Sécurité Informatique

Les différents aspects de la Sécurité Informatique :

Gestion et sécurité

Si la caractéristique principale d'un réseau est sa faculté à partager des ressources, les aspects gestion et sécurité sont deux atouts supplémentaires :
- Pérennité de l'information et des structures : l'administrateur du réseau a la charge du bon fonctionnement du système, des sauvegardes des données et des programmes.
- Sécurité des informations sur des supports centralisés, partagés en zones communes et individuelles, et géré par le système du réseau.
- Confidentialité préservée par la présence de noms d'utilisateurs et de mots de passe associés.
- Surveillance aisée des tentatives d'intrusion ou de malveillance.


Sécurité de fonctionnement

La sécurité de fonctionnement c'est, au point de vue de la qualité, l'aptitude à répondre aux besoins d'interconnexion, de transmission, de gestion des différents matériels et utilisateurs. Il existe différentes manières de sécuriser un réseau ou groupe de réseaux (au sens qualité du terme) :
* soit par redondance de matériels
* par possibilité de routes multiples
* par emploi de matériels sûrs relativement chers et sophistiqués
* par emploi de systèmes de gestion simples et efficaces
* par l'amélioration constante des caractéristiques de transmission :
- statistiques de fonctionnement et de surcharges éventuelles
- réaction automatique de certains composants du réseau :
+ reroutage automatique
+ élimination automatique des ressources hors service.


Sécurité des données

Les données sont installées en principe (qu'elles soient réparties ou non) sur des mémoires de masses (disques durs, bandes magnétiques, cartouches, DON, CD-RW, DVD-W).
Des sauvegardes méthodiques (dépendant du service exploitation), l'utilisation de dispositifs spéciaux tels que disques miroirs permettent dans une large mesure d'éviter la perte (toujours préjudiciable) de données.
Une des méthodes les plus efficaces consiste à sauvegarder sur bandes magnétiques selon une procédure définie :
par exemple :
- sauvegarde journalière (fichiers modifiés uniquement)
- sauvegarde hebdomadaire (tous les fichiers utilisateur)
- sauvegarde système journalière (fichiers système modifiés uniquement)
- sauvegarde système hebdomadaire (tous les fichiers système)
- sauvegarde mensuelle (tous les fichiers système et utilisateur)
Cette procédure est valable quel que soit le système utilisé (Mainframe, Mini, Micro-ordinateur).

Sur les micro-ordinateurs les sauvegardes sont effectuées sur cartouches ou CD-RW et non sur bandes, DON ou DVD-RW (type gros systèmes).

Un autre aspect de la sécurité des données est l'impossibilité de destruction ou de modification par un tiers non autorisé. Différents types de contrôle d'accès sont utilisés :
-utilisation d'un sas (gérant de sécurité / Fire Wall)
-utilisation d'un mot de passe (complexe)
-cryptage de l'information
-autorisation d'accès aux données entre plages horaires fixes
-attributs autorisant l'accès fichiers à des groupes d'utilisateurs :
+ usage en lecture seule
+ usage en lecture écriture
+ usage en lecture et exécution
+ avec tous les droits
+ sans aucun droit


Sécurité (intrusion, détournement, destruction)

* Les menaces
- Menaces passives
Elles ne modifient pas le contenu de l'information :
+ branchement sur les lignes de transmission
+ capture de signaux Hertziens
+ détection de rayonnement
Les menaces portent essentiellement sur la confidentialité de l'information.
- Menaces actives
Elles modifient volontairement, dans le but de nuire, l'information.
Ce sont essentiellement des intrusions et des actions du type suivant :
+ usurpation d'identité
+ modification de messages
+ répétition de messages
+ brouillage
Ces menaces portent essentiellement sur l'intégrité de l'information.

* Les besoins
- Identification
Que l'on nomme des invidus ou que l'on numérote des machines, dans tous les cas il s'agit d'une identification dont le seul but est de pouvoir communiquer.
L'identification peut être :
+ individuelle
+ liée à une fonction
+ non secrète
Si ce service est nécessaire et suffisant pour envoyer et recevoir des données, ce n'est pas un service de sécurité.
- Nécessité d'authentification
L'authentification sert à :
+ la protection contre les accès illicites
+ s'assurer de l'identité du demandeur
+ garantir le bon destinataire.

* Les moyens :
- le mot de passe classique :
+ facile d'emploi
+ peu coûteux
+ durée de validité
+ problème de choix
+ est-il communiqué ?
+ est-il intercepté ?
- paramètres physiques :
+ empreinte digitale
+ forme de la main
+ ligne de la main
+ empreinte rétinienne
- paramètres de comportement :
+ reconnaissance de la voix
+ reconnaissance dynamique de la signature
Ces moyens posent des problèmes de fiabilité, stabilité, coût, temps de réponse.

Pour les moyens d'authentification utilisés sur les réseaux, on utilisera des moyens à mode unitaire :
+ mot de passe dynamique
+ signature d'aléa
+ preuve sans révélation de connaissance
+ des paramètres certifiés par le réseau
+ adresse X25

* Cryptographie
- Généralités
Chiffrer, c'est transposer un texte en clair (T) en un texte en caractère secret ou cryptogramme (Ci) à l'aide d'un algorithme (A) et d'une clé (Ki) :
Ci = A (Ki, T)
Déchiffrer c'est rétablir en clair un texte chiffré en connaissant la clé ayant servi au chiffrement.
Décrypter traduire en clair un texte chiffré dont on ne connait pas la clé.

Cryptologie => ensemble des aspects suivants :
- cryptographie : art d'écrire en caractères secrets
- cryptanalyse : art de décrypter les chiffres

On peut classer les algorithmes de chiffrement par type de clé :
- clé symétrique
- clé asymétrique : RSA

Le chiffrement est classé en types :
- série (Stream Cypher)
- par blocs (Block Cypher) : DES

* Les moyens
- Contrôle d'accès
- Contrôle du routage

* La sécurité sur ethernet :
- sécurisation des requêtes ARP et RARP d'éthernet par une procédure de reconnexion.
- pour se reconnecter au réseau éthernet une machine envoie une trame contenant deux informations :
+ son mot de passe de reconnexion (Pn-1),
+ F (Pn) ou Pn est le prochain mot de passe et F une fonction à sens unique.


Problèmes légaux

Décret du 18/02/1986 relatif aux moyens de cryptologie :
"les moyens de cryptologie sont des matériels ou logiciels conçus soit pour tranformer à l'aide de conventions secrètes des informations en clair ou des signaux en informations ou signaux inintelligibles, soit pour réaliser l'opération inverse".

Le décret assimile la fabrication, la commercialisation, l'acquisition, la détention et l'utilisation de ces moyens à ceux des armes de guerre de seconde catégorie (porte avions, chars d'assaut, missiles).

Heureusement, ce décret a été amendé, cela nous autorise à recourir à des algorithmes de chiffrement afin de pouvoir envoyer ou recevoir des données sur Internet.

La loi Godfrain (88-19 du 05/01/1988) concerne les infractions en matière informatique. Elle réprime :
- l'accès frauduleux à un système informatique
- l'entrave au fonctionnement d'un système
- les modifications ou suppressions illicites de données
- la falsification de documents informatiques
- l'usage de documents informatiques falsifiés
- l'association de fraudeurs en informatique.