[ Sécurisation des canaux de communication

Transcription

1 2014 ISTA HAY RIAD FORMATRICE BENSAJJAY FATIHA OFPPT [ Sécurisation des canaux de communication Protocole IPsec]

2 Table des matières 1. Utilisation du protocole IPsec Modes IPsec Stratégies IPsec prédéfinies Planification de l'authentification IPSec Filtres IPsec Utilisation des stratégies IPsec Etude de cas Contrôle des acquis Utilisation du protocole IPsec IPSec offre les types de sécurité ci-dessous. : Authenticité et intégrité des données Les en-têtes AH garantissent l'authentification, l'intégrité et la protection contre la retransmission à la fois pour l'en-tête IP et pour la charge de données que transporte le paquet. L'en-tête IP et les données sont lisibles, mais ils sont protégés contre les modifications pendant la transmission sur le réseau. Formatrice BENSAJJAY FATIHA Page 2

3 Le protocole IPSec assure l'authentification des ordinateurs impliqués dans une transmission de données, mais pas des utilisateurs qui transmettent les données. Cryptage des données Seul le protocole ESP assure la confidentialité des données par le cryptage du contenu du paquet IP. Ce protocole vous permet aussi d'assurer uniquement l'intégrité et l'authenticité (et non la confidentialité), ce qui en fait un protocole très semblable à AH. Il n'est pas en mesure de protéger l'en-tête IP contre une modification ; en revanche, AH protège au moins les informations d'adresse de l'en-tête IP. Vous pouvez utiliser le protocole ESP seul ou avec AH. Protection contre la retransmission et la modification d'adresses Les formats AH et ESP offrent, dans chaque paquet, des numéros de séquence qui sont vérifiés à la réception du paquet. Le destinataire sait alors que les paquets n'ont pas été capturés et ne sont pas retransmis par un pirate. Sans cette protection, certains ordinateurs et applications sont exposés à une attaque de retransmission, c'est-à-dire que le pirate tente d'y accéder à l'aide de paquets capturés lorsqu'un utilisateur légitime accède au système. 2. Modes IPsec Formatrice BENSAJJAY FATIHA Page 3

4 3. Stratégies IPsec prédéfinies 4. Planification de l'authentification IPSec Formatrice BENSAJJAY FATIHA Page 4

5 5. Filtres IPsec 6. Utilisation des stratégies IPsec Formatrice BENSAJJAY FATIHA Page 5

6 7. Etude de cas Scénario1 Vous êtes consultant pour une grande entreprise dont le service de comptabilité est centralisé ; les consultants peuvent télécharger les feuilles de présence à l'aide d'une application Web. Tout le personnel du service de comptabilité communique avec le serveur du service à l'aide de divers logiciels, notamment, un logiciel de comptabilité, le logiciel Web pour les feuilles de présence, le partage des fichiers génériques de Windows. Configuration requise La direction souhaite que le trafic réseau soit protégé en cas de communication avec le serveur du service de comptabilité. Elle demande en particulier les éléments ci-dessous : _Toutes les informations des feuilles de présence des consultants doivent être cryptées pour les transmissions effectuées depuis les ordinateurs clients vers le serveur du service de comptabilité. _ Les consultants doivent pouvoir communiquer avec le serveur du service de comptabilité uniquement par l'intermédiaire de la page Web des feuilles de présence. Ils ne doivent pas être autorisés à se connecter au serveur du service de comptabilité à l'aide d'autres protocoles. _ Toutes les transmissions effectuées entre les ordinateurs du service de comptabilité et son serveur doivent être protégées par cryptage. Questions et réponses 1. Quel protocole IPSec devez-vous utiliser pour les communications du personnel du service de comptabilité avec le serveur de ce service? Utilisez le protocole ESP pour ces communications, parce qu'il faut crypter toutes les données circulant entre le service de comptabilité et le serveur de ce service. 2. Quelle structure d'unités d'organisation faut-il prévoir dans le service d'annuaire Active Directory pour réussir le déploiement IPSec souhaité? Deux unités d'organisation sont nécessaires : une pour le serveur Comptabilité et l'autre pour les ordinateurs du service de comptabilité. Attribuez la stratégie Sécuriser le serveur (nécessite la sécurité) à la première et la stratégie Client (en réponse seule) à la seconde. 3. Quelle méthode d'authentification garantirait que seuls les membres reconnus du domaine participent à la connexion IPSec et offrent un échange sécurisé d'informations d'identification, tout en exigeant un minimum de configuration? L'authentification Kerberos répondrait à ces exigences. L'authentification avec certificat répondrait également aux exigences de sécurité ; il faudrait toutefois distribuer des certificats d'ordinateur à tous les clients qui communiquent avec le serveur Comptabilité. 4. Quelle forme de cryptage devez-vous définir afin de répondre aux exigences de sécurité pour les consultants? Formatrice BENSAJJAY FATIHA Page 6

7 Les services Web du serveur Comptabilité doivent être configurés pour utiliser le protocole SSL en vue du cryptage de toutes les transmissions. 5. Quelle configuration IPSec devez-vous appliquer au serveur Comptabilité pour vous assurer que tous les clients ont accès au logiciel Web utilisé pour les feuilles de présence? Le serveur Comptabilité doit être configuré avec un filtre IPSec qui accepte le trafic HTTP ou HTTPS sans avoir recours au cryptage IPSec ESP. En effet, ce dernier mode de cryptage n'est pas nécessaire car le protocole SSL applique un cryptage au niveau de la couche Application. Scénario2 Objectif : Dans cet exercice, vous allez analyser le déploiement IPSec de l'entreprise afin de savoir s'il répond aux critères définis. Le service financier est protégé du reste du réseau de l'entreprise à l'aide d'un pare-feu interne. Ce pare-feu a été implémenté pour s'assurer qu'un accès limité est accordé au serveur de bases de données du service financier en raison de la nature confidentielle de toutes les données du service. Il limite le nombre d'ordinateurs autorisés à tenter de se connecter au serveur de fichiers du service financier. Le schéma ci-dessous représente le réseau. Actuellement, seul le personnel de l'équipe d'audit est autorisé à se connecter au serveur de bases de données du service financier à l'aide du pare-feu. Les clients utilisent un programme client SQL qui établit la connexion à Microsoft SQL Server grâce à une connexion au port TCP En raison des inquiétudes suscitées par les informations demandées par les vérificateurs, il a été décidé de crypter toutes les données qui traversent le pare-feu lorsque les connexions concernent le serveur de bases de données du service financier. Formatrice BENSAJJAY FATIHA Page 7

8 Dans le schéma précédent, tout le trafic réseau du segment du service financier est crypté par ESP IPSec. L'accès au bureau du service financier est protégé par un système de sécurité reposant sur des lectures de la rétine. Configuration proposée La configuration ci-dessous a été proposée afin d'assurer la sécurité de toutes les transmissions vers le segment de réseau du service financier ou provenant de celui-ci. - Le serveur de bases de données du service financier se trouve dans une unité d'organisation Active Directory dédiée. La stratégie de groupe est appliquée à l'unité d'organisation pour attribuer la stratégie IPSec suivante afin de protéger les transmissions provenant du segment de réseau du service financier : - Les ordinateurs du service financier se trouvent dans l'unité d'organisation dotée de la stratégie IPSec suivante définie au sein de la stratégie de groupe : - Les ordinateurs des vérificateurs se trouvent dans une unité d'organisation dotée de la stratégie IPSec suivante définie au sein de la stratégie de groupe : Formatrice BENSAJJAY FATIHA Page 8

9 - Les règles suivantes ont été configurées sur le pare-feu interne en vue de protéger le trafic allant vers le réseau du service financier ou provenant de celui-ci : Critères de conception 1. Quels sont, en termes de sécurité, les risques de cette configuration? Tout le trafic provenant des ordinateurs d'audit et se dirigeant vers le serveur de bases de données du service financier est crypté à l'aide du protocole IPSec. Le cryptage de tout le trafic autorise toutes les connexions au serveur de bases de données du service financier par l'intermédiaire du pare-feu. En effet, ce dernier est configuré pour laisser passer toutes les transmissions IKE et ESP. Un autre risque potentiel est que toute personne qui utilise un ordinateur du service d'audit puisse se connecter au serveur de bases de données du service financier si les autorisations ne sont pas paramétrées pour restreindre l'accès en fonction de l'id de l'utilisateur. Cette situation est due au fait que la stratégie IPSec est attribuée à l'ordinateur et non pas à l'utilisateur. 2. Comment pouvez-vous vous assurer que seuls les protocoles voulus traversent le pare-feu en direction du serveur de bases de données du service financier? Le protocole du filtre de la stratégie IPSec de l'unité d'organisation du service d'audit doit être configuré sur TCP 1433 plutôt que pour fournir le cryptage à tous les protocoles. Avec cette configuration, le cryptage n'est appliqué qu'aux transmissions vers la base de données SQL du serveur de bases de données du service financier, et non à tous les protocoles. Formatrice BENSAJJAY FATIHA Page 9

10 3. Dans l'hypothèse où les transactions sur le serveur de bases de données du service financier sont nombreuses, comment pouvez-vous améliorer les performances du processeur de ce serveur? Les performances du serveur de bases de données du service financier peuvent être améliorées en installant une carte d'interface réseau qui prend en charge IPSec. Le cryptage IPSec est confié à la carte réseau, ce qui allège la tâche du processeur. 8. Contrôle des acquis 1. Citez certains coûts liés à l'implémentation du cryptage réseau. Voici certains coûts liés à l'implémentation du cryptage réseau : perte potentielle de productivité (en cas d'oubli de la carte à puce à la maison), conception et tests, diminution possible des performances, administration, formation des utilisateurs, service d'assistance, capacité réduite de filtrage des paquets des protocoles cryptés. 2. Quels certificats sont nécessaires pour garantir la sécurité des communications Web? Un certificat serveur est essentiel au serveur Web pour assurer la sécurité des communications Web. Les certificats clients peuvent également servir à l'authentification des utilisateurs qui accèdent à un site Web sécurisé. 3. Comment devez-vous déployer la stratégie IPSec pour vous assurer que tous les ordinateurs clients Windows 2000 utilisent le protocole IPSec sur demande? La stratégie Client (en réponse seule) doit être déployée au niveau du domaine pour garantir que tous les ordinateurs clients répondent à une demande IPSec. 4. Les stratégies IPSec ci-dessous ont été définies. Sur tous les sites, la stratégie Serveur (demandez la sécurité) a été attribuée. Dans le domaine, la stratégie Client (en réponse seule) a été attribuée. Dans l'unité d'organisation Domain Controllers, la stratégie Serveur (nécessite la sécurité) a été attribuée. Sur le contrôleur de domaine du service d'ingénierie, la stratégie Client IPSec (en réponse seule) a été attribuée à la stratégie locale. Quelle stratégie IPSec est attribuée au contrôleur de domaine du service d'ingénierie qui se trouve à l'emplacement par défaut? La stratégie IPSec Sécuriser le serveur (nécessite la sécurité) est attribuée au contrôleur de domaine du service d'ingénierie car toute la stratégie de groupe est attribuée dans l'ordre suivant : stratégie locale, stratégie de site, stratégie de domaine et stratégie d'unité d'organisation. Formatrice BENSAJJAY FATIHA Page 10