curité dans les nouvelles

Transcription

1 La sécurits curité dans les nouvelles générations de réseaux r Guy Pujolle Guy.Pujolle@lip6.fr 1

2 Les réseaux r : oùo en est-on? Age de pierre Age de bronze Age de fer 2,5 M années 8000 années 3000 années Imprimerie Age de pierre Age de bronze Age de fer Internet Age de pierre Age de bronze Age de fer G. Pujolle 2

3 Portable Évolution des réseauxr Internet Protocol G. Pujolle 3

4 Age Age de pierre 2010 Internet: de très s nombreuses rustines ont été ajoutées Age de bronze Beyond IP: compatible avec IP Age de fer après s 2025 Post IP: non compatible avec IP G. Pujolle 4

5 Les réseaux r sans fil 5

6 Les réseaux r de mobiles upture echnologique GSM GPRS EDGE UMTS HSDPA etc. IS95 Cdma2000 3GPP2 EV DO Wi-xx + IEEE G. Pujolle 6

7 La gamme Wi-xx Réseau IP - Ethernet RAN Télévision interactive - IEEE WiRAN MAN WDSL mobile - IEEE WiMAX mobile LAN PAN WDSL fixe - IEEE WiMAX fixe DECT Wi-Fi - IEEE Wimedia - IEEE G. Pujolle 7

8 Standard pour les réseaux r sans fil PAN IEEE et WiMedia IEEE Bluetooth IEEE UWB (Ultra Wide Band) IEEE ZigBee WLAN IEEE et Wi-Fi IEEE b, a, g IEEE n IEEE s WMAN IEEE et WiMax IEEE IEEE e/IEEE (WiMax( Mobile) WRAN IEEE et WiRAN Utilisation des bandes TV G. Pujolle 8

9 Wimedia G. Pujolle 9

10 CAPWAP Control And Provisionning of Wireless Access Point Trois architectures de type Wi-Fi Les architectures de WLAN autonomes (Autonomous( WLAN Architecture) Les architectures de WLAN centralisées es (Centralized( WLAN Architecture) Les architectures de WLAN distribuées (Distributed( WLAN Architecture) G. Pujolle 10

11 Wi-Fi G. Pujolle 11

12 Réseaux Wi-Fi Power System Contrôleur d AP Gestion des handovers Configuration d accès Power over Ethernet (PoE) Réseau Wi-Fi Réseau Wi-Fi G. Pujolle 12

13 IEEE WiMAX 13

14 WiMAX Alcatel source G. Pujolle 14

15 IEEE IEEE IEEE e Produit Intel Le processeur Rosedale Le processeur Centrino n WIFi-WiMAX WiMAX WiFi- WiMAX-Wimedia Wimedia WiFi-WiMAX WiMAX-WimediaWimedia multi-hom homé G. Pujolle 15

16 Portable Multi-technologies technologies and multi-homing G. Pujolle 16

17 WiMAX Mobile - IEEE e Nouvelle spécification pour Universal WiMax Fréquence < 3.5 GHz Au moins 1 Mbit/s par utilisateur Vitesse jusqu à 130 km/h Grande cellule (1 km approximativement) Ambiant Garantie de QoS Sécurité EAP-TLS G. Pujolle 17

18 Architecture IEEE e vs 3GPP2 Source IEEE G. Pujolle 18

19 WiRAN : Bande de fréquence : MHz France : SECAM sur la bande MHz Dividende numérique Cognitive radio Terminaux sans licence mais ne perturbant pas les communications avec licence Canaux de 6 ou 8 MHz Vitesse de transmission : 18 Mbit/s / canal de 6 MHz Voie descendante 1,5 Mbit/s à 4 Mbit/s Voie montante : 384 kbit/s? Puissance : 1 W descendant, 100 mw montant Technique de transmission OFDM Support de la qualité de service au niveau MAC Coût t très s faible G. Pujolle 19

20 IEEE (USA) Le terminal n a n a pas besoin d être d déclard claré (aux USA) Les caractéristiques ristiques radio sont contrôlées par l él émetteur GPS/Galileo pour déterminer d les fréquences à utiliser Couverture jusqu à une cinquantaine de kilomètres 300 MHz de bande passante utilisateurs multimédias par point d accd accès de paroles téléphoniquest G. Pujolle 20

21 IEEE Media Independent Handover Scheme Handover entre les différents standard 802 (802.15, , , , ) WiMedia, Wi-Fi, WiMAX, Wi-Mobile, WiRAN G. Pujolle 21

22 Portable Portable L Internet sans fil 3G/4G Ethernet WiRAN Ethernet IP controller IP controllers WiMAX imedia Wi-Fi Point d accès Wixx G. Pujolle 22

23 La sécurits curité 23

24 Le nomadisme Clef xxx A la maison Sécurité forte Gestion automatique des mots de passe Hôtel Clef yyyy Certificat nnnn Au bureau Clef zzz Clef VPN aaa Aéroport Clef bbbb Clé VPN aaa Chez un client Aéroport Café Au siège G. Pujolle 24 24

25 Sécurité dans les hotspots Nouvelle loi sur la traçabilit abilité : garder pendant 1 an de nombreuses données Selon le décret d publié le 26 mars, il s'agit des informations permettant d'identifier un utilisateur. Soit : - Les données relatives aux équipement terminaux de communication (ordinateur...) utilisés. s. - Les caractéristiques ristiques techniques ainsi que la date, l'horaire et la durée e de chaque communication. - Les données relatives aux services complémentaires mentaires demandés s ou utilisés s et leurs fournisseurs. - Les données permettant d'identifier le ou les destinataires des communications électroniques Une traçabilité fermée (uniquement sur requête judiciaire) Respect des libertés individuelles G. Pujolle 25

26 Sécurité 1er génération g Wireless Equivalent Privacy (WEP), définie dans le standard è génération, 802.1x architecture (with( WEP) 3è génération, TKIP, compatibilité matérielle avec WEP, WPA 4è génération, i + AES, incompatibilité matériel avec WEP G. Pujolle 26

27 Sécurité Wi-Fi 1 er génération Accès s au réseaur Service Set ID (SSID) : équivalent au nom de réseaur Access Control List (ACL) : basé sur les adresses MAC Wired Equivalent Privacy (WEP) : Mécanisme M de chiffrement fondé sur le RC4 Authentification Chiffrement G. Pujolle 27

28 Sécurité Wi-Fi 2è génération IEEE 802.1x est utilisé pour tous les réseaux r IEEE 802.x Utilise le protocole Extensible Authentication Protocol (EAP( EAP) Utilisation d un d serveur d authentification d de type RADIUS : Remote Authentication Dial in User Service Protocole d authentification d client/serveur utilisé pour l accl accès à distance G. Pujolle 28

29 IEEE 802.1x Port contrôlé Port non contrôlé EAPOL EAP over CLIENT (Supplicant) CONTROLLEUR (Authenticator) Liaison sans fil ou filaire Liaison filaire SERVEUR D AUTHENTIFICATION CONTROLLEUR + SERVEUR D AUTHENTIFICATION G. Pujolle 29

30 Sécurité Wi-Fi 3è génération TKIP : Temporal Key Integrity Protocol MIC (Message Integrity Code) Nouvelle implémentation mentation de l IV l (Initialization( Vector) Une nouvelle clef régulir gulièrement Une gestion amélior liorée e des clés Inconvénient nient : performance si les changements de clef sont rapides G. Pujolle 30

31 Sécurité Wi-Fi 3è génération WPA : Wi-Fi Protected Access Initialisé par la Wi-Fi Alliance Fondé sur TKIP : changement de la clé régulièrement IEEE 802.1x Sécurité assurée e pour quelques années G. Pujolle 31

32 Sécurité Wi-Fi 4è génération Juin 2004: WPA2 Utilisation de TKIP et de 802.1x Nouvel algorithme de chiffrement : AES L algorithme RC4 est remplacé par AES AES nouveau standard pour le chiffrement des données Algorithme très s fiable et rapide G. Pujolle 32

33 Autres solutions pour la sécurits curité Autres solutions Carte à puce Sécurisation des clés s de chiffrement et des certificats Algorithme dans la carte à puce Firewall/Filtre applicatif VPN Filtre sur les ports Filtres applicatifs Détection des applications avec port dynamique Normalisation future Biométrie G. Pujolle 33

34 Filtres applicatifs Le firewall permette de bloquer des applications en fonction du n n de port De nombreuses applications utilisent des ports dynamiques (exemple : P2P) Le filtre applicatif se base sur la sémantique s des flots Reconnaissance de la grammaire du protocole Adéquation avec le RFC G. Pujolle 34

35 Réseaux Privés s Virtuels (VPN) But : créer un «tunnel»sécurisé entre un client et un serveur Le VPN permet : D identifier les clients D autoriser les clients De chiffrer le trafic des clients IPSec (Internet Protocol Security) PPTP L2TP G. Pujolle 35

36 Les nouveaux réseaux r Wi-xx Arrivée e des réseaux r Wi- xx (Wi-Fi, WIMAX mobile, etc.) Ce sont des réseaux r IP natifs Solution Sécurisation avec l él équivalent de la carte SIM dans le monde IP: la carte EAP-TLS G. Pujolle 36

37 Les solutions TPM (Trusted( Platform Module) Trusted Computing Group (TCG) Améliorer la sécurits curité des plates-formes Solution fixe TEAPM (Trusted( EAP Module) Solution pour mobile G. Pujolle 37

38 Cas classique Wireless Interface EAP_Info = GetInfo(EAP_Type) EAP provider (DLL) GetIdentity() DIALOG BOX OK EAP Packet EAP_Info Initialize() Begin() Message() End() Authentication Protocol User Key(s) InvokeConfigUserInterface() Protocol Configuration DIALOG BOX OK G. Pujolle 38

39 TPM Trusted Platform Module EAP_Info = GetInfo(EAP_Type) Wireless Interface EAP provider (DLL) EAP Packet EAP_Info Initialize() Begin() Message() End() Authentication Protocol Protocol Configuration User Key(s) Carte à puce soudée au processeur G. Pujolle 39

40 TEAPM Trusted EAP Module EAP_Info = GetInfo(EAP_Type) Wireless Interface EAP provider (DLL) EAP Packet EAP_Info Initialize() Begin() Message() End() Authentication Protocol Protocol Configuration Standard Smartcard Interface Key(s) G. Pujolle 40

41 Open EAP Smartcard G. Pujolle 41

42 Traçabilit abilité Traçabilit abilité ouverte Le responsable du cybercafé peut connaître les identifications Traçabilit abilité fermée Les états/organisations exigent de plus en plus la traçabilit abilité des échanges d information. d Les citoyens souhaitent garder l anonymat sur les réseaux r (privacy( privacy). La technologie de protection d identitd identité concilie traçabilit abilité et respect de la vie privée. G. Pujolle 42

43 Serveur d authentificationd G. Pujolle 43

44 Réseaux «autonomic» 44

45 Architecture classique Plan de gestion Plan de contrôle Plan de données G. Pujolle 45

46 Plan de connaissance Plan de gestion Plan de connaissance Plan de contrôle Plan de données G. Pujolle 46

47 Le plan de connaissance Les réseau r «autonomic» possède un plan de connaissance Rassemble les connaissances du réseaur Chaque point a une vue située e du réseaur Une intelligence est nécessaire n pour piloter le réseaur Comprendre le comportement du réseaur Accède à différentes informations et à des composants gérant g la connaissance G. Pujolle 47

48 Plan de pilotage Plan de connaissance Plan de gestion Plan de pilotage Plan de contrôle Plan de données Le plan de pilotage possède les algorithmes de pilotage du réseaur G. Pujolle 48

49 Réseau autonomic Plan de pilotage Plan de contrôle Plan de management Plan de connaissance Plan de données G. Pujolle 49

50 Réseau «autonomic» Plan de Plan de pilotage contrôle Plan de connaissance Plan de données G. Pujolle 50

51 Sans plan de connaissance Routage CAC Contrôle de flux Securité QOS Routage CAC Contrôle de flux Sécurité QOS Routage CAC Contrôle de flux Securité QOS G. Pujolle 51

52 Avec plan de connaissance Plan de connaissance Plan de pilotage Routage CAC Contrôle de flux Securité QOS Routage CAC Contrôle de flux Securité QOS Routage CAC Contrôle de flux Securité QOS G. Pujolle 52

53 Vue située G. Pujolle 53

54 Sécurité Plan de connaissance Plan de pilotage Sécurité DDOS Coupe feu Sécurité DDOS Coupe feu Sécurité DDOS Coupe feu G. Pujolle 54

55 Exemple: DDOS La vue située e est formée de l ensemble l des routeurs d accd accès/ contrôleur Corrélation des adresses de destination qui apparaissent plus de n fois Arrêt de l attaque l par destruction des messages DOS G. Pujolle 55

56 La virtualisation 56

57 Pourquoi la virtualisation? Meilleur amortissement des dépenses d d équipements en utilisant plusieurs réseaux r sur une même infrastructure Partage des ressources Sécurité des routeurs contre les attaques Isolation du trafic réseau r dans les machines virtuelles G. Pujolle 57

58 Virtualisation Virtualisation des machines Classique Virtualisation des OS réseauxr Virtualisation des plans et des protocoles Plan de connaissance: agent de connaissance virtuel Plan de pilotage: agent de pilotage virtuel Plan de contrôle: algorithme virtuel Plan de données: protocoles virtuels Virtualisation des services Classique (data center, centrex,, etc.) G. Pujolle 58

59 Virtualisation Agent de connaissance Pilotage Algorithmes Réseau A Réseau D Réseau B Réseau C G. Pujolle 59

60 Virtualisation des protocoles A B C D E = A = pile IP obligatoire G. Pujolle 60

61 Virtualisation des protocoles A D E A B C D E A B D E A A E A B C D E A C D E G. Pujolle 61

62 Sécurité des accès Virtualisation du logiciel dans les points d accd accès Le point d accd accès s peut posséder plusieurs OS réseaux r avec des SSID différents permettant de traiter la sécurits curité à différents niveaux Client de type A Client de type B Client de type C Client de type D G. Pujolle 62

63 Sécurité du contrôleur Traitements de sécurité spécifiques dans chaque contrôleur virtuel G. Pujolle 63

64 Post IP VTP/VP (Virtual Transport Protocol/ Virtual Protocol) VTP VP1 VP2 VP3 Protocole Context-aware Protocole Virtuel G. Pujolle 64

65 Post IP VTP/VP (Virtual Transport Protocol/ Virtual Protocol) Protocole auto adaptable Capable de s autopiloter Auto adaptation à la sécurité Auto adaptation à la QOS Auto adaptation à la disponibilité Auto adaptation à la mobilité SP1 SP2 SP3 G. Pujolle 65