12
Principes de sécurité du système d’information
Première partie
doivent être protégées, il faut faire appel aux techniques d’un autre domaine de la
sécurité informatique : le chiffrement.
Authentification et chiffrement sont indissociables : chiffrer sans authentifier ne
protège pas des usurpations d’identité (comme notamment l’attaque par interposition, dite en anglais attaque de type man in the middle, et décrite à la page 50),
authentifier sans chiffrer laisse la porte ouverte au vol de données.
Empêcher les intrusions
Mais ces deux méthodes de sécurité ne suffisent pas, il faut en outre se prémunir contre les intrusions destinées à détruire ou corrompre les données, ou à en
rendre l’accès impossible. Les techniques classiques contre ce risque sont l’usage
de pare-feu (firewalls) et le filtrage des communications réseaux, qui permettent
de protéger la partie privée d’un réseau dont les stations pourront communiquer
avec l’Internet sans en être « visibles » ; le terme visible est ici une métaphore qui
exprime que nul système connecté à l’Internet ne peut de sa propre initiative accéder aux machines du réseau local (seules ces dernières peuvent établir un dialogue)
et que le filtre interdit certains types de dialogues ou de services, ou certains correspondants (reconnus dangereux).
La plupart des entreprises mettent en place des ordinateurs qu’elles souhaitent
rendre accessibles aux visiteurs extérieurs, tels que leur serveur Web et leur relais
de messagerie. Entre le réseau privé et l’Internet, ces machines publiques seront
placées sur un segment du réseau ouvert aux accès en provenance de l’extérieur,
mais relativement isolé du réseau intérieur, afin qu’un visiteur étranger à l’entreprise ne puisse pas accéder aux machines à usage strictement privé. Un tel segment
de réseau est appelé zone démilitarisée (DMZ), en souvenir de la zone du même
nom qui a été établie entre les belligérants à la fin de la guerre de Corée. Les
machines en DMZ, exposées donc au feu de l’Internet, seront appelées bastions.
Certains auteurs considèrent que ces techniques de sécurité par remparts, pontslevis et échauguettes sont dignes du Moyen-Âge de l’informatique ; ils leur préfèrent les systèmes de détection d’intrusion (IDS), plus subtils, qui sont décrits
par la page 230 et ses sous-sections. La surenchère suivante proclame que si l’on a
détecté une intrusion, autant la stopper, et les IDS sont devenus des IPS (systèmes
de prévention d’intrusion). Et l’on verra plus loin que les IPS sont critiqués par
les tenants des mandataires applicatifs, plus subtils encore. Cela dit, dans un pay-
Principes de sécurité du système d’information
Première partie
doivent être protégées, il faut faire appel aux techniques d’un autre domaine de la
sécurité informatique : le chiffrement.
Authentification et chiffrement sont indissociables : chiffrer sans authentifier ne
protège pas des usurpations d’identité (comme notamment l’attaque par interposition, dite en anglais attaque de type man in the middle, et décrite à la page 50),
authentifier sans chiffrer laisse la porte ouverte au vol de données.
Empêcher les intrusions
Mais ces deux méthodes de sécurité ne suffisent pas, il faut en outre se prémunir contre les intrusions destinées à détruire ou corrompre les données, ou à en
rendre l’accès impossible. Les techniques classiques contre ce risque sont l’usage
de pare-feu (firewalls) et le filtrage des communications réseaux, qui permettent
de protéger la partie privée d’un réseau dont les stations pourront communiquer
avec l’Internet sans en être « visibles » ; le terme visible est ici une métaphore qui
exprime que nul système connecté à l’Internet ne peut de sa propre initiative accéder aux machines du réseau local (seules ces dernières peuvent établir un dialogue)
et que le filtre interdit certains types de dialogues ou de services, ou certains correspondants (reconnus dangereux).
La plupart des entreprises mettent en place des ordinateurs qu’elles souhaitent
rendre accessibles aux visiteurs extérieurs, tels que leur serveur Web et leur relais
de messagerie. Entre le réseau privé et l’Internet, ces machines publiques seront
placées sur un segment du réseau ouvert aux accès en provenance de l’extérieur,
mais relativement isolé du réseau intérieur, afin qu’un visiteur étranger à l’entreprise ne puisse pas accéder aux machines à usage strictement privé. Un tel segment
de réseau est appelé zone démilitarisée (DMZ), en souvenir de la zone du même
nom qui a été établie entre les belligérants à la fin de la guerre de Corée. Les
machines en DMZ, exposées donc au feu de l’Internet, seront appelées bastions.
Certains auteurs considèrent que ces techniques de sécurité par remparts, pontslevis et échauguettes sont dignes du Moyen-Âge de l’informatique ; ils leur préfèrent les systèmes de détection d’intrusion (IDS), plus subtils, qui sont décrits
par la page 230 et ses sous-sections. La surenchère suivante proclame que si l’on a
détecté une intrusion, autant la stopper, et les IDS sont devenus des IPS (systèmes
de prévention d’intrusion). Et l’on verra plus loin que les IPS sont critiqués par
les tenants des mandataires applicatifs, plus subtils encore. Cela dit, dans un pay-