Stratégies Télécoms & Multimédia

I – Architecture de sécurité pour les systèmes assurant des communications de bout en bout

Dans les réseaux, les messages sont transmis sur une architecture de réseau complexe, qui peut utiliser différents types de supports (filaires, fibre optique, supports radioélectriques terrestres ou satellitaires) structurés de façon à apporter une certaine redondance de l’acheminement. Des protocoles de communication sont mis en œuvre pour assurer, entre les différents points de relayage de l’information, l’envoi unilatéral ou l’échange des signaux bilatéraux liés à la transmission du message. La normalisation a sélectionné les protocoles de communication qui permettent d’obtenir dans les réseaux le plus haut niveau de fiabilité d’acheminement des messages, ainsi que la confidentialité des contenus de ces derniers. Les règles de mise en œuvre des équipements de réseau, la robustesse de ceux-ci et des équipements annexes (alimentations, antennes, outils de mesure et de gestion du trafic, etc.) assurent la sécurité de cette architecture de réseau de communications. (Série de Rec. X.800 de l’UIT-T).

II – Les concepts essentiels de la sécurité dans les réseaux

L’architecture de sécurité des systèmes ouverts est définie dans la Rec. X.805 de l’UIT-T. Celle-ci décrit les divers éléments qui peuvent y être impliqués en fonction des risques encourus. Elle aborde les mesures de sécurité, les couches de sécurité et les plans de sécurité (Rec.X.810).

2.1 - Authentification – (Rec. X.811)

L’authentification assure la validité des identités déclarées des entités en communication (par exemple, une personne, un dispositif, un service ou une application) et donne l’assurance qu’une entité ne tente pas d’usurper l’identité d’une autre entité (mascarade, bal masqué, Man in the Middle) ou de reprendre sans autorisation une précédente communication. Deux types d’authentification sont à distinguer, celle qui porte sur l’identité impliquée dans l’envoi des données (la source des données), la seconde concerne l’identité de l’autorité qui soutient que la source des données est bien à l’origine de leur création et envoi (Peer Entity Authentification). L’expéditeur et le destinataire doivent tous deux être en mesure de vérifier l’identité de leur interlocuteur, ce processus étant légèrement plus complexe que dans le cadre d’une communication directe avec reconnaissance visuelle.

2.2 - Contrôle d’accès – (Rec. 812)

Le contrôle d’accès protège contre l’emploi non autorisé des ressources du réseau. Il assure que seuls les personnels ou les dispositifs autorisés peuvent accéder aux éléments de réseau, aux flux d’informations, aux services et aux applications. Plusieurs niveaux d’accès différents peuvent être mis en place après autorisation (contrôle d’accès en fonction des prérogatives, RBAC, role-based access control). Le plan de sécurité du contrôle d’accès inclut les relations d’authentification et d’audit, ainsi que ceux de la gestion.

Au cours des dernières années, le niveau de sécurité du réseau a été mis en doute à l’occasion de diverses attaques provoquant des interruptions d’accès au service (DoS, Denial of Service), parvenant à paralyser différents réseaux, serveurs et autres éléments d’infrastructure. [En cas de conflits, les belligérants aveuglent réciproquement leurs moyens de communication.] L’une des conditions élémentaires d’une communication sécurisée est d’assurer qu’un échange puisse effectivement avoir lieu, c’est-à-dire que personne ne puisse empêcher les interlocuteurs (ou les utilisateurs légitimes) d’utiliser l’infrastructure en place pour communiquer. Le fait que, certaines personnes aient un droit d’accès légitime au réseau et pas d’autres, conduit tout naturellement à la notion de contrôle d’accès – c’est à dire à la vérification des droits des utilisateurs et à la définition de conditions d’utilisation.

Un pare-feu (fire wall) est un équipement (fait de composants et de logiciels) qui est chargé d’isoler le réseau interne d’une société, permettant à certains paquets de pénétrer et en en bloquant d’autres. Les pare-feux permettent en particulier aux administrateurs de réseau de contrôler l’accès à des ressources internes depuis l’extérieur (en régulant les flux de trafic depuis et vers ces ressources). Les pare-feux ne représentent en aucun cas une solution à tous les problèmes de sécurité. Ils s’accompagnent en effet systématiquement d’un compromis entre le niveau de communication autorisé avec le monde extérieur et le niveau de sécurité. Les filtres étant incapables de détecter la contrefaçon d’adresses IP et de numéros d’accès, ils ont souvent par exemple recours à des règles catégoriques, n’acceptant aucune exception. Les passerelles peuvent présenter des fautes de logiciel susceptibles d’être exploitées par des personnes mal intentionnées. Enfin, les pare-feux perdent leur justification, si des communications générées en interne (par exemple sur des terminaux sans fil ou des postes équipés de modems téléphoniques) sont autorisées à rejoindre l’extérieur sans les traverser.

2.3 - Confidentialité des données – (Rec. X.814)

Seul l’expéditeur et le destinataire visé doivent être en mesure d’interpréter le contenu du message transmis. Ceci implique que le contenu du message soit codé, c’est-à-dire que ses données soient travesties, de telle manière qu’il ne puisse être donc compris que par une personne autorisée. Les techniques de cryptographie reposent souvent sur une ou plusieurs clés servant au codage/décodage des données. La mesure de confidentialité des données protège les données du risque de divulgation. La confidentialité des données assure que le contenu des données ne pourra être remis à des entités non autorisées. Le chiffrement, les listes de contrôle d’accès et les permissions d’accès aux fichiers sont des méthodes souvent employées pour assurer la confidentialité des données. Les imprimantes sans fil doivent maintenant faire partie de la protection générale liée à la confidentialité de l’information.

2.4 - Intégrité des données – (Rec. X.815)

L’intégrité des données assure l’exactitude ou la précision des données restituées au destinataire. Les données transmises sont garanties exemptes de toute modification, altération, suppression, création ou reproduction, même si les données ont subi un traitement (stockage, transfert, gestion, "Intégrité des systèmes"). Même si l’expéditeur et le destinataire parviennent à s’authentifier l’un l’autre, ils peuvent également vouloir être certains que le contenu de leurs messages conserve son intégrité, même en cas d’acte mal intentionné ou par pur accident, au cours de la transmission. Le destinataire peut souhaiter "disposer de la preuve" qu’un message provient effectivement de l’expéditeur déclaré. La vérification de l’intégrité et la non répudiation des messages reposent également sur des techniques de cryptographie. La signature numérique repose sur des opérations de chiffrement.

2.5 - Non répudiation – (Rec.813)

La mesure de non-répudiation donne les moyens d’empêcher une personne ou une entité de nier avoir exécuté une action particulière liée aux données. Elle assure la mise à disposition de la preuve qui peut être présentée à une entité tierce et peut être utilisée pour prouver qu’un certain type d’événement ou d’action a bien eu lieu.

2.6 - Audit de la sécurité – (Rec. X.816)

L’audit relatif à la sécurité assure que les informations ne seront acheminées qu’entre les extrémités autorisées et que les informations ne seront ni déviées ni interceptées au cours de leur acheminement. Des alarmes sont générées lorsque des incidents de sécurité sont détectés de façon à détecter le type de défaillance incriminé (détection d’événements).

2.7 - Sécurité relative à la disponibilité et récupération

La mesure relative à la disponibilité assure qu’il n’y a pas déni de l’accès autorisé aux éléments de réseau, aux informations emmagasinées, aux flux d’informations, aux services et aux applications en raison d’événements ayant une incidence sur le réseau. Les solutions de récupération de données en cas de catastrophe sont comprises dans la disponibilité.

2.8 - Respect de la vie privée

Le respect de la vie privée inclut la protection des informations qui pourraient être déduites de l’examen des activités dans le réseau. C’est ainsi le cas des informations relatives aux sites Web que l’utilisateur a visités, du lieu géographique de l’utilisateur, ainsi que des adresses Internet et des noms des services utilisés. Le fonctionnement technique actuel de l’Internet ne permet pas le respect de la vie privée.

III – Vulnérabilités et risques

L’architecture de sécurité rassemble un ensemble de principes utilisable pour des échanges de bout en bout. Elle permet de prévenir les menaces intentionnelles ainsi qu’accidentelles, telles décrites dans la Rec. UIT-T X.800 (1991), Architecture de sécurité pour l’interconnexion en systèmes ouverts d’applications, soit, à titre d’exemple :
• destruction des informations ou de ressources ;
• corruption ou modification d’informations ;
• suppression ou perte d’informations et/ou d’autres ressources ;
• divulgation d’informations ;
• interruption de services.

L’intersection des couches de sécurité et des plans de sécurité permettent de préciser où des mesures de sécurité sont applicables pour contrer les menaces.

IV - Sécurité des réseaux

4.1 – Ensemble des règles de sécurisation

Un programme de sécurité comporte des politiques et des procédures qui doivent être respectées en fonction de la technologie. Son application passe par les phases de définition et de planification, de mise en service et de maintenance du réseau. L’architecture de sécurité peut s’appliquer, au cours de ces trois phases du programme de sécurité, aux politiques et aux procédures de sécurité, ainsi qu’à la technologie.

4.2 - Techniques de cryptographie

Les techniques de chiffrement permettent à un expéditeur de masquer ses données de sorte qu’un interceptant soit incapable d’en tirer la moindre information. Le destinataire doit bien évidemment pouvoir être en mesure de les interpréter. Si Alice souhaite envoyer un message à Bob (message allant de A vers B), son message original, ou message en clair, est crypté à l’aide d’un algorithme de chiffrement et d’une clé, suite de chiffres ou une chaîne de caractères. Le message chiffré est traité à la réception par l’algorithme de déchiffrement et la clé de Bob, de façon à restituer le texte original en clair. Avec les systèmes à clé symétrique, les clés d’Alice et de Bob sont identiques et secrètes, alors que les systèmes à clé publique font usage de deux clés différentes. L’une des deux clés est connue des deux interlocuteurs, l’autre connue uniquement de l’un ou de l’autre (mais pas des deux).

4.3 – Méthodes de chiffrement

Code de César – C’est un code à clé symétrique qui consiste à remplacer chaque lettre du message en clair par la lettre qui se trouve au rang N plus loin, pris dans l’ordre alphabétique en boucle. Pour retrouver le message en clair, il faut connaître le principe de chiffrement mis en œuvre et la valeur N utilisée pour l’espacement des lettres de l’alphabet.

Chiffrement monoalphabétique – Il améliore le code de César. On y remplace chaque lettre du message en clair par une autre, prise dans un alphabet dont les lettres sont placées dans un ordre différent, mais fixe. Pour retrouver le message en clair, il faut savoir qu’un chiffrement monoalphabétique a été utilisé et il faut identifier, dans le message dont on suppose reconnaître la langue, où sont les voyelles d’abord, puis tenter des découvrir les consonnes et la ponctuation par le contexte. (voir Le Scarabée d’or, d’Edgar Poe).

Chiffrement polyalphabétique – On utilise deux classements des lettres de l’alphabet différents du classement ordinaire et chaque lettre du message en clair est remplacée alternativement par une lettre de ces alphabets mis en référence. La même lettre du message en clair peut ainsi avoir deux correspondances différentes dans le texte chiffré. Le décodage suppose connaître les deux clés de chiffrement et la règle de l’enchaînement alternatif.

DES (Data Encryption Standard) – Le DES code le texte d’origine après l’avoir découpé en morceaux de 64 bits avec une clé de même taille. Le 3DES renforce l’opération de codage en utilisant successivement trois algorithmes de codage différents (utilisé ans le protocole PPP).

AES (Advanced Encryption Standard) – L’AES succède au DES. C’est un algorithme à clé symétrique traitant de fragments de données de 128 bits, avec des clés de 128, 192 et 256 bits.

RSA – Algorithme (Rivest, Shamir et Aldelman) à clé publique, basé sur certains principes de la théorie des nombres, dont la décomposition de ceux-ci en facteurs premiers.

4.4 – Quelques protocoles relatifs à la sécurité

Il est possible d’assurer des services de sécurité spécifiques à chacune des quatre couches supérieures de la pile de protocoles du modèle OSI appliqué aux liaisons avec Internet. Lorsque la sécurité est assurée par un protocole de la couche Applications, l’application utilisant ce protocole bénéficie d’un ou de plusieurs des services suivants : garantie de confidentialité, authentification et protection de l’intégrité des messages. Lorsque la sécurité est fournie au niveau de la couche Transport, les applications bénéficient de tous les services de sécurité du protocole de transport. Quand la sécurité est assurée au niveau de la couche Réseau, tous les segments de couche Transport (et donc toutes les données de couche Applications) bénéficient des services de sécurité fournis par la couche Réseau. Enfin, au niveau de la couche Liaison, les données de toutes les trames empruntant une liaison donnée bénéficient des services de sécurité fournis à ce niveau.

4.4.1 – L’ensemble de protocoles IPsec (couche 3)

Les deux principaux protocoles de la gamme IPsec (IP security) sont le protocole AH d’en-tête d’authentification (Authentication Header) et le protocole ESP (Encapsulation Security Payload). Un serveur envoyant des datagrammes sécurisés à un autre a généralement recours au protocole AH ou à ces deux protocoles. Le premier assure l’authentification de l’expéditeur et l’intégrité des données, mais ne procure aucun niveau de confidentialité. ESP procure à la fois un service d’authentification, d’intégrité de données et de confidentialité. La négociation associée à IP apporte une certaine sécurité au transport de données par encapsulation des données IP au cours du trajet sur Internet. La passerelle de réception déroule les données encapsulées et restitue au destinataire les messages en clair. La partie fragile de ce montage se situe dans le lien accessible à tout qui se trouve entre la passerelle et le destinataire. D’autre part, la surveillance permanente et la maintenance de ce lien devient coûteuse si le trafic est faible. Des prestataires de service utilisent à défaut les procédés de mise en tunnel (tunelling) avec L2TP (Layer 2 Tunelling Protocol) ou PPTP (Point-to-Point Tunelling Protocol). IPsec permet la constitution de réseaux privés virtuels (VPN). Le protocole IPsec ne précise pas la nature des algorithmes de chiffrement à utiliser.

4.4.2 - Le protocole PGP (Pretty Good Privacy)

La génération du résumé de message se fait par exemple à l’aide de triple DES, pour le chiffrement à clé symétrique et du RSA pour le chiffrement à clé publique. PGP offre également une fonction de compression de données. Une fois installé, il génère une paire de clés publiques pour l’utilisateur, que celui-ci peut ensuite communiquer à l’aide de sa page Web personnelle ou qu’il peut placer au sein d’un serveur de clés publiques. La clé privée est protégée par un mot de passe, qui doit être fourni à chaque fois que l’utilisateur désire s’en servir. Pour que Bob puisse vérifier l’intégrité du message, il doit connaître la clé publique d’Alice.

Le message secret PGP apparaît après l’en-tête MIME (logiciel d’envoi des messages). La version en texte clair n’est pas incluse au sein du message secret électronique. Lorsqu’un expéditeur, comme Alice, souhaite s’assurer de la confidentialité et de l’intégrité de ses messages de bout en bout, PGP insère un message à l’intérieur du message.

Les clés publiques PGP sont certifiées par un réseau de confiance, qui permet à Alice de certifier elle-même un couple "clé/nom d’utilisateur" lorsqu’elle est convaincue de leur appariement. Avec PGP, Alice peut nommer une personne de confiance garantissant l’authenticité d’autres clés. Les clés publiques PGP peuvent également être distribuées en ligne par des serveurs de clés publiques PGP. Ceux-ci enregistrent les clés publiques qui leur sont soumises et ils en envoient une copie à tous leurs homologues, ainsi qu’à toutes les personnes ou entités en faisant la demande.

4.4.3 - Protocole SSL

Le protocole SSL (Secure Sockets Layer), est un protocole conçu pour assurer les fonctions de chiffrement des données et d’authentification au cours d’une connexion entre un client et un serveur de la Toile. SSL commence par un échange de présentations permettant l’authentification du serveur et au cours duquel se négocient un algorithme de chiffrement (par exemple DES) et les diverses clés qui sont utilisées pendant la session. Le client peut devoir s’authentifier auprès du serveur. Une fois l’échange de présentations achevé, toutes les données applicatives échangées sont chiffrées au moyen des clés négociées. SSL est actuellement la pierre angulaire des systèmes de sécurité du commerce électronique. SSL est à la base du protocole TLS (Transport Layer Security) et ces deux protocoles sont aussi impliqués dans les systèmes de messagerie IMAP (Internet Mail Access Protocol), où ils assurent les fonctions d’authentification et de chiffrement de données.

Le logiciel de protection SSL (Secure Sockets Layer) se substitue progressivement au logiciel de protection IPSec VPN Remote Access. L’intérêt de SSL repose sur la capacité des butineurs classiques de la Toile associés à un serveur assurant l’identification des utilisateurs d’un réseau professionnel. Ces logiciels de recherche (SSL/HTTPS) établissent des sessions SSL entre les utilisateurs autorisés et les ressources qu’ils cherchent à atteindre (appelées "passerelles de couche d’application VPN"). L’avantage de cette procédure est d’éviter le déploiement de logiciels sur chaque côté des machines distantes qui peuvent avoir besoin d’appeler le VPN. Tout ce dont on a besoin, c’est d’un logiciel de recherche (un butineur, ou browser). Pour interroger une base de données ou pour des applications ordinaires, depuis un terminal fixe ou depuis un mobile, la solution SSL, qui agit sur la couche application, suffit à elle-même, quel que soit le système d’exploitation utilisé, et elle est économique.

SSL/TLS (Transport Layer Security) – Protocoles utilisés pour la négociation d’échange de clés entre un client et un serveur afin de mettre en place un tunnel chiffré par un algorithme symétrique.

4.4.4 - Protocole WEP (Wired Equivalent Privacy)

Du fait de la vulnérabilité des ondes radioélectriques, les réseaux sans fil doivent avoir recours à des normes de sécurité particulières. Le protocole WEP, rédigé par l’IEEE 802.11, met en jeu le système des clés symétriques partagées pour assurer à la fois l’authentification et le chiffrement des données entre hôtes et points d’accès sans fil (en d’autres termes, des stations de base). Sans spécifier aucun algorithme de gestion de clés particulier, les deux pôles de la connexion décident de la clé à utiliser par le biais d’une méthode hors bande. La procédure d’authentification implique les quatre étapes suivantes : (1) une station mobile sollicite une authentification auprès d’un point d’accès sans fil, (2) celui-ci y répond au moyen d’une valeur jetable (nonce) à 128 octets, (3) la station mobile chiffre le nonce à l’aide de la clé symétrique qu’elle partage avec le point d’accès et (4) ce dernier déchiffre la valeur jetable. Si la valeur obtenue est la même que la valeur jetable originale, la station est authentifiée.

Le protocole WEP n’apporte pas encore le degré de sécurité souhaité.

4.4.5 – WPA (Wi-Fi Protected Access)

Le protocole WPA, censé apporter la sécurité sur les réseaux Wi-Fi, a été mis durement à l’épreuve récemment, notamment sur sa clé de chiffrement. Il a été prouvé qu’il était possible de lire les données envoyées par un ordinateur sur un réseau Wi-Fi et de plus, qu’il état possible d’envoyer des données erronées à un utilisateur connecté à un routeur du réseau. La clé temporelle de sécurité utilisée (Temporal Key Integrity Protocol, TKIP) peut être déchiffrée en moins de quinze minutes, sous réserve de disposer de possibilités de calcul et d’un dictionnaire d’attaques. WPA est largement utilisé actuellement et ce protocole était supposé constituer une alternative suffisante à la norme WEP (Wired Equivalent Privacy) des années 1990, mais aujourd’hui largement dépassée. Parviendra t-on à développer un protocole WPA2 plus résistant et compatible avec les routeurs Wi-Fi déjà mis en place ?

V – Règles de sécurité pour les réseaux (E.408)

Elles sont liées aux mêmes considérations que celles mises en œuvre par les industriels travaillant dans les secteurs sensibles, même si elles paraissent quelques fois contradictoires avec des objectifs de réduction des coûts en ce qui concerne la gestion du personnel :

 partage d’informations et dissémination ;
 gestion des situations de crise ;
 formation du personnel de sécurité ;
 protection des services et lieux critiques ;
 respect des législations nationales, etc.

VI – Sécurisation de services

La sécurisation des échanges repose sur la notion d’établissement d’un système de confiance (Trusted Functionality) régi sur les bases de la Rec. X.509. L’infrastructure de clés publiques (Public Key Infrastructure, ou PKI) assure une forte authentification grâce à un échange de certificats de clés publiques garanti par des autorités, dites de confiance et une Autorité de Certification (CA). La cryptographie définit également une infrastructure de gestion privilégiée (Private Management Infrastructure).

L’association des clés publiques aux différentes éléments de réseau se fait généralement par l’intermédiaire d’une autorité de certification, dont la fonction consiste essentiellement à valider les identités et émettre des certificats. Une CA vérifie l’identité des auteurs des messages soumis. Il importe donc de choisir ce centre avec précaution, de préférence parmi les centres reconnus officiellement par une autorité compétente. Une fois l’identité d’une clé publique vérifiée, la CA émet un certificat associant cette identité à la clé en question. Celui-ci contient la clé publique et des informations mondialement uniques sur son titulaire.

L’Union Internationale des Télécommunications (ITU) et l’IETF ont développé des normes relatives aux autorités de certification. X.509 spécifie un service d’authentification, ainsi qu’une syntaxe spécifique à respecter pour les certificats. Le document RFC 1422 définit les règles d’administration des clés au sein de ces centres, pour leur usage dans le cadre de la messagerie électronique sécurisée sur Internet.

VII – Disponibilité

Ainsi qu’évoquée rapidement au point 4 ci-dessus, la disponibilité d’un réseau dépend des règles d’ingénierie adoptées pour édifier celui-ci, en particulier du choix des équipements, de leur fiabilité, de leur redondance et des règles de maintenance observées. Si le volume de trafic vient subitement à augmenter, les artères risquent d’être saturées et, du fait de l’indisponibilité des liaisons internes, l’accès au réseau peut être refusé aux nouveaux appelants. De même, du fait d’une croissance rapide du trafic, des exploitants peu scrupuleux négligent de mettre en place des équipements de secours afin de doubler le nombre de points d’accès de dégroupage offerts à la clientèle. L’abandon progressif des règles anciennes de service public contribue progressivement à réduire le taux de disponibilité des liaisons. On remarquera qu’un réseau qui dispose d’une forte redondance présente une forte disponibilité d’utilisation, mais un faible taux de rentabilité économique.

VIII – Exemples d’attaques et de protection

8.1 - Le "spaming" (pollupostage)

Sur un réseau où il est difficile, voire impossible de contrôler l’accès, l’usurpation d’identité permet, l’envoi de messages indésirables, appelés "spams". Le spam est utilisé à des fins commerciales, criminelles, frauduleuses ou de tromperie. Il est de plus en plus utilisé comme un véhicule pour le "Hameçonnage", pour répandre des virus, des vers informatiques, des logiciels espions et autres formes de logiciels malveillants. Par le volume de trafic qu’il engendre, le spam est un problème important qui ne cesse de s’aggraver pour les utilisateurs, les réseaux et l’Internet dans son ensemble. La lutte contre le spam suppose l’adoption d’une approche internationale, incluant une législation vigoureuse, le développement de mesures techniques, l’établissement de partenariats industriels pour accélérer les études et la coopération internationale. La Commission d’études 17, avec ses Recommandations UIT-T X.1231 (Stratégies techniques de lutte contre le spam), X.1240 (Technologies intervenant dans la lutte contre le spam par courrier électronique) et X.1241 (Grandes lignes techniques de la lutte contre le spam), fournit un premier contingent de solutions qu’il convient de compléter par des travaux conjoints avec l’IETF.

8.2 – Attaque par le DNS (Don Kamansky)

8.2.1 - Simulation ou "spoofing" - L’objectif de cette attaque est de rediriger, à son insu, l’Internaute vers un site pirate. Le pirate utilise des faiblesses du protocole DNS (Domain Name System) ou de sa mise en œuvre. En effet, le protocole DNS permet de faire la correspondance entre une adresse IP et un nom de machine. Le but du pirate est de faire correspondre l’adresse IP d’une machine qu’il contrôle à un nom réel et valide d’une machine publique. Le serveur DNS envoie la réponse à la requête avec le même numéro d’identification. L’attaque va donc consister à récupérer ce numéro d’identification en utilisant une faille des systèmes d’exploitation ou des serveurs DNS qui rendent prédictibles ces numéros, de façon à pouvoir envoyer une réponse falsifiée avant le serveur DNS. Ainsi, la machine du réseau utilisera, sans le savoir, l’adresse du pirate et non celle de la machine initialement destinatrice.

8.2.2 - Hameçonnage (DNS Cache Poisoning) - Les serveurs DNS possèdent une mémoire cache permettant de garder pendant un certain temps la correspondance entre un nom de machine et son adresse IP. Le hameçonnage consiste à corrompre ce cache avec de fausses informations. Pour se prémunir contre ce type d’attaque, il convient de mettre à jour les serveurs DNS (éviter la prédictibilité des numéros d’identification et les failles permettant de prendre le contrôle du serveur), de limiter la taille du cache et de vérifier qu’il ne garde pas les enregistrements additionnels. L’attaque est encore possible, mais elle est plus difficile. Si l’on souhaite véritablement éradiquer cette menace, il faudrait changer le protocole DNS. La technique de protection mise en œuvre est gourmande en ressource. De même, il semblerait que certains pare-feu personnels soient perturbés par le changement apporté aux serveurs.

8.3 – Exemples de protections des terminaux et systèmes

Le iPhone de Apple - La version 2.0 de l’iPhone est associée à l’installation de Microsoft Exchange ActiveSync qui assure un plus haut niveau de sécurité dans la messagerie, la gestion des mots de passe et des certificats de sécurité, et qui fournit des accès privés virtuels avec "Cisco IPsec VPN" et l’accès distant sécurisé. La sécurité est mise en œuvre avec Wi-Fi Protected Access (WPA) et sur les accès sur réseaux privés virtuels (VPN).

IPv6 - IPsec est incorporé dès la mise en œuvre de IPv6.

La norme DOCSIS 3.0, utilisée dans les réseaux HFC, peut offrir une sécurité renforcée avec le protocole AES (Advanced Encryption Standard).

Le Wi-Fi (IEEE802.11b/g) dispose d’une sécurité en DES à 56 bits ou par cryptage WPA2, WPA ou WEP.

Réseaux sans fil - Pour assurer la sécurité des réseaux sans fil, les points d’accès doivent être conformes aux normes WPA (Wi-Fi Protected Access) et WPA2 (802.11i), et compatibles avec le serveur RADIUS, tout en disposant, par exemple, de la protection d’accès réseau (NAP) de Microsoft. Cette fonction limite l’accès en fonction de l’identité de l’ordinateur du client et elle doit respecter les règles de gouvernance en vigueur dans l’entreprise. Parmi les mesures de sécurité complémentaires, on peut ajouter le filtrage d’adresse MAC, la segmentation des réseaux LAN sans fil, la désactivation de la diffusion SSID, la détection des points d’accès malveillants et la programmation de diffusion sans fil.

8.4 – Cas difficiles

Il semble assez difficile de recommander un logiciel de protection efficace des échanges de données dans le cas de la "Grille de calcul", dans la mise en œuvre du "P2P" (peer-to-peer) et dans celui de l’externalisation de la gestion informatique ("Computing Cloud"). Enfin, des doutes ont été formulés sur la capacité des réseaux filaires et des réseaux locaux à accepter les crêtes de débits important transmis par les systèmes IEEE802.11n, accompagnés d’un niveau de bruit non négligeable récoltés par des antennes surdimensionnées et perturbatrices. De nouvelles règles de sécurité relatives à ces réseaux 802.11n, sont en cours de préparation sur le thème de la compatibilité des trames échangées entre ces réseaux, la gestion du spectre hertzien, la sécurité et la détection des défauts.

IX - Conclusion

Au cours des dernières années, les réseaux de télécommunications ont évolué rapidement de la commutation de circuits vers la commutation par paquets et, également dans le réseau d’accès. Ils associent aujourd’hui l’emploi de la paire de cuivre ou de la fibre optique avec les supports radioélectriques de toute nature. Cette grande diversité de moyens utilisés, jointe à la pluralité des acteurs, fragilise la sécurité des échanges d’information. Les nouvelles applications proposées se révèlent avec le temps parmi les plus fragiles de la panoplie des services aujourd’hui disponibles. Les entités de normalisation espèrent, grâce à la puissance de calcul des nouveaux processeurs, et malgré l’absence d’une gestion coordonnée de l’ensemble des réseaux mondiaux, être en mesure de proposer un système d’échange de données un peu plus fiable chaque jour.

Bibliographie : - Analyse structurée des réseaux, de James Kurose et Keith Ross, (Chapitre 7) - Pearson 2003 - UIT-T, Commission d’études 17 "Security in Telecommunications and Information Technology, 2006 –en anglais avec un glossaire complet référencé – La presse technique de 2008, etc.