronique, fichier transféré et d’autre part de
l’analyse du trafic du réseau pour déterminer la nature d’une
communication : identité des hôtes communicants, fréquence et longueur
des messages échangés. Les attaques passives ne sont pas facilement
détectables car elles n’impliquent aucune altération des informations.

L’exemple de cette attaque c’est l’interception.

Attaque active

Les attaques actives concernent celles qui entraînent une

modification des données ou création de données incorrectes. Autrement
dit, celles qui portent atteinte à l’intégrité, l’authenticité et la
disponibilité. Nous retrouvons alors quatre types d’attaques actives :

15
 $ L’usurpation : c’est lorsqu’une entité se fait passer pour une autre,
$ Le rejet : retransmission de messages capturés lors d’une
Communications, et cela à des fins illégitimes,
$ La modification de messages,
$ Le déni de service.
Nous citons parmi cette attaque : l’interruption, la modification et la
fabrication.

II. LA MALVEILLANCE INFORMATIQUE

Parmi les multiples procédés d’attaque contre le système d’information, il
convient de réserver une place spéciale à une famille de logiciels
malveillants (les anglophones ont créé à leur intention le néologisme
malware) qui se répandent en général par le réseau, soit par accès direct à
l’ordinateur attaqué, soit cachés dans un courriel ou sur un site Web
attrayant, mais aussi éventuellement par l’intermédiaire d’une disquette,
d’une clé USB ou CD-Rom. Les périphériques USB seraient responsables
de 25% des infections selon PandaLabs, éditeur de solution de sécurité,
les clefs et autres périphériques USB seraient responsables de près de
27% des infections en entreprise. Un vecteur d'infection connu des
auteurs de ver et virus toujours selon PandaLabs, près de 25% des codes
malicieux intégrerait les périphériques USB comme vecteur de
propagation. Dès qu'une clef infectée est insérée dans un ordinateur,
celui-ci est automatiquement infecté. Un fois infecté, cet ordinateur va à
son tour dupliquer le code malicieux sur toute clef USB qui sera insérée
ultérieurement.

Sans être en mesure de vérifier la pertinence de ces chiffres, les

périphériques USB sont effectivement une cible de choix pour véhiculer
des codes malicieux :

- Le port USB est devenu l'interface standard pour tout type de

périphériques ;

- Tout le monde possède et utilise quotidiennement des

périphériques USB ;

- L'utilisation est simple et à la portée de tous ;

- Le support des périphériques en mode disque est en standard

16
 dans tous les systèmes ;

- C'est un périphérique qui ne propose aucun mécanisme simple

de protection contre l'écriture.

La destination de ces logiciels est de s’installer sur l’ordinateur dont ils

auront réussi à violer les protections pour y commettre des méfaits, et
aussi pour se propager vers d’autres victimes. Ce chapitre leur sera
consacré ; essayons pour commencer d’en dresser une nomenclature.

II.1 Les Types de logiciels malveillants

Aujourd’hui, c’est un truisme, quiconque navigue sur l’Internet ou reçoit
du courrier électronique s’expose aux logiciels malveillants que sont les
virus, les vers et quelques autres que nous allons décrire. Pour tous ceux
qui naviguent et reçoivent du courrier électronique, il importe que chacun
acquière un minimum d’information sur ces logiciels nuisibles, ne serait-
ce que pour pouvoir les nommer et en faire part aux experts auxquels on
demandera de l’aide pour s’en débarrasser.

II.1 Les Virus

Un virus est un petit programme informatique situé dans le corps d'un
autre, qui, lorsqu'on l'exécute, se charge en mémoire et exécute les
instructions que son auteur a programmées. De ce qui précède, nous
pouvons définir le virus comme étant.

"Tout programme d'ordinateur capable d'infecter un autre programme

d'ordinateur en le modifiant de façon à ce qu'il puisse à son tour se
reproduire."

Le véritable nom donné aux virus est CPA soit Code Auto- Propageable,
c’est par analogie avec le domaine médical, le nom de "virus" leur a été
donné.

Les virus résidents (appelés TSR en anglais pour Terminate and stay
resident) se chargent dans la mémoire vive de l'ordinateur afin d'infecter
les fichiers exécutables lancés par l’utilisateur. Les virus non résidants
infectent les programmes présents sur le disque dur dès leur exécution.

Le champ d'application des virus va de la simple balle de ping- pong qui

traverse l'écran au virus destructeur de données, ce dernier étant la forme

17
de virus la plus dangereuse. Ainsi, étant donné qu'il existe une vaste
gamme de virus ayant des actions aussi diverses que variées, les virus ne
sont pas classés selon leurs dégâts mais selon leur mode de propagation et
d'infection.

On distingue ainsi différents types de virus :

- les vers sont des virus capables de se propager à travers un réseau ;

- les troyens (chevaux de Troie) sont des virus permettant de créer une
faille dans un système (généralement pour permettre à son
concepteur de s'introduire dans le système infecté afin d'en prendre
le contrôle) ;

- les bombes logiques sont des virus capables de se déclencher suite à un

événement particulier (date système, activation distante, ...).
Depuis quelques années un autre phénomène est apparu, il s'agit
des canulars (en anglais hoax), c'est-à-dire des annonces reçues par
mail (par exemple l'annonce de l'apparition d'un nouveau virus
destructeur ou bien la possibilité de gagner un téléphone portable
gratuitement,) accompagnées d'une note précisant de faire suivre la
nouvelle à tous ses proches. Ce procédé a pour but l'engorgement
des réseaux ainsi que la désinformation.

a. Les Virus Mutants

En réalité, la plupart des virus sont des clones, ou plus exactement des
«virus mutants», c'est-à-dire des virus ayant été réécrits par d'autres
utilisateurs afin d'en modifier leur comportement ou leur signature.

Le fait qu'il existe plusieurs versions (on parle de variantes) d'un même
virus le rend d'autant plus difficile à repérer dans la mesure où les
éditeurs d'antivirus doivent ajouter ces nouvelles signatures à leurs bases
de données.

b. Les Virus Polymorphes

Dans la mesure où les antivirus détectent notamment les virus grâce à

leur signature (la succession de bits qui les identifie), certains créateurs
de virus ont pensé à leur donner la possibilité de modifier

18
automatiquement leur apparence, tel un caméléon, en dotant les virus de
fonction de chiffrement et de déchiffrement de leur signature, de façon à
ce que seuls ces virus soient capables de reconnaître leur propre
signature. Ce type de virus est appelé «virus polymorphe» (mot provenant
du grec signifiant «qui peut prendre plusieurs formes»).

c. Les Rétrovirus

On appelle «rétrovirus» ou «virus flibustier» (en anglais bounty hunter)

un virus ayant la capacité de modifier les signatures des antivirus afin de
les rendre inopérants.

d. Les Virus du Secteur d’amorçage

On appelle «virus de secteur d'amorçage» (ou virus de boot), un virus

capable d'infecter le secteur de démarrage d'un disque dur (MBR, soit
master boot record), c'est-à-dire un secteur du disque copié dans la
mémoire au démarrage de l'ordinateur, puis exécuté afin d'amorcer le
démarrage du système d'exploitation.

e. Les Virus Trans-Applicatifs (Virus Macros)

Avec la multiplication des programmes utilisant des macros, Microsoft a

mis au point un langage de script commun pouvant être inséré dans la
plupart des documents pouvant contenir des macros, il s'agit de VBScript,
un sous-ensemble de Visual Basic. Ces virus arrivent actuellement à
infecter les macros des documents Microsoft Office, c'est-à- dire qu'un tel
virus peut être situé à l'intérieur d'un banal document Word ou Excel, et
exécuter une portion de code à l'ouverture de celui-ci lui permettant d'une
part de se propager dans les fichiers, mais aussi d'accéder au système
d'exploitation (généralement Windows).

Or, de plus en plus d'applications supporte Visual Basic, ces virus

peuvent donc être imaginables sur de nombreuses autres applications
supportant le VBScript.

Le début du troisième millénaire a été marqué par l'apparition à grande

fréquences de scripts Visual Basic diffusés par mail en fichier attaché
(repérables grâce à leur extension .VBS) avec un titre de mail poussant à
ouvrir le cadeau empoisonné.

19
Celui-ci a la possibilité, lorsqu'il est ouvert sur un client de messagerie
Microsoft, d'accéder à l'ensemble du carnet d'adresse et de s'auto diffuser
par le réseau. Ce type de virus est appelé ver (ou worm en anglais).

Le problème que doit surmonter le virus informatique, comme son

collègue biologique, c’est d’échapper au système immunitaire de l’hôte,
qui cherche à le détruire, et comme en biologie les méthodes les plus
efficaces pour atteindre ce but reposent sur les mutations et le
polymorphisme, c’est-à-dire que le virus modifie sa forme, son aspect ou
son comportement afin de ne pas être reconnu par son prédateur. Pour les
virus informatiques comme pour ceux de la biologie, la stratégie de
survie peut aussi comporter une période d’incubation, au cours de
laquelle le malade ignore son état et peut contaminer son entourage, ainsi
que des porteurs sains, propices également à la contagion. En effet, un
virus qui tue trop rapidement sa victime, que ce soit au sens propre ou au
sens figuré, limite par là-même ses capacités de propagation.

f. Le Virus réticulaire (botnet)

La cible d’un virus informatique peut être indirecte : il y a des exemples

de virus qui se propagent silencieusement sur des millions d’ordinateurs
connectés à l’Internet, sans y commettre le moindre dégât. Puis, à un
signal donné, ou à une heure fixée, ces millions de programmes vont se
connecter à un même serveur Web, ce qui provoquera son effondrement.
C’est ce qu’on appelle un déni de service distribué (Distributed Denial of
Service, DDoS). Un tel virus s’appelle en argot SSI un bot, et l’ensemble
de ces virus déployés un botnet. Les ordinateurs infectés par des bots sont
nommés zombis.

II.2 Les Vers

Un ver est un programme qui peut s'auto reproduire et se déplacer à
travers un réseau en utilisant les mécanismes réseau, sans avoir
réellement besoin d'un support physique ou logique (disque dur,
programme hôte, fichier, etc.) pour se propager ; un ver est donc un virus
réseau.

La plus célèbre anecdote à propos des vers date de 1988. Un étudiant

(Robert T. Morris, de Cornell University) avait fabriqué un programme
capable de se propager sur un réseau, il le lança et, 8 heures après l'avoir

20
lâché, celui-ci avait déjà infecté plusieurs milliers d'ordinateurs. C'est
ainsi que de nombreux ordinateurs sont tombés en pannes en quelques
heures car le "ver" (car c'est bien d'un ver dont il s'agissait) se
reproduisait trop vite pour qu'il puisse être effacé sur le réseau. De plus,
tous ces vers ont créé une saturation au niveau de la bande passante, ce
qui a obligé la NSA à arrêter les connexions pendant une journée.

a. Fonctionnement d’un ver dans les années 80 Voici la façon dont le ver
de Morris se propageait sur le réseau :

- Le ver s'introduisait sur une machine de type UNIX ;

- il dressait une liste des machines connectées à celle-ci ;

- il forçait les mots de passe à partir d'une liste de mots ;

- il se faisait passer pour un utilisateur auprès des autres machines ;

- il créait un petit programme sur la machine pour pouvoir se reproduire ;

- il se dissimulait sur la machine infectée ;

- et ainsi de suite.

b. Les verts actuels

Les vers actuels se propagent principalement grâce à la messagerie (et

notamment par le client de messagerie Outlook) grâce à des fichiers
attachés contenant des instructions permettant de récupérer l'ensemble
des adresses de courrier contenues dans le carnet d'adresse et en envoyant
des copies d'eux-mêmes à tous ces destinataires.

Ces vers sont la plupart du temps des scripts (généralement VBScript) ou

des fichiers exécutables envoyés en pièce jointe et se déclenchant lorsque
l'utilisateur destinataire clique sur le fichier attaché.

a. Le Cheval de Troie

On appelle "Cheval de Troie" (en anglais trojan horse) un

programme informatique effectuant des opérations malicieuses à l'insu de
l'utilisateur. Le nom "Cheval de Troie" provient d'une légende narrée
dans l'Iliade (de l'écrivain Homère) à propos du siège de la ville de Troie

21
par les Grecs.

La légende veut que les Grecs, n'arrivant pas à pénétrer dans les
fortifications de la ville, aient l'idée de donner en cadeau un énorme
cheval de bois en offrande à la ville en abandonnant le siège.

Les troyens (peuple de la ville de Troie), apprécièrent cette offrande à

priori inoffensive et la ramenèrent dans les murs de la ville. Cependant le
cheval était rempli de soldats cachés qui s'empressèrent d'en sortir à la
tombée de la nuit, alors que la ville entière était endormie, pour ouvrir les
portes de la cité et en donner l'accès au reste de l'armée ...

Un cheval de Troie (informatique) est donc un programme caché dans un

autre qui exécute des commandes sournoises, et qui généralement donne
un accès à la machine sur laquelle il est exécuté en ouvrant une porte
dérobée (en anglais backdoor), par extension il est parfois nommé troyen
par analogie avec les habitants de la ville de Troie.

A la façon du virus, le cheval de Troie est un code (programme) nuisible

placé dans un programme sain (imaginez une fausse commande de listage
des fichiers, qui détruit les fichiers au- lieu d'en afficher la liste).

Un cheval de Troie peut par exemple

- voler des mots de passe ;

- copier des données sensibles ;

- exécuter tout autre action nuisible ;

- etc.

b. Les Symptômes d’une Infection

Une infection par un cheval de Troie fait généralement suite à l'ouverture

d'un fichier contaminé contenant le cheval de Troie. Et se traduit par les
symptômes suivants :

- activité anormale du modem ou de la carte réseau : des données

sont chargées en l'absence d'activité de la part de l'utilisateur ;

- des réactions curieuses de la souris ;

22
 - des ouvertures impromptues de programmes ;

- des plantages à répétition.

c. Principe du cheval de Troie

Le principe des chevaux de Troie étant généralement (et de plus en

plus) d'ouvrir un port de votre machine pour permettre à un pirate
d'en prendre le contrôle (par exemple voler des données
personnelles stockées sur le disque), le but du pirate est dans un
premier temps d'infecter votre machine en vous faisant ouvrir un
fichier infecté contenant le troyen et dans un second temps
d'accéder à votre machine par le port qu'il a ouvert. Toutefois pour
pouvoir s'infiltrer sur votre machine, le pirate doit généralement en
connaître l'adresse IP. Ainsi :

- soit vous avez une adresse IP fixe (cas d'une entreprise ou bien
parfois de particuliers connecté par câble, ...) auquel l'adresse IP
peut être facilement récupérée ;

- soit votre adresse IP est dynamique (affectée à chaque

connexion), c'est le cas pour les connexions par modem ; auquel
cas le pirate doit scanner des adresses IP au hasard afin de déceler
les adresses IP correspondant à des machines infectées.

d. Porte dérobée

Dans un logiciel, une porte dérobée (de l’anglais backdoor,

littéralement porte de dernière) est une fonctionnalité inconnue de
l’utilisateur légitime qui donne un accès secret au logiciel.

L'introduction d'une porte dérobée dans un logiciel à l'insu de son

utilisateur transforme le logiciel en cheval de Troie

- Technique

Une porte dérobée peut être introduite soit par le développeur du

logiciel, soit par un tiers. La personne connaissant la porte dérobée peut
l'utiliser pour surveiller les activités du logiciel, voire en prendre le
contrôle (par contournement de l'authentification). Enfin, selon l'étendue
des droits que le système d'exploitation donne au logiciel contenant la

23
porte dérobée, le contrôle peut s'étendre à l'ensemble des opérations de
l'ordinateur.

La généralisation de la mise en réseau des ordinateurs rend les

portes dérobées nettement plus utiles que du temps où un accès physique
à l'ordinateur était la règle.

Parmi les motivations amenant les développeurs de logiciel à créer

des portes dérobées, il y a :

- l'intérêt pratique d'un accès facile et toujours ouvert au logiciel

pour pouvoir mener efficacement les actions de maintenance ;

- la possibilité de désactiver subrepticement le logiciel en cas de

désaccord avec son client (non-paiement de licence). Parmi les
motivations amenant les pirates informatiques à installer une porte
dérobée :

- la possibilité de surveiller ce que fait l'utilisateur légitime et de

copier ou détruire des données ayant une valeur (mots de passe, clé
privée pour déchiffrer des messages privés, coordonnées bancaires,
secrets commerciaux) ;

- la possibilité de prendre le contrôle d'un ordinateur et de pouvoir

l'utiliser pour mener des actions malfaisantes (envoi de pourriels
notamment pour l'hameçonnage, de virus informatiques, déni de
service) ;

- le contrôle d'un vaste réseau d'ordinateurs (voir botnet), qui peut

être utilisé pour du chantage au déni de service distribué (DDoS),
ou revendu à des criminels. Pour installer des portes dérobées en
masse, les pirates informatiques utilisent des vers. Ceux-ci se
répandent automatiquement et installent un serveur informatique
sur chaque ordinateur infecté. Ensuite le pirate peut se connecter à
travers Internet au serveur. Une porte dérobée peut aussi être
insérée par voie d'Easter egg, de compilateur (voir la section plus
bas Le cas du compilateur C Unix: Trusting Trust), ou peut prendre
la forme d'un programme, comme Back Orifice.

- Le cas du compilateur C Unix : Trusting Trust

24
En 1984, l'informaticien américain Kenneth Thompson décrit, dans son
article Reflections on Trusting Trust, comment il aurait été possible
d'insérer une porte dérobée dans tous les programmes en C compilés sur
Unix. De plus, vu que les versions mises à jour de ce compilateur, qui
n'est rien d'autre qu'un autre programme compilé, sont compilées à partir
du compilateur C préexistant, l'algorithme d'insertion de la porte dérobée
se serait fait transmettre d'une mise à jour à une autre. Donc, si ce
compilateur à porte dérobée avait été « lâché dans la nature » (en anglais :
released in the wild) à l'origine, alors n'importe quel compilateur de C
insérerait possiblement des portes dérobées de nos jours.

Il est à noter que la porte dérobée présente dans tous les programmes C
compilés n'apparaîtrait jamais dans le code source en C.

L'appellation trust (pour confiance) vient du fait que le compilateur C

d'origine est considéré par son utilisateur final comme une boîte noire
digne de confiance.

Pour un programmeur qui ne comprend pas le fonctionnement d'un tel

compilateur, mais lui fait confiance, il serait difficile de penser qu'un
programme, qu'il a lui-même écrit puis compilé, contient une porte
dérobée.

Source: Kenneth Thompson, Reflections on Trusting Trust,

Communication of the ACM, Vol. 27, No. 8, August 1984, pp. 761-763.

e. Bombe logique

Une bombe logique est une fonction, cachée dans un programme en

apparence honnête, utile ou agréable, qui se déclenchera à retardement,
lorsque sera atteinte une certaine date, ou lorsque surviendra un certain
événement. Cette fonction produira alors des nuisibles.

f. Logiciel espion

Un logiciel espion, comme son nom l’indique, collecte à l’insu de

l’utilisateur légitime des informations au sein du système où il est
installé, et les communique à un agent extérieur, par exemple au moyen
d’une porte dérobée. Une variété particulièrement toxique de logiciel
espion est le keylogger (espion dactylographique ?), qui enregistre

25
fidèlement tout ce que l’utilisateur tape sur son clavier et le transmet à
son honorable correspondant ; il capte ainsi notamment identifiants, mots
de passe et codes secrets.

- Le rootkit de Sony

Nous ne saurions entreprendre ce tour d’horizon de la malfaisance sans

évoquer une affaire où le scandale le dispute au ridicule. Un rootkit est un
programme ou un ensemble de programmes qui permettent à un pirate de
maintenir durablement un accès frauduleux à un système informatique,
généralement par l’ouverture de portes dérobées et par des modifications
vicieuses du système.

Le 31 octobre 2005, le spécialiste reconnu des systèmes Windows Mark

E. Russinovich publiait sous le titre Sony, Rootkits and Digital Rights
Management Gone Too Far un article2 dans la revue en ligne
Sysinternals où il racontait la mésaventure suivante. Il testait sur son
ordinateur le logiciel de détection d’intrusion RootkitRevealer (RKR),
destiné comme son nom l’indique à détecter la présence de rootkits, que
révéla RKR à Russinovich ? Un répertoire caché, plusieurs pilotes de
périphériques.

Cachés, et un programme caché. Russinovich, auteur notamment de

l’ouvrage de référence.

Étonné de se voir ainsi piraté, il mobilisa toute sa science des structures

internes de Windows et des outils d’analyse pour percer ce mystère (les
détails sont exposés dans l’article cité en référence) : quelle ne fut pas sa
surprise en découvrant que le rootkit incriminé était un logiciel
commercial arborant fièrement la marque de la société qui l’avait
développé, First 4 Internet. Cette société avait créé un ensemble de
logiciels destinés à implémenter une technologie nommée XCP, dont la
fonction est d’exercer des contrôles d’accès sur les CD musicaux
enregistrés commercialisés selon les spécifications du protocole Digital
Rights Management (DRM). First 4 Internet avait vendu sa technologie à
plusieurs sociétés, dont Sony, et en constatant cela Russinovich se
rappela avoir acheté peu de temps auparavant un CD Sony qui ne pouvait
être joué qu’au moyen du logiciel inscrit sur le CD lui-même, et qui ne
pouvait être recopié que trois fois. C’est ce que l’on appelle un CD au

26
contenu protégé contre les copies.

En fait, lorsque le CD était joué sur un ordinateur, le logiciel inscrit sur le

CD se recopiait dans le système, à l’insu de l’utilisateur. Une fois installé,
il se comportait comme un logiciel espion, et envoyait à Sony
l’identification du CD introduit dans le lecteur de l’ordinateur ; avec cet
envoi, Sony était informé chaque fois qu’un CD donné était joué sur tel
ou tel ordinateur, et recevait également l’adresse IP de cet ordinateur. De
surcroît, ce logiciel assez mal conçu et réalisé créait dans le système des
vulnérabilités supplémentaires qui facilitaient des attaques ultérieures par
d’autres logiciels malfaisants.

Clairement, le Big Brother du roman de George Orwell commençait à

prendre réalité. Mais le plus piquant (ou le plus scandaleux) de cette
histoire, c’est que pour réaliser leur logiciel secret et malfaisant destiné à
espionner leurs clients et à protéger de façon abusive leurs droits, First 4
Internet et son mandant Sony avaient purement et simplement piraté des
parties de certains logiciels libres sous licence GPL dans des conditions
contraires aux termes de cette licence, c’est-à-dire qu’ils n’avaient pas
hésité à enfreindre les droits d’autrui.

g. Courrier électronique non sollicité (spam)

Le spam, pourriel ou polluriel est une communication électronique non

sollicitée, en premier lieu via le courrier électronique. Il s'agit en général
d'envois en grande quantité effectués à des fins publicitaires.

Le premier pourriel a été envoyé le 3 mai 1978 par Gary Thuerk ,

marketeur travaillant chez DEC. Il envoya son message à près de la
totalité des utilisateurs d’Arpanet (ancêtre d'Internet) vivant sur la côte
ouest des États-Unis, soit environ 600 personnes. Il fit cela sans mauvaise
intention, afin d'inviter ces utilisateurs technophiles à une démonstration
de la gamme DEC. Voulant éviter d'écrire un message à chaque adresse,
il mit les 600 adresses directement dans le champ « Destinataire ». Les
réactions furent vives et contrastées, l'administration américaine gérant le
réseau condamnant d'office la pratique, la jugeant non-conforme aux
termes d'utilisation du réseau.

Le terme polluriel est plutôt utilisé pour définir les messages inutiles,

27
souvent provocateurs et n'ayant aucun lien avec le sujet de discussion, qui
sont diffusés massivement sur de nombreux forums ou groupe de
nouvelles, ce qui entraîne une pollution des réseaux.

En France, 95 % des messages échangés courant décembre 2006 étaient

des pourriels. Ces pourcentages varient selon les articles publiés, mais la
barre des 90 % est toujours dépassée.

En mai 2009, Symantec annonce le chiffre de 90,4 %. Pour Microsoft,

concernant la période de juillet à décembre 2008, la proportion de
messages indésirables est de 97 %

h. Attaques sur le Web et sur les données

La plupart des failles de sécurité ont une source commune : un excès de

confiance envers des données étrangères. Ces données peuvent être
envoyées par un visiteur, récupérées d’une régie publicitaire, d’un
prestataire qui lui-même peut être victime d’une faille de sécurité.

Il est primordial de toujours s’assurer que les données reçues soient

valides avant tout affichage ou stockage (bdd, fichier, ...) sans quoi
l’application devient potentiellement vulnérable.

Je décris dans la suite du post les failles de sécurité les plus courantes
mais la liste est loin d’être exhaustive, on pourrait effectivement y ajouter
:

- Le spam ;

- Cache Poisonning ;

- Cross-User Defacement ;

- Attaque de type DOS (denis de service) ;

- CRLF injection ;

En cas de doute sur une application, des logiciels existent pour le

développeur à débusquer certaines failles qu’il aurait pu laisser par
inadvertance. On peut citer par exemple le logiciel gratuit d’audit Wapiti
ou l’application d’IBM Rational Appscan [2,3,5] Avec la multiplication

28
et la diversification des usages du Web, notamment pour des sites
marchands ou de façon plus générale pour des transactions financières,
sont apparues de nouveaux types d’attaques qui en exploitent les
faiblesses de conception. D’autre part, des attaquants que l’on pourrait
nommer les charognards informatiques exploitent dans les documents des
zones que leurs auteurs croient avoir effacées, cependant que d’autres
pillent les disques durs des matériels de rebut.

i. Injection SQL

L’attaque par injection SQL vise les sites Web qui proposent des
transactions mal construites dont les résultats sont emmagasinés dans une
base de données relationnelle. Elle consiste en ceci : SQL est un langage
qui permet d’interroger et de mettre à jour une base de données
relationnelle ; les requêtes sont soumises au moteur de la base en format
texte, sans être compilées. Une requête typique est construite à partir de
champs de formulaire remplis par l’internaute.

Ainsi, un utilisateur malveillant informé de cette faille (ou qui la

soupçonnerait) peut confectionner un texte tel qu’une fois incorporé à une
requête SQL il ait des effets indésirables sur la base de données, par
exemple en y insérant directement des ordres du langage, de telle sorte
qu’ils soient interprétés. En voici un exemple ; l’instruction suivante
construit directement à partir du nom introduit par l’utilisateur une
requête SQL innocente, qui extrait de la base des utilisateurs tous les
enregistrements qui concernent celui-là en particulier :

requete := "SELECT * FROM clients WHERE nom = ’" + nom_client +

"’;"

Soit un attaquant informé de cette faille, qui au lieu d’entrer dans le

formulaire un nom valide, introduit la chaîne de caractères suivante :

x’ ; DROP TABLE clients ; SELECT * FROMdata WHERE nom LIKE

’%" as "nom_client

La requête sera :

SELECT * FROM clients WHERE nom = ’x’; DROP TABLE clients;

29
SELECT * FROM secrets WHERE nom LIKE ’%’; avec, comme
résultat, la destruction pure et simple de la table clients et un accès
imprévu à la table secrets, dont le nom suggère qu’elle n’est pas destinée
à être lue par les internautes.

La parade à ce type d’attaque consiste essentiellement à écrire des

programmes moins naïfs, qui vérifient les données introduites par les
utilisateurs avant de les utiliser, et en particulier qui éliminent les
caractères qui ont une valeur sémantique spéciale pour SQL. Cette
recommandation vaut d’ailleurs pour tous les programmes.

j. Cross-sitescriptingouAttaqueXSS

En utilisant une vulnérabilité XSS, contrairement à une injection SQL, le

pirate s’attaque à l’utilisateur plutôt qu’à l’application web.

Les attaques de type XSS consistent en l’insertion de bouts de code non

prévu au sein d’une page web qui sera exécuté côté client par les
navigateurs. La faille existe dès que l’application web affiche sur une
page des données étrangères sans filtrer les balises html et en particulier
la balise <script>.

On distingue deux types d’attaques XSS : le XSS permanent et le XSS

transitoire.

Le XSS transitoire profite en général de failles sur les paramètres d’url

afin d’y injecter du code fallacieux ; l’url sera alors envoyée à la victime
par mail, site malveillant, MSN,... Ce type d’attaque fait souvent pair
avec l’ingénierie sociale.

Le XSS permanent apparait lorsque l’application web enregistre dans une

base de données ou un fichier le code fallacieux pour ensuite l’afficher
sur une page publique (forum, blog, ...). Ainsi chaque client qui affiche la
page vérolée devient une victime.

- Les risques d’une attaque XSS ;

- Affichage de contenu subversif pouvant nuire à l’image de

marque de l’entreprise propriétaire du site ;

- Redirection vers un autre site pour tromper l’utilisateur,

30
 récupérer des informations personnelles, ... ;

- Vol de session ou de cookies pouvant mener à l’usurpation

d’identité. Exemple : Imaginons un site e-commerce d’une
entreprise prestigieuse. Sur ce site a été mise en place une page 404
personnalisée. Cette page prend dans son corps de page l’url
erronée directement sans validation préalable par exemple : « La
page «/page qui n’existe pas» n’existe pas. Vous allez être redirigé
vers la page d’accueil d’ici 5 secondes ». Imaginons maintenant un
pirate qui découvre cette faille. Il prépare un mail pour sa victime
reprenant la charte de l’entreprise et lui vantant les mérites d’une
nouvelle fonctionnalité mise en place. Bien entendu un lien est
présent dans ce mail pointant vers une page erronée. Les
paramètres de ce lien sont camouflés et contiennent un script qui
récupère les cookies de session et les envoie au pirate. Le pirate
envoie alors ce mail à un ensemble de victimes. Si l’une d’entre
elles clique sur le lien en étant connectée sur le site, le pirate sera
alors capable d’usurper son identité. Le pirate aurait également pu
développer un site reprenant le skin du site e-commerce et rediriger
les victimes sur ce site piégé et ainsi récupérer leurs identifiants.
Autres exemples célèbres :

- Samy le premier ver XSS pour MySpac ;

- Yamanner le premier ver XSS sur la plateforme web-mail Yahoo

!

- Comment se protéger

Filtrer toutes les données étrangères. Ici encore, PHP fournit en standard
de nombreuses méthodes : htmlentities, addslashes, strip_tags, etc.

Utiliser des filtres restrictifs en ayant la philosophie suivante : autoriser

ce qu’on l’on sait sûr plutôt que de chercher à exclure ce que l’on juge
incorrect. Il n’est pas possible d’être absolument exhaustif ; Les hackers
savent faire preuve d’imagination !

Il faut vérifier toutes les données ! Même celles qu’on juge à priori sûres,
comme les informations provenant d’un select ou d’une checkbox : il est
très facile de coder un script qui envoie une valeur quelconque à ces

31
champs.

k. Palimpsestes électroniques

Au moyen-âge le parchemin sur lequel étaient copiés les manuscrits était

rare et cher : aussi on grattait les livres passés de mode pour en réutiliser
le parchemin et y recopier les derniers succès de librairie. Les chercheurs
modernes ont réussi à lire le texte gratté sur de tels manuscrits, appelés
palimpsestes.

Le XXème siècle a aussi ses palimpsestes : si l’on n’y prend garde, les
fichiers produits par Microsoft Word conservent fidèlement dans un coin
la trace des modifications passées, et un lecteur habile peut les retrouver.
Le Premier ministre britannique Tony Blair a été victime de cet artifice :
son cabinet a publié sur le site Web gouvernemental un document Word
d’explication relative à l’engagement britannique dans la guerre en Irak,
et des journalistes malicieux ont reproduit l’historique de
l’argumentation, qui a fait scandale.

II.3. La Lutte contre les malveillances informatiques

La prolifération des formes de malveillance informatique s’accomplit
parallèlement à la convergence de leurs méthodes : néanmoins
l’utilisateur n’est pas sans défense contre les attaques de plus en plus
nombreuses et de plus en plus puissantes, il existe des armes défensives.
Nous examinerons ici la plus nécessaire : le logiciel antivirus. Plus loin
dans cet ouvrage nous étudierons le pare-feu et les systèmes de détection
et de prévention des intrusions. Ce que l’on peut dire de la lutte contre les
virus s’applique aussi dans une large mesure à la lutte contre les autres
malfaisances informatiques, car aujourd’hui les logiciels malfaisants sont
très polyvalents : la plupart des virus sont aussi des vers, qui ouvrent des
portes dérobées et pratiquent l’espionnage pour « améliorer » leurs
performances. Ils peuvent aussi à l’occasion émettre du courrier non
sollicité et se procurer des numéros de cartes bancaires.

32
III. Les Antivirus

III.1. La Notion d’Antivirus

Un antivirus est un programme capable de détecter la présence de virus
sur un ordinateur et, dans la mesure du possible, de désinfecter ce dernier.
On parle ainsi d'éradication de virus pour désigner la procédure de
nettoyage de l'ordinateur. Il existe plusieurs méthodes d'éradication :

- La suppression du code correspondant au virus dans le fichier infecté ;

- La suppression du fichier infecté ;

- La mise en quarantaine du fichier infecté, consistant à le déplacer dans

un emplacement où il ne pourra pas être exécuté.

III.2. La Détection des Virus

Les virus se reproduisent en infectant des "applications hôtes", c'est- à-
dire en copiant une portion de code exécutable au sein d'un programme
existant. Or, afin de ne pas avoir un fonctionnement chaotique, les virus
sont programmés pour ne pas infecter plusieurs fois un même fichier. Ils
intègrent ainsi dans l'application infectée une suite d'octets leur
permettant de vérifier si le programme a préalablement été infecté : il
s'agit de la signature virale. Les antivirus s'appuient ainsi sur cette
signature propre à chaque virus pour les détecter. Il s'agit de la méthode
de recherche de signature (scanning), la plus ancienne méthode utilisée
par les antivirus. Cette méthode n'est fiable que si l'antivirus possède une
base virale à jour, c'est- à-dire comportant les signatures de tous les virus
connus. Toutefois cette méthode ne permet pas la détection des virus
n'ayant pas encore été répertoriés par les éditeurs d'antivirus. De plus, les
programmeurs de virus les ont désormais dotés de capacités de
camouflage, de manière à rendre leur signature difficile à détecter, voire
indétectable ; il s'agit de "virus polymorphes". Certains antivirus utilisent
un contrôleur d'intégrité pour vérifier si les fichiers ont été modifiés.
Ainsi le contrôleur d'intégrité construit une base de données contenant
des informations sur les fichiers exécutables du système (date de
modification, taille, et éventuellement une somme de contrôle). Ainsi,
lorsqu'un fichier exécutable change de caractéristiques, l'antivirus
prévient l'utilisateur de la machine.

Les antivirus possèdent deux fonctions principales, ce sont des

33
programmes résidents dans la mémoire vive de l'ordinateur ce qui leur
permet d'analyser les fichiers utilisés et prévenir lorsqu'un fichier suspect
est détecté, l'autre fonctions des antivirus est de scanner le disque dur par
exemple chaque semaine et de vérifier plus attentivement si l'ordinateur
n'est pas infecté par un virus.

Ainsi, chaque fichier est vérifié avant toute utilisation (lecture, écriture).
Cette vérification consiste en une comparaison du fichier avec une
banque de données reprenant les signatures des virus connus. Les
signatures des virus sont des suites de caractères, propre à chaque virus
informatique. C'est leur caractère, c'est ce qui les définit. Si la recherche
est fructueuse, si un virus est trouvé, alors l'antivirus stoppe l'action en
cours (lecture ou écriture) et demande que l'utilisateur intervienne. Les
attaques des virus peuvent être paré également en utilisant leur signature,
à travers leurs signes distinctifs pour les reconnaître mais aussi par
analogie de certains programmes avec des routines (c'est à dire des suites
d'instructions) connues, ceci empêche ainsi de voir de nombreux virus se
propagés alors qui possèdent les mêmes fonctions. Ainsi les antivirus
contrôlent les faits et gestes des programmes sur les ordinateurs et
permettent de détecter les problèmes qui peuvent survenir. Alors,
l'antivirus va tenter de stopper les effets du virus et surtout de restaurer
les programmes endommagés. Cependant ce genre de système ralentit la
machine. De plus, il faut une mise à jour fréquente de la base de donner
de signatures pour conserver une efficacité maximale, une fréquence de
15 jours semble être un bon compromis. Concernant l'adoption d'un
antivirus, celle-ci ne doit pas se faire au hasard, il faut privilégier les
logiciels émanant des compagnies reconnus.

Aussi, l'antivirus Inoculate IT Personal Edition est un bon choix, surtout

au vue de sa gratuité pour un usage dans un but non lucratif, en effet des
mises à jour très régulière sont disponibles (chaque semaine) et point
important il permet d'éradiquer les troyens qui représentent maintenant
une menace très importante. Son interface est simple et intuitive bien
qu'en anglais, une fois l'installation effectuée (sans problème), il se
compose de trois fenêtres, celles de haut servant à sélectionner soit un
dossier soit des fichiers, puis il suffit cliquer sur "GO" pour commencer
l'analyse et les résultats s'affichent dans la fenêtre du bas. Les options par
défaut sont bien adaptées à une utilisation normale. Seul défaut,

34
apparemment il n'existe pas de fonction de programmation.

Les logiciels du type de Norton et McAffee sont également d'un bon

niveau de détection de virus mais pêche largement en ce qui concerne les
troyens. A préciser, que Panda Antivirus ne présente pas cette lacune et
offre, pour un utilisateur enregistré, des mises à jour très fréquentent mais
surtout prévient l'utilisateur dans le cas d'un risque important qui peut être
supprimé par une mise à jour. Cependant ces logiciels présentent le
désavantage d'être lourd et de nécessiter une configuration récente pour
être efficace à leur maximum.

III.3 Quelques statistiques

Nous emprunterons ici quelques données quantitatives au Rapport
Sophos 2005 sur la gestion des menaces à la sécurité, qui émane d’un
grand éditeur d’antivirus, ainsi qu’aux études classiques du groupe IDC.
Sur le champ de bataille de la malfaisance informatique, le vandalisme
ludique cède de plus en plus de terrain à la criminalité organisée. Les
attaques virales massives, trop vite repérées, se voient remplacées par des
infections de basse intensité, qui échappent à l’attention d’après le rapport
cité en référence, 1 message électronique sur 44 comporte une charge
virale ; à la fin novembre 2005, période marquée par l’épidémie due au
ver Sober-Z, cette proportion a atteint 1 sur 12.

En décembre 2005, la base de données de virus de Sophos recense 114

000 virus, vers, chevaux de Troie et autres logiciels malfaisants, dont 15
907 apparus en 2005.

En ce qui concerne les méthodes de propagation des logiciels malfaisants,

la connexion directe par le réseau représente 66,8 %, les pièces jointes
15,1%, le chat (bavardage en direct par le réseau) 9,2 %, le poste à poste
(P2P) 4,5%, la navigation sur le Web 2,4 %.

L’immense majorité des attaques visent des postes de travail équipés du

système Windows de Microsoft. Les attaques contre les téléphones
mobiles restent relativement peu nombreuses.

Selon le site de l’éditeur d’antivirus Sophos, un ordinateur équipé d’un

système d’exploitation pour le grand public, connecté à l’Internet et
dépourvu de protection (pare-feu, antivirus) est exposé à un risque de

35
contamination qui atteint 40% au bout de dix minutes, 95 % au bout
d’une heure. Les observations personnelles de l’auteur ne démentent pas
cette estimation.

36
CHAPITRE II. CRYPTOGRAPHIE

II.1 Introduction

Le terme cryptographie provient des deux mots grecs anciens « Kruptos »

qui signifie « cacher » et « graphein » qui signifie « écrire » (4). Ce qui
signifie littéralement, « cacher l’écriture ». Le Petit Larousse donne la
définition suivante : « Ensemble des techniques de chiffrement qui
assurent l'inviolabilité de textes et, en informatique, de données. La
cryptographie : l'outil de base indispensable de la sécurité.

La raison principale de l'existence de l'industrie de la sécurité

informatique est que les produits et services informatiques ne sont pas
naturellement sûrs. Si les ordinateurs étaient protégés des virus, il n'y
aurait pas besoin de produits antivirus. Si le mauvais trafic réseau ne
pouvait être utilisé pour attaquer les ordinateurs, personne ne
s'inquiéterait d'acheter un pare-feu. S'il n'y avait plus de débordement de
tampon, personne n'aurait besoin d'acheter des produits pour se protéger
contre leurs effets. Si les produits informatiques que nous achetons étaient

37
sûrs par défaut, nous n'aurions pas besoin de dépenser des milliards
chaque année pour les rendre plus sûrs ».

L’objectif fondamental de la cryptographie est de permettre à

deux personnes, appelées traditionnellement Alice et Bob, de
communiquer au travers d’un canal peu sûr de telle sorte qu’un opposant,
Oscar, ne puisse pas comprendre ce qui est échangé. Le canal peut être par
exemple une ligne de téléphone ou tout autre réseau de communication.
L’information qu’Alice souhaite transmettre à Bob, que l’on appelle texte
clair, peut être un texte en français, une donnée numérique, ou n’importe
quoi d’autre, de structure arbitraire. Alice transforme le texte clair en
procédé de chiffrement en utilisant une clé prédéterminée, et envoie le
texte chiffré au travers du canal. Oscar, qui espionne éventuellement le
canal, ne peut retrouver le texte clair, mais Bob qui connait la clé, peut
déchiffrer le texte et le récupérer.

L’origine de la cryptographie remonte sans doute aux origines

de l’homme, dès que ceux-ci apprirent à communiquer. Alors, ils prirent du
temps pour trouver des moyens d’assurer la confidentialité d’une partie de
leurs communications. Dans l’Égypte ancienne, l’écriture joua parfois ce
rôle. Cependant la première attestation de l’utilisation délibérée de
moyens techniques permettant de chiffrer les messages vint de la Grèce,
vers le VIème siècle avant J.C, et se nomme ‘‘scytale’’. Le scytale était un
bâton. L’expéditeur enroulait une bandelette autour et écrivait
longitudinalement sur le bâton. Puis il déroulait la bandelette et l’expédiait
au destinataire. Sans la connaissance du diamètre du bâton qui jouait le
rôle de clé, il était impossible de déchiffrer le message. Plus tard, les
armées romaines utilisèrent pour communiquer le chiffrement de César
consistant en un décalage de l’alphabet de trois lettres.

38
 Puis, pendant près de 19 siècles, on assista au développement
plus ou moins ingénieux de techniques de Chiffrement expérimentales
dont la sécurité reposait essentiellement dans la confiance que leur
accordaient les utilisateurs. Au 19ème siècle, Kerchoffs posa les principes de
la cryptographie moderne. L’un des principaux pose que la sécurité d’un
système de chiffrement ne résidait que dans la clé et non dans le procédé
de chiffrement.

Désormais, concevoir des systèmes cryptographiques devait

répondre à ces critères. Cependant, il manquait encore à ces systèmes une
assise mathématique donnant des outils qui permettent de mesurer, de
quantifier leur résistance à d’éventuelles attaques, et pourquoi pas de
trouver le ‘‘saint Graal’’ de la cryptographie : le système
inconditionnellement sûr. En 1948 et 1949, deux articles de Claude
Shannon, ‘‘A mathematical theory of communication’’ et surtout ‘‘The
communication theory of secrecy systems’’ donnèrent des assises
scientifiques à la cryptographie en balayant espoirs et préjugés. Shannon
prouva que le chiffrement de Vernam introduit quelques dizaines d’années
plus tôt encore appelé one-time pad était le seul système
inconditionnellement sûr. Cependant ce système est impraticable. C’est
pourquoi, de nos jours pour évaluer la sécurité d’un système on s’intéresse
plutôt à la sécurité calculatoire. On dit qu’un système de chiffrement à clé
secrète est sûr si aucune attaque connue ne fait beaucoup mieux en
complexité que la recherche exhaustive sur l’espace des clés.

De la cryptographie classique à la cryptographie basée sur les

couplages bilinéaires :

La cryptologie se subdivise en deux grandes branches : la

cryptographie et la cryptanalyse. La cryptanalyse comprend une partie
classique et une partie moderne introduite en 1993 par Menezes, Frey et

39
Rück. Ce dernier type de cryptanalyse utilise les couplages bilinéaires pour
résoudre le Problème du Logarithme Discret (DLP) sur les courbes
elliptiques et hyperelliptiques. La cryptographie comporte deux sous
branches : la Cryptographie symétrique et la cryptographie asymétrique.

La cryptographie symétrique, basée sur l´utilisation d´une clé

secrète partagée entre les entités en communication, constitue l´aspect la
plus ancienne de la cryptographie. Aujourd´hui, cette sous branche de la
cryptographie comprend une partie classique et une partie moderne,
encore en chantier, appelée cryptographie quantique, qui utilise les lois de
la physique quantique et qui, on l'espère, va pallier aux insuffisances de la
cryptographie symétrique classique.

Les insuffisances de la cryptographie symétrique classique,

ont engendré une préoccupation qui a donné naissance à la cryptographie
asymétrique en 1976 (Diffie hellman est un exemple de cryptosystème
symétrique. L'idée de Diffie et Hellman est d'échanger la clé sur un canal
non sur, de telle sorte qu'Oscar ne puisse pas l'intercepter...L'exemple
classique de crypto asymétrique est RSA). Dans un cryptosystème
asymétrique, chaque entité dispose de deux clés cryptographiques, dont
l´une est privée et l´autre est publique. Les deux clés d´une entité sont
liées par une fonction à sens unique, à brèche secrète, qui est elle-même
basée sur une primitive cryptographique, pouvant être un problème
calculatoire ou décisionnel. De nos jours, les primitives cryptographiques
les plus utilisées sont le DLP et la factorisation de grands entiers. Les
cryptosystemes asymétriques se classent en deux groupes.

Dans le premier groupe, on trouve des cryptosystèmes

asymétriques définis dans les groupes multiplicatifs des corps finis, que
nous appelons cryptosystèmes asymétriques sans courbes. RSA et
ElGamal sont les plus en vue dans ce groupe. Leur caractéristique

40
principale est qu´ils doivent utiliser des clés cryptographiques de grande
taille pour garantir le niveau de sécurité. En ce moment, la taille minimale
requise pour ces cryptosystèmes est de 1024 bits (voire même 2048 bits
dans certaines situations) Ils sont simples à implémenter, mais ils incluent
une "exponentiation". Aussi, la tendance à l´intégration et à la
miniaturisation qui caractérise de plus en plus les nouvelles technologies
de l´information et de la communication, ne peut s´accommoder des
systèmes cryptographiques qui ne peuvent être embarqués sur des
dispositifs à faible capacité, tels que les cartes à puces, les téléphones
portables, etc.

C´est cette exigence de miniaturisation qui a poussé la

recherche vers d´autres groupes dans lesquels les cryptosystemes
asymétriques auraient des clés plus petites, tout en conservant le niveau
de sécurité. Ces recherches ont débouché sur le deuxième groupe de
cryptosystemes asymétriques, que nous appelons cryptosystèmes
asymétriques avec courbes. Il s´agit des cryptosystèmes asymétriques
définis dans des variétés abéliennes.

A partir de l´an 2000, certaines recherches ont montré qu´en

introduisant les couplages bilinéaires en cryptographie basée sur les
courbes algébriques, on peut résoudre certains problèmes restés ouverts
jusqu´alors en cryptographie, et en même temps, on peut concevoir des
protocoles possédant des nouvelles propriétés crypto graphiquement
intéressantes. Ces protocoles ont d´abord été conçu sur les courbes
elliptiques super singulières, ensuite sur les courbes elliptiques
ordinaires, et puis sur les courbes hyperelliptiques supersingulieres.
Quant aux courbes hyper elliptiques ordinaires, la recherche continue
puisque la construction de telles courbes qui soient compatibles aux
couplages demeure un sujet d´étude.

41


Figure 1 : Schéma synthétique de la cryptologie

II.2. But de la cryptographie

La cryptographie nous permet de stocker les informations sensibles
ou de la transmettre à travers des réseaux non surs (comme l’internet) de
telle sorte qu’elles ne peuvent être lues par personnes, à l’exception du
destinataire convenu.

42
 Les buts qu’il remplit peuvent être :

" L’authentification : consiste à assurer l’identité d’un utilisateur,

c’est-à-dire de garantir à chacun des correspondants que son
partenaire est bien celui qu’il croit être. Un contrôle d’accès peut
permettre l’accès à des ressources uniquement aux personnes
autorisées.
" Confidentialité : consiste à empêcher les données d’être
compréhensibles par une tierce entité non autorisée, le plus souvent
en état de fraude passive.
" L’intégrité des données : l’intégrité garantit que les données
reçues sont exactement celles qui ont été émise par l’émetteur
autorise.
" La non répudiation : la non répudiation de l’information est la
garantie qu’aucun des correspondants ne pourra nier la transaction.
Nous pouvons considérer deux cas :

La non répudiation a l’origine : qui fournit au récepteur une

preuve empêchant l’émetteur de contester l’envoi ou le
contenu d’un message effectivement reçu.
La non répudiation de la remise : qui fournit à l’émetteur
une preuve empêchant le récepteur de contester la réception
du message.
On utilise des crypto-systèmes basés sur des fonctions f, C, et des clés k,
k telles qu'une partie soit ignorée du reste du monde.

Chiffrement
C= 𝒇(𝐌, 𝐊)
Déchiffrement
M= 𝒇!𝟏 (𝐂, 𝐊)
Où :
C: le message en texte chiffré
f : la fonction ou algorithme
M : le message en texte clair
K : la clef
II.3. Vocabulaire de base

Cryptologie : Il s’agit d’une science mathématique comportant deux

branches : la cryptographie et la cryptanalyse

43
La cryptographie est l’étude des méthodes donnant la possibilité
d’envoyer des données de manière confidentielle sur un support donné.

Chiffrement : consiste à transformer une donnée (texte, message, ...) afin

de la rendre incompréhensible par une personne autre que celui qui a créé
le message et celui qui en est le destinataire.

La fonction permettant de retrouver le texte clair à partir du texte chiffré

porte le nom de déchiffrement.

Texte chiffré : Appelé également cryptogramme, c’est le résultat de

l’application d’un chiffrement à un texte clair.

Clef : Il s’agit du paramètre impliqué et autorisant des opérations de

chiffrement et/ou déchiffrement.

Cryptanalyse : elle a pour but de retrouver le texte clair à partir de textes

chiffrés en déterminant les failles des algorithmes utilisés.

Déchiffrement : (Décrypter ou casser un code) : c'est parvenir au texte en

clair sans posséder au départ les règles ou documents nécessaires au
chiffrement.

Cryptographe : un spécialiste en cryptographie.

Crypto-système : l'ensemble des deux méthodes de chiffrement et de

déchiffrement utilisable en sécurité.

I. Méthodes de chiffrement

Ici nous entrons au cœur du sujet : les principes du

chiffrement sur lesquels reposent toutes les techniques de sécurité
informatique, et notamment les inventions révolutionnaires de l’échange
public de clés et du chiffrement asymétrique.

Il est surprenant que les bases mathématiques de ces

inventions des années 1970 aient étés connus des mathématiciens du
XVIIIème siècle comme Euler, et le lecteur découvrira qu’il peut les aborder
avec la seule maîtrise de l’addition et de la Multiplication. Nous ne

44
saurions tracer ici une histoire complète des codes secrets, pour laquelle le
lecteur pourra se reporter au livre de Simon Singh par exemple. Tout ce
qui est antérieur à 1970 a un intérêt essentiellement historique, d’ailleurs
passionnant et riche d’enseignements, ainsi le rôle récemment mis en
lumière d’Alan Turing dans le déroulement de la Seconde Guerre
mondiale.

II.1 Chiffrement symétrique à clé secrète

1. Terminologies

Expéditeur et destinataire :

Supposons qu’un expéditeur veut envoyer un message à un

destinataire. Cet expéditeur veut envoyer le message de manière sûre. Il
veut s’assurer qu’aucune oreille indiscrète ne puisse s’informer du
message.

Messages et chiffrement :

Un message est appelé texte en clair, le processus de

transformation d’un message de telle manière à le rendre
incompréhensible est appelé chiffrement (ou encryptions), le résultat de
ce processus de chiffrement est appelé texte chiffré (ou encore
cryptogramme). Le processus de reconstruction du texte en clair à partir
du texte chiffré (ou décryptage). Ces différents processus sont illustrés par
la figure 1.1.

Texte en clair
Texte en clair Texte chiffré original
chiffrement Déchiffrement

Figure 1.1 chiffrement et déchiffrement

45
 L’art et la science de garder le secret de messages est appelé
cryptographie pratiquée par des cryptographes. Les cryptanalystes
pratiquent la cryptanalyse qui est l’art de décrypter des messages chiffrés
(D'où l'expression: "déchiffrer"...). La branche des mathématiques qui
traite de la cryptographie et de la cryptanalyse s’appelle la cryptologie et
ses pratiquants sont appelés cryptologues. De nos jours, presque tous les
cryptologues sont des mathématiciens théoriciens par la force des choses.

Le texte en clair est noté M ce peut être une suite de bits, un

fichier de texte, un enregistrement de voix numérisé, ou une image vidéo
numérique. Du point de vue de l’ordinateur, M n’est rien d’autre que de
l’information binaire1. Le texte en clair peut être transmis ou stocké. Dans
tous les cas, M est le message à chiffrer. Le texte chiffré est noté C. c’est
aussi de l’information binaire, parfois de la même taille que M, parfois plus
grand2. La fonction de chiffrement notée E, transforme M en C, ce qui en
notation mathématique s’écrit : E(M)=C

La fonction inverse notée D, de déchiffrement transforme C en M : D(C)=M

Comme le but de toutes ces opérations n’est rien d’autre que de retrouver
le message en clair à partir de la version chiffrée de ce même message,
l’identité suivante doit être vérifiée : D(E(M))=M

46
Authentification, intégrité, non désaveu

En plus de la confidentialité, on attend souvent de la

cryptographie d’accomplir d’autres tâches :

2. Authentification : le destinataire d’un message doit pouvoir

s’assurer de son origine. Un intrus ne doit pas être capable de se
faire passer pour quelqu’un d’autre ;
3. Intégrité : le destinataire d’un message doit pouvoir vérifier que
celui-ci n’a pas été modifié en chemin. Un intrus doit être incapable
de faire passer un faux message pour une légitime ;
4. Non désaveu : un expéditeur ne doit pas pouvoir, par la suite, nier à
tout avoir envoyé un message. Ce sont des exigences vitales en
matière d’interactions social et par ordinateur ; elles sont l’analogue
des rencontres face à face. Quelqu’un est-il celui qu’il prétend être ?
la pièce d’identité, le permis de conduire, le diplôme de médecin, ou
le passeport d’une personne sont-ils valides ? ce sont les questions
auxquelles l’authentification, l’intégrité, et le non désaveu
répondent.

Algorithmes cryptographiques

Un algorithme cryptographique est une fonction

mathématique utilisée pour le chiffrement et le déchiffrement. Si la
sécurité d’un algorithme est basée sur le fait que celui-ci est tenu secret, on
parlera alors d’algorithme restreint. De tels algorithmes ne présentent
plus qu’un intérêt historique car de nos jours ils sont inadéquats pour les
besoins actuels de sécurité. Un groupe d’utilisateur peut utiliser de tels
algorithmes car chaque fois qu’un membre quitte le groupe, tous les autres
doivent se mettre à utiliser un autre algorithme. Si quelqu’un révèle
accidentellement le secret, tout le monde doit changer d’algorithme.
Encore plus accablant, les algorithmes restreints ne permettent aucun

47
contrôle de qualité et aucune standardisation. Chaque groupe
d’utilisateurs doit avoir son propre algorithme. Un tel groupe ne peut pas
utiliser de produits tous faits, matériels ou logiciels, vendus dans le
commerce ; un espion peut acheter le même produit et apprendre
l’algorithme. Il leur faut écrire leurs propres algorithmes et les
programmer eux même. S’il n’ ya pas de bon cryptographe dans le groupe,
ils ne sauront pas s’ils ont un algorithme sûr. Malgré cela, les algorithmes
restreints sont très populaires pour les applications à bas niveau de
sécurité. Les utilisateurs ne réalisent pas, ou bien ne se soucient pas des
problèmes de sécurité inhérents à leur système. La cryptographie
moderne résout ce problème avec une clef, notée k. Ici la différence est fait
entre "sécurité par obscurité et sécurité qui n'a pas besoin du secret.
L'approche RSA est que l'algorithme est public. Pour briser la
cryptographie (trouver la clé) on doit résoudre un problème (NP-
Complete) très difficile à résoudre, dans le cas de RSA, la factorisation des
grands nombres.

La mécanique quantique a le potentiel de rendre cet

algorithme beaucoup plus facile à briser et la clé facile à trouver, ce les
travaux de recherche de Peter Shorr.

Cette clef peut prendre une des valeurs parmi un grand

nombre de valeurs possibles. L’ensemble des valeurs possibles d’une clef
est appelé espace des clefs. Les opérations de chiffrement et de
déchiffrement utilisent toutes les deux cette clef (i.e., elles dépendent de la
clef et ceci est dénoté par l’indice k), aussi les fonctions s’écrivent de la
manière suivante :

Ek(M)=C

Dk(C)=M

Ces fonctions vérifient la propriété suivante.

48
Dk(Ek(M))=M

clef clef

Texte en clair Texte en clair

Texte chiffré original
chiffrement Déchiffrement

FIG 1.2 chiffrement et déchiffrement avec une clef

Certains algorithmes utilisent des clefs différentes pour le

chiffrement et le déchiffrement (voir la figure 1.3). Dans ce cas la clef de
chiffrement, notée k1, est différente de la clef de déchiffrement, notée k2.
Les relations suivantes décrivent un tel cryptosystème :

Ek1(M)=C

Dk2(C)=M

Dk2(Ek1(M))=M

Avec ces algorithmes, toute la sécurité réside dans la (ou les)

clef(s), et non dans les détails de l’algorithme. Ceci implique que
l’algorithme peut être publié et analysé.

Figure 1.3 chiffrement et déchiffrement avec deux clefs

49
 On peut fabriquer en masse un produit utilisant cet
algorithme utilisant cet algorithme. Peu importe qu’une espionne
connaisse votre algorithme ; si elle ignore votre clef, elle ne pourra pas lire
vos messages. Un crypto système est composé d’un algorithme, et de tous
les textes en clairs, textes chiffrés, et clefs possibles.

Algorithmes à clef secrète

Il y a deux types principaux d’algorithmes à base de clefs : à

clef secrète ou à clef publique. Les algorithmes à clef secrète sont des
algorithmes ou la clef de chiffrement peut être calculée à partir de la clef
de chiffrement peut être calculée à partir de la clef de déchiffrement ou
vice versa.

Dans la plupart des cas, la clef de chiffrement et la clef de

déchiffrement sont identiques. Pour de tels algorithmes, l’émetteur et le
destinataire doivent se mettre d’accord sur une clef à utiliser avant
d’échanger des messages. Cette clef doit être gardée secrète. La sécurité
d’un algorithme à clef secrète repose sur la clef : si celle-ci est dévoilée,
alors n’importe qui peut chiffrer ou déchiffrer des messages dans ce
cryptosystème. Le chiffrement et le déchiffrement dans un algorithme à
clef secrète sont notés :

Ek(M)=C

Dk(C)=M

Les algorithmes à clef secrète peuvent être classés en deux

catégories, certains opèrent sur le message en clair un bit à la fois. Ceux-ci
sont appelés algorithmes de chiffrement en continu ("Stream cipher").
D’autres opèrent sur le message en clair par groupes de bits ("block
cipher").

50
 Ces groupes de bits sont appelés blocs, et les algorithmes
correspondants sont appelés algorithmes de chiffrement par blocs. Pour
des algorithmes réalisés sur ordinateur, la taille typique des blocs est de
64 bits –ce qui est assez grand pour interdire l’analyse et assez petit pour
être pratique.

Algorithmes à clef publique

Les algorithmes à clef publique sont différents. Ils sont conçus

de telle manière que la clef de chiffrement soit différente de la clef de
déchiffrement.

De plus, la clef de déchiffrement ne peut pas être calculée (du

moins en un temps raisonnable) à partir de la clef de chiffrement. De tels
algorithmes sont appelés « à clef publique » parce que la clef de
chiffrement peut être rendue publique : n’importe qui peut utiliser la clef
de chiffrement pour chiffrer un message mais seul celui qui possède la clef
de déchiffrement peut déchiffrer le message chiffré résultant. Dans de tels
systèmes, la clef de chiffrement est appelée clef publique et la clef de
déchiffrement est appelée clef privée. La clef privée est aussi parfois
appelée clef secrète mais pour éviter toute confusion avec les algorithmes
à clef secrète, ce terme ne sera pas utilisé ici. Le chiffrement en utilisant la
clef publique k est noté :

Ek(M)=C

Bien que les clefs publique et privée soient différentes, le

déchiffrement avec la clef privée correspondantes est noté :

Dk(C)=M

Parfois, les messages seront chiffrés avec la clef privée et

déchiffrés avec la clef publique ; une telle technique est utilisée pour les

51
signatures numériques (voir § 2.6). Malgré le risque de confusion possible,
ces opérations seront notées :

Ek(M)=C

Dk(C)=M

1. Cryptanalyse

Le but principal de la cryptographie est de préserver le texte

en clair de l’indiscrétion des espions (aussi appelés, cryptanalystes,
décrypteurs, ou tout simplement ennemis). On suppose que les espions
ont plein accès aux communications entre l’expéditeur et le destinataire.

La cryptanalyse est la science de la reconstitution du texte en

clair sans connaitre la clef. Une cryptanalyse réussie peut fournir soit le
texte en clair, soit la clef. La cryptanalyse peut également mettre en
évidence les faiblesses d’un cryptosystème qui peuvent éventuellement
faciliter les attaques contre celui-ci. Une tentative de cryptanalyse est
appelée attaque. Un des axiomes fondamentaux de la cryptographie,
énoncé pour la première fois par le hollandais A. Kerckoffs au dix-
neuvième siècle, est que l’ennemi possède tous les détails de l’algorithme
et qu’il ne lui manque que la clef spécifique utilisée pour le chiffrement.

Bien que cela ne soit pas toujours le cas dans le monde réel de
la cryptanalyse, c’est toujours vrai dans le monde académique de la
cryptanalyse. Et, c’est de toute façon une bonne assertion dans le monde
réel de la cryptanalyse. Si l’on ne sait pas casser un algorithme même en
sachant comment il fonctionne. On ne sait certainement pas le casser sans
cette connaissance.

Il ya quatre types génériques d’attaques cryptanalytiques. Il

va de soi que chacune d’entre elles repose sur l’hypothèse que le

52
cryptanalyste dispose de la connaissance complète de l’algorithme de
chiffrement :

Quelques Types de Chiffrement
1. Le chiffrement par décalage

Le chiffrement par décalage, aussi connu comme le chiffre de

César (voir les différents noms), est une méthode de chiffrement très
simple utilisée par Jules César dans ses correspondances secrètes (ce qui
explique le nom « chiffre de César »).

Le texte chiffré s'obtient en remplaçant chaque lettre du texte

clair original par une lettre à distance fixe, toujours du même côté, dans
l'ordre de l'alphabet.

Pour les dernières lettres (dans le cas d'un décalage à droite),

on reprend au début. Par exemple avec un décalage de 3 vers la droite, A
est remplacé par D, B devient E, et ainsi jusqu'à W qui devient Z, puis X
devient A etc. Il s'agit d'une permutation circulaire de l'alphabet. La
longueur du décalage, 3 dans l'exemple évoqué, constitue la clé du
chiffrement qu'il suffit de transmettre au destinataire s'il sait déjà qu'il
s'agit d'un chiffrement de César — pour que celui-ci puisse déchiffrer le
message. Dans le cas de l'alphabet latin, le chiffre de César n'a que 26 clés
possibles (y compris la clé nulle, qui ne modifie pas le texte).

Il s'agit d'un cas particulier de chiffrement par substitution

monoalphabétique : ces substitutions reposent sur un principe analogue,
mais sont obtenues par des permutations quelconques des lettres de
l'alphabet. Dans le cas général, la clé est donnée par la permutation, et le

53
nombre de clés possibles est alors sans commune mesure avec celui des
chiffrements de César.

Le chiffrement de César a pu être utilisé comme élément

d'une méthode plus complexe, comme le chiffre de Vigenère. Seul, il n'offre
aucune sécurité de communication, à cause du très faible nombre de clés,
ce qui permet d'essayer systématiquement celles-ci quand la méthode de
chiffrement est connue, mais aussi parce que, comme tout encodage par
substitution monoalphabétique, il peut être très rapidement « cassé » par
analyse de fréquences (certaines lettres apparaissent beaucoup plus
souvent que les autres dans une langue naturelle).

2. Chiffrement par substitution

Un autre système cryptographique bien connu est le

chiffrement par substitution. Ce procédé a été utilisé pendant des
centaines d’années. Les nombreux « cryptogrammes » proposés de
manière ludique dans les journaux sont des exemples d’application. Ce
système est défini dans la figure 1.3.

Ici, dans le cas du chiffrement par substitution, on peut

prendre P et C égaux à l’ensemble des 26 lettres de l’alphabet. On a utilisé
ℤ!" dans le cas du chiffrement par substitution, il est cependant plus
commode de penser au chiffrement et au déchiffrement comme à des
permutations sur l’ensemble des caractères alphabétiques.

Voici un exemple de permutation « aléatoire » 𝜋 qui peut être

utilisé comme fonction de chiffrement, on utilise ici encore la convention
d’écrire le texte clair en minuscule et le texte chiffré en majuscule.

a b c d e f g h i j k l m

X N Y A H P Q G S Q W B T

54


n o p q r s t u v w x y z

S F L R C V M U E K J D I

Donc, eπ a = x, eπ b = N, etc. la fonction de déchiffrement

est l’opération inverse, elle s’obtient en écrivant la deuxième ligne de la
table en premier et en réordonnant les colonnes alphabétiquement, on
obtient :

A B C D E F G H I J K L M

d f l r c v m u e k j b t

n o p q r s t u v w x y z

b g f j q n m u s k a c i

Ainsi, dπ A = d, dπ B = 1, etc.

A titre d’exercice, le lecteur peut essayer de déchiffrer le

texte suivant en utilisant la fonction de déchiffrement :

MGZVYZLGHCMHJMYXSSFMNHAHYCDIMHA

La clef, dans le chiffrement par substitution est simplement la

permutation des 26 caractères alphabétiques. Le nombre de chef est donc
26 : qui est supérieur à 4,0 x 1026. Une recherche exhaustive de la clef est
donc impossible même pour être facilement cryptanalyse par une autre
méthode

55
 3. Chiffrement affine

Le chiffrement par décalage est un cas particulier du

chiffrement par substitution qui n’utilise que 26 des 26 permutations
possibles. Un autre cas particulier du chiffrement par substitution est le
chiffrement affine dans ce procèdé, on limite les fonctions de chiffrement
aux fonctions de la forme :

𝐞 𝐱 = 𝐚𝐱 + 𝐛 𝐦𝐨𝐝 𝟐𝟔

Où a, b ∈ ℤ!" , ces fonctions sont appelées des fonctions

affines, d’où le nom du procédé. On note que l’on retrouve le chiffrement
par décalage pour a=1

Pour que l’opération de déchiffrement soit possible, il est

nécessaire que la fonction affine soit injective.

Autrement dit, pour tout l’équation ax+b y

(mod26) doit avoir une unique solution x. l’équation ax=y (mod26).
Lorsque y décrit l’ensemble décrit également Donc, il

suffit d’étdutier l’équation ax=y (mod26) pour tout

On montre que cette équation admet une unique solution

pour tout si, et seulement si pgcd (a,26)=1 (où pgcd représente le plus
grand diviseur commun de ses arguments). Dans un premier temps,
supposons que pgsd (a, 26) = d>1.

L’équation (mod26) admet au moins deux solution

distinctes dans qui sont soit x=0 et x=26/d. la fonction e(x)=ax+b

mod26 n’est donc pas une fonction injective et donc pas une fonction de
chiffrement valide.

56
 4. Chiffrement de Hill

On décrit ici un autre système cryptographique

polyalphabetique appelé chiffrement de Hill, invente en 1929 par Lester S.
HILL. Soit m un entier strictement positif, et soit P = C = ( m. L’idée

consiste à transformer m caractères d’un bloc du texte clair en m

caractères d’un bloc du texte clair en m caractères d’un bloc du texte
chiffré par des combinaisons linéaires.

Si m = 2, pour un bloc de texte clair x = (y1,y2), où y1 et y2 sont obtenus par

combinaisons linéaires de x1 et x2.

On peut prendre :

- y1 = 11x1+3x2
- y2 = 8x1+7x2

Bien sur cela peut se résumer en notation matricielle par :

(y1,y2) = (x1,x2)

5. Chiffrement par permutation

Tous les systèmes cryptographiques précédents reposent une

substitution : tout caractère du texte clair est remplacé par un autre dans
le texte chiffré. L’idée du chiffrement par permutation est de conserver les
mêmes caractères en les réordonnant. Le chiffrement par permutation
(également appelé chiffrement par transposition) a été utilisé pendant des
centaines d’années. En fait, la différence entre le chiffrement par
permutation et le chiffrement par substitution fut énoncée pour la
première fois en 1563 par GIOVANI PORTA.

Un chiffrement par transposition (ou chiffrement par

permutation) est un chiffre qui consiste à changer l'ordre des lettres, donc

57
à construire des anagrammes. Cette méthode est connue depuis
l'Antiquité, puisque les Spartiates utilisaient déjà une scytale.

Le chiffrement par transposition demande de découper le

texte clair en blocs de taille identique; la même permutation est alors
utilisée sur chacun des blocs. Le texte doit éventuellement être complété
(procédé de bourrage) pour permettre ce découpage. La clef de
chiffrement est la permutation elle-même.

Le nombre de permutations possibles d'une longueur donnée,

qui est la factorielle de cette longueur, augmente donc rapidement avec
celle-ci. Par exemple un mot de trois lettres ne peut être permuté que dans
6 (=3!) positions différentes. Ainsi "col" ne peut se transformer qu'en "col",
"clo", "ocl", "olc", "lco" ou "loc". Lorsque le nombre de lettres croît, le
nombre d'arrangements augmente rapidement et il devient plus difficile
de retrouver le texte original sans connaître la permutation, et sans
aucune connaissance sur le texte clair. Ainsi pour un chiffre par
transposition qui utilise des blocs de 20 caractères, il y a 20! Possibilités,
soit 2 432 902 008 176 640 000 combinaisons.

Les transpositions consistent à mélanger les symboles ou les groupes de

symboles d’un message clair suivant des règles prédéfinies pour créer de
la diffusion. Ces règles sont déterminées par la clé de chiffrement. Une
suite de transpositions forme une permutation.
Ex :
M= C R Y P T O G R A P H I E

K= 2 5 6 7 8 9 10 13 1 3 11 4 12

C= R T O G R A P E C Y H P I

Il existe trois sortes de permutation :

58
 Permutation élargie : dans ce chiffrement nous avons peut
d’alphabet en texte clair mais plusieurs alphabets chiffrés
c’est-à-dire nombre d’alphabet en texte claire est inferieur a
la clé.

M= C R Y P T O G R A P H I E

K= 2 5 6 7 8 9 10 13 1 3 11 4 2 12

C= R T O G R A P E C Y H P R I

Permutation compressé : dans ce chiffrement nous avons

plusieurs alphabets en texte clair mais peut d’alphabets
chiffrés c’est-à-dire nombre d’alphabet en texte claire est
supérieur à la clé.

M= C R Y P T O G R A P H I E A M U

K= 2 5 6 7 8 9 10 13 1 3 11 4 2 12

C= R T O G R A P E C Y H P R I

Permutation : dans ce chiffrement nous avons les alphabets

en texte clair sont égale a l’alphabets chiffrés c’est-à-dire
nombre d’alphabet en texte claire est égale à la clé.

6. Chiffrement en chaine

Dans les systèmes cryptographiques précédent les éléments

de texte clair sont chiffrés de la même manière à partir de la clef k . En fait,
la chaine du texte chiffré y est obtenue ainsi :

59
 y = y1 y2…………..= ek(x1)ek(x2)…………

Les procédés de ce type sont appelées chiffrement par bloc.

Une autre approche consiste à utiliser la notion de

chiffrement en chaine. L’idée de base consiste à engendrer une séquence
de clefs Z = Z1Z2,…………, et à l’utiliser pour chiffrer la chaine x =
x1x2……..suivant la règle.

Zi = fi (K,x1, …, xi – 1)

L’élément Zi et est utilisé pour chiffrer xi, suivant yi = e, donc,

pour chiffrer le texte claire x1nx2, .., on calcule successivement.

Z1, Y1, Z2, Y2, …

Le déchiffrement du texte chiffré se fait en calculant

successivement. Voici une définition plus formelle :

(P, C, K, L, F, E, D) vérifiant ;

1. P est un ensemble fini de blocs de textes chiffrés possibles ;

2. C est un ensemble fini de blocs de textes chiffrés possibles ;
3. K est un ensemble fini de clefs possibles ;
4. L et une ensemble fini appelé alphabet de séquence 10 ;
5. F = (f1,f2, …) est le générateur de séquence11. Pour i ≥ 1
f1 : K x Pi-1 L ;

6. Pour tout , il y a une règle de chiffrement et une règle

de déchiffrement correspondant : P C et

sont des fonctions telle que pour tout .

60
 On peut avoir le chiffrement par bloc come un cas particulier
du chiffrement en chaine dans lequel la séquence de clefs est constante :
pour tout i ≥ 1Tableau comparatif des chiffrements.

Type de Méthodes Avantage Faiblesse commentaire

Chiffrement
Décalage
Substitution
Affine
Hill
Permutation
Chaine

7. Chiffrement par produit

C’est la combinaison des deux. Le chiffrement par substitution ou par

transposition ne fournit pas un haut niveau de sécurité, mais en
combinant ces deux transformations, on peut obtenir un chiffrement plus
robuste. La plupart des algorithmes à clés symétriques utilisent le
chiffrement par produit. On dit qu’un « round » est complété lorsque les
deux transformations ont été faites une fois (substitution et transposition).

II.4. Sortes de cryptographie

Nous distinguons deux types de cryptographie :

! Cryptographie symétrique ;
! Cryptographie asymétrique.
II.4.1 Cryptographie symétrique

61
La cryptographie symétrique (ou cryptographie à clé secrète) est la forme
la plus ancienne de cryptographie. Ce chiffrement fonctionne en principe
avec une clé secrète, le principe est le suivant : L’émetteur du message
chiffre les données grâce à une clé. Cette clé est généralement une chaîne
de caractères. Le message est chiffré et sans la clé il est quasi impossible
(le niveau d’impossibilité dépend du niveau de protection du chiffrement
utilisé ainsi que de la complexité de la clé utilisée) de retrouver le
message d’origine. L’émetteur doit donc transmettre la clé aux personnes
à qui il désire transmettre le message s’il veut que son message puisse
être lu.

Cryptage : C= 𝑓(M, K)

Décryptage : M= 𝑓 !! (C, K)

La cryptographie symétrique utilise la même clé pour les processus de

chiffrement et de déchiffrement ; cette clé est le plus souvent appelée
"secrète" (en opposition à "privée") car toute la sécurité de l’ensemble est
directement liée au fait que cette clé n’est connue que par l’expéditeur et
le destinataire. La cryptographie symétrique est très utilisée et se
caractérise par une grande rapidité (opérations simples, chiffrement à la
volée) et par des implémentations aussi bien software que hardware ce
qui accélère nettement les débits et autorise son utilisation massive.
Dans le cas d’un algorithme symétrique, la clef est identique lors des
deux opérations.

62
Avantages

La cryptographie symétrique comporte les avantages suivants :

- Il est rapide ;
- Il est particulièrement adapté à la transmission de grandes quantités
de données.
Inconvénients

La cryptographie symétrique présente quelques défauts majeurs qui

sont :

- Problème de distribution des clés, les clés doivent être distribuées

secrètement ;
- Problème d’authentification : si la clé est compromise alors un tiers
non autorisée peut déchiffrer tous les messages chiffres avec cette
clé ;
- Problème de gestion de clés : si une clé différente est utilisée pour
chaque paire d’utilisateurs d’un réseau. Le nombre total des clés
croit très vite par rapport au nombre d’utilisateurs.
Nous allons parler de quelques algorithmes du chiffrement à clé
secrète. Nous pouvons subdiviser la cryptographie symétrique en deux
périodes :

! La cryptographie symétrique traditionnelle ;

! La cryptographie symétrique moderne.

Cryptographie symétrique traditionnel

Durant cette période, la cryptographie est faite à la main, ainsi nous
pouvons le représente sous cette forme :

63
Nous allons présenter quelques algorithmes ci-après :

" Chiffrement de césar ;

" Le chiffrement de vigenère ;

Chiffrement de césar

Le chiffrement de césar consistait simplement à décaler les lettres de

l’alphabet de quelques crans vers la droite ou la gauche. Le nombre de
décalage constitue la clé pour le chiffrement de César

Exemple : Le tableau suivant représente le chiffrement de césar ou le

décalage est de 2, clé=2.

Le chiffrement de vigénère

Blaise de vigénère (1523-1596), diplomate français, se familiarise avec

les écris d’Albert, Trithene et Porta à Rome, ou, âge de vingt-six ans, il
passa deux années en mission diplomatique. Au début, son intérêt pour la
cryptographie était purement pratique et lie à son activité diplomatique.
Une dizaine d’années plus tard, vers 1560, vigénère considéra qu’il avait
mis de cote assez d’argent pour abandonner sa carrière et se consacrer à
l’étude. C’est seulement à ce moment-là qu’il examina en détail les idées
de ses prédécesseurs, tramant grâce à elles un nouveau chiffre, cohérent
et puissant. Bien qu’Alberti, Trithene bellaso et Porta en aient fourni les

64
 bases, c’est du nom de vigénère que ce nouveau chiffrement fut baptisé,
en l’honneur de l’homme qui lui donna sa forme finale.

Le chiffrement de vigénère est une amélioration décisive du chiffrement

de césar. Sa force réside dans l’utilisation non pas d’un mais de 26
alphabets décales pour chiffrer un message. Ce chiffrement utilise une
clef qui définit le décalage pour chaque lettre du message.

Théorie mathématique du chiffrement de vigenere

Chiffrement

C=(M+K) mod26

Déchiffrement

Si C>=K alors M=C-k

Sinon M=(26+C)-k

En voici une illustration de cryptage du texte « AMURI MUKOLOSIA »

avec la clef « DEFENSE ».

Texte A M U R I M U K O L O S I A
clair 0 12 20 17 8 12 20 10 14 11 14 18 8 0
Clé D E F E N S E D E F E N S E
3 4 5 4 13 18 4 3 4 5 4 13 18 4
Texte D Q Z V V E Y N S Q S F A E
chiffré
Il y’a aussi beaucoup d’autres algorithme traditionnels tels que
l’algorithme de Hill.

Cryptographie symétrique moderne

Cette cryptographie est essentiellement basée sur ce qu’on peut

appeler les composants cryptographiques dont nous avons :

Dans ce qui suit, nous allons voir comment sont utilisées certaines
techniques de base dans le cryptage :

65
 • Substitution ;

• Transposition ;

• Cryptage par produit : combinaison de substitution et

transposition.

a. Substitution :

La substitution est la technique la plus simple du cryptage, qui

consiste à substituer l’alphabet du message en texte clair, par un nouvel
alphabet connu comme l’alphabet du message chiffré. Il y a lieu de
présenter les messages suivants :

• L’alphabet du message chiffré peut être défini à partir de celui du

texte en clair, en déclarant simplement l’alphabet du texte clair en n
positions où n est alors la clé : Alphabet message

Texte clair : a b c d e f g …

Alphabet message chiffré : d e f g h i j …

Le message chiffré est obtenu en substituant chaque caractère du

message en texte clair par son équivalent du texte chiffré.

• Une variante plus puissante serait de définir l’alphabet du

message en texte clair, en mixant d’une manière aléatoire l’alphabet du
message en texte clair, par exemple Alphabet message

Texte clair : a b c d e f g …

Alphabet message chiffré : n z q a i y m …

Dans ce dernier cas, la clé est déterminée par le nombre de lettres

de l’alphabet : 26 si nous considérons les 26 caractères (minuscule) de
l’alphabet latin, 128 si nous considérons l’alphabet ASCII. Ainsi, si on se
base sur l’alphabet latin, on peut obtenir 26 ! = 4 x 1026 clés possibles. Il
est bien évident qu’avec un alphabet de 128 caractères, nous aurons
encore plus de clés.

66
 Quand bien même cette technique semble être puissante, dans la
pratique, certains raccourcis peuvent être empruntés, en vue de casser de
tels cryptages. Certaines propriétés statistiques de message chiffré :

- Fréquence d’apparition de caractères individuels (e, t, o, a,…) ;

- Fréquence d’apparition de caractères combinés (the, ing, and)

peut être exploitées pour casser le code du cryptage ;

b. Transposition

La substitution suppose que chaque caractère est remplacé par un

caractère différent, ainsi l’ordre du caractère dans le message texte clair
est préservée dans le message chiffré. Une autre alternative serait de
permuter (transposer) les caractères dans le message texte clair.

Par exemple, si nous utilisons 4 comme clé, le message complet

peut être divisé en groupe de 4 caractères. On pourra constituer le
message chiffré en utilisant tous les premiers caractères, … En
considérant que nous avons le message e n texte clair : « This is a lovely
day », le message chiffré sera dérivé de :

Il est clair qu’on peut faire appel à des transformations plus

sophistiquées. En général, lorsque les transpositions (permutations) sont
utilisées seules, elles peuvent aussi facilement souffrir d’une cassure
exploitant l’analyse des donné es statistiques de la fréquence d’apparition
de caractères.

67
 c. P–Box

Les P–Boxes, sont des composantes des systèmes

cryptographiques, elles sont des tables de transposition utilisées dans
certaines méthodes faisant appel aux méthodes combinées (permutation,
substitution).

Dans les figures Fig.2, Fig.3., Fig.4. Les trois alternatives de

permutation, utilisées dans P – Box :

• P–Box à permutation directe ;

• P–Box à permutation élargie ;

• P–Box à permutation compressée

P–Box à permutation directe : chaque 8 bits d’entrée sont

permutés dans 8 bits de sortie, conformément à la clé.

P–Box à permutation élargie : elle a un nombre plus grand de bits à

la sortie qu’à l’entrée. Ainsi un bit d’entrée peut être assigné à plusieurs
bits de sortie.

68
 P – Box à permutation compressée : elle a moins de bits à la sortie
qu’à l’entrée. Ainsi, seulement les bits sélectionnés seront permutés.

Et d’autre composants comme : le XOR, combine, split.

Ainsi le renommé savant Shannon avait introduit le concept du

chiffrement produit. Un chiffrement complexe qui combine la
substitution, la permutation et d’autres composants de chiffrement par
bloc.

Les principes de Shannon consistent à :

! Cacher la relation entre le message chiffré et le message en texte

clair ce c’est qu’on appelle la diffusion ;
! Cacher la relation entre le message chiffré et la clé qu’on appelle
confusion.
Dans cette cryptographie nous avons les algorithmes ci-après :

DES ;

69
 Triple DES ;
AES ;

L’algorithme DES (Data Encryption Standard)

C’est sous le nom de Lucifer que ce qui aller devenir le D.E.S.

(Data Encryption Standard) a été élaboré chez IBM Corporation, en 1974.
Transmis à la N.S.A. (National Security Agency) en 1976, elle le modifie pour
aboutir au D.E.S. que nous connaissons aujourd’hui.

Le D.E.S. est un algorithme symétrique, ce qui signifie que la

même clé privée est utilisée pour crypter et décrypter les données.

DES fait partie de la catégorie de chiffrements par blocs. Ainsi un

message en texte clair complet est segmente en bloc de 64 bits et une
unique clé de 56 bits est utilisées pour crypter chaque bloc de données
provenant de la segmentation du message en texte clair. Ces blocs de
données de 64 bits seront transmis à travers le réseau. A la réception, le
bloc de données en texte clair, qui seront réassembles pour constituer le
message émis.

Cet algorithme utilise le réseau de Feistel. Le schéma suivant

illustre les principes du réseau de Feistel :

70
Triple DES (3DES)

C’est l’application successive de trois passes dans l’algorithme

DES avec de clés en principes différentes (mais c’est parfois la même qui
soit utilisée selon les informations). La longueur de la clé est de 168 bits
(3*56 bits). 3DES est en passe de disparaitre également, parce que lent et
dont le niveau de sécurité est peu performant, on le rencontre encore
toutefois sur de nombreux équipements matériels.

Pour remplacer cet algorithme vulnérable, une « compétition » a

été initie par le NIST afin de trouver le nouveau standard de chiffrement
avance ; Cet algorithme utilise trois fois le réseau de feistel.

AES

Advenced Encryption a fait l’objet d’un appel d’offre datant de

1997. Il s’agissait de remplacer le DES dont la taille des clés était
devenue trop petite pour les performances des ordinateurs modernes. Les
spécifications étaient une longueur de clé paramétrable : 128 ou 192 ou
256 bits.

Parmi les 15 candidat retenu (en 2000) se nomme RIJNDAEL

(mais ont appelé simplement l’AES). Il est dû à deux chercheurs belges,
Rijman et Daemen. C’est un chiffrement itératif, mais contrairement par

71
substitution-permutation : à chaque tour, le chiffrement produit par le tour
précèdent subit une substitution non linéaire qui assure la confusion puis
une permutation linéaire qui assure la diffusion, puis la clé du tour est
ajoutée bit a bit pour donner. Le nombre de tour est 10 pour une clé de
128 bits et de 14 pour une clé de 256 bits.

72
Cryptographie à clé publique ou chiffrement Asymétrique
Ce concept a été introduit par Whitfield Diffie et Martin Hellman
en 1975, même s’il est communément accepté que les services secrets
britanniques aient déjà fait cette même découverte plusieurs années
auparavant, mais avaient protégé ce secret militaire. La cryptographie a
clé publique est un procédé asymétrique utilisant une paire de clés pour le
cryptage, soit une clé publique qui crypte des données et une clé privée
ou secrète correspondante pour le décryptage.

Le principe est de distribuer la clé publique tout en conservant la

clé privée secrète. Tout utilisateur possédant une copie de la clé publique
pourra ensuite crypter des informations que seul le propriétaire de la clé
privée pourra déchiffrer. Il faut également noter que pour envoyer un
texte chiffre a une personne, il faut utiliser la clé publique de cette
personne et chiffrer le texte. Une fois reçu, le destinataire utilisera sa clé
privée correspondante pour retrouver le message clair. On peut également
remarquer qu’il est impossible de deviner la clé privée à partir de la clé
publique.

La figure suivante explique le principe de la cryptographie Asymétrique :

Cryptage : C= 𝑓(M, Ke)

Décryptage : M= 𝑓 !! (C, Kd)

73
Avantages

La cryptographie à clé publique présente les avantages suivants :

- Elle permet d’échanger des messages de manière sécurisée ;

- L’expéditeur et le destinataire n’ont plus besoin de partager des
clés secrètes via une voie de transmission sécurisée. Les
communications impliquent uniquement l’utilisation de clés
publiques et plus aucune clé privée n’est transmise ou partagée.
- Le cryptage à clé publique représente une évolution
technologique qui offre à tout citoyen la possibilité d’utiliser
une cryptographie robuste.
Inconvénients

Les inconvénients majeurs de la cryptographie asymétrique :

- La longueur des clés est considérable ;

- Grande lenteur. Son traitement exige une forte sollicitation de
l’unité centrale, ce qui peut casser des problèmes de
performance lorsque plusieurs sessions doivent s’exécuter
simultanément.
Dans la pratique, la cryptographie symétrique et asymétrique sont
souvent combinées et on exploite leurs avantages pour rendre les
systèmes performants. La solution sera donc de chiffrer le message à
l’aide d’un algorithme cryptographique symétrique, pour sa rapidité et à
échanger les clés entre deux utilisateurs à l’aide d’un algorithme
cryptographique asymétrique l’algorithme utilisé est le PGP.

I.1.3.2.1. Les Algorithmes de cryptographie asymétrique

Les algorithmes de la cryptographie asymétrique sont des
algorithmes purement modernes et répute très efficace résolvant aussi
quelques problèmes constants à la cryptographie symétrique entre autre la
gestion de clé. Nous présentons RSA qui est un algorithme le plus
rependu.

RSA (Rivest, Shamir, Adleman)

74
 Le RSA est l’un des plus connus des algorithmes asymétriques,
c’est-à-dire qui utilise une clé publique que tout le monde connait qui
permet de crypter le texte et une clé privé, dont seul le destinataire du
message est censé la connaitre afin de crypter le message. Ce qui est
important avec ce système, est qu’il est difficile de retrouver la clé privée
à partir de la clé publique.

Il a été inventé en 1978 par Ranald L. Rivest, Adi Shamir et

Leonard M. Adleman, des chercheurs au MIT (Massachusetts Institute of
Technology).

Cette méthode est très utilisée de nos jours par exemple, dans les
navigateurs internet afin de garantir la sécurité de certains sites ou encore
pour chiffrer des emails. Il est aussi le standard de chiffrement du secteur
bancaire de plusieurs pays.

Le fonctionnement de RSA

Pour crypter un message on commence par le transformer en un ou

plusieurs nombres. Les processus de chiffrement et déchiffrement font
appel à plusieurs notions :

- On choisit deux nombres premiers p et q que l’on garde secrets et

on pose n=p*q. le principe étant que même connaissant n il est très
difficile de retrouver p et q (qui sont des nombres ayant de
centaines de chiffres).
- La clé secrète et la clé publique se calculent à l’aide de
l’algorithme d’Euclide et des coefficients de Bézout.
- Les calculs de cryptage se feront modulo n.
- Le déchiffrement fonctionne grâce à une variante du petit théorème
de Fermat.
Exemple :
Un des principaux avantages du RSA, c’est qu’il crypte par blocs
de caractères, donc il ne conserve pas la fréquence d’apparition des
lettres. Les RSA fait partie de nombreux standards tels que :

ISO 9796 ;
ANSI X9.31 rDSA ;

75
 ITU-T X.509(standard de sécurité) ;
ETEBAC 5 (standard français du secteur bancaire et financier) ;
X9.44 draft (standard américain du secteur bancaire et financier) ;
SWIFT (standard interbancaire international).
Nous pouvons citer d’autres algorithmes comme : DSA, PGP, CURVE,
ECC.II.4

II.8 Fonction de hachage

Calculer une empreinte de taille fixe

Prérequis :
! On ne peut pas l’inverser ;
! On ne sait pas générer un message ayant le même hash qu’un
autre ;
! On ne sait pas trouver deux messages ayant le même hash

Fonction non inversible

•  Ensemble de départ infini
•  Ensemble d’arrivée fini
Non bijective
Plusieurs données correspondent à la même empreinte
Fondamental
On ne sait pas facilement trouver un message correspondant à une
empreinte donnée.

Quelques algorithmes de hachage :

MD5, SHA1

La signature numérique
Ces mécanismes sont assurés par les méthodes issues de la
cryptographie asymétrique. Elles sont englobées dans le concept de la

76
signature digitale ou électronique. Définition du concept non répudiation
de l'origine, la non répudiation de l'origine assure que l'émetteur du
message ne pourra pas nier avoir émis le message dans le futur. La
signature digitale est un mécanisme cryptographique qui permet d'assurer
la non répudiation de l'origine. La signature est calculée en utilisant la clé
privée de l'émetteur et elle est vérifiée par en utilisant la clé publique de
l'émetteur.

Nous illustrons cette idée par ces schémas :

Figure. La création de la signature

Le message en texte claire est crypté par un algorithme de hachage

pour produire une empreinte cette empreinte est ensuite crypté avec la clé
publique de Bob et envoyer avec le texte à Bob.

77
 Figure. Vérification de la signature

A la réception Bob doit hacher le texte pour donner un hach avec le

même algorithme de hachage et déchiffrer l’empreinte qui est venue avec
le message enfin de comparer si les deux résultats correspondent.

II.9 Pretty Good Privacy (PGP) et Signature Electronique

PGP est un crypto système (système de chiffrement) inventé par Philip

Zimmermann (Zimmerman a eu des démêlés avec la loi aux US avec PGP. Il
a failli aller en prison pour transfert illégal de technologie...) , un analyste
informaticien. Philip Zimmermann a travaillé de 1984 à 1991 sur un
programme permettant de faire fonctionner RSA sur des ordinateurs
personnels (PGP).

a. Principe de PGP

PGP est une combinaison des fonctionnalités de la cryptographie de clef

publique et de la cryptographie conventionnelle. PGP est donc un système
de cryptographie hybride.

Lorsqu'un utilisateur chiffre un texte avec PGP, les données sont d’abord
compressées. Cette compression des données permet de réduire le temps
de transmission par modem, d'économiser l'espace disque et, surtout, de
renforcer la sécurité cryptographique.

La plupart des cryptanalystes exploitent les modèles trouvés dans le texte

en clair pour casser le chiffrement. La compression réduit ces modèles
dans le texte en clair, améliorant par conséquent considérablement la
résistance à la cryptanalyse.

Ensuite, l'opération de chiffrement se fait principalement en deux étapes :

- PGP crée une clé secrète IDEA de manière aléatoire, et chiffre les
données avec cette clef

78
 - PGP crypte la clé secrète IDEA et la transmet au moyen de la clé RSA
publique du destinataire.

De même, l'opération de décryptage se fait aussi en deux étapes :

- PGP déchiffre la clé secrète IDEA au moyen de la clé RSA privée.

- PGP déchiffre les données avec la clé secrète IDEA précédemment
obtenue.

Cette méthode de chiffrement associe la facilité d'utilisation du cryptage

de clef publique à la vitesse du cryptage conventionnel. Le chiffrement
conventionnel est environ 1 000 fois plus rapide que le cryptage de clef
publique. Le cryptage de clef publique résout le problème de la
distribution des clefs. Utilisées conjointement, ces deux méthodes
améliorent la performance et la gestion des clefs, sans pour autant
compromettre la sécurité.

79


CHAPITRE III. SECURITE RESEAU ET LOGICIEL

III.1 Le système de management de la sécurité de l’information

La norme IS 27001 est destinée à s’appliquer à un système de
management de la sécurité de l’information (SMSI) ; elle comporte
notamment un schéma de certification susceptible d’être appliqué au
SMSI au moyen d’un audit. Comme toutes les normes relatives aux
systèmes déménagement, IS 27001 repose sur une approche par
processus, et plus précisément sur le modèle de processus formulé par
W.E. Deming, du MIT, et nommé roue de Deming, ou PDCA, comme :

Plan, Do, Check, Act :

- Phase Plan : définir le champ du SMSI, identifier et évaluer les risques,

produire le document (Statement of applicability, SOA) qui énumère les
mesures de sécurité à appliquer ;

- Phase Do : affecter les ressources nécessaires, rédiger la

documentation, former le personnel, appliquer les mesures décidées,
identifier les risques résiduels ;

80
- Phase Check : audit et revue périodiques du SMSI, qui produisent des
constats et permettent d’imaginer des corrections et des améliorations ;

- Phase Act : prendre les mesures qui permettent de réaliser les

corrections et les améliorations dont l’opportunité a été mise en lumière
par la phase Check, préparer une nouvelle itération de la phase Plan.

Le SMSI a pour but de maintenir et d’améliorer la position de

l’organisme qui le met en œuvre du point de vue, selon les cas, de la
compétitivité, de la profitabilité, de la conformité aux lois et aux
règlements, et de l’image de marque. Pour cela il doit contribuer à
protéger les actifs (assets) de l’organisme, définis au sens large comme
tout ce qui compte pour lui. Pour déterminer les mesures de sécurité dont
la phase Plan devra fournir une énumération, la norme IS 27001 s’appuie
sur le catalogue de mesures et de bonnes pratiques proposé par la norme
IS 17799, « International Security Standard » plus volumineuse et au
contenu plus technique. IS 27001 impose une analyse des risques, mais
ne propose aucune méthode pour la réaliser : l’auteur du SMSI est libre
de choisir la méthode qui lui convient, à condition qu’elle soit
documentée et qu’elle garantisse que les évaluations réalisées avec son
aide produisent des résultats comparables et reproductibles. Un risque
peut être accepté, transféré à un tiers (assurance, prestataire).

Un exemple de méthode d’analyse de risque utilisable dans le cadre d’IS

27001 est la méthode EBIOS (Expression des Besoins et Identification
des Objectifs de Sécurité), qui « permet d’apprécier et de traiter les
risques relatifs à la sécurité des systèmes d’information (SSI).

La norme IS 27001 précise la démarche qui doit être suivie pour élaborer
et mettre en place le SMSI : sans entrer trop dans les détails, ce qui
risquerait d’enfreindre les droits des organismes de normalisation qui
vendent fort cher les textes des normes, disons que l’organisme désireux

III.2 Sécurisation du système d’information

III.2.1 La sécurité physique

Toute mesure de protection logique est vaine si la sécurité physique des

données et des traitements n’est pas convenablement assurée. Il est
conseillé de tenir compte des points suivants :

81
 - Qualité du bâtiment qui abrite données et traitements, à l’épreuve
des intempéries et des inondations, protégées contre les incendies
et les intrusions ;

- Contrôles d’accès adéquats ;

- Qualité de l’alimentation électrique ;

- Certification adéquate du câblage du réseau local et des accès

aux réseaux extérieurs ; la capacité des infrastructures de
communication est très sensible à la qualité physique du câblage et
des connexions ;

- Pour l’utilisation de réseaux sans fil, placement méticuleux des

bornes d’accès, réglage de leur puissance d’émission et contrôle
des signaux en provenance et à destination de l’extérieur. Ces
précautions prises, il faut néanmoins envisager qu’elles puissent se
révéler insuffisantes, et que l’intégrité physique de votre système
d’information soit alors compromise. La compromission d’un
système d’information désigne le fait qu’un intrus ait pu, d’une
façon ou d’une autre, en usurper l’accès pour obtenir des
informations qui auraient dû rester confidentielles. Pour éviter que
cette circonstance n’entraîne la disparition de l’entreprise, il aura
fallu prendre les mesures suivantes :

- Sauvegarde régulière des données sur des supports physiques

adéquats distincts des supports utilisés en production et conserver
ses données dans un endroit ;

- Transport régulier de copies de sauvegarde en dehors du site

d’exploitation ;

- Aménagement d’un site de secours pour les applications vitales.

III.2.2 Le système d’Identification et d’authentification

Le système d'authentification est la procédure qui consiste, pour un

système informatique, à vérifier l'identité d'une entité (personne,
ordinateur...), afin d’autoriser l’accès de cette entité à des ressources
(systèmes, réseaux, applications, etc.).

82
L'authentification permet donc de valider l'authenticité de l'entité en
question.

L'identification permet donc de connaître l'identité d'une entité alors que

l'authentification permet de vérifier cette identité.

Le contrôle permanent de l'intégrité et de l'accès (usage, identité du

destinataire, émetteur, propriétaire) à un contenu ou à un service constitue
le fondement de la traçabilité des transactions. Ce contrôle permet :

- la protection des intérêts supérieurs de l'État et du patrimoine

informatique des entreprises, donc de leurs intérêts commerciaux.

Pour les entreprises, il s'agit de réduire le coût qui résulte d'attaques, de la

perte de temps, de la perte d'informations, de l'espionnage, ou des fuites
involontaires d'informations, etc. ;

- le développement du commerce et des échanges électroniques.

L’authentification contribue à la facturation des services et contribue à la
confiance dans l’économie numérique, condition indispensable du
développement économique ;

- la protection de la vie privée. Les données personnelles véhiculées dans

les systèmes d'information sont des données sensibles à protéger.

Les techniques d'authentification font partie des technologies clés. En

France, elles sont identifiées comme telles dans le rapport sur les
technologies clés 2010 (voir site sur les technologies clés 2010). Les
efforts entrepris par les constructeurs et fournisseurs de services Internet
(Ebay, Yahoo, PayPal, etc.) pour mettre en œuvre des systèmes
d'authentification, notamment d'authentification forte, nous montrent
clairement que l'authentification est un des enjeux majeurs pour le futur.

III.2.2.1 la Preuve

Dans le cas d'un individu, l'authentification consiste, en général, à vérifier

que celui-ci possède une preuve de son identité ou de son statut, sous
l'une des formes (éventuellement combinées) suivantes :

- Ce qu'il sait (mot de passe, numéro d'identification personnel) ;

83
 - Ce qu'il possède3 (acte de naissance, carte grise, carte d'identité,
carte à puce, droit de propriété, certificat électronique, diplôme,
passeport, carte Vitale, Token OTP, Carte OTP, Téléphone
portable, PDA, etc.) ;

- Ce qu'il est (photo, caractéristique physique, voire biométrie) ;

- Ce qu'il sait faire (geste, signature). Avec l’importance et la

sensibilité des informations, plusieurs méthodes d’authentifications
ont vu le jour. Nous allons nous intéresser à la biométrie

III.2.2.2. La Biométrie

Nous entendons parler de plus en plus de la biométrie car elle est chaque
jour plus présente dans notre entourage. Les systèmes d’authentification
biométriques peuvent être une solution fiable et rapide pour contrôler
notre identité et surveiller des zones sensibles. Cette technologie
émergente est certes intéressante dans bien des situations, mais il est
nécessaire de prendre en considération certains points avant d’envisager
de telles solutions : Les appareils de reconnaissance automatique ne sont
pas fiables à 100 % ; il faut être conscient qu’il peut y avoir des défauts.
Il en va de même pour les logiciels qui les exploitent. De ce fait, il faut
définir les conditions de fiabilité d’une signature numérique afin de
calculer les risques d’erreur ;

III.2.2.2.1. Analyse morphologique

a. L’Identification par l’empreinte digitale réduite (EDR)

Ce procédé est le plus répandu et le plus ancien puisqu’il a été inauguré

par Alphonse Bertillon en 1882. La donnée de base est le dessin
représenté par les crêtes et sillons de l'épiderme (jonctions, terminaisons
aveugles, croisements...). Une empreinte est caractérisée par une centaine
de points particuliers (appelés minuties), dont seuls une douzaine
suffisent pour une identification. Certains modules de reconnaissance
d'empreintes vérifient la température du doigt, sa conductivité, les
battements de cœur, ainsi que d'autres paramètres biologiques - pour
éviter de confondre un vrai doigt avec une fausse empreinte en gélatine.
Identification par la morphologie de la main, ou « empreinte palmaire »
90 caractéristiques de la main sont analysées, dont la forme générale, les

84
longueurs et largeurs des doigts, les formes des articulations... Le taux
d'erreurs peut être élevé entre personnes d’une même famille.

b. L’Identification par l’iris

Cette technique peut être exploitable très tôt dans la vie d’une personne
car la structure de l’iris est définitive dès la 8ième semaine de maternité !
Elle est très fiable du fait qu’il est possible de définir plus de 240 points
caractéristiques. Certains systèmes d’identification évolués permettent de
contrôler que l'iris change bien de taille avec l'intensité de la lumière.

c. L’Identification par la rétine

Les schémas des vaisseaux sanguins de la rétine sont uniques pour

chaque individu. Jusqu’à 400 points caractéristiques permettent de les
différencier. La contrainte majeure de ce procédé est la proximité de l’œil
par rapport au capteur (collaboration étroite de la part du sujet).

d. La reconnaissance faciale

Elle se base sur une photographie du visage décomposée en plusieurs

images faites de nuances de gris, chacune mettant en évidence une
caractéristique particulière non sujette à modification (haut des joues,
coins de la bouche,...). Elle est très variable selon l’éclairage,
l’expression, etc.

e. L’Identification par thermographie

Une caméra infrarouge établit une cartographie des températures des

différentes régions du visage - une caractéristique biologique qui est
propre à chaque individu. On peut aller même aller plus loin, en
établissant une cartographie du système veineux [22].

III.3 SECURITE RESEAU

La sécurité du réseau combine plusieurs couches de défenses en

périphérie et dans le réseau. Chaque couche de sécurité réseau met en

85
œuvre des politiques et des contrôles. Les utilisateurs autorisés ont accès
aux ressources du réseau, mais les acteurs malveillants sont empêchés de
mener des exploits et des menaces.

La numérisation a transformé notre monde. La façon dont nous vivons,

travaillons, jouons et apprenons a changé. Toute organisation qui souhaite
fournir les services demandés par les clients et les employés doit protéger
son réseau. La sécurité du réseau vous aide également à protéger les
informations propriétaires contre les attaques. En fin de compte, cela
protège votre réputation

Un réseau assure le transport des messages échangés entre deux

applications distantes. Dans le modèle OSI les services déployés par le
réseau sont classés en sept couches, physique, données, réseau, transport,
session, présentation et application. Le modèle classique des réseaux
TCP/IP ne comporte que 5 couches, physique (PMD+PHY), données
(MAC+LLC), réseau (IP), transport (UDP+TCP) et applications.
Dans cette section nous ne prendrons en compte que ce dernier modèle,
qui est aujourd’hui le standard de facto pour l’échange d’informations
numériques.

Des mécanismes tels que confidentialité ou intégrité des données peuvent

être intégrés à tous les niveaux et sur les différents tronçons (arcs) qui
composent le réseau. La gestion des clés cryptographiques sera par
exemple réalisée manuellement. L’identification l’authentification la non
répudiation les autorisations sont des procédures mises en œuvre dans le
réseau d’accès (sans fil par exemple), le réseau de transport (IP), le réseau

86
de destination (intranet …). De même ces services peuvent également
être offerts au niveau applicatif.

Schématiquement nous classerons les infrastructures de sécurité des

réseaux en cinq catégories,

A- Le chiffrement au niveau physique sur des liaisons point à point. Par

exemple cryptographie quantique (PMD), saut de fréquences pseudo
aléatoire, ou chiffrement 3xDES du flux octets (une méthode
couramment déployée par les banques). Dans ces différentes procédures
les clés sont distribuées manuellement.

B- Confidentialité, intégrité de données, signature de trames MAC. C’est

la technique choisie par les réseaux sans fil 802.11. La distribution des
clés est réalisée dans un plan particulier (décrit par la norme IEEE
802.1x). Dans, ce cas on introduit la notion de contrôle d’accès au réseau
LAN, c’est à dire à la porte de communication avec la toile d’araignée
mondiale. C’est une notion juridique importante, le but est d’interdire le
transport des informations à des individus non authentifiés (et donc
potentiellement malveillants)

C- Confidentialité, intégrité de données, signature des paquets IP et/ou

TCP. C’est typiquement la technologie IPSEC en mode tunnel. Un paquet
IP chiffré et signé est encapsulé dans un paquet IP non protégé. En effet
le routage à travers l’Internet implique l’analyse de l’entête IP, par les
passerelles traversées. IPSEC crée un tunnel sécurisé entre le réseau
d’accès et le domaine du fournisseur de service. On peut déployer une
gestion manuelle des clés ou des protocoles de distribution automatisés
tels que ISAKMP et IKE. La philosophie de ce protocole s’appuie sur la
libre utilisation du réseau d’accès ce qui n’est pas sans soulever des
problèmes juridiques. Par exemple des pirates protègent leurs échanges

87
de données, il est impossible aux réseaux traversés de détecter leur
complicité dans le transport d’informations illégales.

D- Insertion d’une couche de sécurité additive assurant la protection

d’application telles que navigateurs WEB ou messageries électroniques.
Par exemple le protocole SSL basé sur la cryptographie asymétrique
réalise cette fonction. Généralement ce dernier conduit une simple
authentification entre serveur et client. Il utilise un secret partagé (Master
Secret) à partir duquel on dérive des clés de chiffrements utilisées par
l’algorithme négocié entre les deux parties. Par exemple dans le cas d’une
session entre un navigateur et un serveur bancaire, le client authentifie
son service bancaire. Une fois le tunnel sécurisé établit le client
s’authentifie à l’aide d’un login et d’un mot de passe. Il obtient alors une
identité temporaire associée à un simple cookie.

E- Gestion de la sécurité par l’application elle-même. Ainsi le protocole

S-MIME réalise la confidentialité, l’intégrité et la signature des contenus
critiques d’un message électronique.

Authentification – Autorisation

La procédure d’authentification d’une paire d’entités informatiques,

parfois dénommée phase d’autorisation, consiste typiquement à échanger
les identités (IDTA et IDTB) d’un couple d’interlocuteurs (appelés
client/serveur ou initiateur/répondeur), deux nombres aléatoires (RA, RB)
formant un identifiant unique de la session (RA||RB), puis d’effectuer un

88
calcul cryptographique (F, une fonction de type Pseudo Random Function
- PRF).

Ce dernier produit, à l’aide d’une valeur secrète (KS) un secret maître

(KM), à partir duquel on déduit (à l’aide d’une fonction G, de type Key
Data

Function - KDF) des clés de chiffrement (KC) et d’intégrité (KI)

permettant de créer un canal sécurisé.

Dans un contexte de cryptographie symétrique la clé KS est statique et

distribuée manuellement; dans un contexte de cryptographie asymétrique
la clé KS sera par exemple générée par A, mais chiffrée par la clé
publique (e,n)

de B ( Ks e mod n ), ou bien déduit d’un échange de Diffie-Hellman

(Ks=gxy)

La protection de l’identité est une préoccupation croissante avec

l’émergence des technologies sans fil. Il existe divers mécanismes
permettant d’obtenir cette propriété avec des degrés de confiance
différents, par exemple grâce à la mise en œuvre de pseudonymes (tel que
le TIMSI du GSM), du protocole de Diffie-Hellman, ou du chiffrement
de certificats à l’aide la clé publique du serveur.

A. Architecture Sécurisée
Le schéma architectural typique présenté ci-dessous n'offre que deux
couches minces de protection, mais il est largement admis que plus de
couches équivaut à un environnement plus sécurisé. Dans le schéma ci-
dessous, un attaquant doit compromettre un seul serveur pour avoir accès
aux applications Web fournies sur le même système.

En outre, l'architecture réseau de base basée sur le Web ne protège pas

contre les attaques d'applications (par exemple, les dépassements de

89
mémoire tampon ou les injections), car sa principale source de protection
est les pare-feu réseau. À mesure que les attaques d'applications gagnent
en popularité, les pare-feu basés sur le réseau seront insuffisants pour
empêcher efficacement les attaques de cette nouvelle menace. Alors que
certains pare-feu réseau ont des capacités de pare-feu d'application, la
plupart des experts en sécurité considèrent ces offres sous-alimentées
comme moins protectrices que les pare-feu d'application à usage unique
disponibles. En fait, les pare-feu réseau ne peuvent pas du tout protéger
les applications Web personnalisées.

Un autre problème des implémentations de base est leur utilisation par

défaut des ports TCP et UDP bien connus pour la communication.
Malheureusement, les applications Web de nombreuses entreprises sont
des solutions packagées, ce qui empêche l’organisation de modifier les
ports prescrits. En conséquence, une fois que les systèmes de la DMZ
sont compromis, l'attaquant peut facilement compromettre d'autres
systèmes à cause des ports tcp/udp par défaut. En outre, les systèmes de
la zone démilitarisée bénéficient de peu ou pas de contrôles de
surveillance ou de sécurité.

La figure ci-dessous représente l'architecture réseau ultra-sécurisée de

base, qui répond à toutes les exigences réglementaires et limite la
probabilité d'obtenir des informations tant que tous les composants
architecturaux sont correctement gérés, entretenue et surveillée. Bien qu'il
emploie un certain nombre de couches de sécurité implémentées à travers
une variété de mesures de sécurité, aucun système ne peut fournir une
protection absolue de vos informations. Ce n'est que par une vigilance
constante que le système peut être correctement sécurisé.

90
La multiplication et la gestion sont essentielles

L'architecture ultra-sécurisée repose sur plusieurs pare-feu de réseau et

d'application. Cela réduit la menace des attaques basées sur les
applications telles que les injections, les débordements de tampon et
d'autres attaques axées sur les applications souvent non détectées ou
même gérées par les pare-feu réseau traditionnels. De plus, l'architecture
utilise deux zones démilitarisées: l'une est disponible sur Internet (public)
et l'autre est privée. Les serveurs de la DMZ publique contiennent
uniquement une logique d'interface utilisateur d'application sans aucune
logique de traitement d'application. Les serveurs de la DMZ privée
contiennent la logique de traitement d'application réelle et des liens vers
des systèmes internes pour des capacités de traitement supplémentaires.
Notez également que les serveurs de la DMZ publique sont isolés des
systèmes avec la logique d'application dans la DMZ privée. Cela permet à
l'organisation de définir des règles plus définies pour accéder à la logique
de l'application afin que les attaques basées sur les applications ne
fonctionnent pas.

91
L'architecture ultra-sécurisée utilise également deux LAN internes: le
LAN interne contenant

les serveurs accessibles aux employés et les systèmes qui ne stockent pas
d'informations sensibles et un LAN sécurisé contenant des serveurs avec
des informations cryptées qui pourraient être utilisées pour le vol
d'identité ou d'autres fraudes (carte de crédit numéros, numéros de
compte chèques, images de chèques, etc.). Enfin, les ports par défaut pour
HTTP et HTTPS (tcp/80 et tcp/ 443) sont utilisés dans la DMZ publique
et les ports tcp et udp non standard sont utilisés pour toutes les autres
connexions aux services nécessaires. Cela réduit la possibilité que des
attaquants extérieurs identifient accidentellement des informations via des
attaques par injection de port standard.

Configuration de la sécurité de l'architecture ultra-sécurisée

Système (s) de détection d'intrusion

L'architecture ultra-sécurisée implémente à la fois des systèmes de

détection d'intrusion basés sur le réseau et sur l'hôte, et la clé est de les
mettre en œuvre, de les gérer et de les surveiller correctement. Au
minimum, un système de détection d'intrusion (NIDS) basé sur le réseau
surveille tous les sous-réseaux critiques dans les DMZ et le LAN
sécurisé. Cela permettra de détecter toute attaque réseau ou anomalie
inattendue du trafic réseau. Des NIDS supplémentaires peuvent être
placés sur d'autres segments de réseau, mais cela peut entraîner des
réglages importants pour minimiser les fausses alertes positives et
d'autres problèmes, car ce réseau n'est pas strictement contrôlé.

92
Un système de détection d'intrusion (HIDS) basé sur l'hôte est
implémenté sur tous les serveurs des DMZ, tous les serveurs du LAN
sécurisé et tous les serveurs qui traitent les informations sensibles du
LAN interne. Ces HIDS détecteront les modifications de fichiers, les
attaques par force brutes ou d'autres attaques ciblées sur un serveur
spécifique. Tous les NIDS et HIDS envoient des informations à un
système de console de détection d'intrusion dans le LAN de gestion pour
le suivi et la surveillance.

Serveur de temps

Un serveur souvent négligé mais important est un serveur de temps qui

assure le bon fonctionnement et l'analyse des informations stockées dans
le (s) serveur (s) Syslog. Déterminer la norme de temps à utiliser sur
votre réseau est vital. Pour les grandes organisations internationales, tous
les périphériques d'infrastructure réseau tels que les routeurs, les
commutateurs, les pare-feu, les serveurs, etc. utilisent généralement le
temps universel coordonné (UTC), qui est le même que le temps moyen
de Greenwich.

93
Serveur (s) du journal système

Ces serveurs souvent négligés capturent les informations du journal

système (syslog) de tous les périphériques d'infrastructure tels que les
pare-feu, les routeurs, les commutateurs, les serveurs et autres systèmes
d'exploitation critiques. Les serveurs Syslog peuvent être implémentés
par paires; toutefois, étant donné que ces périphériques collectent un
grand volume d'informations, la coordination de ce volume entre deux
serveurs peut créer un problème. Par conséquent, les entreprises n'ont
généralement qu'un serveur 1U connecté à un grand NAS (Network-
Attached Storage) via un périphérique de réseau de stockage (SAN) afin
qu'une grande quantité de stockage soit disponible. Tous les
périphériques critiques doivent transmettre leurs informations syslog au
serveur pour enregistrement et analyse ultérieure. Ces systèmes critiques
doivent enregistrer autant d'événements réussis et échoués que possible.
Ce n'est qu'alors qu'une image complète des événements peut être
conservée à des fins d'analyse et de diagnostic.

94
Pare-feu/Firewall

La configuration des pare-feu du réseau et des applications est essentielle.

Les règles doivent être configurées pour restreindre et contrôler les
communications entrantes et sortantes. Par exemple, le pare-feu réseau
dans la zone démilitarisée publique serait configuré uniquement pour le
trafic TCP 80 et 443 entrant et sortant vers les adresses IP respectives des
serveurs HTTP ou HTTPS. Tous les autres ports et protocoles seraient
fermés, car ils ne sont pas nécessaires. Entre la DMZ publique et la DMZ
privée, dans l'exemple, seul le port 62134 doit être ouvert pour restreindre
la communication aux adresses IP des serveurs impliqués. Entre la DMZ
privée et le LAN interne, seuls les ports nécessaires pour communiquer
avec les différents serveurs doivent être ouverts et limités aux adresses IP
spécifiques de ces serveurs. De même, seul le port nécessaire pour
accéder au serveur SQL doit être ouvert et limité uniquement à cette
adresse IP pour le pare-feu entre le LAN interne et le LAN sécurisé.

Les pare-feu d'application doivent être configurés pour correspondre aux

différentes applications Web en cours d'exécution. Contrairement à leurs
frères pare-feu réseau, des recommandations de règles spécifiques sont
difficiles, voire impossibles, à faire pour ces périphériques en raison de la
grande variété de protocoles d'application et d'implémentations.
Cependant, d'une manière générale, toutes les attaques impliquant une
mauvaise utilisation des différents protocoles d'application doivent être
bloquées.

95
Domain Name Service (DNS)

Le DNS gère les adresses Internet(telle que www.google.com)et les

convertit en addresses IP. Le DNS est constitué de serveurs racine,
serveurs de premier niveau (Top-LevelDomain–TLD) et un grand
nombre de serveurs DNS sont placés a ̀travers le monde.

96
Serveur Kerberos

Kerberos est un protocole d'authentification réseau. Il est conçu pour

fournir une authentification forte pour les applications client / serveur en
utilisant la cryptographie à clé secrète. Une implémentation gratuite de ce
protocole est disponible auprès du Massachusetts Institute of Technology.
Kerberos est également disponible dans de nombreux produits
commerciaux.

Internet est un lieu peu sûr. De nombreux protocoles utilisés sur Internet
n'offrent aucune sécurité. Les outils permettant de "renifler" les mots de
passe hors du réseau sont couramment utilisés par les pirates malveillants.
Ainsi, les applications qui envoient un mot de passe non chiffré sur le
réseau sont extrêmement vulnérables. Pire encore, d'autres applications
client / serveur comptent sur le programme client pour être "honnête"
quant à l'identité de l'utilisateur qui l'utilise. D'autres applications
comptent sur le client pour limiter ses activités à celles qu'il est autorisé à
faire, sans autre application par le serveur.

97
 B. Les Réseaux VPN

B.1 Introduction
Les applications et les systèmes distribués font de plus en plus partie
intégrante du paysage d'un grand nombre d'entreprises. Ces technologies
ont pu se développer grâce aux performances toujours plus importantes
des réseaux locaux. Mais le succès de ces applications a fait aussi
apparaître un de leur écueil. En effet si les applications distribuées
deviennent le principal outil du système d'information de l’entreprise,
comment assurer leur accès sécurisé au sein de structures parfois réparties
sur de grandes distances géographiques ?

Concrètement comment une succursale d’une entreprise peut-elle accéder

aux données situées sur un serveur de la maison mère distant de plusieurs
milliers de kilomètres ? Les VPN ont commencé à être mis en place pour
répondre à Ce type de problématique. Mais d’autres problématiques sont
apparues et les VPN ont aujourd’hui pris une place importante dans les
réseaux informatique et l’informatique distribuées. Nous verrons ici
quelles sont les principales caractéristiques des VPN à travers un certain
nombre d’utilisation type. Nous nous intéresserons ensuite aux protocoles
permettant leur mise en place.

98
B.2 Principe de fonctionnement

1. Principe général
Un réseau VPN repose sur un protocole appelé "protocole de tunneling".
Ce protocole permet de faire circuler les informations de l'entreprise de
façon cryptée d'un bout à l'autre du tunnel. Ainsi, les utilisateurs ont
l'impression de se connecter directement sur le réseau de leur entreprise.
Le principe de tunneling consiste à construire un chemin virtuel après
avoir identifié l'émetteur et le destinataire. Par la suite, la source chiffre
les données et les achemine en empruntant Ce chemin virtuel. Afin
d'assurer un accès aisé et peu coûteux aux intranets ou aux extranets
d'entreprise, les réseaux privés virtuels d'accès simulent un réseau privé,
alors qu'ils utilisent en réalité une infrastructure d'accès partagée, comme
Internet. Les données à transmettre peuvent être prises en charge par un
protocole différent d'Ip. Dans Ce cas, le protocole de tunneling encapsule
les données en ajoutant une en-tête. Le tunneling est l'ensemble des
processus d'encapsulation, de transmission et de désencapsulation.

2. Fonctionnalités des VPN

Il existe 3 types standard d'utilisation des VPN. En étudiant ces schémas
d'utilisation, il est possible d'isoler les fonctionnalités indispensables des
VPN.

A. Le VPN d'accès

SERVEUR

INTERNE
T

Client
SERVEUR

LAC : L2TP Access LNS : L2TPNetwork

Concentrator server

Fig.xx

99
 VPN d’accès Client To LAN

Le VPN d'accès est utilisé pour permettre à des utilisateurs itinérants

d'accéder au réseau privé. L'utilisateur se sert d'une connexion Internet
pour établir la connexion VPN. Il existe deux cas:

• L'utilisateur demande au fournisseur d'accès de lui établir une

connexion cryptée vers le serveur distant : il communique avec le
Nas (Network Access Server) du fournisseur d'accès et c'est le Nas
qui établit la connexion cryptée.
• L'utilisateur possède son propre logiciel client pour le VPN auquel
cas il établit directement la communication de manière cryptée vers
le réseau de l'entreprise.
Les deux méthodes possèdent chacune leurs avantages et leurs
inconvénients :

• La première permet à l'utilisateur de communiquer sur plusieurs

réseaux en créant plusieurs tunnels, mais nécessite un fournisseur
d'accès proposant un Nas compatible avec la solution VPN choisie
par l'entreprise. De plus, la demande de connexion par le Nas n'est
pas cryptée Ce qui peut poser des problèmes de sécurité.
• Sur la deuxième méthode Ce problème disparaît puisque
l'intégralité des informations sera cryptée dès l'établissement de la
connexion. Par contre, cette solution nécessite que chaque client
transporte avec lui le logiciel, lui permettant d'établir une
communication cryptée. Nous verrons que pour pallier Ce
problème certaines entreprises mettent en place des VPN à base de
Ssl, technologie implémentée dans la majorité des navigateurs
Internet du marché.
Quelle que soit la méthode de connexion choisie, Ce type d'utilisation
montre bien l'importance dans le VPN d'avoir une authentification forte
des utilisateurs. Cette authentification peut se faire par une vérification
"login / mot de passe", par un algorithme dit "Tokens sécurisés"
(utilisation de mots de passe aléatoires) ou par certificats numériques.

100
 B. L'intranet VPN

Tunnel

Switch Switch

Routeur Routeur

Site B
Intranet A

Réseau de transport
Réseau Local fournisseur (Internet) Siège de la société

Fig xxxx

Intranet VPN LAN to LAN

L'intranet VPN est utilisé pour relier au moins deux intranets entre eux.
Ce type de réseau est particulièrement utile au sein d'une entreprise
possédant plusieurs sites distants. Le plus important dans Ce type de
réseau est de garantir la sécurité et l'intégrité des données. Certaines
données très sensibles peuvent être amenées à transiter sur le VPN (base
de données clients, informations financières...). Des techniques de
cryptographie sont mises en oeuvre pour vérifier que les données n'ont
pas été altérées. Il s'agit d'une authentification au niveau paquet pour
assurer la validité des données, de l'identification de leur source ainsi que
leur non répudiation. La plupart des algorithmes utilisés font appel à des
signatures numériques qui sont ajoutées aux paquets. La confidentialité
des données est, elle aussi, basée sur des algorithmes de cryptographie.

La technologie en la matière est suffisamment avancée pour permettre

une sécurité quasi parfaite. Le coût matériel des équipements de cryptage
et décryptage ainsi que les limites légales interdisent l'utilisation d'un
codage " infaillible ". Généralement pour la confidentialité, le codage en
lui-même pourra être moyen à faible, mais sera combiné avec d'autres

101
 techniques comme l'encapsulation IP dans IP pour assurer une sécurité
raisonnable.

C. L'extranet VPN

Tunnel

Switch Switch

Routeur Routeur

Site B
Intranet A

Réseau de transport
Réseau Local fournisseur (Internet) Siège de la société
Figxx

Extranet VPN LAN to LAN

Une entreprise peut utiliser le VPN pour communiquer avec ses clients et
ses partenaires. Elle ouvre alors son réseau local à ces derniers. Dans Ce
cadre, il est fondamental que l'administrateur du VPN puisse tracer les
clients sur le réseau et gérer les droits de chacun sur celui-ci.

D. Bilan des caractéristiques fondamentales d'un VPN

Un système de VPN doit pouvoir mettre en oeuvre les fonctionnalités
suivantes :

• Authentification d'utilisateur. Seuls les utilisateurs autorisés

doivent pouvoir s'identifier sur le réseau virtuel. De plus, un
historique des connexions et des actions effectuées sur le réseau
doit être conservé.
• Gestion d'adresses. Chaque client sur le réseau doit avoir une
adresse privée. Cette adresse privée doit rester confidentielle. Un
nouveau client doit pourvoir se connecter facilement au réseau et
recevoir une adresse.

102
 • Cryptage des données. Lors de leurs transports sur le réseau public
les données doivent être protégées par un cryptage efficace.
• Gestion de clés. Les clés de cryptage pour le client et le serveur
doivent pouvoir être générées et régénérées.
• Prise en charge multiprotocole. La solution VPN doit supporter les
protocoles les plus utilisés sur les réseaux publics en particulier IP.
Le VPN est un principe : il ne décrit pas l'implémentation effective de ces
caractéristiques. C'est pourquoi il existe plusieurs produits différents sur
le marché dont certains sont devenus standard, et même considérés
comme des normes.

B.3 Protocoles utilisés pour réaliser une connexion Vpn

Nous pouvons classer les protocoles que nous allons étudier en deux
catégories:

" Les protocoles de niveau 2 comme PPTP et L2TP.

" Les protocoles de niveau 3 comme IPSEC ou MPLS.

Il existe en réalité trois protocoles de niveau 2 permettant de réaliser des

VPN : PPTP (de Microsoft), L2F (développé par CISCO) et enfin L2tp.
Nous n'évoquerons dans cette étude que PPTP et L2TP : le protocole L2F
ayant aujourd’hui quasiment disparut. Le protocole Pptp aurait sans doute
lui aussi disparut sans le soutien de Microsoft qui continue à l’intégrer à
ses systèmes d’exploitation Windows. L2tp est une évolution de Pptp et
de L2F, reprenant les avantages des deux protocoles.

Les protocoles de couche 2 dépendent des fonctionnalités spécifiées pour

PPP (Point to Point Protocol), c'est pourquoi nous allons tout d'abord
rappeler le fonctionnement de Ce protocole.

B.3.1 Rappels sur PPP

PPP (Point to Point Protocol) est un protocole qui permet de transférer

des données sur un lien synchrone ou asynchrone. Il est full duplex et
garantit l'ordre d'arrivée des paquets. Il encapsule les paquets IP, Ipx et
Netbeui dans des trames PPP, puis transmet ces paquets encapsulés au

103
travers de la liaison point à point. PPP est employé généralement entre un
client d'accès à distance et un serveur d'accès réseau (Nas).

3.1.1 Généralités
PPP est l'un des deux protocoles issus de la standardisation des
communications sur liaisons séries (Slip étant le deuxième). Il permet non
seulement l'encapsulation de datagrammes, mais également la résolution
de certains problèmes liés aux protocoles réseaux comme l'assignation et
la gestion des adresses (Ip, X25 et autres).

Une connexion PPP est composée principalement de trois parties :

Une méthode pour encapsuler les datagrammes sur la liaison série. Ppp
utilise le format de trame HDLC (Hight Data Level Control) de l'ISO
(International Standartization Organisation).

Un protocole de contrôle de liaison (Lcp - Link Control Protocol) pour

établir, configurer et tester la connexion de liaison de données.

Plusieurs protocoles de contrôle de réseaux (Ncps - Network Control

Protocol) pour établir et configurer les différents protocoles de couche
réseau.

3.1.2 Format d'une trame PPP

Fig xx: Format d’une Trame

104
Fanion - Séparateur de trame égale à la valeur 01111110. Un seul drapeau
est nécessaire entre 2 trames.

Adresse - Ppp ne permet pas un adressage individuel des stations donc Ce

champ doit être à 0xFF (toutes les stations). Toute adresse non reconnue
entraînera la destruction de la trame.

Contrôle - Le champ contrôle doit être à 0x03

Protocole - La valeur contenue dans Ce champ doit être impaire (l'octet

de poids fort étant pair). Ce champ identifie le protocole encapsulé dans
le champ informations de la trame. Les NCP associés ainsi que les LCP.
Données - De longueur comprise entre 0 et 1500 octets, Ce champ
contient le datagramme du protocole supérieur indiqué dans le champ
"protocole". Sa longueur est détectée par le drapeau de fin de trame,
moins deux octets de contrôle.

FCS (Frame Check Sequence) - Ce champ contient la valeur du

checksum de la trame. PPP vérifie le contenu du FCS lorsqu'il reçoit un
paquet. Le contrôle d'erreur appliqué par PPP est conforme à X25.

3.1.3 Les différentes phases d'une connexion PPP

Toute connexion PPP commence et finit par une phase dite de "liaison
morte". Dès qu'un événement externe indique que la couche physique est
prête, la connexion passe à la phase suivante, à savoir l'établissement de
la liaison. Comme PPP doit être supporté par un grand nombre
d'environnements, un protocole spécifique a été élaboré et intégré à PPP
pour toute la phase de connexion; il s'agit de LCP (Link Control
Protocol).

LCP est un protocole utilisé pour établir, configurer, tester, et terminer la

connexion PPP. Il permet de manipuler des tailles variables de paquets et
effectue un certain nombre de tests sur la configuration. Il permet
notamment de détecter un lien bouclé sur lui-même.

105
La connexion PPP passe ensuite à une phase d'authentification. Cette
étape est facultative et doit être spécifiée lors de la phase précédente. Si
l'authentification réussie ou qu'elle n'a pas été demandée, la connexion
passe en phase de "Protocole réseau". C'est lors de cette étape que les
différents protocoles réseaux sont configurés. Cette configuration
s'effectue séparément pour chaque protocole réseau. Elle est assurée par
le protocole de contrôle de réseau (NCP) approprié. A Ce moment, le
transfert des données est possible. Les NPC peuvent à tout moment ouvrir
ou fermer une connexion.

PPP peut terminer une liaison à tout moment, parce qu’une

authentification a échouée, que la qualité de la ligne est mauvaise ou pour
toute autre raison. C'est le LCP qui assure la fermeture de la liaison à
l'aide de paquets de terminaison. Les NCP sont alors informés par PPP de
la fermeture de la liaison.

B.3.2 Le protocole PPTP

PPTP, est un protocole qui utilise une connexion PPP à travers un réseau
IP en créant un réseau privé virtuel (VPN). Microsoft a implémenté ses
propres algorithmes afin de l'intégrer dans ses versions de windows.
Ainsi, PPTP est une solution très employée dans les produits VPN
commerciaux à cause de son intégration au sein des systèmes
d'exploitation Windows. PPTP est un protocole de niveau 2 qui permet
l'encryptage des données ainsi que leur compression. L'authentification se
fait grâce au protocole Ms-Chap de Microsoft qui, après la cryptanalyse
de sa version 1, a révélé publiquement des failles importantes. Microsoft
a corrigé ces défaillances et propose aujourd'hui une version 2 de Ms-
Chap plus sûre. La partie chiffrement des données s'effectue grâce au
protocole MPPE (Microsoft Point To Point Encryption).

Le principe du protocole PPTP est de créer des paquets sous le protocole

PPP et de les encapsuler dans des datagrammes IP. PPTP crée ainsi un
tunnel de niveau 3 définis par le protocole GRE (Generic Routing
Encapsulation). Le tunnel PPTP se caractérise par une initialisation du

106
client, une connexion de contrôle entre le client et le serveur ainsi que par
la clôture du tunnel par le serveur. Lors de l'établissement de la
connexion, le client effectue d'abord une connexion avec son fournisseur
d'accès Internet. Cette première connexion établie une connexion de type
PPP et permet de faire circuler des données sur Internet. Par la suite, une
deuxième connexion dial-up est établie. Elle permet d'encapsuler les
paquets PPP dans des datagrammes IP. C'est cette deuxième connexion
qui forme le tunnel PPTP. Tout trafic client conçu pour Internet emprunte
la connexion physique normale, alors que le trafic conçu pour le réseau
privé distant, passe par la connexion virtuelle de PPTP.

Fig xx : Protocole PPTP

Plusieurs protocoles peuvent être associés à PPTP afin de sécuriser les

données ou de les compresser. On retrouve évidement les protocoles
développés par Microsoft et cités précédemment. Ainsi, pour le processus
d'identification, il est possible d'utiliser les protocoles PAP (Password
Authentification Protocol) ou MsChap. Pour l'encryptage des données, il
est possible d'utiliser les fonctions de MPPE (Microsoft Point to Point
Encryption). Enfin, une compression de bout en bout peut être réalisée
par MPPC (Microsoft Point to Point Compression). Ces divers protocoles
permettent de réaliser une connexion VPN complète, mais les protocoles
suivants permettent un niveau de performance et de fiabilité bien
meilleur.

107
 B.3.3 Le protocole L2TP
L2TP, est issu de la convergence des protocoles PPTP et L2F. Il est
actuellement développé et évalué conjointement par Cisco Systems,
Microsoft, Ascend, 3Com ainsi que d'autres acteurs clés du marché des
réseaux. Il permet l'encapsulation des paquets PPP au niveau des couches
2 (Frame Relay et Atm) et 3 (IP). Lorsqu'il est configuré pour transporter
les données sur IP, L2TP peut être utilisé pour faire du tunneling sur
Internet. L2tp repose sur deux concepts : les concentrateurs d'accès L2tp
(Lac : L2TP Access Concentrator) et les serveurs réseau L2TP (Lns :
L2tp Network Server). L2tp n'intègre pas directement de protocole pour
le chiffrement des données. C'est pourquoi L'IETF préconise l'utilisation
conjointe D'IPSEC et L2TP.

SERVEUR

INTERNE
T

Client
SERVEUR

LAC : L2TP Access LNS : L2TPNetwork

Concentrator server

Fig.33

108
B.3.4 Le protocole IPSEC

IPSEC est un protocole qui vise à sécuriser l'échange de données au

niveau de la couche réseau. Le réseau Ipv4 étant largement déployé et la
migration vers Ipv6 étant inévitable, mais néanmoins longue, il est apparu
intéressant de développer des techniques de protection des données
communes à Ipv4 et Ipv6. Ces mécanismes sont couramment désignés
par le terme IPSEC pour IP Security Protocols. IPSEC est basé sur deux
mécanismes. Le premier, AH, pour Authentification Header vise à
assurer l'intégrité et l'authenticité des datagrammes IP. Il ne fournit par
contre aucune confidentialité : les données fournies et transmises par Ce
"protocole" ne sont pas encodées.

Le second, ESP, pour Encapsulating Security Payload peut aussi

permettre l'authentification des données mais est principalement utilisé
pour le cryptage des informations. Bien qu'indépendants ces deux
mécanismes sont presque toujours utilisés conjointement. Enfin, le
protocole Ike permet de gérer les échanges ou les associations entre
protocoles de sécurité. Avant de décrire ces différents protocoles, nous
allons exposer les différents éléments utilisés dans IPSEC.

2. Principe de fonctionnement

Le schéma ci-dessous représente tous les éléments présentés ci-dessus (en

bleu), leurs positions et leurs interactions.

109
 Fig 35 : Fonctionnement d’un Ipsec

On distingue deux situations :

Trafic sortant :

Lorsque la "couche" IPSEC reçoit des données à envoyer, elle commence

par consulter la base de données des politiques de sécurité (SPD) pour
savoir comment traiter ces données. Si cette base lui indique que le trafic
doit se voir appliquer des mécanismes de sécurité, elle récupère les
caractéristiques requises pour la SA correspondante et va consulter la
base des SA (SAD). Si la SA nécessaire existe déjà, elle est utilisée pour
traiter le trafic en question. Dans le cas contraire, IPSEC fait appel à IKE
pour établir une nouvelle SA avec les caractéristiques requises.

110
Trafic entrant :

Lorsque la couche IPSEC reçoit un paquet en provenance du réseau, elle

examine l'en-tête pour savoir si Ce paquet s'est vu appliquer un ou
plusieurs services IPSEC et si oui, quelles sont les références de la SA.
Elle consulte alors la SAD pour connaître les paramètres à utiliser pour la
vérification et/ou le déchiffrement du paquet. Une fois le paquet vérifié
et/ou déchiffré, la Spd est consultée pour savoir si l'association de
sécurité appliquée au paquet correspondait bien à celle requise par les
politiques de sécurité.

5. La gestion des clefs pour IPSEC : ISAKMP et IKE

Les protocoles sécurisés présentés dans les paragraphes précédents ont

recours à des algorithmes cryptographiques et ont donc besoin de clefs.
Un des problèmes fondamentaux d'utilisation de la cryptographie est la
gestion de ces clefs. Le terme "gestion" recouvre la génération, la
distribution, le stockage et la suppression des clefs.

IKE (Internet Key Exchange) est un système développé spécifiquement

pour Ipsec qui vise à fournir des mécanismes d'authentification et
d'échange de clef adaptés à l'ensemble des situations qui peuvent se
présenter sur l'Internet. Il est composé de plusieurs éléments : le cadre
générique Isakmp et une partie des protocoles Oakley et Skeme. Lorsqu'il
est utilisé pour Ipsec, IKE est de plus complété par un "domaine
d'interprétation" pour Ipsec.

111
B.3.5 Le protocole MPLS

3.5.1 Introduction
Le protocole MPLS est un brillant rejeton du "tout IP". Il se présente
comme une solution aux problèmes de routage des datagrammes IP
véhiculés sur Internet. Le principe de routage sur Internet repose sur des
tables de routage. Pour chaque paquet les routeurs, afin de déterminer le
prochain saut, doivent analyser l’adresse de destination du paquet
contenu dans l’entête de niveau 3.

Puis il consulte sa table de routage pour déterminer sur quelle interface

doit sortir le paquet. Ce mécanisme de recherche dans la table de routage
est consommateur de temps CPU et avec la croissance de la taille des
réseaux ces dernières années, les tables de routage des routeurs ont
constamment augmenté.

Le protocole MPLS fut initialement développé pour donner une plus

grande puissance aux commutateurs IP, mais avec l’avènement de
techniques de commutation comme CEF (Cisco Express Forwarding) et
la mise au point de nouveaux ASIC (Application Specific Interface
Circuits), les routeurs Ip ont vu leurs performances augmenter sans le
recours à Mpls.

B.5.2 Principe de fonctionnement de MPLS

Le principe de base de MPLS est la commutation de labels. Ces labels,
simples nombres entiers, sont insérés entre les en-têtes de niveaux 2 et 3,
les routeurs permutant alors ces labels tout au long du réseau jusqu’à
destination, sans avoir besoin de consulter l’entête IP et leur table de
routage.

112
B.5.2.1 - Commutation par labels

Cette technique de commutation par labels est appelée Label Swapping.

MPLS permet de définir des piles de labels (label stack), dont l’intérêt
apparaîtra avec les VPN. Les routeurs réalisant les opérations de label
Swapping sont appelés Lsr pour Label Switch Routers.

Fig xx: Les Moteurs Réalisant les opération Label Swapping

Les routeurs MPLS situés à la périphérie du réseau (Edge Lsr), qui

possèdent à la fois des interfaces Ip traditionnelles et des interfaces
connectées au backbone MPLS, sont chargés d’imposer ou de retirer les
labels des paquets Ip qui les traversent. Les routeurs d’entrée, qui
imposent les labels, sont appelés Ingress Lsr, tandis que les routeurs de
sortie, qui retirent les labels, sont appelés Egress Lsr.

B.5.2.2 - Classification des paquets

A l’entrée du réseau MPLS, les paquets IP sont classés dans des FEC
(Forwarding Equivalent Classes). Des paquets appartenant à une même
FEC suivront le même chemin et auront la même méthode de
Forwarding.

Typiquement, les FEC sont des préfixes Ip appris par l’Igp tournant sur le
backbone MPLS, mais peuvent aussi être définis par des informations de

113
QOS (Quality Of Services). La classification des paquets s’effectue à
l’entrée du backbone MPLS, par les Ingress Lsr.

A l’intérieur du backbone MPLS, les paquets sont label-switchés, et

aucune reclassification des paquets n’a lieu. Chaque LSR affecte un label
local, qui sera utilisé en entrée, pour chacune de ses FEC et le propage à
ses voisins. Les LSR voisins sont appris grâce à L’IGP. L’ensemble des
LSR utilisés pour une FEC, constituant un chemin à travers le réseau, est
appelé Label Switch Path (LSP). Il existe un LSP pour chaque FEC et les
LSP sont unidirectionnels.

B.5.3 Utilisation du MPLS pour les VPN

Pour satisfaire les besoins des opérateurs de services VPN, la gestion de
VPN-IP à l’aide des protocoles MPLS a été définie dans ce chapitre. Des
tunnels sont créés entre des routeurs MPLS de périphérie appartenant à
l’opérateur et dédiés à des groupes fermés d’usagers particuliers, qui
constituent des VPN. Dans l’optique MPLS/VPN, un VPN est un
ensemble de sites placés sous la même autorité administrative, ou groupés
suivant un intérêt particulier.

B.5.3.1 - Routeurs P, PE et CE

Une terminologie particulière est employée pour désigner les routeurs (en
fonction de leur rôle) dans un environnement MPLS / VPN :

P (Provider) : ces routeurs, composant le coeur du backbone MPLS, n’ont

aucune connaissance de la notion de VPN. Ils se contentent d’acheminer
les données grâce à la commutation de labels ;

PE (Provider Edge) : ces routeurs sont situés à la frontière du backbone

MPLS et ont par définition une ou plusieurs interfaces reliées à des
routeurs clients ;

114
CE (Customer Edge) : ces routeurs appartiennent au client et n’ont
aucune connaissance des VPN ou même de la notion de label. Tout
routeur « traditionnel » peut être un routeur Ce, quel que soit son type ou
la version d’OS utilisée.

Le schéma ci-dessous montre l’emplacement de ces routeurs dans une

architecture MPLS :

Fig 42: Emplacement des Routeurs dans une Architecture Mpls

B.5.3.2 - Routeurs Virtuels : VRF

La notion même de VPN implique l’isolation du trafic entre sites clients

n’appartenant pas aux mêmes VPN. Pour réaliser cette séparation, les
routeurs PE ont la capacité de gérer plusieurs tables de routage grâce à la

115
notion de VRF (VPN Routing and Forwarding). Une VRF est constituée
d’une table de routage, d’une FIB (Forwarding Information Base) et
d’une table CEF spécifiques, indépendantes des autres Vrf et de la table
de routage globale. Chaque VRF est désignée par un nom (par ex. RED,
GREEN, etc.) sur les routeurs PE. Les noms sont affectés localement et
n’ont aucune signification vis-à-vis des autres routeurs.

Chaque interface de PE, reliée à un site client, est rattachée à une VRF
particulière. Lors de la réception de paquets Ip sur une interface client, le
routeur PE procède à un examen de la table de routage de la Vrf à
laquelle est rattachée l’interface et donc ne consulte pas sa table de
routage globale. Cette possibilité d’utiliser plusieurs tables de routage
indépendantes permet de gérer un plan d’adressage par sites, même en
cas de recouvrement d’adresses entre VPN différents.

3.5.4 Sécurité

La séparation des flux entre clients sur des routeurs mutualisés supportant
MPLS est assurée par le fait que seul la découverte du réseau se fait au
niveau de la couche 3 et qu’ensuite le routage des paquets est effectué en
s’appuyant uniquement sur le mécanisme des labels (intermédiaire entre
la couche 2 et la couche 3).

Le niveau de sécurité est le même que celui de Frame Relay avec les
DLCI au niveau 2.

Le déni de service est en général effectué au niveau 3 (IP). Ici, les

paquets seront quand même routés jusqu’au destinataire au travers du
réseau MPLS en s’appuyant sur les LSPs.

B.3.6 Le protocole SSL

1. Introduction

116
Le VPN à base de SSL présente une alternative séduisante face aux
technologies contraignantes que sont les VPN présentés jusque ici. Les
VPN SSL présentent en effet le gros avantage de ne pas nécessiter du
coté client plus qu’un navigateur Internet classique. En effet le protocole
SSL utilisé pour la sécurisation des échanges commerciaux sur Internet
est implémenté en standard dans les navigateurs modernes. SSL est un
protocole de couche 4 (niveau transport) utilisé par une application pour
établir un canal de communication sécurisé avec une autre application.

SSL a deux grandes fonctionnalités : l’authentification du serveur et du

client à l’établissement de la connexion et le chiffrement des données
durant la connexion.

Fig xx: Le Protocole SSL

117
III.4 Mécanismes symétriques
Nous divisons les méthodes symétriques en trois classes

- Les mots de passe. Un mot de passe est une suite de caractères qui peut
être facilement mémorisée par un être humain. Il ne s’agit pas d’un
nombre aléatoire mais au contraire d’une concaténation de mots, de
chiffres et de signes. De tels secrets peuvent être devinés à l’aide d’une
attaque par dictionnaire, c’est à dire un programme utilisant une base de
données pour la génération de ces valeurs.

Les secrets partagés Il s’agit en fait d’un nombre aléatoire, dont la taille
est l’ordre de 128 à 160 bits. Un cerveau humain éprouve beaucoup de
difficultés à mémoriser ces informations. Le stockage sécurisé du secret
est réalisé par exemple par le système d’exploitation d’un ordinateur
personnel ou par une carte à puce.

- Le mode provisioning. Dans les réseaux GSM ou UMTS une base de

donnée centralisée gère les comptes utilisateurs, en particulier leur PSK.
Afin d’éviter des interrogations fréquentes les méthodes
d’authentification sont conçues de telle manière que le site central puisse
produire des vecteurs d’authentification (triplets GSM ou quadruplets
UMTS), réutilisables par des agents de confiance.

III.5 Mécanismes Asymétriques

Ces procédures sont basées sur des algorithmes tels que ECC, RSA ou

Diffie-Hellman. Le protocole SSL/TLS est généralement utilisé pour le

transport de ces échanges.

III.4.1 Les tunnels

Ainsi que nous l’avons souligné précédemment les méthodes
d’authentification basées sur des mots de passe, sont sujettes à des
attaques par dictionnaire. Ainsi le protocole MSCHAP assure une
protection jugée raisonnable dans des environnements sures (par exemple
des intranets ou des connexions par modem), mais n’est plus adapté lors
d’une mise en œuvre dans un milieu hostile, tel que IP sans fil, abritant
potentiellement de nombreuses oreilles électroniques indiscrètes.

Les tunnels, s’appuyant fréquemment sur la technologie SSL/TLS,

protègent un dialogue d’authentification grâce au chiffrement des
données échangées. Il existe aujourd’hui de multiples standards devenus

118
nécessaires, en raison des nombreux logiciels disponibles sur le WEB qui
cassent les protocoles à base de mot de passe.

III.5 Solutions sécurisées classiques

III.5.1 IPSEC
IPSEC assure l’intégrité, l’authentification et la confidentialité des
charges transportées par le protocole IP. Les ressources cryptographiques
sont déduite d’une association de sécurité (SA) basée sur un secret
partagé entre les deux entités de la session sécurisée IP. La difficulté de
déploiement du protocole IPSEC est liée au mécanisme d’établissement
d’un SA, à l’aide du protocole IKE (qui réalise un premier tunnel sécurisé
à l’aide d’un protocole de Diffie-Hellman). Bien que l’usage de certificats
soit possible, c’est généralement une clé pré définie (PreShareKey) qui
permet l’authentification des deux extrémités de la communication.

Mode Transport et Tunnel dans le protocole ESP, IPSEC

119
III.5.2 TLS/SSL
Le protocole SSL/TLS délivre des services analogues à IPSEC, mais au
niveau applicatif. Cependant le mécanisme d’établissement du secret
partagé maître repose généralement sur des clés RSA et des certificats
X509. De manière classique le certificat du serveur est vérifié
relativement à une chaîne de confiance (suite de certificats délivrés à
partir d’un certificat racine). Côté client les points critiques sont
l’installation d’un nouveau certificat d’une autorité de certification, et la
vérification des certificats serveurs.

III.6 LOGICIEL

L'une des préoccupations fondamentales de la sécurité du cyberespace et

du commerce électronique est la sécurité des systèmes d'exploitation qui
sont le cœur du logiciel fonctionnant dans tous les systèmes
d'information, tels que les périphériques réseau (routeurs, pare-feu, etc.),
les serveurs Web, les postes de travail des clients. , PDA, etc. La plupart

120
des vulnérabilités connues découvertes jusqu'à présent sont enracinées
dans des bogues ou des carences sous les systèmes d'exploitation.

Système d’exploitation: Collection de programme qui permet a

l’utilisateur de d’utiliser l’ordinateur

3 couches :

- Couche intérieure, matériel informatique

- Couche intermédiaire, système d'exploitation
- Couche externe, différents logiciels

Composant principal de l'environnement de sécurité du système

d'exploitation:

- Authentification d'utilisateur

121
 - Accès à distance
- Tâches d'administration
- Politiques de mot de passe

Authentification d'utilisateur

L'authentification fait référence à l'identification de chaque utilisateur du

système et à l'association des programmes en cours d'exécution avec ces
utilisateurs. Il est de la responsabilité du système d'exploitation de créer
un système de protection qui garantit l'authenticité d'un utilisateur qui
exécute un programme particulier. Les systèmes d'exploitation identifient
/ authentifient généralement les utilisateurs en utilisant les trois méthodes
suivantes:

Nom d'utilisateur / mot de passe - L'utilisateur doit entrer un nom

d'utilisateur et un mot de passe enregistrés avec le système d'exploitation
pour se connecter au système.

Carte / clé utilisateur - L'utilisateur doit perforer la carte dans la fente

pour carte ou saisir la clé générée par le générateur de clé en option
fournie par le système d'exploitation pour se connecter au système.

Attribut utilisateur - empreinte digitale / motif / signature de la rétine

oculaire - L'utilisateur doit transmettre son attribut via le périphérique
d'entrée désigné utilisé par le système d'exploitation pour se connecter au
système.

Mots de passe à usage unique

Les mots de passe à usage unique offrent une sécurité supplémentaire

ainsi qu'une authentification normale. Dans le système de mot de passe à
usage unique, un mot de passe unique est requis chaque fois que
l'utilisateur tente de se connecter au système. Une fois qu'un mot de passe
à usage unique est utilisé, il ne peut plus être utilisé. Les mots de passe à
usage unique sont implémentés de différentes manières.

122
Numéros aléatoires - Les utilisateurs reçoivent des cartes comportant
des numéros imprimés avec les alphabets correspondants. Le système
demande des nombres correspondant à quelques alphabets choisis au
hasard.

Clé secrète - L'utilisateur reçoit un périphérique matériel qui peut créer

un identifiant secret mappé avec un identifiant utilisateur. Le système
demande un tel identifiant secret qui doit être généré à chaque fois avant
la connexion.

Mot de passe réseau - Certaines applications commerciales envoient des

mots de passe à usage unique à l'utilisateur sur un mobile / e-mail
enregistré qui doit être saisi avant la connexion.

Les Menaces du système d’exploitation

Les processus et le noyau du système d'exploitation effectuent la tâche

désignée comme indiqué. Si un programme utilisateur a amené ces
processus à effectuer des tâches malveillantes, il s'agit de menaces de
programme. L'un des exemples courants de menace de programme est un
programme installé sur un ordinateur qui peut stocker et envoyer les
informations d'identification de l'utilisateur via le réseau à un pirate
informatique. Voici la liste de certaines menaces de programme bien
connues.

Cheval de Troie - Ce programme piège les informations de connexion de

l'utilisateur et les stocke pour les envoyer à un utilisateur malveillant qui
peut plus tard se connecter à l'ordinateur et accéder aux ressources
système.

Trap Door - Si un programme conçu pour fonctionner selon les besoins,

a une faille de sécurité dans son code et effectue une action illégale à
l'insu de l'utilisateur, il est appelé à avoir une trappe.

Bombe logique - La bombe logique est une situation dans laquelle un

programme se comporte mal uniquement lorsque certaines conditions
sont réunies, sinon il fonctionne comme un programme authentique. C'est

123
plus difficile à détecter.

Virus - Le virus, comme son nom l'indique, peut se répliquer sur le

système informatique. Ils sont très dangereux et peuvent modifier /
supprimer des fichiers utilisateur, planter des systèmes.

Les menaces système font référence à une mauvaise utilisation des

services système et des connexions réseau pour mettre l'utilisateur en
difficulté. Les menaces système peuvent être utilisées pour lancer des
menaces de programme sur un réseau complet appelé attaque de
programme. Les menaces système créent un environnement tel que les
ressources du système d'exploitation / les fichiers utilisateur sont mal
utilisés. Voici la liste de certaines menaces système bien connues.

Worm - Worm est un processus qui peut réduire les performances d'un
système en utilisant les ressources système à des niveaux extrêmes. Un
processus Worm génère ses multiples copies où chaque copie utilise les
ressources système, empêche tous les autres processus d'obtenir les
ressources requises. Les processus de vers peuvent même arrêter un
réseau entier.

Analyse des ports - L'analyse des ports est un mécanisme ou un moyen

par lequel un pirate informatique peut détecter les vulnérabilités du
système pour attaquer le système.

Déni de service - Les attaques par déni de service empêchent

normalement l'utilisateur de faire un usage légitime du système. Par
exemple, un utilisateur peut ne pas être en mesure d'utiliser Internet si le
déni de service attaque les paramètres de contenu du navigateur.

Les Vulnérabilités du Système d’exploitation

Vulnérabilités des applications

Les vers de messagerie Nimda et Aliz exploitaient les vulnérabilités de

Microsoft Outlook. Lorsque la victime ouvrait un message infecté - ou
même plaçait son curseur sur le message, dans la fenêtre d'aperçu - le
fichier du ver était lancé.

124
Vulnérabilités du système d'exploitation (OS)

CodeRed, Sasser, Slammer et Lovesan (Blaster) sont des exemples de

vers qui exploitaient les vulnérabilités du système d'exploitation
Windows - alors que les vers Ramen et Slapper ont pénétré les
ordinateurs via des vulnérabilités du système d'exploitation Linux et de
certaines applications Linux.

Vulnérabilités humaines. Le maillon le plus faible de nombreuses

architectures de cybersécurité est l'élément humain. Les erreurs des
utilisateurs peuvent facilement exposer des données sensibles, créer des
points d'accès exploitables pour les attaquants ou perturber les systèmes.

Vulnérabilités des processus. Certaines vulnérabilités peuvent être

créées par des contrôles de processus spécifiques (ou par leur absence).
Un exemple serait l'utilisation de mots de passe faibles (qui peuvent
également relever des vulnérabilités humaines).

125
CHAPITRE IV. RISQUE MANAGEMENT ET AUDIT DE
SYSTEME D’INFORMATION

IV.1 Risque management

IV.1.1.1 Définition Du Management Des Risques

Le management des risques traite des risques et des opportunités ayant
une incidence sur la création ou la préservation de la valeur. Il se définit
comme suit :
Le management des risques est un processus mis en œuvre par le Conseil
d’administration, la direction générale, le management et l'ensemble des
collaborateurs de l’organisation.
Il est pris en compte dans l’élaboration de la stratégie ainsi que dans
toutes les activités de l'organisation. Il est conçu pour identifier les
événements potentiels susceptibles d’affecter l’organisation et pour gérer
les risques dans les limites de son appétence pour le risque. Il vise à
fournir une assurance raisonnable quant à l'atteinte des objectifs de
l'organisation.

Cette définition reflète certains concepts fondamentaux. Le dispositif de

management des risques :
- est un processus permanent qui irrigue toute l’organisation,
- est mis en œuvre par l’ensemble des collaborateurs, à tous les
niveaux de l’organisation,
- est pris en compte dans l’élaboration de la stratégie, est mis en
œuvre à chaque niveau et dans chaque unité de l’organisation et
permet d’obtenir une vision globale de son exposition aux risques,
- est destiné à identifier les événements potentiels susceptibles
d’affecter l’organisation, et à gérer les risques dans le cadre de
l’appétence pour le risque,
- donne à la direction et au Conseil d’administration une assurance
raisonnable (quant à la réalisation des objectifs de l’organisation),
- est orienté vers l’atteinte d’objectifs appartenant à une ou plusieurs
catégories indépendantes mais susceptibles de se recouper.

Cette définition est volontairement large. Elle intègre les principaux

concepts sur lesquels s’appuient les sociétés ou d’autres types
d’organisation pour définir leur dispositif de management des risques et
se veut une base pour la mise en œuvre d’un tel dispositif au sein d’une
organisation, d’un secteur industriel ou d’un secteur d’activité. Elle est

126
centrée sur l’atteinte des objectifs fixés pour une organisation donnée, et
constitue en cela une base pour la définition d’un dispositif de
management des risques efficace.

IV.1.1 Atteinte Des Objectifs

Dans le cadre de la mission de l’organisation ainsi que de sa vision, la

direction détermine des objectifs stratégiques, conçoit une stratégie et
décline les objectifs qui en découlent à tous les niveaux de l’entité. Ce
cadre de référence vise à aider l’organisation à atteindre ces objectifs que
l’on peut classer dans les quatre catégories suivantes :
- Objectifs stratégiques – liés à la stratégie de l’organisation, il sont
en ligne avec sa mission et la supportent,
- Objectifs opérationnels – visant l’utilisation efficace et efficiente
des ressources,
- Objectifs de reporting – liés à la fiabilité du reporting,
- Objectifs de conformité – relatifs à la conformité aux lois et aux
réglementations en vigueur.

Ce rattachement des objectifs à différentes catégories permet de se

concentrer sur différents aspects du management des risques. Tout en
étant distinctes, ces catégories se recoupent – un objectif donné peut
relever de plusieurs d’entre elles et répondent aux divers besoins de
l’organisation. Elles peuvent relever de la responsabilité directe de
différents dirigeants. Ce classement permet également de définir de façon
plus précise les apports possibles pour chaque catégorie d’objectifs
auxquelles certaines entités ajoutent la protection des actifs, également
abordée dans cet ouvrage.

L’organisation ayant le contrôle sur les objectifs relatifs à la fiabilité du

reporting et à la conformité aux lois et aux règlements, il est légitime
d’attendre du processus de management des risques une assurance
raisonnable quant à l’atteinte de ces objectifs. En revanche, l’atteinte des
objectifs stratégiques et opérationnels dépend parfois d’événements
extérieurs qui peuvent échapper au contrôle de l’organisation. Par
conséquent, dans ce cas, le management des risques ne peut donner
qu’une assurance raisonnable que la direction et le Conseil
d’administration, dans son rôle de supervision, sont informés en temps
utile de l’état de progression de l’organisation vers l’atteinte de ses
objectifs.
IV.1.1.2 Éléments Du Dispositif De Management Des Risques

127
Le dispositif de management des risques comprend huit éléments. Ces
éléments résultent de la façon dont l’organisation est gérée et sont
intégrés au processus de management. Ces éléments sont les suivants :
- Environnement interne – L’environnement interne englobe la
culture et l’esprit de l’organisation. Il structure la façon dont les
risques sont appréhendés et pris en compte par l’ensemble des
collaborateurs de l’entité, et plus particulièrement la conception du
management et son appétence pour le risque, l’intégrité et les
valeurs éthiques, et l’environnement dans lequel l’organisation
opère.

- Fixation des objectifs – Les objectifs doivent avoir été

préalablement définis pour que le management puisse identifier les
événements potentiels susceptibles d’en affecter la réalisation. Le
management des risques permet de s’assurer que la direction a mis
en place un processus de fixation des objectifs et que ces objectifs
sont en ligne avec la mission de l’entité ainsi qu’avec son
appétence pour le risque.

- Identification des événements – Les événements internes et

externes susceptibles d’affecter l’atteinte des objectifs d’une
organisation doivent être identifiés en faisant la distinction entre
risques et opportunités.

Les opportunités sont prises en compte lors de l’élaboration de la

stratégie ou au cours du processus de fixation des objectifs.
- Évaluation des risques – Les risques sont analysés, tant en fonction
de leur probabilité d’occurrence que de leur impact, cette analyse
servant de base pour déterminer la façon dont ils doivent être gérés.
Les risques inhérents et les risques résiduels sont évalués.

- Traitement des risques. Le management définit des solutions

permettant de faire face aux risques évitement, acceptation,
réduction ou partage. Pour ce faire le management élabore un
ensemble de mesures permettant de mettre en adéquation le niveau
des risques avec le seuil de tolérance et l’appétence pour le risque
de l’organisation.
- Activités de contrôle des politiques et procédures sont définies et
déployées afin de veiller à la mise en place et à l’application
effective des mesures de traitement des risques.
- Information et communication. Les informations utiles sont
identifiées, collectées, et communiquées sous un format et dans des

128
 délais permettant aux collaborateurs d’exercer leurs
responsabilités. Plus globalement, la communication doit circuler
verticalement et transversalement au sein de l’organisation de
façon efficace.
- Pilotage. Le processus de management des risques est piloté dans
sa globalité et modifié en fonction des besoins. Le pilotage
s’effectue au travers des activités permanentes de management ou
par le biais d’évaluations indépendantes ou encore par une
combinaison de ces deux modalités.
Le management des risques n’est pas un processus séquentiel dans lequel
un élément affecte uniquement le suivant. C’est un processus
multidirectionnel et itératif par lequel n’importe quel élément a une
influence immédiate et directe sur les autres.

IV.1.1.3 Relation entre objectifs et éléments

Il existe une relation directe entre les objectifs que cherche à atteindre
une organisation et les éléments du dispositif de management des risques
qui représentent ce qui est nécessaire à leur réalisation. La relation est
illustrée par une matrice en trois dimensions ayant la forme d’un cube.
– Les quatre grandes catégories d’objectifs – stratégiques, opérationnels,
reporting et conformité sont représentées par les colonnes,
– les huit éléments du management des risques par les lignes,
– et les unités de l’organisation par la troisième dimension.

Cette représentation illustre la façon d’appréhender le management des

risques dans sa globalité ou bien par catégorie d’objectifs, par élément,
par unité ou en les combinant.

129
IV.1.2 Efficacité d’un dispositif de management des risques

L’efficacité d’un dispositif de management des risques peut s’apprécier

en vérifiant que chacun des huit éléments est en place dans l’organisation
et qu’ils fonctionnent efficacement. Ces éléments constituent donc un
critère d’efficacité du dispositif de management des risques. Un dispositif
efficace exclut toute faiblesse majeure dans l’un des éléments, et peut
justifier que le niveau des risques est contenu dans les limites de
l’appétence pour le risque de l’organisation.
Lorsque le dispositif de management des risques s’avère être
efficacement géré pour chacune des quatre catégories d’objectifs, le
Conseil d’administration et la direction de l’organisation peuvent
considérer qu’ils ont une assurance raisonnable de disposer d’une vision
claire sur la façon dont les objectifs stratégiques et opérationnels de
l’entité sont en passe d’être atteints, de la fiabilité du reporting et du
respect des lois et règlements applicables.
La mise en œuvre et le fonctionnement des huit éléments est spécifique à
chaque organisation. Pour les PME, le dispositif de management des
risques peut être moins formel et moins structuré. Il n’en demeure pas
moins que chacun des éléments existe et fonctionne correctement.
IV.1.3 Intégration Du Contrôle Interne
Le contrôle interne fait partie intégrante du dispositif de management des
risques. Ce cadre de référence intègre le contrôle interne, constituant ainsi
une modélisation et un outil de management plus «solide».
IV.1.4 Rôles et responsabilités du management des risques

Le management des risques est l’affaire de tous mais, in fine, le Directeur

Général en est le propriétaire et en assume la responsabilité. Les autres
managers soutiennent la culture en matière de management des risques,
ils oeuvrent pour sa mise en conformité avec l’appétence pour le risque et
gèrent les risques au sein de leur périmètre de responsabilité dans les
limites de la tolérance au risque. Le «risk manager», le directeur
financier, l’auditeur interne et d’autres intervenants, assument
habituellement des responsabilités fondamentales de support en matière
de management des risques. Les autres collaborateurs de l’organisation
sont responsables du dispositif de management des risques conformément
aux directives et aux protocoles existants.

Le Conseil d’administration exerce une activité de surveillance sur le

dispositif de management des risques, il a connaissance et valide
l’appétence pour le risque de l’organisation. Certains tiers, tels que les

130
clients, les fournisseurs, les partenaires commerciaux, les auditeurs
externes, les régulateurs et les analystes financiers fournissent
fréquemment des informations utiles au dispositif de management des
risques, mais ils ne sont pas responsables de son efficacité et ne
participent pas à sa mise en œuvre.

IV.1.5 Finalité du management des risques

On dégage en général trois finalités à la gestion des risques pour les SI :

1. Améliorer la sécurisation des systèmes d’information.

2. Justifier le budget alloué à la sécurisation du système d’information.

3. Prouver la crédibilité du système d’information à l’aide des analyses

effectuées.

Le management des risques « dans son plus simple appareil », se

compose de trois blocs interdépendants. Nous distinguons l’organisation
cible de l’étude, définie par ses assets1 et ses besoins de sécurité, puis les
risques pesant sur ces assets et enfin les mesures prises ayant pour but de
traiter les risques et donc d’assurer un certain niveau de sécurité.

Les assets sont définis comme étant l’ensemble des biens, actifs,
ressources ayant de la valeur pour l’organisme et nécessaires à son bon

131
fonctionnement. On distingue ici les assets du niveau business des assets
liés au SI. Du côté des assets business, on retrouve principalement des
informations (par exemple des numéros de carte bancaire) et des
processus (comme la gestion des transactions ou l’administration des
comptes). Les assets business de l’organisme sont bien souvent
entièrement (ou presque) gérés au travers du SI, ce qui entraîne une
dépendance de ces assets vis-à-vis de ce dernier. C’est ce que l’on appelle
les « assets système ». On retrouve dans les assets système les éléments
techniques, tels les matériels, les logiciels et les réseaux, mais aussi
l’environnement du système informatique, comme les utilisateurs ou les
bâtiments. C’est cet ensemble qui forme le SI. Le but du management
des risques est donc d’assurer la sécurité des assets, sécurité exprimée la
plupart du temps en termes de confidentialité, intégrité et disponibilité,
constituant les objectifs de sécurité. Ces assets à protéger sont soumis à
des risques de sécurité.

On définit un risque à l’aide de ce que l’on nomme « l’équation du risque

»:
RISQUE = MENACE * VULNÉRABILITÉ * IMPACT

Cette équation est celle qui est la plus couramment utilisée et la plus
reconnue dans le domaine de la gestion des risques. Elle joue un rôle
fondamental dans l’identification et l’évaluation du risque.

Pour bien comprendre la notion de risque, il est important de se pencher

sur chacune de ses composantes. Tout d’abord la menace, la source du
risque, est l’attaque possible d’un élément dangereux pour les assets.
C’est l’agent responsable du risque. Ensuite, la vulnérabilité est la
caractéristique d’un asset constituant une faiblesse ou une faille au regard
de la sécurité. Enfin l’impact représente la conséquence du risque sur
l’organisme et ses objectifs. La menace et la vulnérabilité, représentant la
cause du risque, peuvent être qualifiées en termes de potentialité.

L’impact peut, quant à lui, être qualifié en termes de niveau de sévérité.

Afin de mitiger ces risques et de protéger les assets, une politique de
traitement des risques est mise en place. Elle sera constituée d’exigences
de sécurité permettant de répondre aux risques. Ces exigences de sécurité
vont ensuite entraîner la mise en place de contrôles (ou contre-mesures)

132
de sécurité à implémenter, afin de satisfaire aux exigences. Les contrôles
sont de deux types :

• Sur la menace ou la vulnérabilité, afin de limiter la cause du risque ;

• Sur l’impact, afin de limiter la conséquence du risque.
Le processus de management des risques

Après avoir mis en évidence les concepts intervenant dans la gestion des
risques, on peut identifier un processus de haut niveau couvrant ses
activités.

La première étape d’une démarche de gestion des risques consiste en

l’identification du domaine et des assets. Dans cette partie, il est question
de prendre connaissance avec l’organisation, son environnement, son SI
et de déterminer précisément les limites du système sur lequel va porter
l’étude de gestion des risques. Une fois notre système borné, on procède
en premier lieu à l’identification des assets business constituant la valeur
de l’organisation. Ensuite, le lien sera fait entre ces assets business et les
assets système, sur lesquels on identifiera et corrigera les risques d’un
point de vue technique et organisationnel.

La détermination des objectifs de sécurité vise à spécifier les besoins en

termes de confidentialité, intégrité et disponibilité des assets, en
particulier au niveau business. Le lien entre les assets business et les
assets système étant fait en amont, on retrouve donc les besoins en
sécurité au niveau du système.
L’analyse des risques constitue le cœur de la démarche de gestion des
risques. Elle a pour finalité l’identification et l’estimation de chaque
composante du risque (menace/vulnérabilité/impact), afin d’évaluer le
risque et d’apprécier son niveau, dans le but de prendre des mesures
adéquates (parfois, cette étape est également appelée « appréciation du
risque »). Il y a deux grandes écoles pour l’identification des risques : soit

133
en réalisant un audit du système et de ses différents acteurs, soit à partir
de bases de connaissances prédéfinies. Pour l’estimation des risques, il
est possible en théorie de les quantifier à l’aide de distributions de
probabilités sur les menaces et les vulnérabilités, ainsi qu’en estimant les
coûts occasionnés par les impacts.

En pratique, il se révèle difficile de donner des valeurs absolues et on se

contente bien souvent d’une échelle de valeurs relatives, par exemple,
allant de 1 à 4. Cette estimation permet de faire un choix, représenté sur
la figure ci-dessous, dans le traitement du risque, avant de passer à la
détermination des exigences de sécurité. La figure ci-dessous représente
la démarche du management des risques.

D’une manière générale, on considère que :

• Les risques ayant une occurrence et un impact faible sont
négligeables.
• Les risques ayant une forte occurrence et un impact important ne
doivent pas exister, autrement une remise en cause des activités de
l’entreprise est nécessaire (on évite le risque, avoidance en anglais)
• Les risques ayant une occurrence forte et un impact faible sont
acceptés, leur coût est généralement inclus dans les coûts
opérationnels de l’organisation (acceptation du risque).

134
 • Les risques ayant une occurrence faible et un impact lourd sont à
transférer. Ils peuvent être couverts par une assurance ou un tiers
(transfert du risque).
• Enfin, les autres risques, en général majoritaires, sont traités au cas
par cas et sont au centre du processus de gestion des risques ;
l’objectif, étant de diminuer les risques en les rapprochant au
maximum de l’origine de l’axe (mitigation du risque à l’aide de
contrôles).

Une fois l’analyse des risques effectuée, la définition des exigences de

sécurité permettra de réduire les risques identifiés. Comme
précédemment, en fonction des méthodes, cette étape pourra être
effectuée avec l’assistance de référentiels, ou aiguillée par la
connaissance d’experts système/sécurité. La définition des exigences de
sécurité, de par son importance et sa complexité, est souvent effectuée de
manière incrémentale et par raffinement successif. En effet, on conseille
bien souvent de débuter par des exigences générales, qui définiront
l’intention de contrer les risques identifiés (de niveau stratégique), pour
les raffiner ensuite en des exigences plus précises (vers le niveau
opérationnel). Toutefois les exigences sont censées être génériques et
applicables à tout SI. Il faut également rappeler que ces exigences de
mitigation des risques porteront à la fois sur le système informatique
(comme le besoin d’encryption des mots de passe), mais aussi sur son
environnement.

Le dernier niveau de raffinement est constitué par la sélection des

contrôles (ou contre-mesures) de sécurité. Les contrôles sont
l’instanciation des exigences de bas niveau pour le système cible étudié.
Ici sont définis les choix techniques des solutions de sécurité, influencés
par le système déjà en place, les compétences disponibles, les coûts de
mise en œuvre.
Ce processus est communément admis par les différentes méthodes de
gestion des risques. Par contre, la terminologie est souvent très différente,
d’une méthode ou norme à une autre. La comparaison du processus de
plusieurs méthodes nécessite alors une bonne analyse, mais dans
l’ensemble, le schéma présenté précédemment est suivi.

135
IV.1.6 Le management des risques en pratique

IV.1.6.1 EBIOS (Expression des Besoins et Identification des

Objectifs de Sécurité)

Il s’agit d’une méthode développée et maintenue par la DCSSI (Direction

Centrale de la Sécurité des Systèmes d’Information). La méthode a pour
objectif la formalisation d’objectifs de sécurité adaptés aux besoins du
système audité (et de son contexte).

EBIOS appréhende les risques de sécurité en tenant compte des trois

blocs interdépendants des concepts de gestion présentés en amont. La
méthode travaille par construction du risque, adoptant une prise en
compte du contexte de l’organisation cible, en privilégiant le périmètre du
SI, les éléments essentiels, les fonctions et les informations
(correspondant aux assets business), et enfin les entités (assets système).
La seconde phase de la méthode permet de dégager les besoins via une
grille des services souhaités de sécurité (respect des critères «
Confidentialité, Intégrité, Disponibilité »).

IV.1.6.2 OCTAVE (Operationally Critical Threat, Asset, and

Vulnerability Evaluation)

Les fondements mêmes de cette méthode reposent sur la possibilité de

réaliser une analyse des risques de l’intérieur de l’organisation,
exclusivement avec des ressources internes. Pleinement orientée vers les
grands comptes, une version OCTAVE-S (Small) peut, cependant,
facilement se décliner au sein d’une petite structure économique.

136
OCTAVE est une méthode d’évaluation des vulnérabilités et des menaces
sur les actifs opérationnels. Une fois ces derniers identifiés, la méthode
permet de mesurer les menaces et les vulnérabilités pesant sur eux.
Les trois phases suivantes déclinées au cœur d’OCTAVE, respectent
l’analyse progressive des trois blocs des concepts de gestion des risques
présentés en amont :
• La phase 1 (vue organisationnelle) permet d’identifier les ressources
informatiques importantes, les menaces associées et les exigences
de sécurité qui leur sont associées.
• La phase 2 (vue technique) permet d’identifier les vulnérabilités de
l’infrastructure (ces dernières, une fois couplées aux menaces,
créant le risque).
• La phase 3 de la méthode décline le développement de la stratégie de
sécurité et sa planification (protection et plan de réduction des
risques).

On retrouve également dans cette méthode l’ensemble des concepts

présentés en première partie. Concernant le processus, la même remarque
faite précédemment, pour EBIOS, est valable : les deux dernières étapes
sont peu ou pas abordées, la méthode se voulant être principalement une
méthode d’analyse des risques.

IV.1.6.3 MEHARI (Méthode Harmonisée d’Analyse de Risques)

MEHARI demeure une des méthodes d’analyse des risques les plus
utilisées actuellement. Il se présente comme une véritable boîte à outils
de la sécurité des SI, permettant d’appréhender le risque de différentes
manières au sein d’une organisation, et composée de plusieurs modules.

Ces derniers, indépendamment de la démarche sécurité choisie,

permettent notamment :
• D’analyser les enjeux de la sécurité (en décrivant les types de
dysfonctionnements redoutés) et, corrélativement, de classifier les
ressources et informations selon les trois critères sécurité de base
(Confidentialité, Intégrité, Disponibilité).

137
 • D’auditer les services de sécurité, de manière à prendre en compte
l’efficacité de chacun, son contrôle, et de synthétiser les
vulnérabilités.
• D’analyser les situations de risques, permettant d’évaluer les
potentialités et les impacts intrinsèques, ainsi que les facteurs
d’atténuation de risque, puis, enfin, de déduire un indicateur de
gravité de risque..

MEHARI présente une grande diversité dans l’utilisation de ses modules.

Trois approches se détachent plus particulièrement :
• En se basant sur une analyse détaillée des risques, il est possible de
mettre en œuvre des plans de sécurité. Cette démarche se décline
au niveau stratégique, mais aussi opérationnel. Le premier niveau
permet la cohérence des besoins et du contexte de l’ensemble de
l’organisation. Le second niveau définit les unités business
autonomes au cœur de l’organisation et en charge des décisions
nécessaires en matière de sécurité.

• En se basant sur l’audit de sécurité, ou plus précisément après un

diagnostic de l’état de sécurité, la réalisation de plans d’actions est
facilitée. En effet, des faiblesses relevées découlent alors,
directement, les actions à entreprendre.

138
 • Dans le cadre de la gestion d’un projet particulier, tenir compte de la
sécurité, en se basant, de nouveau, sur l’analyse des risques, et
ainsi faciliter l’élaboration de plans d’action. Les besoins de
sécurité sont alors directement intégrés aux spécifications du
projet, et à intégrer dans le plan de sécurité global de l’entité
concernée.

Cette méthode s’aligne avec les deux premières en termes de couverture

du processus de gestion des risques.

IV.2 AUDIT DU SYSTEME D’INFORMATION

IV.2.1 Le système d’information

Le système d’information est d’une grande utilité au sein de l’entreprise,
puisqu’il sert d’aide à la décision, il permet en plus d’agir de manière
optimale, de faire des prévisions qui vont orienter les stratégies élaborés.
En adition il sert à contrôler et superviser les différentes activités de
l’entreprise. Avec la complexité de l’environnement de l’entreprise, les
dirigeants comptent sur un système d’information efficace et fiable pour
la création de la valeur et la réalisation d’un avantage comparatif. Le
système d’information représente l’ensemble de moyens, de ressources,
d’éléments organisés permettant de collecter, saisir, traiter, stocker et
diffuser l’information3.L’objectif de la mise en place des systèmes
d’information se résume dans leur rôle d’aide à la conception de la
stratégie de l’entreprise, ainsi que celui de la supervision de sa réalisation.

D’ailleurs, la mise en place d’un système d’information permet d’assurer

la continuité de l’activité, de se garantir une information fiable et efficace

139
à la gestion, et également se permettre d’effectuer des ajustements au
niveau des orientations stratégiques avec grande souplesse.

IV.2.2 L'audit du système d'information

L'audit du système d'information (SI) est une vue à un instant T de tout

ou partie du SI, permettant de comparer l'état du SI à un référentiel.
Il consiste à une intervention réalisée par une personne indépendante et
extérieure au service audité, qui permet d’analyser tout ou une partie
d’une organisation informatique, d’établir un constat des points forts et
des points faibles et dégager ainsi les recommandations d’amélioration.
Autrement dit, L'audit informatique peut aussi être défini l'évaluation des
risques des activités informatiques, dans le but d'apporter une diminution
de ceux-ci et d'améliorer la maîtrise des systèmes d'information.

IV.2.3 Objectifs de l’audit informatique

L'audit informatique a pour objectif d’identifier et d’évaluer et déterminer
les risques (opérationnels, financiers, de réputation…) associés aux
activités informatiques d'une entreprise ou d'une administration.

À cette fin, pour sa mise en place effective, un processus de l’audit des

systèmes d’information va se baser sur trois (3) aspects indispensables :
le cadre réglementaire du secteur d’activité d’un pays

les référentiels de bonnes pratiques existants

les benchmarks5 à disposition et sur l’expérience professionnelle

de l’auditeur impliqué.

IV.2.3.1 Caractéristique de l’audit informatique

De même, l’audit des systèmes d’information requiert deux grandes
caractéristiques pour sa mise en place effective :
- La première caractéristique – comporte les évaluations globales
d'entités durant lesquelles toutes les activités ayant trait aux
systèmes d’informations sont évalués.

140
 - La seconde caractéristique – correspond aux évaluations
correspondantes aux audits thématiques, ayant pour objectif la
revue d’un thème informatique au sein d’une entité (la gestion de
projet, la sécurité logique par exemple).

L’audit n’est pas à confondre avec l’activité de conseil qui vise, de

manière générale, à améliorer le fonctionnement et la performance d'une
organisation avec une éventuelle implication dans la mise en œuvre de
cette amélioration. Ces deux activités, audit et conseil, ne peuvent être
exercées pour une entité donnée par les mêmes acteurs afin de ne pas
créer une situation favorable aux conflits d’intérêts.

L’audit informatique est une mission, qui ne demande pas de simples

auditeurs, puisque ces derniers doivent avoir de fortes connaissances en
informatique, car des notions, ainsi que des techniques sont à cerner pour
comprendre et savoir gérer un processus d’informatisation.

IV.2.4 Les techniques d'audit

IV.2.4.1 L'audit dit "boite blanche"

La méthode dite « white box » consistant à tenter de s'introduire dans le
système en ayant connaissance de l'ensemble du système, afin d'éprouver
au maximum la sécurité du réseau.
Audit de code
Il existe des bases de vulnérabilités très fiables pour les applications
répandues. Néanmoins, pour des applications moins utilisées, ou codées

141
par l'entreprise elle-même, il peut être nécessaire d'analyser leur sécurité.
Si les sources de l'application sont disponibles, il faut lire et comprendre
le code source, pour déceler les problèmes qui peuvent exister.
Notamment, les débordements de tampon (Buffer Overflow), les bugs de
format, ou pour une application web, les vulnérabilités menant à des
injections SQL.

L'audit de code est une pratique fastidieuse et longue. De plus, elle ne

permet généralement pas, en raison de la complexité, de dresser une liste
exhaustive des vulnérabilités du code. Des méthodes automatiques
existent, et permettent de dégrossir le travail, avec des outils comme
RATS. Mais se reposer uniquement sur ce genre de méthodes peut nous
faire passer à côté de problèmes flagrants pour un humain.
Audit de configuration
Les audits de configuration permettent d'expertiser l'architecture
technique déployée et de mesurer la conformité des configurations des
éléments qui la composent (serveurs, bases de données, équipements
réseau, pare-feu, autocommutateurs privés, etc.) avec la politique de
sécurité définie. Ils en exposent les points faibles de l'architecture et se
concentrent sur les actions à entreprendre pour mettre en œuvre un
processus de sécurisation par couche. La réalisation d'un audit de
configuration est par nature non destructrice (contrairement à certaines
étapes d'un test d'intrusion). Ce type d’audit est destiné à toutes les
entreprises.
Audit de gestion des habilitations
Les audits de gestion des habilitations permettent d’analyser les accès aux
ressources systèmes ou applicatives et impliquant des utilisateurs internes
ou externes à l'entreprise. Ainsi, les comptes et les droits fantômes seront
détectés, les actions de fraude seront rendues plus difficiles et la détection
des actes malicieux sera facilitée. Ce type d’audit est destiné à toutes les
entreprises.
Audit déclaratif

Les audits déclaratifs permettent d’obtenir des résultats reposant

uniquement sur les déclarations lors d'entretiens avec les acteurs du
système audité : cela introduit un biais du au contrôle
volontaire/involontaire des audités sur les informations délivrées. Ce type
d’audit est destiné à toutes les entreprises.

Audit organisationnel

142
Les audits organisationnels permettent de mesurer et d’identifier les
risques des éléments critiques de l'entreprise (processus métier, outils de
production dont le système informatique, …). Ils représentent une optique
à long terme. Ils sont importants pour préserver un niveau de sécurité
dans le temps. Ils sont réalisés à l'aide de méthodes formelles telles
Méhari, CRAMM, COBIT. Les audits organisationnels prennent en
compte la sécurité en général dans l'entreprise. Cependant, c’est une
démarche lourde qui peut mobiliser une équipe de consultants spécialisés
durant plusieurs semaines, et elle est de ce fait rarement appliquée à des
entreprises de taille plus modeste. Ce type d’audit est donc destiné aux
grandes entreprises.

IV.2.4.2 L'audit dit "boite noire"

La méthode dite « black box » consistant à essayer d'infiltrer le réseau
sans aucune connaissance du système, afin de réaliser un test en situation
réelle.
Audit de vulnérabilités
Les audits de vulnérabilités permettent de détecter les éventuelles failles
de sécurité du système d'information d’une entreprise tel qu'il peut être vu
de l'extérieur, c'est à dire depuis Internet. L'opération est possible à l'aide
de scanners de vulnérabilités. Ceux-ci lancent des attaques connues sur le
réseau cible (hormis celles qui pourraient neutraliser les systèmes
évalués). L'avantage de ces tests tient à leur rapidité, leur simplicité de
mise en œuvre et leur faible coût. De plus, les audits de vulnérabilités ne
sont pas destructeurs. Leur inconvénient, bien sûr, est que ces tests ne
détectent vraiment que les failles connues et plutôt simples à exploiter.
Ce type d’audit est destiné aux PME.
Test d’intrusion
Les tests d'intrusion permettent de valider périodiquement le niveau de
sécurité du système d'information et d'en mesurer les variations. Ils sont
réalisés de manière récurrente. Ils consistent à éprouver les moyens de
protection d'un système d'information en essayant de s'introduire dans le
système en situation réelle à partir de l’extérieur de l’entreprise. Ils ne
permettent pas de garantir la sécurité du système, dans la mesure où des
vulnérabilités peuvent avoir échappé aux testeurs. Ce type d’audit est
destiné à toutes les entreprises.
Audit technique
Les audits techniques permettent d’évaluer le niveau de sécurité par
analyse interne des systèmes en place. On se place dans du court terme,
pour mettre à niveau la sécurité dans l'urgence. Ils permettent d’étudier

143
les éléments techniques en production dans l’entreprise et d’en valider le
niveau de sécurité. Il s'agit d'une prestation hautement technique, dont la
plupart des PME peuvent très bien se passer. Ce type d’audit est donc
destiné aux grandes entreprises.
Le Fuzzing:
Pour les applications boite noire, où le code n'est pas disponible, il existe
un pendant à l'analyse de code, qui est le fuzzing. Cette technique
consiste à analyser le comportement d'une application en injectant en
entrée des données plus ou moins aléatoires, avec des valeurs limites.
Contrairement à l'audit de code qui est une analyse structurelle, le fuzzing
est une analyse comportementale d'une application.

IV.2.5 Principes généraux de l’audit des systèmes d’information

Un « un principe » est défini comme étant un ensemble de règles

définissant une manière type d’agir et correspondant le plus souvent à une
prise de position morale ou une proposition fondamentale qui sert de base
à un raisonnement déterminant un mode d’action. D’une façon générale,
l’audit informatique repose sur deux principes essentiels qui suivent
logiquement ce qui suit :

1. Un audit informatique n’a de sens que si sa finalité est définie :

contrôle fiscal, juridique, expertise judiciaire, vérification de
l’application des intentions de la direction, examen de l’efficacité ou de
la sécurité d’un système, de la fiabilité d’une application, etc.

2. Un audit informatique doit rationnellement être explicite en déduisant

les moyens d’investigation jugés nécessaires et suffisants : pratiquement,
cela veut dire que l’auditeur doit apprécier dans un but précis une
situation concrète observée « le comment », l’application du principe et
des règles « le pourquoi ».

IV.2.6 Modèles de l’audit des systèmes d’information

Un « modèle » est une base donnée pour servir de référence. En
conséquence, il existe 2 modèles d’audit des systèmes d’information : le
modèle de l’audit de besoin et le modèle de l’audit de découverte des
connaissances.

144
IV.2.6.1 Modèle de l’audit de besoin
De part sa définition, un « besoin » peut être considéré comme un
élément nécessaire à l’existence (autrement dit, c’est un état qui résulte
de la privation ou d’un manque du nécessaire). Le modèle de l’audit du
besoin est subdivisé en 2 grandes parties : l’analyse de l’existant et la
détermination de la cible.

- L’analyse de l’existant – consiste en un examen (appréciation) du

terrain au terme duquel l’auditeur informatique formalise la
circulation des « documents-types » d’un acteur à l’autre et le
traitement que chaque acteur applique à ces documents, à l’aide de
logigrammes (traitement sur les documents) et la représentation des
graphes relationnels (circulation des documents) ;
- La détermination de la cible – cette seconde partie consiste à
référer le mode de circulation des informations et leurs
interprétations ; les différentes redondances dans les graphes ; la
dispersion des infrastructures ainsi que les point de contrôle et de
validation nécessaires, et le découpage en zone en sous-graphes.

IV.2.6.2 Modèle de l’audit de couverte des connaissances

Le modèle de l’audit de découverte des connaissances consiste à valoriser

les données et les connaissances existantes dans l’entreprise.
Généralement, ce modèle aboutit au montage d’un système d’information
décisionnel (désigne les moyens, les outils et les méthodes qui permettent
de collecter, consolider, modéliser et restituer les données matérielles et
immatérielles d’une entreprise) mais également être le prélude
(précurseur) à un système de gestion de connaissances.
Le modèle de l'audit de découverte des connaissances se pratique de la
manière suivante :
- Pas d'objectifs : on ne sait pas ce que l'on va découvrir ;

- Un domaine : on sait sur quels métiers on travaille, donc sur

quelles bases de données;

- une équipe intégrée : travaille in situ, trois acteurs dont un expert «

métier », un expert « administration informatique » et un fouilleur
de données (voir data mining) ;

- Le travail se fait par boucle courte de prototypage ;

145
 - Pour faciliter le brassage des données, on modifie leur format et
leur disposition relative. C'est le « pré-processing » qui prend le
plus de temps ;

- À l'aide d'algorithmes à apprentissage d'une part, et de

visualisations de données d'autre part, le fouilleur met en évidence
des liens empiriques entre les données ;

- Les corrélations et liens retenus doivent répondre à trois critères :

inconnu de l'utilisateur, explicable a posteriori et utile. La
démonstration théorique du phénomène est totalement superflue ;

- Les connaissances détectées sont formalisées (arbres, graphes,

tableaux, règles, etc.) puis prototypées logiciellement ;

- La validité des connaissances prototypées est vérifiée grâce à un

test statistique (khi deux, kappa, etc.) sur un jeu de données dit «
test set », différent du jeu ayant servi à l'analyse (« training set ») ;

- Le test set peut être soit externe au training set, soit recalculé à
partir de lui (rééchantillonnage) ;

- Si le test est passé, le modèle est mis en production ;

- On recommence le cycle.
IV.2.7 Typologie de l'audit des systèmes d’information

La démarche d'audit informatique est générale et s'applique à différents

domaines comme la fonction informatique, les études informatiques, les
projets informatiques, l'exploitation, la planification de l'informatique, les
réseaux et les télécommunications, la sécurité informatique, les achats
informatiques, l'informatique locale ou l'informatique décentralisée, la
qualité de service, l'externalisation, la gestion de parc, les applications
opérationnelles… Ci-dessous une présentation succincte des différents
types d’audits informatiques les plus fréquents :
IV.2.7.1 Audit de la fonction informatique
Le but de l'audit de la fonction informatique est de répondre aux
préoccupations de la direction générale ou de la direction informatique
concernant l'organisation de la fonction informatique, son pilotage, son
positionnement dans la structure, ses relations avec les utilisateurs, ses
méthodes de travail…Pour effectuer un audit de la fonction informatique

146
on se base sur les bonnes pratiques connues en matière d'organisation de
la fonction informatique. Elles sont nombreuses et bien connues, parmi
celles-ci on peut citer :
- La clarté des structures et des responsabilités de l'équipe
informatique ;

- La définition des relations entre la direction générale, les directions

fonctionnelles et opérationnelles et la fonction informatique ;

- L'existence de dispositifs de mesures de l'activité et notamment

d'un tableau de bord de la fonction informatique ;

- Le niveau des compétences et des qualifications du personnel de la

fonction.
Il existe de nombreuses autres bonnes pratiques concernant la fonction
informatique. L'audit de la fonction se base sur ces pratiques dans le but
d'identifier un certain nombre d'objectifs de contrôle comme :

- Le rôle des directions fonctionnelles et opérationnelles dans le

pilotage informatique et notamment l'existence d'un comité de
pilotage de l'informatique ;

- La mise en œuvre de politiques, de normes et de procédures

spécifiques à la fonction
IV.2.7.2 Audit des études informatiques
L'audit des études informatiques est un sous-ensemble de l'audit de la
fonction informatique. Le but de cet audit est de s'assurer que son
organisation et sa structure sont efficaces, que son pilotage est adapté,
que ses différentes activités sont maîtrisées, que ses relations avec les
utilisateurs se déroulent normalement,… Pour effectuer un audit des
études informatiques on se base sur la connaissance des bonnes pratiques
recensées dans ce domaine. Elles sont nombreuses et connues par tous les
professionnels. Parmi celles-ci on peut citer :
- L'organisation de la fonction études en équipes, le choix des
personnes et leur formation, leurs responsabilités … ;

- La mise en place d'outils et de méthodes adaptés notamment une

claire identification des tâches, des plannings, des budgets, des
dispositifs de suivi des études, un tableau de bord ;

- Le contrôle des différentes activités qui ne peuvent pas être

planifiées comme les petits projets, les projets urgents ;

147
 - La mise sous contrôle de la maintenance des applications
opérationnelles ;

- Le suivi des activités d'études à partir de feuilles de temps.

IV.2.7.3 Audit de l'exploitation

L'audit de l'exploitation a pour but de s'assurer que les différents centres

de production informatiques fonctionnent de manière efficace et qu'ils
sont correctement gérés. Il est pour cela nécessaire de mettre en œuvre
des outils de suivi de la production comme « Openview d'HP, de Tivoli
d'IBM,… » ; Il existe aussi un système Open Source de gestion de la
production comme « Nagios ». Ce sont de véritables systèmes
d'information dédiés à l'exploitation. Pour effectuer un audit de
l'exploitation on se base sur la connaissance des bonnes pratiques
concernant ce domaine comme :

- La clarté de l'organisation de la fonction notamment le découpage

en équipes, la définition des responsabilités,

- L'existence d'un système d'information dédié à l'exploitation

notamment pour suivre la gestion des incidents, la gestion des
ressources, la planification des travaux, les procédures
d'exploitation,

- La mesure de l'efficacité et de la qualité des services fournis par

l'exploitation informatique.
IV.2.7.4 Audit des projets informatiques

L'audit des projets informatiques est un audit dont le but est de s'assurer
qu'il se déroule normalement et que l'enchaînement des opérations se fait
de manière logique et efficace de façon qu'on ait de fortes chances
d'arriver à la fin de la phase de développement à une application qui sera
performante et opérationnelle. Comme on le voit un audit d'un projet
informatique ne se confond pas avec un audit des études informatiques.
Pour effectuer un audit d'un projet informatique on se base sur la
connaissance des bonnes pratiques connues en ce domaine. Elles sont
nombreuses et connues par tous les chefs de projets et de manière plus
générale par tous professionnels concernés. Parmi celles-ci on peut citer :
- L'existence d'une méthodologie de conduite des projets ;

148
 - La conduite des projets par étapes quel que soit le modèle de
gestion de projets : cascade, V, W ou en spirale (processus itératif)
;

- Le respect des étapes et des phases du projet ;

- Le pilotage du développement et notamment les rôles respectifs du

chef de projet et du comité de pilotage ;

- La conformité du projet aux objectifs généraux de l'entreprise ;

IV.2.7.5 Audit de la sécurité informatique

L'audit de la sécurité informatique a pour but de donner au management

une assurance raisonnable du niveau de risque de l'entreprise lié à des
défauts de sécurité informatique. En effet, l'observation montre que
l'informatique représente souvent un niveau élevé de risque pour
l'entreprise. On constate actuellement une augmentation de ces risques
liée au développement d'Internet. Ils sont liés à la conjonction de quatre
notions fondamentales :

1. En permanence il existe des menaces significatives concernant la

sécurité informatique de l'entreprise et notamment ses biens immatériels ;

2. Le facteur de risque est une cause de vulnérabilité due à une faiblesse

de l'organisation, des méthodes, des techniques ou du système de contrôle
;

3. La manifestation du risque : Tôt ou tard le risque se manifeste. Il peut

être physique (incendie, inondation) mais la plupart du temps il est
invisible et se traduit notamment par la destruction des données,
l'indisponibilité du service, et le détournement de trafic ;

4. La maîtrise du risque. Il s'agit de mettre en place des mesures

permettant de diminuer le niveau des risques notamment en renforçant les
contrôle d'accès, et l'authentification des utilisateurs ;
IV.2.8 Schéma conceptuel de l’audit des systèmes d’information

Un audit des systèmes d'information ne concerne pas nécessairement la

sécurité. En effet, il peut aussi évaluer des aspects stratégiques ou de
qualité des systèmes d'information. Par exemple, répondre à la question

149
suivante : Est-ce que les systèmes d'information de l'entreprise répondent
efficacement aux besoins des services métiers ? Ce chapitre pourra
répondre à la question d’ordre conceptuel tel que la démarche et la
planification et les processus d’élaboration de l’audit des systèmes
d’information.
IV.2.8.1 Démarche d'audit des systèmes d’information
Une mission d'audit informatique se prépare. Il convient de déterminer un
domaine d'études pour délimiter le champ d'investigation. En ce sens il
est conseillé d'effectuer un pré-diagnostic afin de préciser les questions
dont l'audit va traiter. Cela se traduit par l'établissement d'une lettre de
mission détaillant les principaux points à auditer. Pour mener à bien
l'audit informatique il est recommandé de suivre cinq phases suivantes :
Le cadrage de la mission
Les objectifs du cadrage de la mission se présentent comme suit :
- Une délimitation du périmètre d’intervention de l’équipe d’audit
informatique. Cela peut être matérialisé par une lettre de mission7,
une note interne, une réunion préalable organisée entre les équipes
d’audit financier et d’audit informatique ;

- Une structure d’approche d’audit et organisation des travaux entre

les deux équipes ;

- Une définition du planning d’intervention ;

- Une définition des modes de fonctionnement et de communication.

IV.2.8.2 La compréhension de l’environnement informatique

Elle a pour but de comprendre les risques et les contrôles liés aux
systèmes informatiques et Elle doit permettre de déterminer comment les
systèmes clés contribuent à la production de l’information financière. Elle
se fait sur la base de 3 aspects notamment :

1. L’organisation de la fonction informatique : A ce stade, l’auditeur

devra saisir les éléments suivants :
- La stratégie informatique de l’entreprise : il s’agit bien d’un examen du
plan informatique, du comité directeur informatique, des tableaux de
bords etc.

Le mode de gestion et d’organisation de la fonction informatique : il

s’agit notamment de comprendre dans quelle mesure la structure

150
organisationnelle de la fonction informatique est adaptée aux objectifs de
l’entreprise. En outre, il faudrait apprécier si la fonction informatique est
sous contrôle du management. A cet effet, il faudrait examiner les aspects
suivants :
L’organigramme de la fonction informatique (son adéquation par rapport
aux objectifs assignés à la fonction, la pertinence du rattachement
hiérarchique de la fonction, le respect des principes du contrôle interne) ;
La qualité des ressources humaines (compétence, expérience, gestion des
ressources, formation) ;
Les outils de gestion et de contrôle (tableaux de bord, reporting, contrôles
de pilotage) ;
Les procédures mises en place(leur formalisation, leur respect des
principes de contrôle interne, leur communication au personnel).

2. Les caractéristiques des systèmes informatiques : L’auditeur devra

se focaliser sur les systèmes clés de façon à identifier les risques et les
contrôles y afférents. Ainsi, il faudrait documenter l’architecture du
matériel et du réseau en précisant:
- Les caractéristiques des systèmes hardware utilisés (leur architecture,
leur procédure de maintenance, les procédures de leur monitoring) ;

- Les caractéristiques des systèmes software (systèmes

d’exploitation, systèmes de communication, systèmes de gestion
des réseaux, de la base des données et de la sécurité, utilitaires).
-
La cartographie des applications : La documentation des applications
clés devrait être effectuée de préférence, conjointement par l’équipe de
l’audit financier et celle de l’audit informatique. Les auditeurs financiers
identifient les comptes significatifs compte tenu du seuil de matérialité de
la mission. Les deux équipes recensent les processus qui alimentent ces
comptes. Il reviendra par la suite, à l’équipe d’audit informatique
d’inventorier les applications informatiques utilisées dans ces processus
ainsi que leurs caractéristiques (langage de développement, année de
développement, bases de données et serveurs utilisés).

CHAPITRE V. CYBERCRIMINALITE

151
 Le terme cybercriminalité celui-ci est utilisé généralement pour décrire
l’activité criminelle dans laquelle le système ou le réseau informatique est
une partie essentielle du crime il est également employé pour décrire des
activités criminelle traditionnelle dans laquelle les ordinateurs ou les
réseaux sont utilisés pour réaliser une activité illicite. Dans le premier
cas, les technologies sont la cible de l’attaque. Dans le second, elles en
sont le vecteur.

V.1 Définitions

La cybercriminalité Désigne les infractions commises en ligne via les

réseaux de communications électroniques.

La cybercriminalité est définie comme un crime lorsqu’un ordinateur est

l’objet du crime ou est utilisé comme outil pour commettre une
infraction. Un cybercriminel peut utiliser un appareil pour accéder aux
informations personnelles d’un utilisateur, à des informations
confidentielles professionnelles, à des informations gouvernementales, ou
pour désactiver un appareil. Vendre ou obtenir les informations citées
plus haut est aussi considéré comme de la cybercriminalité.

Est une notion large qui regroupe l’ensemble des infractions pénales
commises via les réseaux.

L’ensemble des infractions commises par un moyen électronique ou

ayant pour cible un objet numérique, un matériel informatique.

Les cybercrimes peuvent se diviser en deux catégories :

Crimes visant des réseaux Crimes utilisant des dispositifs pour

ou des appareils participer à des activités criminelles

Virus Phishing Emails

Malware Cyberstalking ou cyber harcèlement

Attaques DDoS Le vol d’identité

152
V.1 Impact de la cybercriminalité sur la société

La cybercriminalité a instauré une menace majeure pour les utilisateurs

d’Internet, des millions d’informations utilisateur ayant été volées ces
dernières années. Il a également eu un impact énorme sur l’économie de
nombreux pays. Le président d’IBM, Ginni Rometty, a décrit la
cybercriminalité comme « la plus grande menace pour chaque profession,
chaque secteur, chaque entreprise du monde ». Vous trouverez ci-dessous
des statistiques choquantes sur l’impact de la cybercriminalité sur notre
société.

V.2 Catégories de cybercriminalité

La cybercriminalité se divise en trois grandes catégories : la

cybercriminalité individuelle, la cybercriminalité contre la propriété et la
cybercriminalité gouvernementale. Les types de méthodes utilisées et les
niveaux de difficulté varient selon la catégorie.

Propriété : Il s’agit d’un cas réel où un criminel possède illégalement les

coordonnées bancaires ou de carte de crédit d’une personne. Le pirate
vole les coordonnées bancaires d’une personne pour avoir accès à des
fonds, faire des achats en ligne ou lancer des arnaques par hameçonnage
(phishing) pour inciter les gens à divulguer leurs informations. Ils
pourraient également utiliser un logiciel malveillant pour accéder à une
page Web contenant des informations confidentielles.

Individuel : Cette catégorie de cybercriminalité implique une personne

qui distribue des informations malveillantes ou illégales en ligne. Il peut
s’agir de cyber harcèlement, de distribution de pornographie et de trafic.

Gouvernement : C’est la cybercriminalité la moins répandue, mais c’est

l’infraction la plus grave. Un crime contre le gouvernement est également
connu sous le nom de cyber terrorisme. La cybercriminalité
gouvernementale comprend le piratage de sites Web gouvernementaux,
de sites militaires ou la diffusion de propagande. Ces criminels sont
habituellement des terroristes ou des gouvernements ennemis d’autres
pays.

153
V.3 Les types de cybercriminalité

V.3.1 Les attaques DDoS

Celles-ci servent à rendre un service en ligne indisponible et à détruire le
réseau en submergeant le site de trafic provenant de diverses sources. Les
grands réseaux de périphériques infectés, appelés botnets, sont créés en
déposant des logiciels malveillants sur les ordinateurs des utilisateurs. Le
pirate informatique pirate ensuite le système lorsque le réseau est en
panne.

V.3.2 Les botnets

Les botnets sont des réseaux d’ordinateurs compromis contrôlés de
manière externe par des pirates informatiques à distance. Les pirates
envoient ensuite des spams ou attaquent d’autres ordinateurs via ces
botnets. Ils peuvent également être utilisés pour agir en tant que virus et
effectuer des tâches malveillantes.

V.3.3 Le vol d’identité

Ce cybercrime se produit lorsqu’un criminel obtient l’accès aux
informations personnelles d’un utilisateur pour lui voler de l’argent,
accéder à ses informations confidentielles ou participer à une fraude
fiscale ou une fraude à l’assurance maladie. Ils peuvent aussi ouvrir un
compte téléphonique ou internet à votre nom, utiliser votre nom pour
planifier une activité criminelle et réclamer les aides que vous donne le
gouvernement. Pour ce faire, ils piratent les mots de passe de l’utilisateur
et récupèrent des informations personnelles sur les réseaux sociaux ou en
envoyant des emails de phishing.

V.3.4 Le cyber harcèlement (Cyberstalking)

Ce type de crime implique un harcèlement en ligne où l’utilisateur est
soumis à un très grand nombre de messages en ligne et par email.
Généralement, les cyber harceleurs utilisent les réseaux sociaux, les sites
web et les moteurs de recherche pour intimider et inspirer la peur chez le
harcelé. Habituellement, le cyber harceleur connait sa victime et veut lui
faire peur et qu’il se sente en danger.

V.3.5 L’ingénierie sociale

L’ingénierie sociale fait référence à des pratiques de manipulation
psychologique à des fins d’escroquerie. Les criminels vous contactent
directement, habituellement par téléphone ou par email. Ils veulent

154
gagner votre confiance et se font passer pour l’agent d’un service
clientèle afin que vous lui fournissiez les informations dont il a besoin. Il
s’agit généralement d’un mot de passe, du nom de l’entreprise pour
laquelle vous travaillez ou vos coordonnées bancaires. Les cybercriminels
trouveront ce qu’ils peuvent à propos de vous sur internet puis tenteront
de vous ajouter comme ami sur les réseaux sociaux. Une fois qu’ils ont
accès à un compte, ils peuvent vendre vos informations ou sécuriser des
comptes en votre nom.

V.3.6 Les PUPs (Potentially Unwanted Programs (Programmes

Potentiellement Indésirables)
Ce sont moins menaçants que les autres cybercrimes mais sont un type de
logiciel malveillant. Ils désinstallent les logiciels nécessaires sur votre
système, y compris les moteurs de recherche et les applications pré-
téléchargées. Ils peuvent contenir des logiciels espions ou publicitaires, il
est donc judicieux d’installer un antivirus pour éviter les téléchargements
malveillants.

V.3.7 Le Phishing
Ce type d’attaque implique que des pirates informatiques envoient des
pièces jointes ou des URL malveillantes à des utilisateurs pour accéder à
leurs comptes ou à leur ordinateur. Les cybercriminels sont de plus en
plus déterminés et nombre de ces emails ne sont pas signalés comme
spam. Les utilisateurs sont piégés dans des emails affirmant qu’ils
doivent changer leur mot de passe ou mettre à jour leurs informations de
facturation, donnant ainsi accès aux criminels.

V.3.8 Contenu interdit / illégal

Ce type de cybercrime implique des criminels partageant et distribuant du
contenu inapproprié pouvant être considéré comme très pénible et
offensant. Le contenu offensant peut inclure, sans toutefois s’y limiter,
une activité sexuelle entre adultes, des vidéos d’une extrême violence et
des activités criminelles. Le contenu illégal comprend des documents
prônant des actes liés au terrorisme et à l’exploitation d’enfants. Ce type
de contenu existe à la fois sur Internet et sur le Dark Web, un réseau
anonyme.

155
V.3.9 Les escroqueries en ligne
Elles se présentent généralement sous la forme de publicités ou de spams
contenant des promesses de gains ou des offres aux montants irréalistes.
Les escroqueries en ligne incluent des offres alléchantes « trop belles
pour être vraies » et peuvent, lorsque l’on clique dessus, faire entrer des
virus et compromettre vos informations.

V.3.10 Les kits d’exploitation

Les kits d’exploitation ont besoin d’une vulnérabilité (bug dans le code
d’un logiciel) pour prendre le contrôle de l’ordinateur d’un utilisateur.

V.4 Lutter contre la cybercriminalité

La lutte contre la cybercriminalité couvre les aspects technique et légal.

Dans ce cours, nous allons nous focaliser l’aspect technique qui est la
mise en place d’un CERT pour la lutte contre la cybercriminalité pour
une sécurisation de l’écosystème congolais. Il sied de noter que le CERT
n’est pas une exclusivité nationale, une entreprise, une université peuvent
aussi avoir leur propre CERT.

V.4.1. Analyse de l’existant

1. Introduction
Le cyber sécurité (exploitation maligne de la technologie de l’Internet) a
commencé vraiment en 1988, avec le ver de R. Morris. L’effet immédiat
fut de créer le premier CERT aux Etats Unis. Depuis la cyber sécurité a
évolué. Les attaques sont devenues progressivement plus sophistiquées.
Aujourd’hui l’internet est un endroit dangereux où agissent toutes sortes
de criminels et cela coïncide avec le moment ou l’internet prend de plus
en plus d’importance en Afrique.

A la différence des pays plus avances qui ont eu l’avantage d’utiliser

l’internet avant qu’il soit aussi dangereux et qui ont eu le temps de
s’adapter aux changements de conditions de sécurité, l’Afrique doit

156
immédiatement se préparer à faire face à de sérieuses menaces.
Autrement elle risqué de ne pas pouvoir tirer profit des bénéfices de
l’internet. Les gouvernements Africains doivent prendre la cyber sécurité
au sérieux. Non seulement la cyber sécurité est une menace, elle est
complexe.

Le cyber sécurité est probablement la menace la plus complexe des

économies avancées. La République Démocratique du Congo en
particulier et l’’Afrique en générale ne fera pas exception.

2. Etats de lieux de la Cybercriminalité en RDC

Aujourd’hui, des milliers de Congolais ont accès à internet avec un taux
de pénétration d’un pourcent. La pluralité des fournisseurs et la diversité
des tarifs ont contribué pour beaucoup à cet état de chose. Il n'en reste pas
moins que la RDC est sérieusement en retard sur même ses voisins en ce
qui concerne la pénétration de l'internet. D'après les plus récentes
statistiques de "World Internet Statistics", la pénétration en RDC est de
1%. Par comparaison, la pénétration de l'internet à "l'autre Congo" est
5.8% La moyenne Africaine est 11.5%.

Il faut s'attendre et se préparer à une croissance rapide de l'Internet en

RDC dans les prochaines années. Les entreprises de télécommunications
y contribuent et du coup, des milliers de citoyens de la RDC reçoivent
l'Internet de manière continue dans un nombre croissant d’endroits.

Ce que la plupart des Congolais voient c'est l'accès à une nouvelle

technologie qui leur offre plein de prometteuses nouvelles opportunités.
Ce qu'ils ignorent ou ne réalisent pas totalement, c’est l'impact que cette
évolution risque d'avoir sur leur liberté. Ils ne réalisent pas
nécessairement que sur Internet, leurs données personnelles ne sont
protégées par aucune loi, de même que les transactions électroniques ne
sont pas réglementées, ni les droits des propriétés des logiciels.

Située au cœur du continent Africain, la République Démocratique du

157
Congo est considéré comme un trou noir dans le domaine de NTICs et
pourtant les compétences et l’expertise sont légions. Alors nous posons la
question de savoir pourquoi ce domaine a de la peine à décoller en RDC
pendant que ses neufs voisins mettent en place des lois et structures pour
l’éclosion des NTICs.

Le fait que la RDC soit un si grand pays est une complication, puisque
tout se passe à une échelle tellement plus grande. Mais peut-on dire que
les NTICs sont considérés comme la priorité qu'elles devraient être?

La
Carte Politique du continent Africain
Le boum économique dans la sous-région et de la RDC en matière des
Nouvelles technologies de l’Information et de la communication.

L'internet se développe à grande vitesse dans le continent Africain. Des

158
câbles sous-marins passent au large de toutes les côtes Africaines,
permettant à ces pays de recevoir l'Internet à grande bande passante. Cela
a toutes sortes de conséquences. L’avènement du haut débit sur les côtes
Africaines nécessite une pénétration dans les régions intérieures du
continent pour la mise en place du Backbone continental et cela passe par
des régulations inter frontalières entre les Etats Africains pour une
communication transparente des données sur le continent.

La RDC ne peut guère se permettre d'être à la traîne dans ce processus. Il

a beaucoup à gagner à jouer un rôle très actif et même de leader dans la
sous-région. Cela est dû à sa situation géostratégique. Ou la RDC est un
élément central de l'architecture du "Backbone" Africain, ou le Backbone
contournera la RDC. Les conséquences de ces deux scénarios sont
dramatiquement différentes pour la RDC. Il est impératif que la RDC
fasse les investissements dans les TIC et l'internet en particulier
nécessaires pour s'assurer le rôle central qui lui appartient.

Cela suppose aussi une modernisation sur le plan légal. Le secteur de la

poste et des télécommunications est encore régi par les lois cadre N°012
et 013/2002 du 16 octobre 2002 portant respectivement sur la Poste et les
télécommunications ainsi que sur la loi N°14/2002 de la même date
portant création de l’Autorité de la Régulation de la Poste et les
Télécommunications en RDC (ARPTC), des lois qui comportent des
lacunes et des imperfections qui nécessitent des mises à jour, selon le
coordonnateur de la cellule NTIC du ministère PTT.

3. Le Danger de cette léthargie

« Nous courons le risque de devenir un grand trou au cœur de l’Afrique ».
« Nous avons pris énormément de retard sur nos voisins qui disposent
déjà de politiques affirmées et ont même l’internet haut débit grâce à la
fibre optique». « Avec toutes les ressources humaines et matérielles dont
nous disposons, nous n’évoluons pas assez vite».

159
Les gouvernements congolais ont l’obligation de mettre en place un
environnement propice à une éclosion d’une industrie congolaise dans ce
secteur et les élites dont la tâche est d’ouvrir les yeux de la communauté
sur les enjeux majeurs des TIC pour un pays comme la RDC mais aussi
de proposer des solutions pratiques aux difficultés auxquelles la
communauté peut être confrontée dans l’appropriation de ces nouvelles
technologies et de la mise en place des politiques en la matière.

La cyber sécurité complique cette situation. Un pays ou l'Internet a une

grande pénétration et ou l'accès à la large bande est répandu a
intrinsèquement des problèmes sérieux provenant de sécurité. Cela vient
du fait qu'une partie importante de la vie économique et politique du pays
utilise l'internet avec tous ses périls. Le danger pour la RDC est que de
disposer de ce genre d’environnement et infrastructure exposera la RDC
au cyber attaqués et ne rassurera pas les entrepreneurs vus que tous se fait
sur Internet et cet outil combien large et critique n’est pas à l’abri des
tous les dangers.

Ici la question qu’il faut se poser est de vouloir mettre en place un

Système des sécurisations qui couterait 10.000 $ pour la protection de
notre cyber espace ou payer plus de 100.000 $ pour faire face aux
conséquences d’un cyber attaque. La RDC a le choix entre une politique
qui coute chère et une autre plus facile au début à justifier mais qui
coûteras encore plus.

4. Quelles sont les pistes de solutions

Le gouvernement de la RDC est dans une situation complexe. Il doit
opérer dans un système de contraintes étroit. Avec des ressources
limitées, un pays gigantesque qui manque de toutes sortes
d'infrastructures essentielles, il doit s'engager dans une politique très
ambitieuse (au point de sembler risquée) d'investissements au niveau
national dans les NTICs. Il doit se préoccuper des conséquences
négatives d'ne telle politique (telle que la cyber sécurité qui ne peut

160
qu'ajouter aux coûts). De plus il y a urgence, le gouvernement ne peut
guère temporiser. Finalement, il n'y a pas de bons précédents sur lesquels
la RDC peut trouver inspiration expérience. Et dans la réalité économique
et politique de la RDC aujourd'hui il n'est pas évident qu'il soit facile ou
même possible pour le gouvernement Congolais de donner à ces
investissements la priorité dont ils ont besoin.

Dans l'hypothèse où le gouvernement Congolais avait décidé de

poursuivre cette ambitieuse politique, quelle forme pourrait-elle prendre?

La plus grande partie des ressources seraient investies dans les NTICs et
en particulier les infrastructures. Il est important que ces investissements
doivent en même temps satisfaire les besoins immédiats du pays et ils
doivent être conçus de telle sorte qu'ils permettent à la RDC de jouer un
rôle central dans la construction du Backbone de l'internet au niveau du
continent Africain.

Cela implique que ces investissements devraient être décidés

interactivement avec les autres pays Africains ou de telle manière qu'ils
vont à la rencontre des besoins des autres pays Africains.

Il y a une dimension technique. La technologie de l'internet évolue très

vite. De plus nous assistons à une tendance prononcée vers un nouveau
type de plateforme, à savoir les "Smartphones". Ces plateformes ont
besoin d'infrastructures différentes de ce que les plateformes plus
classiques ont besoin. Un autre phénomène dominant est la
"convergence": toutes les formes de communications progressivement
veulent utiliser l'internet. L' "internet of things" est une vision futuriste,
mais pas si loin dans le future. Dans cette vision l'internet connecte non
seulement les usagers et serveurs, mais aussi tous les objets qui sont
affectés par des données numériques. Ça inclut des choses aussi variées
que les RFID, les toasters, etc. La vision est que dans une société ultra-
moderne tout sera "computerisé". La sagesse veut que les investissements

161
dans les TIC aujourd'hui aient cette future en perspective.

Un tel programme d'investissements pose beaucoup de problèmes

complexes. Le plus tôt des études et débats sur ces sujets commencent, le
mieux.

Quel rôle ou place pour la cyber sécurité dans ces décisions ?

Le choix est entre investir trop ou pas assez et le danger est d'investir de
façon erronée. Le mieux est de donner au CISRT national Congolais un
rôle dans les analyses et décisions sur ces investissements. Ceci est basé
sur l'observation que même dans un environnement où les ressources sont
imitées, il est important d'avoir la sécurité comme préoccupation dès le
début des projets. L'alternative qui est d'ajouter la sécurité à la fin sur la
base d'analyse de vulnérabilité, simplement ne marche pas. Ce qui arrive
à la place est une poursuite vaine pour corriger de nouvelles
vulnérabilités qui ne cessent d'apparaître.

Mettre sur pied d'urgence les bases d'un CISRT national est par
conséquent la mesure la moins controversable que le gouvernement de la
RDC peut prendre. Ce CISRT initial n'a pas besoin d'être une grande
organisation. Mais il est essentiel que les membres fondateurs d'un
CISRT national soient choisis pour leur expertise, technique et aussi en
politique. Il faut s'assurer qu'ils aient une bonne formation technique.

Ces personnes doivent aussi comprendre les contraintes politiques et la

difficulté de mettre sur pied des politiques d'investissements. Pour que le
CERT soit efficace une condition vitale est qu’il ne soit pas enterré dans
la bureaucratie du gouvernement ou un ministère, mais qu'il soit une
agence autonome avec accès au plus haut niveau du gouvernement.

De laisser un CERT national être une partie de la bureaucratie du

gouvernement est un moyen efficace de garantir son échec. Un message
clair de ce qui se passe dans les gouvernements comme le gouvernement

162
Américain est que les gouvernements ont une peine terrible à s'adapter à
la culture du cyber sécurité. Une des missions d'un CERT national est
d'éduquer le reste du gouvernement sur la cyber sécurité. Il y a beaucoup
d’évidence abondamment documentée que les gouvernements et
bureaucraties sont de mauvais élèves et que cette éducation est difficile. Il
est essentiel pour la sécurité de la RDC que le CERT national soit aidé
dans cet effort et non rendu responsable du fait que malgré ses efforts la
situation de cyber sécurité semble se péjorer dans le gouvernement, ce
qui se passe aux Etats unis en ce moment.

Durant nos recherches sur le cas de notre pays la République

Démocratique du Congo, nous nous sommes posé quelques questions :

- Si la liaison de faible capacité (Satellitaire) n’est pas utilisée à sa

capacité maximale, pour faire une migration vers le haut débit ?
(fibre Optique)

- Pourquoi les autorités compétentes n’imposent l’interconnexion

entre différents fournisseurs de service Internet ou mettre en place
une politique en la matière ? (Point d’échange)

- Pourquoi réinventer la roue en voulant mettre en place des

architectures et solution complexe au lieu de faire simple ?

5. Les acteurs clés

Les acteurs dans cet exercice sont :

- Le vice Primature Ministère de Poste et Télécommunication

- Ministère de Recherches Scientifiques

- Ministère de la communication et Medias

- L’autorité de Régulation (ARPTC) L’autorité de Régulation

(ARPTC)

163
 - Société Congolaise de Poste et Télécommunications

- Les Chercheurs Congolais

- Les ONGs

- Les Entreprises

- Les Universités et Institut Supérieur

Tous ses acteurs on un rôle à jouer dans la lutte contre le cyber sécurité.

164
V.4.2. Conception du RDC CISRT et son fonctionnement

1. Introduction
Les réseaux de communication et les systèmes d’information sont devenus un facteur
clé du développement économique et social. L’électronique et la réseautique sont
désormais des services aussi omniprésents que l’approvisionnement en électricité ou
en eau.

La République Démocratique du Congo s’étant résolument tourné vers la modernité

est dans l’obligation de mettre à la disposition de sa population ou de ses partenaires
un centre ou une agence nationale de lutte contre la cybercriminalité.

La sécurité des réseaux de communication et des systèmes d’information, et leur

disponibilité en particulier, sont devenues dès lors une préoccupation croissante pour
la société en raison des risques y afférents, à savoir que des systèmes d’information
clés pourraient, en raison de leur complexité, d’un accident, d’une erreur ou d’une
attaque, connaître des problèmes se répercutant sur les infrastructures physiques qui
fournissent des services vitaux pour le bien-être des citoyens Congolais et Africain.

Dans notre mémoire, nous avons choisi le Business model gouvernemental et ce

dernier fournira des services aux organismes publics, privé et aux citoyens Congolais.

Après une recherches et consultation avec les experts du domaine, nous avons opté le
sigle « CERTRDC »

2 . Elaboration du plan d’activité

2.1 Définition du modèle financier

Une série de services de base initiaux ont été sélectionnés à l’issue de l’analyse. Il
convient de songer maintenant au modèle financier autrement dit, de définir des
conditions de prestation des services en question qui soient à la fois adaptées et
payables.

Dans un monde parfait, le financement correspondrait aux besoins des parties

prenantes; dans la réalité, toutefois, la gamme des services proposés doit tenir compte

165
d’un budget déterminé.

Notre Pays étant un pays post conflit, la définition du modèle de financement est
d’une importance capitale.

Pour un début l’agence devras recevoir un financement du gouvernement et dans la

suite généreras ses propres sources par la cotisation des membres, organisations des
formations et conseils.

2.2 Modèle des coûts

Les deux principaux éléments qui déterminent les coûts sont la fixation des heures de
service et le nombre (et la qualité) des effectifs à y affecter. Le RDCCERT assureras
une réponse aux incidents 24 heures par jour et 7 jours par semaine.

Une autre possibilité réside dans l’organisation d’une coopération internationale avec
d’autres CERT (AfricaCERT, JPCERT, Kenyan CERT, etc.) pour assurer une
prestation ininterrompue.

2.3 Modèle des recettes

Une fois les coûts déterminés, il convient de se tourner vers les modèles de recettes
possibles, comment les services planifiés peuvent-ils être financés?

Voici quelques scénarios possibles :

a. Utilisation de ressources existantes

Il est toujours utile d’évaluer les ressources qui existent ailleurs dans l’entreprise.
Celle-ci occupe-t-elle déjà, au sein du département informatique en place, par
exemple, des personnes suffisamment qualifiées en termes d’expérience et
d’expertise? Des accords peuvent probablement être trouvés avec la direction en vue
de détacher ce personnel auprès du CSIRT au moment de son démarrage, ou pour
qu’il lui apporte un soutien ponctuel en cas de nécessité.

166
b. Cotisations des Membres

Une autre possibilité consiste à vendre les services du CSIRT aux parties prenantes en
leur demandant une cotisation annuelle ou trimestrielle. Des services supplémentaires
pourraient être rémunérés en fonction de leur utilisation (consultance ou audits de
sécurité, par exemple).

Autre scénario envisageable: les services sont gratuits pour les parties prenantes
(internes), mais payants pour les clients extérieurs. Une autre idée encore consisterait
à publier les bulletins d’information et de sécurité sur le site Web public et de réserver
aux membres une partie du site contenant des informations plus précises ou plus
spécialisées.

L’expérience a montré que «l’abonnement par service CSIRT» ne permet pas

réellement de générer des ressources financières suffisantes, surtout en phase de
démarrage. Un certain nombre de frais fixes de base, inhérents à l’équipe et au
matériel, doivent être payés à l’avance. Le financement de ce type de coûts par la
vente de services CSIRT s’avère donc difficile et une analyse approfondie s’impose
pour calculer le seuil de rentabilité.

2.4 Modèle Organisationnelle du RDCISRT

Le CSIRT est conçu et agit comme une organisation indépendante, dotée de sa propre
direction et de son propre personnel.

167
 Organigramme de CISRT

3. Architecture technique et matérielle

Dans un Système d’ Information, la définition et le choix d’une architecture est d’une
importance capitale car ce dernier est fait en tenant compte du Business plan.

3.1 architecture de base du lancement du CISRT

Dans cette architecture du lancement du CISRT, le Réseau est subdivisé en trois

parties pour raison de sécurité qui sont :

Le Réseau Outside (Internet) : qui pour rôle de connecter le CISRT à ses

constituantes et au reste du monde avec un Security Level 0.

Le Réseau DMZ : domaine intermédiaire du réseau auquel les partenaires

extérieures auront accès sur lequel on met le serveur Web, Portail, FTP servers
avec un Security Level 50.

Le Réseau Inside : Ce réseau LAN du CISRT avec un Security Level 100.

Liste de Matériel du lancement du CISRT et Architecture

168
 Comme nous l’avons dit ci-haut, le CISRT est une entité qui grandiras selon le besoin
raison pour laquelle il est conseiller de commencer petit et prévoir une extension à
court et a long terme.

Figure II.2 : Liste des Matériel du lancement.

Materiels Services Nombres d’unité

Routeur Connection vers le FAI 1

Firewall DLZ & LAN Firewall 2

Switch DMZ & LAN couche 2 Switch 2

Serveur 1 CERT Portal (Web Server ) 1

Serveur 1 Serveur de Base Données 1

Laptop Serveur de gestion des incidents (ticket) 1

Desktop Activité Normal 3

Imprimante Imprimante Réseau 1

ARCHITECTURE DE BASE DU LANCEMENT DU CISRT

169
Figure II.3 : Architecture du lancement RDCCERT

II.3.2 architecture de la première phase d’extension du Réseau

Cette architecture est l’évolution de la première en ajoutant d’autres équipements

spécifiques utiles pour travaux journalière du CISRT et une organisation fonctionnelle
et organisationnelle pour un travail efficace et optimisation du temps.

Dans cette architecture, nous ajouté quelques Serveurs et équipement réseau.

(Honeypot : Pot de miel pour la capture de tous le trafic qui passe sur le Réseau).

Le Serveur 9 et Serveur 10 (serveur de développement et le serveur test) sont
principalement pour la poursuite du développement et de test de l'application du

170
CISRT.

Ce sont des composants optionnels qui donnent de la valeur ajoutée pour le

développement des services offerts par le CIRT à venir, mais ne sont pas la clé pour le
déploiement d'une CIRT. Néanmoins, ces composants optionnels contribueront dans
les phases ultérieures d'un CISRT.

Il est également supposé que le serveur de sauvegarde sera composé d'un réseau de
stockage sur bande qui va suivre une procédure convenue et de permettre pour la
sauvegarde et une restauration complètes. La procédure sera également contenir les
processus de stockage de sauvegarde sur bande dans des endroits différents afin de
permettre la récupération d'urgence.

Liste de Matériel de la première phase de l’extension du CISRT et Architecture.

Cis-bas nous vous présentons la liste des matériels et Architecture d’extension en

intégrant d’autre composant utile pour le fonctionnement du CISRT.

171
Listes des Matériel de la première phase d’extension

172
ARCHITECTURE DE LA PREMIERE PHASE D’EXTENSION DU
RESEAU

Expansion de l’architecture du CISRT

3.3 Architecture redondant du CISRT

La sécurité Informatique, l’analyse et le monitoring du trafic Internet pour les

constituent est d’une importance capitale et les services Internet et Inter-Net étant
24/24 7/7, le CISRT doit disponibiliser d’un système de disponibilité permanant avec
des sites Backup ou toutes l’architecture, les Services, le fonctionnement du site A est
reproduit.

Cette Architecture redondant assurera une grande disponibilité du système

d’Information du CISRT pour un bon fonctionnement conformément à sa mission.

173
Liste de Matériel de l’architecture redondant du CISRT

Listes des Matériels pour les Site Master et Slave

174
L’ARCHITECTURE DE LA DISPONIBILITE DU RESEAU

Architecture avec une grande disponibilité du Réseau

4. Plan de Restauration en cas de crash

Dans le cas d'un échec, une reprise après sinistre (DR) la conception du réseau a été
constituée selon le schéma ci-dessous.

Le site principal serait le site principal pour l'exécution des opérations CIRT tandis
que le site de sauvegarde ne sera actif une fois que l'état d'urgence est déclaré. Le DR
sera un type chaleureux des sites où elle aura le matériel et la connectivité déjà établi,
mais à une échelle plus petite que le site de production d'origine. Le site de
sauvegardes (sauvegarde sur bande) à portée de main, mais ils ne peuvent pas être
complètement mis à jour pour l'infrastructure DR et peut-être derrière plusieurs jours
ou une semaine. Les processus manuels pour transférer les sauvegardes sur bande vers

175
le site aura t être incorporés afin d'assurer que le site peut être opérationnel dans une
affaire de quelques heures. Solutions du site chaudes fournissent temps quasi-réel de
récupération des infrastructures, des données et des applications à travers une
configuration redondante.

Cette solution est adaptée pour les opérations qui peuvent tolérer quelques heures de
temps d'arrêt alors que les systèmes sont mis à jour.

176
L’ARCHITECTURE DU DISASTER RECOVERY

Fig xxx Architecture des Recovery PLAN

5. Les outils utiliser pour le fonctionnement du CISRT

Les outils sont très importants et critiques pour le CERT accompli sa mission. Même
les outils les plus élémentaires de faire le travail pendant un bon moment quand une
équipe est jeune, enthousiaste et a toujours l'impulsion des opérations de départ. Mais
après un certain temps les lacunes apparaissent et avoir un impact de plus en plus
négatif sur la performance.

Travailler avec les éditeurs de texte de base et les fichiers de texte brut au cours de la
gestion des incidents est suffisante pour un certain temps, mais quand le nombre
d'incidents traités augmente les difficultés deviennent de plus en plus importantes, et
les membres du personnel commencent à écrire leurs propres scripts pour automatiser

177
des tâches récurrentes. L'autre extrême serait une équipe qui commence à fonctionner
avec les outils les plus sophistiqués qui ils peuvent difficilement utiliser, parce qu'ils
n'ont pas été appris à utiliser toute la complexité. Dans tous les cas, après un certain
temps de fonctionnement de l'outillage existant doit être évaluée et les changements
nécessaires devraient être prises.

Des outils personnalisés peuvent être construits soit par l'équipe elle-même ou un
programmateur externe, mais il est plus économique d'abord évalué le choix des outils
existants. Il est également important dans l'amélioration des outils de ne pas
décourager les membres de l'équipe de développement des nouveaux outils.

Les chois des outils systèmes et matériels dépend des éléments suivants :

- Avoir une maitrise et des prés-requis sur les outils utilisés ;

- Les outils Open sources est très flexible et approprié ;

Appliqué à la lettre les procédures des incident ;

- Avoir un sens de travailler en équipe ;

- One Team, One Goal.Pourquoi l’utilisation des outils sont important dans
l’opérationnel du CERT? L’utilisation des outils contribue efficacement au
fonctionnement et à la réalisation de la mission du CERT pour entre autre :

- Gestion des incidents, de la vulnérabilité et la prise en charge des virus

- Gestion et management des Logs

- L’analyse du trafic qui passe sur le Réseau

- Investigation et la recherches Sans outils, vous ne serez pas en mesure de

savoir ce qui se passé dans votre réseau et cela vous fait gagné en temps sur
l’analyse et au support des ses constituent. Ces outils nous permettent de faire
nos propres scripts et augmenter sérieusement le travail et le temps de réaction
en cas d'incident ou d'attaques. Comme nous utilisons les Open Source ou

178
 autre système d'exploitation, nous savons que notre ennemi utilise le même
outil, et nous devons être plus naïfs de configurer nos propres fonctionnalités,
fonction ou personnaliser nos logiciels open source. Dans notre laboratoire,
nous avons utilisé deux systèmes d’exploitation cotés infrastructure : - Les
Systèmes Windows (pour les systèmes Windows nous avons utilisé Nessus,
Wireshark, EtherSnoop Light, Etheape, Paros, Solarwinds, WhatUps, PGP et
d’autre logiciel.

- Les Unix (Open Sources)

Dans notre recherche, nous ne pouvons pas illustrer en détail tout de commande Unix,
nous sélectionnons seulement quelques uns. (Certains outils sont également
disponibles pour Windows)

Commande de base linux outils ps, df, dd, dmesg, grep, ls, cd, cp, rm, mv, ifconfig
whois, dig(nslookup), traceroute, ping, strings, netstat, top (endless...) , gnupg , ssh,
snort, airsnort, hping2, nmap, w3m, kismet, netcat(nc), tcpdump, wget, tcpreplay,
aircrack.

Présentation des outils utilises

Nous vous présentons quelques outils utilisés durant notre simulation.

a. Nmap

Nmap: (Network Mapper) est un scanner de sécurité à l'origine écrit par Gordon Lyon
(également connu sous son pseudonyme Fiodor Vaskovich) [1] utilisés pour découvrir
les hôtes et services sur un réseau informatique, créant ainsi une «carte» du réseau.

b. Dmseg

179
 Présentation du Nmap

Dmesg: Imprimer ou control le tampon anneau du noyau. Le programme aide les

utilisateurs à imprimer leurs messages amorçage. Au lieu de copier le message à la
main, l'utilisateur n'a qu'à: dmesg> boot.messages et envoyer le fichier à quiconque
boot.messages pouvez déboguer leur problème.

Le résultat suivant est une partie affichée, lorsque l'utilisateur tape "dmesg". ).

c. Kismet

180
Kismet est un outil qui fonctionne sur la couche 2 du model OSI est utiliser dans la
technologie 802.11 du réseau sans fil, il efficace pour sniffer le trafic, et système de
détection d'intrusion. Kismet fonctionne avec n'importe quelle carte sans fil.

d. Netstat

Netstat (statistiques du réseau) est un outil de ligne de commande qui affiche les
connexions réseau (entrant et sortant), des tables de routage, et un certain nombre de
statistiques relatives aux interfaces réseau. Il est disponible sur Unix, Unix-like, et les
systèmes d'exploitation basés sur Windows NT. Il est utilisé pour trouver des
problèmes dans le réseau et de déterminer la quantité de trafic sur le réseau en tant
que mesure du rendement.

181
Netstat

e. Nagios

Nagios est un outil de monitoring du Réseau très populaire c’est un Open Sources il
permet la surveillance du réseau et l'application des logiciels d'infrastructure de
surveillance.

Nagios offre une surveillance complète et d'alerte pour les serveurs, les
commutateurs, les applications et les services et est considéré comme le standard de
l'industrie de facto en matière de surveillance des infrastructures IT.

f. Wireshark

Wireshark est avant tout l’outil analyseur de protocole et de trafic du réseau est le
standard de facto dans de nombreuses industries et les établissements d’enseignement.

182
g. Nessus

Le Nessus est un scanner de vulnérabilité, est le leader mondial dans les scanners
actifs, avec la découverte à grande vitesse, la vérification de configuration, le
profilage des actifs, sensibles découverte des données et analyse de la vulnérabilité de
votre posture de sécurité. Scanners Nessus peut être distribué tout au long de toute
l'entreprise, à l'intérieur DMZ, et à travers les réseaux physiquement séparés.

h. Agus

183
Argus est la nouvelle génération d'enregistrement du réseau d'audit et de système
d'utilisation. Le projet Argus est axé sur l'élaboration de stratégies d'activité de réseau
d'audit et de la technologie prototype pour appuyer les opérations réseau, les
performances et la gestion de la sécurité. Si vous regardez les paquets pour résoudre
les problèmes, ou si vous avez besoin de savoir ce qui se passe dans votre réseau [43].

184
Argus présentation

i. Metasploit Framework

Metasploit Framework est une plate-forme de développement pour créer des outils de
sécurité et le cadre exploitation .il est utilisé par les professionnels de la sécurité des
réseaux pour effectuer la pénétration des administrateurs de tests du système, afin de
vérifier les installations de raccordement, les fournisseurs de produits pour effectuer
des tests de régression et de la sécurité des chercheurs du monde.

185
157

186
j. Pretty Good Privacy

Pretty Good Privacy (PGP): est un cryptage des données et un programme

informatique de décryptage qui garantit la confidentialité et l'authentification
cryptographique pour la communication des données. PGP est souvent utilisé pour la
signature, le cryptage et le décryptage des textes, des E-mails, fichiers, répertoires et
partitions de disques entiers pour augmenter la sécurité des communications par
courrier électronique. Il a été créé par Phil Zimmermann en 1991.

- Pour crypter les données de sorte qu'il peut être lu par une personne, vous
avez besoin de clé publique de cette personne ;

- Pour déchiffrer les données envoyées à quelqu'un que vous, vous avez
besoin de votre clé privée.

- Pour vous inscrire certaines données, vous utilisez votre clé secrète ;

- Pour vérifier une signature sur certaines données, vous utilisez la clé
publique de la personne qui l'a utilisé .

187
Figure II.17 : Utilisation du PGP pour l’envoie de mail

k. Solarwinds

Solarwinds est l'un de l'outil de surveillance du réseau pour Windows avec des
fonctionnalités supplémentaire autre (Netflow, ..), est un outil commercial [43].

Figure xx: Capture de trafic avec Solarwinds

188
l. MTR

MTR: Le test MTR est basée sur la MTR linux programme, qui combine les
fonctionnalités de la «traceroute» et "ping" des programmes dans un outil de
diagnostic réseau unique. Le test étudie la connexion réseau entre le site de
surveillance choisie et l'hôte spécifié. Après avoir déterminé l'adresse de chaque
équipement réseau entre les serveurs, il envoie une séquence de requêtes ICMP
ECHO à chaque saut de réseau afin de déterminer la qualité de la liaison à chaque
saut.

Figure xx : MTR

189
 5 PROCEDURES OPERATIONELLES ET TECHNIQUES

5.1 Introduction

L’instauration de flux de travail clairement définis va améliorer la qualité et la vitesse

de traitement des incidents ou vulnérabilités.

Comme précisé cis-haut, notre CSIRT fictif veut offrir les services proposés par tout
CSIRT de base, à savoir:

- Les bulletins d’alertes et les avertissements

- Le traitement des incidents

- Les annonces

II.5.2 Évaluation des installations des parties prenantes La première étape consiste à
dresser le bilan des systèmes informatiques installés chez les parties prenantes. Le

190
CSIRT peut ainsi mesurer la pertinence des informations qui en proviennent, et les filtrer
avant de les redistribuer, de manière à ce que les parties prenantes ne soient pas
envahies d’informations sans intérêt pour elles. Il est recommandé de commencer
simplement, en utilisant par exemple une feuille Excel se présentant comme suit:

Feuille Excel représentant les logiciels du CISRT

La fonction filtre d’Excel permet de sélectionner très facilement le bon logiciel, et de

déterminer le type de logiciel utilisé par chacune des parties prenantes.

5.3 Lancement d’alertes, d’avertissements et d’annonces

Le lancement d’alertes, d’avertissements et d’annonces suit toujours le même

déroulement:

- La collecte d’informations;

- L’évaluation des informations en termes de pertinence et de source;

- L’évaluation des risques sur la base des informations recueillies;

- La diffusion de l’information.

191
les étapes du lancement d’alertes

Description des différentes étapes :

- Première étape: Collecte des informations concernant les vulnérabilités

Deux sources principales fournissent généralement les informations nécessaires à la

prestation des services visés ici [39, 38,42]:

- les informations relatives à la vulnérabilité des (de vos) systèmes informatiques

- les signalements d’incidents

Il existe, selon le type d’activité et d’infrastructure informatique, de nombreuses

sources publiques ou réservées d’informations concernant les vulnérabilités:

192
 - Listes de distribution publiques et non publiques

- Information produit du fournisseur concernant les vulnérabilités

- Sites Web

- Informations sur Internet (Google, etc...)

- Partenariats publics et privés fournissant des informations concernant les

vulnérabilités (FIRST, TF-CSIRT, CERT-CC, US-CERT....) Deuxième étape:
Évaluation de l’information et du risque Cette deuxième étape analyse
l’impact d’une vulnérabilité particulière sur l’infrastructure informatique des
parties prenantes. - Identification Les informations entrantes concernant des
vulnérabilités doivent toujours être identifiées en termes de source, la fiabilité
de cette dernière devant être établie avant que les informations en question
soient transmises aux parties prenantes. Faute de cette vérification, de fausses
alertes pourraient inutilement perturber les procédures d’entreprise et nuire, en
définitive, à la réputation du CSIRT. Troisième étape : Diffusion de
l’information Le CSIRT choisit l’une des nombreuses voies de diffusion
possibles en tenant compte des desiderata des parties prenantes et de sa propre
stratégie de communication:

- Site Web- Courriel- Rapports- Archivage et recherche

Les bulletins de sécurité diffusés par un CSIRT doivent toujours présenter la même
structure, afin de faciliter sa lecture et la localisation rapide des informations utiles.

Un bulletin de sécurité doit contenir au minimum les informations suivantes:

Figure II.22 : Exemple de bulletin de sécurité

193
194
BIBLIOGRAPHIE

Emonet JEAN-BRUNO, ‘’Algorithmes de chiffrement Mesures de

performances réseaux ‘’, Documentation version 1.0 créé le 22 juin 2005,
Dernière mise à jour le 24 juin 2005

Cédric LLORENS,LaurentLEVIER,DenisVALOI S, ‘’Tableaux de bord

de la sécurité réseau ‘’, Eyrolles, 2006

L a u r e n t B L O C H ,C h r i s t o phe W O L F H U GEL , ‘’Sécurité

informatique Principes et méthode‘’ ; Eyrolles , 2007

Moira J. WEST-BROWN, Don STIKVOORT, Klaus-Peter

KOSSAKOWSKI, Georgia KILLCRECE, Robin RUEFLE, Mark
ZAJICEK ‘’Handbook for Computer Security Incident Response Teams
(CSIRTs) ‘’,First release: December 1998 2nd Edition: April 2003 ,
HANDBOOk CMU/SEI-2003-HB-002

Eric FILIOL ‘’Les Virus Informatiques: théorie; pratique et applications

‘’,ISBN : 978-2-287-98199-9 Springer-Verlag France 2009 ,

Georgia KILLCRECE ,Klaus-Peter KOSSAKOWSKI ,Robin RUEFLE

,Mark ZAJICEK, ‘’Organizational Models for Computer Security
Incident Response Teams (CSIRTs) ‘’ , HANDBOOK CMU/SEI-2003-
HB-001 ,Carnegie Mellon University, December 2003

Franz-Stefan Gady,Greg Austin ,Russia, The United States,And Cyber

Diplomacy Opening the Doors , The EastWest Institute 11 East 26th
Street, 20th Floor ,New York, NY 10010 , 2010

Georgia KILLCRECE, Klaus-Peter KOSSAKOWSKI, Robin RUEFLE,

Mark ZAJICEK, ‘’State of the Practice of Computer Security Incident

Response Teams (CSIRTs) ‘’ ,Carnegie Mellon University ,

TECHNICAL REPORT CMU/SEI-2003-TR-001 ESC-TR-2003-001 ,
Octobre 2010

Douglas STINSON ; ‘’Cryptographie Théorie et Pratique’’ ; International

Thomson Publishing Compagny France, Edition Paris, 1996.

Bruce SCHNEIER ; ‘’Cryptographie appliquée : protocoles,

195
algorithmes‘’; International Thomson publishing France, Edition Paris,
1997.

CANTOR D.G, “Computing in the Jacobian of a Hyperelliptic Curve.”

Mathematics of Computation, Russie, Edition Moscu, 1987.

GALBRAITH S. K. ”Supersingular curves in cryptography.” In advances

in cryptology. ASIACRYPT 2001, Manual in computer science, Edition
Springer-Verlag, 2001.

ANYEME O. « Sur la sécurité calculatoire du cryptosystème RSA »,

Dissertation de D.E.S., Département de Mathématiques et Informatique,
Université de Kinshasa, 2004.

BONEH D. and FRANKLIN M. “Identity-Based Encryption from de

Weil Pairing.”, SIAM journal of computing, 32(3): 586-615, 2003.

ENISA, ‘’GUIDE DE CREATION D’UN CSIRT PAS A PAS ‘’,

Résultats

WP2006/5.1 (CERT-D1/D2), http://www/enisa.eu [22]: Pierre ROYER,

‘’identification et authentification bionumeriques ‘’,

ARS 2003-2004, http://www.pierreau.fr/

Colin O’SULLIVAN, Richard NOLAN, Jake BRANSON Cal WAITS, ‘’

First Responders Guide to Computer Forensics ‘’, Carnegie Mellon,
Pittsburg, PA 14213-3890, Mars 2005

Keisuke KAMATA, ‘’Introduction to International cyber security

Situation ‘’, JPCERT Coordination Center, Japan, 2010

Keisuke KAMATA, ‘’Fundamentals of Computer Incident Handling ‘’

,JPCERT/Coordination Center , Japan ,2010

Keisuke KAMATA, ‘’ Creating A CISRT‘’, JPCERT/Coordination

Centre, Japan, 2010

CERT/CC, ‘’ Creating a Computer Security Incident Response Team: A

Process for Getting Started ‘’, http://www.cert.org/cisrt/Creating-A-
CISRT.html

196
Christian BOPE, ‘’ CISRT Tools ‘’ Serekunda, the Gambia 2012

197