Sécurité 2. Université Kasdi Merbah Ouargla. Département d Informatique et des Technologies de l Information

Transcription

1 Sécurité 2 Université Kasdi Merbah Ouargla Département d Informatique et des Technologies de l Information Introduction : Sécurité des Systèmes d Informations 2 ème Année Master RCS Septembre 2014 Master RCS Sécurité informatique 1

2 Plan du cours 1. Définitions et principes généraux 2. Exemples de menaces de quelques SI 3. Critères généraux de la sécurité des SI a) Sureté de fonctionnement d un SI b) Les critères de sécurité : Confidentialité, Intégrité et Disponibilité Remarque : slides basés sur les cours de sécurité d Anas ABOU EL KALAM 2 Master RCS Sécurité informatique 2

3 Un Système d Information (SI) c'est quoi? Tout moyen dont : le fonctionnement fait appel à l électricité destiné à élaborer, traiter, stocker, acheminer, présenter ou détruire de l information Master informatique industrielle Sécurité informatique 3

4 Par extension.. un SI est un ensemble constitué de : Données (paramètres de contrôle, données utiles) Programmes (applications informatiques, logiciels) Ordinateurs (Serveurs, postes de travail, réseau) Procédures (développement, exploitation, maintenance) Personnes (utilisateurs, développeurs) Environnement physique Exemple : Ordinateur, Réseau d entreprise, Système de gestion de données Master RCS Sécurité informatique 4

5 Les systèmes d'information sont devenus le centre nerveux des nations modernes Master RCS Sécurité informatique 5

6 EVOLUTION DES SYSTEMES D INFORMATION Les SI aujourd'hui : changent dynamiquement intégration constante de nouveaux outils mises à jour, réorganisations,... se complexifient (hétérogénéité des systèmes), s interconnectent (en interne, mais aussi vers l extérieur) Les technologies évoluent (programmation orientée objet, agents intelligents ) comme les menaces!! Master RCS Sécurité informatique 6

7 Un système d'information est vulnérable à l'écoute passive Master RCS Sécurité informatique 7

8 . A l'intrusion Master RCS Sécurité informatique 8

9 . A la prise de contrôle Master RCS Sécurité informatique 9

10 Définitions : Menace Violation potentielle d une propriété de sécurité ou action susceptible de nuire Vulnérabilité faiblesse / faille : faute accidentelle ou intentionnelle introduite dans spécification, conception ou configuration du système Risque Couple (menace, vulnérabilité) Master RCS Sécurité informatique 10

11 Définitions : Attaque Action malveillante qui tente d exploiter une faiblesse dans le système et de violer un ou plusieurs besoins de sécurité Deux types d attaques: actives (DOS: dénis de service) et passives (écoute) Intrusion faute opérationnelle, externe, intentionnellement nuisible, résultant de l exploitation d une vulnérabilité dans le système On utilise des maliciels (virus, vers, chevaux de Troie), balayage de ports (scan), élévation de privilèges, débordements de tampon (Overflow) Master RCS Sécurité informatique 11

12 Définitions : Bombe Logique partie de programme qui reste dormante dans le système hôte jusqu à ce qu un instant ou un événement survienne, ou que certaines conditions soient réunies, pour déclencher des effets dévastateurs Cheval de Troie (Trojan) programme effectuant une fonction illicite tout en donnant l apparence d effectuer une fonction légitime ; la fonction illicite peut être de divulguer ou d altérer des informations, ou peut être une bombe logique Master RCS Sécurité informatique 12

13 Définitions : porte dérobée /backdoors moyen de contourner les mécanismes de sécurité ; il s agit d une faille du système de sécurité due à une faute de conception accidentelle ou intentionnelle (cheval de Troie en particulier) Ces passages secrets sont ménagés par les concepteurs de logiciels pour fournir des accès privilégiés pour les tests ou la maintenance. Mais les pirates qui les découvrent peuvent déjouer tous les mécanismes de sécurité et rentrer dans le système. Master RCS Sécurité informatique 13

14 Définitions : virus segment de programme qui, lorsqu il s exécute, se reproduit en s adjoignant à un autre programme (du système ou d application), et qui devient ainsi un cheval de Troie ; Propriétés : infection, multiplication, fct nocive Ver (worm) programme autonome qui se reproduit et se propage à l insu des utilisateurs Autonome sur DD Ver Arrive souvent par pièce jointe à un mail Virus Parasites dissimulé dans fichiers ou dans code exécutable contenu dans secteur démarrage disque Souvent par port réseau ne se multiplie pas localement se multiplie localement Master RCS Sécurité informatique 14

15 Définitions : Spyware contraction de spy et software. Logiciel espion qui collecte des données personnelles avant de les envoyer à un tiers, e.g., Keylogger : transmettre les données saisies au clavier Spamming l'usage abusif d'un système de messagerie destiné à exposer délibérément (et de manière répétée) les utilisateurs à des contenus non pertinents et non sollicités Master RCS Sécurité informatique 15

16 Définitions : Sniffing (écoute passive) accéder aux données transmises sur canal de communication (e.g., câble de réseau) stockée sur un support vulnérable (e.g., disques externes). Menace: accès à des informations sensibles, e.g., mot de passe d un utilisateur tapé sur un terminal connecté à un ordinateur central, et qui transite en clair entre ce terminal et la machine. Master RCS Sécurité informatique 16

17 Définitions : Spoofing (usurpation d identité) se faire passer pour quelqu'un d'autre afin de faire une action malveillante (e.g., envoi virus, spam, ) Exemple : IP spoofing = utiliser l'adresse IP d'une machine, ou d'un équipement, afin d'en usurper l'identité. Fishing : site miroir "contrefait" semblables à des portails de renom attirer internaute réellement client du site plagié. Master RCS Sécurité informatique 17

18 Définitions : DoS / DDoS : déni de service attaque d'un serveur destinée à l'empêcher de remplir sa fonction. méthode classique : faire crouler le serveur sous une masse de requêtes généralement mal formées entraîner une réponse anormale et paralysante. L'attaque utilise très souvent une multitude de PC zombies travaillant de concert, infectés par des backdoors/chevaux de Troie et mobilisables à distance par un pirate. Il est aussi possible de bloquer à distance des routeurs en tirant parti de failles de leur software. Master RCS Sécurité informatique 18

19 Exemples de menaces 1. Fraude au distributeur (les cartes à puce) La fraude aux cartes peut s opérer au niveau technologique : fausse goulotte pour lire la piste magnétique, caméra pour enregistrer la composition du code Master RCS Sécurité informatique 19

20 Fraude au distributeur Master RCS Sécurité informatique 20

21 Yescard et payements frauduleux La yescard est une carte à puce programmable qui permettait de faire des transactions d achats sur quelques types d automates de paiement électronique. Quelques détails En dessous d un seuil de transaction d achat, l authentification de la carte et de son porteur sont fait en local. Seuls les automates (carburant, titre de transport, location vidéo, etc.) sont concernés Master RCS Sécurité informatique 21

22 2. Téléchargement illicites : les risques pour l entreprise Cadre légal La responsabilité pénale des employés est engagée en cas d utilisation illicite de moyens informatiques de l entreprise : droit d auteur et des marques pour téléchargement de logiciels pirates, documents audio ou films (mp3, DIVX, mpeg4,..), loi du code pénal pour les tentatives d intrusion et altération d un système La responsabilité civile des entreprises peut aussi être établie si les tribunaux considèrent que l employé en faute était «dans l exercice de ses fonctions» en s appuyant sur (la responsabilité du commettant du fait du préposé) Master RCS Sécurité informatique 22

23 3. Les virus Internet, le virus : Code Red 17 Juillet 2001: le virus CodeRed commence une diffusion ultra rapide via Internet ( systèmes infectés en moins de 9 heures). cible les serveurs IIS de windows utilise le protocole TCP/IP et le port 80. défigure les pages web hébergées en y apposant la signature «Hacked by Chinese» utilise un moteur de scan d adresses IP puis s autoinstalle sur les systèmes vulnérables identifiés entre le 1er et le 19 de chaque mois, le virus se propage, puis à partir du 20, il attaque (DoS) le site Web de la Maison Blanche Master RCS Sécurité informatique 23

24 3. Les virus Internet, les vers : NIMDA Ver se propageant à l'aide du courrier électronique, exploite également 4 autres modes de propagation : Web répertoires partagés failles de serveur Microsoft IIS échanges de fichiers Affecte particulièrement les utilisateurs de Microsoft Outlook sous Windows 95, 98, Millenium, NT4 et Master RCS Sécurité informatique 24

25 3. Les virus Internet, les vers : NIMDA présentes dans carnets d'adresses de Microsoft Outlook et Eudora, fichiers HTML présents sur le DD de la machine infectée. envoie à tous les destinataires un courrier dont corps est vide, sujet est aléatoire/long pièce jointe nommée Readme.exe ou Readme.eml se propager à travers répertoires partagés des réseaux Microsoft Windows en infectant les fichiers exe s'y trouvant consultation de pages Web sur serveurs infectés peut entraîner une infection lorsqu'un utilisateur consulte ces pages (ie5) Exploite certaines failles de sécurité de IIS Master RCS Sécurité informatique 25

26 3. Les virus Internet, les vers : NIMDA Symptômes postes infectés possèdent sur leur disque fichiers : README.EXE README.EML fichiers comportant l'extension.nws fichiers dont le nom est du type mep*.tmp, mep*.tmp.exe Eradiquer déconnecter la machine infectée du réseau utiliser un antivirus récent / kit de désinfection de Symantec patch pour Microsoft Internet Explorer 5.01 et 5.5. Master RCS Sécurité informatique 26

27 4. La menace stratégique : Echelon Un système espion : nom de code ECHELON Accord secret UK / USA (1948) entre 5 organisations Espionnage militaire, de sécurité, civil, économique Les moyens Six bases d'écoute des télécommunications Réseau de satellites espions Puissance informatique : tri et filtrage Master RCS Sécurité informatique 27

28 4. La menace stratégique : Echelon Un exemple : la NSA - La plus grande agence d'espionnage du monde - Créée en 52, plus de agents - Budget annuel ~ 3 G - Aide des armées et du National Reconnaissance Office - Concentration mathématiciens, linguistes, analystes Clients Maison Blanche, Département d état, CIA, FBI, Pentagone, Trésor, Département du Commerce Missions Ecouter, enregistrer, décoder, traduire, analyser les informations Casser les codes de chiffrement Elaborer des codes de chiffrement Master RCS Sécurité informatique 28

29 En résumé : le système d'information doit être protégé Le attaques peuvent être conduites à tous les niveaux du plus élevé (humain) au plus bas (matériel) Problèmes Mise en œuvre (environnement de sécurité déficient) Authentification de l'utilisateur (contournement ou connexion forcée) Logiciel (erreurs, failles programmes, vers, virus, chevaux de Troie) Réseau (écoute, mascarade, attaques de routeurs) Matériel (failles ou défaillance des matériel) Master RCS Sécurité informatique 29

30 Pistes pour l analyse de sécurité Sécurité informatique = sécurité de l'information Analyser la sécurité d'un système Enumérer ses vulnérabilités Déterminer les menaces Proposer des contre-mesures Master RCS Sécurité informatique 30

31 Critères généraux de la sécurité des SI LA SURETE DE FONCTIONNEMENT Master RCS Sécurité informatique 31

32 SdF : CONCEPTS DE BASE La sûreté de fonctionnement (dependability) d'un système informatique est la propriété qui permet à ses utilisateurs de placer une confiance justifiée dans le service qu'il leur délivre. Service = comportement du système tel qu'il est perçu par les utilisateurs. Utilisateur = un autre système avec lequel il interagit (humain ou physique) Master RCS Sécurité informatique 32

33 SdF : ATTRIBUTS Selon les points de vue (ou domaines) d'application, on s intéresse à la capacité du système à : A être prêt à délivrer le service disponibilité (availability) Assurer la continuité du service fiabilité (reliability) Pouvoir être réparé et évoluer maintenabilité (maintainability) Ne pas provoquer de catastrophe sécuritéinnocuité (safety) éviter les divulgations illicites confidentialité (confidentiality) éviter les altérations intégrité (integrity) Master RCS Sécurité informatique 33

34 SdF : ENTRAVES (1/6) Défaillance : le service délivré par le système dévie de l accomplissement de la fonction du système Erreur : partie incorrecte de l'état du système Faute : cause adjugée ou supposée d'une erreur Master RCS Sécurité informatique 34

35 Court-circuit : SdF : ENTRAVES (2/6) Exemple : faute physique dans un circuit intégré, la migration d une piste métallique provoque une modification de la fonction logique : défaillance du circuit c est une faute dormante qui, lorsqu on utilisera le circuit avec certaines valeurs, provoquera une erreur (valeur erronée) cette erreur peut se propager et provoquer de faux résultats : défaillance du système Master RCS Sécurité informatique 35

36 Bogue: SdF : ENTRAVES (3/6) Exemple : faute de conception la défaillance d'un programmeur (instruction erronée) est une faute dormante cette faute peut être activée par certaines valeurs des paramètres, provoquant des erreurs ces erreurs peuvent se propager et produire une défaillance du système : le service n'est pas conforme (en valeur ou en instant de délivrance). Master RCS Sécurité informatique 36

37 Bombe logique SdF : ENTRAVES (4/6) Exemple : faute de conception Un programmeur malveillant introduit une bombe logique : faute dormante cette faute peut être activée par certaines conditions spécifiques (ex: à une date donnée) provoquant des erreurs (ex: formatage disques) qui peuvent conduire à la défaillance du système Master RCS Sécurité informatique 37

38 SdF : ENTRAVES (5/6) Exemple : Intrusion Attaque = faute d interaction délibérée Intrusion = faute interne résultant d une attaque Master RCS Sécurité informatique 38

39 SdF : ENTRAVES (6/6) Autres exemples Maladresse des utilisateurs, des opérateurs, des agents de maintenance : fautes d interaction accidentelles Documentation erronée ou incomplète : faute de conception Formation insuffisante : faute de conception? Master RCS Sécurité informatique 39

40 MOYENS DE LA SdF Moyens de la SdF : méthodes, outils et solutions pour Fournir au système l'aptitude à délivrer un service conforme à l accomplissement de sa fonction valider le système, pour donner confiance dans cette aptitude Master RCS Sécurité informatique 40

41 MOYENS DE LA SdF : FOURNITURE Prévention des fautes : empêcher, par construction, l'occurrence ou l'introduction de fautes développer les SI de telle façon à éviter d introduire des fautes de conception ou de fabrication, et à empêcher que des fautes ne surviennent en phase opérationnelle Tolérance aux fautes : fournir, par redondance, un service conforme à l accomplissement de la fonction, en dépit des fautes Master RCS Sécurité informatique 41

42 MOYENS DE LA SdF : VALIDATION Elimination des fautes : réduire, par vérification, la présence (nombre, sévérité) de fautes : preuve, test e.g., test ciblant la vérification de propriétés de sécuritéinnocuité (en complément des techniques de preuve et de vérification de modèles) Prévision des fautes : estimer, par évaluation, la présence, la création et les conséquences des fautes e.g., évaluation analytique et évaluation expérimentale Master RCS Sécurité informatique 42

43 Master RCS Sécurité informatique 43

44 LA SECURITE Master RCS Sécurité informatique 44

45 SECURITE : DEFINITIONS sécurité-innocuité (safety) : concerne la prévention de catastrophes - sécurité satisfaisante aucune des défaillances éventuelles ne peut provoquer de dégâts importants - Ex : systèmes de transport ou de contrôle des centrales nucléaires security : concerne capacité syst informatique à résister à : des agressions externes physiques (incendie, inondation, bombes, etc.) ou des agressions logiques (erreurs de saisie, intrusions, piratages, etc.). Ex : lors d un audit de sécurité évaluation des risques liés à l informatique. Confidentialité + intégrité + disponibilité Master RCS Sécurité informatique 45

46 Sûreté de Fonctionnement & SECURITE : RECAPITULONS Master RCS Sécurité informatique 46

47 CONFIDENTIALITE propriété d une info de ne pas être révélée à des U non autorisés à la connaître empêcher les Users de lire une information confidentielle, et empêcher les Users autorisés à lire une info et de la divulguer à d autres Users Que faire? analyser tous les chemins qu une information peut prendre prendre en compte les connaissances qu un ou plusieurs utilisateurs peuvent déduire à partir des informations qu ils acquièrent. Contrôler les liens logiques qui peuvent relier les informations entre elles ou avec des informations publiques Attaques? Ecoutes passives, canaux cachés, Outil Ethereal : Captures de paquets PING, Captures de paquets FTP, Captures de paquets HTTP, Captures de paquets HTTPS Master RCS Sécurité informatique 47

48 CONFIDENTIALITE Master RCS Sécurité informatique 48

49 INTEGRITE propriété d une information de ne pas être altérée empêcher une modif indue de l information, càd modif par User non autorisés ou une modif incorrecte par des utilisateurs autorisés, et faire en sorte qu aucun User ne puisse empêcher la modif légitime de l info Que faire? avoir l assurance que toute modif est approuvée et que chaque programme se comporte de manière correcte s assurer qu aucune info ne peut être modifiée (intentionnellement ou accidentellement) par des intermédiaires, Fcts de hachage, contrôle d intégrité Attaques? Déguisement, rejeu Master RCS Sécurité informatique 49

50 INTEGRITE Master RCS Sécurité informatique 50

51 DISPONIBILITE propriété d une info d être accessible lorsqu un utilisateur autorisé en a besoin. fournir l accès à l information pour que les U autorisés puissent la lire/modifier faire en sorte qu aucun U ne puisse empêcher les U autorisés d accéder à l info Types de dispo accessibilité immédiate : accès en respectant les délais pérennité : dispo de données persistantes (durée de validité) Attaques? DoS? DDoS, Que faire? Sauvegardes, et organisation des sauvegardes droits d'accès, accès contrôlés protection des services sensibles par soft, firewalls Master RCS Sécurité informatique 51

52 CONFIDENTIALITE + INTEGRITE + DISPONIBILITE (Info + Méta_Information) Authenticité : intégrité du contenu (donnée), de l identité (méta-donnée) Anonymat : confidentialité de l identité (métadonnée) Traçabilité : intégrité et disponibilité de métadonnées Master RCS Sécurité informatique 52

53 Autres propriété : Non Répudiation (1) «Qualité d un système qui permet d'imputer de façon certaine une opération à un utilisateur à un moment donné» Impossibilité pour un correspondant de nier avoir reçu ou émis un message : signature numérique Les solutions s appuient sur le chiffre à clés publiques Master RCS Sécurité informatique 53

54 Non Répudiation (2) M: Message clair H(M): Message haché S KA : Clé secrète C: Message chiffré Les clés publiques doivent être authentifiés par une autorité de certification tierce partie dans une infrastructure PKI Public Key Infrastructure La signature numérique doit être basée sur un certificat X.509 dans une PKI Master RCS Sécurité informatique 54