Sécurité des Systèmes Informatiques

Généralités

• Un système d'information organise les activités d'acquisition, de stockage, de transformation, de diffusion, d'exploitation et de gestion de l'information
• L'utilisation d'un système informatique est un moyen technique de faire fonctionner un système d'information
• Les systèmes informatiques sont devenus les cibles de ceux qui convoitent l'information car ils sont au cœur des systèmes d'information
• La sécurité de l'information nécessite d'assurer la sécurité des systèmes informatiques
• La sécurité absolue n'existe pas à cause des bugs, des faiblesses en cryptographie, des personnes abusant de leurs droits et des mécanismes de sécurité qui peuvent être attaqués
• La sécurité est une préoccupation majeure de l'administrateur réseau

Objectifs de la sécurité informatique

• Authenticité : Les documents doivent être préservés dans l’état voulu par les auteurs et l’identité des acteurs de la communication est vérifiée
• Non-Répudiation (NR) : L’identité des auteurs de documents ou de gestes consignés doit être confirmée et consignée pour empêcher la répudiation ultérieure et les acteurs impliqués dans la communication ne peuvent nier leur participation
• Intégrité (I) : Les documents doivent être conservés dans leur état original, à l’abri de la destruction et des modifications non-autorisées et les données de la communication ne doivent pas être altérées
• Confidentialité (C) : Rendre l'information inintelligible à d'autres que les acteurs de la transaction et les documents doivent être à l’abri des regards indiscrets
• Disponibilité (D) : Garantir l'accès à un service ou à des ressources aux usagers autorisés et permettre aux acteurs de la communication d'accéder aux données dans de bonnes conditions

Contexte et aspects de la sécurité

• Les utilisateurs doivent être sensibilisés aux problèmes de sécurité
• La sécurité logique concerne les données, les applications et les systèmes d’exploitation
• La sécurité physique englobe les salles sécurisées, les lieux publics et les postes de travail
• La sécurité des communications couvre les réseaux, les serveurs et les serveurs d’accès distants

Attaques, services et mécanismes

• Une attaque est une action qui compromet la sécurité des informations
• Un mécanisme de sécurité est conçu pour détecter, prévenir et lutter contre les attaques
• Un service de sécurité augmente la sécurité des traitements et des échanges de données, utilisant un ou plusieurs mécanismes de sécurité

Types d'attaques

• Interruption : Vise la disponibilité des informations
• Interception : Vise la confidentialité des informations
• Modification : Vise l’intégrité des informations
• Fabrication : Vise l’authenticité des informations

Classification des attaques

• Attaques passives : Analyse de trafic (« traffic analysis »), release of message contents
• Attaques actives : Masquerade, denial of service, modification of message contents et rejeu (« replay »)

Exemples d'attaques

• Capture : Interception d'une conversation téléphonique, d'un e-mail ou d'un transfert de fichier
• Analyse de trafic : Observation du format des messages
• Mascarade : Messages provenant d'une source A comme s'ils étaient de B
• Rejeu : Capture de messages et réponse ultérieure
• Modification (Man-in-the-middle) : Modification des messages ou retardement pour produire un effet non autorisé
• Déni de service (DoS) : Perturbation d'un service

Vulnérabilités

• Une vulnérabilité est une faiblesse dans un système informatique qui permet une attaque
• Un rapport d'un « finger » à distance affiche notamment le nom d'utilisateur qui pourrait être utilisé pour tenter la combinaison mot de passe
• Exemple de vulnérabilité : le serveur « finger », qui affiche des informations susceptibles d'être exploitées par des hackers, notamment les noms de login qui peuvent servir à trouver leur mot de passe

Menaces

• Une menace est une cause potentielle d’incident qui peut résulter en un dommage au système ou à l’organisation
• Les principales menaces sont l'utilisateur du système insouciant, une personne malveillante accédant à des données, un programme malveillant qui nuit ou abuse du système et un sinistre (vol, incendie ou dégât des eaux)

Gestion des risques

• Risque = Vulnérabilité + Menace
• La gestion des risques consiste à étudier le compromis efficacité/coût des contre-mesures et le coût potentiel d'un incident par rapport au coût des contre-mesures

Vulnérabilité des réseaux

• Les réseaux peuvent être vulnérables à cause d'une mauvaise implémentation des piles UDP/IP et TCP/IP ou des faiblesses des protocoles

Sniffer

• Un sniffer est un outil indispensable qui permet de visualiser les trames sur un segment de réseau
• L'utilisation d'un sniffer nécessite des droits administrateurs et soulève des questions juridiques
• Il utilise des sockets en mode « promiscuous » et socket (AF_INET,SOCK_RAW,IPPROTO_RAW)
• Il existe de nombreux logiciels sniffers, comme tcpdump pour Unix, disponible sur http://www.tcpdump.org, et permet d'afficher les entêtes de paquets répondant à des critères spécifiés

IP Spoofing

• L'IP Spoofing est une méthode d'attaque qui copie l'adresse IP d'un autre ordinateur (usurpation)
• Permet de brouiller les pistes ou d'obtenir un accès aux systèmes sur lesquels l'authentification est fondée sur l'adresse IP

Déni de service (DOS)

• Une attaque DoS empêche l’utilisation d’une machine ou d’un service
• Particulièrement simple à mettre en œuvre, une attaque DoS peut engendrer des pertes importantes pour une entreprise et le DOS est souvent plus facile de paralyser un réseau que d'y entrer

Types de DOS

• DOS local (épuisement des ressources) inclut la saturation de l'espace disque, les répertoires récursifs et les boucles infinies de fork()
• DOS par le réseau (consommation de bande passante) inclut la SYN flood, le réassemblage de fragments, les drapeaux TCP illégaux...

Attaque SYN flood

• Une attaque par inondation de SYN utilise une adresse source usurpée (spoofed) et inaccessible
• La machine cible doit gérer une liste de connexions dans l’état SYN_RECV et une attaque est visible si la commande netstat –an indique un grand nombre de connexions dans l'état SYN_RECV

Parades au SYN Flood

• Les parades au SYN Flood incluent l'allongement de la longueur de la file d'attente, et la réduction de la durée de temporisation d'établissement d'une connexion et les OS modernes sont protégés grâce au SYN Cookie, SYN cache…

Arp Spoofing

• L'arp Spoofing pollue les caches ARP avec des associations adresse MAC/adresse IP
• L'arp Spoofing permet des attaques de type "man in the middle", une attaque DOS et la transgression des règles d'un firewall par spoofing

Outils d'arp spoofing

• Les outils d'arp spoofing comprennent arp-sk (unix) winarp-sk (windows) accessible sur http://www.arp-sk.org et WinArpSpoof accessible sur http://nextsecurity.net.

Parades contre l'arp spoofing

• Utiliser des associations statiques
• Surveiller les changements d'association avec arpwatch (unix) disponible sur http://www.securityfocus.com/data/tools/arpwatch.tar.Z et WinARP Watch (Windows) sur http://www.securityfocus.com/data/tools/warpwatch.zip

Smurf

• Smurf envoie une trame ICMP « echo request » sur une adresse de diffusion, et permet de déterminer les machines actives sur une plage IP
• Il est possible d'interdire la réponse aux trames ICMP sur les adresses de diffusion au niveau du routeur ou de la machine

DDOS (Distributed Denial Of Service)

• DDOS est un type d'attaque très en vogue, qui a pour objectif d’écrouler une machine et/ou saturer la bande passante de la victime
• Une attaque popularisée le 14 février 2000 sur ebay, cnn, amazon, microsoft… par « Mafiaboy » qui a été arrêté et les pertes causées estimées à 1,2 milliards de dollars en 24 heures

Vulnérabilités applicatives

• De nombreuses applications sont vulnérables à cause d'une mauvaise programmation ou volontairement et toutes les applications ont besoin de sécurité : services réseaux (daemons), applications téléchargées (applet java...), les applications web (scripts cgi…), les applications utilisées par l'administrateur avec un bit setuid/setgid et Explorateur ou Visualisateur de données distantes

Les vulnérabilités peuvent être dues à

• "backdoors" laissées volontairement ou involontairement sur un service
• Erreurs de programmation
• Débordements de tampons (buffer overflow)
• Chaînes de format
• Entrées utilisateurs mal validées
• Problèmes de concurrence

Buffer Overflow

• Le Buffer Overflow appelé "buffer overruns" est une vulnérabilité très étendue et l'Écriture de données hors de la zone allouée (pile ou tas)

Mécanismes de défense

• Chiffrement : Algorithme basé sur des clefs et transformant les données, avec sécurité dépendante de la sécurité des clefs
• Signature numérique : Ajout de données pour vérifier l'intégrité ou l'origine des données
• Bourrage de trafic : Ajout de données pour assurer la confidentialité, notamment au niveau du volume du trafic
• Notarisation : Utilisation d’un tiers de confiance pour assurer certains services de sécurité
• Contrôle d’accès : Vérification des droits d’accès d'un acteur aux données
• Antivirus : Protection contre les logiciels (ou fichiers potentiellement exécutables) néfastes, mais ne protège pas contre un accès légitime à une ressource non autorisée
• Pare-feu : Contrôle des communications qui traversent le réseau, mais n'empêche pas une connexion autorisée d'attaquer le système et ne protège pas contre une attaque venant du réseau intérieur
• Détection d'intrusion : Détection des activités anormales ou suspectes sur le réseau, ne détecte pas les accès incorrects mais autorisés par un utilisateur légitime et peut avoir des faux positifs ou négatifs
• Journalisation ("logs") : Permet de constater les attaques et de les analyser
• Analyse des vulnérabilités ("security audit") : Identification des points de vulnérabilité du système sans détecter les attaques déjà eu lieu
• Contrôle du routage : Sécurisation des chemins
• Contrôle d'accès aux communications : Utilisation du moyen de communication par des acteurs autorisés, par VPN ou tunnels
• Horodatage : Marquage sécurisé des instants significatifs
• Certification: Preuve d'un fait, d'un droit accordé
• Distribution de clefs : Distribution sécurisée des clefs entre les entités concernées
• Authentification : Utilisation d'un ou plusieurs éléments (ce qu'on sait, ce qu'on a, ce qu'on est)
• Protection physique si elle n'est pas excessive
• Définition du domaine à protéger, architecture à définir et des responsabilités (organigramme)

Autres éléments importants

• L'ingénierie sociale
• L'humain : Le respect des règles de sécurité est prépondérant et la compréhension de l'utilité des règles

Éléments d'architecture

• Pare-feu (Firewall)
• DMZ (Zone démilitarisée)
• IDS
• Log
• VPN

Virtual Private Network

• Seuls les agents autorisés peuvent avoir accès aux réseaux virtuels
  • Authentification des agents
    • Chiffrement des communications Le réseau virtuel permet d'accéder à des services en limitant la capacité d'interconnexion et le nombre de réseaux virtuels dépend des types d'agents
• Il existe de nombreuses implémentations du concept de réseau virtuel
  • Au niveau 2 : VLAN -Les trames Ethernet sont complétées par un VID
  • Au niveau 3 : IPsec+ - Accompagné d'une phase d'authentification (serveur d'authentification) - Les paquets sont chiffrés (serveurs de sécurité)