UA8: APPLICATION DES CONCEPTS FONDAMENTAUX DE LA SECURITE INFORMATIQUE

## Objectifs et prérequis **Objectifs** : À la fin de ce chapitre, l’élève sera capable de : - expliquer les concepts fondamentaux de la sécurité informatique (confidentialité, intégrité, disponibilité) ; - identifier les principales menaces et vulnérabilités liées aux systèmes d’information ; - distinguer la cybercriminalité de la cybersécurité et citer leurs enjeux juridiques et techniques ; - mettre en œuvre des techniques de protection des données (chiffrement, hachage, authentification, sauvegarde) ; - analyser un scénario d’attaque et proposer des mesures de prévention adaptées. **Prérequis** : notions de base en architecture des ordinateurs (matériel, logiciel, système d’exploitation), connaissance des réseaux locaux (LAN) et d’Internet, maîtrise des opérations logiques de base (ET, OU, NON) et des systèmes de numérotation binaire/hexadécimal. --- ## Introduction contextualisée Dans un monde où les échanges d’informations sont quasi‑instantanés, la sécurité des systèmes d’information devient un enjeu stratégique pour les individus, les entreprises et les États. Au Cameroun, la croissance rapide de l’accès à Internet et du numérique dans l’éducation, la santé et l’administration expose davantage les données à des risques de vol, de modification ou de destruction. Ce chapitre vise à doter l’élève d’un socle théorique et pratique lui permettant de comprendre les mécanismes de protection, d’identifier les comportements à risque et d’appliquer les bonnes pratiques recommandées par le MINESEC/IGE. --- ## I. Leçon 27 : Concepts fondamentaux de la sécurité informatique ### A. Définitions et enjeux > **Sécurité informatique** : ensemble des mesures techniques, organisationnelles et légales visant à protéger les informations contre les accès non autorisés, les altérations et les indisponibilités. Les trois propriétés fondamentales, souvent résumées par la triade **CIA**, sont : - **Confidentialité** : seules les personnes autorisées peuvent lire l’information. - **Intégrité** : l’information reste exacte et complète ; aucune modification non détectée n’est possible. - **Disponibilité** : les ressources sont accessibles lorsqu’elles sont nécessaires. ### B. Principes de la sécurité (CIA) #### 1. Confidentialité Elle est assurée principalement par le **chiffrement** et le contrôle d’accès. Un algorithme de chiffrement transforme un message clair $M$ en un texte chiffré $C$ à l’aide d’une clé $K$ : $$C = E_K(M)$$ Seul celui qui possède la clé correspondante peut récupérer $M$ par $M = D_K(C)$. #### 2. Intégrité On utilise des **fonctions de hachage** cryptographiques. Pour un message $M$, on calcule son empreinte $h = H(M)$. Toute altération de $M$ produit une empreinte différente avec une probabilité négligeable. #### 3. Disponibilité Elle repose sur la redondance (serveurs de secours, sauvegardes), la tolérance aux pannes et la protection contre les attaques de déni de service (DDoS). ### C. Menaces et vulnérabilités | Menace | Description | Exemple | |--------|-------------|---------| | Logiciel malveillant (malware) | Programme conçu pour nuire ou exploiter un système | Virus, ransomware | | Phishing | Tromperie pour obtenir des identifiants | Courriel falsifié demandant un mot de passe | | Attaque par force brute | Essai systématique de toutes les clés possibles | Recherche du mot de passe d’un compte | | Ingénierie sociale | Manipulation humaine pour obtenir des informations | Appel téléphonique se faisant passer pour le support technique | Une **vulnérabilité** est une faiblesse exploitable (ex. mot de passe faible, logiciel non mis à jour). ### D. Exemples entièrement résolus **Exemple 1 – Calcul de la confidentialité par chiffrement symétrique** On utilise l’algorithme AES‑128. Une clé $K$ de 128 bits est choisie uniformément au hasard. Quel est le nombre de clés possibles ? $$N = 2^{128} \approx 3,4 \times 10^{38}$$ La probabilité de deviner la clé en un seul essai est donc $P = 1/N \approx 2,9 \times 10^{-39}$, pratiquement nulle. **Exemple 2 – Vérification d’intégrité avec fonction de hachage** On veut s’assurer que le fichier `cours.pdf` n’a pas été modifié. On calcule son empreinte SHA‑256 : $$h = \texttt{SHA256}(\text{cours.pdf}) = \texttt{a3f5…9c1}$$ Après transfert, on recompute $h'$. Si $h' = h$, l’intégrité est préservée ; sinon, une altération est détectée. --- ## II. Leçon 28 : Introduction à la cybercriminalité et la cybersécurité ### A. Cybercriminalité : définition et typologie > **Cybercriminalité** : ensemble des infractions commises à l’aide d’un système informatique ou d’un réseau de télécommunication. Les catégories principales (selon le modèle du Conseil de l’Europe) sont : 1. **Infractions contre la confidentialité, l’intégrité et la disponibilité** (accès illégal, interception, atteinte aux données). 2. **Infractions liées au contenu** (diffusion de matériel pédopornographique, discours de haine). 3. **Infractions liées au droit d’auteur et aux marques** (piratage, contrefaçon). 4. **Infractions liées à la fraude** (escroquerie en ligne, usurpation d’identité). ### B. Cybersécurité : objectifs et stratégies > **Cybersécurité** : discipline qui vise à protéger les systèmes d’information contre les cybermenaces grâce à des mesures préventives, détectives et correctives. Les stratégies s’articulent autour de : - **Prévention** : politiques de mots de passe, mises à jour, pare‑feu, formation des utilisateurs. - **Détection** : systèmes de détection d’intrusion (IDS), journaux d’audit, analyse de comportement. - **Réponse** : plans de reprise d’activité, isolation des systèmes compromis, forensic numérique. ### C. Cadre juridique au Cameroun (approche générale) Le MINESEC souligne que le Cameroun dispose d’un arsenal législatif visant à réprimer la cybercriminalité, notamment la **loi n° 2010/012 du 21 décembre 2010 relative à la cybersécurité et à la cybercriminalité**, qui interdit l’accès frauduleux à un système d’information, la diffusion de contenus illicites et la fraude en ligne. Cette loi prévoit des peines d’emprisonnement et des amendes, ainsi que la coopération avec les autorités internationales pour la poursuite des cybercriminels. ### D. Exemples entièrement résolus **Exemple 1 – Qualification d’une infraction** Un étudiant envoie un courriel contenant un lien vers un site qui télécharge un keylogger sur l’ordinateur du destinataire. Quelle infraction caractérise cet acte ? - Accès frauduleux à un système de traitement de données (article relatif à l’accès illégal). - Installation d’un logiciel malveillant sans consentement (atteinte à l’intégrité). Ainsi, l’acte relève de la **cybercriminalité contre la confidentialité et l’intégrité**. **Exemple 2 – Mesure de prévention contre le phishing** Une entreprise souhaite réduire le taux de succès des campagnes de phishing de 30 % à moins de 5 %. Elle met en place : 1. Une formation obligatoire de 2 h pour tous les employés (réduction estimée de 60 %). 2. Un filtre anti‑phishing basé sur l’analyse des URL (réduction estimée de 40 %). En supposant les effets indépendants, le taux résiduel est : $$0,30 \times (1-0,60) \times (1-0,40) = 0,30 \times 0,40 \times 0,60 = 0,072 = 7,2\%$$ Un ajustement supplémentaire (ex. authentification multifactorielle) portant la réduction à 30 % supplémentaire donne : $$0,072 \times (1-0,30) = 0,0504 \approx 5\%$$ Ainsi, l’objectif est atteint. --- ## III. Leçon 29 : Techniques de protection des données ### A. Chiffrement symétrique et asymétrique #### 1. Chiffrement symétrique Même clé $K$ pour chiffrer et déchiffrer. Exemple : AES‑256. Avantage : rapidité. Inconvénient : problème de distribution de la clé. #### 2. Chiffrement asymétrique (clé publique / privée) Chaque utilisateur possède un couple $(K_{pub}, K_{priv})$. - Chiffrement : $C = E_{K_{pub}}(M)$ - Déchiffrement : $M = D_{K_{priv}}(C)$ Exemple : RSA avec module $n = pq$ (où $p,q$ sont de grands nombres premiers). **Démonstration de la propriété de RSA** : Choisir $e$ tel que $\gcd(e,\phi(n))=1$ et calculer $d \equiv e^{-1} \pmod{\phi(n)}$. Alors pour tout $M < n$ : $$M^{ed} \equiv M^{1+k\phi(n)} \equiv M \cdot (M^{\phi(n)})^{k} \equiv M \pmod{n}$$ (d’après le théorème d’Euler $M^{\phi(n)}\equiv 1 \pmod{n}$ quand $\gcd(M,n)=1$). ### B. Fonctions de hachage > **Fonction de hachage cryptographique** : fonction $H$ qui transforme un message de longueur arbitraire en une empreinte de taille fixe, telle que : 1. **Déterminisme** : même entrée → même sortie. 2. **Effet d’avalanche** : un petit changement dans l’entrée produit une empreinte totalement différente. 3. **Résistance à la pré‑image** : donné $h$, il est computationnellement infeasible de trouver $M$ tel que $H(M)=h$. 4. **Résistance aux collisions** : il est infeasible de trouver $M_1\neq M_2$ avec $H(M_1)=H(M_2)$. Exemple courant : SHA‑256 (empreinte de 256 bits). ### C. Authentification et contrôle d’accès - **Authentification** : prouver son identité (quelque chose que l’on sait – mot de passe, que l’on possède – jeton, que l’on est – biométrie). - **Autorisation** : définir les droits d’accès après authentification (modèle RBAC – Role Based Access Control). **Exemple de mot de passe fort** : longueur ≥ 12 caractères, mélange de majuscules, minuscules, chiffres et 10 symboles spéciaux. Entropie approximative : $$H = \log_2(72^{12}) \approx 12 \times \log_2 72 \approx 12 \times 6,17 \approx 74\text{ bits}$$ ### D. Sauvegarde et récupération - **Sauvegarde complète** : copie intégrale des données, effectuée périodiquement (ex. hebdomadaire). - **Sauvegarde incrémentielle** : seules les données modifiées depuis la dernière sauvegarde sont copiées (gain d’espace et de temps). - **Règle 3‑2‑1** : au moins trois copies, sur deux types de supports différents, avec une copie hors site. ### E. Exemples entièrement résolus **Exemple 1 – Chiffrement hybride (symétrique + asymétrique)** On veut transmettre un fichier $F$ de 2 Mo de façon confidentielle et authentifié. 1. Générer une clé symétrique aléatoire $K_{sym}$ (256 bits). 2. Chiffrer $F$ avec AES‑256 : $C_F = E_{K_{sym}}(F)$. 3. Chiffrer $K_{sym}$ avec la clé publique du destinataire $K_{pub}^{B}$ : $C_K = E_{K_{pub}^{B}}(K_{sym})$. 4. Envoyer $(C_F, C_K)$ accompagné d’une signature numérique $S = Sign_{K_{priv}^{A}}(H(C_F\|C_K))$. Le destinataire utilise sa clé privée pour récupérer $K_{sym}$, déchiffre $F$, puis vérifie la signature avec la clé publique de l’expéditeur. Ainsi, confidentialité, intégrité et authentification sont assurées. **Exemple 2 – Détection d’altération via HMAC** On souhaite vérifier l’intégrité d’un message $M$ partagé entre deux parties qui possèdent une clé secrète $K$. On calcule : $$HMAC_K(M) = H\bigl((K \oplus opad) \,\|\, H((K \oplus ipad) \,\|\, M)\bigr)$$ où $opad$ et $ipad$ sont des constantes. Si le destinataire recompute le même HMAC et obtient la même valeur, il conclut que $M$ n’a pas été altéré et provient bien de la partie possédant $K$. --- ## Synthèse du chapitre - **Triade CIA** : confidentialité, intégrité, disponibilité – piliers de toute politique de sécurité. - **Menaces** : malware, phishing, force brute, ingénierie sociale ; exploitant des vulnérabilités (logiciels non à jour, mots de passe faibles). - **Cybercriminalité** : infractions numériques ; la cybersécurité regroupe prévention, détection et réponse. - **Chiffrement** : symétrique (rapide, problème de distribution) vs asymétrique (échange de clés sécurisé, plus lent). RSA repose sur la difficulté de la factorisation de grands entiers. - **Fonctions de hachage** : empreinte fixe, résistance à la pré‑image et aux collisions (ex. SHA‑256). - **Authentification** : facteur savoir, possession, inherence ; mot de passe fort → haute entropie. - **Sauvegarde** : règle 3‑2‑1, combinaisons complète/incrémentielle pour garantir la disponibilité. - **Techniques combinées** : chiffrement hybride (symétrique + asymétrique) + signature/HMAC pour assurer les trois propriétés CIA simultanément. --- ## Glossaire | Terme | Définition | |-------|------------| | Confidentialité | Propriété garantissant que seules les personnes autorisées peuvent accéder à l’information. | | Intégrité | Assurance que l’information n’a pas été modifiée de façon non autorisée. | | Disponibilité | Capacité du système à fournir les ressources lorsqu’elles sont demandées. | | Malware | Logiciel conçu pour nuire, exploiter ou obtenir un accès non autorisé à un système. | | Phishing | Technique d’ingénierie sociale visant à obtenir des informations sensibles par tromperie. | | Chiffrement symétrique | Méthode où la même clé sert à chiffrer et à déchiffrer les données. | | Chiffrement asymétrique | Méthode utilisant un couple de clés (publique, privée) pour opérations de chiffrement/déchiffrement. | | Fonction de hachage | Transformation irréversible d’un message en empreinte de taille fixe, résistante aux collisions. | | HMAC | Code d’authentification de message basé sur une fonction de hachage et une clé secrète. | | Sauvegarde incrémentielle | Copie uniquement des données modifiées depuis la dernière sauvegarde. | | Règle 3‑2‑1 | Principe de sauvegarde : 3 copies, sur 2 supports différents, avec 1 copie hors site. | | Authentification multifactorielle (MFA) | Utilisation d’au moins deux facteurs d’authentification différents pour renforcer la sécurité. | | RSA | Algorithme de chiffrement asymétrique basé sur la difficulté de la factorisation de grands entiers. | | AES | Advanced Encryption Standard, algorithme de chiffrement symétrique largement utilisé. | | IDS | Intrusion Detection System, système surveillant le trafic pour détecter des activités suspectes. | --- ## Exercices d'application corrigés ### Exercice 1 – Confidentialité (niveau facile) **Énoncé** : On souhaite chiffrer le message clair $M = \texttt{« BAC »}$ en utilisant le chiffrement de César avec un décalage de 3. Donner le texte chiffré $C$. **Corrigé** : - Chaque lettre est remplacée par celle qui se trouve 3 rangs après dans l’alphabet (A→D, B→E, C→F). - $C = \texttt{« EDF »}$. --- ### Exercice 2 – Intégrité (niveau moyen) **Énoncé** : On calcule l’empreinte MD5 d’un fichier $F$ et on obtient $h = \texttt{5d41402abc4b2a76b9719d911017c592}$. Un tiers affirme que le fichier n’a pas été modifié. Expliquer pourquoi cette affirmation est douteuse. **Corrigé** : - MD5 est considéré comme cryptographiquement faible ; il existe des attaques de collision permettant de trouver deux fichiers différents $F_1\neq F_2$ tels que $MD5(F_1)=MD5(F_2)$. - Donc, même si l’empreinte correspond, on ne peut pas garantir l’intégrité avec une certitude suffisante. Il faut préférer SHA‑256 ou supérieur. --- ### Exercice 3 – Chiffrement hybride (niveau moyen) **Énoncé** : Alice veut envoyer un document confidentiel de 1 Mo à Bob. Elle dispose de la clé publique RSA de Bob ($n=3233$, $e=17$) et d’une clé secrète AES‑256 $K_{sym}$ générée aléatoirement. Décrire les étapes du protocole hybride et donner le format du message transmis. **Corrigé** : 1. Générer $K_{sym}$ (256 bits). 2. Chiffrer le document $D$ avec AES‑256 en mode CBC (ou GCM) : $C_D = E_{K_{sym}}(D)$. 3. Chiffrer $K_{sym}$ avec la clé publique RSA de Bob : $C_K = RSA_{e,n}(K_{sym}) = K_{sym}^{e} \bmod n$. 4. Construire le message transmis : $\langle C_D \,\|\, C_K \rangle$ (concaténation). Bob, possédant la clé privée $d$ telle que $ed\equiv1\pmod{\phi(n)}$, récupère $K_{sym}=C_K^{d}\bmod n$, puis déchiffre $C_D$ avec $K_{sym}$ pour obtenir $D$. --- ### Exercice 4 – Authentification (niveau difficile) **Énoncé** : Un système exige un mot de passe de 12 caractères composé de lettres majuscules, minuscules, chiffres et 10 symboles spéciaux. Calculer l’entropie (en bits) d’un tel mot de passe supposé choisi uniformément au hasard. **Corrigé** : - Nombre de caractères possibles : $26$ majuscules $+$ $26$ minuscules $+$ $10$ chiffres $+$ $10$ symboles $= 72$. - Entropie : $H = \log_2(72^{12}) = 12 \times \log_2 72$. - $\log_2 72 = \ln 72 / \ln 2 \approx 4,2767 / 0,6931 \approx 6,1699$. - Donc $H \approx 12 \times 6,1699 \approx 74,04$ bits ≈ **74 bits** d’entropie. --- ### Exercice 5 – Sauvegarde (niveau difficile) **Énoncé** : Une entreprise effectue une sauvegarde complète chaque dimanche et des sauvegardes incrémentielles les autres jours. Si la taille des données est de 200 Go et que chaque jour, en moyenne, 5 Go de nouvelles données sont ajoutées, quelle est l’espace de stockage nécessaire pour conserver les sauvegardes des 30 derniers jours (en supposant que la sauvegarde complète du jour 0 occupe 200 Go) ? **Corrigé** : - Jour 0 (dimanche) : sauvegarde complète = 200 Go. - Chaque jour suivant (lundi à samedi) : sauvegarde incrémentielle = 5 Go. - Sur une semaine : $1 \times 200 + 6 \times 5 = 200 + 30 = 230$ Go. - Sur 30 jours ≈ 4 semaines + 2 jours. - 4 semaines complètes : $4 \times 230 = 920$ Go. - Jour 29 (lundi) : incrémentielle 5 Go. - Jour 30 (mardi) : incrémentielle 5 Go. - Total = $920 + 5 + 5 = 930$ Go. Ainsi, environ **0,93 To** d’espace de stockage sont nécessaires. --- ## Erreurs fréquentes | Erreur fréquente | Pourquoi elle se produit | Comment l’éviter | |------------------|--------------------------|------------------| | Confondre **chiffrement** et **codage** (ex. Base64) | Les deux transforment des données, mais seul le chiffrement garantit la confidentialité via une clé. | Rappeler que le chiffrement nécessite une clé secrète ; le codage est réversible sans clé. | | Utiliser **MD5** ou **SHA‑1** pour des besoins de sécurité | Ces fonctions sont vulnérables aux collisions connues. | Privilégier SHA‑256, SHA‑3 ou des fonctions de hachage dédiées aux mots de passe (bcrypt, PBKDF2). | | Négliger la gestion des **clés** dans le chiffrement asymétrique | Penser que posséder la clé publique suffit pour déchiffrer. | Insister sur le fait que seule la clé privée permet le déchiffrement ; la clé publique sert uniquement à chiffrer ou vérifier une signature. | | Sous‑estimer l’importance de la **formation** des utilisateurs contre le phishing | Considérer que seules les solutions techniques suffisent. | Prévoir des sessions de sensibilisation régulières et des tests de phishing simulés. | | Omettre la **vérification de l’intégrité** après transfert de données | Supposer que l’absence d’erreur de transmission implique l’intégrité. | Toujours accompagner le transfert d’un HMAC ou d’une signature numérique. | | Appliquer une **sauvegarde complète** chaque jour sans réfléchir à l’espace | Crainte de perdre des données, mais entraîne un gaspillage important. | Adopter la règle 3‑2‑1 avec des sauvegardes incrémentielles/différentielles et vérifier périodiquement la capacité de stockage. | --- *Fin du cours.*