Démonstration 8 IFT6800 12 novembre 2015 1 HTML/CSS 1.1 Télécharger le code HTML d une page C est votre navigateur qui s occupe d afficher le contenu d un fichier HTML convenablement. Vous pouvez afficher le code HTML d un site web de la façon suivante : 1.1.1 Chrome Ctrl-U ou Outils > Afficher la source 1.1.2 Firefox Ctrl-U ou Outils > Développeur Web > Source de la page 1.1.3 Safari Menu > Preferences > Advanced Cochez Show Develop menu in menu bar. Fermez les préférences et cliquez : Develop menu > Show Page Source 1.2 Ouvrir une page HTML dans un navigateur Votre navigateur favori permet d afficher n importe quel code HTML, pas seulement ceux qui sont en ligne. Vous pouvez ouvrir un fichier HTML local dans votre navigateur en mettant dans la barre d adresse le chemin sur votre 1
ordinateur de ce fichier. Par exemple, enregistrez le code HTML de la page des tableaux de Louis http://www-labs.iro.umontreal.ca/~salvail/atelier/page6ex.html Supposons que vous avez enregistré ce fichier sous /home/download. Écrivez dans la barre d adresse file:///home/download/page6ex.html 1.3 Créez votre première page web à la dure Ouvrez un éditeur HTML. Un éditeur de texte fera l affaire (blocnote, notepad++, emacs). Attention, n utilisez pas Word, votre éditeur doit pouvoir enregistrer des fichiers avec extension.html. Sur Mac vous pouvez utiliser TextMate. Vous allez créer votre premier site web. Il ne sera pas en ligne, mais simplement enregistré sur votre ordinateur. Votre site web sera constitué de deux pages. Une contenant votre recette favorite et une page d accueil. Votre page d accueil doit contenir un lien vers votre page recette. Votre page recette doit contenir au moins tous les éléments suivants (avec les bonnes balises) : Un titre et des sous-titres (<title>, <h1>, <h2>, etc.) Une photo (<img>) Un lien vers la page d accueil (<a>) Une liste (<ul>, <li>) Un tableau (<table>, <tr>, <td>) Un commentaire dans le code (<!-- commentaire -->) Vous pouvez partir du fichier page1.ex.html (l exemple 1 de Louis). 2
Voici un exemple de page web pour ma recette favorite : 1.3.1 CSS Rendez votre site web joli à l aide d un fichier CSS. Vous pouvez en trouver une libre d accès en ligne ou prendre celle de Louis pour commencer. Ajustez-la à votre goût. Lorsque vous êtes satisfaits, vous pouvez échanger vos fichers CSS avec vos voisins et appliquer la leur sur votre site. Testez votre site dans différents navigateurs. Remarque importante : dans votre prochain devoir, vous devez fournir votre propre fichier CSS, pas un que vous avez trouvé en ligne ou partagé entre vous. 2 Masquer les adresses IP Nous avons vu à la dernière démo comment un analyseur de paquets (paquet sniffer) peut connaître l adresse IP des deux parties impliquées dans une communication, ceci même si les données sont chiffrées sous SSL. 3
Est-ce que cette information est sensible? Cela dépend! Beaucoup souhaitent protéger cette information. Par exemple, plusieurs pays bloquent des services provenant et allant vers certaines adresses IP. Ceci peut empêche le libre accès à l information. Ceci n est qu un exemple parmi tant d autres, tout aussi légitimes. L adresse IP entrante et sortante d un paquet peut être sensible. Pensez à l espionnage industriel, au droit d accès à l information des journalistes, aux affaires militaires, à la surveillance globale par les gouvernements, etc. En général, masquer son adresse IP est de mise lorsqu on veut conserver son anonymat en ligne. Plusieurs solutions permettent de masquer l adresse IP sortante et entrante des paquets transitant sur les réseaux. Un exemple populaire est Tor. Il existe d autres solutions pour masquer (plus ou moins) son adresse IP. Plusieurs d entre vous utilisez sûrement déjà des Proxy. En mots simples, un proxy est un intermédiaire logiciel entre deux noeuds d un réseau. Il permet de filtrer le contenu auquel une adresse IP a accès (sites interdits dans une école, par exemple), d accéder à des sites qui sont bloqués dans son pays, etc. Les proxy sont très pratiques, mais ont certaines limitations. Lorsqu on utilise un proxy, on lui envoie en clair ses paquets. Il faut lui faire confiance! Tor remédie à cette situation. 2.1 Tor https://www.torproject.org/ Tor (The Onion Router) est un réseau de serveurs qui permet de mélanger les adresses IP des paquets. Le fonctionnement général de Tor est le suivant : Chaque serveur a une clé de chiffrement publique et privée. La clé de chiffrement publique est accessible à tous. Elle permet à tout le monde de chiffrer un message que seul le serveur ayant la clé privée correspondante pourra lire en clair. Imaginons un client qui souhaite envoyer un paquet à un serveur (quelconque) sur internet. Le client pige au hasard n serveurs faisant parti du 4
réseau Tor. Numérotons-les {s 1, s 2,..., s n }. Le client chiffre son paquet avec la clé publique du serveur s n. Puis il chiffre le paquet chiffré avec la clé publique du serveur s n 1. Puis il chiffre le paquet doublement chiffré avec la clé publique du serveur s n 2. Ainsi de suite... Le client chiffre le paquet une dernière fois avec la clé publique du serveur s 1. Le client envoie finalement son paquet chiffré en couche au serveur s 1. À ce moment, tout renifleur de réseau peut voir que le client communique avec s 1. Mais personne ne connaît l adresse IP de destination finale. Le réseau Tor aura ensuite le comportement suivant : Le serveur s 1 déchiffre le paquet reçu avec sa clé de chiffrement. Il apprend l identité du prochains serveur s 2 et l identité du client, mais aucune information sur les serveurs suivants, ni de la destination finale. Le serveur s 2 déchiffre le paquet reçu avec sa clé de chiffrement. Il apprend l identité du prochains serveur s 3 et l identité du serveur duquel il le reçoit (s 1 ), mais aucune information sur les autres serveurs, ni même sur l envoyeur initial. Le protocole continue couche à couche jusqu au dernier serveur Tor Le serveur s n déchiffre le paquet reçu avec sa clé de chiffrement. Il apprend l identité du serveur de destination finale. À chaque couche de l oignon le serveur correspondant connaît l identité du serveur de la couche précédente et celle de la couche suivante, mais rien de plus! Dans la pratique, pour utiliser Tor, il n est pas nécessaire de faire toutes les étapes à la main. Il existe un navigateur Tor qui fait tout ça pour vous. Tor est complètement libre d usage et les protocoles sont publics. Si vous avez un serveur web, il peut devenir un serveur Tor. Vous n avez qu à publier votre clé publique sur la liste des serveurs Tor et appliquer le protocole. Certains fournisseurs internet interdissent par contre à leurs membres d héberger un serveur Tor. 5
Si plusieurs personnes utilisent Tor, une entité analysant tous les paquets du monde verrait une tonne de paquets entrer dans le réseau Tor, une tonne de paquets allant des serveurs Tor à d autres serveurs Tor et une tonne de paquets sortant du réseau Tor sans pouvoir identifier quel paquet sortant correspond à quel paquet entrant. En fait, plus de personnes utilisent Tor, plus il devient sécuritaire. Il y a plusieurs limitations à Tor. Par exemple, il est facile pour un réseau de bloquer tous les paquets venant d un serveur qui est connu comme un serveur Tor. Un autre désavantage est que chaque paquet doit passer par beaucoup d intermédiaires, ce qui rend les communications plutôt lentes. Tor est également sensible à certains types d attaques dites temporelles. Il est possible, par exemple, de suivre les paquets d un client particulier si on sait que ce client envoie toujours des groupes de 10 paquets aux 10 secondes. De plus si tous les serveurs Tor tombent dans les mains d une entité malveillante, cette entité connaîtra tous les chemins des paquets. D une autre façon, si une entité possède beaucoup de serveurs sortants (ceux qui déchiffrent le serveur de destination), elle peut en apprendre beaucoup sur les usagers Tor. Plusieurs entités gouvernementales et privées ont été coupables de tentatives de ce type d attaque. Tor n est pas la panacée garantissant l anonymat. Plusieurs facteurs autres que les paquets peuvent divulguer une adresse IP, comme plusieurs plug-in et certaines applications traitant des fichiers téléchargés. Voilà pourquoi la communauté Tor suggère d utiliser exclusivement le navigateur Tor et de ne traiter les fichiers téléchargés que lorsque l ordinateur est hors-ligne. 6