, . , e c u r 1 t e i n f o r m a t i q u e Principes et méthodes à l'usage des DSI, RSSI et administrateurs Laurent Bloch Christophe Wolfhugel Préfaces de Christian Queinnec et Hervé Schauer Avec la contribution de Nat Makarévitch Vl Q) 0 L > w ("I') r-l 0 N @ S é c u r i t é infarniatique L. Bloch Ancien élève de l'École nationale de la statistique et de l'administration Que recouvre le terme de sécurité informatique pour l'entreprise? histe-t-il des normes et bonnes pratiques économique IENSAE), universelles? Comment mettre en œuvre une politique de sécurité et mettre au point des chartes de conduite pour Laurent Bloch a travaillé minimiser le risque humain? à l'INSEE, dirigé les services d'informatique scientifique Une bible pratique et systématique pour le responsable informatique de l'INED, du CNAM et de Écrit par un responsable de la sécurité des systèmes d'information devenu DSI, et par un expert des réseaux et l'Institut Pasteur, avant d'être responsable de la sécurité des systèmes, ce livre limpide expose les risques inhérents à tout système informatique - et les moyens de s'en des systèmes d'information protéger. S'adressant aux administrateurs et responsables informatiques comme à leurs interlocuteurs, il offre au de l'INSERM ILead Auditor professionnel consciencieux un exposé clair des modes opératoires des programmes nocifs et des outils censés les certifié IS 27001), puis DSI contrer ainsi qu'une méthode rigoureuse pour concevoir une véritable politique de sécurité. de l'Université Paris-Dauphine ; il a écrit Les systèmes Outre un modèle de politique de sécurité et de charte d'utilisation que le lecteur pourra adapter à son environnement, d'exploitation des ordinateurs cette quatrième édition, mise à jour avec les dernières évolutions en matière de menaces et de sécurité, fait le point et Systèmes d'information, sur la pratique du c/oud computing et sur 1Pv6, et propose un éclairage sur la dimension géostratégique de la sécurité obstacles et succès (Vuibert, liée à l'Internet (Wikileaks, attaques contre la Géorgie et l'Estonie, coupure de l'Internet en Égypte ou en Tunisie, etc.J. 2003 et 2005). Il est aujourd'hui chercheur à l'Institut français d'analyse stratégique IIFAS). Au sommaire PREMliRES NOTIONS DE stcuR1Tt. Menaces, risques et vulnérabilités • Aspects techniques et organisationnels • La nécessaire C . Wolfhugel veille auprès des CERT • Le management de la sécurité • Les différents volets de la protection du SI • Sécurité physique Ingénieur INSA de Lyon, • Protection dans le système d'exploitation • Authentification • Failles et attaques sur les logiciels • Le mirage de la Christophe Wolfhugel biométrie • Malveillance informatique • Types de logiciels • Formes de malveillance • Spam • Attaques via le Web et s'est spécialisé dès la fin sur les données • Quelques statistiques ... SCIENCE DE LA stCURITt INFORMATIOUE. La clef de voûte : le chiffrement • DES et des années 1980 dans les réseaux IP, notamment RSA • Critères de robustesse • Sécurité du système d'exploitation et des programmes • Le modèle de protection Multics • l'Internet, et les services Protection des systèmes contemporains • Débordements de zone mémoire • Sécurité par analyse du code • Séparation associés. Il occupera plusieurs des privilèges dans le système • Architectures tripartites • Sécurité du réseau • Les réseaux privés virtuels [VPNJ • postes d'expert, chez HSC Partage distant de fichiers • Sécuriser un site en réseau • Le ONS • Traduction d'adresses NAT • Promiscuité sur et à l'Institut Pasteur. Co un réseau local • Réseau sans fil • Identités, annuaires, habilitations. L'identité dans un monde numérique • PGP et fondateur d'Oléane, premier signatures • Créer un réseau de confiance • Certificats • PoLITIOUES DE stcuRnt. Une charte des utilisateurs • Accès aux FAI français destiné aux ressources et aux services • Règles d'utilisation, de sécurité et de bon usage • Confidentialité • Respect de la législation entreprises, il rejoint le groupe • Préservation de l'intégrité du système • Usage des services Internet [Web, messagerie, forums ... J • Surveillance France Télécom lors de son rachat. Il est aujourd'hui et contrôle de l'utilisation des ressources • Rappel des principales lois françaises • Une charte de l'administrateur de installé à Londres en tant système et de réseau • Complexité en expansion et multiplication des risques • Règles de conduite • Proposition de que consultant et ingénieur charte • Organisation el mise en œuvre d'une politique de sécurité • Aspects humains et sociaux • Législation financière et SI • chez Sendmail, Inc. Sécurité psychologique du hacker • AVENIR DE LA stCURITt DU SI. Versatilité des protocoles • Encapsulation HTTP • pour l'Europe. Protocoles pair-à-pair [peer-to-peerl : exemple de Skype • Téléphonie sur IP, 1Pv6 • Tendances • Les six idées les plus stupides en sécurité selon Ranum • Les 50 prochaines années, selon Alan Cox • Détection d'intrusion, inspection en profondeur • À qui obéit votre ordinateur? • Échanges de données numériques • Dimension géostratégique • Organisation et contexte économique de l'Internet • L'.hégémonie américaine en question • Estonie et Géorgie • WikiLeaks • Stuxnet • Égypte et Tunisie : peut-on éteindre l'Internet ? Vl Q) 0 L > w À qui s'adresse cet ouvrage? ("I') r-l - Aux administrateurs de systèmes et de réseaux, mais aussi aux OS! et aux responsables de projets; 0 N - A tous ceux qui doivent concevoir ou simplement comprendre une politique de sécurité informatique. @ S é c u r i t é informatique Principes et méthodes Vl (1) 0 L > w (V') ,-t 0 N @ ..... .r::. ·.O::: l > o. 0 u CHEZ LE MÊME ÉDITEUR Ouvrages sur la sécurité, l'administration et la gestion des systèmes d'information F. MATTATTA. - Traitement des données personnelles. N° 12821, 3° édition, 2010, 562 pages. N° 13594, 2013, 188 pages. D. SEGUY et P. ÜAMACHE. - Sécurité PHP 5 et MySQL. Y. CoNSTANTTNIDIS. - Expression des besoins pour le SI. N° 13339, 3° édition, 2011, 277 pages. N° 13653, 2° édition, 2013, 294 pages. P-L. JliFALO. - La sécurité numérique de l'entreprise. D. MouroN. - Sécurité de la dématérialisation. N°55525, 2012, 296 pages. N° 13418, 2012, 314 pages. T. A. LIMONCELLI et S. BLONDEEL. -Admin'sys. A. FERNANDEZ-TORO. - Management de la sécurité de N° 11957, 2006, 258 pages. l'information. P. LEGAND. - Sécuriser enfin son PC. N° 12697, 3° édition, 2012, 322 pages. N° 12005, 2006, 400 pages. S. BORDAGE. - Conduite de projet Web. R. HERTZOG et R. MAs. - Debian Squeeze. GNU / Linux. N° 13308, 6° édition, 2011, 480 pages. N° 13248, 2011, 500 pages. A. LuPFER. - Gestion des risques en sécurité de E. DREYFUS. - BSD. Les dessous d'Unix. l'information. N° 11463, 2° édition, 2004, 290 pages. N° 12593, 2010, 230 pages. J.-F. BoucHAUDY. - Linux Administration (Tomes 1 E. BESLUAU. - Management de la continuité d'activité. à4). N° 12820, 2° édition, 2010, 298 pages. N° 12624, 12882, 12245, 12248. 2008 à 2011, 1500 S. BoHNKÉ. - Moderniser son système d'information. pages. N° 12764, 2010, 290 pages. B. BouTHERIN et B. DELAUNAY. - Sécuriser un réseau F. DUFAY. - CMMI par l'exemple. Linux. N° 12687, 2010, 288 pages. N° 11960, 3° édition, 2006, 266 pages. P. JoUFFROY. - ERP. T. HURBAIN et E. DREYFUS. - Mémento Unix/Linux. N° 12716, 2010, 317 pages. N° 13306, 2° édition, 2011, 14 pages. J. STEINBERG et T. SPEED. - SSL VPN. M.F. KRAFFT adapté par R. HERTZOG, R. MAS et N. N° 11933, 2006, 208 pages. MAKARÉVITCH. - Debian. Administration et configuration avancée. C. LLORENS, L. LEVIER, D. VALOIS et B. MORIN. - N° 11904, 2006, 674 pages. Tableaux de bord de la sécurité réseau. Collection« Accès Libre» Pour que l'informatique soit un outil, pas un ennemi ! R. M. STALLMAN, S. WILLIAMS et C. MAsurn. - Richard M. BAcK, P. B. KoETTER, R. HlLDERBANDT, A. McDoNALD, Stallman et la révolution du logiciel libre. D. RusENKo et C. TAYLOR. - Monter son serveur de (V1)l N° 13635, 2° édition, 2013, 338 pages. mails sous Linux. 0 N° 11931, 2006, 346 pages. L> X. TANNIER. - Se protéger sur Internet. w N° 12774, 2010, 232 pages. A. BOUCHER. - Ergonomie web. (V) ,-t N° 13215, 3° édition, 2011, 356 pages. 0 C. Huc. - Préserver son patrimoine numérique. N @ N° 12789, 2010, 344 pages. K. NovAK. - Linux aux petits oignons. ..... N° 12424, 2009, 546 pages . .r::. M. W. LUCAS. - PGP et GPG. Assurer la confidentialité ·.O::: l de ses e-mails et fichiers. >- 0. N° 12001, 2006, 230 pages. 0 u S é c u r i t é i n f a r n i a t i q u e cm=, Principes et méthodes Laurent Bloch Christophe Wolfhugel Préfaces de Christian Queinnec et d'Hervé Schauer Avec la contribution de Nat Makarévitch Vl (1) 0 L > w (V') ,-t 0 N @ ..... .r::. ·.O::: l > o. EYROLLES u0 • ÉDITIONS EYROLLES 61, bd Saint-Germain 75240 Paris Cedex 05 www.editions-eyrolles.com Remerciements à Marie-Capucine Berthier pour sa relecture. Vl (1) 0 L > w (V') ,--t 0 N ~ En application de la loi du 11 mars 1957, il est interdit d: reproduire intégralement ou partiellement le présent ouvrage, -§i sur quelque support que ce soit, sans l'autorisation de l'Editeur ou du Centre Français d'exploitation du droit de copie, ·~ 20, rue des Grands Augustins, 75006 Paris. g- © Groupe Eyrolles, 2006, 2009, 2011, 2013, ISBN : 978-2-212-13737-8 u Préface L'Internet, on le lit souvent, est une jungle, un lieu plein de dangers sournois, ta pis et prêts à frapper fort, péniblement et durablement. On aura intérêt à ne pas s'attarder sur cette banalité car la jungle est en l'occurrence l'endroit où l'on doit obligatoirement vivre. En revanche, tout comme pour certaines maladies trans missibles, être ignare, ne pas vouloir apprécier les dangers, persister à les ignorer sont des attitudes blâmables. Par contre, un ordinateur est un assemblage hétéroclite, historiquement enche vêtré, de matériels et de logiciels dont les innombrables interactions sont au-delà de !'humainement appréhendable. Un ordinateur est tout autant une jungle, qui même s'étend au fil de ses expositions successives à Internet. Comme dans tant d'autres domaines sociétaux, la «sécurité» est réputée être la solution à ces problèmes ! Mais plus que de bonnement nommer cette solution, d'espérer un monde meilleur où l'on pourrait enfin jouir de cette fameuse sécurité, il faut s'interroger sur son existence, sa nature, ses constituants, ses conditions d'apparition ou de dispari tion, son développement, etc. C'est précisément à ces interrogations que répond Vl l'ouvrage de Laurent Bloch et Christophe Wolfhugel. (1) 0 L> Un tel état de grâce ne s'obtient ni par décret, ni par hasard. C'est le résultat d'une w confluence opiniâtre de comportements et de solutions techniques. Ces dernières (V') ,-t 0 existent depuis l'article séminal de Diffie et Hellman [SOI publié en 1976 , qui a N permis de résoudre le problème, ouvert depuis des millénaires : comment deux @ ..... personnes, ne se connaissant au préalable pas, peuvent-elles élaborer un secret .r::. ·.O::: l commun à elles seules en n'ayant échangé que des messages publics? Clés publiques > o. 0 u - Sécurité informatique et privées, certificat, signature électronique sont les plus connues des innovations dérivées de cet article. Notariat électronique, respect de l'anonymat (réseau TOR), crypto-virus blindés en sont d'autres plus confidentielles. Si, dès maintenant, des solutions techniques existent pour un monde meilleur, sur le plan humain le salut peine à s'instaurer. On ne peut souhaiter un monde sûr que si l'on prend la mesure de l'actuelle insécurité. On ne peut espérer un monde plus sûr que si l'on sait qu'il est réalisable, que si l'on est prêt à tolérer des chan gements personnels importants de comportement, si l'entière société humaine sti mule l'adoption de ces nouvelles règles et veille à les adapter au rythme des inéluc tables évolutions. La sécurité n'est qu'un sentiment dont l'éclosion est due à la conjonction de facteurs techniques et sociétaux. La mise en place d'un contexte favorable à ce sentiment est complexe, tant sont grandes les difficultés de réalisation et les oppositions entre les différentes inclinations libertaires, dirigistes ou Big Brother-iennes. L'anonymat est-il autorisé sur Internet? Puis-je mettre mon ordinateur en conformité avec mes désirs sécuritaires? Comment rétribuer une création intellectuelle incarnée numériquement (sic) et dont la duplication est quasiment gratuite? Devons-nous laisser l'offre des industriels diriger notre morale et notre liberté ? L'excellent livre de Laurent Bloch et Christophe Wolfhugel a pour thème la sécu rité. Loin de s'appesantir sur les seuls aspects techniques ou de broder autour de banalités comme « la sécurité parfaite n'existe pas » ou encore « avoir listé les me naces garantit une éternelle quiétude », ce livre est à lire et à méditer par tous ceux qui y croient et tous ceux qui n'y croient pas afin que tous puissent participer intel ligemment à l'avènement de l'ère numérique. Cet espace incommensurablement démocratique (les internautes votent avec leur souris) que réalise l'interconnexion de toutes les puces calculantes, nous avons une chance de modeler son avenir tout autant que de le transformer en le plus effroyablement fliqué lieu communautaire. À nous de choisir, à la lueur de ce que nous en dit cet ouvrage. Vl Q) 0 L > w ('I') r-l 0 N Christian Qyeinnec @ .,_, Professeur à l'université ..c ·.O::: l Pierre et Marie Curie >- 0. 0 u Préface Il Alors que la sécurité des systèmes d'information était un produit de luxe, elle tend aujourd'hui à devenir un moyen d'apporter la confiance au cœur des affaires. Cet ouvrage en rappelle les bases techniques et présente une perspective nouvelle, pertinente et utile à tous les acteurs du secteur de la sécurité des systèmes d'infor mation, par deux esprits vifs, qui ont prouvé, par leur carrière et leurs réalisations, leur indépendance et leur compétence. Hervé Schauer Consultant en sécurité des systèmes d'information depuis 1989 Vl Q) 0 L > w ('I') r-l 0 N @ .,_, ..c ·.O::: l >- 0. 0 u Copyright© 2013 Eyrolles.