Revision sheet: Sécurité des réseaux et protocoles

📋 Plan du Cours

1. VPN : principes et types
2. TLS et HTTPS
3. Échange TLS et chiffrement
4. Sécurisation d’un réseau
5. Sous-adressage et DNS

📖 1. VPN : principes et types

🔑 Notions clés & Définitions

• VPN : Un VPN est un réseau privé virtuel qui relie des points distants via un lien logique protégé, même sur un réseau non fiable.
• Tunnel VPN : Un tunnel VPN est le lien virtuel entre deux points où les données sont encapsulées et chiffrées pour rester confidentielles.
• VPN client-to-site : Un VPN client-to-site crée un tunnel entre un appareil utilisateur et un réseau d’entreprise pour accéder à ses ressources à distance.

📝 Points essentiels

• Un VPN (Virtual Private Network) vise à créer un lien virtuel entre deux réseaux d’entreprise ou entre un PC client et un réseau d’entreprise via un tunnel.
• Les avantages typiques d’un VPN sont la mise en œuvre rapide sous contrôle de l’entreprise, la sécurité par chiffrement, et la flexibilité lors des évolutions du réseau.
• Les performances d’un VPN ne sont pas garanties car elles dépendent du réseau public utilisé pour transporter le trafic.
• Le VPN client-to-site sert au télétravail ou aux connexions depuis un lieu public, et il existe en split tunnel et full tunnel.

💡 Astuce mémo

Client-to-site = 1 utilisateur vers 1 entreprise ; Site-to-site = entreprise vers entreprise (tunnel entre “clients” ou entre “sites”).

📖 2. TLS et HTTPS

🔑 Notions clés & Définitions

• Transport Layer Security : Le protocole TLS est un protocole cryptographique qui sécurise les échanges réseau en fournissant authentification, confidentialité et intégrité.
• HTTPS : HTTPS est l’usage du protocole HTTP lorsqu’il est transporté sur TLS, ce qui chiffre et authentifie les données HTTP.
• Suite de chiffrement : Une suite de chiffrement regroupe les mécanismes cryptographiques utilisés par TLS (certificats, signatures, hachage, chiffrement asymétrique puis symétrique) pour une connexion donnée.

📝 Points essentiels

• Le certificat TLS sert à authentifier l’identité du serveur, et TLS peut aussi demander l’authentification du client.
• HTTP en clair n’assure ni confidentialité ni contrôle d’intégrité, alors qu’en HTTPS toutes les données HTTP sont chiffrées et authentifiées avec TLS.
• TLS se place entre TCP et HTTP, agissant comme couche intermédiaire pour encapsuler les données et appliquer la sécurité.
• Dans TLS, l’intégrité et l’identification des messages reposent sur la signature des données échangées, en plus du chiffrement assurant la confidentialité.

💡 Astuce mémo

TLS = TCP + Sécurité + HTTP : si tu vois HTTPS, c’est HTTP chiffré par TLS.

📖 3. Échange TLS et chiffrement

🔑 Notions clés & Définitions

• TLS Handshake : Le TLS Handshake négocie les paramètres cryptographiques et initialise l’authentification avant de chiffrer réellement les échanges.
• Record Protocol : Le Record Protocol encapsule les données de la session, puis applique chiffrement et contrôle d’intégrité à l’aide des clés issues de la négociation.
• ChangeCipherSpec : ChangeCipherSpec est un message d’un octet qui indique le passage à un mode chiffré avec la suite et les clés nouvellement négociées.

📝 Points essentiels

• TLS 1.2 handshake commence par ClientHello, puis ServerHello, et progresse vers l’échange des clés avant ChangeCipherSpec et les messages Finished, ce qui valide la suite avant Encrypted Data.
• Le chiffrement des données passe par le Record Protocol : segmentation par blocs de taille <16 ko, puis HMAC pour l’intégrité/identité et chiffrement avec les clés négociées.
• Les alertes TLS se distinguent en fatal error (arrêt de la connexion) et warning (connexion instable).
• TLS 1.3 réduit la poignée de main et exclut les suites/paramètres vulnérables, notamment en supprimant RSA côté compatibilité.

💡 Astuce mémo

ClientHello→ServerHello→Certif→Key Exchange→ChangeCipherSpec→Finished, puis seulement ensuite Record Protocol pour chiffrer les données.

📖 4. Sécurisation d’un réseau

🔑 Notions clés & Définitions

• Pare-feu sans état : Un pare-feu sans état filtre en inspectant chaque paquet séparément à partir des IP et des ports, sans tenir de contexte de connexion.
• Pare-feu avec état : Un pare-feu avec état vérifie que chaque paquet appartient à une connexion en cours en s’appuyant sur un tableau des états et sur la conformité des paquets.
• Pare-feu applicatif : Un pare-feu applicatif analyse les communications par application avec un processus dédié et valide la conformité au protocole applicatif attendu.

📝 Points essentiels

• Les pare-feux sans état bloquent tout trafic ne correspondant pas aux règles portant sur adresses IP et ports source/destination.
• Un pare-feu avec état peut décider de filtrage à partir d’informations collectées pendant la connexion précédente et aide à contrer certaines attaques DoS.
• Le pare-feu applicatif filtre le protocole applicatif via un proxy, plutôt que de se limiter au port (exemple FTP avec contrôle du protocole et non seulement du 21).
• Dans la configuration du filtrage, il faut placer d’abord les règles les plus spécifiques car l’inspection se fait dans l’ordre séquentiel.

💡 Astuce mémo

Sans état = chaque paquet seul; Avec état = suite de paquets vérifiée; Proxy applicatif = inspection “par application”.

📖 5. Sous-adressage et DNS

🔑 Notions clés & Définitions

• Sous-adressage : Le sous-adressage consiste à découper un réseau en plusieurs sous-réseaux en utilisant davantage de bits pour identifier les sous-réseaux.
• Masque réseau CIDR : Le CIDR est une écriture des masques qui indique par un / le nombre de bits de la partie réseau, ce qui permet de tester l’appartenance à un même réseau.
• DNS : Le DNS est le système qui traduit un nom de domaine en informations permettant d’atteindre l’hôte, notamment son adresse IP.

📝 Points essentiels

• Le sous-adressage se fait en empruntant des bits à la partie machine pour créer des sous-réseaux et en modifiant le masque associé avec des 1 sur la partie réseau et sous-réseau.
• Avec 2 bits empruntés, on peut créer 4 sous-réseaux et l’exemple montre un nouveau masque en /18 pour 183.1.0.0 avec des broadcasts en 183.1.63.255, 183.1.127.255, 183.1.191.255 et 183.1.255.255.
• Le DNS utilise d’abord un cache local puis interroge des serveurs (racine puis TLD puis serveur de zone) pour obtenir l’IP d’un hôte, comme www.google.fr via un alias CNAME et une adresse A 216.58.201.227.

💡 Astuce mémo

Sous-adressage : « on emprunte des bits » → plus de sous-réseaux ; DNS : « annuaire » → nom → IP (cache puis racines→TLD→zone).

📅 Repères chronologiques

Date	Événement
1997	Début d’émergence des VPN
2014	Bannissement de SSL 3.0 (suite à la faille POODLE)
2018	Publication de la norme TLS 1.3
1996	SSL 3.0 (dernière version de SSL)

📊 Tableaux de synthèse

Types de pare-feux

Type	Ce qu’il vérifie	Décision
Sans état (stateless)	Chaque paquet séparément (IP/ports) sans contexte de connexion	Bloque tout trafic ne correspondant pas aux règles IP/ports
Avec état (stateful)	Que le paquet appartient à une connexion en cours via un tableau d’états	Peut décider selon des infos collectées pendant la connexion et aide contre certaines attaques DoS
Applicatif (proxy)	La conformité au protocole applicatif via un processus/proxy	Filtre par application (ex: FTP via contrôle du protocole, pas seulement le port 21)

⚠️ Pièges & confusions fréquents

1. Confondre VPN client-to-site (tunnel entre un appareil et un réseau d’entreprise) et VPN site-to-site (interconnexion de deux réseaux d’entreprise).
2. Croire que TLS chiffre l’entièreté de “TCP+HTTP” sans intermédiaire : TLS se place entre TCP et HTTP et protège ensuite les données HTTP.
3. Inverser le rôle : TLS Handshake négocie/authentifie avant chiffrement effectif, alors que le Record Protocol chiffre et assure intégrité pendant l’échange.
4. Mélanger alertes TLS : fatal error arrête la connexion, warning indique une connexion instable.
5. Se tromper de logique pour les règles pare-feu : l’ordre séquentiel impose de placer d’abord les règles les plus spécifiques.
6. Confondre TLS 1.2 et TLS 1.3 : TLS 1.3 réduit la poignée de main et exclut notamment RSA côté compatibilité.
7. Sous-adresser en oubliant d’“emprunter des bits” à la partie machine et de modifier le masque (/18 dans l’exemple) pour calculer réseaux/broadcasts.

✅ Checklist Examen

1. Expliquer l’objectif d’un VPN et identifier un tunnel (lien logique) avec les deux usages : entre deux réseaux d’entreprise ou entre un PC client et un réseau d’entreprise.
2. Distinguer VPN client-to-site (split tunnel vs full tunnel) et VPN site-to-site (interconnecter des réseaux d’entreprise).
3. Lister les 3 rôles d’un protocole VPN : authentification, confidentialité (chiffrement), intégrité (détection d’altération).
4. Décrire l’architecture TLS/SSL en 4 éléments : TLS Handshake, TLS Record, Alert, ChangeCipherSpec (CCS).
5. Donner l’enchaînement TLS 1.2 handshake : ClientHello → ServerHello → Certificate → (Certificate Request optionnel) → key exchange → ChangeCipherSpec → Finished → puis seulement ensuite Encrypted Data/Record Protocol.
6. Décrire le Record Protocol : segmentation (< 16 ko) puis chiffrement et intégrité via MAC/HMAC, et préciser le rôle de l’Alert (fatal error vs warning).
7. Comparer le fonctionnement TLS 1.3 à TLS 1.2 : poignée de main raccourcie et absence de prise en charge de RSA/vulnérabilités mentionnées.
8. Sur la sécurisation réseau : rappeler les fonctions Load-balancer, anti-virus, IDS vs IPS (alerter vs bloquer), segmentation, et pourquoi le principe du moindre privilège mène à la segmentation.
9. Présenter les 3 types de pare-feu (sans état, avec état, applicatif/Proxy) et donner un critère de décision distinctif pour chacun.
10. Décrire une architecture pare-feu (central LAN/WAN, plusieurs pare-feux, et présence d’une DMZ) et le principe DMZ (serveurs accessibles sans exposer le réseau interne).
11. Expliquer le fonctionnement d’iptables en mentionnant les 3 tables (Filter/NAT/Mangle), la politique par défaut DROP, et la règle “ordre séquentiel” (règles spécifiques d’abord).
12. Maîtriser DNS : rôle (nom → IP), étapes de requêtes (cache local, racine puis TLD puis serveur de zone) et l’idée CNAME (alias) avec un enregistrement A.