Sécurité : les piliers DIC et les grandes attaques

Pourquoi on voit ça

Un réseau qui marche ne suffit pas. Il faut aussi qu’il soit sûr : que personne ne lise ce qui ne le regarde pas, que personne ne modifie les données en route, et que le service réponde quand on en a besoin.

Ces trois exigences ont un nom : DIC. C’est la grille de lecture de toute la sécurité. Devant une attaque, une panne ou un choix de configuration, tu te poses toujours la même question : quel pilier est en jeu ? Dans le métier DevOps, c’est le vocabulaire commun avec les équipes sécurité. Et les TP qui suivent (VLAN, sécurité de port) sont des réponses concrètes à ces questions.

Les trois piliers : DIC

DIC = Disponibilité, Intégrité, Confidentialité.

Pilier	La question qu’il pose	Exemple de protection
Disponibilité	Le service répond-il quand on en a besoin ?	Équipements en double, sauvegardes
Intégrité	La donnée est-elle restée exacte, sans modification ?	Empreinte (hachage), contrôle d’erreurs
Confidentialité	Seules les personnes autorisées peuvent-elles lire ?	Chiffrement, droits d’accès

Une image pour retenir : une lettre recommandée.

• Confidentialité : l’enveloppe est fermée, seul le destinataire la lit.
• Intégrité : personne n’a changé un mot de la lettre en route.
• Disponibilité : la Poste est ouverte le jour où tu veux l’envoyer.

En anglais : CIA

Tu verras partout le sigle anglais CIA. Ce sont les mêmes piliers, dans un autre ordre.

Anglais	Français
Confidentiality	Confidentialité
Integrity	Intégrité
Availability	Disponibilité

Attention au piège : le A de CIA, c’est Availability (disponibilité), pas « authentification ».

Deux notions en plus

On ajoute souvent deux notions aux trois piliers.

L’authentification

Authentifier, c’est vérifier l’identité de quelqu’un ou d’une machine. Tu prouves que tu es bien celui que tu prétends être.

• Exemples : un mot de passe, un code reçu par SMS, une empreinte digitale, un certificat.
• Ne confonds pas avec l’identification : s’identifier, c’est dire qui on est (« je suis alice »). S’authentifier, c’est le prouver (le mot de passe d’alice).

La non-répudiation

Répudier, c’est renier. La non-répudiation garantit que l’auteur d’une action ne peut pas nier l’avoir faite.

• Exemple : la signature numérique d’un contrat, ou un accusé de réception.
• Sur la lettre recommandée : tu as signé le reçu, tu ne peux plus dire « je n’ai rien reçu ».

Les grandes familles d’attaques

Pour chaque attaque, retiens deux choses : ce que fait l’attaquant et quel pilier il touche.

Attaque	Ce que fait l’attaquant	Pilier touché
Écoute	Il capture le trafic et le lit	Confidentialité
Usurpation	Il se fait passer pour quelqu’un d’autre	Authentification
Homme du milieu	Il s’intercale entre deux machines, lit et modifie	Confidentialité et intégrité
Déni de service	Il sature un service pour le rendre inutilisable	Disponibilité

L’écoute

L’attaquant écoute le réseau (en anglais sniffing). Il ne modifie rien : c’est une attaque passive, donc difficile à repérer.

Tu connais déjà le cas d’école : sur un hub, chaque message est recopié sur tous les ports. N’importe quelle machine branchée voit donc passer le trafic des autres. La parade : chiffrer les échanges.

L’usurpation

L’attaquant se fait passer pour un autre (en anglais spoofing). Il peut usurper une adresse IP, une adresse MAC, une adresse e-mail, un site web.

Ce qui est trompé, c’est la vérification d’identité : l’authentification. Une fois qu’il est pris pour quelqu’un d’autre, l’attaquant peut ensuite lire ou modifier des données.

L’homme du milieu

L’attaquant s’intercale entre deux machines qui se parlent (en anglais man in the middle, MITM). Chacune croit parler à l’autre, mais tout passe par lui.

Il peut lire (confidentialité) et modifier (intégrité). Pour se placer au milieu, il commence souvent par une usurpation.

Le déni de service

L’attaquant sature un serveur ou un lien avec un flot de requêtes inutiles. Le service n’arrive plus à répondre aux vrais utilisateurs. Rien n’est volé, rien n’est modifié : c’est la disponibilité qui tombe.

DoS contre DDoS

Même but, moyens différents.

	DoS	DDoS
Nom complet	Denial of Service	Distributed Denial of Service
En français	Déni de service	Déni de service distribué
Source de l’attaque	Une seule machine	De très nombreuses machines en même temps
Pour la bloquer	On filtre une adresse	Très difficile : les sources sont partout

L’image : un DoS, c’est une personne qui bloque la porte d’un magasin. Un DDoS, c’est une foule de faux clients qui remplissent le magasin : les vrais ne peuvent plus entrer, et tu ne sais pas qui mettre dehors.

Contexte, pas à apprendre. Les machines d’un DDoS sont en général des ordinateurs ou des objets connectés piratés, pilotés à distance. L’ensemble s’appelle un botnet.

À retenir

• DIC : Disponibilité (ça répond), Intégrité (ça n’a pas été modifié), Confidentialité (seuls les autorisés lisent). En anglais CIA : Confidentiality, Integrity, Availability.
• Authentification : prouver son identité. Non-répudiation : ne pas pouvoir nier une action.
• Écoute → confidentialité. Usurpation → authentification. Homme du milieu → confidentialité et intégrité. Déni de service → disponibilité.
• DoS : une seule source. DDoS : des milliers de sources en même temps, donc bien plus dur à bloquer.