Wikipédia:Sélection/Sécurité informatique

Un article de Wikipédia, l'encyclopédie libre.

Vulnérabilité (informatique)

Dans le domaine de la sécurité informatique, une vulnérabilité ou une faille, est une erreur dans un système informatique permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est à dire à son fonctionnement normal, à la confidentialité et l'intégrité des données qu'il contient. On parle aussi de faille de sécurité informatique.

Ces vulnérabilités sont la conséquence de faiblesses dans la conception, la mise en œuvre ou l'utilisation d'un composant matériel ou logiciel du système, mais il s'agit généralement de l'exploitation de bugs logiciels. Ces dysfonctionnements logiciels sont en général corrigés à mesure de leurs découvertes, c'est pourquoi il est important de maintenir les logiciels à jour avec les correctifs fournis par les éditeurs de logiciels.

Il arrive que la procédure d'exploitation d'une faille d'un logiciel soit publiquement documentée et utilisable sous la forme d'un petit logiciel appelé exploit.

Lire l’article

Hacker (sécurité informatique)

En sécurité informatique, un hacker est un spécialiste disposant d'un savoir-faire exceptionnel dans la maîtrise de la sécurité informatique et donc des moyens de déjouer cette sécurité. Certains d'entre eux utilisent ce savoir-faire dans un cadre légal et d'autres l'utilisent hors-la-loi.

Pour traduire cette réalité, le jargon informatique classe les hackers dans différentes catégories en fonction du degré de légalité de leurs actions :

Lire l’article

Logiciel malveillant

Un logiciel malveillant (malware en anglais) est un logiciel développé dans le but de nuire à un système informatique. Les virus et les vers sont les deux exemples de logiciels malveillants les plus connus.

Bien qu'il en existe de toutes sortes, les logiciels malveillants peuvent être classés en fonction des trois mécanismes suivants :

  • le mécanisme de propagation (par exemple, un ver se propage sur un réseau informatique en exploitant une faille applicative ou humaine) ;
  • le mécanisme de déclenchement (par exemple, la bombe logique — comme la bombe logique surnommée vendredi 13 — se déclenche lorsqu'un évènement survient) ;
  • la charge utile (par exemple, le virus Tchernobyl tente de supprimer des parties importantes du BIOS, ce qui bloque le démarrage de l'ordinateur infecté).
Lire l’article

Pourriel

Le pourriel ou polluriel, ou encore spam en anglais, désigne une communication électronique, notamment du courrier électronique, non sollicitée par les destinataires, expédiée en masse à des fins publicitaires ou malhonnêtes.

Le pourriel contient généralement de la publicité. Les produits les plus vantés sont les services pornographiques, les médicaments (le plus fréquemment les produits de « dopage sexuel » ou, des hormones utilisées dans la lutte contre le vieillissement), le crédit financier, les casinos en ligne, les montres de contrefaçon, les diplômes falsifiés et les logiciels craqués. Mais il peut aussi contenir un message de phishing et d'escroquerie.

Lire l’article

Hameçonnage

Exemple de phishing

L'hameçonnage, appelé en anglais phishing, est une technique utilisée par des fraudeurs pour obtenir des renseignements personnels dans le but de perpétrer une usurpation d'identité.

La technique consiste à faire croire à la victime qu'elle s'adresse à un tiers de confiance — banque, administration, etc. — afin de lui soutirer des renseignements personnels : mot de passe, numéro de carte de crédit, date de naissance, etc. C'est une forme d'attaque informatique reposant sur l'ingénierie sociale.

L'hameçonnage peut se faire par courrier électronique, par des sites Web falsifiés ou autres moyens électroniques.

Lire l’article

Pare-feu

Un pare-feu est un élément du réseau informatique, logiciel et/ou matériel, qui a pour fonction de faire respecter la politique de sécurité du réseau, celle-ci définissant quels sont les types de communication autorisés ou interdits.

Un pare-feu est parfois appelé coupe-feu ou encore firewall en anglais. Dans un contexte OTAN, un pare-feu est appelé Périphérique de protection en bordure (en anglais : Border Protection Device, ou BPD). Dans un environnement BSD, un pare-feu est aussi appelé packet filter.

Il a pour principale tâche de contrôler le trafic entre différentes zones de confiance, en filtrant les flux de données qui y transitent. Généralement, les zones de confiance incluent Internet (une zone dont la confiance est nulle), et au moins un réseau interne (une zone dont la confiance est plus importante).

Lire l’article

Signature numérique

La signature numérique est un mécanisme permettant d'authentifier l'auteur d'un document électronique et de garantir son intégrité, par analogie avec la signature manuscrite d'un document papier. Un mécanisme de signature numérique doit présenter les propriétés suivantes :
  • Il doit permettre au lecteur d'un document d'identifier la personne ou l'organisme qui a apposé sa signature.
  • Il doit garantir que le document n'a pas été altéré entre l'instant où l'auteur l'a signé et le moment où le lecteur le consulte.

Pour cela, les conditions suivantes doivent être réunies :

  • Authentique  : L'identité du signataire doit pouvoir être retrouvée de manière certaine.
  • Infalsifiable : La signature ne peut pas être falsifiée. Quelqu'un d'autre ne peut se faire passer pour un autre.
  • Non réutilisable: La signature n'est pas réutilisable. Elle fait partie du document signé et ne peut être déplacée sur un autre document.
  • Inaltérable : Un document signé est inaltérable. Une fois qu'il est signé, on ne peut plus le modifier.
  • Irrévocable : La personne qui a signé ne peut le nier.

La signature électronique n'est devenue possible qu'avec la cryptographie asymétrique.

Elle se différencie de la signature écrite par le fait qu'elle n'est pas visuelle, mais correspond à une suite de nombres.

Lire l’article

Authentification forte

En sécurité des systèmes d'information, une authentification forte est une procédure d'identification qui requiert concaténation d'au moins deux éléments ou « facteurs » d'authentification qui sont :

  • Ce que l'entité connaît (un mot de passe, un code NIP, une phrase secrète, etc.),
  • Ce que l'entité détient (une carte magnétique, RFID, une clé USB, un PDA, une carte à puce, etc. Soit un « Authentifieur » ou « Token »),
  • Ce que l'entité est, soit une personne physique (empreinte digitale, empreinte rétinienne, structure de la main, structure osseuse du visage ou tout autre élément biométrique),
  • Ce que l'entité sait faire, soit une personne physique (biométrie comportementale tel que signature manuscrite, reconnaissance de la voix, un type de calcul connu de lui seul, etc.).

Le but de l'authentification forte est de garantir :

Lire l’article

Plan de continuité d'activité

En informatique, un plan de continuité d'activité, parfois aussi appelé "plan de reprise d'activité", a pour but la reprise des activités après un sinistre important touchant le système informatique.

Il s'agit de redémarrer l'activité le plus rapidement possible avec le minimum de perte de données.

Ce plan est un des points essentiels de la politique de sécurité informatique d'une entreprise.

Lire l’article

Loi informatique et libertés

Les « lois Informatique et libertés » (aussi appelées LiL) sont des lois françaises destinées à garantir la protection de la vie privée des citoyens face aux moyens de traitement automatisés de données numériques.

En effet, l'informatique permet de traiter en masse des données, de manière beaucoup plus rapide et « efficace » que les fichiers papier. La première utilisation malveillante du traitement automatisé fut le tri des juifs par des ordinateurs IBM par le régime nazi en Allemagne (via Dehomag, branche allemande d'IBM à l'époque) à partir des données du recensement qui comprenaient notamment la religion. Clairement, le traitement informatisé a facilité la déportation.

En France, il s'agit de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés; la CNIL, en tant que autorité administrative indépendante, est depuis chargée de la faire appliquer. Cette loi a été ultérieurement modifiée par la loi du 6 août 2004 afin de transposer dans le droit français les dispositions d'une directive européenne.

Lire l’article

Captcha

Trois CAPTCHA

Un Captcha est une forme de test de Turing permettant de différencier de manière automatisée un utilisateur humain d'un ordinateur. Parce que le test est réalisé par un ordinateur, en opposition avec les tests de Turing standard réalisés par des humains, un Captcha est souvent décrit comme un test de Turing inversé. Ce terme est néanmoins ambigu parce qu’il pourrait aussi signifier que les participants essayent aussi de prouver qu'ils sont des ordinateurs.

Ce test est utilisé sur Internet dans les formulaires pour se prémunir contre les soumissions automatisées et intensives réalisées par des robots malveillants (par exemple, pour spammer grâce à l'inscription à des webmails gratuits ou lors de la soumission de messages dans des forums de discussion et des blogs, ou encore pour participer à des sondages).

Lire l’article

Dépassement de tampon

Exemple de débordement

En informatique, un dépassement ou débordement de tampon (en anglais, buffer overflow) est un bogue pouvant être exploité pour violer la politique de sécurité d’un système. Cette technique est couramment utilisée par les pirates informatiques.

Au départ, un dépassement provoque souvent une instabilité logicielle (pouvant toucher système d'exploitation, voir même bloquer la machine). Mais lorsque le bogue est exploité, la stratégie du pirate est de détourner le programme bogué en lui faisant exécuter n'importe quel code externe qu'il aura choisi; son but étant en général de gagner plus de droits d'accès sur la machine.

Lire l’article

Echelon

Radôme dans le Yorkshire

Echelon est un nom de code utilisé pendant de nombreuses années par les services de renseignements américains pour désigner une base d'interception des satellites commerciaux. Par extension le Réseau Echelon désigne le système mondial d'interception des communications privées et publiques, élaboré par les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande dans le cadre du Traité UKUSA (UKUSA Agreement).

Il intercepte les télécopies, les communications téléphoniques, les courriels et, grâce à un puissant réseau d’ordinateurs, est capable de trier en fonction de certains termes les communications écrites et, à partir de l’intonation de la voix, les communications orales. Bien que plusieurs autres pays aient mis en place des systèmes similaires, comme le système surnommé Frenchelon en France, il reste aujourd’hui le plus puissant des systèmes d'écoute.

Ces réseaux peuvent être utilisés pour des actions militaires, politiques ou commerciales. Il aurait été utilisé pour faire gagner des contrats à des compagnies américaines, face à ses concurrents, comme Boeing contre Airbus.

Toutes les informations récoltées par le réseau Echelon sont analysées au quartier général de la NSA à Fort George G. Meade (Maryland, États-Unis).

Lire l’article

Gestion numérique des droits

Copyright

La gestion numérique des droits ou GND (en anglais Digital Rights Management - DRM) a pour objectif de contrôler par des mesures techniques de protection l'utilisation qui est faite des œuvres numériques. La technique se voulant suffisante et nécessaire au contrôle, elle prévoit par exemple de :

  • rendre impossible la consultation d'une œuvre hors de la zone géographique prévue (les zones des DVD) ;
  • rendre impossible l'utilisation de matériel concurrent pour consulter une œuvre (incompatibilité des verrous appliqués aux formats musicaux, comme ceux de l'iTunes Store) ;
  • rendre impossible la consultation d'une œuvre selon ses préférences (désactivation de l'avance rapide sur certains passages publicitaires de DVD) ;
  • limiter ou rendre impossible le transfert des œuvres d'un appareil à l'autre (limitation de la copie) ;
  • rendre impossible l'extraction numérique de passage de l'œuvre.

Tendance voisine, l'interdiction légale de contourner ces limitations techniques est de plus en plus largement adoptée (DMCA aux États-Unis, DADVSI en France) car elle a fait l'objet d'un accord international. Ces lois provoquent d'intenses débats car elles interdisent la production de matériel et logiciel contournant les limitations, y compris pour proposer des moyens innovant et respectant les droits d'auteur, d'utiliser les œuvres.

DRM est parfois traduit par « gestion des droits numériques » : il s'agit là d'un contresens, car ce sont les contenus et leur gestion qui sont numériques, et non les droits eux-mêmes.

Lire l’article