Module : TIC & Banques 1 U4.2- Préventions de sécurité : a. Prévention par un comportement approprié en surfant : Ne donnez jamais vos données personnelles via des liens proposés par email. De même, il ne faut jamais remplir des champs dans des formulaires envoyés par e-mail qui demandent d entrer des informations d inscription, les établissements financiers n envoient jamais de tels e-mails! La navigation sûre vers la page de login d un établissement financier s effectue par l entrée manuelle de l adresse dans la ligne d adresse du logiciel de navigation. Ne communiquez jamais votre code confidentiel, même si un interlocuteur prétend être habilité à le demander. Changer régulièrement vos codes secrets, au moins 2 fois par an. Installer un anti-virus et le tenir à jour. Installer un pare-feu logiciel 1 comme ZoneAlarm. Désactivez dans votre navigateur la saisie semi-automatique qui mémorise les données saisies dans les formulaires. Régler le niveau de sécurité du navigateur et du logiciel de courrier. Travaillez toujours avec la version la plus actuelle du navigateur Internet, mais jamais avec des versions beta, et seulement avec des navigateurs officiellement supportés par votre fournisseur d e-banking. Videz l antémémoire (mémoire cache du navigateur) après chaque déconnexion de l e-banking. N ouvrez ni d autres pages internet ni d e-mails lors de l établissement de la connexion avec l e-banking et au cours de son utilisation. En outre, nous vous recommandons de n utiliser l e-banking qu à partir d un ordinateur connu et sûr (c est-à-dire pas dans des cybercafés, etc.) ou vous devez utiliser un logiciel de navigation sûr déposé sur une clé USB protégés contre les manipulations. Faire régulièrement la mise à jour du patch de sécurité du système d'exploitation. Eviter d'installer des logiciels freeware dont l'origine n'est pas garantie. Refusez toujours les installations de logiciels ou d'active-x qui vous sont proposées spontanément lorsque vous surfez sur Internet. Ne jamais ouvrir les pièces jointes non identifiées accompagnant un email. Eviter de surfer sur les sites illégaux. Utiliser un mélange de lettres et de chiffres pour former votre code/mot de passe confidentiel. Ne pas utiliser de date ni de mots existants. Les mots de passe restent aujourd hui encore la forme la plus courante et la plus utilisée de protéger l accès à des données électroniques sensibles et privées. A ce 1 - Un pare-feu (appelé aussi coupe-feu, garde-barrière ou firewall en anglais), est un filtre permettant de protéger un ordinateur des intrusions provenant d'un réseau tiers (notamment internet).
Module : TIC & Banques 2 sujet, quelques règles simples suffisent pour éviter les problèmes. Voici les 7 règles à respecter pour créer un mot de passe fort : 1. Minimum 8 caractères 2. Des chiffres, des lettres majuscules et minuscules ainsi que des caractères spéciaux 3. Pas d espace 4. Pas de combinaisons en séquences ni de lettres voisines sur le clavier comme «asdfgh» ou «45578» 5. Pas de mot pouvant se trouver dans un dictionnaire (dans toutes les langues); le mot de passe ne doit avoir aucune signification 6. Ne pas utiliser systématiquement le même mot de passe 7. Ne pas transcrire votre mot de passe; ne pas le sauvegarder sur votre PC sans en protéger l accès Exemple de création d un mot de passe fort, Choisissez une phrase facile à mémoriser et élaborez votre mot de passe en prenant la première lettre de chaque mot et en incluant la ponctuation et les chiffres : «Ma fille Sara fête son anniversaire le 19 janvier!». Vous obtenez alors une chaîne de caractères apparemment arbitraire mais facile à mémoriser : «MfSfsal19j!». Réalisez vos achats sur des sites connus ou informez-vous sur l'entreprise avant d'acheter quoi que ce soit. Gardez toujours une copie de votre commande, le numéro de votre commande ainsi que les coordonnées complètes du marchand. Conservez le mail que le site marchand vous envoie pour confirmer votre achat. Vérifiez les conditions de remboursement et de retour des articles qui ne vous conviendraient pas. Le site doit préciser : - les modalités de livraison - les devises acceptées - le coût de la livraison - les conditions de retour et de remboursement Réalisez vos transactions à l aide des cartes virtuelles ou PME, de cette façon, le numéro réel de la carte n'est pas transmis sur Internet. Prenez au sérieux tous les messages d avertissements de votre navigateur lorsque que vous utilisez un système e-banking, et en particulier lorsqu il est question du certificat. Une connexion sécurisée est signalée dans la barre d'état du navigateur par un cadenas. Vérifiez à chaque fois que l icône soit bien affiché. Utilisez le filtre SmartScreen 2 qui vous protège de trois manières : 2 - Le filtre SmartScreen est une fonctionnalité d Internet Explorer permettant de détecter les sites Web d hameçonnage. Le filtre SmartScreen peut aussi vous protéger de l installation de logiciels ou programmes malveillants, qui sont des programmes dont le comportement s avère illégal, viral, frauduleux ou malveillant.
Module : TIC & Banques 3 1. Il opère en arrière-plan tandis que vous naviguez sur le Web, en analysant les pages Web et en déterminant si elles possèdent des caractéristiques suspicieuses. S il détecte des pages Web suspectes, le filtre SmartScreen affiche un message vous proposant de faire un commentaire et vous invitant à faire preuve de prudence. 2. Le filtre SmartScreen compare les sites à une liste dynamique, mise à jour en temps réel, de sites d hameçonnage et de logiciels malveillants signalés. S il trouve une correspondance, le filtre SmartScreen affiche un avertissement en rouge vous informant que le site a été bloqué pour votre sécurité. 3. Le filtre SmartScreen vérifie également si les fichiers que vous téléchargez sur le Web apparaissent dans cette liste. S il trouve une correspondance, le filtre SmartScreen affiche un avertissement en rouge vous informant que le téléchargement a été bloqué pour votre sécurité. Au cas où, lors de l e-banking au cours de la session internet, une coupure du système intervient (p. ex. l apparition soudaine d un écran blanc) ou en cas de signalisations d erreur inhabituelles, en particulier au cours du login (p. ex. "Le système est actuellement surchargé. Merci de prendre patience et
Module : TIC & Banques 4 d'essayer à nouveau ultérieurement "), arrêtez la connexion immédiatement et prévenez les spécialistes de votre établissement financier. Ne quittez votre place devant l ordinateur que lorsque vous aurez correctement terminé la session d e-banking. C est-à-dire, vous ne fermerez pas simplement l ordinateur mais arrêtez toujours votre e-banking par la fonction "Déconnexion" prévue. b. Prévention par la vérification de la connexion SSL : Regardez bien que, dans la ligne d adresse, il s agit bien d une vraie connexion sécurisée SSL ("https"). Et vérifiez que le certificat électronique d authentification est valide et bien établi à votre établissement financier. b1. Le certificat électronique d authentification : C est l'équivalent numérique d'une carte d'identité, délivre à un utilisateur (entité physique ou nonphysique) sur un support matériel (carte à puce, clé USB) ou sous forme de logiciel par un prestataire de service, permet de s'authentifier sur l'internet et d'autres réseaux, de façon certaine et non équivoque. Le certificat est émis par une organisation (AC = Autorité de certification) qui dispose des autorisations reconnues pour émettre ce type d'identification. Le certificat électronique est un lien entre l'entité physique et l'entité numérique (Virtuel). L'autorité de certification fait foi de tiers de confiance et atteste du lien entre l'identité physique et l'entité numérique. Le standard le plus utilisé pour la création des certificats numériques est la norme X.509. Un certificat électronique est un bloc de données contenant, dans un format spécifié, les parties suivantes : Un numéro de série; L'identification de l'algorithme de signature; La désignation de l'autorité de certification (CA) 3 émettrice du certificat; La période de validité au-delà de laquelle il sera suspendu ou révoqué; 3 - L autorité de certification (AC ou CA) : C est une organisation en charge de la gestion des certificats électroniques (Exemple : Thawte, Certigna, Certinomis, Keynectis, Entrust, Verisign, GlobalSign, ChamberSign, TBS X509, CAcert (à but non lucratif), Gandi.net, OVH, CertEurope, Certigreffe, ANCE) ; Cette autorité de certification a pour mission, après vérification de l'identité du demandeur du certificat par une autorité d'enregistrement, de signer, émettre et maintenir les certificats, à travers une fédération des autorités d'authentification (Exemples : Shibboleth, Liberty Alliance) qui gère et contrôle l'accès sécurisé.
Module : TIC & Banques 5 Le nom du titulaire de la clé publique; l'identification de l'algorithme de chiffrement et la valeur de la clé publique constitués d'une paire de clés asymétriques (comme par exemple RSA); Des informations complémentaires optionnelles; L'identification de l'algorithme de signature et la valeur de la signature numérique. Il existe 4 types de certificats en fonction du niveau de sécurité: classe 1 : Pour les individus : adresse électronique du demandeur requise; classe 2 : Pour les organisations ou individus : preuve de l'identité requise (photocopie de carte d'identité par exemple et nom de domaine); classe 3 : Pour les serveurs ou logiciels dont le titulaire a été authentifié (présentation physique du demandeur obligatoire). classe 3+ : identique à la classe 3, mais le certificat est stocké sur un support physique (clé USB à puce, ou carte à puce; exclut donc les certificats logiciels). 1- Vérification de l authenticité et du cryptage : Chaque navigateur web, peut vérifier lui-même des certificats et leurs caractéristiques suivantes : Fiabilité de l émetteur du certificat: le certificat a été établi par un organisme fiable de certification (c est-à-dire signé valablement sous forme numérique). Grâce à cette vérification, l authenticité du certificat est attestée. Validité du certificat: le certificat n a pas expiré ou n a pas été déclaré invalide avant l expiration de la durée de validité par l organisme de certification. Adresse du serveur d internet: l adresse indiquée dans le certificat du serveur d internet est conforme à l adresse indiquée dans le champ d adresse du navigateur. Lorsque ces trois vérifications ont pu être réalisées avec succès, le navigateur ne signalera pas d erreur lors de l établissement de la connexion SSL. Lors d'une transaction web, l'internaute doit fournir des informations personnelles telles que son numéro de carte bancaire, le code de sécurité, la date d expiration, ses coordonnées. Afin de protéger ces données et d'assurer l'internaute sur l'identité du site, il existe un système de cryptage comme le protocole SSL ; Les données échangées lors d'une transaction web sont cryptées
Module : TIC & Banques 6 et donc illisibles sur le réseau. Et pour être sûr d'être dans un espace sécurisé, vérifiez que l'adresse du site Internet commence par (https://). Ce «s» supplémentaire indique la sécurisation de la page et vérifiez la présence du cadenas dans la fenêtre de votre navigateur. L utilisateur doit cliquer sur le cadenas pour connaître les détails du certificat SSL, le nom de l'exploitant du site web et les coordonnées de l'autorité qui a vérifié ces informations. Chaque utilisateur d une connexion SSL peut contrôler manuellement l authenticité du certificat qui est à la base de la connexion. Pour ce faire, il doit vérifier la dite empreinte numérique du certificat. L empreinte numérique est une suite de caractères formée par des lettres A à F (il n est pas fait de distinction entre les majuscules et minuscules) et les chiffres 0 à 9. La vérification de l empreinte numérique se fait par une comparaison de cette suite de caractères avec une suite de référence que l utilisateur aura obtenu par l établissement financier. Lorsque la suite de caractères lue dans le certificat et la suite de caractères obtenue par l établissement financier sont identiques, le certificat est authentique. A la condition que la suite de caractères obtenue par l établissement financier est authentique, la vérification manuelle de l empreinte numérique est le contrôle le plus sûr du certificat. Il s avère utile de contrôler également la barre d adresse, comme décrit pour la vérification automatique. La figure ci-dessous montre de façon schématique comment réaliser le contrôle manuel du certificat. En règle générale, les caractéristiques du certificat s affichent dans le navigateur par un clique ou double-clique sur le symbole du cadenas.
Module : TIC & Banques 7
Module : TIC & Banques 8 Empreinte numérique Navigateure Internet Explorer Navigateure Mozilla Firefox Mais en cas d une connexion n'est pas sécurisée ou certificat non validé, le serveur https:// envoie la réponse suivante au navigateur client (Schéma cidessous) : Si l utilisateur décide d ignorer cette erreur et de continuer, le navigateur, affiche une erreur de certificat (d'un fond rouge), + un avertissement de sécurité :
Module : TIC & Banques 9 2- Utilisation de certificat : Les certificats électroniques peuvent être utilisés dans différentes applications informatiques dans le cadre de la sécurité des systèmes d'information pour garantir : la non-répudiation et l'intégrité des données avec la signature numérique; la confidentialité des données grâce au chiffrement des données; l'authentification ou l'authentification forte d'un individu ou d'une identité non-physique (Web Serveur - SSL, Poste de travail - 802.1x 4, VPN IPSec - SSH - SSL, documents électroniques). Les certificats sont très largement utilisés sur les sites de e-commerce, webmails ou autres sites sensibles (banques, impôts, etc.). Plusieurs niveaux de chiffrement existent et plusieurs fonctionnalités associées rendent la compréhension des certificats complexe. 3- Type de certificat : 3.1- Certificats standards : Ce sont les certificats classiques, qui existent depuis plusieurs années. Le chiffrement varie entre 40 bits et 255 bits. Cela est dû en partie à la capacité des navigateurs et à la législation en vigueur. Généralement, les sociétés éditrices de certificats proposent 40 bits ou 128 bits garantis. 4-802.1x mécanisme standard de contrôle de port et d'authentification.
Module : TIC & Banques 10 3.2- Certificats étendus : Ce sont les certificats qui sont pris en charge dans les navigateurs récents et qui permettent l'affichage d'un fond vert (indiquant ainsi un site de confiance garantie). Ce type de certificat est connu sous l'abréviation EV : "Extended Validation" 5. Cela signifie que : Le certificat utilise une validation étendue / prolongé. La communication entre le navigateur et le site Web est chiffrée. L autorité de certification a confirmé que le site Web appartient et est géré par une organisation (établissement financier) qui dépend de la juridiction indiquée dans le certificat et sur la barre Statut de la sécurité. L autorité de certification ne fait aucune assertion sur les pratiques professionnelles du site Web. Microsoft Internet Explorer : Mozilla Firefox : Le cadenas signifie que le site est protégé par un certificat électronique. 3.3- Certificats multidomaines : Appelés certificats omnidomaines ou "wildcard", ils permettent de certifier un domaine complet : societe.com www.societe.com, www.public.societe.com, societe.com, etc. 3.4- Certificats multisites : Ils sont utilisés par les hébergeurs qui doivent fournir plusieurs domaines sur une seule adresse IP. @IPserveur www.societe.com, www.compagnie.com, www.entreprise.com,... 3.5- Certificats courriels : Ce sont des certificats pour chiffrer, ou signer des courriels. 5 - Certificat de validation prolongé.
Module : TIC & Banques 11 b2. Le protocole SSL et son fonctionnement : SSL est un protocole de sécurisation des échanges, développé par Netscape. Il a été conçu pour assurer la sécurité des transactions sur Internet (notamment entre un client et un serveur), et il est intégré depuis 1994dans les navigateurs. Il existe plusieurs versions: la version 2.0 développée par Netscape; la version 3.0 qui est actuellement la plus répandue, et la version 3.1 baptisée TLS et standardisée par l'ietf (Internet Engineering Task Force). Ainsi, SSL permet d assurer : * L authentification du serveur et le cas échéant de son ordinateur (le client). * La confidentialité et l intégrité des données échangées au cours de communications sécurisées. Ce qui signifie que les informations que vous transmettez sont cryptées (chiffrées) afin d empêcher leur lecture par une personne non autorisée. L utilisation du SSL nécessite l utilisation de certificats numériques (de machines) échangés au cours de la session sécurisée. Le fonctionnement de SSL peut se décliner selon deux modes distincts étant entendu que le certificat peut se trouver sur le serveur et/ou sur le client : * Dans le premier cas, on authentifie le serveur. * Dans le second cas, on authentifie le client c'est-à-dire le destinataire. Techniquement, serveur et client utilisent le même format de certificats (x509) mais ils différent par l information qu ils contiennent. Ainsi, un certificat côté client sert-il à identifier un utilisateur et contiendra donc des informations sur cet utilisateur. Côté serveur, le certificat a pour but d authentifier le serveur et l organisme auquel il appartient. Le schéma ci-dessous illustre le procédé qui garantit la protection des communications entre un serveur et un client. La sécurisation des transactions par SSL est basée sur un échange de clés entre client et serveur. La transaction sécurisée par SSL se fait selon les étapes suivantes :
Module : TIC & Banques 12 En résumé, lors d une connexion SSL avec un certificat : #1 - le navigateur de client se connecte au site marchand sécurisé par SSL, Il fait une demande de transaction sécurisée au serveur en envoyant sa requête https://, il demande donc le certificat garantissant la clé publique du serveur. Le client envoie également la liste des cryptosystèmes qu'il supporte, triée par ordre décroissant selon la longueur des clés. #2 Le serveur à réception de la requête envoie un certificat au client, contenant la clé publique du serveur, signée par une autorité de certification (CA), ainsi que le nom du cryptosystème le plus haut dans la liste avec lequel il est compatible (la longueur de la clé de chiffrement - 40 bits ou 128 bits - sera celle du cryptosystème commun ayant la plus grande taille de clé). Le serveur peut également demander le certificat du client à des fins d authentification. #3 - Le navigateur de client vérifie la validité du certificat (donc l'authenticité du marchand), puis il crée et envoie au serveur une clé secrète aléatoire (la clé de session) codée issue de la clé publique (de 55 ou 128 bits). Seul le serveur sera donc capable de décoder cette clé secrète car il détient la clé privée. Cette clé secrète ainsi créée sera utilisée pour encoder les messages (cryptographie symétrique). Si nécessaire, le client envoie son certificat en réponse à la requête du serveur. #4 - Le serveur renvoie une confirmation signé numériquement afin de lancer une session SSL cryptée. L'algorithme à clé secrète utilisé est négocié entre le serveur et le client. #5 - Le serveur et le client possède maintenant une clé secrète partagée (la clé de session) et les échanges des données sont faits par l'intermédiaire de cette clé en toute sécurité.
Module : TIC & Banques 13 La connexion sécurisée est invisible, ce qui rend l achat plus facile. De plus, lorsque vous installez un certificat SSL, les clients potentiels utilisant les navigateurs Microsoft savent qu ils font leurs achats sur un site sécurisé. De plus en plus d applications du marché supportent les certificats SSL. Vous pouvez alors l utiliser pour de nouvelles fonctions : * Sécurisez votre Intranet et votre Extranet : Grâce au certificat SSL vous pouvez protéger les échanges d informations sensibles de votre entreprise vers des applications nécessitant la confidentialité. * Sécurisez votre serveur de messagerie : La libéralisation de la cryptographie et l adoption des technologies à base de certificats dans les protocoles de messagerie courants, offrent de nouvelles possibilités pour la sécurisation des serveurs de messagerie. Il est désormais possible d utiliser les certificats serveurs pour assurer l authentification du serveur de messagerie et le chiffrement pour la connexion des utilisateurs sur un serveur distant. * Sécurisez vos serveurs d applications : De plus en plus d applications (telles qu Oracle, SAP, BEA, ) supportent les certificats SSL et permettent la sécurisation des échanges entre les applications. Le certificat SSL, vous permet de faire immédiatement des transactions en ligne en toute sécurité, avec des fonctions d authentification, ainsi que d autres assurant la confidentialité et l intégrité des messages.