Protection et sécurité
Comprendre les risques et se protéger dans un monde connecté
L1 SNAF, UE Sciences du Numérique, 2018-19
Frédéric Maris ([Link]@[Link])
1/27
Plan
Enjeux
Utiliser les Outils Informatiques
Sécurité Informatique
Les logiciels malveillants
Objets connectés et capteurs
2/27
Enjeux
Forums de discussion (1/3)
Actualité récente
• Mise en place d’un numéro pour les victimes de harcèlement
• Sabotage de ce numéro par des membres d’un forum
3/27
Forums de discussion (1/3)
Actualité récente
• Mise en place d’un numéro pour les victimes de harcèlement
• Sabotage de ce numéro par des membres d’un forum
Considérations informatiques
• Ce qui se passe sur Internet a des répercussions dans la vie
réelle
• L’anonymat supposé est porteur de dérives non-maîtrisées
3/27
Forums de discussion (1/3)
Actualité récente
• Mise en place d’un numéro pour les victimes de harcèlement
• Sabotage de ce numéro par des membres d’un forum
Considérations informatiques
• Ce qui se passe sur Internet a des répercussions dans la vie
réelle
• L’anonymat supposé est porteur de dérives non-maîtrisées
Considérations légales
• Le cyber-harcèlement est puni par loi
• Plus généralement, sont punis à la fois:
• des comportements se limitant aux systèmes informatiques
• des comportements d’après leur lien avec des activités hors
informatique
3/27
Forums de discussion (2/3)
Anonymat relatif
• Même exemple: au bout de 3j, un génie a découvert qu’en
saturant le numéro de téléphone, les membres du forum
laissaient une preuve de leur identité
• Les gestionnaires de site Web et les Fournisseurs d’accès
peuvent dans tous les cas retrouver les personnes sur demande
de la justice
4/27
Forums de discussion (2/3)
Anonymat relatif
• Même exemple: au bout de 3j, un génie a découvert qu’en
saturant le numéro de téléphone, les membres du forum
laissaient une preuve de leur identité
• Les gestionnaires de site Web et les Fournisseurs d’accès
peuvent dans tous les cas retrouver les personnes sur demande
de la justice
Tokuteichu
• Utilisateurs spécialisés dans l’identification des personnes à
partir de posts ou d’images (◦ 500.000 personnes)
• Conséquence: au Japon, il est extrèmement recommandé de
changer très régulièrement son surnom
4/27
Forums de discussion (2/3)
Anonymat relatif
• Même exemple: au bout de 3j, un génie a découvert qu’en
saturant le numéro de téléphone, les membres du forum
laissaient une preuve de leur identité
• Les gestionnaires de site Web et les Fournisseurs d’accès
peuvent dans tous les cas retrouver les personnes sur demande
de la justice
Tokuteichu
• Utilisateurs spécialisés dans l’identification des personnes à
partir de posts ou d’images (◦ 500.000 personnes)
• Conséquence: au Japon, il est extrèmement recommandé de
changer très régulièrement son surnom
4/27 [Link]
Forums de discussion (3/3)
Qu’est-ce qu’une identité ?
• Une chose liée à une unique personne
• Connaître l’identité permet d’apprendre plein de choses sur la
personne
5/27
Forums de discussion (3/3)
Qu’est-ce qu’une identité ?
• Une chose liée à une unique personne
• Connaître l’identité permet d’apprendre plein de choses sur la
personne
Vie privée (mauvaise traduction de privacy)
• Inversement, des qualificatifs indirects peuvent être suffisant
pour trouver l’identité d’une personne
• Ex: photo d’arrêt de bus sans humains dessus
• ombres: estimation de l’heure et du jour
• ligne de bus, donc destinations possibles en fonction de l’heure
et du jour
• changement ou proche du domicile
• plusieurs photos: recherche d’itinéraires possibles, de lieux
fréquentés
5/27
Sécurité
Protection des personnes et des biens
• protection des personnes: respect de la vie privée, prévention
de crimes contre les personnes
• protection des biens: éviter le vol ou la destruction de biens
6/27
Sécurité
Protection des personnes et des biens
• protection des personnes: respect de la vie privée, prévention
de crimes contre les personnes
• protection des biens: éviter le vol ou la destruction de biens
Ce cours
• quelques règles de bon sens pour se protéger
• Internet est un espace partagé, donc suivre ces règles permet
aussi de protéger les autres
6/27
Utiliser les Outils Informatiques
Croyance vs Réalité
Croyance
L’informatique a pour but d’être invisible:
• On va sur un site Internet comme on irait chez un commerçant
• On lit son mail comme on lirait son courrier
• On discute sur un forum comme on discuterai dans un bar
• etc.
7/27
Croyance vs Réalité
Croyance
L’informatique a pour but d’être invisible:
• On va sur un site Internet comme on irait chez un commerçant
• On lit son mail comme on lirait son courrier
• On discute sur un forum comme on discuterai dans un bar
• etc.
Réalité
Dans tous les cas précédents:
• On lit le contenu d’un écran (d’ordinateur)
• On écrit avec un clavier (ou en dictant)
⇒ la seule certitude, c’est qu’on interagit avec une application
sur son ordinateur
7/27
Exemple: forum de discussion
Dans un bar
• Une personne que vous venez de rencontrer ne sait rien de vous
• L’inverse est vrai
• Ce qui se passe dans un bar reste dans un bar
8/27
Exemple: forum de discussion
Dans un bar
• Une personne que vous venez de rencontrer ne sait rien de vous
• L’inverse est vrai
• Ce qui se passe dans un bar reste dans un bar
Sur Internet
• Ce que vous écrivez reste écrit pour toujours
• Tout au long de votre vie, il sera possible que des personnes
fassent le lien entre ce que vous avez écrit et vous
• Développement de l’IA: et ça ne va pas s’arranger !
8/27
Conseils pour Vivre tranquillement sur Internet
Réseaux sociaux
• N’interagissez qu’avec des personnes que vous connaissez
• En dehors des connaissances réelles (amis, famille), la seule
bonne réponse est : “ Non, je n’utilise pas XYZ ”
9/27
Conseils pour Vivre tranquillement sur Internet
Réseaux sociaux
• N’interagissez qu’avec des personnes que vous connaissez
• En dehors des connaissances réelles (amis, famille), la seule
bonne réponse est : “ Non, je n’utilise pas XYZ ”
Forums
• L’anonymat s’en va les écrits restent
• Comportez-vous comme vous le feriez dans la rue (avec des
personnes qui peuvent vous reconnaître)
9/27
Exemple: lecture de mail
Mail de l’université
• On rentre un login et un mot de passe
• Ce qui se passe après dépend de beaucoup de choses
10/27
Exemple: lecture de mail
Mail de l’université
• On rentre un login et un mot de passe
• Ce qui se passe après dépend de beaucoup de choses
HTTPS
• Protocole HTTP
• Messages transmis en utilisant le protocole TLS (Transport
Layer Security) pour sécuriser l’échange
• Idem pour le site marchand
10/27
HTTPS en pratique
Signification
• D’après votre navigateur, vous êtes bien en communication
sécurisée
• Erreurs possibles:
• le navigateur peut se tromper: Comment fait-il pour
authentifier le site ?
• vous pouvez vous tromper (adresse ressemblante)
11/27
Authentification
Définition
Authentifier, c’est avoir une preuve de l’identité
12/27
Authentification
Définition
Authentifier, c’est avoir une preuve de l’identité
Remarques
• Pour un site Internet, l’identité c’est l’adresse affichée
• On obtient une preuve en utilisant de la cryptographie
• La cryptographie est utilisée pour construire des PKIs sûres
dans certaines limites
12/27
Sécurité Informatique
Développement a posteriori
• Après avoir vendu plein d’utilisation des ordinateurs qui
facilitent la vie
• On s’est rendu compte que les vendeurs étaient beaucoup trop
optimistes
• Service Après-Vente: Sécurité Informatique
13/27
Développement a posteriori
• Après avoir vendu plein d’utilisation des ordinateurs qui
facilitent la vie
• On s’est rendu compte que les vendeurs étaient beaucoup trop
optimistes
• Service Après-Vente: Sécurité Informatique
Suite du cours
• Exemple d’utilisation de la cryptographie pour
l’authentification
• Les logiciels malveillants et les risques liés aux objets connectés
13/27
Cryptographie à Clefs Publiques
Analogie
• Une clef secrète: un téléphone qui est greffé sur vous
• Une clef publique: le numéro de ce téléphone
14/27
Cryptographie à Clefs Publiques
Analogie
• Une clef secrète: un téléphone qui est greffé sur vous
• Une clef publique: le numéro de ce téléphone
Transmission à une seule personne
• Laissez un message au numéro de cette personne
• Elle sera la seule à pouvoir écouter ce message
• Chiffrement avec une clef publique
14/27
Cryptographie à Clefs Publiques
Analogie
• Une clef secrète: un téléphone qui est greffé sur vous
• Une clef publique: le numéro de ce téléphone
Transmission à une seule personne
• Laissez un message au numéro de cette personne
• Elle sera la seule à pouvoir écouter ce message
• Chiffrement avec une clef publique
Authentification d’une personne
• Vous lui demandez de vous appeler
• L’affichage du numéro vous permettra de vérifier l’identité
• Signature avec une clef privée
14/27
Infrastructure de Clefs Publiques (PKI) (1/2)
Et l’annuaire ?
Pour que l’analogie précédente marche, il faut:
• Que l’affichage du numéro et l’écoute de message marchent
correctement
• Pouvoir associer avec certitude une personne avec un numéro
de téléphone
15/27
Infrastructure de Clefs Publiques (PKI) (1/2)
Et l’annuaire ?
Pour que l’analogie précédente marche, il faut:
• Que l’affichage du numéro et l’écoute de message marchent
correctement
• Pouvoir associer avec certitude une personne avec un numéro
de téléphone
Cryptographie
• C’est la discipline qui assure techniquement les propriétés du
chiffrement et de la signature
• Les principaux problèmes actuels concernent l’efficacité des
méthodes plus que leur sécurité
15/27
Infrastructure de Clefs Publiques (PKI) (2/2)
Infrastructure à clefs publiques
• Annuaire associant une clef publique à une personne
• Le problème n’est pas la cryptographie, mais en qui on a
confiance
16/27
Base des PKIs
Énoncés/Certificats
l’autorité A certifie que la clef K est associée à l’identité B
17/27
Base des PKIs
Énoncés/Certificats
l’autorité A certifie que la clef K est associée à l’identité B
Certificats Auto-Signés
l’autorité B certifie que la clef K est associée à l’identité B
17/27
Base des PKIs
Énoncés/Certificats
l’autorité A certifie que la clef K est associée à l’identité B
Certificats Auto-Signés
l’autorité B certifie que la clef K est associée à l’identité B
Utilisation
• Chaque navigateur est livré avec une liste d’autorités qu’il peut
vérifier
• Lorsqu’il communique avec un site, il lui demande un certificat
venant d’une de ces autorités
• Si l’autorité n’est pas dans la liste des autorités reconnues, il
peut demander à vérifier la clef utilisée par l’autorité, jusqu’à
arriver à une autorité reconnue
• Si ça n’est pas possible, barre rouge: la navigateur refuse
17/27 d’aller vers ce site
Retour sur l’exemple initial
Attaque
• Quelqu’un peut bidouiller votre ordinateur pour ajouter une
autorité qui délivrera de faux certificats
• Exemple commun: l’entreprise dans laquelle vous travaillez, sur
l’ordinateur qu’elle vous fournit
• Ce n’est pas toujours le cas, mais ça arrive
18/27
Les logiciels malveillants
Logiciels malveillants
Il existe plusieurs types de logiciels malveillants (malware) :
• Le cheval de troie
• Le virus informatique
• Le vers informatique
19/27
Le cheval de Troie (Trojan horse)
Le cheval de Troie est un logiciel en
apparence inoffensif, mais qui contient
une fonctionnalité malveillante.
Son objectif est d’installer un parasite
• Un logiciel espion (spyware)
• Un virus
Les logiciels crackés peuvent être des chevaux de Troie.
20/27
Le virus informatique
Les virus sont capables de se répliquer,
puis de se propager à d’autres ordina-
teurs en s’insérant dans d’autres pro-
grammes ou des documents légitimes
appelés « hôtes ».
Différents types de virus
• de secteur d’amorçage ;
• de fichier ;
• de macro ;
• et de script.
21/27
Le vers informatique (worm)
Un ver n’a pas besoin d’un support
physique ou logique (disque dur, pro-
gramme hôte, fichier, etc.) pour se
propager. Un ver peut être considéré
comme un virus réseau.
Différents types de vers
• de réseau
• de courrier électronique
• de messagerie instantanée
• Internet
• de réseaux de partage de fichiers.
22/27
Comment se protéger ?
23/27
Objets connectés et capteurs
Les objets connectés (1/2)
Objet connecté
• C’est un matériel électronique qui peut communiquer avec un
smartphone, une tablette tactile, une montre, un ordinateur ou
une télévision.
Les risques
• Utilisation commerciale des données personnelles et atteintes à
la vie privée (nous laissons de plus en plus de traces
numériques). Il s’agit désormais de parvenir à garantir
l’anonymat des données collectées par ces appareils.
• Piratage : dès lors que se connecter à internet devient une
fonction intégrante d’objets du quotidien, les concepteurs de
ces équipements doivent faire face aux risques de « cyber »
attaque.
24/27
Les objets connectés (2/2)
Des risques avérés
• septembre 2017 : attaque BlueBorne (exécution de code,
téléchargement de données personnelles. . . )
25/27
Dans un monde de capteurs
La caméra
Si vous autorisez une application à accéder à votre caméra, elle
pourra prendre des photos ou enregistrer et transmettre des films
même lorsqu’elle s’exécute en tâche de fond.
Le microphone
OK Google, Dis Siri, Alexa. . . les assistants personnels vous
écoutent en permanence (uniquement?) pour répondre à vos
attentes.
Les autres capteurs
GPS, gyroscope, boussole. . .
26/27
Conclusion / Questions
27/27