Lernzettel: Sécurité cryptographique en entreprise

📋 Plan du Cours

1. Chiffrement au repos
2. Chiffrement en transit
3. Vulnérabilités virtualisation
4. Snapshots et clés LUKS
5. Gestion des secrets
6. Bootstrap cryptographique
7. Erreurs courantes en entreprise
8. Limites du chiffrement
9. Risques liés à la virtualisation
10. Protection contre interception
11. Protection contre compromission

📖 1. Chiffrement au repos

🔑 Notions clés & Définitions

• Chiffrement au repos (Data at Rest) : Technique de protection des données stockées sur un support physique ou virtuel (disque dur, base de données, sauvegarde) afin d'empêcher leur lecture en cas de vol, perte ou décommissionnement du support.

• Clé cryptographique : Séquence de bits utilisée pour chiffrer et déchiffrer des données. La sécurité repose sur la confidentialité et la gestion rigoureuse de cette clé.

• Technologies courantes :

  • LUKS : Standard Linux pour le chiffrement de disque.
  • BitLocker : Solution native Windows pour le chiffrement de volume.
  • TDE (Transparent Data Encryption) : Chiffrement transparent appliqué aux bases de données (PostgreSQL, MySQL, Oracle).

• Limite du chiffrement au repos : Si la machine est allumée, les données sont déchiffrées en RAM, rendant la protection vulnérable en cas d'accès mémoire ou snapshot.

• Erreurs courantes : Clés en dur dans le code, absence de rotation, protocoles obsolètes, stockage non chiffré des backups, clés stockées en clair (ex. Keyfile LUKS).

📝 Points essentiels

• Le chiffrement au repos protège principalement contre l'accès physique non autorisé aux supports de stockage.
• La sécurité est compromise si la clé est exposée, si la machine est en fonctionnement ou si des erreurs de configuration existent.
• La gestion des clés doit inclure leur création sécurisée, stockage dans des modules matériels (HSM), rotation régulière et révocation en cas de compromission.
• La virtualisation complexifie la sécurité : snapshots mémoire, clonage VM, extraction de clés en RAM sont des vecteurs d'attaque majeurs.
• La sécurité cryptographique ne doit pas être considérée comme une solution unique : elle doit être complétée par un contrôle d'accès strict, une surveillance continue et une gestion rigoureuse des secrets.

💡 À retenir

Le chiffrement au repos est une barrière essentielle contre le vol physique des données, mais il est vulnérable si la clé est compromise ou si la configuration est défaillante. La sécurité optimale repose sur une gestion rigoureuse des clés et une approche de sécurité en profondeur.

📖 2. Chiffrement en transit

🔑 Notions clés & Définitions

Notion	Définition	Exemple / Commentaire
Chiffrement en transit	Technique cryptographique assurant la sécurité des données lors de leur circulation sur un réseau.	Utilisation de TLS pour sécuriser une connexion HTTPS.
TLS (Transport Layer Security)	Protocole standard pour sécuriser les communications web, assurant confidentialité et intégrité.	TLS 1.2 / 1.3, utilisé pour HTTPS.
Man-in-the-Middle (MITM)	Attaque où un attaquant intercepte et éventuellement modifie la communication entre deux parties.	Interception d’un flux HTTPS non sécurisé.
SSH (Secure Shell)	Protocole cryptographique pour l’administration distante sécurisée.	Connexion sécurisée à un serveur distant via SSH.
IPsec VPN	Ensemble de protocoles permettant de créer des tunnels cryptés au niveau réseau.	Connexion sécurisée entre deux réseaux via VPN IPsec.
Mutual TLS (mTLS)	Variante de TLS où les deux parties (client et serveur) s’authentifient mutuellement.	Authentification renforcée pour API sensibles.

📝 Points essentiels

• Le chiffrement en transit protège les données durant leur transfert, empêchant leur interception ou modification par des acteurs malveillants.
• TLS (version 1.2 ou 1.3) est le protocole de référence pour sécuriser les communications web (HTTPS).
• SSH permet une administration à distance sécurisée, en chiffrant toutes les commandes et données échangées.
• IPsec VPN crée des tunnels cryptés au niveau réseau, garantissant la confidentialité entre deux points distants.
• La configuration incorrecte, comme un HTTPS en façade mais un trafic backend en HTTP, constitue une faille critique.
• Le chiffrement en transit est une "dernière ligne de défense" contre l’interception, mais ne protège pas si l’attaquant a déjà un accès légitime.

💡 À retenir

Le chiffrement en transit, principalement via TLS, SSH ou IPsec, est essentiel pour sécuriser la circulation des données, mais il doit être complété par une gestion rigoureuse des accès et une configuration correcte pour éviter les vulnérabilités internes ou mal configurées.

📖 3. Vulnérabilités virtualisation

🔑 Notions clés & Définitions

• VM Escape : Vulnérabilité permettant à un attaquant de sortir d'une machine virtuelle pour accéder à l'hyperviseur ou à d'autres VM, en exploitant des failles dans la virtualisation.
• Snapshot : Capture instantanée de l'état d'une VM à un moment donné, incluant la mémoire vive, le disque, et la configuration. Peut contenir des clés ou données sensibles si effectué à chaud.
• Clé de chiffrement en mémoire (RAM) : Clé utilisée pour déchiffrer un volume LUKS, stockée temporairement en mémoire vive lors de l'exécution, vulnérable lors de snapshots ou dump mémoire.
• VM Escape / Évasion VM : Technique d'attaque où un malware ou un attaquant contourne l'isolation entre VM et hyperviseur pour prendre le contrôle de l'hôte ou d'autres VM.
• Hyperviseur : Logiciel qui gère et virtualise plusieurs VM sur une même machine physique, constituant une couche d'abstraction critique mais vulnérable.
• Attaques par snapshot à chaud : Prise de snapshots pendant que la VM fonctionne, capturant la mémoire vive et exposant ainsi les clés cryptographiques actives, notamment dans le contexte du chiffrement LUKS.

📝 Points essentiels

• La virtualisation introduit des vecteurs d'attaque supplémentaires : hyperviseur, snapshots, clonage, extraction mémoire, console cloud.
• La clé de chiffrement stockée en RAM lors de l'exécution peut être récupérée via dump mémoire si un snapshot à chaud est effectué, compromettant la sécurité du chiffrement LUKS.
• La compromission de l'hyperviseur ou des outils d'administration permet un accès total aux VM, rendant le chiffrement traditionnel inefficace face à un administrateur malveillant.
• La sécurité doit inclure la gestion rigoureuse des snapshots, la limitation des accès à l'hyperviseur, et l'utilisation de solutions cryptographiques avancées (ex. enclaves sécurisées).
• La différenciation des profils d'attaquants (externe, VM compromis, administrateur) permet d'adapter la stratégie de défense en fonction du niveau de risque.

💡 À retenir

Le chiffrement en environnement virtualisé est vulnérable si la gestion des snapshots, des clés en mémoire, et des accès hyperviseur n'est pas rigoureuse ; la sécurité doit donc combiner cryptographie, contrôle d'accès strict, et protections spécifiques à la virtualisation.

📖 4. Snapshots et clés LUKS

🔑 Notions clés & Définitions

Notion	Définition	Exemple / Détail
LUKS (Linux Unified Key Setup)	Standard de chiffrement de disque sous Linux utilisant une clé maître protégée.	Utilisé pour chiffrer un volume de stockage Linux.
Snapshot (instantané)	Capture de l’état d’une machine virtuelle ou d’un disque à un moment précis, incluant la mémoire vive et les clés actives.	Prendre un snapshot "à chaud" pendant que la VM tourne.
Clé de chiffrement (LUKS)	Clé secrète utilisée pour chiffrer et déchiffrer les données d’un volume LUKS.	Générée aléatoirement, stockée dans un fichier ou HSM.
Dump mémoire (Memory dump)	Extraction du contenu de la mémoire vive d’un système ou VM, pouvant contenir des clés actives.	Utilisé pour récupérer la clé lors d’un snapshot à chaud.
VM escape (évasion de VM)	Technique permettant à un attaquant de sortir d’une VM pour accéder à l’hyperviseur ou à d’autres VM.	Exploitation de vulnérabilités pour contrôler l’hyperviseur.

📝 Points essentiels

• Lorsqu’une VM avec disque chiffré LUKS tourne, la clé maître est en mémoire RAM, nécessaire pour le fonctionnement du volume.
• La création d’un snapshot "à chaud" capture la mémoire vive, incluant la clé active, rendant la protection du chiffrement vulnérable.
• L’extraction de la clé via dump mémoire permet à un attaquant de monter le disque chiffré hors ligne, compromettant la sécurité.
• La sécurité du chiffrement LUKS dépend du cycle de vie de la clé : si elle est exposée, tout le volume devient accessible.
• La gestion rigoureuse des snapshots, notamment leur création hors ligne ou après arrêt de la VM, est cruciale pour préserver la confidentialité des clés.

💡 À retenir

Le principal risque lié aux snapshots dans un environnement virtualisé chiffré LUKS est la capture accidentelle ou malveillante de la clé en mémoire lors d’un snapshot à chaud, ce qui annule la sécurité du chiffrement. La protection efficace repose sur une gestion stricte des snapshots et une sécurisation du cycle de vie des clés.

📖 5. Gestion des secrets

🔑 Notions clés & Définitions

• Secret cryptographique : Clé ou information sensible utilisée pour chiffrer, déchiffrer ou authentifier des données. Exemples : clés API, mots de passe, certificats privés.
• Gestion centralisée des secrets : Système unique permettant de stocker, distribuer, faire tourner, et auditer l’accès aux secrets, comme Vault ou AWS Secrets Manager.
• Cycle de vie d’un secret : Processus comprenant la création, la rotation, la révocation et la suppression des secrets pour limiter leur exposition.
• HSM (Hardware Security Module) : Dispositif physique sécurisé stockant et utilisant des clés cryptographiques, garantissant leur confidentialité et intégrité.
• Bootstrap cryptographique : Procédé initial permettant de sécuriser la création et la distribution des clés de chiffrement, souvent via une clé de niveau supérieur ou une enclave sécurisée.
• Exposition des secrets : Risque de fuite ou de compromission des secrets, souvent par mauvaise gestion, stockage inadéquat ou erreurs humaines (ex : commit dans Git, logs, variables d’environnement).

Points essentiels

• La sécurité des données chiffrées dépend fortement de la protection des secrets, notamment des clés privées et tokens d’accès.
• La gestion des secrets doit être centralisée, automatisée, et inclure la rotation régulière pour limiter les risques en cas de fuite.
• Les erreurs courantes incluent le stockage en clair dans le code, dans des fichiers de configuration ou dans l’historique Git, ainsi que la réutilisation de secrets.
• Les outils modernes de gestion (Vault, KMS cloud) permettent une injection dynamique, une révocation immédiate, et une traçabilité des accès.
• La sécurité doit aussi couvrir le bootstrap cryptographique, en utilisant des HSM ou TPM pour protéger la clé maître.

Point à retenir

La sécurité ultime repose sur une gestion rigoureuse, centralisée et automatisée des secrets, car leur compromission annule toute la protection cryptographique.

📖 6. Bootstrap cryptographique

🔑 Notions clés & Définitions

• Bootstrap cryptographique : Processus initial permettant de générer, stocker et distribuer les clés cryptographiques nécessaires pour sécuriser un système, tout en résolvant le paradoxe de la "première clé" à protéger.

• Clé de bootstrap : Clé initiale utilisée pour sécuriser la génération ou la récupération des autres clés cryptographiques. Elle doit elle-même être protégée de manière rigoureuse.

• HSM (Hardware Security Module) : Dispositif physique sécurisé conçu pour générer, stocker et gérer des clés cryptographiques, en assurant leur confidentialité et intégrité.

• TPM (Trusted Platform Module) : Puce cryptographique intégrée aux appareils, permettant de stocker des clés de façon sécurisée et d’assurer l’intégrité du système.

• KMS (Key Management Service) : Service cloud ou local permettant de gérer, stocker, et distribuer des clés cryptographiques de façon centralisée, souvent avec rotation automatique.

• Shamir Secret Sharing : Technique de partage de secret où une clé maîtresse est divisée en plusieurs parts, nécessitant un seuil minimum pour la reconstituer, garantissant la résilience et la sécurité.

📝 Points essentiels

• La sécurité du bootstrap cryptographique est cruciale car elle détermine la confiance dans tout le système cryptographique.
• La "première clé" doit être stockée ou générée dans un environnement hautement sécurisé, souvent via HSM ou TPM.
• La gestion des clés inclut leur génération, stockage, rotation, révocation et destruction, pour limiter leur exposition.
• Les solutions matérielles (HSM, TPM) offrent une sécurité physique renforcée, mais ont un coût et une complexité d’intégration.
• Les solutions cloud (KMS) permettent une gestion flexible et scalable, mais nécessitent une confiance dans le fournisseur.
• Le partage de secret (Shamir) permet de répartir la confiance et d’éviter un point de défaillance unique.

💡 À retenir

Le bootstrap cryptographique est le socle de la sécurité des systèmes cryptographiques : il doit assurer la génération, la protection et la distribution sécurisée de la clé initiale, car toute faille à ce stade compromet l’ensemble du dispositif.

📖 7. Erreurs courantes en entreprise

🔑 Notions clés & Définitions

• Clés en dur dans le code : Stockage de clés cryptographiques directement dans le code source, rendant les secrets accessibles à toute personne ayant accès au dépôt ou au code. Risque : fuite massive en cas de compromission du code.

• Absence de rotation des secrets : Pratique consistant à utiliser les mêmes clés ou mots de passe sur une longue période sans renouvellement. Risque : augmentation de la vulnérabilité en cas de fuite ou de compromission.

• Protocoles obsolètes : Utilisation de versions anciennes de protocoles cryptographiques (ex : TLS 1.0, SSL 3.0, 3DES) présentant des vulnérabilités connues. Risque : facilitation des attaques et dégradation de la sécurité.

• Certificats expirés : Non surveillance ou gestion inadéquate des dates d’expiration des certificats, pouvant entraîner des interruptions de service ou des failles de sécurité si désactivés temporairement.

• Backups non chiffrés : Sauvegardes stockées en clair alors que les données en production sont chiffrées. Risque : accès facilité aux données sensibles en cas de vol ou de fuite des sauvegardes.

• Keyfile LUKS stocké en clair : Fichier de clé de chiffrement du disque dur chiffré (LUKS) sauvegardé sur le même support ou un partage non sécurisé, rendant la protection inefficace.

📝 Points essentiels

• La sécurité cryptographique est aussi forte que son maillon le plus faible : une erreur de configuration ou de gestion peut annuler la robustesse de l’algorithme.

• La majorité des vulnérabilités proviennent d’erreurs humaines ou de mauvaises pratiques, et non de la faiblesse des algorithmes eux-mêmes.

• La gestion des secrets doit être centralisée, automatisée, et faire l’objet d’un contrôle strict pour éviter leur fuite ou leur compromission.

• La virtualisation multiplie les vecteurs d’attaque, notamment via la capture de mémoire lors de snapshots ou l’évasion hyperviseur, rendant le chiffrement traditionnel moins efficace.

• La compromission d’un utilisateur avec privilèges élevés (administrateur, hyperviseur) peut rendre le chiffrement inefficace, seul un chiffrement basé sur des enclaves ou solutions hardware étant réellement fiable dans ce cas.

💡 À retenir

Les erreurs opérationnelles et de configuration constituent la principale faiblesse de la sécurité cryptographique en entreprise. La gestion rigoureuse des secrets, la mise à jour des protocoles, et la surveillance proactive sont indispensables pour éviter que ces failles ne soient exploitées.

📖 8. Limites du chiffrement

🔑 Notions clés & Définitions

• Chiffrement au repos (Data at Rest) : Technique de protection des données stockées sur un support physique ou virtuel, empêchant leur lecture en cas de vol ou de défaillance.
• Chiffrement en transit (Data in Transit) : Sécurisation des données lors de leur circulation sur un réseau, via des protocoles comme TLS ou SSH, pour prévenir l'interception ou le sniffing.
• Clé cryptographique : Séquence secrète utilisée pour chiffrer et déchiffrer les données. Sa sécurité dépend de sa confidentialité et de sa gestion.
• Snapshot (instantané) : Copie de l’état d’une machine virtuelle ou d’un système à un moment donné, pouvant inclure la mémoire vive, et donc potentiellement la clé en mémoire.
• Vulnérabilité par la gestion des secrets : Risque lié à l’exposition accidentelle ou malveillante des clés ou mots de passe, souvent via stockage dans des fichiers, logs ou variables d’environnement.
• Attaque par compromission : Situation où un acteur malveillant possède déjà un accès légitime ou privilégié, rendant le chiffrement inefficace face à ses actions.

📝 Points essentiels

• Le chiffrement protège efficacement contre l’interception de données en transit ou volées, mais est inefficace si l’attaquant dispose déjà d’un accès privilégié ou si la clé est compromise.
• La gestion des secrets est le maillon faible : stockage inadapté, clés en dur, absence de rotation ou de révocation, vulnérabilités dans les protocoles obsolètes.
• La virtualisation complexifie la sécurité : snapshots à chaud, extraction de clés en mémoire, évasion hyperviseur, et risques accrus d’accès non autorisé aux clés ou données.
• La sécurité en profondeur doit combiner chiffrement, contrôle d’accès strict, surveillance continue, et gestion rigoureuse des identités.
• Les algorithmes modernes comme AES-256 sont mathématiquement solides, mais leur efficacité dépend de la sécurité opérationnelle et de la gestion des clés.
• La compromission des secrets ou une mauvaise configuration peut rendre le chiffrement totalement inefficace, même avec des algorithmes robustes.

💡 À retenir

Le chiffrement est une couche essentielle de sécurité, mais il ne protège pas contre la compromission si la gestion des clés, la configuration ou l’environnement sont vulnérables. La sécurité efficace repose sur une approche multi-couches et une gestion rigoureuse des secrets.

📖 9. Risques liés à la virtualisation

🔑 Notions clés & Définitions

• Hyperviseur : Logiciel ou firmware qui crée et gère des machines virtuelles (VM). Il contrôle l'accès aux ressources physiques et peut être une cible privilégiée d'attaque, car il détient un contrôle total sur l'environnement virtualisé.

• Snapshot : Capture instantanée de l'état d'une VM à un moment donné, incluant la mémoire, le disque, et les configurations. Un snapshot à chaud peut contenir des clés de chiffrement en mémoire, exposant des vulnérabilités.

• VM Escape : Exploit permettant à un attaquant de sortir d'une VM isolée pour accéder à l'hyperviseur ou à d'autres VM, compromettant ainsi l'ensemble de l'environnement virtualisé.

• Clé en mémoire vive (RAM) : Clé de chiffrement stockée temporairement dans la mémoire lors du fonctionnement d'une VM. Son exposition lors de snapshots ou attaques mémoire peut rendre le chiffrement inefficace.

• VM Clone : Copie exacte d'une VM, incluant ses secrets et configurations. Si mal sécurisée, elle peut faciliter la duplication et l'exploitation des clés sensibles.

• VM Evasion / VM Escape : Technique d'attaque visant à contourner l'isolation entre VM ou entre VM et hyperviseur, permettant un accès non autorisé aux ressources critiques.

Point à retenir

La virtualisation augmente la surface d'attaque en multipliant les points d'accès potentiels, rendant la sécurité cryptographique insuffisante si elle n'est pas complétée par une gestion rigoureuse des configurations, des accès et des vulnérabilités spécifiques à l'environnement virtualisé.

📖 10. Protection contre interception

🔑 Notions clés & Définitions

• Chiffrement au repos (Data at Rest) : Technique de protection des données stockées sur un support (disque dur, base de données, sauvegarde) pour empêcher leur lecture en cas de vol, perte ou décommissionnement. Exemples : LUKS, BitLocker, TDE.
• Chiffrement en transit (Data in Transit) : Sécurisation des données lors de leur circulation sur un réseau, en temps réel, pour prévenir sniffing, attaques MITM ou interception interne. Protocoles : TLS, SSH, IPsec.
• Clé cryptographique : Séquence de bits utilisée pour chiffrer et déchiffrer les données. Sa sécurité dépend de sa confidentialité et de sa gestion rigoureuse.
• Snapshots en virtualisation : Capture de l’état d’une VM à un instant donné, incluant la mémoire vive. Risque : extraction des clés en mémoire si la VM est en fonctionnement lors du snapshot.
• Gestion des secrets : Pratiques et outils pour stocker, renouveler, et contrôler l’accès aux clés et mots de passe (ex : Vault, HSM, Key Vault). La compromission d’un secret annule la protection cryptographique.

📝 Points essentiels

• Le chiffrement au repos protège contre le vol physique et la copie de supports, mais est vulnérable si la clé est exposée ou mal gérée (ex : clés en dur, backups non chiffrés).
• Le chiffrement en transit empêche l’interception lors de la circulation des données, mais ne protège pas contre une compromission du système ou des privilèges élevés.
• La sécurité cryptographique est une "dernière ligne de défense" : elle doit être complétée par un contrôle d’accès strict, une surveillance continue, et une gestion rigoureuse des secrets.
• Les erreurs de configuration (ex : clés en clair, protocoles obsolètes, backups non chiffrés) sont les principales vulnérabilités exploitables par des attaquants.
• La virtualisation complexifie la sécurité : snapshots à chaud, extraction mémoire, et évasion hyperviseur peuvent rendre le chiffrement transparent si les clés sont en mémoire lors de snapshots.
• La gestion des secrets est critique : une seule fuite ou mauvaise pratique (ex : clés en dur, logs, dépôts Git) peut annuler toute la sécurité cryptographique.

💡 À retenir

Le chiffrement protège efficacement contre l’interception, mais reste vulnérable si les clés ou la configuration sont compromis. La sécurité doit être basée sur une approche en profondeur, combinant cryptographie, contrôle d’accès, gestion des secrets et surveillance.

📖 11. Protection contre compromission

🔑 Notions clés & Définitions

• Chiffrement au repos (Data at Rest) : Technique de protection des données stockées sur un support physique ou virtuel (disque dur, base de données, sauvegarde). Son but est d'empêcher la lecture des données en cas de vol, de copie ou de décommissionnement du support. Technologies courantes : LUKS, BitLocker, TDE, chiffrement de sauvegardes.

• Chiffrement en transit (Data in Transit) : Sécurisation des données durant leur circulation sur le réseau entre deux points. Il empêche le sniffing, les attaques Man-in-the-Middle (MITM) et l'interception interne. Protocoles principaux : TLS (1.2/1.3), SSH, IPsec VPN.

• Vulnérabilités liées à la gestion des clés : Failles dues à des erreurs opérationnelles telles que stockage en clair dans le code, absence de rotation, utilisation de protocoles obsolètes, certificats expirés, ou stockage de clés dans des fichiers non protégés. Ces erreurs permettent à un attaquant de contourner la cryptographie sans la casser.

• Virtualisation & vulnérabilités cryptographiques : L’environnement virtualisé introduit des vecteurs d’attaque supplémentaires, notamment via snapshots mémoire, clonage, extraction de clés en RAM, ou compromission de l’hyperviseur. La sécurité cryptographique devient inefficace si la clé est exposée dans la mémoire lors de ces opérations.

• Gestion des secrets : Ensemble des pratiques pour stocker, distribuer, faire tourner, et révoquer les clés et mots de passe. Les outils modernes comme Vault, AWS Secrets Manager centralisent et sécurisent ces secrets, évitant leur stockage dans des fichiers ou variables d’environnement vulnérables.

Point à retenir

Le chiffrement est une protection efficace contre l’interception, mais il devient inefficace si la compromission concerne la gestion des clés ou si l’attaquant a déjà un accès légitime au système. La sécurité doit donc être multilayer, combinant chiffrement, contrôle d’accès, surveillance et gestion rigoureuse des secrets.

📊 Tableaux de Synthèse

Thème	Points clés	Technologies / Exemples
Chiffrement au repos	Protège contre vol physique, nécessite gestion rigoureuse des clés, vulnérable si machine allumée	LUKS, BitLocker, TDE
Chiffrement en transit	Protège contre interception, utilise TLS, SSH, IPsec, nécessite configuration correcte	TLS 1.2/1.3, SSH, IPsec VPN
Vulnérabilités virtualisation	VM Escape, snapshots, clés en RAM vulnérables, hyperviseur comme point faible	Hyperviseur, VM Escape, dump mémoire

⚠️ Pièges & Confusions Fréquentes

1. Confondre chiffrement au repos et en transit : le premier protège les données stockées, le second celles en circulation.
2. Négliger la gestion des clés : stockage en clair, absence de rotation, clés en dur dans le code.
3. Sous-estimer la vulnérabilité des snapshots à chaud : stockage de clés en RAM accessible via dump mémoire.
4. Confondre VM Escape et snapshot : la première permet de sortir de la VM, le second capture son état.
5. Croire que le chiffrement seul suffit : il doit être complété par contrôle d’accès et surveillance.
6. Ignorer les risques liés à la virtualisation : clonage, extraction mémoire, hyperviseur compromis.
7. Mal configurer TLS ou VPN : faiblesse si certificat non vérifié ou configuration incorrecte.

✅ Checklist Examen

• Vérifier la compréhension des principes du chiffrement au repos et en transit.
• Connaître les technologies principales : LUKS, BitLocker, TDE, TLS, SSH, IPsec.
• Identifier les vulnérabilités spécifiques à la virtualisation : VM Escape, snapshots, clés en RAM.
• Savoir expliquer l’impact des snapshots à chaud sur la sécurité des clés.
• Connaître les risques liés à la gestion des clés : stockage, rotation, révocation.
• Comprendre le rôle des hyperviseurs et leurs vulnérabilités.
• Être capable de distinguer les différents protocoles de chiffrement en transit.
• Savoir comment protéger contre les interceptions et compromissions.
• Vérifier la maîtrise des limites du chiffrement et des mesures complémentaires.
• Connaître les erreurs courantes en entreprise concernant la sécurité des données.
• Comprendre l’importance d’une gestion rigoureuse des secrets et des accès.
• Vérifier la maîtrise des concepts de bootstrap cryptographique et de sécurité initiale.