Securité des systemes informatiques

2 695 vues

Publié le

Introduction aux enjeux de la sécurité des systèmes informatiques, les principales entraves et menaces, les attributs (confidentialité, intégrité et non-répudiation) et les moyens de mise en oeuvre.

Publié dans : Ingénierie
0 commentaire
2 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

Aucun téléchargement
Vues
Nombre de vues
2 695
Sur SlideShare
0
Issues des intégrations
0
Intégrations
144
Actions
Partages
0
Téléchargements
456
Commentaires
0
J’aime
2
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Securité des systemes informatiques

  1. 1. Sécurité des systèmes informatiques Éric Marsden <eric.marsden@FonCSI.org>
  2. 2. Terminologie sûreté de fonctionnement disponibilité (availability) fiabilité (reliability) sécurité/innocuité (safety) confidentialité intégrité maintenabilité prêt à l’utilisation continuité de service absence de conséquences catastrophiques pour l’environnement absence de divulgations non-autorisées de l’information absence d’altérations inappropriées de l’information aptitude aux réparations et aux évolutions 2 / 128
  3. 3. Terminologie « sécurité informatique » Absence d’accès ou de manipulations non-autorisés de l’état du système d’après Guide de la Sûreté de Fonctionnement, Éd. J-C. Laprie, 1996 sûreté de fonctionnement disponibilité (availability) fiabilité (reliability) sécurité/innocuité (safety) confidentialité intégrité maintenabilité prêt à l’utilisation continuité de service absence de conséquences catastrophiques pour l’environnement absence de divulgations non-autorisées de l’information absence d’altérations inappropriées de l’information aptitude aux réparations et aux évolutions 2 / 128
  4. 4. Plan de la présentation ▷ Introduction et enjeux ▷ Les entraves / menaces • virus, vers, pirates ▷ Les attributs de la sécurité informatique • confidentialité, intégrité, non-répudiation… ▷ Les moyens pour la sécurité informatique • politiques de sécurité • contre-mesures techniques C e t t e p r é s e n t a t i o n : u n s u r v o l d e c e r t a i n s c o n c e p t s i m p o r t a n t s P o i n t d e v u e g e s t i o n d e s r i s q u e s / m a n a g é r i a l , p l u t ô t q u e t e c h n o l o g i q u e 3 / 128
  5. 5. Les menaces 4 / 128
  6. 6. 2000 à Maroochy Shire en Australie : un consultant sur un projet de retraitement d’eau auquel on avait refusé l’embauche définitive, a pu pénétrer dans le système informatique d’une installation de traitement d’eaux usées, et provoquer la décharge d’un million de litres d’eaux usées dans l’environnement. 5 / 128
  7. 7. 2010 : la nsa et les services secrets israéliens provoquent de graves dégradations sur les centrifugeuses iraniennes d’enrichissement d’uranium, grâce à un vers nommé Stuxnet qui a attaqué le système de contrôle-commande de l’installation. 6 / 128
  8. 8. 2003 : le ver Slammer a infecté le réseau informatique de la centrale nucléaire de Davis- Besse, dans l’Ohio. L’attaque, qui a atteint le système d’information de la centrale en passant par une liaison privée avec le réseau d’une entreprise sous-traitante, a neutralisé deux systèmes de contrôle importants, sans toutefois mettre la centrale en danger. 7 / 128
  9. 9. Problème ? Source : EY’s 19th Global Information Security Survey 2016-17 8 / 128
  10. 10. Basedonactual incidents, thesethreats andvulnerabilities havemost changed respondents’riskexposureover thelast 12 months Vulnerabilities (Vulnerability is def nedas thestatein whichexposureto thepossibility of being attackedor harmedexists) Vulnerabilities relatedto mobilecomputing use Vulnerabilities relatedto social mediause Vulnerabilities relatedto cloudcomputing use Careless or unawareemployees Outdatedinformation security controls or architecture Unauthorizedaccess (e.g., dueto location of data) Increasedin past 12 months Samein past 12 months Decreasedin past 12 months 15% 71% 14% 32% 61% 7% 45% 48% 7% 25% 68% 7% 24% 58% 18% 18% 60% 22% Source : EY’s Global Information Survey, 2013 9 / 128
  11. 11. Basedonactual incidents, thesethreats andvulnerabilities havemost changed respondents’riskexposureover thelast 12 months Threats (Threat is defined as a statement to inflict a hostile action from actors in the external environment) Phishing Malware(e.g., viruses, worms andTrojan horses) Spam Cyber attacks to disrupt or defacetheorganization Fraud Cyber attacks to steal f nancial information (credit cardnumbers, bankinformation, etc.) Cyber attacks to steal intellectual property or data Natural disasters (storms, f ooding, etc.) Internal attacks (e.g., by disgruntledemployees) Espionage(e.g., by competitors) Key: Increasedin past 12 months Samein past 12 months Decreasedin past 12 months 29% 57% 14% 32% 58% 10% 10% 75% 15% 31% 55% 14% 9% 78% 13% 17% 74% 9% 8% 82% 10% 13% 77% 10% 14% 76% 10% 20% 69% 11% Source : EY’s Global Information Survey, 2013 10 / 128
  12. 12. Source : EY’s Global Information Survey, 2004 11 / 128
  13. 13. Types d’adversaires ▷ Pseudo-pirate sans connaissances (“script-kiddie”) ▷ Individu extérieur expérimenté (“pirate” ou “hacktivist”) ▷ Individu interne à l’organisation (“insider threat”) ▷ Crime organisé ▷ Terroriste ▷ État-nation L a n a t u r e d e s d é f e n s e s à m e t t r e e n p l a c e s e r a f o n c t i o n d u m o d è l e d e m e n a c e s 12 / 128
  14. 14. 13 / 128
  15. 15. Objectifs des adversaires ▷ Loisir • comprendre le fonctionnement de systèmes complexes • démontrer sa prouesse technique ▷ Vol de données • espionnage, revente, rançon, extorsion ▷ Manipulation de données • obtenir un bénéfice dans le monde réel • discréditer un adversaire ▷ Utilisation de ressources informatiques • envoyer des courriels malveillants • participer à des attaques en déni de service • servir de « point relai » pour attaquer une autre machine • héberger du contenu illicite • utiliser le temps de calcul (“bitmining”) 14 / 128
  16. 16. But intermédiaire : installer un logiciel malfaisant caché ▷ Le logiciel malfaisant (“malware” pour malicious software) agit pour le compte de l’attaquant ▷ Exfiltrer des informations (contenu de fichiers, frappes clavier) ▷ Espionner le trafic du réseau interne et permettre d’identifier d’autres cibles ▷ Servir de point de lancement pour attaquer d’autres machines, envoyer des spams ▷ Participer à une attaque en déni de service ▷ Afficher des publicités / cliquer sur des publicités 15 / 128
  17. 17. Terminologie estiment veulent faire mauvais usage ou peuvent endommager peuvent être conscient Les propriétaires amenant le risque les biens Les agents menaçants des menaces imposent qui peuvent inclure souhaitent minimiser contre qui accroissent des contre-mesures des vulnérabilités pour réduire qui exploitent pouvant être réduites par sur provoquent Source : norme ISO 15408 Critères communs 16 / 128
  18. 18. Terminologie Owners Countermeasures Vulnerabilities Threat agents Risks AssetsThreats value wish to minimise impose reduce that may possess that may be reduced by may be aware of leading to that exploit that increase wish to abuse and/or may damage to to give rise to Attack Vectors based on (set of) use Source : norme ISO 15408 Critères communs 17 / 128
  19. 19. Terminologie : virus Un virus : « infecte » d’autres fichiers lorsqu’il est ouvert/exécuté ▷ exemple : macro dans Microsoft Word qui infecte d’autres fichiers Microsoft Word ▷ exemple : logiciel exécuté automatiquement lors du branchement d’une clé usb ▷ relativement peu usité en 2017 18 / 128
  20. 20. Terminologie : ver Un ver infecte d’autres ordinateurs en se propageant par le réseau ▷ exploite des vulnérabilités logicielles des applicatifs réseau ▷ peut se propager à une vitesse exponentielle jusqu’à saturer le réseau et les machines ▷ les vers se propagent bien principalement dans les systèmes homogènes 19 / 128
  21. 21. Terminologie : cheval de Troie Un cheval de Troie (“trojan”) est un logiciel malfaisant qui se fait passer pour un logiciel utile. Parfois installé comme « bonus » lorsqu’on installe un logiciel gratuit. 20 / 128
  22. 22. Terminologie : porte dérobée Une porte dérobée (“backdoor”) est un logiciel qui permet à un attaquant distant de se connecter sur la machine cible. 21 / 128
  23. 23. Terminologie : logiciel espion / “spyware” Un logiciel espion (“spyware”) collecte des informations et les transmet à l’attaquant ▷ données confidentielles ▷ codes de carte bancaire ▷ identifiants de banque en ligne ▷ mots de passe… 22 / 128
  24. 24. Terminologie : rançongiciel Un rançongiciel (“ransomware”) chiffre toutes les données d’un ordinateur et réclame une rançon en échange de la clé de déchiffrement. Si les sauvegardes sont accessibles informatiquement depuis la machine cible (disque dur externe connecté, volume réseau accessible…), ils peuvent également être chiffrés. 2016 : seulement 18% des hôpitaux n’auraient pas été infectées par un rançongiciel. 23 / 128
  25. 25. Terminologie : rançongiciel Source : Symantec 24 / 128
  26. 26. Terminologie : adware Le adware est un logiciel malfaisant destiné à afficher des publicités sur la machine infectée ▷ fenetres de publicité intempestives ▷ « barres de recherche » dans le navigateur ▷ souvent installés par des logiciels gratuits (forme de monétisation pour les développeurs peu scrupuleux) 25 / 128
  27. 27. Taxonomie des menaces 26 / 128
  28. 28. Attaque par « point d’eau » (“watering hole”) Objectif : infecter ordinateur de personnes travaillant dans un secteur particulier ou entreprise cible Technique : piéger un site web fréquenté par les personnes cibles ▷ association professionnelle, organisme sportif 27 / 128
  29. 29. Attaque par hameçonnage (“phishing”) ▷ Objectif : infecter un ordinateur/téléphone ayant accès au réseau de l’organisme cible • contourner le parefeu qui protège le réseau interne • récolter des informations au sein du réseau interne • servir de point de lancement d’attaques visant d’autres machines plus critiques ▷ Technique : envoyer des courriels avec une pièce jointe piégée, ou renvoyant sur un site internet falsifié qui collecte les identifiants et mots de passe 28 / 128
  30. 30. Attaque par hameçonnage L e s a t t a q u a n t s u t i l i s e n t d i v e r s e s a s t u c e s p o u r f a i r e c r o i r e q u e l e s i t e e s t o f f i c i e l 29 / 128
  31. 31. Vidéo pédagogique Vidéo pédagogique sur l’hameçonnage par La sécurité au Canada Visionner la vidéo : youtu.be/0IH9mz1yQjY 30 / 128
  32. 32. Ingénierie sociale pour contourner les protections techniques L e s a t t a q u a n t s u t i l i s e n t d e s r u s e s p o u r c h e r c h e r à c o n v a i n c r e l e s u t i l i s a t e u r s d ’ i n s t a l l e r u n l o g i c i e l o u d é s a c t i v e r d e s p r o t e c t i o n s i n t é g r é e s 31 / 128
  33. 33. Aparté : analyse économique des arnaques par courriel ▷ Escroquerie « trésor du Bénin » ou « fraude 419 » : • L’arnaqueur demande de l’aide pour effectuer un transfert d’une importante somme d’argent, en échange d’un pourcentage pour aide rendue • Si la victime accepte, on lui demandera petit à petit d’avancer des sommes d’argent destinées à couvrir des frais imaginaires (notaires, entreprises de sécurité, pots-de-vin…) ▷ Pourquoi ces messages d’arnaque « trésor au Bénin » sont-ils si mal rédigés ? 32 / 128
  34. 34. Aparté : analyse économique des arnaques par courriel ▷ L’envoi massif de spams a un coût quasi-nul ▷ La négociation avec les gens qui répondent coûte cher aux arnaqueurs • répondre aux messages, envoyer des photos, rassurer au téléphone • certaines victimes potentielles se rendent compte de l’arnaque en cours de discussion • rentabilité maximale pour les arnaqueurs lorsque peu de personnes avec lesquelles ils « investissent » du temps de persuasion sont perdus en route ▷ Les arnaqueurs ont donc intérêt à établir des négociations uniquement avec des « proies » faciles • une personne qui répond à un message même lorsqu’il contient des signes indiquant l’arnaque mérite un investissement en temps ▷ La forme surprenante des messages d’arnaque est calculée pour filtrer les proies utiles des autres 33 / 128
  35. 35. Attaque par spear phishing ▷ Objectif : infecter l’ordinateur d’une personne ciblée disposant d’accès critiques dans l’organisme ciblé • directeurs, administrateurs système, comptables… ▷ Technique : courriel ciblé (ou message Facebook / Skype etc.) qui utilise des informations véridiques (noms de collaborateurs, de projets) pour augmenter sa crédibilité, invitant à ouvrir une pièce jointe ou se rendre sur un site web malveillant. ▷ Exemple : des membres de l’opposition au Maroc ont reçu un document prétendument rédigé par un reporter Al Jazeera qui disait contenir des révélations sur une scandale politique 34 / 128
  36. 36. 35 / 128
  37. 37. Attaque par interposition (“man in the middle”) ▷ Objectifs : • récupérer des identifiants permettant un accès à distance • espionner une communication • modifier un message lors de sa transmission ▷ Technique : s’interposer lors d’une communication et se faire passer pour le tiers distant • exemple : sur wifi public, répondre à une requête de résolution de noms en donnant l’adresse réseau d’une machine qu’on contrôle plutôt que la véritable adresse du service souhaité • exemple : un fournisseur d’accès réseau peut espionner les communications de ses clients (contenu des messages lorsqu’ils ne sont pas chiffrés, destinataires des messages même lorsqu’ils sont chiffrés) et vendre l’information à des annonceurs • exemple : un gouvernement autoritaire peut espionner les messages téléphoniques et communications web non-chiffrées de tous les citoyens du pays • le chiffrement et les certificats https protègent contre ce type d’attaque 36 / 128
  38. 38. Attaque par interposition DNS Quelle est l’adresse IP de www.schmouf.fr ? Le DNS (“domain name system”) permet de faire correspondre des noms symboliques (www.schmouf.fr) à des adresses réseau.
  39. 39. Attaque par interposition DNS Quelle est l’adresse IP de www.schmouf.fr ? C’est 3.4.5.6 Le DNS (“domain name system”) permet de faire correspondre des noms symboliques (www.schmouf.fr) à des adresses réseau.
  40. 40. Attaque par interposition DNS Quelle est l’adresse IP de www.schmouf.fr ? C’est 3.4.5.6 3.4.5.6 Le DNS (“domain name system”) permet de faire correspondre des noms symboliques (www.schmouf.fr) à des adresses réseau. 37 / 128
  41. 41. Attaque par interposition DNS Quelle est l’adresse IP de www.schmouf.fr ? Une machine malveillante sur le réseau local peut donner des résolutions de nom fausses, et rediriger le client vers un serveur malveillant. Deux formes de protection possibles : ▷ les certificats : le client vérifiera que le serveur est bien qui il prétend être ▷ l’utilisation de dnssec, une version sécurisée du dns
  42. 42. Attaque par interposition DNS Quelle est l’adresse IP de www.schmouf.fr ? C’est 6.6.6.6 Une machine malveillante sur le réseau local peut donner des résolutions de nom fausses, et rediriger le client vers un serveur malveillant. Deux formes de protection possibles : ▷ les certificats : le client vérifiera que le serveur est bien qui il prétend être ▷ l’utilisation de dnssec, une version sécurisée du dns
  43. 43. Attaque par interposition DNS Quelle est l’adresse IP de www.schmouf.fr ? C’est 6.6.6.6 3.4.5.6 6.6.6.6 Une machine malveillante sur le réseau local peut donner des résolutions de nom fausses, et rediriger le client vers un serveur malveillant. Deux formes de protection possibles : ▷ les certificats : le client vérifiera que le serveur est bien qui il prétend être ▷ l’utilisation de dnssec, une version sécurisée du dns 38 / 128
  44. 44. Vulnérabilités web : injection SQL Applicatifs web : traiter avec grande prudence les données fournies par l’utilisateur (champs d’un formulaire). Il existe une importante famille de vulnérabilités liées à des données utilisateur transmises sans prudence à la base de données (qui utilise souvent le langage sql). Risques de perte de données, de corruption de données, d’obtention de privilèges indus. Source : xkcd.com/327/, licence CC BY-NC 39 / 128
  45. 45. Vulnérabilités logicielles Les vulnérabilités logicielles qui sont connues publiquement reçoivent un identifiant CVE Des bases de données de vulnérabilités permettent de suivre le nombre et la gravité des vulnérabilités affectant un composant logiciel ▷ exemple : cvedetails.com 40 / 128
  46. 46. Vulnérabilités logicielles ▷ Certains logiciels sont notoirement connus pour regorger de vulnérabilités… • lecteur Adobe Flash, Adobe Reader (PDF) • navigateur web Internet Explorer • Microsoft Windows • suite Microsoft Office • base de données Oracle ▷ Les vulnérabilités les plus dangereuses (“zero-day”) ne sont pas connues • difficile de se protéger, de détecter l’intrusion 41 / 128
  47. 47. Marché international pour les vulnérabilités ▷ Les états-nations constituent des stocks de vulnérabilités pour leurs actions de d’espionnage, de contre-terrorisme, de cyber-guerre • exemple : importante collection de la cia rendue public par WikiLeaks en 2017 ▷ Des sociétés privées les vendent à des états ou au plus offrant • exemple : ReVuln, entreprise basée à Malte, spécialisée dans la vente de vulnérabilités “zero-day” pour les systèmes scada ▷ Organisations mafieuses les identifient et en tirent profit ▷ Certaines entreprises (surtout secteur web) gèrent des programmes de “bug bounty” • les individus qui identifient et notifient une nouvelle vulnérabilité sont récompensés (en k€ par vulnérabilité sérieuse) • objectif : inciter les hackers “white hat” (gentils) à trouver et signaler des vulnérabilités, plutôt que les laisser exploiter par des organismes mafieux ou des états 42 / 128
  48. 48. Vulnérabilités logicielles réseau ▷ Les équipements sont souvent vendus avec un compte administrateur activé avec un mot de passe par défaut • équipements réseau, automates, imprimantes, webcams… ▷ Les administrateurs ne pensent pas forcément à changer ces mots de passe ▷ Des sites web indiquent les mots de passe par défaut pour des milliers d’équipements • www.routerpasswords.com • www.phenoelit.org/dpl/dpl.html 43 / 128
  49. 49. Vulnérabilités logicielles réseau ▷ 2015 : Fiat Chrysler lance un rappel pour 1.4 million de véhicules dont les freins, accélérateur et volant pouvaient être contrôlés depuis Internet ▷ Le mécanisme des clés sans fil pour voiture a été cassé pour permettre des vols ▷ Secteur médical : vulnérabilités logicielles dans des pompes à insuline et des implants cardiaques 44 / 128
  50. 50. Pourquoi tant de vulnérabilités ? ▷ Les systèmes informatiques sont très complexes et évoluent rapidement ▷ Propriété du numérique : une minuscule erreur peut avoir des impacts catastrophiques • concept de « marge de sécurité » est inopérant ▷ Produire du logiciel de qualité est long, et le marché valorise les premiers entrants • effet de réseau (un logiciel vaut davantage quand vos collègues l’utilisent) • coût de développement important, coût marginal de vente quasi-nul • changer de logiciel est compliqué → clients captifs → effets “winner takes all” 45 / 128
  51. 51. Pourquoi tant de vulnérabilités ? ▷ Le coût est en partie porté par les victimes plutôt que par les clients • en termes économiques, c’est une externalité ▷ Le marché ne sanctionne pas les éditeurs responsables de produits peu sûrs • “market for lemons” d’après Akerlof : un acheteur ne sait pas évaluer le niveau de sécurité d’un logiciel avant de l’acheter ▷ Effets de sélection adverse lorsque les éditeurs tentent de mettre en place des labels • exemple : label TRUSTe utilisé davantage sur sites web peu dignes de confiance ▷ Réglementation inexistante dans la plupart des secteurs ▷ Peu de recours légaux par les victimes Plus d’informations : page web Economics and security resource page de Ross Anderson, cl.cam.ac.uk/ rja14/econsec.html 46 / 128
  52. 52. Pourquoi tant de vulnérabilités ? ▷ Tout système complexe est composé d’éléments « bons » et d’éléments « mauvais » • employés plus ou moins talentueux, composants de qualité variable… ▷ La sécurité est-elle fonction plutôt des bons, plutôt des mauvais, ou de la somme de leurs efforts ? ▷ La sécurité/innocuité (“safety”) est menacée par des fautes aléatoires • le niveau de sécurité résulte plutôt de la somme des efforts ▷ La sécurité informatique est menacée par des attaquants qui ciblent le point le plus vulnérable • le niveau de sécurité résulte surtout des éléments les moins bons du système 47 / 128
  53. 53. Vulnérabilités logicielles : comment se protéger ? En tant qu’utilisateur normal : ▷ Maintenir système et logiciels à jour ▷ Bloquer le contenu Flash dans son navigateur (au moins click-to-play) ▷ Utiliser un bloqueur de publicités (canal de propagation fréquent pour les attaques web) • mais impact sur le modèle économique des sites d’information… ▷ Éviter les logiciels les moins sûrs (lorsque des alternatives existent…) • exemple : préférer un Chromebook à un ordinateur Microsoft Windows • exemple : préférer Chrome à Internet Explorer/Edge 48 / 128
  54. 54. Comment les éditeurs peuvent lutter contre les vulnérabilités logicielles Source : NIST (2016) 49 / 128
  55. 55. Clés USB malveillantes ▷ Objectif : installer un logiciel malveillant (espionnage…) sur une machine interne au réseau de l’organisme cible ▷ Technique : distribuer des clés usb infectées « gratuites » devant les locaux, ou les laisser traîner au sol sur le parking, ou les remettre lors d’événements professionnels • beaucoup d’ordinateurs exécutent encore « aveuglement » les logiciels se trouvant sur les clés usb ou cd (mécanisme de “autorun”) • une « clé usb» peut se présenter informatiquement comme un clavier usb, et espionner toutes les touches frappées (“keylogger”) • tests en 2016 : ≈ la moitié des gens branchent une clé usb trouvée sur le parking de leur lieu de travail 50 / 128
  56. 56. Les attaques en déni de service ▷ Objectif : rendre un service internet (site de vente en ligne, site web d’information…) inaccessible par les utilisateurs • attaques parfois conduites par des réseaux mafieux qui réclament un rançon avant de lancer l’attaque • d’autres attaques constituent une forme de « manifestation » sur Internet (Anonymous…) ▷ Technique : générer un volume de trafic réseau très important visant la machine cible, pour saturer ses capacités de réponse • le trafic provient généralement de machines infectées à l’insu de leurs propriétaires (“botnets”, parfois constitués de millions de machines) • il s’agit parfois de périphériques (caméras de surveillance, routeurs internet, frigos) ▷ En anglais, DDoS pour distributed denial of service 51 / 128
  57. 57. Réseaux de machines infestées Crédit image : Tom-b via Wikimedia Commons, licence CC BY-SA 52 / 128
  58. 58. Réseaux de machines infestées ▷ Crime organisé : cherche à construire des réseaux de machines infestées dans une approche non-ciblée • “botnet” ou réseau de machines sous le contrôle de l’attaquant • serviront à des attaques en déni de service, spam, publicité ▷ Individus, espions, militaires : attaques ciblées plus discrètes • cherchent à rester invisibles à l’utilisateur et aux administrateurs réseau • collectent et exfiltrent les informations 53 / 128
  59. 59. Rançongiciel (“ransomware”) ▷ Objectif : chiffrer toutes les données d’un ordinateur et réclamer une rançon en échange de la clé de déchiffrement ▷ Technique : • un logiciel malveillant est installé à l’aide d’une vulnérabilité logicielle (courriel malveillant, page web malveillante…) • une fois les données chiffrées une page web demandant une rançon en échange du mot de passe de déchiffrement • rançon payée en bitcoins de façon à être intraçable • les sauvegardes sont également chiffrées si elles sont accessibles (par le réseau, disque dur externe connecté…) 54 / 128
  60. 60. Attaque via la chaîne logistique ▷ Objectif : installer un logiciel malveillant sur des postes d’administrateurs système disposant de privilèges élevés ▷ Technique : corrompre un produit logiciel fourni par une société tiers en y insérant une porte dérobée (“backdoor”) • logiciels choisis : produits utilisés par des administrateurs système • l’attaquant peut aussi intercepter et corrompre les demandes de mise à jour du logiciel • peut également concerner un service comme les systèmes de paiement (attaque sur Target) • peut concerner des équipements (routeurs cœur de réseau, routeurs wifi, disques durs…) 55 / 128
  61. 61. Les principaux logiciels malfaisants en 2016 Source : Rapport Internet Organised Crime Threat Assessment (IOCTA) 2016, Europol, europol.europa.eu/activities-services/main- reports/internet-organised-crime-threat-assessment-iocta-2016 56 / 128
  62. 62. Synthèse de l’état des menaces en 2017 Source : ENISA Threat Landscape Report 2016, enisa.europa.eu/publications/enisa-threat-landscape-report-2016 57 / 128
  63. 63. Les attributs de la sécurité informatique 58 / 128
  64. 64. Nécessité d’une approche globale La sécurité fait souvent l’objet de métaphores « Le niveau de sécurité d’un système est déterminé par le niveau de sécurité du maillon le plus faible » 59 / 128
  65. 65. Pratiques à éviter… Reportage sur le piratage du système d’information de TV5 Monde (avril 2015) Des identifiants et mots de passe de leurs comptes sur les réseaux sociaux collés au mur et diffusés à l’antenne de France 2 60 / 128
  66. 66. Pratiques à éviter… Reportage sur le piratage du système d’information de TV5 Monde (avril 2015) Des identifiants et mots de passe collés à un écran et diffusés à l’antenne de BFMTV 61 / 128
  67. 67. 62 / 128
  68. 68. Nécessité d’une approche globale La sécurité doit être abordée dans un contexte global et prendre en compte les aspects suivants : ▷ La sensibilisation des utilisateurs aux questions de sécurité ▷ La sécurité logique • données de l’organisme, applications employées, systèmes d’exploitation ▷ La sécurité des télécommunications : • connectivité internet, réseau local câblé, réseau sans fil, téléphonie ▷ La sécurité physique des infrastructures matérielles : • salles sécurisées, lieux ouverts au public, espaces communs de l’organisme, postes de travail des personnels, etc. 63 / 128
  69. 69. Attributs de la sécurité informatique Cinq principaux objectifs à garantir : 1 intégrité : s’assurer que les données n’ont pas été altérées durant la communication (de manière fortuite ou intentionnelle) 2 confidentialité : rendre l’information inintelligible à d’autres personnes que les seuls acteurs de la transaction 3 non-répudiation : s’assurer qu’aucune des parties d’une transaction ne pourra nier son existence ultérieurement 4 authentification : assurer l’identité d’un utilisateur, c’est-à-dire de garantir à chacun des correspondants que son partenaire est bien celui qu’il croit être 5 disponibilité 64 / 128
  70. 70. Cinq difficultés à résoudre le message sera chiffré La confidentialité des données… pour éviter les indiscrets, les espions un tiers peut lire le message 65 / 128
  71. 71. Cinq difficultés à résoudre L’intégrité des données… pour éviter les vandales, les pirates un tiers intercepte et modifie le message une empreinte du message sera calculée le message sera chiffré La confidentialité des données… pour éviter les indiscrets, les espions un tiers peut lire le message 65 / 128
  72. 72. Cinq difficultés à résoudre un tiers se fait passer pour le serveur L’identité des interlocuteurs… pour éviter les imposteurs un tiers se fait passer pour le client client et serveur échangeront leurs certificats L’intégrité des données… pour éviter les vandales, les pirates un tiers intercepte et modifie le message une empreinte du message sera calculée le message sera chiffré La confidentialité des données… pour éviter les indiscrets, les espions un tiers peut lire le message 65 / 128
  73. 73. Cinq difficultés à résoudre mémorisation historique pour éviter la répudiation des actions La paternité des transactions… un tiers se fait passer pour le serveur L’identité des interlocuteurs… pour éviter les imposteurs un tiers se fait passer pour le client client et serveur échangeront leurs certificats L’intégrité des données… pour éviter les vandales, les pirates un tiers intercepte et modifie le message une empreinte du message sera calculée le message sera chiffré La confidentialité des données… pour éviter les indiscrets, les espions un tiers peut lire le message 65 / 128
  74. 74. Cinq difficultés à résoudre mémorisation historique pour éviter la répudiation des actions La paternité des transactions… un tiers se fait passer pour le serveur L’identité des interlocuteurs… pour éviter les imposteurs un tiers se fait passer pour le client client et serveur échangeront leurs certificats L’intégrité des données… pour éviter les vandales, les pirates un tiers intercepte et modifie le message une empreinte du message sera calculée le message sera chiffré La confidentialité des données… pour éviter les indiscrets, les espions un tiers peut lire le message 65 / 128
  75. 75. Les moyens de la sécurité informatique 66 / 128
  76. 76. La politique de sécurité du SI L’objectif est de préciser : ▷ un périmètre d’application : qui est concerné, ou et quand, avec quels moyens… ▷ le « modèle de fautes », ou la nature des attaques envisagées ▷ règles définissant les actions autorisées (les droits) ou interdites réalisées par des hommes sur des hommes ou des biens matériels ou immatériels ▷ actions à entreprendre et personnes à contacter en cas de détection d’une intrusion ▷ actions de sensibilisation des utilisateurs aux problèmes liés à la sécurité des SI 67 / 128
  77. 77. La politique de sécurité du SI ▷ Un document exposant la politique de sécurité sera établi et approuvé par la Direction Générale ▷ Ce document doit être révisé et adapté périodiquement en prenant en compte • l’efficacité de ses mesures • le coût et l’impact des contrôles sur l’activité • les effets des évolutions technologiques ▷ La sécurité est une responsabilité partagée par tous les membres de l’équipe de direction • comité de direction multifonction pour assurer un pilotage clair et une visibilité élevée de l’engagement de la direction • comité définit les rôles et responsabilités, les méthodes et procédures, approuve et supporte les initiatives de promotion et de communication internes 68 / 128
  78. 78. Étapes de mise en place d’une politique SSI 1 Définition de la politique 2 Identification des vulnérabilités • en mode nominal : définir tous les points faibles • en mode dégradé : une défaillance peut rendre le système plus vulnérable aux intrusions 3 Évaluation des probabilités associées à chacune des menaces 4 Évaluation du coût d’une intrusion réussie 5 Choix des contre-mesures et évaluation de leurs coûts 6 Décision de mise en œuvre, allocation de moyens 7 Définition des modalités de suivi de la politique A p p r o c h e « r i s q u e » t r è s c l a s s i q u e … 69 / 128
  79. 79. Responsabilités : le RSSI ▷ RSSI : responsable de la sécurité des systèmes d’information (RSSI) • typiquement rattaché à la direction générale (ou “chief risk officer”), ou à la direction des systèmes d’information ▷ Typiquement chargé des choix et des actions concernant : • la sensibilisation des utilisateurs aux problèmes de sécurité • la sécurité des réseaux, systèmes, télécommunications, applications • la sécurité physique en lien avec les systèmes informatiques • la mise en place de moyens de fonctionnement en mode dégradé / résilience • la stratégie de sauvegarde des données • la mise en place du plan de continuité d’activité 70 / 128
  80. 80. Principales normes ▷ ISO 27000:2014 : Information technology — Security techniques — Information security management systems - Overview and vocabulary ▷ ISO 27001:2013 : Technologies de l’information — Techniques de sécurité — Systèmes de gestion de sécurité de l’information — Exigences – norme certifiable ▷ ISO 27002:2013 : Code de bonnes pratiques pour la gestion de la sécurité de l’information 71 / 128
  81. 81. Famille 27000 Source : norme ISO/IEC 27000 :2014 72 / 128
  82. 82. Périmètre de la norme ISO 27001 73 / 128
  83. 83. Aparté : accès aux normes ISO ▷ La norme iso 27001 est disponible au format pdf depuis l’iso Store pour la modique somme de 110€ (5€ la page…) ▷ Le lecteur averti préférera consulter la norme indienne Information technology - security techniques - information security management systems - requirements • identique à la norme iso 27001 • librement téléchargeable depuis law.resource.org/pub/in/bis/S04/is.iso.iec.27001.2005.pdf pour “permettre la diffusion libre d’information utile au public” 74 / 128
  84. 84. Moyens pour la mise en place ▷ Réalisation politique de sécurité : mise en œuvre cohérente de • moyens physiques • architecture des bâtiments, systèmes de contrôle d’accès, destructeurs de documents… • moyens informatiques • techniques d’authentification, de chiffrage, de signature • dispositifs de protection réseau : pare-feu, logiciels antivirus… • règles d’organisation et procédures ▷ Les moyens doivent être non contradictoires et ne pas constituer un obstacle à la réalisation des fonctions opérationnelles • les procédures trop complexes sont souvent contournées ! ▷ Procédures doivent donc être comprises et acceptées par toutes les personnes concernées 75 / 128
  85. 85. Contournement de barrières Les moyens doivent être homogènes par rapport aux risques et aux attaques considérés ▷ inutile de chiffrer tous les documents informatiques s’ils partent en clair dans les poubelles… 76 / 128
  86. 86. Types de politique de sécurité ▷ Politique nominative • au moins un droit est attribué à une personne intutæ personnae ▷ Politique basée sur les rôles • tous les droits d’une politique sont attribués aux personnes uniquement en fonction du rôle qu’elles jouent dans le SI (administrateur système, responsable sécurité, chef comptable…) • une telle politique doit préciser les procédures appliquées pour attribuer un rôle à une personne ▷ Politique discrétionnaire • l’entité qui possède un objet à tous les droits pour propager les droits sur cet objet ▷ Politique obligatoire • le processus de propagation est limité par des règles générales 77 / 128
  87. 87. Principe du moindre privilège ▷ Principe du moindre privilège : donner aux utilisateurs exactement les droits dont ils ont besoin, ni plus ni moins ▷ Exemple : un utilisateur ordinaire n’a pas besoin des droits administrateur sur son poste de travail • limitera les dégâts si une faille de sécurité dans l’un des logiciels qu’il utilise devait être exploitée ▷ Exemple : un utilisateur chargé de la communication n’a probablement pas besoin de droits de lecture sur le système comptable de l’entreprise ▷ Mise en œuvre : • droits des sessions utilisateurs sur les postes de travail • droits d’accès au serveur de fichiers • parefeux dans les réseau d’entreprise limitent les flux entre segments réseau 78 / 128
  88. 88. Les contre-mesures 79 / 128
  89. 89. Les principales contre-mesures Partitionnement Chiffrement Monitoring Authentification Gestion des vulnérabilités Formation 80 / 128
  90. 90. Les principales contre-mesures Partitionnement Chiffrement Monitoring Authentification Gestion des vulnérabilités Formation 81 / 128
  91. 91. Partitionnement (réseau, applicatif, privilèges) État d’esprit à utiliser pour la sécurité : « limiter la confiance » ▷ Compartementaliser : contenir les pertes, éviter les possibilités de propagation ▷ Défense en profondeur : une « ligne Maginot » n’est pas suffisante • partir du principe qu’un attaquant réussira à pénétrer le premier niveau de défense ▷ Vérifier régulièrement que les composants sont dignes de confiance 82 / 128
  92. 92. Partitionnement par limitation de privilège ▷ Ne pas travailler en tant qu’utilisateur avec des privilèges d’administrateur • une application vulnérable sera limitée par les privilèges de l’utilisateur (sauf faille dans le système d’exploitation) ▷ Exécuter les logiciels sensibles dans des machines virtuelles/conteneurs • une vulnérabilité pourra difficilement échapper à sa machine virtuelle ▷ Bac à sable (“sandbox”) dans iOS 83 / 128
  93. 93. Partitionnement réseau : parefeu parefeu réseau interne réseau externe Le parefeu contrôle les flux entre un réseau A et un réseau B. Il décide de laisser passer un flux ou le bloquer selon ▷ adresse source ▷ adresse destination ▷ port ▷ contenu (parfois) Typiquement, sera configuré pour rejeter les tentatives de connexion d’Internet vers une machine du réseau interne. 84 / 128
  94. 94. Partitionnement réseau : réseau privé (VPN) siège bureau régional bureau régional internet utilisateurs nomades Propriétés fournies : ▷ confidentialité des communications entre bureaux ▷ accès à des ressources du réseau interne même en nomadisme ▷ peut imposer un filtrage (antivirus…) des connexions réseau des utilisateurs nomades 85 / 128
  95. 95. Partitionnement réseau : VLAN ▷ VLAN : réseau local virtuel ▷ De nombreux VLAN peuvent coexister sur un même commutateur réseau ▷ Les réseaux virtuels ne communiquent pas entre-eux (segmentation) 86 / 128
  96. 96. Partitionnement réseau : coupleurs optiques ▷ Coupleur optique / gateway unidirectionnel / data diode ▷ Dispositif technique qui permet aux données de passer d’un réseau A vers B, mais pas de B vers A ▷ Mise en œuvre classique : un laser dirigé dans un câble de fibre optique avec un lecteur optique d’un côté 87 / 128
  97. 97. Fragmentation-Redondance-Dissémination ▷ Technique permettant qu’une intrusion dans une partie du système ne donne accès qu’à des informations non-significatives ▷ Fragmentation • découper l’information de telle sorte qu’un fragment isolé ne contienne pas d’information sensible • propriété de confidentialité ▷ Redondance • ajouter de la redondance afin que la modification ou destruction malveillante de fragments n’empêche pas les accès légitimes • propriétés d’intégrité et de disponibilité ▷ Dissémination • isoler les fragments individuels, sur différents nœuds • possibilité d’utiliser un mécanisme de chiffrement à seuil pour disséminer les clés 88 / 128
  98. 98. F-R-D pour un serveur de fichiers d’après Y. Deswarte (1999) 89 / 128
  99. 99. En pratique, partitionnement souvent limité ! ‘‘In our experience in conducting hundreds of vulnerability assessments in the private sector, in no case have we ever found the operations network, the scada system or energy management system separated from the enterprise network. On average, we see 11 direct connections between those networks. – Sean McGurk, Verizon The Subcommittee on National Security, Homeland Defense, and Foreign Operations, May 25, 2011 hearing 90 / 128
  100. 100. Contourner le partitionnement ▷ Clés USB personnelles utilisées par opérateurs pour écouter de la musique • cas probable des centrales d’enrichissement uranium iraniennes ▷ Ordinateurs portables branchés sur le scada pour des tests, diagnostics, optimisations ▷ Téléphones portables branchés en usb pour se charger • illustration : les systèmes informatiques du cockpit d’avions sont régulièrement infectés par du malware conçu pour viser des téléphones Android, provenant de téléphones en chargement ▷ Accès VPN pour permettre la maintenance à distance 91 / 128
  101. 101. Préservatifs USB Dispositifs conçus pour empêcher la transmission accidentelle de données (ou infection par un logiciel malfaisant) lorsqu’on branche un équipement sur un port usb non-sûr pour le charger. Un cable usb comporte 4 fils, dont 2 pour les données et 2 pour l’alimentation électrique (5V). Un « préservatif usb» ne connecte que les fils servant à l’alimentation électrique. data + data - power - power + Source : syncstop.com 92 / 128
  102. 102. Les principales contre-mesures Partitionnement Chiffrement Monitoring Authentification Gestion des vulnérabilités Formation 93 / 128
  103. 103. Monitoring ▷ Surveiller les flux réseau ▷ Centraliser et analyser les logs logiciels ▷ Détection d’anomalie automatisée (“intrusion detection system”) associée à supervision humaine 24h/24 ▷ Problème des faux positifs ▷ La supervision est parfois externalisée • entreprises spécialisées qui connaissent les attaques du moment ▷ Enregistrer les événements pour permettre une analyse forensique post-mortem 94 / 128
  104. 104. Analyse d’anomalie ▷ Consommation inhabituelle de ressources (cpu, mémoire, disque, volume réseau) ▷ Machines qui commencent à échanger avec des machines avec lesquelles elles n’ont jamais discuté ▷ Nœuds qui génèrent le trafic le plus important ▷ Connexions avec internet ou avec le réseau business ▷ Tentatives de connexion vers des équipements en utilisant des identifiants par défaut ▷ Logs d’erreur sur les équipements (alertes logicielles) ▷ Modifications inattendues de fichiers ou de firmware 95 / 128
  105. 105. Analyse d’anomalie : règles d’alerte ▷ Si une machine effectue trois tentatives de connexion avec un mauvais mot de passe en moins de 20 secondes, bloquer tout les paquets provenant de cette machine ▷ Limiter à 100 connexions réseau par 1 minute depuis la même adresse ▷ Si tentative de connexion ftp qui ressemble à une vulnérabilité connue, bloquer la requête et enregistrer un log ▷ Si le volume de requêtes web est supérieur à 1000 fois la moyenne horaire, alerter l’administrateur système ▷ Si une machine interne effectue un scan de toutes les adresses du réseau local, alerter le responsable sécurité 96 / 128
  106. 106. Fonctionnement d’un antivirus ▷ Scanner les fichiers pour identifier des signatures de logiciels malveillants connus • base de signatures doit être mis à jour régulièrement • scan complet périodique du disque + à l’accès • scan des flux réseau (téléchargements, courriels…) sur un parefeu ▷ Exécuter les logiciels suspects dans un « bac à sable » virtuel pour identifier des types de comportement suspects • espionner les frappes clavier, lire certains fichiers système sensibles, … ▷ Analyse du comportement des composants logiciels pour identifier des actions suspectes • un outil de dessin qui ouvre une connexion réseau • modification du code exécutable d’un programme installé • lecture de certains fichiers système sensibles 97 / 128
  107. 107. Limites des antivirus ▷ Un antivirus est très intrusif dans le système • ralentissement important des machines • délicat à désinstaller car profondément imbriqué dans les « entrailles » de la machine ▷ Certains antivirus contiennent des vulnérabilités et peuvent permettre à un attaquant de compromettre la machine ▷ La détection par signature est contournée par des virus « polymorphes » • chiffrent ou déguisent leur code exécutable pour que la signature ne soit jamais détectable ▷ La détection de comportements suspects est limitée par le taux de faux positifs • les utilisateurs apprennent vite à cliquer « OK » lorsqu’il les boîtes d’alerte se multiplient 98 / 128
  108. 108. Limites des antivirus ▷ Les attaquants peuvent contourner les outils de détection des principaux antivirus commerciaux • tester/améliorer leurs nouveaux logiciels malveillants ▷ Si les antivirus étaient trop performants et éliminaient toute incitation à développer des nouveaux virus, le marché pour les antivirus deviendrait limité… 99 / 128
  109. 109. Limites des antivirus 100 / 128
  110. 110. Les principales contre-mesures Partitionnement Chiffrement Monitoring Authentification Gestion des vulnérabilités Formation 101 / 128
  111. 111. Authentification ▷ Identification : « dire qui on est » ▷ Authentification : « le prouver » • par ce que l’on sait (mot de passe, passphrase, réponse à une question donnée…) • par ce que l’on est (forme du visage, voix, empreinte rétinienne…) • par ce que l’on a (carte à puce, téléphone mobile…) • par ce que l’on sait faire (utiliser un logiciel, répondre à un événement imprévu…) ▷ Utilisation : • permet d’attacher des droits d’accès à un profil, une personne, une machine, ou encore à un programme 102 / 128
  112. 112. Validation en deux étapes Pour vous authentifier auprès d’un site web, vous rentrez votre mot de passe et un code de sécurité envoyé sur votre téléphone portable Équivalent utilisé pour connexion à distance à un réseau privé d’entreprise : les codes générés sur des widgets comme SecureID™ En anglais : “two-factor authentication” 103 / 128
  113. 113. Les principales contre-mesures Partitionnement Chiffrement Monitoring Authentification Gestion des vulnérabilités Formation 104 / 128
  114. 114. Comment se protéger : la cryptographie ▷ Cryptographie : l’ensemble des principes, méthodes et techniques dont le but est d’appliquer le chiffrement et le déchiffrement des données ▷ Illustration antique : le chiffre de César • décalage de trois lettres dans l’alphabet sur la gauche ▷ Cryptographie moderne : croisement entre les mathématiques discrètes et l’informatique Image : machine de chiffrement M-209, flic.kr/p/cA8YCG, licence CC BY-SA 105 / 128
  115. 115. Que permet la cryptographie ? ▷ Authentification : preuve que les parties participant à une opération sont bel et bien les personnes qu’elles disent être ▷ Non-répudiation : preuve qu’une opération a eu lieu, ou qu’un message a été envoyé ou reçu (ainsi, une des parties à l’opération ne peut nier que l’opération a eu lieu) ▷ Intégrité : les données ou les messages ne peuvent être modifiés sans qu’on le sache ▷ Confidentialité : seul le destinataire désigné ou l’utilisateur autorisé peut accéder aux messages et aux données ▷ La preuve à divulgation nulle de connaissance : on peut prouver que l’on connaît un secret sans le révéler ▷ et autres, dont l’anonymat et la mise en gage 106 / 128
  116. 116. Utilisations de la cryptographie ▷ Technologies dans lesquelles la cryptographie est utilisée : • communication sécurisée sur le web (https) • connexions WiFi sécurisées • téléphonie 3G et 4G • chiffrement d’un disque dur (BitLocker sur Microsoft Windows, FileVault sur MacOS) ou d’un téléphone • « protection » du contenu sur supports multimédia (dvd, BluRay) • système monétaire Bitcoin et autres systèmes de paiement 107 / 128
  117. 117. Types de cryptographie À clé secrète, employée depuis 2000 ans avant JC Symétrique À clé publique/privée, connue depuis 1976 Asymétrique 108 / 128
  118. 118. Cryptographie symétrique Allô + = ZJ3K Allô+ =ZJ3K Alice crypte le message avec la clé secrète et envoie le message crypté à Bob Bob décrypte le message avec la clé secrète 109 / 128
  119. 119. Cryptographie symétrique ZJ3K ZJ3K Même s’il l’intercepte, Paul ne peut lire le message car il ne connaît pas la clé Protection contre les écoutes Problème : on doit faire parvenir la clé secrète à notre interlocuteur 109 / 128
  120. 120. Cryptographie asymétrique ▷ Chaque intervenant possède 2 clés : • une clé publique connue de tout le monde • une clé privée connue que de lui ▷ Les deux clés fonctionnent en paire et sont créées par un logiciel ▷ Propriété « magique » sur laquelle repose la cryptographie : Ce qui est crypté avec la clé publique d’un individu ne peut être décrypté qu’avec sa clé privée, et inversement 110 / 128
  121. 121. Cryptographie asymétrique ▷ Analogie du coffre-fort : • Chiffrement : Alice a choisi un coffre-fort. Elle l’envoie ouvert à Bob, et en garde la clé. Lorsque Bob veut écrire à Alice, il y dépose son message, ferme le coffre, et le renvoie à Alice. À sa réception, seule Alice peut ouvrir le coffre, puisqu’elle seule en possède la clé, à supposer le coffre inviolable, et que personne ne puisse retrouver la clé. • L’identification ou la signature : Alice place un message dans le coffre, qu’elle ferme avant de l’envoyer à Bob. Si Bob parvient à l’aide de la clé publique d’Alice dont il dispose à ouvrir le coffre c’est que c’est bien celui d’Alice et donc que c’est bien elle qui y a placé le message. 111 / 128
  122. 122. Cryptographie asymétrique Allô + = ZJ3K Clé publique de Bob ZJ3K Clé privée de Bob + = Allô Seul Bob peut lire le message. Sa confidentialité en est donc assurée. 112 / 128
  123. 123. Cryptographie asymétrique Allô + = ZJ3K Clé privée d’Alice ZJ3K Clé publique d’Alice + = Allô Comme Bob est capable de le décrypter avec la clé publique d’Alice, le message ne peut provenir que d’Alice Concept de signature électronique : permet de garantir la provenance d’un message 112 / 128
  124. 124. Exemple : SSL/TLS ▷ TLS (Transport Layer Security, autrefois appelé SSL) : protocole permettant de sécuriser la transmission d’informations sur internet ▷ Utilise une combinaison des deux types de chiffrements en tirant avantage des forces de chacun ▷ En plus de chiffrer l’information, TLS valide l’identité du serveur à l’aide d’un certificat numérique et assure que l’information n’a pas été modifiée lors de son transport • permet de se prémunir des attaques de type “man in the middle” 113 / 128
  125. 125. Certificats HTTPS Certificat “EV” ou extended validation : l’autorité de certification vérifie que la personne demandant le certificat représente bien l’organisme. Le navigateur affiche généralement le nom de l’organisme. Certificat “DV” ou domain validation : l’autorité de certification vérifie seulement que la personne demandant le certificat a accès au domaine DNS concerné. 114 / 128
  126. 126. Cryptographie : SSL Le client demande la clef publique du serveur Le client demande la clef publique du serveur Le serveur retourne sa clef publique au client Le serveur retourne sa clef publique au clientLe client génère un trousseau clef publique/clef privée et envoie sa clef publique chiffrée avec la clef publique du serveur Le client génère un trousseau clef publique/clef privée et envoie sa clef publique chiffrée avec la clef publique du serveur Le serveur déchiffre la clef publique du client avec sa clef privée Le serveur déchiffre la clef publique du client avec sa clef privée Envoi de confirmation au client chiffrée avec sa clef publique Envoi de confirmation au client chiffrée avec sa clef publique Client (navigateur) Serveur Etablissement du dialogue, chacun utilisant la clef publique de l’autre Etablissement du dialogue, chacun utilisant la clef publique de l’autre 115 / 128
  127. 127. En savoir plus sur la cryptographie Web-doc de l’ANSSI : ssi.gouv.fr/particulier/bonnes-pratiques/crypto-le-webdoc/ 116 / 128
  128. 128. Divers 117 / 128
  129. 129. Contraintes spécifiques dans certains secteurs ▷ Opérateurs d’Importance Vitale (OIV) désignés par la loi de programmation militaire • ≈ 250 opérateurs désignés (la liste est secret défense) • des règles de sécurité (organisationnelles & techniques) s’appliquant aux systèmes d’information d’importance vitale (SIIV) • des modalités d’identification des SIIV et de notification des incidents de sécurité affectant ces SIIV • obligation de recourir à des produits et à des prestataires de détection qualifiés ▷ Les entreprises traitant cartes de paiement : norme Payment Card Industry Data Security Standard ▷ Loi informatique et liberté : obligation d’effectuer un Privacy Impact Assessment • règlement européen sur la protection des données, norme ISO 29134 ▷ Données de santé : exigences du code de la santé publique 118 / 128
  130. 130. Risques liés à l’informatique 119 / 128
  131. 131. Contrôle ▷ L’informatisation et les outils développés pour la sécurité informatique permettent aux puissants (états, firmes) de contrôler beaucoup d’aspects de la vie des citoyens • espionnage massif des communications et des intérêts des individus (états, annonceurs) • réduction des droits de propriété (livres électroniques vs. livres physiques, copies de sauvegarde de dvd…) • contrôle de l’accès à l’information (“fake news”) • flicage/espionnage au travail ▷ La psychologie sociale nous avertit que l’abus d’autorité est quasi-inévitable • conformité sociale (Asch) • suivre des consignes immorales (Milgram) • dynamique déviante de groupe (Stanford prisoner experiment) ▷ Comment concevoir des gardes-fous pour prévenir les abus ? 120 / 128
  132. 132. 121 / 128
  133. 133. Performances physiques des robots Vidéo en ligne : youtu.be/rVlhMGQgDkY 122 / 128
  134. 134. Performances physiques des robots Vidéo en ligne : youtu.be/-7xvqQeoA8c 123 / 128
  135. 135. Suppression des emplois peu qualifiés 124 / 128
  136. 136. Suppression des emplois peu qualifiés Source : rapport Automatisation, numérisation et emploi du Conseil d’orientation pour l’emploi, 2017 125 / 128
  137. 137. Crédits images ▷ Station de traitement eaux usées (transparent 4) : flic.kr/p/9Ej4L4, licence CC BY-NC ▷ Centrifugeuses gaz (transparent 5) : US NRC via flic.kr/p/ok6hyh, licence CC BY ▷ Chaîne (transparent 8) : flic.kr/p/aUK8Zn, licence CC BY ▷ Zèbres (transparent 26) : Diana Robinson via flic.kr/p/qTfXn7, licence CC BY-NC-ND 126 / 128
  138. 138. Pour aller plus loin ▷ Guide de bonnes pratiques de l’informatique rédigée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la CGPME, ssi.gouv.fr/guide/guide-des-bonnes-pratiques-de- linformatique/ ▷ La politique de sécurité des systèmes d’information de l’État, ssi.gouv.fr/uploads/IMG/pdf/pssie_anssi.pdf ▷ Article Sécurité informatique pour la gestion des risques - Application aux systèmes d’information, Techniques de l’Ingénieur ▷ Compléments sur le chiffrement : hsc.fr/ressources/cours/pki/ 127 / 128
  139. 139. This presentation is distributed under the terms of the Creative Commons Attribution – Share Alike licence D’autres présentations d’Eric Marsden sur la sécurité : www.slideshare.net/EricMarsden1/ En savoir plus sur la FonCSI : foncsi.org 128 / 128

×