Sécurité Informatique: Certificat Numérique

Sécurité Informatique : Certificat Numérique

• Un certificat numérique est une carte d'identité numérique utilisée pour identifier, authentifier des individus ou pour chiffrer des échanges.
• Classes de certificats numériques :
  • Classe I : Garanties limitées à l'existence d'une adresse e-mail.
  • Classe II : Garantit l'identité du titulaire et de son entreprise par des vérifications de l'autorité de certification.
  • Classe III : Identité vérifiée physiquement en plus des garanties de la classe II.
• Un certificat numérique garantit l'authenticité d'une clé publique via une autorité de confiance.
• Utilité :
  • Certifier une clé publique
  • Identifier et authentifier une personne physique ou morale.
  • Chiffrer des données.
  • Assurer des communications sécurisées (SSL).
  • Signature numérique sécurisée.
• Un certificat est similaire à une carte d'identité et est délivré par une Autorité de Certification.

Création d'un Certificat Numérique

• Composants d'un certificat :
  • Numéro de série
  • Algorithme de signature
  • Nom de l'émetteur
  • Période de validité
  • Nom du sujet
  • Information clé publique
  • Identifiants uniques de l'émetteur et du sujet
• Le processus inclut la création d'une empreinte et le chiffrement avec la clé privée de l'autorité de certification.

Caractéristiques d'un Certificat Numérique

• Les informations comprennent la version, le numéro de série, l'algorithme de signature, les détails de l'émetteur, la période de validité, les informations sur le sujet et la clé publique du sujet.
• Les extensions X509 v3 peuvent être incluses.

Types de Certificats en Sécurité Informatique

• Certificat Personnel :
  • Stocké sur un ordinateur, carte à puce ou jeton USB.
  • Usage privé (e-mails, chiffrement et achats en ligne).
• Certificat Serveur :
  • Hébergé sur un serveur web.
  • Lié à une adresse Internet (URL).
  • Sécurisation des échanges électroniques (SSL).
• Certificat Développeur :
  • Intégré à certains navigateurs (IE, Firefox).
  • Autorise des applications à être lancées avec des droits spécifiques.
• Certificat IPSEC :
  • Utilisé sur les routeurs.
  • Chiffre le trafic entre équipements réseau (VPN, tunnel IPSEC).

Informations Contenues dans un Fichier de Certificat Numérique

• Nom de l'autorité de certification
• Nom et prénom de la personne physique
• Entreprise
• Adresse e-mail
• Clé publique
• Dates de validité
• Signature électronique

Échange de Clé Diffie-Hellman: Principe

• Diffie-Hellman(DH) est un algorithme de chiffrement asymétrique permettant d'échanger une clé secrète sur un canal non sécurisé sans secret préalable.
• Alice et Bob conviennent de deux nombres :
  • Un nombre premier n, et sa racine primitive g, transmis en clair.
  • Alice choisit un grand nombre aléatoire x et calcule A = gx mod n
  • Bob fait de même avec y et B = gy mod n
  • Alice calcule ensuite K1 = Bx mod n, Bob calcule K2 = Ay mod n, aboutissant à une clé partagée.

Attaque de l'intercepteur (Man-in-the-Middle) contre Diffie-Hellman

• Un attaquant, Eve, intercepte ou modifie les messages échangés pour se faire passer pour Alice ou Bob.
• Eve trompe Alice et Bob dans une attaque de l'intercepteur.

Racine Primitive et Sécurité des Réseaux

• La racine primitive d'un nombre premier n est un nombre a où an et suit les critères suivants:
  • a' mod n donne des résultats uniques pour chaque a = 1 à n-1 et i = 1,2,3,4....;
• Les racines primitives de n=11 sont : 2,6,7,8;

Sécurité des Mots de Passe sous Linux et le Stockage

• Les systèmes UNIX utilisaient un algorithme de chiffrement symétrique DES pour stocker les mots de passe dans le fichier /etc/passwd.
• Désormais, les mots de passe sont stockés dans /etc/shadow, avec chiffrement MD5.
• Seul le superutilisateur (root) peut modifier les informations du fichier /etc/passwd.
• /etc/shadow contient le mot de passe chiffré(X)

Fichier /etc/passwd ou /etc/shadow

Les seuls avec les droits d'écrire dans sont le superutilisateur (root)

• Login : nom du compte utilisateur
• X : mot de passe utilisateur chiffré
• UID : identificateur d'utilisateur pour le système d'exploitation
• GID : identificateur du groupe de l'utilisateur Commentaire : informations sur l'utilisateur Répertoire de connexion : répertoire par défaut après connexion Interpréteur de commandes : interpréteur par défaut après connexion.

Les Défis de Sécurité et le Cryptage Avancé des mots de passe

• Le cryptage donne : $1$s1f5m5j4$oLyi.z6g6/.Fx4x0y6nxD0.
• Composé de deux parties :
  • Le salt : identifiant d'un algorithme, chaîne aléatoire non secrète.
  • Le mot de passe crypté : résultat du hachage MD5.

Outils de Sécurité et configuration

• Openssl Créé un certificat numérique contenant la cle publique de façon sécurisée, transtert physique ou session cryptée

Gestion des Mots de Passe

• Utiliser la commande openssl passwd avec des options variées pour crypter les mots de passe en utilisant des algorithmes comme CRYPT, AES, MD5, SHA256, SHA512.

Stockage sécurisé du fichier Shadow

Seuls root et certains services spécifiques y ont accès: root,$6$abc123salt$hashedpassword:19234:7:90:10:30:20000

• Caractéristiques du fichier /etc/shadow*
• Asimi:$6$abc123salt$hashedpassword:19234:7:90:10:30:20000:
  • nom_utilisateur: Asimi
  • mot_de_passe_chiffré
  • date_de_dernière_modif
  • âge_min:Durée de 7 jours minimum entre deux changements des mots de pass
  • âge_max: Le mot de passe expire après 90 jours

Outils PAM PAM et login.defs pour les configurer avec leur fonction

• Pour configurer de bonnes pratiques:
  • Minimum de 12 caractères -Au moins 3 classes
    • La limite de répétition des caractères doivent être 2

Comment protéger le nombre de tentatives pour les utilisateurs

• CREATE_HOMEIndique : Si un répertoire par défaut est créé pour un nouvel utilisateur, alors oui
• Avec LOGIN_RETRIES : Définir le nombre limite de tentatives de connexion et LOGIN_TIMEOUT indique la durée d'attente
• Utilisez Erasechar désignant le caractère utilisé pour supprimer le dernier caractère saisi: Ctrl + H