Ecole Nationale des Sciences de lInformatique
Cours: S curit informatique
S curit des syst mes d'exploitation et
S curit des syst mes d'exploitation et
du logiciel
du logiciel
Pr par par: Laabidi Mounira
05/11/2014
II3-ING(ILSI, IM,IF)
LAABIDI Mounira
1
Plan du Chapitre
Chapitre 3: S curit des syst mes dexploitation et du logiciel
S curit des syst mes d'exploitation et du
logiciel
q Contr le dacc s
qS curit des syst mes
qAper u darchitectures mat rielles
qS curit du logiciel
05/11/2014
LAABIDI Mounira
2
Introduction
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Cette section a pour but de pr senter les m thodes et les
protocoles permettant de g rer lauthentification et les acc s
au syst me dinformation :
Le concept du Single Sign On
Les m thodes et mod les de contr le dacc s
Les protocoles RADIUS, TACACS, Kerberos
05/11/2014
LAABIDI Mounira
3
Authentification Unique SSO (Single Sign On)
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le Single Sign On est une facilit permettant un utilisateur
de ne sauthentifier quune seule fois pour acc der un
ensemble de ressources h t rog nes ; on distingue :
Le SSO Poste appliqu aux autorisations pour lacc s aux
serveurs applicatifs du Syst me dinformation
Le SSO Serveur appliqu aux applications Web type Intranet,
Services Internet,
Le Single Sign On permet lutilisateur de navoir quun seul
mot de passe pour lacc s un ensemble dapplications:
r duction du nombre de mots de passe m moriser par
lutilisateur, vitant les mots de passe trop simples ou crits sur un
papier
Pour ladministrateur, la centralisation de la base des mots de
passe garantie une administration simplifi e et homog ne de la
politique dauthentification
05/11/2014
LAABIDI Mounira
4
Inconv nients du SSO
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le b n fice apport par le SSO en terme de s curit est
grandement att nu par le fait quil permet de contourner
dune certaine mani re le processus dauthentification en
lautomatisant:
Comment garantir que cest bien lutilisateur qui se trouve devant
son poste si celui-ci na plus intervenir pour sauthentifier ?
Le SSO implique la mise en place de m canismes garantissant la
pr sence PHYSIQUE de lutilisateur devant son poste
" Carte puce dans un lecteur par exemple Lutilisateur devant
enlever la carte puce du lecteur chaque fois quil sabsente
Le SSO est souvent pr sent par les constructeurs comme un
moyen de pr parer larriv e des PKI .
05/11/2014
LAABIDI Mounira
5
Chapitre 3: S curit des syst mes dexploitation et du logiciel
SSO Serveur
q 3 alternatives darchitecture
SSO Reverse Proxy: Lacc s aux applications et lauthentification
primaire sont r alis s par un serveur de s curit install en mode
reverse proxy,
SSO proxy web: Lacc s aux applications et lauthentification primaire
sont r alis s par un serveur de s curit install en mode proxy web ou
associ un portail dentreprise,
SSO bas e sur des agents filtres: Un agent install sur chaque serveur
est intercal entre le poste client et le serveur de s curit dont il est le
client.
q Les 3 architectures peuvent tre associ es pour r pondre aux
contraintes impos es par lenvironnement technique et
applicatif.
05/11/2014
LAABIDI Mounira
6
Chapitre 3: S curit des syst mes dexploitation et du logiciel
SSO Serveur(2)
" Architecture SSO Reverse Proxy
PROCESSUS
ETAPE 1: Le client demande au
DNS l@ IP du serveur intranet , le
DNS lui communique l@ IP du
Reverse Proxy SSO.
ETAPE 2: Le client r alise une
authentification primaire aupr s
du reverse proxy SSO et demande
la connexion au serveur intranet,
interroge
le reverse proxy SSO
lannuaire pour valider les droits
de client et r cup rer le couple L/P
correspondant lIntranet,
ETAPE 3: Le reverse proxy SSO
tablit une connexion avec
le
serveur intranet en pr sentant le
couple L/P du client.
05/11/2014
LAABIDI Mounira
7
ANNUAIREClient webReverse Proxy web@YApplication RHPortailINTRANET@ XDNS@ INTRANET ?@ YETAPE 1ETAPE 2ETAPE 3
Chapitre 3: S curit des syst mes dexploitation et du logiciel
SSO Serveur (3)
" Architecture SSO Proxy Web
PROCESSUS
ETAPE 1: Le client web se
connecte au serveur proxy
web SSO.
ETAPE 2: Le client r alise
une authentification primaire
aupr s du proxy web SSO et
demande la connexion au
serveur intranet, le proxy
web SS0 interroge lannuaire
pour valider les droits de
client et r cup rer le couple
L/P
lIntranet,
correspondant
ETAPE 3: Le proxy web
SSO tablit une connexion
avec le serveur intranet en
pr sentant le coupe L/P du
client.
05/11/2014
LAABIDI Mounira
8
ANNUAIREClient web avec config url Proxy.ccinca.fr Proxy.ccinca.frApplication RHPortailINTRANET@ XETAPE 2ETAPE 3ETAPE 1
Chapitre 3: S curit des syst mes dexploitation et du logiciel
SSO Serveur (4)
" Architecture SSO Agents
PROCESSUS
ETAPE 1: Le client web se connecte au serveur
portail sur lequel est install lagent SSO et
fournit son couple L/P.
ETAPE 2: Lagent interroge le serveur SSO pour
valider le couple L/P. Ce dernier interroge
lannuaire et retourne la r ponse.
0
ETAPE 3: Le client cliqu sur lic ne intranet
dans le portail. Lagent transmet au serveur SSO
lidentit du client et du serveur cible
(intranet). Le serveur SSO interroge lannuaire
et envoi lagent du serveur intranet le couple
L/P secondaire. Ce dernier joue
lauthentification.
05/11/2014
LAABIDI Mounira
9
ANNUAIREOU SGBDClient webServeur SSOApplication RHPortailINTRANET@ X?ETAPE 3ETAPE 1OKHTTPCouple L/P portailETAPE 2JetonLDAP/SQLL/P Intranet
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Techniques de contr le dacc s
qDAC
q MAC
q RBAC
05/11/2014
LAABIDI Mounira
10
Contr le dacc s
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le contr le dacc s est le mod le de mise en place
dautorisations (ex : x a besoin de permissions pour
acc der cette ressource).
Il est n cessaire pour permettre:
Aux utilisateurs autoris s dacc der aux ressources dont ils ont
besoin.
Demp cher les autres utilisateurs (non autoris s) dacc der aux
ressources.
05/11/2014
LAABIDI Mounira
11
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Contr le dacc s
Le contr le dacc s recouvre :
Lidentification : lentit indique qui elle est (= son identit , ex : je
Publicité
suis Foulen).
Lauthentification : v rification / validation de lidentit dune
entit (ex : lutilisateur est bien Foulen).
Lautorisation : v rification / validation quune entit a la
permission dacc der une ressource (ex : Foulen a la permission
dacc der cette ressource).
05/11/2014
LAABIDI Mounira
12
De lauthentification lautorisation
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Avant daccorder des permissions ou des privil ges, il est
important de savoir qui ou quoi on compte les accorder.
Lauthentification pr c de donc lautorisation.
Lauthentification la plus courante est celle des utilisateurs (on
peut aussi authentifier un service, une machine)
Mod le de contr le dacc s
Reference Monitor :
" Proc dure de d cision filtrant les demandes dacc s
" Gardien contr lant si un sujet est autoris acc der un objet ou non
05/11/2014
LAABIDI Mounira
13
Chapitre 3: S curit des syst mes dexploitation et du logiciel
D finir des autorisations dacc s
ACL : Access Control List
D finies 3 niveaux :
Niveau syst me dexploitation : utilisateur acc s au SGF (fichier,
p riph rique, r pertoire),
Niveau r seau : quelles machines sont autoris es communiquer
entre elles ?quels types de flux sont autoris s ?(routeur avec filtrage,
Firewall)
Niveau application, logiciel serveur : utilisateur ou machine acc s
une ressource, un service
N cessit dauthentifier les utilisateurs et les machines
05/11/2014
LAABIDI Mounira
14
Autorisation
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Bas e sur des crit res dacc s:
R le
Groupe
Emplacement physique ou logique
Heure
Type de transaction
Par d faut, dans un syst me s curis , lacc s devrait tre
refus (si rien nautorise explicitement lacc s alors il doit
tre implicitement refus )
Ex : pare-feu
Principe du besoin de savoir
05/11/2014
LAABIDI Mounira
15
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Discretionary Access Control (DAC)
Le mod le de contr le dacc s couramment utilis sur les syst mes
dexploitation actuels est le Discretionary Access Control.
Le DAC d l gue laccord des permissions dacc s la discr tion des
propri taires des ressources du syst me.
En r sum , le contr le dacc s discr tionnaire
Permet de limiter lacc s dutilisateurs honn tes et d viter lalt ration
dinformation.
Nest pas adapt au contexte o linformation est tr s sensible.
05/11/2014
LAABIDI Mounira
16
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Discretionary Access Control (DAC)
" Exemple : contr le dacc s aux fichiers dans Unix
"
Contr le dacc s discr tionnaire
Suppose que lon puisse d finir un propri taire pour chaque ressource
Ne satisfait pas le principe du moindre privil ge : un utilisateur peut
transmettre plus de droits que n cessaire un autre utilisateur
05/11/2014
LAABIDI Mounira
17
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Discretionary Access Control (DAC)
" Contr le dacc s discr tionnaire
Un droit dacc s peut tre transmis sans que son propri taire soit inform : A
donne un droit en lecture B sur un de ses fichiers, B copie ce fichier, B tant
propri taire de la copie, transmet son droit de lecture C
A doit faire confiance B
" La confiance ne suffit pas :
A poss de un fichier sensible, B nest pas autoris le lire
B impl mente un cheval de Troie, et r ussit convaincre A de lutiliser
Si A ex cute le programme, le programme acquiert les droits de A le temps de
lex cution, et peut copier le fichier sensible dans un fichier auquel B a acc s
" En r sum , le contr le dacc s discr tionnaire
Permet de limiter lacc s dutilisateurs honn tes et d viter lalt ration
dinformation.
Nest pas adapt au contexte o linformation est tr s sensible.
05/11/2014
LAABIDI Mounira
18
Mandatory Access Control (MAC)
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Contr le dacc s obligatoire/par mandats
Objectif :
Contr ler la diffusion de linformation m me si les applications
ne sont pas de confiance.
Assurer le cloisonnement des informations.
Principes :
Bas sur le contenu, i.e. la sensibilit de linformation.
Un niveau de sensibilit (label) est attribu aux objets.
Un utilisateur doit obtenir un mandat (une autorisation)
pour acc der une information sensible.
Seule lorganisation a le pouvoir de donner des droits.
Dans la pratique :
Mod le le plus r pandu : multi-niveau s curis dans le domaine de la
d fense.
Mod le de Bell LaPadula.
05/11/2014
LAABIDI Mounira
19
Role Based Access Control (RBAC)
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Contr le non centr sur les notions de sujets/objets
Bas sur les r les (RBAC) : lacc s un objet est accept /refus non
pas en fonction du sujet mais de son r le (exemple sa fonction dans
lentreprise)(Peut tre impl ment avec des privil ges)
Sujets
R les Op rations
Contr l par lorigine : le sujet qui a cr lobjet (ou linformation
quil contient) peut contr ler la diss mination de linformation
Orient T ches (TBAC) : autorisation diff rents points durant la
compl tion dune t che ( workflow management )
05/11/2014
LAABIDI Mounira
20
Chapitre 3: S curit des syst mes dexploitation et du logiciel
EXERCICE
Classifier chacune des politiques de s curit suivantes selon
son type de contr le dacc s
1. Les m canismes de contr le dacc s des fichiers Unix,
2. Une politique dune organisation militaire dans laquelle
g n raux peuvent entrer dans une salle
les
seuls
particuli re,
3. Une politique dune universit dans laquelle il est stipul
que lacc s au registre dun tudiant par un professeur
(dans lequel un professeur de luniversit peut consulter
les notes de l tudiant) est permis si l tudiant en question
a donn une autorisation crite au professeur (le
professeur ne pouvant les diffuser un tiers).
05/11/2014
LAABIDI Mounira
21
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod les de contr le dacc s
qBell LaPadula
q HRU
qDomain and type
enforcement
qRBAC
05/11/2014
LAABIDI Mounira
22
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Contr le dacc s multi-niveaux
q Pour certaines politiques de s curit , il est n cessaire de
consid rer diff rents niveaux de s curit
q Niveaux de s curit
Niv: ensemble des niveaux : les objets sont classifi s en fonction de
leur sensibilit :
Exemples
Niv est compl tement ordonn , T>S>C>NC et R>Prop>Sens>Pub
05/11/2014
LAABIDI Mounira
23
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Cat gories de s curit
q Cat : ensemble des cat gories, permet de partitionner les
objets de mani re non hi rarchique
Principe du besoin den savoir ( need to know ) : linformation nest
transf r e quaux sujets qui en ont besoin
Exemples
Ensemble non ordonn
Les parties de Cat sont partiellement ordonn es par
05/11/2014
LAABIDI Mounira
24
24
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Labels de s curit
" Lensemble des labels de s curit : LS=Niv P(Cat)
Publicité
" Exemple de label : (T,{US,EUR})
" Relation dordre partielle induite : dom ( domine )
(niv1,ens_cat1) dom (niv2,ens_cat2)
ssi
niv1 e niv2 et ens_cat2 ens_cat1
" Exemple : (T,{US,EUR}) dom (S,{US})
(LS,dom) est un treillis (dom est une relation dordre partielle et il existe
une borne inf et une borne sup pour chaque couple (l1,l2) de LS)
" Exercice : construire le treillis pour Niv={C,S} et Cat={US,EUR}
05/11/2014
LAABIDI Mounira
25
25
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Treillis des labels de s curit
" Le treillis pour Niv={C,S} et Cat={US,EUR}
05/11/2014
LAABIDI Mounira
26
26
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod les de contr les dacc s
Un mod le de contr le dacc s est une repr sentation abstraite
partielle dune classe de politiques de s curit exprim e de
mani re plus ou moins formelle :
Formule pr cis ment les r gles de la politique
Explicite comment le syst me r alise, autorise ou interdit
Abstrait des d tails, se focalise sur une propri t sp cifique ou un
comportement donn
Int r ts :
Donne des fondements th oriques au contr le dacc s ou de
flux dinformation
Formalise des principes informels de s curit comme le principe
de la s paration des fonctions, la s paration des t ches &
Permet de prouver des propri t s sur une politique de s curit
(d tection de conflits, ...)
N cessaire dans le cadre dun processus d valuation de la
s curit (Crit res Communs, certification niveau EAL5)
05/11/2014
LAABIDI Mounira
27
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod les de contr les dacc s
Mod les pour la confidentialit : assurent la non-divulgation
dinformation
Mod le de Bell La Padula (BLP)
Application : mod lisation dOS
Mod les pour lint grit : assurent la non modification/
falsification de donn es:
Mod le de Biba
Application : s curisation de bases de donn es
Mod les sp cifiques un domaine:
Muraille de chine (Brewer & Nash)
Mod le de s curit commercial (plut t int grit , exemple Clark
& Wilson)
Mod les hybrides:
Contr le dacc s bas sur des r les (RBAC)
Mod les pour la disponibilit
05/11/2014
LAABIDI Mounira
28
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod le Bell-Lapadula
Historique:
BLP : mod le bas sur une machine tat con u au MITRE
Un des mod les de s curit les plus influents depuis 30 ans
Caract ristiques
Capture les aspects confidentialit du contr le dacc s
Mod le multi-niveaux : linformation ne peut circuler dun
niveau donn un niveau inf rieur
BLP et Matrice de contr le dacc s :
" BLP utilise une matrice de contr le dacc s pour d crire
les contr les dacc s discr tionnaires
05/11/2014
LAABIDI Mounira
29
Mod le Bell-Lapadula
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Date des ann es 70, mod le de s curit sur la confidentialit
des flux de donn es.
Pour syst me multi niveau (top secret, secret, confidentiel,
non classifi ) ; utilise des labels.
Objectif principal : emp cher que des infos secr tes puissent
tre acc d es de mani re non autoris e.
Mod le pour lequel il est prouv math matiquement quil
emp che les donn es dun niveau de s curit sup rieur de
fuir vers un niveau de s curit inf rieur.
05/11/2014
LAABIDI Mounira
30
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod le Bell-Lapadula
Principe :
Un sujet dun niveau donn ne peut pas lire des donn es dun
niveau sup rieur.
Un sujet dun niveau donn ne peut pas crire des donn es dans
un niveau inf rieur.
Un sujet qui a le droit d crire et de lire ne peut le faire qu son
niveau (rien au dessus, rien en dessous)
05/11/2014
LAABIDI Mounira
31
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod le Bell-Lapadula
BLP a jou un r le important dans la conception dOS
s curis s
Unix System V/MLS (AT&T, 1984), Purple Penelope (DERA,
1998).
Inconv nients:
Traite uniquement de confidentialit , pas dint grit
Ne prend pas en compte la gestion des droits dacc s (pas
de m canisme de modification des droits)
Nemp che pas les canaux cach s
" flux dinformation non contr l par un m canisme de
s curit
Ne prend pas en compte le partage de fichiers
05/11/2014
LAABIDI Mounira
32
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod le Bell-Lapadula
" El ments de base :
S ens. de sujets, O ens. dobjets
A ens. dattributs dacc s :
" Observation sans alt ration : read (r)
" Observation et alt ration : write (w)
" Alt ration sans observation : append (a)
" Ni observation, ni alt ration : execute (e)
" Beaucoup de modifs/ajouts selon les auteurs
05/11/2014
LAABIDI Mounira
33
33
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod le Bell-Lapadula
05/11/2014
LAABIDI Mounira
34
34
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod le Bell-Lapadula
05/11/2014
LAABIDI Mounira
35
35
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le mod le HRU
tabli par , le mod le HRU d crit les
politiques de contr le dacc s discr tionnaires traditionnelles.
Une matrice P repr sente lensemble des droits dacc s des
sujets vers les objets. De plus, les sujets peuvent cr er de
nouveaux sujets ou objets, et ajouter des droits.
HRU propose de mod liser la protection dans les syst mes
dexploitation comme suit :
lensemble des sujets S et lensemble des objets O sont tous deux
lensemble des entiers de 1 k.
R est lensemble des droits g n riques (tels que possession, lecture,
criture, ex cution).
05/11/2014
LAABIDI Mounira
36
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le mod le HRU
Le syst me dexploitation contient un ensemble fini C de
commandes 1, . . . , n, qui repr sente toutes les op rations fournies
par le syst me dexploitation (cr ation de fichier, modification des
droits...).
Du point de vue de la protection, les commandes de lensemble C
ont toutes la m me forme : elles prennent en param tre des sujets
et objets, et suivant la pr sence de certains droits dans la matrice P,
elles effectuent un ensemble dactions l mentaires sur le syst me.
Ces actions l mentaires sont : enter et delete pour lajout et la
suppression de droits, create subject et create object pour la
cr ation de nouveaux sujets et objets et enfin destroy subject et
destroy object pour la destruction de sujets et objets.
La configuration du syst me de protection est le triplet (S,O, P).
LAABIDI Mounira
05/11/2014
37
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le mod le HRU
" HRU : Harrison, Ruzzo, et Ullman
Prend en compte la cr ation/suppression de sujets ou dobjets et le
changement de droit
Droits : own, read, write
Format des requ tes ou commandes
M d signe la matrice de permission dacc s
05/11/2014
LAABIDI Mounira
Publicité
38
38
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le mod le BIBA
" Objectif : assurer lint grit
Interdire toute propagation dinformation dun objet situ
un certain niveau dint grit vers un objet de niveau
dint grit inf rieur
Interdire tout sujet situ un certain niveau dint grit
de modier un objet poss dant niveau dint grit
sup rieur
05/11/2014
LAABIDI Mounira
39
39
Le mod le de Biba
40
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod les de contr les dacc s
Le mod le Domain and Type Enforcement (DTE)
Cr e en1985, est assez diff rent des pr c dents, il ne
cherche pas garantir la s ret de la protection .
Il sagit dun m canisme g n rique partir duquel on peut
implanter diverses politiques de s curit dans un syst me
dexploitation.
Dans un SE, les politiques de s curit d finies via le
mod le DTE visent :
Restreindre les ressources accessibles par un programme,
notamment les programmes privil gi s (sex cutant sous le
compte root), suivant le principe de moindre privil ge.
Contr ler quels programmes ont acc s aux ressources
sensibles, et emp cher lacc s par tout autre programme.
05/11/2014
LAABIDI Mounira
41
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Mod les de contr les dacc s
Par exemple: DTE peut tre utilis pour contr ler un
programme tel que le serveur Web apache, afin de garantir par
exemple que m me sil sex cute sous le compte root, il na
acc s qu ses fichiers de configuration, ses librairies et aux
pages web.
Le mod le reprend les principes de sujet, dobjet et de
matrice dacc s. Toutefois, les lois dacc s nop rent pas sur les
sujets, mais les domaines, et de m me les objets sont
englob s dans des types. Ainsi chaque objet du syst me
poss de un type, et chaque processus sex cute dans un
domaine pr cis, dont d coulent des droits dacc s.
05/11/2014
LAABIDI Mounira
42
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Le mod le RBAC
Role-Based Access Control
Les permissions dacc s sont attribu es en fonction de r le
quoccupe un utilisateur dans une entreprise ou une organisation.
Cest ainsi quest con u le mod le RBAC (Role-Based Access Control)
ou contr le dacc s d termin par le r le.
Les utilisateurs ont un certain r le, qui caract rise leur activit .
Chaque r le est associ un ensemble de permissions, qui
repr sentent des possibilit s dacc s aux objets du syst me.
Enfin, lutilisateur exerce son activit dans le cadre de sessions,
durant lesquelles il peut activer un sous-ensemble des r les
auxquels il appartient
05/11/2014
LAABIDI Mounira
43
Exercice 1 : Contr le dacc s multi-niveaux
" On consid re un treillis de labels de confidentialit construit partir de 4 niveaux de
s curit Top Secret >Secret > Confidentiel > Non Confidentiel, et 3 cat gories de
s curit A, B et C.
Dans les exemples ci-dessous, sp cifiez quels sont les modes dacc s (observation,
alt ration) permis suivant le mod le de Bell-LaPadula (on suppose que le contr le
dacc s discr tionnaire ne refuse pas lacc s).
"
M. V ayant pour label (Top Secret,{A,C}) veut acc der un document ayant pour label
(Secret,{B,C}) ;
M. W ayant pour label (Confidentiel,{C}) veut acc der un document ayant pour label
(Confidentiel,{B,C}) ;
M. X ayant pour label (Secret,{C}) veut acc der un document ayant pour label (Secret,{C}) ;
Mme Y ayant pour label (Top Secret,{A,C}) veut acc der un document ayant pour label
(Confidentiel,{A}) ;
Mme Z ayant pour label (Non Confidentiel,) veut acc der un document ayant pour label
(Confidentiel,{B}).
44
Exercice 1 : Contr le dacc s multi-niveaux
M. V ayant pour label (Top Secret,{A,C}) veut acc der un document ayant pour label
(Secret,{B,C}) ;
Pas dacc s car Top Secret> Secret mais {B,C} {A,C}
M. W ayant pour label (Confidentiel,{C}) veut acc der un document ayant pour
label (Confidentiel,{B,C}) ;
Alt ration car {C} {C,D}
M. X ayant pour label (Secret,{C}) veut acc der un document ayant pour label
(Secret,{C}) ;
Alt ration et modification
Mme Y ayant pour label (Top Secret,{A,C}) veut acc der un document ayant pour
label (Confidentiel,{A}) ;
Observation car Top Secret> Secret et {A} {A,C}
Mme Z ayant pour label (Non Confidentiel,) veut acc der un document ayant pour
label (Confidentiel,{B}).
Alt ration
45
Exercice 2 : Syst me Unix Data
General B2
Le syst me Unix Data General B2 (DG/UX B2) fournit un mod le multi-niveaux. Ce
contr le utilise des labels de s curit correspondant des zones distinctes,
d taill es sur le sch ma 1.
La zone administrative region est d di e aux donn es tels que les logs, la
d finition des labels MAC. Les programmes syst mes sont situ s dans la zone
virus prevention region .
"
"
46
Exercice 2 : Syst me Unix Data
General B2
Vu quil sagit dun syst me UNIX s curis , quelle technique de contr le dacc s est
utilis e par ce syst me?
"
" Quel est le mod le de s curit utilis ?
"
Pourquoi la zone virus prevention region est-elle en-dessous de la zone user
region ?
Pourquoi la zone administrative region est-elle au-dessus de la zone user
region ?
"
47
Exercice 2 : Syst me Unix Data
General B2
Vu quil sagit dun syst me UNIX s curis , quelle technique de contr le dacc s est
utilis e par ce syst me?
"
MAC
" Quel est le mod le de s curit utilis ?
BEL-LAPADULA
"
Pourquoi la zone virus prevention region est-elle en-dessous de la zone user
region ?
La zone virus prevention region contient les programmes syst mes. Dapr s la
propri t de confinement de BLP aucun sujet de la zone user region (utilisateur) ne
peut donc les modifier. Dapr s la propri t simple de BLP un utilisateur peut les
ex cuter. Le nom de la zone virus prevention region provient du fait quun virus
n cessite lalt ration dun ex cutable. (no write down)
"
Pourquoi la zone administrative region est-elle au-dessus de la zone user
region ?
Dapr s la propri t simple de BLP, les utilisateurs ne peuvent lire les donn es de la
zone administrative region qui est r serv e des donn es auxquelles les utilisateurs
ne doivent pas avoir acc s (d finition des labels, logs). (no read up)
48
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Les protocoles / Utilisation
q RADIUS
q TACACS / TACACS+
q Kerberos
q 802.1x
05/11/2014
LAABIDI Mounira
49
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Radius
RADIUS (Remote Authentication Dial-In User Service)
Radius est un protocole qui permet un serveur dacc s (au sens large du
terme) de communiquer avec un serveur central pour authentifier les
utilisateurs et autoriser les acc s.
Mod le Client-serveur, standard de lIETF RFC 2138.
Toutes les transactions RADIUS sont authentifi es par l'utilisation d'un
secret qui n'est jamais transmis sur le r seau. De plus les communications
sont en partie chiffr es en utilisant une clef secr te d finie sur le serveur et
le client.
Le client RADIUS est souvent int gr dans les serveurs dacc s (NAS)
mettant les requ tes pour authentifier les utilisateurs qui tentent
dacc der au r seau.
La modularit du protocole permet son utilisation pour une grande vari t
dapplications et notamment les proxys applicatifs.
05/11/2014
LAABIDI Mounira
50
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Radius exemple
05/11/2014
LAABIDI Mounira
51
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Radius: principe
Publicité
1.Lutilisateur initie une connexion PPP avec le serveur dacc s
2.Le serveur dacc s demande lidentifiant et le mot de passe (PAP) ou envoi un
challenge (CHAP MD5)
3.Lutilisateur r pond
4.Le client RADIUS (le NAS) envoi lidentifiant et le mot de passe au serveur
RADIUS (authentification) en le chiffrant avec la clef quil partage avec le
serveur
5.Le serveur RADIUS r pond avec les messages Accept, Reject, or Challenge.
6.Le client RADIUS se configure en fonction du contenu des messages Accept ou
Reject (autorisation)
05/11/2014
LAABIDI Mounira
52
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Pourquoi utiliser RADIUS
AAA (Authorization Authentication Accounting)
Radius fournit en plus de lAuthentification, un moyen de g rer
les autorisations dacc s et la journalisation des changes
Protocole robuste et tr s r pandu
NAS, VPN, Authentification domaine, Proxy, &
Modularit permettant une adaptation la plupart des
contextes
Attributs configurables
05/11/2014
LAABIDI Mounira
53
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Exemple dutilisation RADIUS
Acc s nomades
NAS
Op rateur
Dial
El ve
Op rateur Tiers
Authentification avec cl partag e
( preshared key )
Serveur
Radius
Op rateur
Authentification avec cl partag e
Radius Op rateur ( preshared key )
R seau
priv
Commutateur
Serveur
Radius
05/11/2014
LAABIDI Mounira
54
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Exemple dutilisation RADIUS (2)
Wifi
Adresse IP
Options DHCP
WEP
Relais
DHCP
Portable
Borne Wifi
Commutateur
RADIUS
Authentification EAP
Authentification PEAP
DHCP
Serveur
W2000
Serveur
Radius
W2000
AD
Authentification
domaine AD
05/11/2014
Enr lement domaine ( filaire )
LAABIDI Mounira
55
TACACS
Chapitre 3: S curit des syst mes dexploitation et du logiciel
TACACS (Terminal Access Controller Access Control System)
TACACS est un ancien protocole du monde Unix qui permet un
serveur dacc s de faire suivre vers un serveur dauthentification
les authentifiants (login/mot de passe) dun utilisateur afin de
d terminer quelles autorisations peuvent lui tre attribu es
TACACS est un protocole plus ancien et beaucoup moins s r que
RADIUS et TACACS+
TACACS ainsi quune version plus r cente XTACACS (eXtended
TACACS Cisco 1990) sont deux protocoles normalis s par lIETF
RFC 1492
Cisco a d clar en 1997 la fin du support de ces protocoles ceux-
ci ayant t remplac s
TACACS et XTACACS ne sont plus utilis s de nous jours
05/11/2014
LAABIDI Mounira
56
TACACS+
Chapitre 3: S curit des syst mes dexploitation et du logiciel
En d pit de son nom TACACS+ nest pas une volution de
TACACS mais un nouveau protocole
TACACS+ est, au m me titre que RADIUS un protocole qui
permet un serveur dacc s de communiquer avec un serveur
central pour authentifier les utilisateurs et autoriser les acc s
Limpl mentation diff re cependant de celle de son
concurrent RADIUS sur certains points
AAA (Authorization Authentication Accounting)
TACACS+ fournit en plus de lAuthentification, un moyen de g rer les
autorisations dacc s et la journalisation des changes
TACACS+ a fait lobjet dun Draft de la part de Cisco mais na
pas t normalis et reste propri taire
05/11/2014
LAABIDI Mounira
57
Pourquoi utiliser TACACS+
Chapitre 3: S curit des syst mes dexploitation et du logiciel
En environnement Cisco celui-ci semble plus s r que RADIUS
Chiffrement de la totalit du message
Utilisation de TCP
TACACS+ soufre cependant de quelques vuln rabilit s (au
m me titre que RADIUS)
Rejet, la taille du mot de passe peut tre d termin e en fonction
de la taille du paquet, ...
Celles-ci ont normalement t corrig es, mais combien
danciennes version de lIOS continuent encore tre utilis es ?
TACACS+ reste tr s populaire sur les r seaux Cisco
05/11/2014
LAABIDI Mounira
58
RADIUS/TACACS+
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Radius
Radius
Utilise UDP
Utilise UDP
Publique, normalis ,
Publique, normalis ,
forte interop rabilit et
forte interop rabilit et
modularit
modularit
Plus l ger que TACACS+ (dans
Plus l ger que TACACS+ (dans
son concept)
son concept)
Regroupe dans un seul profil
Regroupe dans un seul profil
utilisateur authentification et
utilisateur authentification et
autorisation
autorisation
TACACS+
TACACS+
Utilise TCP
Utilise TCP
Chiffre la totalit des messages
Chiffre la totalit des messages
Propri taire Cisco
Propri taire Cisco
" On trouve cependant quelques
" On trouve cependant quelques
impl mentations sur dautres produits
impl mentations sur dautres produits
Supporte plus de protocoles que
Supporte plus de protocoles que
RADIUS
RADIUS
" AppleTalk Remote Access, Net BIOS
" AppleTalk Remote Access, Net BIOS
Frame, &
Frame, &
Dissocie les profils dauthentification
Dissocie les profils dauthentification
et dautorisation
et dautorisation
05/11/2014
LAABIDI Mounira
59
Kerberos
Chapitre 3: S curit des syst mes dexploitation et du logiciel
Kerberos a t con u au MIT (Massachusetts Institute of
Technology) dans les ann es 1980.
Kerberos est un protocole dauthentification r seau
Fournit lauthentification mutuelle gr ce des clefs partag es et
du chiffrement (DES ou 3DES) ou un tiers de confiance
Utilise un m canisme base de Tickets
Principe : tous les mots de passe et les droits dacc s sont stock s
sur un serveur s curis
Les constituants dune infrastructure utilisant Kerberos sont :
Les clients Kerberos
...