L'essentiel à connaître
Devant chaque mécanisme, demande-toi quelle propriété il protège parmi le triplet DIC : disponibilité (le service répond), intégrité (rien n'est modifié à ton insu), confidentialité (seules les personnes autorisées lisent). Exemple : chiffrer un disque protège la confidentialité de ses fichiers, pas leur disponibilité si le disque tombe en panne.
En chiffrement symétrique, une même clé secrète chiffre et déchiffre. En asymétrique, chacun a une clé publique, connue de tous, et une clé privée, gardée secrète. Tu chiffres avec la clé publique du destinataire, et seule sa clé privée déchiffre. Tu signes avec ta propre clé privée, et chacun vérifie avec ta clé publique : la signature prouve l'intégrité et aussi l'origine, qu'une simple empreinte ne garantit pas. HTTPS combine les deux : l'asymétrique authentifie le serveur et établit des clés partagées, puis le symétrique protège les données.
Définition : Une fonction de hachage transforme une donnée de toute taille en une empreinte de taille fixe (256 bits pour SHA-256). En pratique, on ne remonte pas de l'empreinte à la donnée, et la moindre modification change l'empreinte.
Un mot de passe se conserve sous forme d'empreinte, ni en clair ni chiffré. On y ajoute un sel, valeur aléatoire propre à chaque compte et stockée avec l'empreinte : deux comptes au même mot de passe n'ont plus la même empreinte. Comme SHA-256 est très rapide, l'ANSSI (l'agence de cybersécurité de l'État) recommande une fonction lente et gourmande en mémoire, comme scrypt ou Argon2.
Piège classique : Base64 n'est pas un chiffrement mais un encodage. Il réécrit les octets en caractères affichables, sans clé : n'importe qui l'inverse.
À retenir : s'identifier, c'est annoncer qui on est (l'identifiant) ; s'authentifier, c'est le prouver (le mot de passe) ; l'autorisation fixe ensuite les droits, que le moindre privilège limite au strict nécessaire.
Un pare-feu filtre le trafic selon des règles : sans état, il juge chaque paquet isolément ; à états, il tient une table des connexions et reconnaît les réponses. Les serveurs joignables depuis Internet vont dans une DMZ, zone que le pare-feu sépare du réseau interne. Un IDS (détection d'intrusion) repère les attaques et alerte, un IPS (prévention d'intrusion) peut en plus tenter de les bloquer.
Quiz : teste tes connaissances
La difficulté monte, et les trois dernières questions tendent des pièges classiques.
Question 1 : Sous un afflux de requêtes, le site de l'université ne répond plus. Quelle propriété est atteinte ?
Réponse : C. Le service ne répond plus quand on en a besoin : c'est la disponibilité. Le piège B : rien n'a été modifié, les données sont seulement inaccessibles.
Question 2 : AES est un algorithme de chiffrement symétrique. Qu'est-ce que cela signifie ?
Réponse : B. Une seule clé, partagée par les deux parties et gardée secrète. Le piège A décrit l'asymétrique, où deux clés différentes chiffrent et déchiffrent.
Question 3 : Sur le serveur de TP, tu saisis ton identifiant puis ton mot de passe. Que fait le mot de passe ?
Réponse : D. L'identifiant annonce qui tu es, c'est l'identification ; le mot de passe le prouve, c'est l'authentification. Le piège A confond annoncer son identité et la prouver.
Question 4 : Tu appliques SHA-256 à un fichier de 4 Go. Qu'obtiens-tu ?
Réponse : A. L'empreinte a une taille fixe, 256 bits pour SHA-256, quelle que soit l'entrée. Le piège B confond hacher et chiffrer : une empreinte ne se déchiffre pas.
Question 5 : Un stagiaire doit consulter les demandes d'assistance. Selon le moindre privilège, que lui accordes-tu ?
Réponse : D. On accorde ce que la tâche exige, rien de plus. Le piège B paraît logique, mais un compte de stagiaire piraté donnerait alors les droits du tuteur.
Question 6 : En asymétrique, tu veux écrire à Bob un message que lui seul pourra lire. Avec quelle clé chiffres-tu ?
Réponse : C. Ce que chiffre la clé publique de Bob, seule sa clé privée le déchiffre, et lui seul l'a. Le piège A, c'est la signature : tout le monde la vérifie avec ta clé publique.
Question 7 : Bob signe numériquement un contrat. Avec quelle clé ?
Réponse : A. Chacun vérifie ensuite avec la clé publique de Bob que le contrat vient de lui, intact. Le piège D : avec une clé partagée, le destinataire pourrait signer à sa place.
Question 8 : Un pare-feu à états laisse entrer la réponse d'un site que tu consultes, sans règle entrante prévue. Pourquoi ?
Réponse : B. Il garde chaque connexion ouverte de l'intérieur et reconnaît les paquets qui y répondent. Le piège C décrit un pare-feu sans état, à qui il faudrait une règle entrante.
Question 9 : Une entreprise a un site web public et une base de données du personnel. Où placer le serveur web ?
Réponse : D. Tout ce qui va de la DMZ au réseau interne traverse le pare-feu. Avec le piège A, un serveur web piraté placerait le pirate sur le même réseau que la base.
Question 10 : Une sonde repère une attaque connue dans le trafic et coupe elle-même la connexion. De quoi s'agit-il ?
Réponse : B. L'IPS détecte comme un IDS et peut en plus tenter d'arrêter l'attaque. Le piège A est tentant, mais l'IDS se contente d'alerter.
Question 11 : À quoi sert le sel ajouté à chaque mot de passe avant le hachage ?
Réponse : C. Deux comptes au même mot de passe ont des empreintes différentes, et les tables d'empreintes calculées à l'avance ne servent plus. Le piège B : stocké avec l'empreinte, le sel n'a rien de secret.
Question 12 : Dans une connexion HTTPS établie, comment sont chiffrées les pages que le serveur t'envoie ?
Réponse : A. L'asymétrique sert au début, pour authentifier le serveur et établir des clés partagées, qui chiffrent ensuite tout en symétrique. Le piège B échoue : ce que chiffre la clé publique du serveur, lui seul peut le lire.
Question 13 : Une application stocke les mots de passe en Base64, comme « bW90ZGVwYXNzZQ== ». Que faut-il à celui qui vole la base pour les lire ?
Réponse : D. Base64 est un encodage sans clé : cette chaîne se décode en « motdepasse ». Le piège A suppose un chiffrement qui n'a jamais eu lieu.
Question 14 : Des mots de passe sont stockés hachés avec SHA-256 et un sel aléatoire par compte. Quel est le défaut ?
Réponse : B. SHA-256 se calcule très vite : avec la base volée, l'attaquant teste énormément de mots de passe, d'où scrypt ou Argon2, lents exprès. Le piège A : le sel bloque les tables précalculées, pas les essais compte par compte.
Question 15 : L'empreinte SHA-256 d'un logiciel est affichée sur sa page de téléchargement, mais un pirate contrôle le serveur. Que garantit-elle encore ?
Réponse : C. Le pirate peut remplacer le logiciel et afficher l'empreinte du sien : la comparaison réussira. Pour s'en protéger, l'éditeur signe avec sa clé privée, que le pirate n'a pas. Le piège A oublie que l'empreinte est, elle aussi, entre ses mains.
Sources
ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe, version 2.0 du 8 octobre 2021. CNIL, Sécurité : chiffrement, hachage, signature. IETF, RFC 9846, le protocole TLS 1.3.