INF8420: Éléments de Sécurité Informatique

Daniel Boteanu

INF8420: Éléments de Sécurité InformatiqueINF8420: Éléments de Sécurité Informatique

Sécurité des applications web

INF8420Sécurité Informatique

Architecture des applications webArchitecture des applications web

Client légitime

Internet Server Web

Client légitime

Internet Server Web Server BD

Client légitime

Serveur

d’application

SQLXML

Client légitime

Serveur

d’application

Serveur

d’authentification

SQLXML

Kerberos

Client légitime

Client malicieux

Serveur

d’application

Serveur

SQLXML

Kerberos

Client légitime

Client malicieux

Pare-feuServeur

d’application

Serveur

HTML SQLXMLHTTP

Kerberos

INF8420Sécurité Informatique Problèmes de sécuritéProblèmes de sécurité

Authentification Vérification des données usager

SQL injection Cross site scripting Parameter tampering

Phishing (hameçonnage) Logique application

AUTHENTIFICATIONAUTHENTIFICATION

AuthentificationAuthentification

Composantes impliquées

Client légitime

Client malicieux

Pare-feuServeur

d’application

Serveur

INF8420Sécurité Informatique AuthentificationAuthentification

Canal de communication sécurisé (https) Challenge – response (NTLM, Kerberos) Réauthentification à des intervalles sécurisés Permission des usagers Tester Authentifier le client Authentifier le serveur

Authentification du serveur Certificat SSL

Authentification du serveur Certificat SSL Autre

VÉRIFICATION DES DONNÉES USAGER VÉRIFICATION DES DONNÉES USAGER

(Input validation)

Vérification des données usager (Input validation)

Ce qu’on fait

Client légitime

Client malicieux

Pare-feuServeur

d’application

Serveur

INF8420Sécurité Informatique Vérification des données usager

(Input validation)Vérification des données usager

(Input validation)

Code source html

<form action="mailto:yourname@yourdomain.com" method="post" onsubmit="return

checkform(this);">

function checkform ( form )

// see http://www.thesitewizard.com/archive/validation.shtml

// for an explanation of this script and how to use it on your

// own website

// ** START **

if (form.email.value == "") {

alert( "Please enter your email address." );

form.email.focus();

return false ;

// ** END **

return true ;

</script>

Vérification des données usager (Input validation)

Ce qu’on devrais faire

Client légitime

Client malicieux

Pare-feuServeur

d’application

Serveur

(Input validation)

Attaques Injection SQL (SQL Injection) Cross Site Scripting (XSS) Variable tampering

SQL INJECTIONSQL INJECTIONVérification des données usager

(Input validation)

Injection SQL (SQL Injection)

extract($_POST);

$req = "select mem_code from MEMBRES

where mem_login = '$login'

and mem_pwd = '$pass'";

$result = mysql_query($req) or

die ("Error : the SQL request <br><br>".$req."<br><br> is not valid: ".mysql_error());

list($mem_code) = mysql_fetch_array($result);

if (empty($mem_code)) { //verifier que la requette a retourne une reponse positive

Client légitime

Server Web

Server BD

(Input validation)

extract($_POST);

where mem_login = 'daniel'

and mem_pwd = 'Xa4!dfga'";

Client légitime

Server Web

Server BD

danielXa4!dfga

select mem_code from MEMBRES

and mem_pwd = 'Xa4!dfga'

(Input validation)

extract($_POST);

and mem_pwd = '' or '1'='1'";

Server Web

Server BD

daniel' or '1'='1

select mem_code from MEMBRES

and mem_pwd = '' or '1'='1'Client malicieux

(Input validation)

daniel

x'; INSERT INTO members

('email','passwd','login_id','full_name') VALUES

('steve@unixwiz.net','hello','steve','Steve Friedl');--

Client malicieux

CROSS SITE SCRIPTINGCROSS SITE SCRIPTINGVérification des données usager

(Input validation)

Cross site scripting (XSS)

extract($_POST);

$req = "select * from POSTS

where title = '$stitle'

Client légitime

Server Web

Search

Gagner de l’argent

Search results for Gagner de

l’argent:Comment gagner de l'argent facile et des

cadeaux sur internet…L' objectif du blog est de présenter toutes les

idées qui permettent d' économiser …

<html>

<body>

<h1>Search results for Gagner de l’argent :</h1>

<item>Comment gagner deacile et des cadeaux

sur internet…</item>

<item>L' objectif du blog est de présenter

toutes les idées qui permettent d' économiser …</item>

</itemize>

</body>

</html>

(Input validation)

extract($_POST);

$req = "select * from POSTS

where title = '$stitle'

Server Web

Search

<b>Super</b>

Search results for Super:

No results found

<html>

<body>

<h1>Search results for <b>Super</b> :</h1>

No results found

</itemize>

</body>

</html>

Client malicieux

(Input validation)

Your message has been posted

Client malicieux

id message

1 Hello

2 Bien fait ...

Server BD

3 <script type="text/javascript">document.location.href=“http://boteanu.com"</script>

(Input validation)

<h1>Guestbook messages:</h1>

Hello<br>

Bien fait<br>

<script

type="text/javascript">document.location.hr

ef=“http://boteanu.com"</script><br>

Guestbook messages:Hello

Bien fait ...

id message

1 Hello

2 Bien fait ...

3 <script type="text/javascript">document.location.href=“http://b

oteanu.com"</script>

Server BD

Client légitime

(Input validation)

Comment se protéger ? Valider les données de l’usager

sur le serveur Web et/ou sur le serveur d’applications limiter la taille de l’entrée refuser les caractères spéciaux ‘ “ \ / ; - < > accepter seulement les caractères nécessaires

Utiliser les SQL Stored Procedures Gérer les permissions sur la basé de données

usagers, rôles, permissions

Messages d’erreur Vérifications

(Input validation)

Comment vérifier si un site est vulnérable ?

Rien fait pour protéger -> probablement vulnérable Développé sans gestion de projet -> probablement vulnérable

Outils automatiques Nikto Acunetix ($$) WebScarab

Autres (http://sectools.org/web-scanners.html)

HAMEÇONNAGE HAMEÇONNAGE Phishing

Hameçonnage(Phishing)

Client légitime

Client malicieux

Pare-feuServeur

d’application

Server Web Faux

Vous avez gagné 1 million.

Connectez vous sur le site de la banque en cliquant sur

https://www.desjard1ns .com

INF8420Sécurité Informatique Hameçonnage

(Phishing)Hameçonnage

(Phishing)

Comment se protéger ?

Filtrer le spam Authentification du serveur Eduquer les utilisateurs

LOGIQUE DE L’APPLICATIONLOGIQUE DE L’APPLICATION

INF8420Sécurité Informatique Logique de l’applicationLogique de l’application

Chaque attaque est différente

Exploite la logique de l’application

Difficile à détecter

Exemples: Acheter un livre de -20$ Créer un million d’usagers et écrire des messages Enlever le câble réseau au milieu d’une partie d’échec

CONCLUSIONSCONCLUSIONS

INF8420Sécurité Informatique ConclusionsConclusions

Attaques web très populaires

Facile de créer une application vulnérable

Validation des données usager

Éducation des usagers

Principe de sécurité de l’oignon (layered security)

INF8420: Éléments de Sécurité Informatique

Documents

Sécurité Informatique Module 05

GDR Sécurité Informatique - GDR Sécurité Informatique

INF4420: Éléments de Sécurité Informatique · INF4420 Sécurité Informatique INF4420 Sécurité Informatique 3 Plan de ce chapitre Objets protégés et méthodes de protection

Recommandations de sécurité informatique

La sécurité informatique

Livre blanc "Sécurité informatique"

SÉCURITÉ INFORMATIQUE Recommandations de sécurité

Sécurité Informatique - Dossier Complet

sécurité informatique

La Sécurité Informatique

Audit Oo2 & Sécurité & Consulting Informatique

Référentiel de la sécurité informatique

Sécurité informatique: Les principes essentiels · Sécurité informatique: Les principes essentiels Jean-Marc Robert Génie logiciel et des TI

Sécurité informatique Prof. Mounir GRARI Ecole Supérieure de Technologie, Oujda grarimounir@gmail.com Sécurité informatique Mounir GRARI Sécurité informatique

Sécurité Informatique - PAG1 Sécurité Informatique Module 02

Sécurité Informatique - A not so short introduction · Sécurité informatique = Sécurité d’une chaîne = Sécurité du plus faible maillon Or il y a (vraiment) beaucoup de

Audit et Sécurité Informatique - ESEN

Introduction à la sécurité Informatique

La sécurité informatique - tony3d3.free.frtony3d3.free.fr/files/La-securite-informatique-dans-la-petite... · Avantpropos Ce livre sur la sécurité informatique dans les petites

INF4420: Sécurité Informatique