Initiation à la sécurité Informatique

1. Initiation à la sécurité Informatique Frédéric Gava (MCF) gava@univ-paris12.fr LACL, bâtiment P2 du CMC, bureau 223 Université de Paris XII Val-de-Marne 61 avenue du Général de Gaulle 94010 Créteil cedex

2. Introduction

3. Problèmes de sécurité (1) • Internet : • confidentialité • anonymat • authentification (s’agit-il bien du site de ma banque ?) • Signature électronique • vérifiable • authentique • non-répudiation (je n’ai jamais signé ce texte...) • Vote électronique • Chaque vote est confidentiel • On ne peut pas connaître des résultats partiels • Seuls les électeurs peuvent voter et une seule fois

4. Problèmes de sécurité (2) • Paiement par carte bleue • Est-ce qu’il s’agit d’une vraie carte ? • Est-ce que le montant débité sera égal au montant crédité ? • Est-ce que le code secret est bien protégé ? • Décodeur, Vérification de l’abonné • Impossibilité de retransmettre les données décodées à une tierce personne • Mise à jour de l’abonnement

5. Problèmes de sécurité (3) • Porte monnaie électronique • Pas de création de fausse monnaie • Pas de création de faux porte-monnaie • Base de données sécurisée • Seules les personnes habilitées ont accès à la vue partielleà laquelle elles ont droit • Les données peuvent être échangées entre un médecin, un laboratoire, un hôpital • Mise à jour possible des données

6. Propriétés de la sécurité • Secret : Est-ce qu’un participant malhonnête peut connaître une donnée confidentielle ? • Authentification : À qui parle-t-on vraiment ? • Anonymat : Peut-on savoir qui communique avec qui ? • Équité : Lors de la signature d’un contrat, est-ce que l’un des signataires peut obtenir un avantage sur l’autre ? • Bon délais : le temps de faire la transaction est il résolu ou non ? • Comment faire ? • primitives cryptographiques • Quelques protocoles simples avec chiffrement (protocoles cryptographiques, on suppose un réseau non sûr) • La vérification de la sûreté des protocoles : l’analyse de logiciels critiques en général

7. Chiffrement et clés

8. Principe du chiffrement Bonjour ! Bonjour ! ahkyerbjher Clef Clef Écrivain Chiffrement Déchiffrement Lecteur Bonjour ! ahkyerbjher Bonjour ! Clef publique Clef privée Écrivain Chiffrement Déchiffrement Lecteur • Chiffrement symétrique : on utilise la même clés pour chiffrer et pour déchiffrer • Chiffrement asymétrique : on chiffre avec la clés publique et on déchiffre avec la clés privée

9. Histoire du chiffrement • Le chiffrement de César (décalage de lettres) • Disque de chiffrement (Léone Battista Alberti en 1466) • Mais sujet à des analyses statiques • 1940, le chiffrement par machine, exemple Enigma. Début de la cryptanalyse.

10. Chiffrement aujourd’hui • Utilisation de problème algorithmique dure (en temps de calcul). Essentiellement basé sur les nombres premiers (divisible que par 1 et par eux-même) • Exemple, le chiffrement RSA : • Soit n = p*q avec p et q qui sont premiers • Soit e qui est publique et un d qui sera privé • Chiffrement : pour tout x on calcul (x^e modulo n) • Déchiffrement : pour tout y on calcul y^d modulo n • Casser le chiffrement revient à calculer un d tel que x=y^d où d=e^(-1) modulo (n) • Exemple, le chiffrement de Diffie-Hellman • étant donné A=g^a et B=g^b (a,b,g sont premiers) • calculer DH(a,b)=g^(a*b) PECA

11. Conséquences • Casser ce type de cryptage est très très très très très long, exponentiel en la taille de la clés • Exemple (taille de la clés, temps logarithmique) : • (512 bits, 58) • (1024 bits, 80) • (2048 bits, 111) • (4096 bits, 149) • (8192 bits, 156) • Environ 2^60 ans pour une clés de 1024 bits soit environ 11529215046 milliards d’années

12. La signature électronique Frédéric Frédéric ahkyerbjher Clef Clef Frédéric Signature Vérification Nicole

13. Les protocoles

14. Échange de secret Maître Alice Maître Bob On peut utiliser la clef k=12897897 La pièce qui l’accuse est {chandelier}12897897 Procureur Ah ah, la clés est 12897897 donc peux déchiffrer et j’accuse le Colonel Moutarde d’avoir tué Madame Rose avec un chandelier !

15. Chiffrement commutatif {chandelier}ClefAlice {{chandelier} CleAlice}ClefBob {chandelier}ClefBob {chandelier}ClefAlice {{chandelier} CleAlice}ClefProc {chandelier}ClefProc Mauvaise idée : si on peut chiffrer et déchiffrer dans n’importe quel ordre… Danger, le procureur peut lire la donnée confidentielle si l’intercepte la communication

16. Paiement par CB • L’acheteur introduit sa carte • Le commerçant saisit le montant m de la transaction sur le terminal. • Le terminal authentifie la carte • L’acheteur donne son code à la carte • Si m dépasse 100 Euros (et dans seulement 20% des cas) : le terminal demande l’authentification de la carte à la banque • La banque donne l’autorisation.

17. Protocole à clés publique • Protocole d’authentification (prouvé l’un et l’autre leurs identités respectives dans un réseau non sûr) inventé par Needham-Schroeder en 1978 • Longtemps utilisé par les CB • Possède une faille terrible mais heureusement résolue • Cette attaque est « man in the middle » • Il a fallu 17 ans pour l’imaginer et ce rendre compte que l’étude des protocoles cryptographiques est un vrai challenge (pas un protocole au monde n’est à 100% sûr…) • Regardons cela de plus près : un peu d’attention SVP (non demandé à l’examen mais très intéressant)

18. Le protocole d’origine PECA • On note : • A pour Alice, B pour Bob et P pour le méchant procureur • NA la signature électronique d’Alice (idem pour Bob et le procureur) • ClésAlice pour la clés publique de chiffrement de Alice (idem pour Bob et le procureur) • Le fonctionnement : • Questions : • Est-ce que NB est secret entre Alice et Bob ? • Lorsque Bob reçoit le message de Alice, est-ce que le message provient réellement d’Alice ? • Voyons comment biaiser le système, l’attaque « man in the middle » {A, NA}ClefBob {NA, NB}ClefAlice {NB}ClefBob

19. L’attaque (1) PECA {A,NA}ClefProc {A,NA}ClefBob {NA,NB}ClefAlice {NA,NB}ClefAlice {NB}ClefProc {NB}ClefBob

20. L’attaque (2) • En fait, Maître Alice souhaite parler au Procureur et celui-ci va se faire passer pour Alice auprès de Maître Bob « à l’insu de son plein grès ». Il peut ensuite lui soutirer ce qu’il désire…gnark gnark… • Une solution ? • Oui, il faut rajouter le nom du destinateur (Bob) dans la réponse du destinateur

21. Sûreté et sécurité • Des tests ne suffisent pas car on peut ne pas tester un cas sensible. Penser au : • régulateurs de vitesse des voitures • régulateurs cardiaques • Ariane 5 (explosion pour le vol inaugurale le 11/12/2002 à cause d’un bug logiciel et d’une faille dans le protocole) • Il faut donc des preuves formelles pour la sûreté et la sécurité des logiciels (et donc des vies humaines) • Très difficile de prouver toutes les propriétés • Impossible de savoir s’il l’on a pas oublié une dernière propriété • Même si l’on sait très bien crypté, on ne sait pas encore très bien dire (on connaît déjà des exemples) si on ne peut pas casser le chiffrement grâce à plusieurs messages dans le protocole… • Exemples : • Le système de protection par zones des DVD : 1 semaine pour trouver des kit tout fait de cassage sur Internet • Les protocoles WIFI : on trouve des logiciels tout fait sur Internet qui vous donne la clés du réseau en environ 1h…même celui de la fac de Droit ;-)

22. Futur ? • La recherche en Informatique actuel s’intéresse de très près à ce type de problèmes avec : • des logiciels de preuves formelles (automatique ou assisté par le programmeur pour les cas difficiles • l’utilisation de machines parallèles • La définition de nouveau protocole et chiffrement de plus en plus sophistiqué et donc de plus en plus dure à casser • Elle ne pourra jamais (mais qui sait ?) contrecarrer les pirates informatiques qui utilisent : • la force pour obtenir les mots de passes • la bêtise des gens à donner des mots de passes trop simples (nom du chat, date de naissance, etc.) • le baratin pour tromper les gens (j’suis inspecteur des impôts, donnez moi … pour que je puisse bien vérifier vos comptes)

23. Prévention et résolution des pannes

24. Prévention (1) • Passer périodiquement un logiciel antivirus récent sur son PC • Passez cet anti-virus sur les disques (clés USB, CD/DVD etc.) introduit dans votre PC, même ceux de vos proches • Enregistrer régulièrement son document de travail • Effectuer des sauvegardes de ses documents sur différents supports (tout support magnétique ou CD/DVD finira inexorablement par se détériorer) • Toujours éteindre son PC par le menu Démarrer/Arrêter ; ne pas l’éteindre avec le bouton On/Off sauf s’il est bloqué et que Control-Alt-Suppr ne fonctionne pas • Évitez d’avoir trop de documents ou programmes ouverts à la fois ce qui peut surcharger la mémoire

25. Prévention (2) • Se méfier des fichiers attachés reçus par courrier électronique (un document Word ou Excel peut contenir des virus macros, un programme exécutable n’importe quel type de virus) ; ne jamais lancer un programme reçu par un expéditeur inconnu • D’une manière générale, respecter le matériel, ne pas lui demander de faire trop de choses à la fois • Désinstallez proprement vos logiciels (Ajout/Suppression de programmes dans le panneau de configuration)

26. Résolution (1) • Dysfonctionnement d’un logiciel : enregistrer son travail, quitter le logiciel et le relancer • Dysfonctionnement grave : arrêter l’ordinateur par le menu Démarrer/Arrêter, attendre 30 secondes et le rallumer • Blocage : si la souris fonctionne, essayer de quitter le logiciel ; pressez Alt-Tab pour changer d’application si vous avez un document à sauver; si rien ne marche appuyer sur les touches Control-Alt-Suppr (1 seconde au moins). La liste des programmes actifs s’affiche alors. Sélectionnez celui indiquant (pas de réponse) et cliquez sur fin de tâche. Les travaux en cours sur ce logiciel risquent d’être perdus. • Apparition de l’écran bleu Erreur fatale...(plantage du noyau de Windows) : appuyez sur une touche ; si l’écran bleu reste, pressez Control-Alt-Suppr

27. Résolution (2) • Si Control-Alt-Suppr ne marche pas, il ne reste plus qu’à arrêter l’ordinateur (bouton On/Off ou mieux : bouton Reset) ; à ne faire qu’en dernière extrémité (si le disque dur est en cours d ’utilisation lorsque vous appuyez sur Off, vous pouvez perdre son contenu ou avoir à réinstaller Windows...) • Si un document ne s’imprime pas : • vérifiez que l ’imprimante est online (appuyer sur On/Off), essayez d ’appuyer sur continue • en cas de bourrage papier (paper jam), ouvrir le capot de l ’imprimante et retirer délicatement la feuille coincée, surtout sans la déchirer • les autres problèmes peuvent être un câble ou une connexion défectueuse, ou alors un problème de pilote d ’imprimante • Pour éviter les bourrages, aérer la liasse que vous insérez dans le chargeur de papier.

28. Résolution (3) • Si votre disquette (ou clès USB ou CD/DVD) est illisible : essayez avec un autre PC ; si çà ne marche pas, des secteurs de la disquette sont probablement détériorés (l’avez-vous reformattée avant utilisation ?) ; il existe des logiciels utilitaires (Norton Utilities...) qui peuvent réparer votre disquette (50% de chance...) • Si vous avez un virus : désinfectez tous les supports infectés (disque dur, disquettes) et affichez le descriptif du virus (il peut être bénin ou très dangereux) ; prévenez les personnes avec qui vous avez échangé récemment des données • Si Windows ne démarre pas : démarrez en mode « sans échec » (touche F8 ou Control sous Windows) ; si le PC démarre il s’agit d’un problème de pilote de périphérique ; utiliser l’aide de Windows et les programmes utilitaires

29. En général • autre problème : de manière générale, il ne sert à rien de solliciter un spécialiste si vous ne pouvez pas décrire précisément votre problème (environnement de travail, versions de logiciels, messages d’erreurs précis) ; • Réessayez plusieurs fois en simplifiant votre manipulation afin d’isoler le problème ; lisez la documentation et si nécessaire réinstallez le logiciel incriminé (attention : la réinstallation d’un SE comme Windows réinitialise le disque dur ; il faut auparavant sauver vos documents, messages, signets, etc.).