Initiation à la sécurité Informatique

Frédéric Gava (MCF)gava@univ-paris12.fr

LACL, bâtiment P2 du CMC, bureau 223Université de Paris XII Val-de-Marne

61 avenue du Général de Gaulle94010 Créteil cedex

Introduction

3/47

Problèmes de sécurité (1) Internet :

confidentialité anonymat authentification (s’agit-il bien du site de ma banque ?)

Signature électronique vérifiable authentique non-répudiation (je n’ai jamais signé ce texte...)

Vote électronique Chaque vote est confidentiel On ne peut pas connaître des résultats partiels Seuls les électeurs peuvent voter et une seule fois

4/47

Problèmes de sécurité (2)

Paiement par carte bleue Est-ce qu’il s’agit d’une vraie carte ?

Est-ce que le montant débité sera égal au montant crédité ?

Est-ce que le code secret est bien protégé ?

Décodeur, Vérification de l’abonné Impossibilité de retransmettre les données décodées à une tierce personne

Mise à jour de l’abonnement

5/47

Problèmes de sécurité (3)

Porte monnaie électronique Pas de création de fausse monnaie

Pas de création de faux porte-monnaie

Base de données sécurisée Seules les personnes habilitées ont accès à la vue partielle à laquelle elles ont droit

Les données peuvent être échangées entre un médecin, un laboratoire, un hôpital

Mise à jour possible des données

6/47

Propriétés de la sécurité Secret : Est-ce qu’un participant malhonnête peut connaître une donnée confidentielle ? Authentification : À qui parle-t-on vraiment ? Anonymat : Peut-on savoir qui communique avec qui ? Équité : Lors de la signature d’un contrat, est-ce que l’un des signataires peut obtenir un avantage sur l’autre ? Bon délais : le temps de faire la transaction est il résolu ou non ? Comment faire ?

primitives cryptographiques Quelques protocoles simples avec chiffrement (protocoles cryptographiques, on suppose un réseau non sûr) La vérification de la sûreté des protocoles : l’analyse de logiciels critiques en général

Chiffrement et clés

8/47

Principe du chiffrement Chiffrement symétrique : on utilise la même clés pour chiffrer et pour déchiffrer

Chiffrement asymétrique : on chiffre avec la clés publique et on déchiffre avec la clés privée

ChiffrementÉcrivain

Clef

Bonjour !

Lecteur

Bonjour !

Déchiffrement

Clefahkyerbjher

ChiffrementÉcrivain

Clef publique

Bonjour !

Lecteur

Bonjour !

Déchiffrement

Clef privée

ahkyerbjher

9/47

Histoire du chiffrement Le chiffrement de César (décalage de lettres) Disque de chiffrement (Léone Battista Alberti en 1466)

Mais sujet à des analyses statiques 1940, le chiffrement par machine, exemple Enigma. Début de la cryptanalyse.

10/47

Chiffrement aujourd’hui Utilisation de problème algorithmique dure (en temps de calcul). Essentiellement basé sur les nombres premiers (divisible que par 1 et par eux-même) Exemple, le chiffrement RSA :

Soit n = p*q avec p et q qui sont premiers Soit e qui est publique et un d qui sera privé Chiffrement : pour tout x on calcul (x^e modulo n) Déchiffrement : pour tout y on calcul y^d modulo n Casser le chiffrement revient à calculer un d tel que x=y^d où d=e^(-1) modulo (n)

Exemple, le chiffrement de Diffie-Hellman étant donné A=g^a et B=g^b (a,b,g sont premiers) calculer DH(a,b)=g^(a*b)

PECA

11/47

Conséquences

Casser ce type de cryptage est très très très très très long, exponentiel en la taille de la clés Exemple (taille de la clés, temps logarithmique) :

(512 bits, 58) (1024 bits, 80) (2048 bits, 111) (4096 bits, 149) (8192 bits, 156)

Environ 2^60 ans pour une clés de 1024 bits soit environ 11529215046 milliards d’années

12/47

La signature électronique

SignatureFrédéric

Clef

Frédéric

Nicole

Frédéric

Vérification

Clefahkyerbjher

Les protocoles

14/47

Échange de secretOn peut utiliser la clef k=12897897

La pièce qui l’accuse est {chandelier}12897897

Ah ah, la clés est 12897897 donc peux déchiffrer et j’accuse le Colonel Moutarde d’avoir tué Madame Rose avec un chandelier !

Maître Alice Maître Bob

Procureur

15/47

Chiffrement commutatif{chandelier}ClefAlice

{{chandelier} CleAlice}ClefBob

{chandelier}ClefBob

Danger, le procureur peut lire la donnée confidentielle si l’intercepte la communication

{chandelier}ClefAlice

{{chandelier} CleAlice}ClefProc

{chandelier}ClefProc

Mauvaise idée : si on peut chiffrer et déchiffrer dans n’importe quel ordre…

16/47

Paiement par CB

1) L’acheteur introduit sa carte

2) Le commerçant saisit le montant m de la transaction sur le terminal.

3) Le terminal authentifie la carte

4) L’acheteur donne son code à la carte Si m dépasse 100 Euros (et dans seulement 20% des cas) : le

terminal demande l’authentification de la carte à la banque La banque donne l’autorisation.

17/47

Protocole à clés publique

Protocole d’authentification (prouvé l’un et l’autre leurs identités respectives dans un réseau non sûr) inventé par Needham-Schroeder en 1978

Longtemps utilisé par les CB

Possède une faille terrible mais heureusement résolue

Cette attaque est « man in the middle »

Il a fallu 17 ans pour l’imaginer et ce rendre compte que l’étude des protocoles cryptographiques est un vrai challenge (pas un protocole au monde n’est à 100% sûr…)

Regardons cela de plus près : un peu d’attention SVP (non demandé à l’examen mais très intéressant)

18/47

Le protocole d’origine On note :

A pour Alice, B pour Bob et P pour le méchant procureur

NA la signature électronique d’Alice (idem pour Bob et le procureur)

ClésAlice pour la clés publique de chiffrement de Alice (idem pour Bob et le procureur)

Le fonctionnement :

Questions : Est-ce que NB est secret entre Alice et Bob ? Lorsque Bob reçoit le message de Alice, est-ce que le message provient réellement d’Alice ? Voyons comment biaiser le système, l’attaque « man in the middle »

{A, NA}ClefBob

{NA, NB}ClefAlice

{NB}ClefBob

PECA

19/47

L’attaque (1){A,NA}ClefProc {A,NA}ClefBob

{NA,NB}ClefAlice {NA,NB}ClefAlice

{NB}ClefProc {NB}ClefBob

PECA

20/47

L’attaque (2)

En fait, Maître Alice souhaite parler au Procureur et celui-ci va se faire passer pour Alice auprès de Maître Bob « à l’insu de son plein grès ». Il peut ensuite lui soutirer ce qu’il désire…gnark gnark…

Une solution ?

Oui, il faut rajouter le nom du destinateur (Bob) dans la réponse du destinateur

21/47

Sûreté et sécurité Des tests ne suffisent pas car on peut ne pas tester un cas sensible. Penser au :

régulateurs de vitesse des voitures

régulateurs cardiaques

Ariane 5 (explosion pour le vol inaugurale le 11/12/2002 à cause d’un bug logiciel et d’une faille dans le protocole)

Il faut donc des preuves formelles pour la sûreté et la sécurité des logiciels (et donc des vies humaines)

Très difficile de prouver toutes les propriétés

Impossible de savoir s’il l’on a pas oublié une dernière propriété

Même si l’on sait très bien crypté, on ne sait pas encore très bien dire (on connaît déjà des exemples) si on ne peut pas casser le chiffrement grâce à plusieurs messages dans le protocole…

Exemples : Le système de protection par zones des DVD : 1 semaine pour trouver des kit tout fait de cassage sur Internet

Les protocoles WIFI : on trouve des logiciels tout fait sur Internet qui vous donne la clés du réseau en environ 1h…même celui de la fac de Droit ;-)

22/47

Futur ? La recherche en Informatique actuel s’intéresse de très près à ce type de problèmes avec :

des logiciels de preuves formelles (automatique ou assisté par le programmeur pour les cas difficiles l’utilisation de machines parallèles La définition de nouveau protocole et chiffrement de plus en plus sophistiqué et donc de plus en plus dure à casser

Elle ne pourra jamais (mais qui sait ?) contrecarrer les pirates informatiques qui utilisent :

la force pour obtenir les mots de passes la bêtise des gens à donner des mots de passes trop simples (nom du chat, date de naissance, etc.) le baratin pour tromper les gens (j’suis inspecteur des impôts, donnez moi … pour que je puisse bien vérifier vos comptes)

Prévention et résolution des pannes

24/47

Prévention (1) Passer périodiquement un logiciel antivirus récent sur son PC Passez cet anti-virus sur les disques (clés USB, CD/DVD etc.) introduit dans votre PC, même ceux de vos proches Enregistrer régulièrement son document de travail Effectuer des sauvegardes de ses documents sur différents supports (tout support magnétique ou CD/DVD finira inexorablement par se détériorer) Toujours éteindre son PC par le menu Démarrer/Arrêter ; ne pas l’éteindre avec le bouton On/Off sauf s’il est bloqué et que Control-Alt-Suppr ne fonctionne pas Évitez d’avoir trop de documents ou programmes ouverts à la fois ce qui peut surcharger la mémoire

25/47

Prévention (2) Se méfier des fichiers attachés reçus par courrier électronique (un document Word ou Excel peut contenir des virus macros, un programme exécutable n’importe quel type de virus) ; ne jamais lancer un programme reçu par un expéditeur inconnu

D’une manière générale, respecter le matériel, ne pas lui demander de faire trop de choses à la fois

Désinstallez proprement vos logiciels (Ajout/Suppression de programmes dans le panneau de configuration)

26/47

Résolution (1) Dysfonctionnement d’un logiciel : enregistrer son travail, quitter le logiciel et le relancer Dysfonctionnement grave : arrêter l’ordinateur par le menu Démarrer/Arrêter, attendre 30 secondes et le rallumer Blocage : si la souris fonctionne, essayer de quitter le logiciel ; pressez Alt-Tab pour changer d’application si vous avez un document à sauver; si rien ne marche appuyer sur les touches Control-Alt-Suppr (1 seconde au moins). La liste des programmes actifs s’affiche alors. Sélectionnez celui indiquant (pas de réponse) et cliquez sur fin de tâche. Les travaux en cours sur ce logiciel risquent d’être perdus. Apparition de l’écran bleu Erreur fatale...(plantage du noyau de Windows) : appuyez sur une touche ; si l’écran bleu reste, pressez Control-Alt-Suppr

27/47

Résolution (2) Si Control-Alt-Suppr ne marche pas, il ne reste plus qu’à arrêter l’ordinateur (bouton On/Off ou mieux : bouton Reset) ; à ne faire qu’en dernière extrémité (si le disque dur est en cours d ’utilisation lorsque vous appuyez sur Off, vous pouvez perdre son contenu ou avoir à réinstaller Windows...) Si un document ne s’imprime pas :

vérifiez que l ’imprimante est online (appuyer sur On/Off), essayez d ’appuyer sur continue en cas de bourrage papier (paper jam), ouvrir le capot de l ’imprimante et retirer délicatement la feuille coincée, surtout sans la déchirer les autres problèmes peuvent être un câble ou une connexion défectueuse, ou alors un problème de pilote d ’imprimante Pour éviter les bourrages, aérer la liasse que vous insérez dans le chargeur de papier.

28/47

Résolution (3) Si votre disquette (ou clès USB ou CD/DVD) est illisible : essayez avec un autre PC ; si çà ne marche pas, des secteurs de la disquette sont probablement détériorés (l’avez-vous reformattée avant utilisation ?) ; il existe des logiciels utilitaires (Norton Utilities...) qui peuvent réparer votre disquette (50% de chance...) Si vous avez un virus : désinfectez tous les supports infectés (disque dur, disquettes) et affichez le descriptif du virus (il peut être bénin ou très dangereux) ; prévenez les personnes avec qui vous avez échangé récemment des données Si Windows ne démarre pas : démarrez en mode « sans échec » (touche F8 ou Control sous Windows) ; si le PC démarre il s’agit d’un problème de pilote de périphérique ; utiliser l’aide de Windows et les programmes utilitaires

29/47

En général

autre problème : de manière générale, il ne sert à rien de solliciter un spécialiste si vous ne pouvez pas décrire précisément votre problème (environnement de travail, versions de logiciels, messages d’erreurs précis) ;

Réessayez plusieurs fois en simplifiant votre manipulation afin d’isoler le problème ; lisez la documentation et si nécessaire réinstallez le logiciel incriminé (attention : la réinstallation d’un SE comme Windows réinitialise le disque dur ; il faut auparavant sauver vos documents, messages, signets, etc.).