RECHERCHE SUR LA SÉCURISATION D UN SITE INTERNET Proposition de recherche

Transcription

1 Mathieu BISSON Danny NADEAU OBERT Groupe : 0001 RECHERCHE SUR LA SÉCURISATION D UN SITE INTERNET Proposition de recherche Travail présenté à François-Nicolas DEMERS Nouvelles technologies SF Département de l informatique Cégep de Sainte-Foy Jeudi le 8 septembre 2016

2 Table des matières Sujet... 1 Enjeux... 2 Connaissances requises... 3 Objectifs... 3 Expérimentation... 4 Limites... 4 Incertitudes... 5 Ressources... 6 Planification... 7 Bibliographie... 8

3 Sujet Le cloud, le e-commerce, les banques en ligne nous sommes maintenant de plus de plus sur l Internet et la sécurité est dorénavant omniprésente dans toutes les sphères de notre vie. C est pourquoi nous désirons porter notre attention sur cet unique rempart qui protège nos données confidentielles sur Internet. Nous visons ainsi, comme but principal de notre recherche, découvrir comment faire un site internet sécuritaire. À cette fin, nous devons découvrir et comprendre les différents éléments impliqués dans le mécanisme déjà existant mis en place pour sécuriser un site internet. D ailleurs, nous rons à découvrir les attaques qui sont possibles de faire contre un site afin de trouver des moyens de se défendre envers celles-ci. Outre le côté sécurité, nous rons ssi à faire des recherches en parallèle concernant le fonctionnement d Angular 2 (un framework JavaScript développé par Google) et de Laravel (un framework PHP développé par Taylor Otwell). Concernant nos connaissances, bien que nous ayons une idée théorique de base du fonctionnement du HyperText Transfer Protocol Secure (HTTPS), nous n avons cune connaissance pratique concernant la mise en place d un site internet sécuritaire et des défenses possibles contre des attaques extérieures. Également, nous ignorons comment fonctionne les frameworks Angular 2 et Laravel. Par ailleurs, nous ne savons pas comment héberger soi-même un site pour qu ils soient accessibles de l extérieur de la machine. Cependant, en ce qui a trait x préalables pour la construction d un site internet, nous avons les connaissances nécessaires (HTML, PHP, CSS, etc.). 1

4 Enjeux Notre recherche nous permettra d apprendre plus en détail le fonctionnement de la sécurité tant du côté client que serveur lorsqu il est question d un site internet. Nous pourrons ainsi trouver des réponses à des questions telles que : Quels sont les risques si cune sécurité n est présente? Comment mettre en place le protocole HTTPS? Comment établir une session protégée? Comment envoyer un mot de passe de façon sécuritaire serveur? Quels sont les attaques possibles et comment s en défendre? Cette simple énumération de questions montre également l importance qu a cette recherche, puisque la sécurité est actuellement de plus en plus présente dans l univers numérique, que ce soit nive du commerce en ligne, les activités bancaires, les résex socix ou en entreprise ; c est cette sécurité qui permet de garder secret des informations confidentielles sur Internet lors de nos interactions avec ces différents sites. Cette recherche ra par la même occasion un impact important sur nos connaissances par rapport à la création d un site internet. En effet, en sachant comment le faire de façon sécuritaire, elle nous permettra de mieux définir les étapes sur lesquelles nous devons mettre l accent en premier lors de la création d un site dans des projets futurs. Elle permettra également à d tres développeurs de pouvoir s inspirer de nos recherches pour mieux s orienter lors de la sécurisation de leur plateforme Web. Sans compter que dans un futur proche, la société met de plus en plus d informations sur Internet afin de les centraliser et les rendre plus accessibles, l emphase sur la sécurité n ra alors jamais été à son plus ht. Nous pouvons penser, par exemple, à l arrivé de dossiers médicx en ligne pour faciliter le système de santé. Cette quantité d informations confidentielles nécessitera une sécurité hors norme. Cette évolution sans cesse de l univers cyber technologique et l omniprésence de la sécurité ne font qu accroître notre motivation pour ce projet. Notre soif de connaissance à propos de ce système est ainsi la source principale de notre motivation. 2

5 Connaissances requises Pour la conception de notre site, nous rons besoin d approfondir nos connaissances des éléments suivants : HTTPS SQL LESS (CSS) Puis, nous avons besoins d apprendre les technologies suivantes que nous n avons pas encore vue antérieurement: Angular 2 Laravel TypeScript SSL/TLS Techniques d attaques et de défenses d un site Web Objectifs Construire un site sécuritaire Construire un API Rest sécuritaire Trouver des techniques d attaque contre le site et l API Rest Trouver un moyen de se défendre contre ces attaques 3

6 Expérimentation Afin de mener notre recherche, nous rons à développer des outils d expérimentation dont un site internet et un API Rest. Le site internet permettra x utilisateurs d organiser des tournois de jeux vidéo. Les utilisateurs ront la possibilité de créer ou de rejoindre une équipe pour un jeu en particulier. Les équipes pourront alors se lancer des invitations pour faire des compétitions entre eux. En somme, le site permettra x équipes de s inscrire à des tournois qui prendraient place partout Québec. Pour ce faire, le site en soi comprendra une interface pour les utilisateurs et une interface pour l administration. La première comprendrait la vue pour les visiteurs et les membres. La deuxième serait une vue pour les administrateurs d une équipe et une tre pour les administrateurs du site. L API Rest, quant à lui, s occupera de gérer l thentification et de stocker les diverses informations concernant l utilisateur, les équipes et les tournois dans sa base de données. Ces deux produits nous permettra ainsi de découvrir la sécurité tour d un site internet et de sa base de données. Afin de déterminer si le site et l API est sécuritaire, nous procéderons surtout à des tests manuelles. Par exemple, nous regarderons manuellement les échanges entre le serveur et le client si elles sont encryptés à l aide un outil tel que Wireshark. Nous confirmerons ssi la sécurité de ceux-ci s ils sont capables résister x attaques préalablement établies. Si possible, nous utiliserons Protractor afin d tomatiser les attaques. Une étude comparative nive de la sécurité pourrait également être fait entre un API Rest Laravel et Symfony. Limites Notre projet se limitera à un maximum de 4 attaques différentes pour nous laisser le temps de les tester correctement et d implémenter les solutions de défenses dans le site. Pour ce qui est du site, nous allons d abord nous concentrer sur les fonctionnalités sans nous attarder à l aspect esthétique. Pour les fonctionnalités, nous allons prioriser celles qui sont les plus importantes du projet soit pour le site internet : une vue pour les visiteurs et pour les administrateurs du site; pour l API Rest : le mécanisme d thentification et la base de données. 4

7 Incertitudes Voici un aperçu des éléments qui nous sont inconnus à ce jour : Angular 2 avec TypeScript Certificat SSL API Rest Laravel Attaque et défense d un site Web Nous avons trouvé quelques liens qui pourront nous être utiles dans notre projet : Incertitudes Structure d un API Rest avec Laravel Sécuriser un site web Comment héberger une application Node.js avec Angular 2 Attaque et défense d un site Web Piste de solution 4-a-start-at-a-restful-api-updated--net orials/how-to-set-up-a-node-js-applicationfor-production-on-ubuntu Attack 5

8 Ressources Voici ci-dessus la configuration des machines qui sera utilisé pour le développement: Matériel : Ordinateur de Mathieu Nvidia Geforce GT 750M Intel i7-4500u 8 Go RAM Ordinateur de Félix Nvidia Geforce GT 740M intel i7-4500u 8 Go RAM Logiciel : Machine virtuelle Linux (Ubuntu 16.04) 1. Développement côté client Node.js Angular 2 & TypeScript Bower Grunt 2. Développement côté serveur Laravel PostgreSQL Pour le déploiement de l application, nous louerons un serveur privé virtuel d OVH. 6

9 Planification Périodes Temps prévu Description des tâches à réaliser Responsable 10/09/ /09/ H Recherche la cybersécurité (SSL/TLS, certificats) et les différentes techniques d attaques Mathieu B & 15/09/ /90/2016 5H Expérimentation d Angular 2 Mathieu B 15/09/ /09/2016 5H Expérimentation de Laravel 18/09/2016 2H Préparation et installation d un poste de travail adéquat Mathieu B & 19/09/ /10/ H Développement du site Web Mathieu B 19/09/ /09/ H Développement de l API Rest 16/10/ /10/2016 6H Expérimentations d attaques Mathieu B & 24/10/ /10/2016 6H Mise en place des défenses face x attaques Mathieu B & 1/11/2016 7/11/2016 6H Publication des résultats Mathieu B & 8/11/ /11/2016 6H Préparation de la présentation orale Mathieu B & 7

10 Bibliographie Angular.io. (2016). Angular 2. [online] Available at: [Accessed 8 Sep. 2016]. OpenClassrooms. (2016). Découvrez le cours "Découvrez le framework PHP Laravel (ancienne version)" [online] Available at: [Accessed 8 Sep. 2016]. wikihow. (2016). Comment pirater un site Web. [online] Available at: [Accessed 8 Sep. 2016]. Code.tutsplus.com. (2016). [online] Available at: 4-a-start-at-a-restful-api-updated--net [Accessed 8 Sep. 2016]. Legissa.ovh. (2016). Sécuriser et protéger son site web des attaques des pirates. [online] Available at: [Accessed 8 Sep. 2016]. Digitalocean.com. (2016). How To Set Up a Node.js Application for Production on Ubuntu DigitalOcean. [online] Available at: [Accessed 8 Sep. 2016]. Owasp.org. (2016). Category:Attack - OWASP. [online] Available at: [Accessed 8 Sep. 2016]. 8