OK OFPPT Module Sécurité Informatique - M. TAIS - ISTA TAZA [PDF]

Zitiervorschau

ROYAUME DU MAROC

OFPPT

Office de la Formation Professionnelle et de la Promotion du Travail DIRECTION RECHERCHE ET INGENIERIE DE FORMATION

SECTEUR TERTIAIRE & NTIC Support de formation

Module :

ASSURANCE DE LA SECURITE ET DE L’INTEGRITE DU SYSTEME INFORMATIQUE

Concepteur : M TAIS Adil de l’ISTA Taza

Assurance de la sécurité et de l’intégrité du système informatique 1. Intro à la sécurité informatique _______________________________________ 3 2. Objectifs de la sécurité informatique _________________________________ 3 3. Classification des risques ______________________________________________ 3 4. Techniques de sécurisation d'un système ____________________________ 4 4.1

Contrôle d'accès TV : _______________________________________________ 5

4.2

Contrôle d'accès dans les entreprises : ___________________________ 5

4.3

Contrôle d'accès aux systèmes informatiques : __________________ 5

4.4

Identification des personnes : _____________________________________ 5

4.5

Surveillance du réseau _____________________________________________ 6

4.5.1 Packet sniffer _____________________________________________________________________6 4.5.2 Système de détection d'intrusion __________________________________________________6

4.6

Sécurité applicative : _______________________________________________ 7

4.6.1 4.6.2 4.6.3 4.6.4

4.7

Pare-feu : ___________________________________________________________ 8

4.7.1 4.7.2 4.7.3 4.7.4 4.7.5 4.7.6 4.7.7 4.7.8

4.8

Séparation des privilèges __________________________________________________________7 Audit de sécurité __________________________________________________________________7 Rétro-ingénierie ___________________________________________________________________7 Rétro-ingénierie et logiciel_________________________________________________________7 Introduction à la notion de firewall ________________________________________________8 Qu'est-ce qu'un pare-feu ? ________________________________________________________8 Fonctionnement d'un système pare-feu ____________________________________________9 La Zone DeMilitarized (DMZ) ______________________________________________________9 Implémentations connues :________________________________________________________9 Architecture simple_______________________________________________________________10 Architectures complexes__________________________________________________________11 Architecture DMZ trois tiers ______________________________________________________13

VLAN _______________________________________________________________ 13

4.8.1 Définition ________________________________________________________________________13 4.8.2 Applications : ____________________________________________________________________14

4.9

Sécuriser un réseau Wi-Fi_________________________________________ 16

4.10 Antivirus ___________________________________________________________ 19 4.10.1 4.10.2

Qu’est ce-qu’un virus ?_________________________________________________________20 Principaux antivirus : __________________________________________________________23

4.11 Spam _______________________________________________________________ 24 4.12 Cibles du pourriel : ________________________________________________ 25 4.12.1 4.12.2 4.12.3 4.12.4

Par courrier électronique : _____________________________________________________25 Par des fenêtres pop-up de Windows. __________________________________________25 Par systèmes vocaux : _________________________________________________________25 Spamdexing - Référencement abusif ___________________________________________25

4.13 Lutte contre le pollupostage ______________________________________ 26 4.13.1 4.13.2

Lutte technique ________________________________________________________________26 Modération ____________________________________________________________________27

4.14 Logiciel espion _____________________________________________________ 27 4.14.1

Étymologie ____________________________________________________________________27

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

1/59

4.14.2 4.14.3 4.14.4 4.14.5

Fonctionnement________________________________________________________________27 Où trouve-t-on des logiciels espions ? __________________________________________27 Comment lutter contre les logiciels espions ? ___________________________________28 Utiliser un anti-espiogiciel ______________________________________________________28

4.15 Cheval de Troie (informatique) ___________________________________ 28 4.15.1

Exemples de chevaux de Troie _________________________________________________29

4.16 L'usurpation d'identité: le phishing ______________________________ 29 4.17 Cryptographie______________________________________________________ 29 4.17.1 4.17.2 4.17.3

Vocabulaire ____________________________________________________________________29 Algorithmes et protocoles ______________________________________________________30 Fonctions de hachage (exemple avec la signature électronique) ________________31

4.18 Access Control List: _______________________________________________ 32 4.18.1 4.18.2 4.18.3 4.18.4

Pourquoi les ACL?______________________________________________________________33 Utilisation______________________________________________________________________33 Les ACL chez les autres systèmes ______________________________________________33 ACL en réseau _________________________________________________________________33

4.19 Stéganographie ____________________________________________________ 33 4.20 Les certificats numériques ________________________________________ 34 4.20.1 4.20.2 4.20.3 4.20.4 4.20.5

Familles _______________________________________________________________________34 Nature et composition _________________________________________________________34 Gestion ________________________________________________________________________34 Modes de création _____________________________________________________________35 Scénario de fin de vie __________________________________________________________35

4.21 Infrastructure à clés publiques ___________________________________ 36 4.21.1 4.21.2

5

Rôle d'une infrastructure de gestion des clés ___________________________________36 Composants de l'infrastructure de gestion des clés _____________________________36

Politique de sécurité de l'information ________________________________ 36 5.1

Qu'est ce qu'une politique de sécurité de l'information? _______ 36

5.2

Light Information Security Policy: _______________________________ 37

5.3 Politique de sécurité renforcée (Reinforced Information Security Policy) : __________________________________________________________________ 39 6

7

Guide de survie :_______________________________________________________ 42 6.1

Quelques conseils : ________________________________________________ 42

6.2

Les audits sécurité et les tests de disponibilité _________________ 42

Éléments de sécurité sous Windows XP______________________________ 43 7.1

Nouveautés en matière de sécurité ______________________________ 43

7.2

Protéger votre ordinateur en ligne _______________________________ 44

7.2.1 7.2.2 7.2.3 7.2.4 7.2.5 7.2.6

Sécurité de votre ordinateur______________________________________________________44 Utilisation de certificats pour la confidentialité et la sécurité_______________________45 Présentation des cookies _________________________________________________________46 Utilisation des Dossiers Web ______________________________________________________46 Partager votre ordinateur de façon plus sûre______________________________________47 Vue d'ensemble du partage des fichiers et des dossiers ___________________________50

8

Glossaire _______________________________________________________________ 56

9

Références :____________________________________________________________ 59

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

2/59

1. Intro à la sécurité informatique Le terme « système d'information » désigne ici tout système dont le fonctionnement fait appel, d'une façon ou d'une autre, à l'électricité et destiné à élaborer, traiter, stocker, acheminer ou présenter de l'information. De tels systèmes se prêtent à des intrusions de types diverses, susceptibles de modifier ou détruire l'information, ou de la révéler à des tiers qui ne doivent pas en avoir connaissance. Ces intrusions peuvent être simples. Utilisant des technologies et de méthodes très répandues, elles sont à la portée de services spécialisés dans la recherche du renseignement comme à celle de particuliers à l'affût d'informations pouvant servir leurs intérêts, entre autres les organisations criminelles, terroristes ou susceptibles de compromettre l'ordre public. La Sécurité des systèmes d’information (SSI) est l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaires pour conserver ou rétablir la disponibilité, l'intégrité et la confidentialité des informations ou du système.

2. Objectifs de la sécurité informatique La sécurité informatique vise généralement cinq principaux objectifs : La confidentialité La confidentialité consiste à rendre l'information inintelligible à d'autres personnes que les seuls acteurs de la transaction. L'intégrité Vérifier l'intégrité des données consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle). La disponibilité L'objectif de la disponibilité est de garantir l'accès à un service ou à des ressources. La non-répudiation La non-répudiation de l'information est la garantie qu'aucun des correspondants ne pourra nier la transaction. L'authentification L'authentification consiste à assurer l'identité d'un utilisateur, c'est-à-dire de garantir à chacun des correspondants que son partenaire est bien celui qu'il croit être. Un contrôle d'accès peut permettre (par exemple par le moyen d'un mot de passe qui devra être crypté) l'accès à des ressources uniquement aux personnes autorisées.

3. Classification des risques La sécurité informatique vise à se protéger contre les risques liés à l'informatique, pouvant être fonction de plusieurs éléments : • • •

les menaces qui pèsent sur les actifs à protéger ; les vulnérabilités de ces actifs ; la sensibilité de ceux-ci, qui est la conjonction de différents facteurs : o Disponibilité, o Intégrité, o Confidentialité, o Imputabilité.

Si l'un des éléments est nul, le risque n'existe pas. C'est pourquoi, l'équation est généralement représentée par : Risque = Menaces * Vulnérabilités * Sensibilité Les principales menaces effectives auxquelles on peut être confronté sont : Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

3/59

• •

• •

l'utilisateur : l'énorme majorité des problèmes liés à la sécurité d'un système d'information est l'utilisateur (par insouciance ou malveillance) les programmes malveillants : un logiciel destiné à nuire ou à abuser des ressources du système est installé (par mégarde ou par malveillance) sur le système, ouvrant la porte à des intrusions ou modifiant les données l'intrusion : une personne parvient à accéder à des données ou à des programmes auxquels elle n'est pas censée avoir accès un sinistre (vol, incendie, dégât des eaux) : une mauvaise manipulation ou une malveillance entraînant une perte de matériel et/ou de données.

Nombre d’incidents connus liés à la sécurité informatique répertoriés par le CERT (http://www.cert.org/)

CSI/FBI 2004 Computer Crime and Security Survey Results (source: http://www.gocsi.com/

4. Techniques de sécurisation d'un système • • • •

Contrôle des accès aux systèmes informatiques Surveillance du réseau : supervision, sniffer, système de détection d'intrusion Sécurité applicative : séparation des privilèges, audit de code, rétro-ingénierie Emploi de technologies ad-hoc : pare-feu, antivirus, anti-spams, anti-spyware, anti-trojan

Voir aussi: Cryptographie, liste de contrôle d'accès, stéganographie, infrastructure à clés publiques Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

4/59

4.1

Contrôle d'accès TV :

Contrôle d'accès, embarqué ou alors par module via l'interface commune, pour la télévision par satellite ou par émetteurs de télévision terrestre, TNT (Télévision Numérique Terrestre), en mode crypté: • • • • •

4.2

Viaccess (TPS (Télévision par satellite), SSR, AB Sat, HRT, … Mediaguard (groupe Canal Plus, AB SAT ,Cyfra) Irdeto (Nova) Videoguard (Sky italia)

… Contrôle d'accès dans les entreprises :

A différencier nettement le contrôle d'accès à certaines parties « sensibles » d'un bâtiment au contrôle de présence des employés dans l'entreprise. Le contrôle d'accès grâce à la biométrie commence à se développer. 4.3

Contrôle d'accès aux systèmes informatiques :

Définition : Le contrôle d'accès à des ressources informatiques est généralement étudié suivant la règle AAA (Authentication Authorization Accounting): 4.4

Identification des personnes :

La biométrie est couramment utilisée, seule ou associée à l'anthropométrie, afin d'identifier des personnes sur la base de caractéristiques physiques individuelles. Technologies : Les systèmes de contrôle biométrique peuvent analyser des caractéristiques morphologiques ou comportementales. > Analyse morphologique • • • • •

les empreintes digitales ; les empreintes palmaires (forme de la main) ; la rétine ; l'iris ; le visage .

> Analyse comportementale • •

la dynamique de signature ; la dynamique de la frappe au clavier.

> Analyse comportementale & morphologique •

la voix.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

5/59

4.5

Surveillance du réseau

4.5.1 Packet sniffer

Les packet sniffers (littéralement « renifleurs de paquets », aussi connus sous le nom de renifleurs ou sniffeurs) sont des logiciels qui peuvent récupérer les données transitant par le biais d'un réseau local. Ils permettent une consultation aisée des données non-chiffrées et peuvent ainsi servir à intercepter des mots de passes qui transitent en clair ou toute autre information non-chiffrée, à résoudre des problèmes réseaux en visualisant ce qui passe à travers l'interface réseau, ou à effectuer de la rétro-ingénierie réseau à des buts d'interopérabilité, de sécurité ou de résolution de problème.

4.5.2 Système de détection d'intrusion Un système de détection d'intrusion (ou IDS : Intrusion Detection System) est un mécanisme destiné à repérer des activités anormales ou suspectes sur la cible analysée (un réseau ou un hôte). Il permet ainsi d'avoir une action de prévention sur les risques d'intrusion. Les deux familles de systèmes de détection d'intrusion Il existe deux grandes familles distinctes d’IDS : • •

Les N-IDS (Network Based Intrusion Detection System), qui surveillent l'état de la sécurité au niveau du réseau. Les H-IDS (HostBased Intrusion Detection System), qui surveillent l'état de la sécurité au niveau des hôtes.

Ce qui distingue fondamentalement ces deux types d’IDS, c'est leur mode de fonctionnement : •

Le premier mode s'appuie sur des bibliothèques de signatures (approche par scénario). La démarche d'analyse est similaire à celle des antivirus quand ceux-ci s'appuient sur des signatures d'attaques. Ainsi, l'IDS est efficace s'il connaît l'attaque, mais inefficace dans le cas contraire. Les outils commerciaux ou libres ont évolué pour proposer une personnalisation de la signature afin de faire face à des attaques dont on ne connaît qu'une partie des éléments. Les outils à base de signatures requièrent des mises à jour très régulières.

•

Le second mode de fonctionnement des IDS s'appuie sur une analyse comportementale. Un H-IDS se comporte comme un démon ou un service standard sur un système hôte qui détecte une activité suspecte en s’appuyant sur une norme. Si les activités s’éloignent de la norme, une alerte est générée. Au préalable, l’IDS doit alors apprendre le comportement du réseau pour établir la norme. L'analyse porte sur l'usage du réseau (protocoles, volumétrie, horaires d'activité, congestion et erreurs), l'activité d'une machine (nombre et listes de processus et d'utilisateurs, et ressources consommées) et l'activité d'un utilisateur (horaires et durée des connexions, commandes utilisées, messages envoyés, programmes activés, etc.). Ces outils s'appuient essentiellement sur des calculs statistiques.

Chacun de ces deux types d´IDS s´adresse à des besoins spécifiques. Les H-IDS sont particulièrement efficaces pour déterminer si un hôte est contaminé et les N-IDS permettent de surveiller l’ensemble d’un réseau contrairement à un H-IDS qui est restreint à un hôte.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

6/59

4.5.2.1 Liste des IDS connus : IDS réseau (N-IDS) •

Snort , Bro

IDS système (H-IDS) •

4.6

AIDE [1] , FCheck [2] , Integrit [3] , Nabou [4] ,…

Sécurité applicative :

4.6.1 Séparation des privilèges

En informatique, la séparation des privilèges est basée sur le principe que chaque fonctionnalité lors de son exécution ne possède que les privilèges nécessaires et n’a accès qu’aux éléments nécessaires à son exécution.

4.6.2 Audit de sécurité Notion d'audit Un audit de sécurité (en anglais security audit) consiste à s'appuyer sur un tiers de confiance (généralement une société spécialisée en sécurité informatique) afin de valider les moyens de protection mis en oeuvre, au regard de la politique de sécurité. L'objectif de l'audit est ainsi de vérifier que chaque règle de la politique de sécurité est correctement appliquée et que l'ensemble des dispositions prises forme un tout cohérent.

4.6.3 Rétro-ingénierie La rétro-ingénierie (traduction littérale de l'anglais Reverse engineering), également appelée rétroconception, est l'activité qui consiste à étudier un objet pour en déterminer le fonctionnement. L'objectif peut être par exemple de créer un objet différent avec des fonctionnalités identiques à l'objet de départ sans contrefaire de brevet. Ou encore de modifier le comportement d'un objet dont on ne connaît pas explicitement le fonctionnement.

4.6.4 RétroRétro-ingénierie et logiciel La rétro-ingénierie s'applique aussi au logiciel. Ceci peut être réalisé en utilisant des outils d'analyse comme le décompilateur. Les méthodes employées sont similaires à celle du débogage. La rétro-ingénierie de fichiers binaires exécutables destinés à la plate-forme Java peuvent se réaliser avec le programme ArgoUML. Le projet Samba est un exemple typique de rétro-ingénierie. L'équipe a dû déterminer le fonctionnement du partage de ressources en réseau du système d'exploitation Microsoft Windows sans avoir accès aux spécifications techniques officielles. Ils ont donc dû les déterminer puis les traduire sous forme d'un programme informatique. Il en va de même pour le système de fichier NTFS. La rétro-ingénierie logicielle fut popularisée avec le détournement des protections anticopie des jeux Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

7/59

vidéo. Cette activité est appelée cracking. 4.7

Pare-feu : Le FireWall ou Mur pare feu (Matériel ou logiciel anti-intrusion) • Introduction à la notion firewall • Qu'est-ce qu'un pare-feu ? • Fonctionnement d'un système pare-feu • La Zone DeMilitarized (DMZ)

4.7.1 Introduction à la notion de firewall Chaque ordinateur connecté sur Internet (ou sur n'importe quel réseau) est susceptible d'être victime d'intrusion pouvant compromettre l'intégrité du système ou des données. Les pirates informatiques s'introduisent dans les systèmes en recherchant des failles de sécurités dans les protocoles, les systèmes d'exploitations et les applications. Ils scrutent les réseaux dans l'espoir de trouver un ordinateur mal protégé dans le quel, ils pourront s'introduire pour voler les données ou déposer des virus. Cette menace est encore plus importante si l'ordinateur est connectée en permanence à Internet. Il est donc nécessaire, pour les entreprises, les établissements publics et les particuliers connectées à Internet avec une connexion de type réseau local, câble ou modem ADSL, de se protéger des intrusions en installant un système pare-feu.

4.7.2 Qu'est-ce qu'un pare-feu ? Un pare-feu (firewall en anglais), est un système matériel ou logiciel, positionné a l'entrée de votre réseaux. Ses objectifs, le filtrage des services Internet auxquels les utilisateurs peuvent accéder et la protection des réseaux contre les intrusions extérieures.

Le pare-feu est en réalité un système permettant de bloquer ou filtrer les ports TCP ou UDP, c'est-àdire en interdire l'accès aux personnes provenant de l'extérieur. De nombreux ports (un port est un numéro associé à un service ou une application réseau) peuvent être bloqués. Toutefois certains ports étant nécessaires, comme par exemple les ports du courrier électronique (POP 110 & SMTP 25), les administrateurs réseau bloquent tout ce qui ne sont pas indispensables. Un des ports les plus critiques est le port 23 car il correspond à l'utilitaire Telnet qui permet d'émuler un accès par terminal sur une machine distante de manière à pouvoir exécuter des commandes à distance... Ce dispositif de blocage et de filtrage n'empêche pas les utilisateurs internes (derrière le firewall) d'utiliser ces ports

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

8/59

4.7.3 Fonctionnement d'un système pare-feu Un système pare-feu fonctionne sur le principe du filtrage de paquets, c'est un système analysant les en-têtes des paquets IP (appelés datagrammes) échangés entre deux équipements informatiques. En effet les ordinateurs d'un réseau relié à Internet sont identifiés par une adresse appelée, adresse IP. Ainsi, lorsqu'un ordinateur de l'extérieur se connecte à un ordinateur du réseau local ou le contraire, les paquets de données passant par le firewall sont analysés. L'adresse IP de la machine émettrice, L'adresse IP de la machine réceptrice, Le type de paquet (TCP, UDP, ...) Le numéro de port. De cette manière, le système pare-feu est capable d'analyser des datagrammes et d'effectuer un filtrage des communications. Un système pare-feu contient des règles prédéfinies permettant • Soit permettre uniquement les communications et les transmissions ayant été explicitement autorisées (Tout ce qui n'est pas explicitement autorisé est interdit). • Soit empêcher les échanges qui ont été explicitement interdits, le choix du filtrage dépend de la stratégie de sécurité que l'on souhaite mettre en œuvre.

4.7.4 La Zone DeMilitarized (DMZ) Certains équipements informatiques du réseau interne ont besoin d'être accessible de l'extérieur (ex: serveur web, un serveur de messagerie, FTP ...) il est souvent nécessaire de créer une zone de libre échange vers un réseau annexe, accessible par le réseau interne et externe, sans compromettre la sécurité du réseau que l'on veut protéger. On parle ainsi de zone démilitarisée (DéMilitarized Zone) pour désigner cette zone isolée hébergeant des applications ou les données mises à disposition du public. Si cette zone protégée se limite à l'ordinateur sur lequel le firewall est installé on parle de firewall personnel.

4.7.5 Implémentations connues : Versions libres • • • • •

Linux Netfilter/Iptables, pare-feu libre des noyaux Linux 2.4 et 2.6. Linux Ipchains, pare-feu libre du noyau Linux 2.2. Packet Filter ou PF, pare-feu libre de OpenBSD. IPFilter ou IPF, pare-feu libre de BSD et Solaris 10. Ipfirewall ou IPFW, pare-feu libre de FreeBSD.

Distribution Linux • •

Smoothwall *, distribution linux packageant Netfilter et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet. IPCop *, distribution linux packageant Netfilter et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.

Versions commerciales • • •

(fr) Cisco IOS, boîtier routeur avec des fonctions de pare-feu commercialisé par Cisco Systems. (fr) Cisco PIX, boîtier pare-feu commercialisé par Cisco Systems. (fr) IPS Firewall NetASQ Appliance UTM NETASQ

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

9/59

• • • • • •

(fr) Cisco VPN3000, boîtier pare-feu orienté RPV commercialisé par Cisco Systems. (fr) NuFW, logiciel pare-feu authentifiant sous license GPL pour environnement GNU/Linux, client sous licence commerciale pour postes clients Windows (fr) Pare-feu intégré à Windows XP : http://support.microsoft.com/kb/320855/FR/ (en) Pare-feu intégré à Windows XP SP 2 : http://www.microsoft.com/windowsxp/using/security/internet/sp2_wfintro.mspx (en) Zone Alarm le Pare-feu personnel de ZoneLabs …

4.7.6 Architecture simple

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

10/59

4.7.7 Architectures complexes Une architecture plus complexe délimite une zone DMZ et une zone LAN interne contenant le backoffice et utilisant un seul firewall.

Si la sécurisation est très importante, l'environnement LAN interne doit être sécurisé au maximum. On choisira une architecture basée sur 2 firewalls.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

11/59

Cette dernière architecture est notamment conseillée pour l'intégration d'applications: le serveur Web est placé dans la zone DMZ et les serveurs bases de données sont placés dans la zone LAN.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

12/59

4.7.8 Architecture DMZ trois tiers Une autre architecture de qualité est obtenue en appliquant le principe de DMZ trois tiers (trois couches). Celles-ci isolent trois périmètres distincts.

4.8

VLAN

L'évolution rapide de la connectivité Internet a poussé de nombreuses organisations à étendre leur installation informatique. La technologie LAN Ethernet (qui ne s'applique pas uniquement aux environnements Ethernet) apporte des solutions nouvelles dans la segmentation et la sécurisation des réseaux locaux, tout en augmentant leurs performances.

4.8.1 Définition Un VLAN (Virtual Local Area Network) Ethernet est un réseau local virtuel utilisant la technologie Ethernet (IEEE 802.1q) pour regrouper les éléments du réseau (utilisateurs, périphériques, etc.) selon des critères logiques (fonction, partage de ressources, appartenance à un département, etc.), sans se heurter à des contraintes physiques (dispersion des ordinateurs, câblage informatique inapproprié, etc.). Le VLAN:
supprime les contraintes physiques relatives aux communications d'un groupe de travail,
peut couvrir tout un bâtiment, relier plusieurs bâtiments ou encore s'étendre au niveau d'un réseau plus large,
apporte des outils supplémentaires pour le renforcement de la sécurité.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

13/59

4.8.2 Applications : La création de deux VLAN regroupant, d'une part, les périphériques et, d'autre part, les utilisateurs permet de gérer individuellement les droits et priorités d'accès des utilisateurs. Par exemple, l'utilisateur 3 est prioritaire dans l'utilisation de la bande passante et il est le seul à avoir accès à l'imprimante couleurs.

La création de VLAN au sein d'un bâtiment complexe (nombreux étages, architecture compliquée, etc.) permet de regrouper les utilisateurs par centres d'intérêts, alors qu'ils sont situés à des endroits différents. Le VLAN 1 regroupe tous les informaticiens répartis entre deux étages, ainsi qu'un travailleur à distance.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

14/59

Bien que situés dans des bâtiments différents, les membres du personnel travaillent dans des VLAN "horizontaux" qui regroupent virtuellement les pôles de compétences.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

15/59

Grâce à la technologie VLAN, le commutateur fait suivre les règles indiquées par le standard et fait en sorte de distribuer les messages aux portes réseaux adéquates. Cela reste valable même si des stations sont connectées sur des portes réseaux situées dans un autre commutateur. C'est grâce à une étiquette apposée sur les messages Ethernet ainsi qu'à l'ensemble des règles que l'administrateur a défini que le commutateur est capable de déterminer où le message doit être envoyé, diffusé ou bien encore si le message doit être filtré. Pour réaliser un VLAN, il faut que les commutateurs et les cartes réseaux supportent cette extension de la technologie Ethernet. La technologie VLAN renforce la sécurité en apposant au niveau le plus bas de la communication un certain nombre de contraintes communément appelées "Layer 2 Security". Les frontières virtuelles créées par les VLAN ne peuvent être franchies que via un router (IP par exemple). Tous les mécanismes de sécurité (ex: pare-feu) disponibles sur un router peuvent alors définir les règles qui régissent le passage de ces frontières.

4.9

Sécuriser un réseau Wi-Fi

Étape finale et cruciale de l’installation d’un réseau sans fil : sa sécurisation. Non seulement, les données qui transitent par les ondes radio entre le routeur et les ordinateurs doivent être cryptées. Mais il faut également filtrer l’accès. C'est bien connu, les ondes ne s'arrêtent pas aux murs ou plafonds de votre habitation ou de votre bureau. Théoriquement, n'importe quel ordinateur Wi-Fi situé à portée de votre routeur pourra accéder à votre réseau. S'il n'est pas sécurisé, un utilisateur mal intentionné aura la possibilité d'utiliser votre connexion l'internet à votre insu, voire, de consulter vos données partagées. La Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

16/59

sécurisation du réseau constitue donc une étape indispensable, certes un peu fastidieuse, mais qui s'effectue une bonne fois pour toutes. Une fois le réseau installé, les machines connectées et opérationnelles, voici les différentes étapes ayant trait à la sécurisation. 1 – Changer le mot de passe L'accès à l'utilitaire de configuration du routeur sans fil est sécurisé par un nom d'utilisateur (généralement «admin») et un mot de passe. La première étape de sécurisation de votre nouveau réseau Wi-Fi consistera à changer ce mot de passe par défaut (fourni dans la documentation du routeur). Pour cela, réactivez l'utilitaire de configuration du routeur sans fil en entrant son adresse IP dans votre navigateur. Généralement, il s'agit d'une séquence de chiffres comme celle-ci 192.168.0.1. C’est le cas pour de nombreux routeurs, comme le Netgear DG834G. Si nécessaire, utilisez la documentation du routeur ou l'aide intégrée pour trouver l'option qui permet de changer le mot de passe par défaut. Dans le cas du routeur Netgear, l'option "Définir le mot de passe" se trouve dans le dossier Maintenance. Appliquez votre modification et laissez la routine de configuration ouverte pour l'étape suivante. 2 – Définir le SSID La sécurisation de votre réseau impose le changement de son nom, c'est-à-dire du SSID (Service Set IDentifier). Cliquez sur le bouton vous permettant d'accéder aux paramètres sans fil. Changez le SSID par défaut en un nom quelconque en prenant soin d'éviter des désignations trop évidentes telles que votre nom de famille. Appliquez votre modification en laissant la routine de configuration ouverte.

Remarque 1 : certains routeurs permettent de désactiver la diffusion du nom SSID de telle sorte que votre réseau sans fil n'apparaisse pas dans la liste des connexions possibles de vos voisins ou éventuels intrus. C'est une option de sécurité supplémentaire que nous vous conseillons vivement d'activer. Remarque 2 : dans le menu principal, vous constaterez que le routeur permet aussi de déterminer quelle norme Wi-Fi utiliser : 802.11b et g, 802.11g uniquement ou 802.11b uniquement. Par défaut, les routeurs 802.11g sont configurés pour fonctionner à la fois avec des clients 802.11g et 802.11b. Si vous ne disposez que d'unités 802.11g sur vos systèmes sans fil, n'activez que le mode 802.11g : vous obtiendrez ainsi de meilleures performances. 3 – Activer le cryptage (voir dans le glossaire des détails sur les : WEP et WPA) Si votre routeur et tous vos adaptateurs sans fil le supportent, préférez le cryptage WPA (Wi-Fi Protected Access) avec clé de chiffrement "prépartagée". Du point de vue sécurité, cette solution est plus qu'adéquate pour la plupart des utilisations domestiques ou en petite entreprise. Si votre matériel ne supporte pas le WPA, activez alors le cryptage WEP (Wired Equivalent Privacy). La plupart des routeurs donnent la possibilité de générer automatiquement des clés WEP ou WPA. Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

17/59

Entrez un mot de 5 lettres minimum ou une expression dans le champ ad hoc (souvent appelé "phrase clef" ou "clef") et le routeur va générer différents codes. N'oubliez pas de les noter, ils devront être utilisés pour connecter chaque ordinateur du réseau. Appliquez votre modification en laissant la routine de configuration ouverte.

La code de cryptage généré par l'utilitaire de configuration sera utilisé pour chaque ordinateur à connecter. 4 – Filtrer les adresses MAC À titre de précautions supplémentaires, vous pouvez autoriser l'accès au réseau qu'aux ordinateurs ayant des adresses MAC spécifiques. Pour mettre en œuvre un tel filtrage, vous devez activer l'option correspondante dans la routine de configuration : recherchez un bouton de filtrage ou une option de type "Liste d'accès des stations sans fil". Saisissez alors les adresses MAC de chaque ordinateur : elles sont normalement imprimées sur chaque adaptateur Wi-Fi ou dans les propriétés réseau des ordinateurs portables Wi-Fi. Appliquez vos modifications et sortez de la routine de configuration. 5 – Configurer les machines Wi-Fi Si vous avez suivi avec soin les instructions précédentes, vos ordinateurs initialement installés et connectés en Wi-Fi ne peuvent plus se connecter au routeur. Cela est tout à fait normal puisque vous avez restreint son accès ! Pour remédier à cette situation, ouvrez l'utilitaire de configuration sans fil de chaque ordinateur connecté en Wi-Fi (en l'occurrence l'utilitaire de l'adaptateur Wi-Fi installé) : modifiez le nom SSID afin qu'il corresponde à celui que vous avez indiqué pour le routeur. Activez également le même type de cryptage que celui du routeur et saisissez exactement la première clé de chiffrement notée précédemment. Après avoir appliqué ces modifications à chacun des systèmes, ceux-ci devraient se connecter au routeur et à l'Internet.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

18/59

6 – Partager accès Internet, fichiers et imprimante Une fois le réseau sécurisé, rien ne nous empêche, outre la connexion à l'Internet, de partager des dossiers afin de faire circuler les fichiers dont vous avez besoin entre les différentes machines du réseau : documents administratifs, photos, musique, etc. Il vous sera aussi possible de partager l'accès à une imprimante. La procédure de partage avec le système d'exploitation Windows XP s'avère relativement simple. Choisissez Panneau de configuration, puis Connexions réseau et cliquez sur «Créer un réseau domestique ou un réseau d'entreprise». En réponse à la demande de sélection d'une méthode de connexion, choisissez «Cet ordinateur se connecte à Internet via un autre ordinateur de mon réseau domestique ou via une passerelle résidentielle». Il suffit ensuite de se laisser guider par l'assistant de connexion qui ira détecter sur le réseau une connexion à l'Internet.

Pour partager un dossier avec Windows XP, faites un clic droit sur le dossier en question, puis choisissez l'option Partage et sécurité. Cochez l'option Partager ce dossier. Pour accéder à tous les dossiers partagés depuis n'importe quelle machine du réseau, cliquez sur Démarrer puis Favoris réseau. Ajouter des dossiers partagés est aisé, mais n'oubliez pas que plus ils sont nombreux, plus vous fragilisez votre espace disque en cas d'une violation de sécurité. Même procédure pour une imprimante, sur l'ordinateur avec Windows XP auquel l'imprimante est directement reliée : dans le menu Démarrer puis Imprimantes et télécopieurs, cliquez avec le bouton droit sur l'imprimante installée et sélectionnez Partager.

4.10 Antivirus Un antivirus est un logiciel censé protéger un micro-ordinateur contre les programmes néfastes appelés virus, vers, macrovirus, etc. Les principaux antivirus du marché se fondent sur des fichiers de signatures et comparent alors la signature génétique du virus aux codes à vérifier. Certains programmes appliquent également la méthode dite heuristique tendant à découvrir un code malveillant par son comportement. Autre méthode, l'analyse de forme repose sur du filtrage basé entre des règles regexp ou autres, mises dans un fichier junk. Cette dernière méthode peut être très efficace pour les serveurs de courriels supportant les regexp type postfix puisqu'elle ne repose pas sur un fichier de signatures. Les antivirus peuvent scanner le contenu d'un disque dur, mais également la mémoire de l'ordinateur. Pour les plus modernes, ils agissent en amont de la machine en scrutant les échanges de fichiers avec l'extérieur, aussi bien en flux montant que descendant. Ainsi, les courriels sont examinés, mais aussi les fichiers copiés sur ou à partir de supports amovibles tels que cédéroms, disquettes, connexions réseau... Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

19/59

4.10.1 Qu’est ce-qu’un virus ? Nous dirons ici que tout Code Parasite Autopropageable (CPA) est un virus informatique (définition de Mark Ludwig, tirée de The Little Book of Computers Viruses, 1991). Le terme « code » fait bien évidemment référence à des instructions rédigées dans un langage de programmation évolué ou non. Le mot « parasite » souligne le caractère insidieux du code viral : il est là où on ne devrait normalement pas le trouver. Il constitue un ajout non-voulu par l'utilisateur. Quant à « autopropageable, il renvoie à cette caractéristique de duplication qu'ont les virus : la capacité à se multiplier en infectant d'autres fichiers. Ils recopient leurs propres instructions (code) au sein de celles d'un autre programme. L'efficacité de la duplication se mesure au fait que l'exécution du programme hôte n'est pas altérée, alors que ses fonctionnalités ont été modifiées. C'est une définition parmi tant d'autre d'un virus informatique mais intéressons nous maintenant aux différents types qui existent.

Types de virus : On peut classer les virus selon leur mode de déclenchement ou leur mode de propagation. On distingue alors plusieurs catégories de virus : Les vers : il s'agit de programmes possédant la faculté de s'autoreproduire et de se déplacer à travers un réseau en utilisant des mécanismes de communication classiques, comme les RPC (Remote Procedure Call, procédure d'appel à distance) ou le rlogin (connexion à distance), sans avoir réellement besoin d'un support physique ou logique (disque dur, programme hôte, fichier ...) pour se propager. Un ver est donc un virus réseau. Ces virus se servent des programmes de messagerie (notamment Microsoft Outlook) pour se répandre à grande vitesse, en s'envoyant automatiquement à des personnes présentent dans le carnet d'adresses. Leur premier effet est de saturer les serveurs de messagerie, mais ils peuvent également avoir des actions destructrices pour les ordinateurs contaminés. Ils sont particulièrement redoutables, car le fait de recevoir un mail d'une personne connue diminue la méfiance du destinataire, qui ouvre alors plus facilement le fichier joint contaminé. • Les bombes logiques: elles sont de véritables bombes à retardement. Ce sont de petits programmes restant inactifs tant qu'une condition n'est pas remplie, une fois la condition remplie (une date par exemple), une suite de commandes est exécutée (dont le but, le plus souvent, hélas, est de faire le plus de dégâts possible). Les bombes logiques sont généralement utilisées dans le but de créer un déni de service en saturant les connexions réseau d'un site, d'un service en ligne ou d'une entreprise ! Un exemple célèbre est le virus Michelangelo qui devait se déclencher à la date anniversaire de la naissance de l'artiste (Michel-Ange) ; • Les chevaux de Troie : par analogie avec la mythologie grecque, ce sont des programmes dont l'aspect malveillant est caché au premier abord. Un cheval de Troie permet généralement de préparer une attaque ultérieure de la machine infectée. Par exemple, ils agissent en laissant ouverts des ports de communication qui peuvent être ensuite utilisés par des programmes d'attaque. Ils sont difficiles à détecter par un utilisateur non averti. Un cheval de Troie est donc un programme caché dans un autre qui exécute des commandes sournoises, et qui généralement donne un accès à la machine sur laquelle il est exécuté. Un cheval de Troie peut par exemple : voler des mots de passe copier des données sensibles exécuter tout autre action nuisible Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

20/59

... • Les macrovirus : ce sont des virus écrits sous forme de macros (une macro est une série de commandes destinée à effectuer automatiquement quelques tâches d'une application spécifique) exécutables dans des applications bureautiques (traitement de texte, tableur, etc.) ou des logiciels clients de messagerie électronique. Ces macrovirus vont détourner tous les appels des macros standards. La propagation se fait généralement par l'opération de sauvegarde. Comme de plus en plus de logiciels intègrent ces notions de macros, les macrovirus sont devenus les virus les plus fréquents et les plus redoutables pouvant malheureusement causer de grands dégâts (formatage du disque dur par exemple). Un tel virus peut être situé à l'intérieur d'un banal document Word ou Excel, et exécuter une portion de code à l'ouverture de celui-ci lui permettant d'une part de se propager dans les fichiers, mais aussi d'accéder au système d'exploitation (généralement Windows). • Les virus de secteur d'amorce (aussi appelés virus « boot sector ») : cette catégorie regroupe les virus infectant le secteur d'amorçage du disque (disque dur, disquettes, disque zip, ...). Il s'agit d'un type de virus infectant la partie faisant démarrer l'ordinateur. Ce type de virus est de nos jours peu contagieux. Pour qu'un ordinateur soit infecté, il doit être démarré avec un secteur d'amorçage infecté, ce qui était courant sur les premiers ordinateurs mais qui est rare aujourd'hui. Pourtant ce genre de virus est fort dangereux. En effet, il se trouve dans le premier secteur du disque et est donc chargé à chaque allumage de l'ordinateur. Le secteur d'amorçage du disque est le premier secteur lu au démarrage de l'ordinateur. Ce genre de virus a donc un contrôle complet de la machine, puisqu'il est chargé en premier. Ce peut être un des virus les plus difficiles à déceler et/ou à éradiquer, vu l'« incrustation » du virus dans le système. Ce genre de virus est actif à partir du moment où on allume l'ordinateur, jusqu'au moment où on l'éteint. Mais pourquoi le secteur d'amorçage d'un ordinateur n'est pas protégé contre l'écriture ? Le secteur d'amorçage est typique au système d'exploitation, donc variable. Il est du coup nécessaire de pouvoir le modifier si l'utilisateur désire changer de système d'exploitation. Ceci dit ce genre de virus est en voie de disparition : il est de plus en plus rare d'amorcer sa machine avec une disquette ou un disque dur de quelqu'un d'autre.

• Les virus fichiers : Virus Non résidents : C'étaient les virus les plus répandus il y a quelques années. Lors de l'infection, il cherche un fichier cible, et remplace, par sa section virale, le premier segment du programme. La section originale est alors ajoutée en fin de programme. Au moment de l'exécution du fichier, c'est le code viral qui est d'abord lancé. Ce code viral cherche d'autres programmes à infecter, il les infecte. Ensuite il restitue la première section du programme infecté et l'exécute celui-ci. La boucle est bouclée. Le virus a pu se propager de façon tout à fait invisible. Il s'agit donc d'un virus fort contagieux. La détection de ce genre de virus est pourtant assez aisée, le fichier infecté étant plus grand que le fichier sain, puisqu'il contient le virus en plus du programme. Virus résidents : Il s'agit de virus qui restent présent dans la mémoire de l'ordinateur (RAM, à ne pas confondre avec le disque dur qui peut aussi être appelé mémoire). Fonctionnement : Une fois un fichier infecté Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

21/59

exécuté (NB : ce fichier infecté vient soit d'une source infectée, une source douteuse, soit d'un autre fichier infecté précédemment), le virus se loge dans la mémoire vive, ou il reste actif. Dès qu'un programme est exécuté et qu'il n'est pas infecté, le virus l'infecte. La différence avec celui vu précédemment est qu'il n'y a pas besoin de procédure pour trouver une cible, puisque c'est l'utilisateur qui la désigne en exécutant le programme cible. Ce genre de virus est actif à partir du moment où un programme infecté est exécuté jusqu'à l'arrêt complet de la machine. Certains d'entre eux peuvent résister au simple redémarrage (c-à-d : CTRL – ALT – DEL). Virus multiformes : Virus regroupant les caractéristiques des virus parasites et des virus du secteur d'amorçage. Les autres caractéristiques des virus : * Virus furtifs (intercepteurs d'interruptions) : ce sont des virus modifiant complètement le fonctionnement du système d'exploitation. Ces virus le modifient tellement qu'il semble sain aux antivirus. Ceci les rend très difficiles à détecter, puisque les antivirus sont trompés, croyant le système d'exploitation sain. * Virus polymorphes (mutants) : ce virus est différent à chaque infection. Il doit ceci à son encryption (Il existe un algorithme reprenant une valeur au hasard, permettant d'avoir un fichier crypté à chaque fois différent ne dérangeant cependant pas le décryptage). Le programme entier et le virus sont encryptés, excepté le premier segment destiné à la décryption. Ce genre de virus est donc beaucoup plus difficile à détecter que les précédents et presque impossible à détruire sans supprimer le fichier infecté, vu qu'il est crypté. * Virus réseau : Ces virus se reproduisent dans les réseaux en prenant le contrôle des interruptions réseau (peu fréquents). * Virus flibustiers (Bounty hunters) : virus visant la modification des antivirus les rendant non opérationnels. Ce genre de virus est très rare mais très efficace. Il faut savoir que un virus peut regrouper une, plusieurs, voire toutes les caractéristiques vues cidessus. Plus le virus a de caractéristiques, plus il sera dangereux, compliqué, vorace en ressources de l'ordinateur (du à sa complexité). Ce qui signifie gênant sans même être actif, et surtout difficile à détecter par un antivirus (trompé, rendu inactif, ...) mais aussi plus facilement repérable, et ce, dû à la baisse des performances de la machine. • Les virus VBS script : Ce type de virus se propage par mail à l'aide d'un fichier attaché (type exe, vbs etc..) bien souvent en ayant un nom évocateur. Ces nombreux virus sont en langage Visual Basic. Ils sont de type Vbs (Visual Basic Script) ou plus simplement « script ». Par exemple, le désormais célèbre I Love You et le virus KakWorm sont écrits dans ce langage. • Les canulars : Depuis quelques années un autre phénomène est apparu, il s'agit des canulars (en anglais hoax), c'est-à-dire des annonces reçues par mail propageant de fausses informations (par exemple l'annonce de l'apparition d'un nouveau virus destructeur ou bien la possibilité de gagner un téléphone portable gratuitement,...) accompagnées d'une note précisant de faire suivre la nouvelle à tous ses proches. Ce procédé a pour but l'engorgement des réseaux ainsi que la désinformation. Ainsi, de plus en plus de personnes font suivre des informations reçues par courriel sans vérifier la véracité des propos qui y sont contenus. Le but des hoax est simple : provoquer la satisfaction de son concepteur d'avoir berné un grand nombre de personnes Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

22/59

Sociétés éditant des antivirus • • • • • • • • • • • • •

Aladdin Knowledge Systems Alwil Computer Associates ClamAV Dr.Web Eset Frisk Software F-Secure GeCAD Grisoft Hauri Intego

• • • • • • • • • •

(en) * Kaspersky

• • • • • •

(fr) McAfee Antivirus (fr) Norman Antivirus (fr) Norton Antivirus (fr) PC-cillin Internet Security (fr) Sophos Antivirus (fr) Viguard

•

chkrootkit, détecteur de rootkit sous

•

Unix Dr.Web - Kit de désinfection gratuit

McAfee Mks Norman Panda Software Softwin (BitDefender) Sophos Stiller Research Symantec Trend Micro

…

4.10.2 Principaux antivirus :

4.10.2.1 Antivirus commerciaux • • • • • •

(fr) AVG Version commerciale (fr) BitDefender (fr) Dr.Web (fr) F-prot (fr) F-Secure (fr) * Kaspersky Antivirus

… 4.10.2.2 Antivirus gratuits • • • • •

AntiVir Personal Edition AVG Free Edition Avast! ClamAV Antivirus libre (licence GPL). ClamWin Le seul antivirus libre (licence GPL) et fonctionnel sur

Windows (98/ME/NT/2000/XP/2003). 4.10.2.3 Les scans en ligne Note: ces antivirus nécessitent en général le chargement de programmes ActiveX, et ne fonctionnent donc qu'avec Internet Explorer. Seul Trend Micro HouseCall n'a besoin ni d'ActiveX ni d'Internet Explorer. •

Trend Micro HouseCall (tout browser et système supportant Java)

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

23/59

4.10.2.4 14 antivirus à l’essai :

Ces résultats sont des indicateurs de rapidité mais pas d’efficacité. Les mesures effectuées le furent sur un disque n’hebergeant que 8.5 Go de données, les temps imposés par des supports plus vastes doivent être envisagés en conséquence. En dessous de dix minutes - soit 600 secondes -, on peut considérer que le logiciel mène à bien sa mission sans trop pénaliser l'utilisateur pressé. Au-delà de 20 minutes, la durée agace !

Occupation mémoire (en Mo)

source : pc magazine déc 2005 4.10.2.5 Test pour votre antivirus : Afin de tester votre antivirus, il existe un fichier test à télécharger dénommé « Anti-Virus test file ». Créez un fichier texte de 68 octets contenant ces caractères : X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* Que vous sauvegardez. EICAR est un code répondant au niveau signature comme un virus afin de tester les antivirus. Il permet de tester l' efficacité d' une protection virale Ce fichier ne contient pas de virus mais une signature qui doit être détectée par votre logiciel antivirus si celui-ce est basé sur une méthode de recherche par signature. EICAR est édité par un organisme indépendant et reconnu par la majorité des éditeurs d'antivirus (tant commerciaux que libres). Il peut être renommé en fichier .COM, c'est un fichier exécutable MS-DOS valide inoffensif affichant "EICAR-STANDARD-ANTIVIRUS-TEST-FILE". 4.11 Spam Le spam, mot anglais du jargon informatique, désigne les communications électroniques massives, notamment de courrier électronique, sans sollicitation des destinataires, à des fins publicitaires ou malhonnêtes. Ce terme est considéré comme un anglicisme. Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

24/59

En guise de remplacement, certains pays francophones proposent d'utiliser les mots pourriel (de poubelle et courriel) et polluriel (de pollution et courriel), ainsi que d'autres variantes. Le mot pourriel est d'usage assez courant, polluriel est plus rarement utilisé. Le verbe spammer est souvent utilisé dans le langage familier pour qualifier l'action d'envoyer du spam, le spamming. Le mot spammeur désigne celui qui envoie du spam. Les mots polluposter, pollupostage et polluposteur en sont leurs équivalents. Il est recommandé d'utiliser le terme d' arroseur pour designer un spammeur. 4.12 Cibles du pourriel : Le pourriel peut s'attaquer à divers médias électroniques : les courriels, les forums de discussion de Usenet, les moteurs de recherche, les wikis, les messageries instantanées. 4.12.1 Par courrier électronique : Le pourriel par courrier électronique est le type de pollupostage le plus répandu. Le coût d'envoi d'un courrier électronique étant négligeable, il est facile d'envoyer un message à des millions de destinataires. Les destinataires assument le coût de réception et de stockage en boîte aux lettres, ce qui peut causer des coûts non négligeables aux prestataires de services, à cause du volume pris par le pourriel. Les forums de discussion de Usenet sont une cible facile du spam. En effet, un message envoyé à un forum touche tous les lecteurs du forum. Certains groupes de discussion ne reçoivent pratiquement plus que du pollupostage (c'est l'une des raisons pour lesquelles de nombreux forums sont modérés, c'est-à-dire surveillés par un humain ou un robot qui effectue un tri parmi les articles proposés 4.12.2 Par des fenêtres pop-up de Windows. 4.12.3 Par systèmes vocaux : Le développement de la voix sur réseau IP (téléphonie par Internet) fait craindre l'arrivée prochaine sur nos combinés d'un nouveau type de pourriel, le spam vocal, baptisé SpIT (Spam over Internet Telephony). En effet, des systèmes comme Skype voient déjà une part notable des appels être d'origine non sollicitée, même s'il s'agit encore de contacts personnels plutôt que de sollicitations commerciales. 4.12.4 Spamdexing - Référencement abusif Le référencement abusif destiné aux robots d'indexation de moteur de recherche consiste à modifier des pages Web en utilisant des mots-clés d'une façon abusive pour améliorer le classement dans les moteurs de recherche. 4.12.4.1 Par commentaires via les blogs La présence de liens vers un site web est un critère important de classement dans les moteurs de recherche. Afin d'augmenter artificiellement le nombre de liens pointant vers leurs sites, certains mettent des messages de commentaires dans les blogs uniquement pour ajouter un lien vers un ou plusieurs sites web à promouvoir

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

25/59

4.13 Lutte contre le pollupostage 4.13.1 Lutte technique Les techniques pour lutter contre le pourriel mettent en œuvre diverses techniques de classification automatique pour trier entre le pourriel et le courrier légitime. Ces techniques peuvent être mises en œuvre soit au niveau des fournisseurs de service Internet qui protègent leur messagerie, soit au niveau des utilisateurs par des outils appropriés. Ces techniques peuvent être soit préventives (marquage du courrier pour indiquer qu'il s'agit de courrier indésirables) soit curatives (blocage, voire renvoi des messages incriminés vers l'expéditeur). Plusieurs techniques de lutte contre le pourriel sont possibles et peuvent être cumulées : 4.13.1.1 Méthode bayesienne Cette méthode d'analyse statistique utilise l'inférence bayésienne formulée par le mathématicien Thomas Bayes. Celle-ci permet d'associer des probabilités aux mots contenus dans les courriers. En fonction du pointage obtenu, la probabilité qu'il s'agisse vraiment de pourriel augmente ou diminue. Cette méthode requiert une phase d'apprentissage de mots autorisés et interdits pour être réellement efficace 4.13.1.2 Filtrage par mots-clés ou adresses Cette méthode est très limitée car elle se base sur le rejet ou le tri du courrier en fonction de règles de vocabulaire préalablement établies, définissant des mots comme interdits. Cette méthode engendre de fortes probabilités d'erreur et s'avère également peu efficace lorsque les polluposteurs maquillent les mots utilisés (« vi@gr@ », « s3x », etc.). Il convient alors d'utiliser les expressions régulières. 4.13.1.3 Filtrage de serveur expéditeur Cette méthode consiste à refuser les messages originaires de certains serveurs (à ne pas confondre avec l'adresse de l'expéditeur 4.13.1.4 Greylisting Dans cette méthode, chaque message est identifié par un triplet d'informations : • • •

L'adresse IP du serveur expéditeur Adresse courriel de l'expéditeur Adresse courriel du destinataire

Lorsqu'aucune règle n'existe pour ce triplet, le système rejette temporairement le message (cas prévu par la RFC 821). Cette technique a par ailleurs l'avantage de fonctionner aussi avec les virus.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

26/59

4.13.1.5 Rendre les courriels payants Mettre un prix sur l'envoi de courriel, symbolique pour les envois légitimes mais dissuasif pour les envois massifs 4.13.2 Modération Dans les forums Internet et Usenet, ainsi que sur les listes de diffusion, on a souvent recours à la modération : une personne de confiance (« modérateur ») lit les messages dont la publication est proposée, et refuse évenutellement de les diffuser (modération a priori) ; ou bien cette personne lit les messages qui ont déjà été diffusés, et efface ceux qui lui semblent hors de propos 4.14 Logiciel espion Un logiciel espion (ou mouchard) est un logiciel malveillant qui infecte un ordinateur dans le but de collecter et de transmettre à des tiers des informations de l'environnement sur lequel il est installé sans que l'utilisateur n'en ait connaissance. L'essor de ce type de logiciel est associé à celui d'Internet, qui sert de moyen de transmission des données. 4.14.1 Étymologie Logiciel espion est tiré de l'Anglais spyware et se dit également espiogiciel ou plus rarement espiongiciel. 4.14.2 Fonctionnement Un logiciel espion est composé de trois mécanismes distincts : • • •

Le mécanisme d'infection. Par exemple, le spyware Cydoor utilise le logiciel grand public Kazaa. Le mécanisme assurant la collecte d'information. Pour le même exemple, la collecte consiste à enregistrer tout ce que l'utilisateur recherche et télécharge via le logiciel Kazaa. Le mécanisme assurant la transmission à un tiers. Ce mécanisme est généralement assuré via le réseau Internet. Le tiers peut être le concepteur du programme ou une entreprise. La transmission de données à un État est très spéculative et relève peut-être plus de la théorie du complot.

4.14.3 Où trouve-t-on des logiciels espions ? Le logiciel espion est très répandu sur les systèmes Microsoft, sur lesquels il n'est généralement pas détectable par les logiciels anti-virus ni les anti-espiogiciels actuels, car fonctionnant avec le même principe qu'un rootkit. Certaines pages web peuvent, lorsqu'elles sont chargées, installer à l'insu de l'utilisateur un logiciel espion, généralement en utilisant des failles de sécurité du navigateur Internet Explorer. Ils sont souvent présents dans des gratuiciels (différents des logiciels libres), ou des partagiciels, afin de rentabiliser leur développement. Il est possible que la suppression de l'espiogiciel d'un gratuiciel empêche celui-ci de fonctionner. En général les logiciels à code source libre comme Mozilla FireFox n'en contiennent aucun. On en trouve également dans les logiciels d'installation de pilotes fournis avec certains périphériques. Ainsi, les fabricants d'imprimantes peuvent s'en servir pour savoir en combien de temps une cartouche d'encre est vidée. Plus généralement, tous les logiciels propriétaires peuvent en Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

27/59

cacher puisque leurs sources ne sont pas accessibles. Enfin, certains administrateurs systèmes ou réseaux installent eux-mêmes ce type de logiciel pour surveiller à distance l'activité de leurs ordinateurs, sans avoir à se connecter dessus.

4.14.4 Comment lutter contre les logiciels espions ? 4.14.5 Utiliser un anti-espiogiciel

Il existe plusieurs logiciels spécifiques pour détecter et supprimer ces logiciels avec Microsoft Windows : •

Logiciels gratuits : o Ad-aware, développé par la société suédoise Lavasoft. Spécialisé dans la suppression des adware. Il existe une version payante plus sophistiquée. o Spybot - Search & Destroy [1], un logiciel totalement gratuit qui permet également de supprimer les autres traceurs d'activité sur le systèmes (fichiers journaux) o Spyware Blaster [2] qui protège votre navigateur de l'installation des espiogiciels. o Windows Defender (ex Microsoft AntiSpyware) (en version béta en février 2006) [3] o HijackThis [4] - ce logiciel permet de détecter et de détruire tous les processus en cours de fonctionnement sur votre ordinateur (pour plus d'informations lire l'article sur hijackthis)

•

Logiciels payants (ou à vérifier...). o SpyBouncer [5] - Importante base de données o o o o o o

PestPatrol [6] Spyware Doctor [7] Spy Sweeper disponible en version d'évaluation pour 30 jours : [8] Spy Subtract [9] Hitman Pro [10] — Un jeu complet d'anti-espiogiciels, en néerlandais Checkflow [11] — Suite logicielle anti-espiogiciel, surf anonyme et contrôle parental

(éditeur français) o

Ewido Security Suite [12] - Un logiciel détectant et éliminant un grand nombre de maliciels (version d'évaluation de 14 jours, permettant de nettoyer lors d'une infection)

Ces logiciels, comme les antivirus, utilisent des bases de données fréquemment mises à jour. On peut installer plusieurs de ces logiciels, car souvent ils ne détectent pas les mêmes espions. Même tous installés, ils ne détecteraient qu'une partie réduite des logiciels espions existants. 4.15 Cheval de Troie (informatique) En informatique, un cheval de Troie est un type de logiciel malveillant, c'est-à-dire un logiciel d'apparence légitime, mais conçu pour subrepticement exécuter des actions nuisibles à l'utilisateur. Un cheval de Troie n'est pas un virus informatique dans le sens où il ne se duplique pas par luimême, fonction essentielle pour qu'un logiciel puisse être considéré comme un virus. Un cheval de Troie est conçu pour être dupliqué par des utilisateurs naïfs, attirés par les fonctionnalités vantées. Les chevaux de Troie servent très fréquemment à introduire une porte dérobée sur un ordinateur. L'action nuisible à l'utilisateur est alors le fait qu'un pirate informatique peut à tout moment prendre à distance (par Internet) le contrôle de l'ordinateur. Pour éviter les infections de chevaux de Troie, la règle la plus simple est d'installer un minimum de Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

28/59

logiciels, de provenance sûre. Après infection, on peut détecter un cheval de Troie avec un antivirus à jour. Enfin, on peut utiliser un pare-feu pour limiter et surveiller les connexions au réseau que pourrait utiliser le pirate. Toutefois, une fois installé, le cheval de Troie peut désactiver les antivirus et pare-feu existants.

4.15.1 Exemples de chevaux de Troie •

Back Orifice, NetBus, SubSeven…

4.16 L'usurpation d'identité: le phishing Le phishing (prononcer fishing) est une des nouvelles facettes à la problématique de l'usurpation d'identité. Il s'agit d'exploiter l'Internet et le courrier électronique afin de pousser des utilisateurs à divulguer des informations privées en leur faisant croire que ces demandes d'information proviennent de services légitimes. Ces courriers électroniques peuvent apparaître comme authentiques, alors qu'en réalité ils ne visent qu'à tromper l'utilisateur, un peu comme le pêcheur utilisant des leurres ressemblant à s'y méprendre à de vrais insectes pour faire mordre le poisson. Les informations ainsi recherchées peuvent être de différentes natures: • • • • •

informations personnelles informations financières (numéros de carte de crédit, etc.), nom d'utilisateur et mot de passe du compte d'un utilisateur légitime, numéros de sécurité sociale, etc.

De même, les identités usurpées peuvent être celles: •

de banques connues, de services de vente en ligne, d'entreprises de crédit, etc.

4.17 Cryptographie La cryptographie est une des disciplines de la cryptologie, s'attachant à protéger des messages (assurant confidentialité et/ou authenticité), en s'aidant souvent de secrets ou clés. Elle est utilisée depuis l'antiquité, mais certaines de ses méthodes les plus importantes, comme la cryptographie asymétrique, n'ont que quelques dizaines d'années d'existence.

4.17.1 Vocabulaire Notamment à cause d'anglicisme, puis de la création des fameuses chaînes de télévision dites cryptées, une importante confusion des termes existe : •

chiffrement et déchiffrement : le chiffrement est la transformation à l'aide d'une clé de chiffrement d'un message en clair en un message incompréhensible si on ne dispose pas d'une clé de déchiffrement

chiffre : anciennement code secret, par extension, algorithme utilisé pour le chiffrement cryptogramme : message chiffré décrypter : retrouver le message clair correspondant à un message chiffré sans posséder la clé de déchiffrement ou même retrouver la clé de déchiffrement (terme que ne possède pas les anglophones, qui eux cassent des codes secrets) • cryptographie : étymologiquement écriture secrète, est devenue par extension l'étude de cet art. C'est donc aujourd'hui la science visant à créer des chiffres Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS 29/59 • • •

• •

cryptanalyse : science analysant les cryptogrammes en vue de les casser cryptologie : science regroupant la cryptographie et la cryptanalyse.

4.17.2

Algorithmes et protocoles

4.17.2.1

Algorithmes de chiffrement faibles (cassables facilement)

Les premiers algorithmes utilisés pour le chiffrement d'une information étaient assez rudimentaires dans leur ensemble. Il consistaient notamment au remplacement de caractères par d'autres. La confidentialité de l'algorithme de chiffrement est donc la pierre angulaire de ce système pour éviter un cassage rapide. • •

ROT13 (rotation de 13 caractères, sans clé) Chiffre de Vigenère (chiffrement polyalphabétiques)

4.17.2.2

Algorithmes de cryptographie symétrique (à clé secrète)

Les algorithmes de chiffrement symétrique se basent sur une même clé (ou presque) pour chiffrer et déchiffrer un message. Le problème de cette technique est qu'il faut que toutes les clés soient parfaitement confidentielles. Et lorsqu'un grand nombre de personnes désirent communiquer ensemble, le nombre de clés augmente de façon importante (une pour chaque couple communicant). Ce qui pose des problèmes de gestions des clés. Quelques algorithmes de chiffrement symétrique très utilisés : • • • • • • •

DES (Data_encryption_standard) 3DES AES RC4 RC5 MISTY1

et d'autres ;

4.17.2.3

Algorithmes de cryptographie asymétrique (à clé publique et privée)

Pour résoudre en partie le problème de la gestion des clés, la cryptographie asymétrique a été mise au point dans les années 1970. Elle se base sur le principe de deux clés : • •

une publique, permettant le chiffrement une privée, permettant le déchiffrement

Comme son nom l'indique, la clé publique est mise à la disposition de quiconque désire chiffrer un message. Ce dernier ne pourra être déchiffré qu'avec la clé privé, qui elle doit être confidentielle. Quelques algorithmes de cryptographie asymétrique très utilisés : • • • •

(Rivest_Shamir_Adleman) (Digital_Signature_Algorithm) Protocole d'échange de clés Diffie-Hellman et d'autres ; RSA DSA

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

30/59

4.17.3 Fonctions de hachage (exemple avec la signature électronique) Le paradigme de signature électronique (appelé aussi signature numérique) est un procédé permettant de garantir l'authenticité de l'expéditeur (fonction d'authentification) et de vérifier l'intégrité du message reçu. La signature électronique assure également une fonction de non-répudiation, c'est-à-dire qu'elle permet d'assurer que l'expéditeur a bien envoyé le message (autrement dit elle empêche l'expéditeur de nier avoir expédié le message). 4.17.3.1 Qu'est-ce qu'une fonction de hachage ? Une fonction de hachage (parfois appelée fonction de condensation) est une fonction permettant d'obtenir un condensé (appelé aussi condensat ou haché ou en anglais message digest) d'un texte, c'est-à-dire une suite de caractères assez courte représentant le texte qu'il condense. La fonction de hachage doit être telle qu'elle associe un et un seul haché à un texte en clair (cela signifie que la moindre modification du document entraîne la modification de son haché). D'autre part, il doit s'agir d'une fonction à sens unique (one-way function) afin qu'il soit impossible de retrouver le message original à partir du condensé. S’il existe un moyen de retrouver le message en clair à partir du haché, la fonction de hachage est dite « à brèche secrète ».

Ainsi, le haché représente en quelque sorte l'empreinte digitale (en anglais finger print) du document. Les algorithmes de hachage les plus utilisés actuellement sont : MD5 (MD signifiant Message Digest). Développé par Rivest en 1991, MD5 crée une empreinte digitale de 128 bits à partir d'un texte de taille arbitraire en le traitant par blocs de 512 bits. Il est courant de voir des documents en téléchargement sur Internet accompagnés d'un fichier MD5, il s'agit du condensé du document permettant de vérifier l'intégrité de ce dernier) SHA (pour Secure Hash Algorithm, pouvant être traduit par Algorithme de hachage sécurisé) crée des empreintes d'une longueur de 160 bits SHA-1 est une version améliorée de SHA datant de 1994 et produisant une empreinte de 160 bits à partir d'un message d'une longueur maximale de 264 bits en le traitant par blocs de 512 bits. 4.17.3.2 Vérification d'intégrité En expédiant un message accompagné de son haché, il est possible de garantir l'intégrité d'un message, c'est-à-dire que le destinataire peut vérifier que le message n'a pas été altéré (intentionnellement ou de manière fortuite) durant la communication.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

31/59

Lors de la réception du message, il suffit au destinataire de calculer le haché du message reçu et de le comparer avec le haché accompagnant le document. Si le message (ou le haché) a été falsifié durant la communication, les deux empreintes ne correspondront pas. 4.17.3.3 Le scellement des données L'utilisation d'une fonction de hachage permet de vérifier que l'empreinte correspond bien au message reçu, mais rien ne prouve que le message a bien été envoyé par celui que l'on croit être l'expéditeur. Ainsi, pour garantir l'authentification du message, il suffit à l'expéditeur de chiffrer (on dit généralement signer) le condensé à l'aide de sa clé privée (le haché signé est appelé sceau) et d'envoyer le sceau au destinataire.

A réception du message, il suffit au destinataire de déchiffrer le sceau avec la clé publique de l'expéditeur, puis de comparer le haché obtenu avec la fonction de hachage au haché reçu en pièce jointe. Ce mécanisme de création de sceau est appelé scellement.

4.18 Access Control List: Access Control List (ACL), en français liste de contrôle d'accès, désigne deux choses en sécurité informatique : • •

un système permettant de faire une gestion plus fine des droits d'accès aux fichiers que ne le permet la méthode employée par les systèmes UNIX. en réseau, une liste des adresses et ports autorisés ou interdits par un pare-feu

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

32/59

4.18.1 Pourquoi les ACL? Les systèmes de type UNIX (dont Linux) n'acceptent que trois type de droits : • • •

lecture écriture exécution

pour trois types d'utilisateurs : • • •

le propriétaire du fichier les membres du groupe auquel appartient le fichier tous les autres utilisateurs

En utilisant cette méthode on couvre un certains nombre de cas, mais pas tous. Il est impossible d'autoriser un seul utilisateur, qui ne fait pas partie du groupe auquel appartient le fichier, à avoir certains droits sur ce dernier. Les ACL permettent de combler ce manque. On peut permettre à n'importe quel utilisateur, ou groupe, un des trois droits (lecture, écriture et exécution) et cela sans être limité par le nombre d'utilisateur que l'on veut ajouter.

4.18.2 Utilisation Les deux commandes permettant de visualiser les droits ACL et de les modifier sont, sous UNIX : • •

getfacl : pour visualiser setfacl : pour modifier

4.18.3 Les ACL chez les autres systèmes Les ACL sont présentes sous Windows NT et ses successeurs (Windows 2000 et Windows XP). Le support des ACL n'est effectif que pour des fichiers se trouvant sur une partition NTFS, car la FAT32 ne supporte pas la gestion des droits Mac OS X supporte les ACL depuis la version 10.4 (Tiger).

4.18.4 ACL en réseau Une ACL sur un pare-feu ou un routeur filtrant, est une liste d'adresses ou de ports autorisés ou interdits par le dispositif de filtrage. 4.19 Stéganographie Si la cryptographie est l'art du secret, la stéganographie est l'art de la dissimulation : l'objet de la stéganographie n'est pas de rendre un message inintelligible à autre que qui de droit mais de le faire passer inaperçu. Si on utilise le coffre-fort pour symboliser la cryptographie, la stéganographie revient à enterrer son argent dans son jardin. Bien sûr, l'un n'empêche pas l'autre, on peut enterrer son coffre dans son jardin.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

33/59

4.20 Les certificats numériques 4.20.1 Familles Usuellement, on distingue deux familles de certificats numériques : • •

les certificats de signature, utilisés pour signer des e-mails ou s'authentifier sur un site web), et les certificat de chiffrement (les gens qui vous envoient des e-mails utilisent la partie publique de votre certificat pour chiffrer le contenu que vous serez seul à pouvoir déchiffrer)

Mais cette typologie n'est pas exhaustive ; un découpage plus orienté applicatif pourrait être envisagé. L'intérêt de la séparation des usages découlent notamment des problématiques de séquestre de clés et de recouvrement. En effet, lorsqu'il a chiffrement il peut y avoir nécessité de recouvrer les informations chiffrées. Alors que lorsqu'il y a signature, il est indispensable de s'assurer que la clé privé n'est possédée que par une seule partie. 4.20.2 Nature et composition Un certificat électronique est une donnée publique. Suivant la technique des clefs asymétriques, à chaque certificat électronique correspond une clef privée, qui doit être soigneusement protégée. Un certificat numérique porte les caractéristiques de son titulaire : si le porteur est un être humain, cela peut être son nom et son prénom, le nom de sa structure (par exemple, son entreprise ou son ... État!) et de son entité d'appartenance. Si c'est un équipement informatique (comme une passerelle d'accès ou un serveur d'application sécurisé), le nom est remplacé par l'URI du service. A ces informations d'identification s'ajoute la partie publique du biclef. L'ensemble de ces informations (comprenant la clef publique) est signé (c'est à dire, dans un sens, sanctifié) par l'Autorité de Certification de l'organisation émettrice. Cette Autorité a la charge de : • •

s'assurer que les informations portées par le certificat numérique sont correctes ; s'assurer qu'il n'existe, pour une personne et pour une même fonction, qu'un et qu'un seul certificat valide à un moment donné.

Le certificat numérique est donc, à l'échelle d'une organisation, un outil pour témoigner, de façon électroniquement sûre, d'une identité. L'usage conjoint des clefs cryptographiques publique (contenue dans le certificat) et privée (protégée par l'utilisateur, par exemple au sein d'une carte à puce), permet de disposer de fonctions de sécurité importante (cf. infra). 4.20.3 Gestion Un certificat numérique naît après qu'une demande de certificat ait abouti. Une demande de certificat est un fichier numérique (appelé soit par son format, PKCS#10, soit par son équivalent fonctionnel, CSR pour Certificate Signing Request) qui est soumis à une Autorité d'Enregistrement par un utilisateur final ou par un administrateur pour le compte d'un utilisateur final. Cette demande de certificat est examinée par un Opérateur d'Autorité d'Enregistrement. Cette position est une responsabilité clef : c'est lui qui doit juger de la légitimité de la demande de l'utilisateur et accorder, ou non, la confiance de l'organisation. Pour se forger une opinion, l'Opérateur doit suivre une série de procédures, plus ou moins complètes, consignées dans deux documents de référence qui vont de pair avec la création d'une PKI qui sont la Politique de Certification (PC) et la Déclaration des Pratiques de Certification (DPC). Ces documents peuvent exiger, en fonction des enjeux de la certification, des vérifications plus ou moins poussées : rencontre en face-à-face, validation hiérarchique, etc. L'objectif de l'Opérateur d'AE est d'assurer que Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

34/59

les informations fournies par l'utilisateur sont exactes et que ce dernier est bien autorisé à solliciter la création d'un certificat. Une fois son opinion formée, l'Opérateur de l'AE valide la demande ou la rejette. S'il la valide, la demande de certificat est alors adressée à l'Autorité de Certification (AC). L'AC vérifie que la demande a bien été validée par un Opérateur d'AE digne de confiance et, si c'est le cas, signe la CSR. Une fois signée, une CSR devient ... un certificat. Le certificat, qui ne contient aucune information confidentielle, peut par exemple être publié dans un annuaire d'entreprise : c'est la tâche du Module de Publication, souvent proche de l'AC. 4.20.4 Modes de création Il existe deux façons distinctes de créer des certificats électroniques : le mode centralisé et le mode décentralisé. •

le mode décentralisé est le mode le plus courant : il consiste à faire créer, par l'utilisateur (ou, plus exactement par son logiciel ou carte à puce) le biclef cryptographique et de joindre la partie publique de la clef dans la CSR. L'Infrastructure n'a donc jamais connaissance de la clef privée de l'utilisateur, qui reste confinée sur son poste de travail ou dans sa carte à puce.

•

le mode centralisé consiste en la création du biclef par l'AC : au début du cycle de la demande, la CSR ne contient pas la clef publique, c'est l'AC qui la produit. Elle peut ainsi avoir de bonnes garanties sur la qualité de la clef (aléa) et peut ... en détenir une copie protégée. En revanche, il faut transmettre à l'utilisateur certes son certificat (qui ne contient que des données publiques) mais aussi sa clef privée ! L'ensemble de ces deux données est un fichier crée sous le format PKCS#12. Son acheminement vers l'utilisateur doit être entrepris avec beaucoup de précaution et de sécurité, car toute personne mettant la main sur un fichier PKCS#12 peut détenir la clef de l'utilisateur.

Le mode décentralisé est préconisé pour les certificats d'authentification (pour des questions de coût, parce qu'il est plus simple de refaire un certificat en décentralisé qu'à recouvrer une clef) et de signature (parce que les conditions d'exercice d'une signature juridiquement valide prévoit que le signataire doit être le seul possesseur de la clef : en mode décentralisé, la PKI n'a jamais accès à la clef privée). Le mode centralisé est préconisé pour les certificats de chiffrement, car, lorsqu'un utilisateur a perdu sa clef (par exemple, sa carte est perdue ou dysfonctionne), un opérateur peut, au terme d'une procédure de recouvrement, récupérer la clef de chiffrement et la lui remettre. Chose qui est impossible à faire avec des clefs qui n'ont pas été séquestrées. 4.20.5 Scénario de fin de vie Il existe deux scénarios possibles de fin de vie d'un certificat numérique : • •

le certificat numérique expire (chaque certificat numérique contient une date de « naissance » et une date de « péremption »). le certificat est révoqué, pour quelque raison que ce soit (perte de la clé privée associée, etc.) et dans ce cas, l'identifiant du certificat numérique est ajouté à une liste de certificats révoqués (CRL pour Certificates Revocation List) pour informer les applications qu'elles ne doivent plus faire confiance à ce certificat.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

35/59

4.21 Infrastructure à clés publiques Une PKI (Public Key Infrastructure), aussi communément appelée IGC (Infrastructure de Gestion de Clefs) ou ICP (Infrastructure à Clefs Publiques), est un ensemble de composants physiques (des ordinateurs, des cartes à puces), de procédures humaines (vérifications, validation) et de logiciels (système) en vue de créer et de gérer le cycle de vie des certificats numériques 4.21.1 Rôle d'une infrastructure de gestion des clés Une PKI délivre des certificats numériques. Ces certificats permettent d'effectuer des opérations cryptographiques, comme le chiffrement et la signature numérique. Ces opérations offrent des garanties lors des transactions électroniques : •

confidentialité : seul le destinataire légitime d'un message pourra en avoir une vision

intelligible • •

authentification : lors de l'envoi d'un message, on connaît sûrement l'émetteur intégrité : on a la garantie qu'un message expédié n'a pas été altéré, accidentellement ou

•

intentionnellement non répudiation : un impétrant produisant une action fâcheuse peut dire qu'il a fait une erreur, mais il ne peut pas prétendre que ce n'est pas lui.

Les PKI facilitent l'obtention de ces garanties en permettant la distribution et la vie des certificats numériques. 4.21.2 Composants de l'infrastructure de gestion des clés Les PKI (comme définies par l'IETF) se scindent en 5 entités distinctes : •

•

• •

•

L'Autorité de Certification (AC ou CA) qui a pour mission de signer les demandes de certificat (CSR : Certificate Signing Request) et de signer les listes de révocation (CRL : Certificate Revocation List), cette autorité est la plus critique. L'Autorité d'Enregistrement (AE ou RA) qui a pour mission de générer les demandes de certificats, et d'effectuer les vérifications d'usage sur l'identité de l'utilisateur final (les certificats numériques sont nominatifs et uniques pour l'ensemble de la PKI). L'Autorité de Dépôt (Repository) qui a pour mission de stocker les certificats numériques ainsi que les listes de révocation (CRL). L'Autorité de Séquestre (Key Escrow), cette entité a un rôle particulier, en effet lorsqu'on génère des certificats de chiffrement, on a l'obligation légale de fournir aux autorités un moyen de déchiffrer les données chiffrées pour un utilisateur de la PKI. C'est là qu'intervient le Séquestre, cette entité a pour mission de stocker de façon sécurisée les clés de chiffrement qui ont été générées par la PKI, pour pouvoir les restaurer le cas échéant. L'Entité Finale (EE : End Entity) est optionnelle, cette entité est en charge d'enregistrer les nouveaux utilisateurs finaux.

5 Politique de sécurité de l'information 5.1

Qu'est ce qu'une politique de sécurité de l'information?

Chaque entreprise ou organisme doit se doter d'un ensemble de règles de bon usage et de principes de contrôles visant à protéger ses biens matériels et immatériels (information). Dans le contexte des TIC, la description de ce code de bonnes pratiques et des principes de contrôle s'appelle "politique Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

36/59

de sécurité de l'information" (Security Policy). Il s'agit également d'une question de crédibilité face à ses clients, fournisseurs, partenaires et actionnaires ou autorités de tutelle. En incitant les employés à respecter des procédures de sécurité, l'organisation dicte une ligne de conduite en matière de sécurité de l'information et des systèmes informatiques mis en place. Afin de mettre en place une politique de sécurité efficace, il convient de respecter des lignes de conduite fondamentales: •

•

• •

•

obtenir un soutien clair de la direction générale grâce à un document signé par le patron qui indiquera aux employés les intentions de l'organisation en termes de sécurité de l'information et les moyens qui seront mis en oeuvre pou y arriver, solliciter la participation des différents niveaux hiérarchiques. Les procédures mise en place seront mieux acceptées par les employés si leurs responsables les approuvent et les appliquent, communiquer la pertinence des procédures de sécurité et leurs avantages dans un langage simple "orienté métier", mettre en place les nouvelles procédures de façon progressive et non brutale. Il ne faut pas perdre de vue que les employés ont d'autres missions à accomplir et qu'il s'agit avant tout de développer un esprit de "culture informatique" au travers de la conviction et non de la contrainte, prendre en compte les besoins réels de l'organisation afin de mettre en place des procédures réalistes en fonction du niveau de risque. Il est inutile de protéger démesurément son domicile ou sa voiture comme s'il fallait résister à une tentative d'effraction de James Bond en personne.

Les politiques de sécurité dérivées de normes reconnues, se déclinent en fonction de deux échelles de recommandations: • •

Light Information Security Policy: une politique de sécurité de l'information modeste, Reinforced Information Security Policy: une politique de sécurité de l'information renforcée.

5.2 Light Information Security Policy: 5.2.1 Matériel, périphériques et équipement divers • •

• • •

Fournir une alimentation électrique continue aux équipements critiques. Utiliser des modems PSTN/ISDN ou des lignes DSL avec précaution: toute transmission d'information critique ou confidentielle via ces systèmes de communication doit être réfléchie si aucun outil de protection (cryptographie) n'est utilisé. Contrôler l'infrastructure d'interconnexion informatique (câblage réseau). Toutes les portes d'accès au réseau doivent être identifiées. Supprimer les données sur les matériels obsolètes qui ne sont plus utilisés. Les systèmes d'exploitation et applications installés peuvent être conservés. Verrouiller chaque station de travail (par exemple via un écran de veille avec verrou) lorsque son utilisateur n'est pas à son poste. Toute station serveur doit impérativement être verrouillée lorsqu'aucun responsable de sa gestion ne l'utilise.

5.2.2 Travail en dehors de locaux de l'organisation et utilisation de personnel externe •

Définir correctement le cadre associé à la mission d'un prestataire de services informatiques externe. Le prestataire de services ne doit avoir accès qu'aux systèmes ou

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

37/59

• •

informations qui sont liés aux tâches relatives à sa mission. En outre, le prestataire de services doit garantir la confidentialité des informations qu'il devra manipuler. Sensibiliser le personnel quant aux risques liés à l'utilisation d'ordinateurs portables par le personnel.. Sensibiliser le personnel quant aux risques liés à l'utilisation d'un accès distant (VPN, télétravail, etc.). En effet, le site de travail distant représente une entrée dont le contrôle est plus difficile.

5.2.3 Contrôle de l'accès aux systèmes d'information et aux contenus qui y sont présents •

•

•

•

•

Mettre en place une méthode d'authentification uniforme, maîtrisée et gérée de manière centralisée. Dans la mesure du possible, il est important de ne pas répliquer les comptes informatiques sur chaque poste de travail. Classifier chaque information mise à disposition sur l'infrastructure informatique et l'associer à des profils d'utilisation. Chaque profil identifé sera doté d'un ensemble de droits d'accès lui permettant l'usage des informations qui lui sont liées. Interdire aux utilisateurs "standards" de s'identifier sur leur poste de travail en utilisant un compte d'administrateur local ou réseau. Si un besoin d'accès à des fonctionnalités "système" est nécessaire (par exemple pour installer un programme), le compte propre à l'utilisateur peut être inséré dans le groupe "administrateurs locaux" de son poste de travail, mais en aucun cas de chaque poste de travail de l'organisation. En outre, le mot de passe de l'administrateur local ou réseau doit obligatoirement rester confidentiel au sein du groupe de gestion informatique. Définir une politique de sélection de mot de passe pour les comptes informatiques. Si nécessaire, un compte générique peut être associé à un groupe d'utilisateurs ayant la même fonction. Les mots de passe vides peuvent être tolérés dans certains contextes. Placer les systèmes informatiques sensibles (serveur, router, commutateur, etc.) dans des locaux à accès restreint. L'accès physique à ces locaux sera limité au personnel autorisé.

5.2.4 Traitement de l'information •

•

Réserver l'installation et la gestion de l'infrastructure réseau à du personnel qualifié. Une attention particulière sera apportée aux points d'accès sans fil ouverts et aux technologies liées au travail distant (VPN sans firewall interne). Réserver tous les actes d'administration système à du personnel qualifié. Faute de personnel qualifié au sein de l'organisation, on fera appel à une entreprise compétente en la matière dans le cadre d'un contrat bien défini.

5.2.5 Messagerie électronique et accès Internet/Intranet/Extranet •

• • • • •

Soumettre tout mail (entrant et sortant) et tout document téléchargé à partir d'une source non fiable (Internet par exemple) à une détection des virus et code malicieux. Un outil de protection doit donc être présent sur chaque poste de travail. Une mise à jour quotidienne de celui-ci est indispensabe. Utiliser des outils de confidentialité (zip encrypté par exemple) pour l'échange de courriers électroniques concernant des informations sensibles. Mettre en place un firewall. Cette mise en place se fera suivant le principe de la fermeture globale de toutes les entreés, suivie de l'ouverture des services requis. Traiter avec précaution tout courrier électronique non sollicité. Tout document reçu depuis une source non identifiée doit être considéré comme suspect et immédiatement supprimé. Vérifier les adresses de destinations lors de l'envoi ou du suivi d'un courrier

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

38/59

•

électronique. Envoyer avec discernement les courriers électroniques dont la taille est imposante (plusieurs Mb). Il convient de prendre en compte la capacité de transmission disponible sur le réseau et la capacité potentielle de réception du destinataire afin de ne pas bloquer toute autre transmission.

5.3 Politique de sécurité renforcée (Reinforced Information Security Policy) : 5.3.1 Matériel, périphériques et équipement divers • • • •

•

•

• •

•

Fournir une alimentation électrique continue aux équipements critiques (UPS). Prévoir une génératrice de courant comme relais aux UPS. Limiter l'utilisation du fax (appareil ou modem) afin de réduire la potentialité de fuite d'information. Utiliser des modems PSTN/ISDN ou des lignes DSL avec précaution: toute transmission d'information critique ou confidentielle via ces systèmes de communication doit être réfléchie si aucun outil de protection (cryptographie) n'est utilisé. Contrôler l'utilisation des outils d'impression (imprimante locale, imprimante réseau, etc.). Aucune information critique ou confidentielle ne doit être imprimée sans avoir l'assurance que la transmission n'est pas sécurisée. De plus l'utilisation de ressources d'impression distante doit prendre en compte qu'un individu non autorisé peut potentiellement s'emparer des documents imprimés. Contrôler l'infrastructure d'interconnexion informatique (cablâge réseau). Toutes les portes d'accès au réseau doivent être identifiées et chaque porte non utilisée doit être formellement identifiée, voire même déconnectée. Supprimer les données sur les matériels obsolètes qui ne sont plus utilisés. Verrouiller chaque station de travail (par exemple via un écran de veille avec verrou) lorsque son utilisateur n'est pas à son poste. Les mesures nécessaires (par exemple un verrouillage automatique après une certaine période d'inactivité) seront mise en place afin de palier un éventuel manquement de l'utilisateur. Toute station serveur doit impérativement être verrouillée lorsqu'aucun responsable de sa gestion ne l'utilise. Vérifier lors de la mise en place d'un Intranet/Extranet qu'aucune porte dérobée n'a été ouverte. En effet, un telle faille permettrait le contournement des systèmes d'identification mis en place.

5.3.2 Travail en dehors de locaux de l'organisation et utilisation de personnel externe •

•

•

Définir correctement le cadre associé à la mission d'un prestataire de services informatiques externe. Un "Service Level Agreement" doit définir les rôles, droits et obligations auquels le prestataire de service doit se conformer pour garantir le bon fonctionnement des tâches qui lui sont confiées, ainsi que la confidentialité des informations qu'il pourrait être amené à manipuler. Contrôler l'attribution des ordinateurs portables au personnel. L'utilisation de cet ordinateur portable doit être restreinte aux seules applications autorisées dans le cadre de la fonction professionnelle. Pour ce faire, une administration système robuste devra être mise en oeuvre sur le système informatique portable afin de garantir que la règle ne peut être contournée. Finalement, les mesures nécessaires (encryption du disque local, droits utilisateur restreints, système d'authentification forte, etc.) devront être mises en oeuvre afin d'assurer la confidentialité de l'information pouvant être disponible en cas de perte ou de vol de l'équipement mobile. Contrôler l'accès distant (VPN, télétravail, etc.) par le personnel aux ressources informatiques. Les mesures nécessaires (droits utilisateur restreints, système authentification forte, filtrage du trafic réseau non opportun, etc.) devront être mise en oeuvre afin d'assurer

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

39/59

une protection complète de l'antenne distante de l'organisation. 5.3.3 Contrôle de l'accès aux systèmes d'information et aux contenus qui y sont présents •

•

•

•

•

•

•

Mettre en place une méthode d'authentification uniforme, maîtrisée et gérée de manière centralisée. De plus, il est conseillé de pouvoir utiliser cette même infrastructure d'authentification avec les différents systèmes nécessitant une identification d'utilisateur (single sign-on). Classifier chaque information mise à disposition sur l'infrastructure informatique et l'associer à des profils d'utilisation. Chaque profil identifé sera doté d'un ensemble de droits d'accès lui permettant l'usage des informations qui lui sont liées. De plus, les informations identifiées comme critiques ou confidentielles feront l'objet de mesures particulières assurant la sécurité nécessaire (encryption de certains contenus sur leur support de stockage et lors de leur transfert sur le réseau de communication, introduction d'un système d'audit de consultation, etc.). Associer l'accès aux ressources réseau (imprimante, scanner, unité de stockage, Internet, etc.) à un mécanisme d'identification et d'audit. Le matériel nécessaire aux ressources réseau sera en outre protégé contre des accès en mode direct, c'est-à-dire sans passer par le système de contrôle d'accès (file d'impression sur serveur obligatoire, proxy pour Internet, etc.). Réserver les droits "administrateur" aux membres du groupe d'administration informatique. Tous les postes de travail doivent être administrés de telle sorte qu'aucune opportunité d'obtention de tels droits système ne soit possible par du personnel non autorisé.Ceci inclut l'impossibilié pour un utilisateur de modifier (ajout/suppression de programme) la configuration et la stabilité de son poste de travail . De plus chaque poste de travail ne comportera que les applications indispensables à la réalisation des tâches associées à la fonction de l'utilisateur de ce poste. Définir une politique de sélection de mot de passe pour les comptes informatiques. Aucun compte générique ne pourra être associé à un groupe d'utilisateurs ayant la même fonction. Les mots de passe vides ne sont pas tolérés et la durée de validité sera déterminée, avec un système de renouvellement forcé. Pour le groupe d'administration informatique, chaque responsable aura son propre compte associé aux droits d'administrateur système et toutes les actions d'administration seront réalisées sous l'identité effective du responsable. De plus, un système d'audit sera mis en place pour permettre la tracabilité des actions réalisées. Placer les systèmes informatiques sensibles (serveur, router, commutateur, etc.) dans des locaux à accès restreint. L'accès physique à ces locaux sera limité au personnel autorisé. Le local sera fermé et un mécanisme d'identification (bagde électronique, code personnel, etc.) sera mis en place, de même qu'un système d'audit, si cela est possible. Une attention particulière sera accordée au panneau d'interconnexion réseau (patch pannel). Son accès sera de préférence limité par une armoire fermée réservée aux responsables réseau. Réaliser toutes les opérations d'administration distante via des communications sécurisées (par exemple SSH, terminal serveur, etc.). L'objectif est de ne pas transmettre de paramètres d'authentification de compte d'administration en clair et sans protection.

5.3.4 Traitement de l'information •

Réserver l'installation et la gestion de l'infrastructure réseau à du personnel qualifié. Aucune connexion à l'infrastructure ne doit être possible sans l'intervention du personnel responsable (filtrage d'adresse ethernet MAC, désactivation des portes non-utilisées sur le commutateur, instauration de règles de filtrage firewall pour le trafic interne à l'organisation, etc.). En outre tout ajout de systèmes de communication sans fil (WiFi) devra être associé à une encryption forte (WPA et non WEP) et les accès distants (VPN) seront soumis à un

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

40/59

• • •

contrôle strict. Enfin, tout matériel de communication n'étant pas sous le contrôle total du gestionnaire sera proscrit (par rexemple un modem sur les stations de travail). Réserver l'administration "système" à du personnel qualifié appointé par l'organisation. Enregister toute tentative d'accès infructueux à des documents ou au système d'information (log). Analyser à intervalles réguliers les enregistrements des fichiers de logs (access log, error log, authorisation log, etc.). Cette analyse sera réalisée par du personnel compétent. En outre, il est indispensable que chaque système informatique synchronise son horloge avec une horloge de référence (serveur ntp).

5.3.5 Messagerie électronique et accès Internet/Intranet/Extranet •

•

•

•

•

• • •

•

Soumettre tout mail (entrant et sortant) et tout document téléchargé à partir d'une source non fiable (Internet par exemple) à une détection des virus et code malicieux. Un outil de protection doit donc être présent sur chaque poste de travail. En outre, une centralisation de la gestion de ces outils doit impérativement être réalisée par les responsables informatiques et la mise à jour du logiciel doit être impérativement réalisée plusieur fois par jour. Réaliser les échanges de courriers électroniques concernant des informations et documents à caractère sensible au moyen d'outils permettant l'encryption des messages suivant un système à clé publique/clé privée. Tout échange de ce type devra en outre être associé à une signature électronique. L'administration des certificats se réalisera d'une manière centralisée par les gestionnaires informatiques. Vérifier lors de la mise en place d'un Intranet/Extranet qu'aucune porte dérobée n'a été ouverte. Avant toute mise en place d'un extranet, une ingénierie des communications réseau doit être réalisée afin de restreindre l'accès aux ressources exclusivement internes à l'organisation à des partenaires disposant des droits d'accès suffisants. De plus, un système d'audit doit être mis en place. Mettre en place un firewall. Cette mise en place se fera suivant le principe de la fermeture globale de toutes les entrées, suivie de l'ouverture des services requis. Le firewall devra être de type "statefull" et les messages de notification enregistrés et conservés (syslog). Traiter avec précaution tout courrier électronique non sollicité. L'administration informatique devra mettre en oeuvre des outils (filtre anti-spam) au niveau du serveur de courrier afin de minimiser au maximum ce type de sollicitations. Tout document reçu depuis une source non identifiée doit être considéré comme suspect et immédiatement supprimé. La direction informatique doit en être informée. Vérifier les adresses de destinations lors de l'envoi ou du suivi d'un courrier électronique. Mettre en place des systèmes évitant l'envoi de courriers électroniques de grande taille. Ces messages pourraient en effet bloquer toute autre transmission. C'est l'administration informatique qui est chargée de cette tâche (par exemple via une règle sur le serveur de courrier). Mettre en oeuvre des outils d'analyse réseau (par exemple IDS) afin d'identifier tout trafic ou comportement anormal. C'est l'administration informatique qui est chargée de cette tâche.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

41/59

6 Guide de survie : Présentation de quelques conseils très simples pour assurer la sécurité des systèmes informatiques, personnels ou appartenant à une organisation. Audits et tests. Organismes de référence 6.1

Quelques conseils :

Les mots de passe: • •

doivent être changés régulièrement, doivent être composés d'une combinaison de caractères et de nombres (astuces: remplacer les voyelles par des nombres, choisir des mots que l'on prononce autrement, etc.).

Les fichiers attachés dans un message électronique: vérifier l'adresse de la personne qui transmet ce message et lui demander (par e-mail) de confirmer son envoi. Ouvrir le fichier joint seulement si l'on est certain qu'il est utile et qu'il a bien été sollicité, afin d'éviter la reception d'un virus sur votre ordinateur. Les messages électroniques (e-mails): • •

les lire plutôt en format texte qu'en format HTML, surtout si l'on utilise Outlook ou Outlook Express; être prudent si un message veut rediriger vers un site Web pour y entrer des données personnelles. C'est une tactique appellée phishing pour récupérer des données personnelles.

Sécurité des données lors des déplacements: il convient de faire attention lorsque l'on travaille ailleurs qu'au bureau (lieux publics, transports en commun, etc.). Ainsi, la personne qui est à côté de vous pourrait lire des données confidentielles sur l'écran de votre ordinateur. De même, on ne laissera jamais un ordinateur allumé dans un endroit ou d'autres personnes peuvent y accéder. Enfin, il est indispensable de mettre à jour l'antivirus ou d'installer les corrections nécessaires sur les terminaux mobiles. Sécurité physique du matériel: on sera attentif si des personnes étrangères à l'organisation souhaitent y entrer sans une identification sûre. Qui fait quoi? Un bonne pratique consiste à se renseigner sur les rôles et les fonctions des personnes dans son entreprise ou dans son administration afin de savoir à qui s'adresser en cas de problème de sécurité. 6.2

Les audits sécurité et les tests de disponibilité

De temps en temps, toute organisation doit effectuer de tests pour détecter les vulnérabilités au niveau des accès réseau et des systèmes informatiques. Pour effectuer ces tests, le personnel doit avoir des compétences solides et connaitre toutes les vulnérabilités identifiées. De même, il est nécessaire de tester la disponibilité du ou des site(s) Web. En effet, un site Web non disponible, c'est: • • •

une image de marque et une réputation dégradées, une perte de revenus si l'entreprise est active dans l'e-business, etc.

Les services de test en matière de sites Web permettent de comptabiliser les interruptions et fournissent des rapports écrits prouvant la non-disponibilité des services (très utiles en cas de litiges avec les sous-traitants). La plupart assurent une alerte et une information via mail, sms, Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

42/59

téléphonne, etc. Voici une liste évidemment non exhaustive de produits ou entreprises spécialisés: •

SecurityMetrics [->]

•

http://www.securitymetrics.com SecuritySpace [->] http://www.securityspace.com

•

Atwatch Advanced WebSite Monitoring [->]

http://www.atwatch.com

7 Éléments de sécurité sous Windows XP 7.1

Nouveautés en matière de sécurité

> Centre de sécurité Utilisez le Centre de sécurité pour vérifier vos paramètres de sécurité et comprendre comment renforcer la sécurité de votre ordinateur via le Pare-feu Windows, les mises à jour automatiques et le logiciel antivirus. > Pare-feu Windows Il est activé par défaut et renforce la protection de votre ordinateur contre les virus et autres atteintes à la sécurité, par exemple les utilisateurs non autorisés qui essaient d'accéder à votre ordinateur via Internet. Pour activer le pare-feu Windows, sans aucune exception Vous devez avoir ouvert une session sur cet ordinateur en tant qu"administrateur pour pouvoir effectuer cette procédure. 1. Ouvrez le pare-feu Windows. 2. Sous l'onglet Général, cliquez sur Activé. 3. Activez la case à cocher Ne pas autoriser d'exception, puis cliquez sur OK. Remarques Pour ouvrir Pare-feu Windows, cliquez sur Démarrer, sur Panneau de configuration, puis double-cliquez sur Pare-feu Windows. • Lorsque la case à cocher Ne pas autoriser d'exception est activée, le pare-feu bloque toutes les demandes non sollicitées de connexion à votre ordinateur, notamment les demandes concernant les programmes ou services sélectionnés sous l'onglet Exceptions. Utilisez ce paramètre lorsque vous avez besoin d'assurer une protection maximale pour votre ordinateur, par exemple lorsque vous vous connectez à un réseau public dans un hôtel ou un aéroport ou lorsqu'un virus ou un ver dangereux se répand sur Internet. • Lorsque la case à cocher Ne pas autoriser d'exception est activée, le pare-feu bloque également les demandes non sollicitées de partage de fichiers et d'imprimantes et de découverte de périphériques réseau. • Lorsque l'option Ne pas autoriser d'exception est activée, vous êtes toujours en mesure d'envoyer et de recevoir du courrier électronique, d'utiliser un programme de messagerie Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS 43/59 •

instantanée et de visualiser la plupart des pages Web. > Mises à jour automatiques Grâce aux mises à jour automatiques, Windows peut rechercher régulièrement la présence des mises à jour importantes les plus récentes pour votre ordinateur, et les installer automatiquement. > Que signifient les nouvelles icônes de sécurité ?

L'icône de sécurité principale indique des informations et des paramètres importants pour la sécurité. Question de sécurité : risque potentiel pour la sécurité.

Les trois icônes suivantes décrivent un éventail de situations qui vont du niveau de sécurité le plus élevé au risque potentiel.

Situation fortement sécurisée. Votre ordinateur utilise les paramètres de sécurité recommandés. Avertissement : situation potentiellement dangereuse. Songez à ajuster les paramètres de sécurité pour renforcer la protection de votre ordinateur. Les paramètres de sécurité actuels de l'ordinateur ne sont pas recommandés.

7.2

Protéger votre ordinateur en ligne

7.2.1 Sécurité de votre ordinateur

MBSA (Microsoft Baseline Security Analyzer) est un outil qui permet à un utilisateur domestique ou à un professionnel de l'informatique d'analyser des ordinateurs fonctionnant sous Microsoft Windows afin de déterminer s'ils sont configurés correctement pour assurer une sécurité maximale. MBSA peut analyser les stations de travail et les serveurs Windows afin d'y rechercher d'éventuelles failles de sécurité dans le système d'exploitation et d'autres composants installés, tels que les services IIS (Internet Information Services) et Microsoft SQL Server. Il peut également vérifier s'ils sont à jour par rapport aux mises à jour de sécurité critiques. La description de chaque vérification est détaillée dans un rapport de sécurité comprenant des instructions pour remédier aux failles qui ont été détectées. MBSA peut être installé sur un ordinateur Windows 2000 ou Windows XP pour des analyses locales, et peut analyser à distance les ordinateurs Microsoft Windows NT 4.0 et Windows 2000. Cet outil comprend une interface de type ligne de commande pour la programmation des analyses et une interface graphique pour l'exécution d'analyses et l'affichage des rapports de sécurité. Pour plus d'informations sur MBSA et pour télécharger l'outil, visitez la page MBSA : http://go.microsoft.com/fwlink/?LinkId=8560 sur le site Web de Microsoft. Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

44/59

Remarque •

Vous devez avoir ouvert une session en tant qu"administrateur ou en tant que membre du groupe Administrateurs pour pouvoir effectuer cette procédure. Si votre ordinateur est connecté à un réseau, les paramètres de stratégie réseau peuvent également vous empêcher d"effectuer cette procédure.

7.2.2 Utilisation de certificats pour la confidentialité et la sécurité Vous pouvez utiliser des certificats pour protéger vos informations d'identification personnelle lorsque vous naviguez sur Internet, ainsi que pour protéger votre ordinateur contre les programmes non fiables. Un certificat permet de vérifier l'identité d'une personne ou la sécurité d'un site Web. Internet Explorer utilise deux types différents de certificats : •

•

Un certificat personnel sert à authentifier votre identité. Ces données sont utilisées lorsque vous envoyez des informations personnelles via Internet vers un site Web qui exige un certificat de vérification d'identité. Vous pouvez contrôler l'utilisation de votre identité en disposant d'une clé privée sur votre ordinateur. Lorsqu'ils sont utilisés avec des programmes de messagerie, les certificats de sécurité dotés de clés privées sont également appelés « identificateurs numériques ». Un certificat de site Web permet d'établir qu'un site Web spécifique est sécurisé et authentique. Il apporte la garantie qu'aucun autre site Web ne peut endosser l'identité du site sécurisé d'origine. Lorsque vous envoyez des informations personnelles via Internet, il est recommandé de vérifier le certificat du site Web utilisé afin de vous assurer que celui-ci protègera vos informations d'identification personnelle. Lorsque vous téléchargez des logiciels à partir d'un site Web, vous pouvez utiliser des certificats pour vérifier si ces logiciels proviennent d'une source fiable et connue.

> Comment les certificats de sécurité fonctionnent-ils ? Un certificat de sécurité, qu'il s'agisse d'un certificat personnel ou d'un certificat de site Web, associe une identité à une clé publique. Seul le propriétaire du certificat connaît la clé privée correspondante. Cette dernière permet au propriétaire de créer une signature numérique ou de décrypter les informations cryptées avec la clé publique correspondante. Lorsque vous envoyez votre certificat à d'autres personnes, vous leur donnez en réalité votre clé publique, de sorte qu'elles puissent vous transmettre des informations cryptées que vous êtes le seul à pouvoir décrypter et lire grâce à votre clé privée. > Où obtenir vos propres certificats de sécurité ? Les certificats de sécurité sont délivrés par des Autorités de certification indépendantes. Il existe différentes classes de certificats de sécurité, chacune fournissant un niveau différent de crédibilité. Vous pouvez obtenir votre propre certificat de sécurité ,http://go.microsoft.com/fwlink/?LinkId=676, auprès d'Autorités de certification.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

45/59

7.2.3 Présentation des cookies Certains sites Web stockent des informations dans un petit fichier texte sur votre ordinateur. Ce fichier s'appelle un cookie. Il existe plusieurs types de cookies ; par ailleurs, vous pouvez refuser ou autoriser l'enregistrement d'une partie ou de l'ensemble des cookies sur votre ordinateur. Si vous refusez tous les cookies, vous risquez de ne pas pouvoir afficher certains sites Web ou de ne pas pouvoir tirer parti des fonctionnalités de personnalisation (par exemple la réception des informations et de la météo locales ou des cotations boursières). > Utilisation des cookies Un cookie est un fichier créé par un site Internet pour stocker des informations sur votre ordinateur, par exemple vos préférences liées à la visite du site en question. Par exemple, si vous recherchez l'horaire d'un vol sur le site Web d'une compagnie aérienne, ce dernier peut créer un cookie contenant votre itinéraire. Toutefois, ce cookie peut simplement contenir un suivi des pages que vous avez consultées, pour permettre au site de présenter un affichage personnalisé lors de votre prochaine visite. Les cookies peuvent également stocker des informations d'identification personnelle. Il s'agit d'informations qui permettent de vous identifier ou de vous contacter, par exemple votre nom, votre adresse de messagerie, votre adresse personnelle ou professionnelle, ou votre numéro de téléphone. Cependant, un site Web ne peut accéder qu'aux informations d'identification personnelle que vous lui fournissez. Par exemple, un site Web ne peut pas déterminer votre adresse de messagerie, à moins que vous ne la lui fournissiez. De même, un site Web ne peut pas accéder à d'autres informations situées sur votre ordinateur. Une fois qu'un cookie est enregistré sur votre ordinateur, seul le site Web qui l'a créé peut le lire. > Choix possibles en matière de gestion des cookies Internet Explorer autorise l'utilisation des cookies. Cependant, vous pouvez modifier vos paramètres de confidentialité de sorte qu'Internet Explorer vous prévienne avant de placer un cookie sur votre ordinateur (cela vous permet d'autoriser ou de bloquer le cookie) ; par ailleurs, vous pouvez également empêcher Internet Explorer d'accepter le moindre cookie.

7.2.4 Utilisation des Dossiers Web L'utilisation des Dossiers Web pour afficher et transférer des fichiers, des dossiers et d'autres informations sur un serveur Web vous offre une plus grande sécurité. Les Dossiers Web transfèrent les informations via une connexion réseau à un serveur Web distant, mais peuvent utiliser le protocole Secure Sockets Layer (SSL) pour protéger les informations transmises. (L'utilisation de SSL avec les Dossiers Web n'est pas requise, mais est recommandée.) L'utilisation de SSL avec les Dossiers Web requiert que le serveur Web prenne également en charge SSL. Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

46/59

Les Dossiers Web prennent également en charge l'authentification Windows (méthode de vérification de l'identité d'un utilisateur), qui permet de protéger votre mot de passe lorsque vous ouvrez une session sur un serveur Web qui prend en charge l'authentification Windows. Remarques • •

Si un serveur Web prend en charge le protocole SSL, l'adresse Internet du serveur commence par https:// au lieu de http://. Il est recommandé d'activer le pare-feu Windows lors du transfert de fichiers à l'aide des Dossiers Web. Pour ouvrir Pare-feu Windows, cliquez sur Démarrer, sur Panneau de configuration, puis double-cliquez sur Pare-feu Windows.

7.2.5 Partager votre ordinateur de façon plus sûre 7.2.5.1 Vue d'ensemble des comptes d'utilisateur

Un compte d'utilisateur définit les actions qu'un utilisateur peut effectuer dans Windows. Sur un ordinateur autonome ou membre d'un groupe de travail, un compte d'utilisateur établit les droits assignés à chaque utilisateur. Sur un ordinateur appartenant à un domaine réseau, un utilisateur doit être membre d'un groupe au moins. Les autorisations et droits accordés à un groupe le sont également à ses membres. Comptes d'utilisateur sur un ordinateur membre d'un domaine réseau Vous devez ouvrir une session en tant qu'administrateur ou en tant que membre du groupe Administrateurs pour utiliser l'application Comptes d'utilisateur du Panneau de configuration. Cette fonctionnalité permet d'ajouter des utilisateurs à votre ordinateur ou à un groupe. Dans Windows, les autorisations et les droits de l'utilisateur sont généralement accordés à des groupes. En ajoutant un utilisateur à un groupe, vous accordez à cet utilisateur toutes les autorisations et tous les droits d'utilisateur assignés à ce groupe. Par exemple, un membre du groupe Utilisateurs peut exécuter la plupart des tâches nécessaires à son travail, telles qu'une ouverture de session sur l'ordinateur, la création de fichiers et de dossiers, l'exécution de programmes et l'enregistrement des modifications apportées aux fichiers. En revanche, seul un membre du groupe Administrateurs peut ajouter des utilisateurs à des groupes, modifier des mots de passe utilisateur ou modifier la plupart des paramètres du système. La fonctionnalité Comptes d'utilisateur permet de créer ou de modifier le mot de passe des comptes d'utilisateur local, ce qui est utile lors de la création d'un nouveau compte d'utilisateur ou si un utilisateur oublie un mot de passe. Un compte d'utilisateur local est un compte créé par cet ordinateur. Si l'ordinateur fait partie d'un réseau, vous pouvez ajouter des comptes d'utilisateurs réseau aux groupes de votre ordinateur et ces utilisateurs peuvent utiliser leur mot de passe réseau pour se connecter. Vous ne pouvez pas modifier le mot de passe d'un utilisateur réseau. Remarques • •

Vous ne pouvez pas créer des groupes dans l'application Comptes d'utilisateur. Utilisez pour cela Utilisateurs et groupes locaux. Dans Comptes d'utilisateur, vous pouvez placer un utilisateur dans un seul groupe. Généralement, vous trouvez un groupe présentant l'ensemble des autorisations dont un

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

47/59

•

•

utilisateur a besoin. Si vous devez ajouter un utilisateur à plusieurs groupes, utilisez Utilisateurs et groupes locaux. Pour améliorer la sécurité d'un mot de passe, celui-ci doit contenir au moins deux des éléments suivants : lettres en majuscules, lettres en minuscules et chiffres. Plus la séquence de caractères est aléatoire, plus le mot de passe est sûr. Si vous souhaitez configurer d'autres exigences relatives au mot de passe (longueur minimale, durée d'expiration, unicité), ouvrez Stratégie de groupe et allez dans Stratégie de mot de passe. Pour plus d'informations sur la modification des contraintes concernant les mots de passe, cliquez sur Rubriques connexes.

Comptes d'utilisateur sur un ordinateur autonome ou membre d'un groupe de travail Deux types de comptes d'utilisateur sont disponibles sur votre ordinateur : compte d'administrateur d'ordinateur et compte limité. Le compte Invité est destiné aux utilisateurs auxquels aucun compte n'est assigné sur l'ordinateur. > Compte Administrateur d'ordinateur Le compte d'administrateur d'ordinateur est destiné à une personne capable d'effectuer des modifications à l'échelle du système, d'installer des programmes et d'accéder à tous les fichiers de l'ordinateur. Seul un utilisateur titulaire d'un compte d'administrateur d'ordinateur bénéficie d'un accès total aux comptes d'utilisateur de l'ordinateur. Cet utilisateur : • • • •

>

Peut créer et supprimer des comptes d'utilisateur sur l'ordinateur. Peut créer des mots de passe pour d'autres comptes d'utilisateur inscrits sur l'ordinateur. Peut modifier le nom, l'image, le mot de passe et le type associés aux comptes d'autres utilisateurs. Ne peut pas modifier le type de son compte d'utilisateur pour adopter un compte limité, sauf s'il existe au moins un autre utilisateur de l'ordinateur titulaire d'un compte d'administrateur d'ordinateur. Cela garantit qu'il existe toujours au moins une personne possédant un compte Administrateur d'ordinateur sur l'ordinateur. Compte limité

Les comptes limités sont destinés aux utilisateurs qui ne doivent pas être autorisés à modifier les paramètres de l'ordinateur et à supprimer des fichiers importants. Un utilisateur qui possède un compte limité : • • •

Ne peut pas installer un logiciel ou un matériel, mais peut accéder aux programmes déjà installés sur l'ordinateur. Peut changer l'image associée à son compte et créer, modifier ou supprimer son mot de passe. Ne peut pas modifier le nom ni le type de son compte. Un utilisateur qui possède un compte Administrateur d'ordinateur a le droit d'effectuer ces modifications.

Remarque •

Certains programmes risquent de ne pas fonctionner correctement avec les comptes limités. Le cas échéant, modifiez le compte limité en compte d'administrateur d'ordinateur, à titre temporaire ou permanent.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

48/59

>

Compte Invité

Le compte Invité est destiné aux personnes qui ne possèdent pas de compte d'utilisateur sur l'ordinateur. Aucun mot de passe n'est associé à ce compte, ce qui permet aux utilisateurs de se connecter rapidement pour consulter leur messagerie électronique ou Internet. L'utilisateur connecté sous le compte Invité : • • •

Ne peut pas installer un logiciel ou un matériel, mais peut accéder aux programmes déjà installés sur l'ordinateur. Ne peut pas changer le type du compte Invité. Peut changer l'image associée au compte Invité.

Remarque •

Un compte nommé « Administrateur » est créé pendant l'installation. Ce compte Administrateur, qui possède des privilèges d'administrateur d'ordinateur, utilise le mot de passe d'administrateur que vous avez entré pendant l'installation.

•

L'option Comptes d'utilisateur se trouve dans le Panneau de configuration. Pour ouvrir Comptes d"utilisateurs, cliquez sur Démarrer, sur Panneau de configuration, puis doublecliquez sur Comptes d"utilisateurs.

7.2.5.2 Verrouillage de votre ordinateur Pour sécuriser davantage votre ordinateur, vous devez vous déconnecter ou le verrouiller lorsque vous partez. Lorsque vous vous déconnectez de votre ordinateur, d'autres personnes peuvent encore s'y connecter. Cependant, lorsque vous verrouillez votre ordinateur, seul un administrateur peut s'y connecter, ou vous-même. Par ailleurs, lorsque vous déverrouillez l'ordinateur pour vous y reconnecter, vous disposez immédiatement des fichiers ouverts et des programmes en cours d'exécution. Un économiseur d'écran protégé par mot de passe vous offre un autre niveau de protection en empêchant les autres de voir votre écran et d'utiliser votre ordinateur lorsque vous êtes parti. 7.2.5.3 Protection de votre ordinateur à l'aide de mots de passe Lorsque vous protégez votre ordinateur par un mot de passe fort, personne ne peut accéder à vos fichiers ou programmes à votre insu. Lorsque vous définissez votre mot de passe, vous devez également créer un disque de réinitialisation de mot de passe. En cas d'oubli du mot de passe, vous pouvez utiliser le disque de réinitialisation de mot de passe pour accéder à vos fichiers et programmes. Les tâches liées aux mots de passe varient selon que l'ordinateur est connecté ou non à un domaine de réseau.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

49/59

7.2.6 Vue d'ensemble du partage des fichiers et des dossiers Vous pouvez partager les fichiers et les dossiers stockés sur votre ordinateur, sur un réseau et sur le Web. La méthode que vous choisissez dépend des personnes avec lesquelles vous voulez partager les fichiers et de l'ordinateur qu'elles vont utiliser pour accéder à ces fichiers. Lorsque vous partagez des fichiers ou des dossiers, ils sont plus vulnérables que lorsqu'ils ne sont pas partagés. Les personnes qui accèdent à votre ordinateur ou votre réseau sont en mesure de lire, copier ou modifier les fichiers qui se trouvent dans un dossier partagé. Vous devez toujours vous souvenir que les fichiers et les dossiers que vous partagez sont disponibles à d'autres personnes et il est conseillé de surveiller ces fichiers et dossiers partagés régulièrement. Important •

Si vous ordinateur n'est pas joint à un domaine, vous pouvez utiliser l'Assistant Configuration du réseau pour activer ou désactiver automatiquement le partage de fichiers et d'imprimantes. Pour démarrer l"Assistant Configuration du réseau, cliquez sur Démarrer, sur Panneau de configuration, puis double-cliquez sur Assistant Configuration du réseau.

7.2.6.1 Pour partager des fichiers et des dossiers sur un ordinateur Le déplacement ou la copie d'un fichier ou d'un dossier dans Documents partagés permet qu'il soit disponible à toute personne disposant d'un compte utilisateur sur l'ordinateur. 1. Ouvrez Mes documents. 2. Cliquez sur le fichier ou le dossier que vous souhaitez partager. 3. Faites glisser le fichier ou le dossier vers le dossier Documents partagés dans Autres emplacements. Remarques • • •

Pour ouvrir Mes documents, cliquez sur Démarrer, puis sur Mes documents. Si vous êtes connecté à un domaine de réseau, les dossiers Documents partagés, Images partagées et Musique partagée ne sont pas disponibles. Si le fichier ou le dossier que vous souhaitez partager ne se trouve pas dans Mes documents ou ses sous-dossiers, utilisez Rechercher pour le trouver. Pour ouvrir la fonction de recherche, cliquez sur Démarrer, puis sur Rechercher.

7.2.6.2 Pour partager un dossier ou un lecteur Utilisation de Dossiers partagés 1. Ouvrez Gestion de l"ordinateur (local). 2. Dans l'arborescence de la console, cliquez sur Partages. Où ?


Gestion de l'ordinateur o Outils système  Dossiers partagés • Partages

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

50/59

3. Dans le menu Action, cliquez sur Nouveau partage de fichiers. 4. Suivez les étapes définies dans Créer un dossier partagé. Des messages vous invitent à sélectionner un dossier ou un lecteur, taper un nouveau nom de partage et une description de la ressource partagée, et définir des autorisations. Après avoir fourni ces informations, cliquez sur Terminer. Remarques •

•

Pour ouvrir Gestion de l"ordinateur, cliquez sur Démarrer, puis sur Panneau de configuration. Double-cliquez sur Outils d"administration, puis sur Gestion de l"ordinateur. Vous devez être un membre du groupe Administrateurs ou Utilisateurs avec pouvoir pour utiliser Dossiers partagés. Utilisation de l'Explorateur Windows

Ouvrez l'Explorateur Windows, puis recherchez le dossier ou le lecteur partagé auquel vous voulez ajouter un nouveau nom de partage. Si vous êtes connecté à un domaine, effectuez l'une des actions suivantes : 1. Cliquez avec le bouton droit sur le dossier ou le lecteur partagé, puis cliquez sur Partage et sécurité. 2. Cliquez sur Partager ce dossier. 3. Choisissez les autres options souhaitées, puis cliquez sur OK. Si vous n'êtes pas connecté à un domaine ou si vous utilisez Windows XP Édition familiale, effectuez l'une des actions suivantes : 1. Cliquez avec le bouton droit sur le dossier ou le lecteur partagé, puis cliquez sur Propriétés. 2. Sous l'onglet Partage, cliquez sur Partager ce dossier sur le réseau. 3. Choisissez les autres options souhaitées, puis cliquez sur OK. Utilisation d'une ligne de commande 1. Ouvrez l'Invite de commandes. 2. Tapez la commande : net share nom_partage=lecteur:chemin Valeur

Description Crée, supprime ou affiche des ressources partagées. net share Nom réseau de la ressource partagée et son chemin d'accès nom_partage=lecteur:chemin absolu.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

51/59

Remarques • •

Pour ouvrir une invite de commandes, cliquez sur Démarrer, pointez sur Tous les programmes, sur Accessoires, puis cliquez sur Invite de commandes. Pour afficher la syntaxe complète de cette commande, à l'invite de commandes, tapez : net help share

•

•

•

Vous pouvez utiliser Dossiers partagés pour gérer les ressources partagées à la fois sur des ordinateurs locaux et distants. L'Explorateur Windows et la ligne de commande vous permettent de gérer des ressources partagées uniquement sur votre ordinateur local. Pour masquer la ressource partagée aux autres utilisateurs, faites suivre le nom de la ressource partagée du caractère $. Les utilisateurs peuvent alors mapper un lecteur vers cette ressource partagée, mais ils ne peuvent pas voir la ressource partagée dans l'Explorateur Windows ou le Poste de travail, ou en utilisant la commande net view sur l'ordinateur distant. Pour plus d'informations sur cette commande, consultez Net view. Vous devez disposer des autorisations appropriées pour effectuer cette procédure.

7.2.6.3 Pour partager un lecteur ou un dossier sur le réseau 1. Ouvrez l' Explorateur Windows, puis recherchez le lecteur ou le dossier que vous voulez partager. 2. Cliquez avec le bouton droit sur le lecteur ou le dossier, puis cliquez sur Partage et sécurité. o Si vous partagez un lecteur, sous l'onglet Partager cliquez sur Si vous comprenez bien les risques et que vous voulez toujours partager la racine du lecteur, cliquez ici. o Si vous partagez un dossier, allez à l'étape suivante. 3. Effectuez une des tâches suivantes : o Si la case à cocher Partager ce dossier sur le réseau est disponible, activez cette case à cocher. o Si la case à cocher Partager ce dossier sur le réseau n'est pas disponible, cet ordinateur ne se trouve pas sur un réseau. Si vous voulez installer un réseau domestique ou pour petite entreprise, cliquez sur le lien Assistant Configuration réseau et suivez les instructions pour activer le partage de fichiers. Une fois ce partage activé, reprenez cette procédure. 7.2.6.4 Pour publier un fichier ou un dossier sur le Web 1. 2. 3. 4.

Ouvrez Poste de travail. Double-cliquez sur un lecteur ou un dossier. Cliquez sur le fichier ou le dossier à publier sur le Web. Sous Gestion des fichiers :

cliquez sur Publier ce dossier sur le Web, - ou cliquez sur Publier ce fichier sur le Web. 5. Suivez les instructions de l'Assistant Publication de sites Web.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

52/59

7.2.6.5 Pour définir, afficher, modifier ou supprimer des autorisations de fichier et de dossier 1. Ouvrez l' Explorateur Windows, puis recherchez le fichier ou le dossier dont vous souhaitez définir les autorisations. 2. Cliquez avec le bouton droit sur le fichier ou le dossier, cliquez sur Propriétés, puis sur l'onglet Sécurité. 3. Effectuez l'une des actions suivantes : o Pour définir les autorisations d'un groupe ou d'un utilisateur qui n'apparaît pas dans la zone Noms d'utilisateur ou de groupe, cliquez sur Ajouter. Tapez le nom du groupe ou de l'utilisateur dont vous souhaitez définir les autorisations, puis cliquez sur OK. o Pour modifier ou supprimer les autorisations d'un groupe ou d'un utilisateur, cliquez sur le nom correspondant. 4. Effectuez l'une des actions suivantes : o Pour accepter ou refuser une autorisation, dans la zone Autorisations pour utilisateur ou groupe, sélectionnez la case à cocher Autoriser ou Refuser. o Pour supprimer le groupe ou l'utilisateur de la zone Noms d'utilisateur ou de groupe, cliquez sur Supprimer. 7.2.6.6 Pour rendre vos dossiers privés 1. Ouvrez Poste de travail. 2. Double-cliquez sur le lecteur où Windows est installé (généralement le lecteur C:, sauf si vous avez plusieurs lecteurs sur votre ordinateur). Si le contenu du lecteur est caché, sous Gestion du système, cliquez sur Afficher le contenu de ce lecteur. 3. Double-cliquez sur le dossier Documents and Settings. 4. Double-cliquez sur votre dossier utilisateur. 5. Cliquez avec le bouton droit sur un des dossiers de votre profil utilisateur, puis cliquez sur Propriétés. 6. Sous l'onglet Partager, activez la case à cocher Rendre ce dossier privé afin d'être le seul autorisé à y accéder. Remarques •

Vous ne pouvez par rendre vos dossiers privés si votre lecteur n'est pas formaté en NTFS.

• •

Pour ouvrir Poste de travail, cliquez sur Démarrer, puis sur Poste de travail. Cette option est disponible seulement pour les dossiers qui font partie de votre profil utilisateur. Les dossiers de votre profil utilisateur comprennent les dossiers Mes documents et ses sous-dossiers, Bureau, Menu démarrer, Cookies et Favoris. Si vous ne rendez par ces dossiers privés, ils sont accessibles à toutes les personnes qui utilisent votre ordinateur.

•

Quand vous rendez un dossier privé, tous ses sous-dossiers sont également privés. Par exemple, si vous rendez Mes documents privé, vous rendez également privés Ma musique et Mes images. Quand vous partagez un dossier, vous partagez également tous ses sousdossiers, sauf si vous les rendez privés.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

53/59

7.2.6.7 Stockage de données sécurisé La sécurité des données stockées fait référence à la capacité de stocker des données sur un disque sous une forme cryptée. En utilisant le système de fichiers de cryptage, les utilisateurs peuvent crypter leurs données à mesure qu'elles sont stockées sur le disque. Pour vous aider à gérer le système de fichiers de cryptage, il est recommandé de lire les rubriques suivantes : • • •

Introduction à l'utilisation du système de fichiers de cryptage Cryptage et décryptage de données avec le système de fichiers de cryptage Sauvegarde, restauration et récupération de données

7.2.6.7.1 Introduction à l'utilisation du système de fichiers de cryptage Le système de fichiers de cryptage permet aux utilisateurs de stocker les données de leur disque dans un format crypté. Le cryptage est le processus de conversion des données dans un format qui ne peut être lu par un autre utilisateur. Une fois qu'un utilisateur a crypté un fichier, celui-ci reste automatiquement crypté lorsqu'il est stocké sur un disque. Le décryptage est le processus de conversion de données du format crypté à leur format d'origine. Une fois qu'un utilisateur a décrypté un fichier, celui-ci reste décrypté lorsqu'il est stocké sur un disque. Le système de fichiers de cryptage fournit les fonctionnalités suivantes : • • • • •

Les utilisateurs peuvent crypter leurs fichiers en les stockant sur un disque. Le cryptage est aussi simple que d'activer une case à cocher dans la boîte de dialogue Propriétés du fichier. L'accès aux fichiers cryptés est rapide et facile. Les utilisateurs voient leurs données en texte brut lorsqu'ils accèdent aux données à partir du disque. Le cryptage des données est effectué automatiquement et il est complètement transparent pour l'utilisateur. Les utilisateurs peuvent décrypter activement un fichier en désactivant la case à cocher Cryptage de la boîte de dialogue Propriétés du fichier. Les administrateurs peuvent récupérer des données qui ont été cryptées par un autre utilisateur. Ainsi, les données sont accessibles même si l'utilisateur qui a crypté les données n'est plus disponible ou a perdu sa clé privée.

Le système de fichiers de cryptage ne crypte les données que lorsqu'elles sont stockées sur un disque. Pour crypter des données à mesure qu'elles sont transférées via un réseau TCP/IP, deux fonctionnalités facultatives sont disponibles (la sécurité du protocole Internet (IPSec) et le cryptage PPTP).

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

54/59

7.2.6.7.2 Cryptage de données La configuration par défaut du système de fichiers de cryptage ne requiert pas d'effort d'administration : les utilisateurs peuvent commencer à crypter leurs fichiers immédiatement. Le système de fichiers de cryptage génère automatiquement une paire de clés de cryptage pour un utilisateur s'il n'en existe pas encore. Le système de fichiers de cryptage utilise l'algorithme de cryptage DESX (Expanded Data Encryption Standard) ou 3DES (Triple-DES). Des services de cryptage sont disponibles à partir de l'Explorateur Windows. Les utilisateurs peuvent également crypter un fichier ou un dossier à l'aide de la fonction de ligne de commande cipher. Pour plus d'informations sur la commande cipher, tapez cipher /? à l'invite de commande. Les fichiers ou les dossiers qui sont compressés ne peuvent pas être cryptés. Si l'utilisateur marque un fichier ou dossier compressé afin qu'il soit crypté, celui-ci sera décompressé. De même, les dossiers marqués pour être cryptés ne sont pas cryptés. Seuls les fichiers figurant dans le dossier sont cryptés, ainsi que tous les fichiers qui y sont créés ou déplacés. 7.2.6.7.3 Accès à des données cryptées Les utilisateurs accèdent à des fichiers cryptés tout comme ils le font pour des fichiers non cryptés. Ainsi, lorsqu'un utilisateur accède à un fichier crypté stocké sur un disque, il est en mesure de lire le contenu du fichier normalement. Lorsque l'utilisateur stocke de nouveau le fichier sur un disque, le système de fichiers de cryptage crypte de nouveau le fichier. 7.2.6.7.4 Copie, déplacement ou attribution d'un nouveau nom aux données cryptées Lorsque des fichiers non cryptés sont copiés ou déplacés vers un dossier crypté, ils sont automatiquement cryptés dans celui-ci. Néanmoins, l'opération inverse ne décrypte pas automatiquement des fichiers. Les fichiers conservent leur propriété cryptée jusqu'à ce qu'ils soient explicitement décryptés ou déplacés dans un volume non-NTFS. De même, un fichier crypté peut être renommé sans altérer son état crypté. 7.2.6.7.5 Décryptage de données Vous pouvez décrypter un fichier en désactivant la case à cocher Cryptage de la boîte de dialogue Propriétés du fichier. Une fois décrypté, le fichier reste décrypté jusqu'à ce que vous le cryptiez de nouveau. Même s'il figure dans un répertoire marqué comme étant crypté, un fichier n'est pas automatiquement recrypté. Les utilisateurs peuvent décrypter un fichier en désactivant la case à cocher Cryptage de la boîte de dialogue Propriétés du fichier ou en utilisant la commande cipher. 7.2.6.7.6 Sauvegarde et récupération de données cryptées Les principales tâches d'administration associées au système de fichiers de cryptage sont la sauvegarde et la restauration des fichiers cryptés, la configuration d'une stratégie de récupération et la récupération des données cryptées. Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

55/59

7.2.6.7.7 Sauvegarde et restauration de fichiers cryptés Les copies de sauvegarde des fichiers cryptés sont également cryptées, à condition que vous utilisiez un programme de sauvegarde conçu pour Windows XP. Lors de la restauration de données cryptées, les données restent cryptées après l'opération de restauration. 7.2.6.7.8 Récupération de données cryptées La récupération de données fait référence au processus de décryptage d'un fichier sans avoir la clé privée de l'utilisateur qui a crypté le fichier. Il peut s'avérer nécessaire de récupérer les données avec un agent de récupération si : • • •

Un utilisateur quitte la société. Un utilisateur perd sa clé privée. Un représentant de la loi en fait la demande.

Pour récupérer un fichier, l'agent de récupération : 1. 2. 3. 4. 5.

sauvegarde les fichiers cryptés ; place les copies de sauvegarde sur un système sécurisé ; importe leur certificat de récupération et leur clé privée sur ce système ; restaure les fichiers de sauvegarde ; décrypte les fichiers à l'aide de l'Explorateur Windows ou de la commande cipher du système de fichiers de cryptage.

7.2.6.7.9 Configuration d’une stratégie de récupération Vous pouvez utiliser le composant logiciel enfichable Stratégie de groupe pour définir une stratégie de récupération de données pour les serveurs membres d'un domaine ou pour des serveurs autonomes ou de groupe de travail. Vous pouvez demander un certificat de récupération ou exporter et importer les vôtres. Vous pouvez déléguer l'administration de la stratégie de récupération à un administrateur désigné. Bien qu'il soit préférable de limiter le nombre de personnes autorisées à récupérer des données cryptées, vous disposerez d'une alternative en cas de nécessité en autorisant plusieurs administrateurs à agir comme agents de récupération.

8 Glossaire Administrateur d'ordinateur : Utilisateur qui gère un ordinateur. L'administrateur de l'ordinateur est autorisé à apporter des modifications système à l'ordinateur, notamment installer des logiciels et accéder à tous les fichiers de l'ordinateur. Il peut également créer, modifier et supprimer les comptes des autres utilisateurs.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

56/59

Agent de récupération : Personne qui reçoit un certificat de clé publique en vue de récupérer des données utilisateur cryptées avec EPS (Encrypting File System). Clé privée : Moitié secrète d'une paire de clés cryptographiques utilisée avec un algorithme de clé publique. Les clés privées permettent généralement de décrypter une clé de session symétrique, de signer numériquement des données ou de décrypter des données qui ont été cryptées avec la clé publique correspondante. Clé publique : Moitié non secrète d'une paire de clés cryptographiques utilisée avec un algorithme de clé publique. Les clés publiques sont généralement utilisées pour crypter une clé de session, vérifier une signature numérique ou crypter des données qui peuvent être décryptées avec la clé publique correspondante. Compte d'utilisateur : Enregistrement de toutes les informations définissant un utilisateur pour Windows. Parmi ces informations, citons le nom d'utilisateur et le mot de passe fourni par l'utilisateur pour se connecter au réseau, les groupes auxquels appartient l'utilisateur, et les droits et autorisations dont jouit l'utilisateur pour utiliser l'ordinateur et le réseau ou accéder à leurs ressources. Pour Windows XP Professionnel et les serveurs membres, les comptes d'utilisateurs sont gérés avec Utilisateurs et groupes locaux. Dans le cas des contrôleurs de domaine Windows Server, les comptes d'utilisateurs sont gérés par le composant Utilisateurs et ordinateurs Active Directory de Microsoft. Domaine : Groupe d'ordinateurs faisant partie d'un réseau et partageant une même base de données d'annuaire. Un domaine est administré comme une unité régie par des règles et des procédures communes. Chaque domaine possède un nom unique. Un domaine Active Directory est constitué d'un ensemble d'ordinateurs définis par l'administrateur d'un réseau Windows. Ces ordinateurs partagent une base de données d'annuaires commune, des stratégies de sécurité et des relations de sécurité avec d'autres domaines. Un domaine Active Directory fournit l'accès aux comptes de groupe et aux comptes d'utilisateur centralisés qui sont gérés par l'administrateur du domaine. Une forêt Active Directory se compose d'un ou plusieurs domaines, qui peuvent s'étendre sur plusieurs emplacements physiques. Un domaine DNS est une arborescence ou sous-arborescence au sein de l'espace de noms DNS. Bien que les noms des domaines DNS correspondent souvent aux domaines Active Directory, les domaines DNS ne doivent pas être confondus avec les domaines Active Directory. Droits d’utilisateur : Tâches qu'un utilisateur est autorisé à effectuer sur un ordinateur ou un domaine. Il existe deux types de droits d’utilisateur : privilèges et droits d’ouverture de session. Le droit de fermer le système est un exemple de privilège. Le droit d’ouvrir une session sur un ordinateur localement est un exemple de droit d’ouverture de session. Les privilèges et les droits sont attribués par les administrateurs à des utilisateurs ou groupes particuliers dans le cadre de la configuration des paramètres de sécurité de l'ordinateur. Groupe de travail : Regroupement simple d'ordinateurs, conçu uniquement pour aider les utilisateurs à trouver des imprimantes et des dossiers partagés à l'intérieur de ce groupe. Les groupes de travail dans Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

57/59

Windows n'offrent pas les comptes d'utilisateurs centralisés et l'authentification proposés par les domaines. Profil d'utilisateur : Fichier qui contient des informations de configuration (comme les paramètres du Bureau, les connexions réseau permanentes et les paramètres des applications) pour un utilisateur spécifique. Les préférences de chaque utilisateur sont enregistrées dans un profil d'utilisateur que Windows utilise pour configurer le Bureau chaque fois qu'un utilisateur ouvre une session. Secure Sockets Layer (SSL) : Standard ouvert proposé pour l'établissement d'un canal de communication sécurisé permettant d'éviter l'interception d'informations critiques comme les numéros de carte de crédit. Il permet principalement de sécuriser les transactions financières électroniques sur le World Wide Web, bien qu'il fonctionne aussi avec d'autres services Internet. Stratégie de groupe : Composant logiciel enfichable MMC (Microsoft Management Console) qui permet de modifier des objets Stratégie de groupe. Système de fichiers NTFS : Système de fichiers avancé qui offre des performances, une sécurité, une fiabilité et des fonctionnalités avancées qui ne se retrouvent dans aucune version de FAT. Par exemple, NTFS garantit la cohérence des volumes en utilisant des techniques standard d'ouverture de transaction et de restauration. Si un système présente une défaillance, NTFS utilise son fichier journal et ses information de points de vérification pour restaurer la cohérence du système de fichiers. Dans Windows 2000 et Windows XP, NTFS fournit également des fonctionnalités avancées telles que les autorisations sur fichiers et dossiers, le cryptage, les quotas de disque et la compression. Utilisateur : Personne qui utilise un ordinateur. Si l'ordinateur est connecté à un réseau, un utilisateur peut accéder aux programmes et aux fichiers de l'ordinateur, ainsi qu'aux programmes et aux fichiers situés sur le réseau (en fonction des restrictions du compte déterminées par l'administrateur réseau). Utilisateur local : Personne utilisant un ordinateur qui n'est pas connecté à un réseau. En règle générale, un utilisateur local est une personne qui utilise un ordinateur à domicile. Wired Equivalent Privacy (WEP): Le Wired Equivalent Privacy (abrégé WEP) est un protocole obsolète pour sécuriser les réseaux sans-fil de type Wi-Fi. Les réseaux sans-fil diffusant les messages échangés par ondes radioélectriques, sont particulièrement sensibles aux écoutes clandestines. Le WEP tient son nom du fait qu'il devait fournir aux réseaux sans-fils une confidentialité comparable à celle d'un réseau local filaire classique. Cependant, plusieurs faiblesses graves ont été identifiées par les cryptologues. Le WEP a donc été supplanté par le WPA en 2003, puis par le WPA2 en 2004 (WPA2 est la version de la norme IEEE 802.11i certifiée par la Wi-Fi Alliance). Malgré ses faiblesses intrinsèques, le WEP fournit un niveau de sécurité minimal qui peut décourager les attaquants les moins expérimentés.

Wi-Fi Protected Access (WPA): Wi-Fi Protected Access (WPA et WPA2) est un mécanisme pour sécuriser les réseaux sans-fil de type Wi-Fi. Ils ont été créés en réponse aux nombreuses et sévères faiblesses que des chercheurs ont trouvées dans le mécanisme précédent, WEP. WPA respecte la majorité de la norme IEEE 802.11i et a été prévu comme une solution intermédiaire pour remplacer le WEP en attendant que la norme Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

58/59

802.11i soit terminée. WPA a été conçu pour fonctionner avec toutes les cartes Wi-Fi, mais pas nécessairement avec la première génération des points d'accès Wi-Fi. WPA2 respecte la norme entière, mais ne fonctionnera pas avec certaines des cartes les plus anciennes. Les deux fournissent une bonne sécurité, si l'on respecte deux points importants : •

l'un des mécanismes WPA ou WPA2 doit être activé et préféré au WEP. Le WEP est habituellement présenté comme le premier choix de sécurité dans la plupart des manuels d'installation.

lorsque le mode Personal (le choix le plus probable pour les individuels et les PME) est utilisé, une phrase secrète plus longue que les classiques mots de passe de 6 à 8 caractères utilisés par les utilisateurs est nécessaire pour assurer une sécurité complète.

9 Références : Livres: • • • • • •

Ross J. Anderson : Security Engineering: A Guide to Building Dependable Distributed Systems, ISBN 0471389226 Didier Godart : Sécurité informatique: Risques, Stratégies & Solutions, ISBN 2930287217 Bruce Schneier : Secrets & Lies: Digital Security in a Networked World, ISBN 0471253111 Paul A. Karger, Roger R. Schell : Thirty Years Later: Lessons from the Multics Security Evaluation, IBM white paper. Histoire des codes secrets, de S. Singh, ed. LGF, septembre 2001, ISBN 2253150975, Cours de cryptographie, de G. Zémor - Cassini, 2000.

Sites: Wikipédia, l'encyclopédie libre commentcamarche.com Revue : PC Magazine, déc. 2005 Aide en ligne de Windows XP.

Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS -

59/59