134
Science de la sécurité du système d’information
Deuxième partie
le pare-feu intégré au système d’exploitation Windows XP ou bien un produit du
commerce, comme le pare-feu Sygate ou l’un de ses nombreux dérivés, l’utilisateur
peut mettre en œuvre des moyens de protection de son ordinateur.
La philosophie de fonctionnement et de gestion, voire de conception, des règles
de sécurité est cependant très différente entre ces produits et les plus classiques
pare-feu réseau : si ces outils permettent, avec plus ou moins de facilité, la définition de règles réseau, leur intérêt principal est d’y associer des autorisations d’accès
au réseau pour des programmes. Une règle de sécurité autorisant le courrier électronique pourrait ainsi devenir « j’autorise le programme Thunderbird, et lui seul,
à se connecter sur le port 25 (SMTP), afin d’envoyer du courrier électronique ».
Dans la pratique, les interfaces de gestion proposées ne sont pas aussi pratiques
qu’on le souhaiterait : dans un souci de simplicité (car l’utilisateur n’est en général
pas un expert de sécurité informatique), les autorisations d’accès au réseau que
l’utilisateur peut être amené à donner restent assez larges.
Un mode de fonctionnement assez typique de ce genre de produit est le suivant :
• à l’installation un certain nombre de règles par défaut autorisent du trafic
sur le réseau (certains programme du système) ;
• lorsqu’un nouveau programme souhaite accéder au réseau, le pare-feu personnel détecte cette action et va émettre une alerte auprès de l’utilisateur,
lui laissant le choix : autoriser ou bloquer ce trafic (et éventuellement se
souvenir de ce choix pour la prochaine fois) ;
• à moins d’utiliser des règles avancées, pas toujours faciles à configurer, l’autorisation précédemment donnée vaut pour tout le trafic réseau que le programme pourrait être amené à traiter, qu’il soit pour le service ayant généré
l’alerte ou bien pour un autre service - et c’est là qu’est le danger.
Le pare-feu du système d’exploitation Windows XP
Lorsque l’option pare-feu est activée dans Windows XP (cela se fait dans les propriétés avancées d’une carte réseau), elle permet de mettre l’ordinateur dans un
mode de fonctionnement de type « diode » : tout le trafic sortant est autorisé, mais
le trafic entrant est, lui, interdit, sauf exception. Ces exceptions peuvent se configurer manuellement ou bien donner lieu à une alerte lorsqu’elles se présentent.
Illustrons par deux exemples.
Science de la sécurité du système d’information
Deuxième partie
le pare-feu intégré au système d’exploitation Windows XP ou bien un produit du
commerce, comme le pare-feu Sygate ou l’un de ses nombreux dérivés, l’utilisateur
peut mettre en œuvre des moyens de protection de son ordinateur.
La philosophie de fonctionnement et de gestion, voire de conception, des règles
de sécurité est cependant très différente entre ces produits et les plus classiques
pare-feu réseau : si ces outils permettent, avec plus ou moins de facilité, la définition de règles réseau, leur intérêt principal est d’y associer des autorisations d’accès
au réseau pour des programmes. Une règle de sécurité autorisant le courrier électronique pourrait ainsi devenir « j’autorise le programme Thunderbird, et lui seul,
à se connecter sur le port 25 (SMTP), afin d’envoyer du courrier électronique ».
Dans la pratique, les interfaces de gestion proposées ne sont pas aussi pratiques
qu’on le souhaiterait : dans un souci de simplicité (car l’utilisateur n’est en général
pas un expert de sécurité informatique), les autorisations d’accès au réseau que
l’utilisateur peut être amené à donner restent assez larges.
Un mode de fonctionnement assez typique de ce genre de produit est le suivant :
• à l’installation un certain nombre de règles par défaut autorisent du trafic
sur le réseau (certains programme du système) ;
• lorsqu’un nouveau programme souhaite accéder au réseau, le pare-feu personnel détecte cette action et va émettre une alerte auprès de l’utilisateur,
lui laissant le choix : autoriser ou bloquer ce trafic (et éventuellement se
souvenir de ce choix pour la prochaine fois) ;
• à moins d’utiliser des règles avancées, pas toujours faciles à configurer, l’autorisation précédemment donnée vaut pour tout le trafic réseau que le programme pourrait être amené à traiter, qu’il soit pour le service ayant généré
l’alerte ou bien pour un autre service - et c’est là qu’est le danger.
Le pare-feu du système d’exploitation Windows XP
Lorsque l’option pare-feu est activée dans Windows XP (cela se fait dans les propriétés avancées d’une carte réseau), elle permet de mettre l’ordinateur dans un
mode de fonctionnement de type « diode » : tout le trafic sortant est autorisé, mais
le trafic entrant est, lui, interdit, sauf exception. Ces exceptions peuvent se configurer manuellement ou bien donner lieu à une alerte lorsqu’elles se présentent.
Illustrons par deux exemples.