S curit Informatique
Chapitre 1 : Notions de base
1. Introduction g n rale :
Les exigences de la s curit de linformation au sein des organisations ont conduit
deux changements majeurs au cours des derni res d cennies.
Avant lusage g n ralis d quipements informatiques, la s curit de linformation tait
assur e par des moyens physiques (classeurs ferm s par un cadenas).
Avec lintroduction de lordinateur, le besoin doutils automatis s pour prot ger des
fichiers et autres informations stock es est devenu vident. Ce besoin est accentu pour
un syst me accessible via un t l phone public ou un r seau de donn es. On donne cette
collection doutils con us pour prot ger des donn es et contrecarrer les pirates le nom de
s curit informatique.
Le second changement majeur qui affecte la s curit est lintroduction de syst mes
distribu s et lutilisation de r seaux et dispositifs de communication pour transporter des
donn es entre un terminal utilisateur et un ordinateur, et entre ordinateurs. Les mesures de
s curit des r seaux sont n cessaires pour prot ger les donn es durant leur transmission.
On parle alors de s curit des r seaux.
2. D finitions de base :
2.1. La s curit :
La s curit informatique c'est l'ensemble des moyens mis en Suvre pour minimiser la
vuln rabilit d'un syst me contre des menaces accidentelles ou intentionnelles.
Attention !!!
a) Suret = " Safety"
Protection de syst mes informatiques contre les accidents dus l'environnement, les d fauts
du syst me, etc...
b) S curit = "Security"
Protection des syst mes informatiques contre des actions malveillantes intentionnelles.
2.2. La vuln rabilit
Une vuln rabilit (en anglais vulnerability , appel e parfois faille ou br che) est un point
o un syst me est sensible une attaque malveillante. Il sagit dune faiblesse de s curit de
nature logique ou physique pouvant tre exploit e pour causer des pertes ou des dommages.
Une vuln rabilit peut d couler, par exemple, dune erreur dimpl mentation ou une mauvaise
conception du syst me, erreur susceptible d tre exploit e, pour nuire au syst me (p n tration,
refus de service, etc.).
Elle peut galement provenir dune mauvaise configuration. Elle peut enfin avoir pour origine
une insuffisance de moyens de protection des biens critiques, comme lutilisation de flux non
chiffr s, labsence de protection par filtrage de paquets, etc.
2.3. Menace :
L'ensemble des actions qui peuvent exploiter les vuln rabilit s dun syst me (ses faiblesses)
Advertisement
pour lancer des attaques sur ce syst me.
Le danger peut tre une personne (un pirate du syst me ou un espion), un objet (une pi ce
d fectueuse de l' quipement)
Les menaces passives
Lintrus est limit l' coute et l'analyse du trafic chang sans modification des
donn es transmis ou alt ration du fonctionnement du syst me. Lintention de lintrus
peut tre la connaissance des informations confidentielles des utilisateurs ou bien la
connaissance des informations relatives au r seau ou aux syst mes pour se pr parer
une attaque active. Ce type de menace est difficile d tecter puisque lintrus
napporte aucune modification sur les informations chang es.
Les menaces actives
Lintrus tente de supprimer ou modifier les messages transmis sur le r seau. Il peut
aussi injecter son propre trafic ou rejouer danciens messages pour perturber le
fonctionnement du r seau ou provoquer un d ni de service.
2.4. Contre-mesure (Mesure de s curit ) :
L'ensemble des actions mises en Suvre en pr vention de la menace.
Les contre-mesures mettre en Suvre ne sont pas uniquement des solutions
techniques mais galement des mesures de formation et de sensibilisation l'intention
des utilisateurs, ainsi qu'un ensemble de r gles clairement d finies.
3. Concepts de base (objectifs de la s curit informatique) :
La s curit de linformation sarticule autour de quelques concepts fondamentaux,
savoir la confidentialit , lint grit , la disponibilit , lauthenticit , lautorisation et la
tra abilit .
Les trois premiers, souvent r f renc s via lacronyme anglais CIA (Confidentiality,
Integrity, Availability), forment les buts fondamentaux vis s par la s curit de
linformation.
3.1. Confidentialit :
C'est la propri t qui assure que seuls les utilisateurs autoris s, dans des
conditions pr d finies, ont acc s aux
informations. Cest- -dire garder
les
informations secr tes sauf pour les personnes auxquels elles sont destin es.
Lun des moyens pour garantir la confidentialit des donn es est le chiffrement des
donn es (la cryptographie) et le contr le dacc s (Autorisation).
3.2.
Int grit
Une information est dite int gre (honn te) si lon est capable de prouver avec quasi
certitude quelle na pas t modifi e ou corrompue, soit accidentellement, soit de
mani re malveillante.
Advertisement
Lun des moyens pour assurer lint grit est lutilisation des empreintes digitales
(cryptographie).
3.3. Disponibilit
Un syst me dinformation assure de la disponibilit sil est capable de garantir un
fonctionnement correct durant les p riodes pr vues dutilisation. Cela implique
notamment de la r silience aux pannes ainsi que la capacit absorber efficacement
des pics de charge.
3.4. Authenticit
Une information est dite authentique si lon est capable den identifier lorigine
dune mani re quasi certitude.
L'authentification d signe le processus visant confirmer qu'un commettant est
bien celui qu'il pr tend tre. Il existe quatre facteurs d'authentification qui peuvent tre
utilis s pour confirmer l'identit d'un commettant :
utiliser une information que seul le commettant conna t : mot de passe.
utiliser une information unique que seul le commettant poss de : lempreinte.
utiliser une information que seul le commettant peut produire: CryptoCard
(authentification renforc es)
3.5. Autorisation
Un m canisme dautorisation est responsable de sp cifier et de v rifier les droits
dacc s a une ressource quelconque dans un syst me dinformation
3.6. Tra abilit
Un m canisme de tra abilit est responsable de sassurer que lhistorique des
actions en relation avec une information donn e (cr ation, lecture, modification, etc.)
puisse tre reli de mani re univoque avec une entit pr alablement identifi e.
4. Principes fondamentaux :
En ayant ces principes en t te lors de la conception, de limpl mentation ou la
configuration dun syst me informatique, dun r seau ou dune application logicielle,
on pourra viter de nombreuses vuln rabilit s.
4.1. Moindre privil ge ( faire) :
Lorsquun syst me dinformation permet de segmenter les privil ges allou s ses
utilisateurs, un principe de base consiste ne donner que les permissions minimales
n cessaires pour effectuer une tache donn e. Cela vite quun adversaire capable de
d tourner le fonctionnement de ce syst me puisse abuser de permission non
n cessaire.
4.2. D fense en profondeur :
Un m canisme de s curit , comme tout autre syst me dinformation, peut tre mal
con u ou mal configur , et ainsi ne pas tre capable de remplir sa tache de mani re
attendue. Le principe de d fense en profondeur pr ne le fait de ne pas faire reposer la
s curit dun syst me sur un seul m canisme de protection. Lapplication de ce
Advertisement
principe vise ainsi viter quun syst me de protection devienne un point individuel
de d faillance.
4.3. Participation des utilisateurs et la simplicit :
Tout syst me dinformation sera in fine en contact avec des utilisateurs. Souvent,
les m canismes de s curit mis en place vont lencontre de la productivit de ces
utilisateurs et si ces m canismes sont trop lourds pour ces derniers, des strat gies pour
les contourner seront rapidement mises en place.
4.4. Goulet d tranglement :
Le mot goulet, qui fait r f rence lentr e troite dun port, exprime parfaitement
lid e sous-jacente a ce principe : il est n cessaire de concentrer les flux dinformation
entrant et sortant dun syst me complexe en quelques points faisant office de goulets
d tranglement pour tre capable de les prot ger ou de les analyser.
4.5.
Interdiction par d faut :
Lapplication de ce principe, plus largement connu sous le terme du principe de la
liste blanche : exige que toute activit soit interdite par d faut dans un premier temps,
puis que dans un second temps lon permette les activit s tol r es.
4.6. Maillon faible :
Tout syst me de traitement de linformation un peu complexe comporte de
nombreuses parties interagissant entre elles, que ce soit un r seau de communication,
un syst me dexploitation ou une application logicielle.
Ces parties poss dent souvent des niveaux de s curit diff rents. Le principe du
maillon faible stipule quun adversaire visera attaquer donc en priorit au maillon le
plus faible afin de compromettre un syst me complexe.
4.7. Plantage s curis :
Fr quemment, un syst me informatique se trouve dans des conditions ne lui
permettant plus de mener sa t che a bien, parce quil ne dispose plus de m moire,
despace disque, ou parce quun syst me tiers dont il a besoin est temporairement
indisponible.
Dans ce cas, il est n cessaire que le traitement de ces cas dexception ninduise pas de
vuln rabilit .
4.8. S curit par lobscurit :
Une erreur souvent commise est de faire reposer la s curit dun syst me sur la
difficult suppos e den effectuer la retro-conception.
Un exemple typique violant ce principe est le codage en dur dun mot de passe
dans un logiciel. Le d veloppeur imagine que comme le mot de passe nest pas visible
de mani re explicite, il ne tombera pas dans les mains dun adversaire.
5. La gestion de la s curit de linformation
Il est bon de se rappeler que la s curit informatique ne se r sume pas trouver des
Advertisement
solutions techniques des probl mes. Pour pouvoir garantir la confidentialit , lint grit ,
et la disponibilit de linformation, il faut d velopper des strat ges. Celles-ci peuvent
inclure des aspects non techniques comme lattribution de responsabilit , la formation,
etc.
5.1. normes de s curit :
Une norme de s curit forme lensemble complet avec peu de technique : juste
le quoi ? qui d crit tous les aspects de la gestion de la s curit de linformation.
Elle permet aussi de faire certifier une soci t afin de d montrer quelle g re dune
mani re efficace la s curit de linformation.
ISO 27002 :
La norme ISO 27002 d crit dune mani re d taill e des directions suivre pour la
gestion de la s curit de linformation. Cest un document de r f rence pour la
cr ation dune politique de s curit .
Les points essentiels d crits dans ce document sont :
lorganisation de la s curit de linformation
la s curit des ressources humaines
la gestion des actifs
contr le dacc s
cryptographie
s curit physique et environnementale
s curit li e a lexploitation
s curit de communications
d veloppement et maintenance des syst mes dinformation
relation avec les fournisseurs
etc...
5.2. politique de s curit :
Une politique de s curit d crit lensemble des r gles qui sont appliqu es (selon le
besoin : on choisi un sous ensemble de la norme ISO 27002), pour atteindre le niveau
de s curit souhait sans dire comment le faire.
5.3. Limpl mentation dun syst me de gestion de s curit :
Ils d crivent comment les politiques sont mises en Suvre. Pour cela on peut utiliser un
catalogue de s curit . On appel le r sultat de cette impl mentation : un standard.