Mme S.

BELATTAF épouse BENSAID

UMMTO

2020-2021
Unité d’enseignement fondamentale : UEF1
Matière : Sécurité Informatique
Coefficient : 3 Crédit : 5
Programme
 Chapitre 1

Introduction à la Sécurité Informatique

 Chapitre 2
Cryptographie Classique

 Chapitre 3
Cryptographie Moderne
2

S. Belattaf 2020/2021 – UMMTO

SÉCURITÉ INFORMATIQUE
2020/2021

Chapitre 1
Introduction à la Sécurité Informatique

Mme S. BELATTAF épouse BENSAID

UMMTO
 PLAN DU CHAPITRE

 Définition
 Principaux Concepts de Sécurité Informatique

 Objectifs de la Sécurité Informatique

 Les Menaces Informatiques

 Mécanismes de Sécurité

S. Belattaf 2020/2021 – UMMTO

 DÉFINITION

La sécurité informatique c’est l’ensemble des moyens mis en

œuvre pour réduire la vulnérabilité d’un système contre les
menaces accidentelles ou intentionnelles.

5
PRINCIPAUX CONCEPTS DE SÉCURITÉ
INFORMATIQUE
 Menace
 Une menace représente le type d'action susceptible de
nuire dans l'absolu.
 Une menace est un signe qui laisse prévoir un danger
 C’est une personne, un objet, ou un événement qui
peut créer un danger en terme de disponibilité,
d’intégrité ou de confidentialité
Exemples:
Un virus circule sur le réseau local.
Un programme installé sur la machine semble être en
train d’épuiser les ressources disponibles (mémoire, CPU). 6

S. Belattaf 2020/2021 – UMMTO

PRINCIPAUX CONCEPTS DE SÉCURITÉ
INFORMATIQUE

 Vulnérabilité
 Faille ou bug pouvant être utilisé pour obtenir un niveau
d’accès illicite à une ressource ou à des privilèges supérieurs.
 Ce sont les composants du système (matériel, logiciel, les
règles, les procédures, personnel) susceptibles d’être attaquées
avec succès.
 Une vulnérabilité est exploitée par une menace pour engendrer
une attaque.
 Exemples :
 Utilisation des mots de passe non robustes.

 Présence de comptes non protégés par mot de passe

7
 Absence d’antivirus, pare-feu, …etc

S. Belattaf 2020/2021 – UMMTO

PRINCIPAUX CONCEPTS DE SÉCURITÉ
INFORMATIQUE
 Contre-mesure
 C’est l'ensemble des actions mises en œuvre en prévention de la
menace.
 Exemples:
 la cryptographie pour assurer intégrité et confidentialité.
 des procédures d’authentification et de contrôle d’accès logique,
 des antivirus et des procédures de détection d’intrusions,
 Etc,

 Les contre-mesures à mettre en œuvre ne sont pas uniquement

des solutions techniques mais également des mesures de
formation et de sensibilisation à l'intention des utilisateurs.
8

S. Belattaf 2020/2021 – UMMTO

OBJECTIFS DE LA SÉCURITÉ
INFORMATIQUE

 Disponibilité
 Intégrité
 Confidentialité
 Authentification
 Non répudiation

S. Belattaf 2020/2021 – UMMTO

OBJECTIFS DE SÉCURITÉ
La Disponibilité : est la propriété qui permet de garantir
l’accès aux ressources.
 Exemples de ressources : serveur, réseau, donnée …
 Il ne suffit pas qu’une ressource soit disponible, elle doit
être utilisable avec des temps de réponse acceptables.
 Un service doit être assuré avec un minimum
d’interruption.
 continuité de service.

 La disponibilité est obtenue, par exemple, par une certaine

redondance ou duplication des ressources.
10

S. Belattaf 2020/2021 – UMMTO

OBJECTIFS DE SÉCURITÉ

 Intégrité : permet de détecter si des ressources ou services

n’ont pas été altérés ( modifiés) tant de façon intentionnelle
qu’accidentelle.
 Il est indispensable de se protéger contre la modification des
données lors de leur stockage, de leur traitement ou de leur
transfert.
 En télécommunication, le contrôle d’intégrité consiste à
vérifier que les données n’ont pas été modifiées tant de façon
intentionnelle (attaques informatiques) qu’accidentelle
durant la transmission.
11

S. Belattaf 2020/2021 – UMMTO

OBJECTIFS DE SÉCURITÉ

 Confidentialité : c’est la propriété qui garantit que les

informations transmises ne sont compréhensibles que par les
entités autorisées.
 Deux actions complémentaires permettent d’assurer la
confidentialité des données:
 limiter et contrôler l’accès aux données afin que seules les
personnes autorisées puissent les lire.
 transformer les données par des techniques de chiffrement pour
qu’elles deviennent inintelligibles aux personnes qui n’ont pas les
moyens de les déchiffrer.
 Le chiffrement des données (ou cryptographie) contribue à en
assurer la confidentialité des données et à en augmenter la
sécurité des données lors de leur transmission ou de leur 12
stockage.
S. Belattaf 2020/2021 – UMMTO
OBJECTIFS DE SÉCURITÉ

 Authentification : c’est la propriété qui consiste à vérifier

l’identité d’une entité avant de lui donner l’accès à une
ressource.
 L’entité devra prouver son identité :
Exemples : mot de passe, empreinte biométrique
 Tous les mécanismes de contrôle d’accès logique aux
ressources informatiques nécessitent de gérer l’identification
et l’ authentification (pas d’accès anonyme aux ressources)

13

S. Belattaf 2020/2021 – UMMTO

OBJECTIFS DE SÉCURITÉ

 Non répudiation : est le fait de ne pouvoir nier qu’ un

évènement (action, transaction) a eu lieu.

 Par exemple, la non répudiation permet d’avoir une

preuve comme quoi un utilisateur a envoyé (ou reçu)
un message particulier. Ainsi, l’utilisateur ne peut nier
cet envoi (ou réception).

14

S. Belattaf 2020/2021 – UMMTO

Les Menaces Informatiques

15
DÉFINITIONS : CRIME INFORMATIQUE ET CYBERCRIME
 Le Cyberespace est un “ensemble de données numérisées
constituant un univers d’information et un milieu de
communication, lié à l’interconnexion mondiale des
ordinateurs” (Petit Robert).
 Un crime informatique (computer related crime) est un
délit pour lequel un système informatique est l’objet du
délit et/ou le moyen de l’accomplir. C’est un crime lié
aux technologie du numérique.
 Le cybercrime (cybercrime) est une aspect du crime
informatique qui fait appel aux technologies internet
pour sa réalisation. Cela concerne tous les délits
accomplis dans le cyberespace. 16

S. Belattaf 2020/2021 – UMMTO

LES ATTAQUES INFORMATIQUES
 Tout ordinateur connecté à un réseau informatique est
potentiellement vulnérable à une attaque.
 Une attaque est l'exploitation d'une faille d'un système
informatique (système d'exploitation, logiciel ou bien
même de l'utilisateur).
 Intrus : Entité responsable d’une attaque de sécurité

 Quel est l’intérêt de pirater ?

 Curiosité
 Concurrence commerciale ou pour l’argent
 Se montrer intelligent et se distinguer des autres
 Ça fait plaisir de causer le mal aux autres
17
 Analyser les vulnérabilités pour les corriger
S. Belattaf 2020/2021 – UMMTO
 Origine des attaques

Interne Externe

Exemple : Exemple:
• utilisateur malveillant, • Piratage, virus,
erreur involontaire,… intrusion…,..
18
ETAPES DE RÉALISATION D’UNE ATTAQUE (1)

Phase de collecte d’informations

1 Recherche de vulnérabilités

Malveillant Cible

Savoir faire et
exploitation des
informations 2
recueillies et des
failles Intrusion Problèmes
sécuritaires
Bibliothèque d’attaques:
- Usurpation d’identité. 3
- leurres 4
- Failles technologiques, de
conception, de
configuration, etc. Extra filtration
19
ETAPES DE RÉALISATION D’UNE ATTAQUE (2)

 La première phase de la réalisation d’une attaque est liées à la

collecte d’informations sur la cible et à la recherche de
vulnérabilités du système cible.
 Le malveillant s’emploie à connaître et à exploiter les failles
de sécurité connues mais non encore réparées et à utiliser les
outils d’attaques existants (sur internet) ou en créer (phase 2)
pour accéder au système cible et exécuter son action
malveillante (phase 3).
 La phase d’extra filtration (phase 4) a pour buts principaux
de faire en sorte que l’attaque ne puisse être détectée et que
l’attaquant ne laisse pas de trace pouvant servir à son
identification. Pour cela, il tente de rester anonyme, il peut
alors utiliser des alias (pseudonymes), usurper l’identité
numérique d’utilisateurs ou encore brouiller les pistes en 20
passant par plusieurs systèmes intermédiaires (relais).
TAXONOMIE DES ATTAQUES

Scénarios d’attaques

Attaque passive Attaque active

Interception
Fabrication
Modification
Interruption

21

S. Belattaf 2020/2021 – UMMTO

L’INTERCEPTION

M
A I B
M

 Attaque sur la

22

S. Belattaf 2020/2021 – UMMTO

TAXONOMIE DES ATTAQUES

Scénarios d’attaques

Attaque passive Attaque active

Interception
Fabrication
Modification
Interruption

23

S. Belattaf 2020/2021 – UMMTO

LA FABRICATION

A I B
M

 Attaque sur la

24

S. Belattaf 2020/2021 – UMMTO

LA MODIFICATION

M1
A I B
M2

 Attaque sur la

25

S. Belattaf 2020/2021 – UMMTO

L’INTERRUPTION

M
A I B

 Attaque sur la

26

S. Belattaf 2020/2021 – UMMTO

 ATTAQUES VIRALES : LES CODES
MALVEILLANTS

 Programme malveillant capable d’infecter un autre en le

modifiant de façon à ce qu’il puisse à son tour se reproduire
 Virus informatique
 Programme malveillant caché dans un autre qui donne accès
à la machine victime sur laquelle il est exécuté et sur laquelle
il exécute des commandes à distance
 Cheval de Troie (Trojans)
 Programme malveillant dupliqué sur plusieurs machines
dont le déclenchement s’effectue à un moment déterminé
pour attaquer une machine victime.
 Bombes logiques
 Programme malveillant qui collecte des informations de la
machine sur laquelle il est exécuté et de les envoyer 27
 Logiciel espion (Spaywares)
S. Belattaf 2020/2021 – UMMTO
ATTAQUES DE RECONNAISSANCE
 Une attaque de reconnaissance se rapporte à toute recherche de
propriétés du réseau cible
 L’intrus procède à un balayage du réseau en utilisant les pings pour
trouver quelles sont les adresses IP actifs
 L’intrus détermine ensuite quels sont les ports ouverts, le système
d’exploitation installé, la version du système et des logiciels fonctionnels
Ces informations son utilisées plus tard pour exploiter les
vulnérabilités du système et des logiciels
Les attaques de reconnaissance utilisent plusieurs outils libres et
disponibles sur Internet comme les Sniffers de paquets (Exemple Wireshark)
Exemples de scenarios d’attaques réalisés par un sniffer
 Visualisation des connexions réseau ;
 Lecture des e-mails des utilisateurs ;
 Récupération des login et mots de passe des comptes e-mail,
 Visualisation des sites web visités par les utilisateurs 28
 etc
ATTAQUES DE MOT DE PASSE

 Cette attaque vise à trouver le mot de passe d’un utilisateur sur un

ordinateur ou sur un équipement réseau

 Si l’intrus arrive à retrouver le mot de passe, il peut accéder à une

ressource

 La technique la plus utilisée est la force brute (brute force) qui consiste à
essayer toutes les combinaisons jusqu’à trouver le mot de passe
 L’attaque par dictionnaire est une variante de la force brute qui consiste à
essayer les mots prélevés dans un dictionnaire qui contient les mots
susceptibles de constituer un mot de passe

Exemple :
L0phtCrack, est une application de force brute pour retrouver
les mots de passes Windows server

29
 ATTAQUES DE DÉNI DE SERVICE
(DOS & DDOS)
Une attaque de déni de service produit l’interruption d’un service ou son
ralentissement

 Deux méthodes peuvent produire un déni de services

Générer un grand volume de trafic en le faisant passer pour un trafic

légitime. Ce trafic sature le réseau et empêche le trafic normal de passer
 Générer un trafic mal formé produisant un comportement erroné des
applications (par exemple, des paquets avec de faux champs et de fausses
valeurs ou des paquets mal fragmentés)

Une attaque de déni de service distribuée (DDOS) est une attaque de déni de
service produite par plusieurs sources coordonnées entre elles

30
ATTAQUE MAN-IN-THE-MIDDLE

 L’intrus est positionné au milieu d’une communication entre deux parties

dans le but de l’espionner ou de la modifier

Un intrus peut fournir des services de point d’accès wifi ou de passerelle
réseau pour centraliser les communication à son niveau.

 La victime peut se connecter et utiliser normalement le réseau sans savoir

que le flux passe par une tiers personne

31
 LE SPAMMING
On propose une offre ARNAQUE
PUB
Confiance (SCAM)
L’objectif ce n’est On demande
pas d’attaquer l’argent

Surcharger le
serveur

HOAX
Le message est diffusé
par les utilisateurs
eux-mêmes

Sensibiliser les
utilisateurs afin qu’ils
diffusent le message 32

S. Belattaf 2020/2021 – UMMTO

LES HOAX : EXEMPLE
Je vous envoie ce truc parce que c'est trop surprenant, mon vœu s'est
réalisé !! J'espère que ça te fera plaisir : 20min après avoir fait ça,
mon vœu s'est produit. La personne qui me l'a envoyé m'a dit que son
vœu avait fonctionné 15 min après avoir lu le message. Le hasard
n'existe pas ! Essaie-le pour voir ! Fais un vœu avant que le comptage
ne soit fini !! Commence à descendre après avoir formé ton vœu : 10
… 9 … 8… 7 … 6 … 5 … 4 … 3 … 2 … 1. Fais un vœu ! Envoie cet
email à 10 personnes avant une heure. Si tu fais, ton vœu se
réalisera. Si tu ne le fais pas, le contraire de ton vœu va se produire!
Bonne chance. Condition d'utilisation le renvoyer au plus grand
nombre de personnes.

33

S. Belattaf 2020/2021 – UMMTO

LES ARNAQUES : EXEMPLE
Excusez-moi pour cette intrusion, je suis CORINNE BURIERE d’origine
française et cela fait deux 2 jours que J’ai contacté une association qui
s’occupe des enfants démunis et pas de réponse. Mais j'ai pu me mettre en
contact avec vous ceci grâce à la volonté de DIEU. Cela fait quelques mois que
j’ai été atteint d'un cancer en phase terminale détectée trop tard et selon les
dires de mon médecin, je n’ai plus assez de temps à vivre. En ce moment je
suis hospitalisée dans un hôpital à Londres. J’ai toujours privilégié le service de
ma nation au détriment de ma propre santé et voilà aujourd’hui cela me
rattrape, mais je suis fière d’avoir pu aider des gens autour de moi et je pense
pouvoir continuer à le faire à travers vous. J'ai Perdu mon mari et mes deux
enfants dans un crash d'avion qui s'était produit à New York. J’aimerais que
vous soyez le bénéficiaire de toute ma fortune qui est d'une somme exactement
chiffrée à 1.500.000 euros que vous utiliserai pour aider les enfants pauvres
et déshérités vu que mes jours sont comptés. Aussi, ce matin j’ai reçu un
message de ma banque me disant que l’État aimerait récupérer mes fonds
après ma mort vu que je n'ai pas d'héritier(e). Veuillez m’aider en acceptant 34
mon offre. Répondez-moi vite. Que le Seigneur vous garde.

S. Belattaf 2020/2021 – UMMTO

MÉCANISMES DE SÉCURITÉ
Exemples :
 Notarisation : utilisation d’une tierce partie afin de confirmer
l’identité de l’émetteur et du receveur d’un message
 Horodatage (Timestamping): inclusion d’une date et d’un
temps correct dans un message.
 Détection d’intrusions : Repérer les activités suspectes ou
anormales sur le réseau.
 Pare-feu (filtrage): autoriser et interdire certains types de
messages à circuler dans le réseau
 Antivirus : empêcher les codes malveillants de s’exécuter
 Chiffrement : Utilisation d’algorithmes mathématiques
pour transformer les messages en une forme inintelligible.
35
 Signature numérique
Fin du chapitre 1

36