Université Abderrahmane Mira, Béjaïa

Faculté des Sciences Exactes

Département d’Informatique

Les systèmes de sécurité

Nadia BATTAT
nadia.battat@univ-bejaia.dz 2022-2023 M2 ASR
Plan

 Principes de sécurité
 La lutte contre les malveillances informatiques
 La sécurité par le chiffrement
 La sécurité par les systèmes pare-feu
 La sécurité des infrastructures de télécommunication
 Le système Kerberos
 Le système RADIUS (Remote Authentification Dial-In User Service)
 Le système LDAP(Lightweight Directory Access Protocol)
Principes de sécurité informatique
Sécurité informatique Introduction
 Les sociétés sont devenues dépendantes de leur outil informatique
 Les affaires se traitent de plus en plus en ligne (donc de plus en plus d’argent et
de pouvoir passent par Internet).
 Les sociétés évoluent dans un milieu hostile:
 Perte ou mise en danger de la vie humaine.
 Espionnage économique.
 Catastrophes climatiques : inondations, feux, tempêtes, tremblements de Terre,…
 Environnement politique : actes de guerre, actes terroristes, etc.
 Non-fiabilité des systèmes et logiciels informatiques:
 Déni de service.
 Utilisation ou abus non autorisée des systèmes informatiques.
 Perte, changement et/ou altération des données ou logiciels,
 Etc.
 Etc.
Principes de sécurité informatique
Sécurité informatique Définitions

 La sécurité informatique recouvre l'ensemble de techniques informatiques

permettant de réduire au maximum les chances de fuites d'informations, de
modification de données ou de détérioration des services. Elle consiste à un très
grand nombre de méthodes, de technologies, d'architectures permettant
d'atteindre un certain niveau de protection.
 C’est l’ensemble des moyens mis en œuvre pour réduire la vulnérabilité d’un
système contre les menaces accidentelles ou intentionnelles.
 C’est l'ensemble des techniques qui assurent que les ressources du système
d'information (matérielles ou logicielles) d'une organisation sont utilisées uniquement
dans le cadre où il est prévu qu'elles le soient.

Quoi protéger ? • Des données, des applications, des OS et des communications réseaux.
• Des dispositifs matériels
Contre qui ? • Des attaques
Comment protéger ? • Contre-mesures (Ce sont les procédures ou les techniques permettant de
résoudre une vulnérabilité ou de contrer une attaque spécifique).
Principes de sécurité informatique
Sécurité informatique Objectifs et fonctions associées
 La notion de sécurité fait référence à la propriété d’un système, d’un service ou
d’une entité. Elle s’exprime le plus souvent par les objectifs de sécurité suivants :
• La disponibilité
• L'intégrité
• La confidentialité
• L’authentification
• La non répudiation
Principes de sécurité informatique
Sécurité informatique Objectifs et fonctions associées

 La disponibilité: L'information sur le système doit être toujours disponible aux

personnes autorisées.
• Une ressource doit être accessible, avec un temps de réponse acceptable.
• Un service doit aussi être assuré avec le minimum d'interruption en respect
avec l'engagement établi.
 Des pertes de données sont possibles si l'enregistrement et le stockage ne sont
pas gérés correctement, d'où l'importance d'une haute disponibilité d'un système
et de la mise en place d'une politique de sauvegarde.
 L'intégrité permet de certifier que les données, les traitements ou les services n'ont
pas été modifiés, altérés ou détruits tant de façon intentionnelle qu'accidentelle.
• L'information sur le système ne doit pouvoir être modifiée que par les
personnes autorisées.
Principes de sécurité informatique
Sécurité informatique Objectifs et fonctions associées
 La confidentialité est le maintien du secret des informations » (Le Petit Robert). Dans
le cadre d'un système d'information, cela peut être vu comme une protection des
données contre une divulgation non autorisée.
 L’Authentification: permet de vérifier l'identité d'un utilisateur sur une des bases
suivantes :
• Un élément d'information que l'utilisateur connaît (mot de passe, etc.)
• Un élément que l'utilisateur possède (carte à puce, clé de stockage,
certificat, etc.)
• Une caractéristique physique propre à l'utilisateur, on parle alors de
biométrie (empreinte digitale, ADN, etc.).
 La non répudiation :C’est la propriété qui assure la preuve de l’authenticité d’un
acte c’est-à-dire que l’auteur d’un acte ne peut denier l’avoir effectué.
Principes de sécurité informatique
Sécurité informatique Domaines d'intervention
Tous les domaines de l'informatique sont concernés par la sécurité d'un système
d'information. En fonction de son domaine d'application, la sécurité informatique se
décline en :
 Sécurité physique: Concerne tous les aspects liés de l'environnement dans lequel les
systèmes se trouvent.
 Protection de l'environnement (incendie, température, humidité, ... ).
Protection des accès aux matériels – local fermé.
Protection des câblages.
Redondance des informations (panne serveur).
Dimensionnement correcte du matériel (débit, capacité mémoire,…).
Etc.

 Sécurité de l'exploitation: Rapport à tous ce qui touche au bon fonctionnement des

systèmes. Cela comprend la mise en place d'outils et de procédures relatifs aux
méthodologies d'exploitation, de maintenance, de test, de diagnostic et de mise à
jour.
Principes de sécurité informatique
Sécurité informatique Domaines d'intervention
 Sécurité logique: fait référence à la réalisation de mécanismes de sécurité par
logiciel. Elle repose sur la mise en œuvre d'un système de contrôle d'accès logique
s'appuyant sur un service d'authentification, d'identification et d'autorisation. Elle
repose également sur :
• les dispositifs mis en place pour garantir la confidentialité dont la
cryptographie.
• Une gestion efficace des mots de passe et des procédures d'authentification.
• Des mesures antivirus et de sauvegarde des informations sensibles.
• Etc.
 Sécurité applicative: Faire un développement pertinent et l'intégrer
harmonieusement dans les applications existantes.
 Sécurité des télécommunications: Cela implique la réalisation d'une infrastructure
réseau sécurisée au niveau des accès, des protocoles de communication, des
systèmes d'exploitation et des équipements.
Principes de sécurité informatique
Sécurité informatique Vulnérabilités et menaces
La vulnérabilité représente le niveau d'exposition face à la menace dans un contexte
particulier.
 Dans la conception
• Matériel, protocole, architecture (Système, Réseau, …), logiciel (OS, application, …).
 Dans l’implémentation
• Matériel, protocole, architecture (Système, réseau …), logiciel (OS, application, …).
 Configuration et exploitation
Équipement (Routeurs, Firewalls, Serveur, …), logiciel (OS, application, …).

Menace: La possibilité qu’une vulnérabilité soit exploitée accidentellement ou par un

agent malicieux.
Principes de sécurité informatique
Sécurité informatique Attaques
 Une attaque est l'exploitation d'une faille d'un système informatique à des fins non
connues par l'exploitant du système et généralement préjudiciable.

Origine des attaques

Interne Externe

Exemple : Exemple:
• utilisateur malveillant, • Piratage, virus, intrusion,…
erreur involontaire,…
Principes de sécurité informatique
Attaques Classifications
 Attaque passive : consiste à écouter ou copier des informations (adresses IP
importantes, informations d’authentification,…) de manière illicite.
 Attaque active : consiste à altérer (modifier) des informations ou à altérer le bon
fonctionnement d’un service.
Les attaques passives n’altèrent pas la cible de l’attaque (écoute non autorisée, interception
de flux sans modification, etc.), tandis que les attaques actives portent atteintes à
l’environnement ciblé (perte d’intégrité, de disponibilité, vol, destruction, déni de service, etc.).

Attaques passives Attaques actives

• Interception qui vise la confidentialité
• Interruption qui vise la disponibilité
• Injection qui vise l’integrité
• Modification qui vise la confidentialité et l’integrité
• Fabrication qui vise la authentification et l’integrité
• Rejeu: ré-envoyer d’anciens données
• Suppression qui vise la disponibilité
• Etc.
Principes de sécurité informatique
Attaques Classifications
 Attaques sur les applications
 Attaques sur les protocoles de communication
 Attaques sur les protocoles de sécurité
Principes de sécurité informatique
Attaques Objectifs et Motivations
 Objectifs
 Troubler le bon fonctionnement d'un service (déni de service) : Empêcher l'accès
à une ressource ou prendre le contrôle d'une ressource.
 Utiliser les ressources d'un système (ex : bonne bande passante).
 Désinformer.
 Récupérer de l'information.
 Utiliser le système compromis pour attaquer un autre (rebondir).
 Etc.

 Motivations
 Vengeance/rancune.
 Politique/religion.
 Défis intellectuels.
 Envie de nuire aux autres.
 Désir d’argent.
 Attirer l’attention.
 Etc.
Principes de sécurité informatique
Attaques Les différentes étapes d’une attaque
 Identification de la cible : Cette étape est indispensable à toute attaque organisée.
Elle permet de récolter un maximum de renseignements sur la cible en utilisant des
informations publiques et sans engager d’actions hostiles.
 Le scanning : L’objectif est de compléter les informations réunies sur une cible visées,
il est ainsi possible d’obtenir les adresses IP utilisées, les services accessibles de même
qu’un grand nombre d’informations de topologie détaillée (OS, versions des
services, subnet, règles de firewall, etc.).
 Programmes et scripts de tests de vulnérabilité et d’erreurs de configuration
(satan et cops).
 Injection de code pour obtenir l’accès à la machine de la victime (cheval de
Troie).
 Echange de techniques d’attaques par forums et publications.
 Utilisation massive de ressources pour détruire des clefs par exemple.
 Les attaquant utilisent des outils pour se rendre anonyme et invisible sur le réseau.
 Etc.
Principes de sécurité informatique
Attaques Les différentes étapes d’une attaque
 L’exploitation : Cette étape permet d’exploiter les failles identifiées sur les éléments
de la cible, que ce soit au niveau protocolaire, des services et applications ou des
systèmes d’exploitation présents sur le réseau.
 La négligence interne des utilisateurs vis à vis des droits et autorisations d’accès.
 Les clefs de cryptographie trop courtes peuvent être cassées.
 Exploitation des faiblesses des systèmes d’exploitation, des protocoles ou des
applications.
 Etc.
Principes de sécurité informatique
Attaques Les différentes étapes d’une attaque
 La progression : Il est temps pour l’attaquant de réaliser ce pourquoi il a franchi les
précédentes étapes.
• Le but ultime étant d’élever ses droits vers root (administrateur) sur un système
afin de pouvoir y faire tout ce qu’il souhaite (inspection de la machine,
récupération d’informations, nettoyage des traces,. . .).
 Effacer les traces
• Rester anonyme et donc ne pas laisser de trace sur le système.
• Utiliser l'identité d'une autre personne connu du système.
Principes de sécurité informatique
Politique de sécurité Définitions
 Ce qu’est une politique de sécurité est différent d’un auteur à l’autre. Elle peut dans
certains cas contenir des stratégies dont le but est de garantir que les objectifs sont
satisfaits.
 C’est l’ensemble des lois, règles et pratiques qui gèrent la façon dont l’information
sensible et les autres ressources sont gérées, protégées et distribuées à l’intérieur
d’un système spécifique.
 Une politique de sécurité est une façon de définir les événements que l’on veut
éviter dans le fonctionnement d’un système.
 Toutes méthodes, techniques et outils concourant à la protection de l’information
contre un large éventail de menaces afin de garantir la continuité d’activité de
l’entreprise, réduire les dommages éventuels sur l’activité de l’entreprise et
maximiser le retour sur investissement des systèmes d’Information.
Principes de sécurité informatique
Politique de sécurité objectifs
 S’assurer que les utilisateurs observent les bonnes pratiques et les règles concernant
l’utilisation des technologies de l’information.
 S’assurer que les normes en matière de sécurité informatique soient dûment mises en
application.
 Réviser périodiquement les résultats des vérifications et contrôles, notamment pour y
relever les anomalies et autres incidents.
 Recommander les actions à prendre pour corriger les situations anormales ou
dangereuses, notamment, les processus opérationnels et les grandes stratégies en
matière informatique et les achats d’équipement.
 Etc.
Principes de sécurité informatique
Politique de sécurité Mise en place d’une politique
 Deux philosophies pour la mise en place d’une politique :
• Prohibitive: tout ce qui n’est pas explicitement autorisé est interdit.
• Permissive: tout ce qui n’est pas explicitement interdit est autorisé .
Principes de sécurité informatique
La politique de sécurité Composantes
 Politique de confidentialité (ensemble des mécanismes permettant qu’une
communication de données reste privée entre un émetteur et un destinataire).
 Politique d’accès (information permettant de déterminer quelles sont les ressources de
l’entreprise auxquelles l’utilisateur identifié aura accès ainsi que les actions autorisées sur ces
ressources).
 R1 : Any agent playing the role “User” is permitted to read any public file.
 R2 : Any agent playing the role “User” is permitted to write his own public file.
 Politique d’authentification (information permettant de valider l’identité ).
 Politique d’intégrité (ensemble des mécanismes garantissant qu’une information n’a pas
été modifiée).
 Politique de disponibilité (ensemble des mécanismes garantissant que les ressources de
l’entreprise sont accessibles).
 Non-répudiation(mécanisme permettant de trouver qu’un message a bien été envoyé
par un émetteur et reçu par un destinataire).
 Politique de responsabilité.
 Politique de maintenance.
 Politique de rapport de violations.
 Etc.
Principes de sécurité informatique
Politique de sécurité Établissement
 Identifier les risques et leurs conséquences (analyse de risque: défaillance matérielle,
défaillance logicielle, accidents (incendies, inondations…), erreur humaine, vol via
des dispositifs physique, virus, piratage).
 Évaluation des probabilités associées à chacune des menaces.
 Evaluation du coût d’une intrusion réussie.
 Élaborer des règles et des procédures à mettre en œuvre pour les risques identifiés
(contre mesures).
 Evaluation des coûts des contre-mesures.
 Surveillance et veille technologique sur les vulnérabilités découvertes.
 Actions à entreprendre et personnes à contacter en cas de détection d'un
problème.