Web : Stockage de mot de passe LOG619 Automne 2011 Olivier Bilodeau

Dimension: px
Commencer à balayer dès la page:

Download "Web : Stockage de mot de passe LOG619 Automne 2011 Olivier Bilodeau"

Transcription

1 Web : Stockage de mot de passe LOG619 Automne 2011 Olivier Bilodeau 1

2 Plan Historique du Web Problème du stockage de mots de passe La menace Le craquage de mots de passes Évolution d'une solution et ses problèmes Conclusion 2

3 Historique du Web - mot de passes Rappel: 3 façon de faire de l'authentification Quelque chose que l'on { sait, a, est } { a, est } requièrent: Accès sur un canal autre pour échapper au mitm (téléphone) Accès à la personne physique (biométrie) Infrastructures à clés publiques (PKI) Accès a des jetons matériels (hardware tokens) Qui sont: Trop coûteux pour la compagnie Peu commode Trop coûteux pour le client Conséquence: L'authentification sur le Web est basée sur quelque chose que l'on sait. => mot de passes 3

4 Le problème "The storage of passwords in a recoverable format makes them subject to password reuse attacks by malicious users. If a system administrator can recover a password directly, or use a brute force search on the available information, the administrator can use the password on other accounts." -- CWE-257: Storing Passwords in a Recoverable Format Un attaquant peut attaquer une organisation à partir d'un mot de passe laissé par un utilisateur sur un autre site qui a été compromis et qui était vulnérable à CWE-257 Il est facile pour un employé administrateur mal intentionné d'utiliser l'accès de quelqu'un d'autre 4

5 Précision de la menace Passif vs actif Nous nous intéressons à un attaquant qui a obtenu accès au contenu de la base de données. Donc qui peut faire des attaques passives sans avoir a interagir avec la victime. Les attaques actives sur la session ou les mots de passe sont beaucoup plus complexe à réaliser car le site en question doit être rejoint ce qui fait qu'il peut décider de bloquer un compte ou un IP après plusieurs tentatives de connexion infructueuses. 5

6 Solution 0 - stocker en clair Compromettre la base de données équivaut à obtenir tous les mots de passe de tous les utilisateurs Usurper un utilisateur est trivial Inacceptable CWE-522: Insufficiently Protected Credentials 6

7 Solution 1 - hachage naïf Utiliser une fonction de hachage pour stocker le mot de passe Pourquoi pas chiffrer? Car ne résout pas la vulnérabilité de l'employé malicieux qui aura accès à la clé. if (md5($user_password) == $db_password) { return true; } else { return false; } 7

8 Solution 1 - Problèmes Mots de passes identiques faciles à identifier o md5('bozo') == md5('bozo') = e1c8d6347c0c24e5cbc60e508f3fc1b5 Vulnérable aux attaques par dictionnaire Vulnérable aux attaques par rainbow tables Le problème ici c'est que les mots de passe stockés dans votre base de données partagent le même domaine de possibilités que tous les mots de passe stockés avec le même algorithme de hachage à travers le monde. Donc vous êtes vulnérable au 'hash pre-computation'. CWE-759: Use of a One-Way Hash without a Salt 8

9 Craquage de mots de passe Attaque par dictionnaire (dictionary attacks) o Passer tous les mots d'une liste à travers le même algorithme de hachage afin d'obtenir la même valeur que dans la base de données o Listes génériques style dictionnaire o Listes spécialisés tirés de statistiques o On peut adapter les listes selon le contexte connu du mot de passe (taille min/max, chiffre obligatoire, etc.) o Limité par la vitesse d exécution de la fonction de hachage o Outils: john the ripper o Exemples de listes Attaque exhaustive (brute-force attack) o On tente itérativement toutes les valeurs de mots de passe crédibles o Plus complet mais beaucoup plus long o Outils: john, crunch 9

10 Craquage de mots de passe (suite) Rainbow tables o Calcul d'avance de plusieurs millions d'empreintes stockés de façon à éviter les redondances et rendre les recherches rapides o Compromis temps vs mémoire o Plusieurs sont disponibles sur Internet: o Des front end Web existent: o Temps à craquer dépend de la grosseur de la table et de la vitesse de cherche dans la table Performance (des attaques exhaustives ou par dictionnaire) o L'utilisation de cartes graphiques (GPU) pour craquer les mots de passe ont amélioré grandement les performances des attaques o "Recovery speed on ATI HD 5970 peaks at 5600M/s MD5 hashes and 2300M/s SHA1 hashes" "J'ai deux cartes ATI en crossfire, je fais environ 5 milliard d'empreintes par seconde pour du MD5." -- Anonyme en

11 Solution 2 - hachage + sel naïf L'ajout d'un sel (salt) consiste à concaténer une chaîne aléatoire au mot de passe avant de l'envoyer dans la fonction de hachage Le sel est stocké avec le mot de passe dans la base de données define('salt', '377fba9d324d42e92dd21a003ec414a9'); function computehash($plaintext) { return sha1(salt. $plaintext); } Résoud le problème des rainbow tables populaires Complexifie l'attaque dictionnaire et exhaustives 11

12 Solution 2 - Problèmes Permet toujours le pré-calcul de rainbow tables car le sel (salt) est global Permet d'attaquer la base de données en entier avec une attaque de dictionnaire ou exhaustive car le sel est global Mot de passes identiques vont toujours être évidents à l'oeil CWE-760: Use of a One-Way Hash with a Predictable Salt 12

13 Solution 3 - hachage + sel Ajouter le sel (salt) sur chaque mot de passe au lieu de globalement. On stocke le sel directement dans le champ password. Les attaquant doivent maintenant tenter de craquer chaque entrée de la table de mot de passe séparément define('salt_length', 9); function generatehash($plaintext, $salt = null) { if ($salt == null) { $salt = substr(md5(uniqid(rand(), true)), 0, SALT_LENGTH); } else { $salt = substr($salt, 0, SALT_LENGTH); } return $salt. sha1($salt. $plaintext); } C'est une très bonne solution! Améliorations possibles? 13

14 Solution 4 - key stretching Problème: Les fonctions de hachage ont été conçues pour être performantes pourtant la vitesse est votre ennemi ici car rapide veut dire qu'un attaquant peut rapidement faire son attaque exhaustive Solution o En plus du sel par mot de passe, o On fait 1000 itérations de l'empreinte dans une boucle o ou encore, on concatène 1000 fois le mot de passe et le sel avant de faire l'empreinte Ici on ralentit l'attaquant de 1000 fois mais on ne peut se permettre se genre de ressources pour authentifier un usager Presque parfait, que manque-t-il? 14

15 Solution 5 - planifier pour l'avenir Problème: Toutes les solutions stockent l'empreinte dans un format inflexible qui ne permet pas de changer la technique d'empreinte dans l'avenir Solution o Se faire un petit standard interne pour contenir un id de version de votre technique qui décrit le format utilisé o Laisser assez de place dans la colonne pour pouvoir grossir l'empreinte o ex: $1$salt$hash$ 1 = md5 avec 100 itérations et un salt de 64 bit o Planifier la migration du format de mot de passe lorsqu'un utilisateur s'authentifie si id = 1 et default id = 2 on le passe a version 2 15

16 Les extras PBKDF2 (RFC2898) o meilleure pratique couvrant exactement la solution établie dans ses diapositives o la technique de WPA2 valider un mot de passe d'un nouvel utilisateur contre des dictionnaires populaires comptes 'canary' avec des login / pass / s obscurs o Vous informe si vous êtes compromis. Séparer sur des serveurs différents l'authentification des comptes et le reste de l'application o pour que l'interface soit très limitée et prévienne toute injection ou XSS possible 16

17 Le futur Hachage adaptatif (Adaptive hashing) o L'avantage principal c'est qu'on peut le rendre paramétrable. À mesure que les ordinateurs sont plus rapides, la technique de hachage reste difficile à compromettre. o ex: bcrypt scrypt o Nouveau type de problèmes "memory-hard" donc non seulement difficile sur le CPU mais aussi sur la mémoire vive de façon à ce que ce soit difficile d'implémenter une machine matérielle concentrée sur le crackage de mot de passe (FPGA). 17

18 Conclusion La réutilisation de mots de passe est un fait confirmé. Afin de défendre ses utilisateurs, il faut appliquer une méthode de hachage appropriée L'idéal c'est de ne pas inventer son propre stockage de mot de passe o Par ex: les gens réputés de Openwall on fait phpass qui est une implémentation des meilleurs pratiques (basé sur bcrypt) en PHP sous licence domaine publique: Si vous faites "j'ai oublié mon mot de passe" et que vous recevez votre mot de passe en clair, pensez-y bien! 18

19 Réfé rences Password Reuse Is All Too Common, Research Shows, 03/password_reuse_is_all_too_common_research_shows.ht ml CWE-257: Storing Passwords in a Recoverable Format, Password lists, Rainbow Tables, Free Rainbow Tables, IGHASHGPU, attaques exhaustives par GPU, 19

20 Réfé rences CWE-522: Insufficiently Protected Credentials, CWE-759: Use of a One-Way Hash without a Salt, CWE-760: Use of a One-Way Hash with a Predictable Salt, CAPEC-49: Password Brute Forcing, The Importance of Being Canonical, Robert David Graham, Enough With The Rainbow Tables: What You Need To Know About Secure Password Schemes, Thomas Ptacek, PHP Security Consortium: Password Hashing, Portable PHP password hashing framework, Openwall, Passwords lists and dictionaries, Stronger Key Derivation via Sequential Memory-Hard Functions, Colin Percival, 20

HEYROOT.ME. Cracker des hashes. Version Date Révision Auteur 1.0 22/02/2015 Initiation du document Shura

HEYROOT.ME. Cracker des hashes. Version Date Révision Auteur 1.0 22/02/2015 Initiation du document Shura Cracker des hashes Version Date Révision Auteur 1.0 22/02/2015 Initiation du document Shura Description Vous avez récupéré un hash de mots de passe (MD4, MD5, SHA-1, SHA-256,...) d'un système cible. Nous

Plus en détail

PHP et MySQL : notions de sécurité

PHP et MySQL : notions de sécurité PHP et MySQL : notions de sécurité Jean-Baptiste.Vioix@u-bourgogne.fr Dans ces quelques lignes des notions de sécurité élémentaires vont être présentées. Elles sont insuffisantes pour toute application

Plus en détail

Cours Cryptographie. Jeudi 22 février 2012 M1 ISIC. Authentification. Gabriel Risterucci

Cours Cryptographie. Jeudi 22 février 2012 M1 ISIC. Authentification. Gabriel Risterucci Cours Cryptographie Jeudi 22 février 2012 M1 ISIC Authentification Gabriel Risterucci Cours Cryptographie - Authentification - Principes généraux Moyens d'authentification Authentification différée Système

Plus en détail

Sécurisation des applications web : retour d'expérience des développeurs de Sympa

Sécurisation des applications web : retour d'expérience des développeurs de Sympa Sécurisation des applications web : retour d'expérience des développeurs de Sympa David Verdin - TutoJ RES 12 : Sécurité des sites web - 4 février 2010 8 février 2010 1 En guise d'intro Le point de vue

Plus en détail

OWASP Open Web Application Security Project. Jean-Marc Robert Génie logiciel et des TI

OWASP Open Web Application Security Project. Jean-Marc Robert Génie logiciel et des TI OWASP Open Web Application Security Project Jean-Marc Robert Génie logiciel et des TI A1: Injection Une faille d'injection, telle l'injection SQL, OS et LDAP, se produit quand une donnée non fiable est

Plus en détail

OWASP Top Ten 2007 Sommaire exécutif

OWASP Top Ten 2007 Sommaire exécutif OWASP Top Ten 2007 Sommaire exécutif Benoit Guerette, gueb@owasp.org Montreal Chapter Leader 24 février 2009 OWASP Education Project Copyright 2007 The OWASP Foundation Permission is granted to copy, distribute

Plus en détail

Tutoriel John The Ripper

Tutoriel John The Ripper Posté par Abdelhamid YOUNES Tutoriel John The Ripper Mots clés : Cassage de mot de passe, Audit, Crack, Robustesse du mot de passe, Tables de hachage, MD5, LM hashes, MD4, NTLM. John the Ripper (ou JTR,

Plus en détail

I. La sécurité des mots de passe sous Linux : la fonction crypt

I. La sécurité des mots de passe sous Linux : la fonction crypt Sécurité GNU/Linux La fonction crypt By sharevb Sommaire I.La sécurité des mots de passe sous Linux : la fonction crypt...1 a)description...1 b)types de cryptages...1 c)prototype C...2 II.De la sécurité

Plus en détail

Sécurite Web. Xavier Tannier xavier.tannier@limsi.fr. Yann Jacob yann.jacob@lip6.fr

Sécurite Web. Xavier Tannier xavier.tannier@limsi.fr. Yann Jacob yann.jacob@lip6.fr Sécurite Web Xavier Tannier xavier.tannier@limsi.fr Yann Jacob yann.jacob@lip6.fr Généralités 80 % des sites contiennent au moins une faille de sécurité 24 familles de failles différentes : on ne présente

Plus en détail

Vulnérabilités logicielles Injection SQL

Vulnérabilités logicielles Injection SQL MGR850 Hiver 2014 Vulnérabilités logicielles Injection SQL Hakima Ould-Slimane Chargée de cours École de technologie supérieure (ÉTS) Département de génie électrique 1 Plan SQL Injection SQL Injections

Plus en détail

Informatique légale : FPGA vs. GPU

Informatique légale : FPGA vs. GPU Informatique légale : FPGA vs. GPU Sylvain Collange, Yoginder S. Dandass, Marc Daumas et David Defour 03/06/2008 Problématiques Analyse de disque dur Recherche de contenu illégal connu Y compris dans des

Plus en détail

Où la cryptographie symétrique intervient-elle? L'exemple d'une session https

Où la cryptographie symétrique intervient-elle? L'exemple d'une session https Cryptographie symétrique : introduction Yves Legrandgérard (ylg@pps.jussieu.fr) Paul Rozière (roziere@pps.jussieu.fr) Où la cryptographie symétrique intervient-elle? L'exemple d'une session https Un exemple

Plus en détail

Protocole SSH-2.0. Tuan-Tu, TRAN. Janvier 2009

Protocole SSH-2.0. Tuan-Tu, TRAN. Janvier 2009 Janvier 2009 1 2 Etablissement des clés de session Protection des données échangées 3 Identification par mot de passe Identification par clé publique Identification par hôte 4 Utilisations de Secure Shell

Plus en détail

Tech-Evenings Sécurité des applications Web Sébastien LEBRETON

Tech-Evenings Sécurité des applications Web Sébastien LEBRETON Tech-Evenings Sécurité des applications Web Sébastien LEBRETON Pourquoi revoir la sécurité des applications Web Des technologies omniprésentes Facilité de mise en œuvre et de déploiement. Commerce en ligne,

Plus en détail

Authentification, droits d'accès et sécurité des applis web

Authentification, droits d'accès et sécurité des applis web Authentification, droits d'accès et sécurité des applis web Identification : savoir qui est l'utilisateur basé sur des nom de login enregistrés : base de données, annuaires, fichiers Authentification :

Plus en détail

Cryptographie. Cours 6/8 - Gestion de clés

Cryptographie. Cours 6/8 - Gestion de clés Cryptographie Cours 6/8 - Gestion de clés Plan du cours Importance de la gestion des clés Clés secrètes, clés publiques Certificats Infrastructure à clé publique (Public Key Infrastructure, PKI) Dans le

Plus en détail

Sécurité informatique : Sécurité dans un monde en réseau. Explosion des connexions à internet 2. ... Mais c est pas tout! 3

Sécurité informatique : Sécurité dans un monde en réseau. Explosion des connexions à internet 2. ... Mais c est pas tout! 3 Sécurité informatique : Matthieu Amiguet 2006 2007 Explosion des réseaux Explosion des connexions à internet 2 En 1990, environ 320 000 hôtes étaient connectées à internet Actuellement, le chiffre a dépassé

Plus en détail

Insomni Hash. Jean-Philippe Aumasson

Insomni Hash. Jean-Philippe Aumasson Insomni Hash Jean-Philippe Aumasson 1 0 1 1 0 1 1 1 0 0 1 0 0 0 Générateur pseudoaléatoire X G(X) X de (petite) longueur fixe n G(X) de longueur arbitraire Hachage X H(X) X de longueur arbitraire H(X)

Plus en détail

Sécurité des développements. ICAM JP Gouigoux 11/2012

Sécurité des développements. ICAM JP Gouigoux 11/2012 Sécurité des développements ICAM JP Gouigoux 11/2012 Glossaire Virus / Backdoor / Troyen Vulnérabilité / Exploit / Faille / 0-day Injection / Déni de service / Canonicalisation Advanced Persistant Threat

Plus en détail

Sécurité des bases de

Sécurité des bases de HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet CLUSIR-EST Sécurité des bases de données Louis Nyffenegger Louis Nyffenegger

Plus en détail

Journées MATHRICE "Dijon-Besançon" DIJON 15-17 mars 2011. Projet MySafeKey Authentification par clé USB

Journées MATHRICE Dijon-Besançon DIJON 15-17 mars 2011. Projet MySafeKey Authentification par clé USB Journées MATHRICE "Dijon-Besançon" DIJON 15-17 mars 2011 1/23 Projet MySafeKey Authentification par clé USB Sommaire 2/23 Introduction Authentification au Système d'information Problématiques des mots

Plus en détail

Comment retrouver le mot de passe d'un archive RAR/ZIP protégé!

Comment retrouver le mot de passe d'un archive RAR/ZIP protégé! Comment retrouver le mot de passe d'un archive RAR/ZIP protégé! Author : soufiane Bonjour, Aujourd'hui, vous allez découvrir plus de 5 solutions permettant de récupérer ou de craquer le mot de passe d'un

Plus en détail

Le contournement de produits de sécurité

Le contournement de produits de sécurité Le contournement de produits de sécurité Jean-Baptiste Bédrune Sogeti / ESEC jean-baptiste.bedrune(at)sogeti.com Yoann Guillot Sogeti / ESEC yoann.guillot(at)sogeti.com Roadmap J.B. Bédrune & Y. Guillot

Plus en détail

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet.

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet. HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet GS Days Extraction des empreintes de mots de passe en environnement

Plus en détail

1 Introduction. La sécurité

1 Introduction. La sécurité La sécurité 1 Introduction Lors de l'écriture d'une application de gestion, les problèmes liés à la sécurité deviennent vite prégnants. L'utilisateur doit disposer des droits nécessaires, ne pouvoir modifier

Plus en détail

Tutorial Ophcrack. I) Ophcrack en API. (ou comment utiliser Ophcrack pour recouvrir un mot de passe sous Windows XP et Windows Vista)

Tutorial Ophcrack. I) Ophcrack en API. (ou comment utiliser Ophcrack pour recouvrir un mot de passe sous Windows XP et Windows Vista) Tutorial Ophcrack (ou comment utiliser Ophcrack pour recouvrir un mot de passe sous Windows XP et Windows Vista) Ophcrack est un utilitaire gratuit permettant de cracker les mots de passe des sessions

Plus en détail

Étudiant : Nicolas Favre-Félix IFIPS Info 3. Les One Time Passwords, Mots de passe à usage unique

Étudiant : Nicolas Favre-Félix IFIPS Info 3. Les One Time Passwords, Mots de passe à usage unique Étudiant : Nicolas Favre-Félix IFIPS Info 3 Les One Time Passwords, Mots de passe à usage unique Sommaire Définition d'un système d'authentification par OTP...3 Historique...3 Utilisation actuelle...3

Plus en détail

Optimisations des SGBDR. Étude de cas : MySQL

Optimisations des SGBDR. Étude de cas : MySQL Optimisations des SGBDR Étude de cas : MySQL Introduction Pourquoi optimiser son application? Introduction Pourquoi optimiser son application? 1. Gestion de gros volumes de données 2. Application critique

Plus en détail

CAHIER DES CHARGES POUR APPLICATION MOBILE SAMSUNG SUR OS BADA. Gestionnaire de Mots de Passe Par Anis Safine. Page n 1

CAHIER DES CHARGES POUR APPLICATION MOBILE SAMSUNG SUR OS BADA. Gestionnaire de Mots de Passe Par Anis Safine. Page n 1 CAHIER DES CHARGES POUR APPLICATION MOBILE SAMSUNG SUR OS BADA Par Anis Safine Page n 1 Sommaire I. Descriptif général de l'application...2 1. Problème et solution proposée...2 2. Question de sécurité...2

Plus en détail

KEEPASS. Cible de Sécurité CSPN KEEPASS v2.10 portable

KEEPASS. Cible de Sécurité CSPN KEEPASS v2.10 portable Etablissement Division Solutions de Sécurité & Services Security Systems ORIGINE Emetteur T3S/CESTI THALES - CNES KEEPASS Cible de Sécurité CSPN KEEPASS v2.10 portable TABLE DES MATIERES I. INTRODUCTION...

Plus en détail

Sécurité des réseaux IPSec

Sécurité des réseaux IPSec Sécurité des réseaux IPSec A. Guermouche A. Guermouche Cours 4 : IPSec 1 Plan 1. A. Guermouche Cours 4 : IPSec 2 Plan 1. A. Guermouche Cours 4 : IPSec 3 Pourquoi? Premier constat sur l aspect critique

Plus en détail

Politique de gestion des mots de passe

Politique de gestion des mots de passe Centre de Ressources Informatique Politique de gestion des mots de passe Préparé pour: CRI Préparé par: Laurent PEQUIN 15 février 2010 15, avenue René Cassin 97474 Saint Denis Cedex 9 Réunion T 02 62 93

Plus en détail

Etat des lieux de la sécurité dans Windows XP. Nicolas RUFF nicolas.ruff@edelweb.fr

Etat des lieux de la sécurité dans Windows XP. Nicolas RUFF nicolas.ruff@edelweb.fr Etat des lieux de la sécurité dans Windows XP Améliorations et écueils Nicolas RUFF nicolas.ruff@edelweb.fr page 1 Ordre du jour Authentification Réseau Stratégies de groupe Fichiers Noyau Support Autres

Plus en détail

Programmation Web. Sites dynamiques et bases de données. Mathieu Lacroix. I.U.T. de Villetaneuse. Année 2015-2016

Programmation Web. Sites dynamiques et bases de données. Mathieu Lacroix. I.U.T. de Villetaneuse. Année 2015-2016 Programmation Web Sites dynamiques et bases de données Mathieu Lacroix I.U.T. de Villetaneuse Année 2015-2016 E-mail : mathieu.lacroix@iutv.univ-paris13.fr Page Web : http: // www-lipn. univ-paris13. fr/

Plus en détail

Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement

Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement Guillaume HARRY l Contenu sous licence Creative Commons CC-BY-NC-ND Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement P. 2 1. Introduction 2.

Plus en détail

Pages Web dynamiques et bases de données

Pages Web dynamiques et bases de données Cours 2 Pages Web dynamiques et bases de données Une page Web dynamique est générée automatiquement grâce à l exécution d un script (PHP par exemple). C est le résultat de l exécution de ce script (code

Plus en détail

Worldline Signer Server

Worldline Signer Server Référence du document : WLSign.AUD.0001 Révision du document : 1.3 Date du document : 15/03/2011 Worldline Signer Server Cible de sécurité www.atosworldline.com Table des matières TABLE DES MATIÈRES...2

Plus en détail

Les Protocoles de sécurité dans les réseaux WiFi. Ihsane MOUTAIB & Lamia ELOFIR FM05

Les Protocoles de sécurité dans les réseaux WiFi. Ihsane MOUTAIB & Lamia ELOFIR FM05 Les Protocoles de sécurité dans les réseaux WiFi Ihsane MOUTAIB & Lamia ELOFIR FM05 PLAN Introduction Notions de sécurité Types d attaques Les solutions standards Les solutions temporaires La solution

Plus en détail

Tous ce que vous devez savoir sur les Antivirus... et comment choisir un!

Tous ce que vous devez savoir sur les Antivirus... et comment choisir un! Tous ce que vous devez savoir sur les Antivirus... et comment choisir un! Author : soufiane Bonjour, De nos jours, les virus sont devenus de plus en plus très nombreux, plus sophistiqués et plus dangereux.

Plus en détail

Sécurité dans la couche Réseau. Daniel Wasserrab Andreas Wundsam

Sécurité dans la couche Réseau. Daniel Wasserrab <dwasserr@ens-lyon.fr> Andreas Wundsam <awundsam@ens-lyon.fr> Sécurité dans la couche Réseau Daniel Wasserrab Andreas Wundsam Articulation 1. Introduction a) Définition b) IPsec vs. protocoles de la couche application

Plus en détail

TP Administration Oracle

TP Administration Oracle Ingénieurs 2000 Informatique et Réseaux TP Administration Oracle DIOP Ngoné ESSAIDI Abderrahim Février 2008 1 Sommaire Sommaire... 2 Introduction... 3 1. Déploiement d application... 4 1.1 Résumé du besoin...

Plus en détail

Cryptographie. Cours 3/8 - Chiffrement asymétrique

Cryptographie. Cours 3/8 - Chiffrement asymétrique Cryptographie Cours 3/8 - Chiffrement asymétrique Plan du cours Différents types de cryptographie Cryptographie à clé publique Motivation Applications, caractéristiques Exemples: ElGamal, RSA Faiblesses,

Plus en détail

Revue de code Sécuritéou Test d Intrusion Applicatif. Quel est le plus efficace pour évaluer un niveau de sécurité applicatif?

Revue de code Sécuritéou Test d Intrusion Applicatif. Quel est le plus efficace pour évaluer un niveau de sécurité applicatif? Revue de code Sécuritéou Test d Intrusion Applicatif Quel est le plus efficace pour évaluer un niveau de sécurité applicatif? http://www.google.fr/#q=sebastien gioria Responsable de la branche Audit S.I

Plus en détail

Sécurité Informatique

Sécurité Informatique Avertissements : Le contenu de ce document est sous licence GPL. Le document est librement diffusable dans le contexte de cette licence. Toute modification est encouragée et doit être signalée à olivier

Plus en détail

EA D S INNOVA TION W ORKS. Pass The Hash. Nicolas RUFF EADS-IW SE/CS nicolas.ruff (à) eads.net

EA D S INNOVA TION W ORKS. Pass The Hash. Nicolas RUFF EADS-IW SE/CS nicolas.ruff (à) eads.net Pass The Hash Nicolas RUFF EADS-IW SE/CS nicolas.ruff (à) eads.net Plan Principe Historique Pass The Hash Toolkit 1.3 Conclusion Principe de l'attaque Dans la plupart des systèmes d'exploitation modernes,

Plus en détail

Configurez TokenCaching dans la CiscoSecure ACS UNIX

Configurez TokenCaching dans la CiscoSecure ACS UNIX Guide de conception et d'implémentation de la mise en cache de jetons (TokenCaching) Contenu Introduction Conditions préalables Conditions requises Composants utilisés Conventions Configurez Diagramme

Plus en détail

arcopole Studio Annexe 4 Intégration LDAP et processus d authentification Site du programme arcopole : www.arcopole.fr

arcopole Studio Annexe 4 Intégration LDAP et processus d authentification Site du programme arcopole : www.arcopole.fr arcopole Studio Annexe 4 Intégration LDAP et processus d authentification Site du programme arcopole : www.arcopole.fr Auteur du document : ESRI France Version de la documentation : 1.2.0.0 Date de dernière

Plus en détail

Aurélien Bordes aurelien26@free.fr http://aurelien26.free.fr/secauth/ v1.0 SSTIC 2007 30 mai 2007

Aurélien Bordes aurelien26@free.fr http://aurelien26.free.fr/secauth/ v1.0 SSTIC 2007 30 mai 2007 Aurélien Bordes aurelien26@free.fr http://aurelien26.free.fr/secauth/ v1.0 1 Plan Rappel Authentification locale condensats LM et NTLM sessions d authentification comptes de services / comptes machine

Plus en détail

WIFI sécurisé en entreprise (sur un Active Directory 2008)

WIFI sécurisé en entreprise (sur un Active Directory 2008) Cette œuvre est mise à disposition selon les termes de la Licence Creative Commons Paternité - Pas d'utilisation Commerciale 3.0 non transposé. Le document est librement diffusable dans le contexte de

Plus en détail

Roman Mkrtchian SI5-2012/2013 François Chapuis. Rapport de projet de WASP. Réalisation d'un site web sécurisé

Roman Mkrtchian SI5-2012/2013 François Chapuis. Rapport de projet de WASP. Réalisation d'un site web sécurisé Roman Mkrtchian SI5-2012/2013 François Chapuis Rapport de projet de WASP Réalisation d'un site web sécurisé Introduction Nous avons choisi de coder un blog sécurisé. Nous avons notamment codé nous-mêmes

Plus en détail

Projet Sécurité des SI

Projet Sécurité des SI Projet Sécurité des SI «Groupe Défense» Auteurs Candide SA Diffusion: limitée Type de document Compte rendu Projet Sécurité Destinataires P. LATU Date 14/12/09 M2 STRI Version 1.2 Introduction Sous-traitance

Plus en détail

La sécurité dans les grilles

La sécurité dans les grilles La sécurité dans les grilles Yves Denneulin Laboratoire ID/IMAG Plan Introduction les dangers dont il faut se protéger Les propriétés à assurer Les bases de la sécurité Protocoles cryptographiques Utilisation

Plus en détail

TX A081025: Délégation de l authentification pour les Services Web

TX A081025: Délégation de l authentification pour les Services Web TX A081025: Délégation de l authentification pour les Services Web Jérémy Vauchelle Enseignant: Aurélien Bénel Intervenants: Chao Zhou Arnaud Pagnier Plan 1. Présentation du sujet 2. Présentation du protocole

Plus en détail

L audit de sécurité des réseaux Windows avec WinReporter

L audit de sécurité des réseaux Windows avec WinReporter White Paper L audit de sécurité des réseaux Windows avec WinReporter Ce document présente comment les administrateurs réseaux et système peuvent tirer le meilleur parti de WinReporter, édité par IS Decisions,

Plus en détail

Fiche Technique. Terminologie : Utilisation de dl.free.fr (Ce n est pas la meilleure technique) Envoyez des fichiers de gros stockage

Fiche Technique. Terminologie : Utilisation de dl.free.fr (Ce n est pas la meilleure technique) Envoyez des fichiers de gros stockage Terminologie : Boitier ADSL nommé ici Boitier HD nommé ici Freebox FreeboxTV ou HDboxTV Nous souhaitons résoudre 3 problèmes. 1. Connecter les plugs-in d alimentation et de communication en CPL 2. Stocker

Plus en détail

Les Courbes. Elliptiques pour la Sécurité des Appareils. Mobiles. ACI Sécurité Informatique IRISA Rennes 11 12 Décembre 2003

Les Courbes. Elliptiques pour la Sécurité des Appareils. Mobiles. ACI Sécurité Informatique IRISA Rennes 11 12 Décembre 2003 Les Courbes Elliptiques pour la Sécurité des Appareils Mobiles LIENS CNRS Ecole normale supérieure TANC INRIA Ecole polytechnique ACI Sécurité Informatique IRISA Rennes 11 12 Décembre 2003 La cryptographie

Plus en détail

Serveur Web - IIS 7. IIS 7 sous Windows 2008

Serveur Web - IIS 7. IIS 7 sous Windows 2008 Serveur Web - IIS 7 Le livre de référence de ce chapitre est «Windows Server 2008 - Installation, configuration, gestion et dépannage» des éditions ENI, disponible sur egreta. Le site de référence pour

Plus en détail

Les fonctions de hachage, un domaine à la mode

Les fonctions de hachage, un domaine à la mode Les fonctions de hachage, un domaine à la mode JSSI 2009 Thomas Peyrin (Ingenico) 17 mars 2009 - Paris Outline Qu est-ce qu une fonction de hachage Comment construire une fonction de hachage? Les attaques

Plus en détail

Trier des tableaux en C++ : efficacité du std::sort (STL) et tris paramétrés

Trier des tableaux en C++ : efficacité du std::sort (STL) et tris paramétrés Trier des tableaux en C++ : efficacité du std::sort (STL) et tris paramétrés Hélène Toussaint, juillet 2014 Sommaire 1. Efficacité du std::sort... 1 1.1. Conditions expérimentales... 1 1.2. Tableaux de

Plus en détail

INFO-F-405 Sécurité Informatique Projet 3 : SSL et Threat Modeling

INFO-F-405 Sécurité Informatique Projet 3 : SSL et Threat Modeling INFO-F-405 Sécurité Informatique Projet 3 : SSL et Threat Modeling Gabriel Corvalan Cornejo Gaëtan Podevijn François Santy 13 décembre 2010 1 Modélisation et récolte d information du système 1.1 Information

Plus en détail

2. Optimisation de l'exponentiation modulaire

2. Optimisation de l'exponentiation modulaire Timing attack et hyperthreading Les processeurs modernes sont de plus en plus compliqués et difficiles à mettre en œuvre. Qu en est il de la sécurité des implémentations? Peut on exploiter les avancées

Plus en détail

Cryptographie et utilisation. Utilisation de la cryptographie. Rappel des propriétés à assurer. Assurer le secret :stockage.

Cryptographie et utilisation. Utilisation de la cryptographie. Rappel des propriétés à assurer. Assurer le secret :stockage. Rappel des propriétés à assurer Cryptographie et utilisation Secret lgorithmes symétriques : efficace mais gestion des clés difficiles lgorithmes asymétriques : peu efficace mais possibilité de diffuser

Plus en détail

Programmation avancée

Programmation avancée Programmation avancée Chapitre 1 : Complexité et les ABR (arbres binaires de recherche) 1 1 IFSIC Université de Rennes-1 M2Crypto, octobre 2011 Plan du cours 1 2 3 4 5 6 7 8 9 10 Algorithmes Définition

Plus en détail

Note technique. Recommandations de sécurité relatives aux mots de passe

Note technique. Recommandations de sécurité relatives aux mots de passe P R E M I E R M I N I S T R E Secrétariat général Paris, le 5 juin 2012 de la défense et de la sécurité nationale N o DAT-NT-001/ANSSI/SDE/NP Agence nationale de la sécurité Nombre de pages du document

Plus en détail

MGDIS Éditeur de. 30/11/2011 Sécurité des développements Editeur de. pour évoluer librement ENSIBS 30/11/2011. solutions ouvertes.

MGDIS Éditeur de. 30/11/2011 Sécurité des développements Editeur de. pour évoluer librement ENSIBS 30/11/2011. solutions ouvertes. 30/11/2011 Sécurité des développements Jean-Philippe Gouigoux Architecte logiciel MVP Responsable pôle Architecture / Formation / Innovation gouigoux-jp@mgdis.fr MGDIS Éditeur de pour progiciels de gestion

Plus en détail

Maarch Framework 3 - Maarch. Tests de charge. Professional Services. http://www.maarch.fr. 11, bd du Sud Est 92000 Nanterre

Maarch Framework 3 - Maarch. Tests de charge. Professional Services. http://www.maarch.fr. 11, bd du Sud Est 92000 Nanterre Maarch Professional Services 11, bd du Sud Est 92000 Nanterre Tel : +33 1 47 24 51 59 Fax : +33 1 47 24 54 08 Maarch Framework 3 - Maarch PS anime le développement d un produit d archivage open source

Plus en détail

Projet Formation E-Learning - Sept 2015 «Sécurité des applications Web»

Projet Formation E-Learning - Sept 2015 «Sécurité des applications Web» Projet Formation E-Learning - Sept 2015 «Sécurité des applications Web» 1 OBJECTIFS DE LA FORMATION RSSI PUBLIC Administrateur Réseau et Système Consultant sécurité Responsable Développement Développeur

Plus en détail

SÉCURITÉ SYSTÈMES ET RÉSEAUX, NIVEAU 2

SÉCURITÉ SYSTÈMES ET RÉSEAUX, NIVEAU 2 Réseaux et Sécurité SÉCURITÉ SYSTÈMES ET RÉSEAUX, NIVEAU 2 Réf: SEA Durée : 4 jours (7 heures) OBJECTIFS DE LA FORMATION Ce stage avancé vous permettra de mesurer le niveau de sécurité de votre système

Plus en détail

SISR3- Mise à disposition d une application web sécurisée

SISR3- Mise à disposition d une application web sécurisée Contexte : Le laboratoire pharmaceutique Galaxy-Swiss Bourdin (GSB) désire mettre à disposition des visiteurs médicaux une application Web de gestion des frais de remboursement. Il souhaite disposer d'une

Plus en détail

Présenté par : Ould Mohamed Lamine Ousmane Diouf

Présenté par : Ould Mohamed Lamine Ousmane Diouf Sécurité des Réseaux Wi Fi Présenté par : Ould Mohamed Lamine Ousmane Diouf Table des matières Présentation du réseau Wi Fi Configuration d'un réseau Wi Fi Risques liés aux réseaux Wi Fi Règles de base

Plus en détail

Gestion des Clés. Pr Belkhir Abdelkader. 10/04/2013 Pr BELKHIR Abdelkader

Gestion des Clés. Pr Belkhir Abdelkader. 10/04/2013 Pr BELKHIR Abdelkader Gestion des Clés Pr Belkhir Abdelkader Gestion des clés cryptographiques 1. La génération des clés: attention aux clés faibles,... et veiller à utiliser des générateurs fiables 2. Le transfert de la clé:

Plus en détail

Sécurité des applications web. Daniel Boteanu

Sécurité des applications web. Daniel Boteanu I F8420: Éléments de Sécurité des applications web Daniel Boteanu Architecture des applications web Client légitime Internet HTTP 浀 HTML Server Web 2 Architecture des applications web Client légitime Internet

Plus en détail

Fabrice Bernhard, 26 ans, fondateur et directeur technique d'allomatch.com et Theodo

Fabrice Bernhard, 26 ans, fondateur et directeur technique d'allomatch.com et Theodo A propos Fabrice Bernhard, 26 ans, fondateur et directeur technique d'allomatch.com et Theodo Allomatch est le moteur de recherche des matches et évènements sportifs dans les cafés et bars Juin 2006 :

Plus en détail

PROJET TRIBOX-2012-A

PROJET TRIBOX-2012-A PROJET TRIBOX-2012-A Auteur : Groupe Tutoriel d'installation et de configuration de Trixbox Membres du projet: GUITTON Jordan MORELLE Romain SECK Mbaye Gueye Responsable de la formation: MOTAMED Cina Client:

Plus en détail

2011 Hakim Benameurlaine 1

2011 Hakim Benameurlaine 1 Sommaire 1 IPSEC... 2 1.1 Introduction... 2 1.2 Modes de fonctionnement d IPSec... 5 1.3 Protocoles... 7 1.3.1 AH (Authentification Header)... 7 1.3.2 Protocole ESP (Encapsulating Security Payload)...

Plus en détail

Table des Temps. Création et Utilisation d'une Table des Temps

Table des Temps. Création et Utilisation d'une Table des Temps Table des Temps Création et Utilisation d'une Table des Temps Dans beaucoup de cas de programmation, il est nécessaire d'avoir à disposition une table de référence pour tous les jours de l'année et différentes

Plus en détail

Accès au serveur SQL. Où ranger les accès au serveur SQL?

Accès au serveur SQL. Où ranger les accès au serveur SQL? 150 requête SQL, cela aura un impact sur un nombre limité de lignes et non plus sur l ensemble des données. MySQL propose une clause originale en SQL : LIMIT. Cette clause est disponible avec les différentes

Plus en détail

Transmission de données

Transmission de données Transmission de données Réseaux Privés Virtuels (RPV ou VPN) Introduction Un VPN (Virtual Private Network) est une liaison sécurisée entre 2 parties via un réseau public, en général Internet. Cette technique

Plus en détail

Installation d'un serveur RADIUS

Installation d'un serveur RADIUS Installation d'un serveur RADIUS Par LoiselJP Le 22/05/2013 1 Objectifs Ce document décrit le plus succinctement possible une manière, parmi d'autres, de créer un serveur Radius. L installation ici proposée

Plus en détail

PHP 5. Sécurité. et MySQL. 3 e édition. Damien Seguy Philippe Gamache. Préface de Rasmus Lerdorf

PHP 5. Sécurité. et MySQL. 3 e édition. Damien Seguy Philippe Gamache. Préface de Rasmus Lerdorf Sécurité PHP 5 3 e édition et MySQL Damien Seguy Philippe Gamache Préface de Rasmus Lerdorf Groupe Eyrolles, 2007, 2009, 2012, ISBN : 978-2-212-13339-4 206 Mesures de sécurité pour les technologies connexes

Plus en détail

Activité professionnelle N

Activité professionnelle N BTS SIO Services Informatiques aux Organisations Option SISR Session 2015 Loïc BONNIN Activité professionnelle N NATURE DE L'ACTIVITE Contexte Objectifs Lieu de réalisation Projet personnel réalisé en

Plus en détail

Rôles serveur Notion de Groupe de Travail Active Directory Utilisation des outils d administration Microsoft Windows Server 2008

Rôles serveur Notion de Groupe de Travail Active Directory Utilisation des outils d administration Microsoft Windows Server 2008 Vue d ensemble du cours Rôles serveur Notion de Groupe de Travail Active Directory Utilisation des outils d administration Microsoft Windows Server 2008 Qu est-ce que le Groupe de Travail? Les comptes

Plus en détail

Kerberos, le SSO système

Kerberos, le SSO système Kerberos, le SSO système Benoit Métrot Université de Poitiers ANF Les systèmes dans la communauté ESR : étude, mise en œuvre et interfaçage dans un laboratoire de Mathématique Angers, 22-26 septembre 2014

Plus en détail

Chapitre II. Introduction à la cryptographie

Chapitre II. Introduction à la cryptographie Chapitre II Introduction à la cryptographie PLAN 1. Terminologie 2. Chiffrement symétrique 3. Chiffrement asymétrique 4. Fonction de hachage 5. Signature numérique 6. Scellement 7. Echange de clés 8. Principe

Plus en détail

Installation d'un TSE (Terminal Serveur Edition)

Installation d'un TSE (Terminal Serveur Edition) Installation d'un TSE (Terminal Serveur Edition) Par LoiselJP Le 01/05/2013 (R2) 1 Objectifs Le TSE, comprenez Terminal Server Edition est une application de type 'main-frame' de Microsoft qui réside dans

Plus en détail

www.netexplorer.fr contact@netexplorer.fr

www.netexplorer.fr contact@netexplorer.fr www.netexplorer.fr 05 61 61 20 10 contact@netexplorer.fr Sommaire Sécurité applicative... 3 Authentification... 3 Chiffrement... 4 Traçabilité... 4 Audits... 5 Sécurité infrastructure... 6 Datacenters...

Plus en détail

Serveur Guide Général Extensive Testing

Serveur Guide Général Extensive Testing Table des matières Le centre de test... 2 La page de connexion/déconnection... 2 La vue générale... 3 La gestion des tests... 6 Administration du serveur... 11 Page d information système... 16 Page d information

Plus en détail

Lot 1 - Migration du serveur de base de données

Lot 1 - Migration du serveur de base de données Situation Rectiline Lot 1 - Migration du serveur de base de données Table des matières Lot 1 - Migration du serveur de base de données...1 Mise à jour du système Debian 6 :...2 Installation de PostgreSQL:...5

Plus en détail

Chapitre 9 Les métadonnées

Chapitre 9 Les métadonnées 217 Chapitre 9 Les métadonnées 1. De l'importance des métadonnées Les métadonnées Au-delà du contenu des données elles-mêmes d'un système, il est souvent très utile de connaître un minimum d'informations

Plus en détail

Sécurité Informatique. WIFI sécurisé en entreprise (sur un active directory 2003) 0 - Théories et principes divers sélectionnés.

Sécurité Informatique. WIFI sécurisé en entreprise (sur un active directory 2003) 0 - Théories et principes divers sélectionnés. Avertissements : Le contenu de ce document est sous licence GPL. Le document est librement diffusable dans le contexte de cette licence. Toute modification est encouragée et doit être signalée à olivier

Plus en détail

Projet de 1ère licence Informatique Création d un système de mailing-list avec interface web. Directeur : Tom Mens.

Projet de 1ère licence Informatique Création d un système de mailing-list avec interface web. Directeur : Tom Mens. Projet de 1ère licence Informatique Création d un système de mailing-list avec interface web Directeur : Tom Mens Julien Baligant But : quel est le problème à résoudre? Il manque un outil adéquat permettant

Plus en détail

Présentation du PL/SQL

Présentation du PL/SQL I Présentation du PL/ Copyright Oracle Corporation, 1998. All rights reserved. Objectifs du Cours A la fin de ce chapitre, vous saurez : Décrire l intéret du PL/ Décrire l utilisation du PL/ pour le développeur

Plus en détail

HERVÉ SCHAUER CONSULTANTS. Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet

HERVÉ SCHAUER CONSULTANTS. Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet FORUM PHP 2007 Audit de code, retour d'expérience Nicolas Collignon

Plus en détail

Mot de passe sécurisé, systèmes d'authentification S/Key et par jeton de contrôle, protocoles d'authentification pour PPP : PAP, CHAP et EAP

Mot de passe sécurisé, systèmes d'authentification S/Key et par jeton de contrôle, protocoles d'authentification pour PPP : PAP, CHAP et EAP Mot de passe sécurisé, systèmes d'authentification S/Key et par jeton de contrôle, protocoles d'authentification pour PPP : PAP, CHAP et EAP Hicham RICHA Plan 1 Mots de passe sécurisés: a) Introduction

Plus en détail

INF4420: Éléments de Sécurité Informatique

INF4420: Éléments de Sécurité Informatique : Éléments de Module II : Sécurité SE et des logiciels José M. Fernandez M-3109 340-4711 poste 5433 Module II Aperçu Semaine 5 Sécurité dans les systèmes d'exploitation (SE) Contrôle d'accès dans les SE

Plus en détail

Chapitre 7. Sécurité des réseaux. Services, attaques et mécanismes cryptographiques. Hdhili M.H. Cours Administration et sécurité des réseaux

Chapitre 7. Sécurité des réseaux. Services, attaques et mécanismes cryptographiques. Hdhili M.H. Cours Administration et sécurité des réseaux Chapitre 7 Sécurité des réseaux Services, attaques et mécanismes cryptographiques Hdhili M.H Cours Administration et sécurité des réseaux 1 Partie 1: Introduction à la sécurité des réseaux Hdhili M.H Cours

Plus en détail

Administration et sécurité des réseaux. Chapitre 3, Partie 3

Administration et sécurité des réseaux. Chapitre 3, Partie 3 Administration et sécurité des réseaux Chapitre 3, Partie 3 Le Protocole FTP (File Transfer Protocol) 1 Plan Présentation du protocole Fonctionnement Configuration et options 2 Présentation de FTP Fonctionnalités

Plus en détail

ABSOFT CORP. SECURITY LABS.

ABSOFT CORP. SECURITY LABS. ABSOFT CORP. SECURITY LABS. BE HACKERS BE FREE Attention Cette Presentation est juste a but Démonstratif PRESENTATION: Web Bot Automatique Booter Intelligent Worm polymorphe Attention Cette Presentation

Plus en détail