Scheda di revisione: Introduction aux VPN, TLS et Sécurité Réseau

📋 Plan du Cours

1. VPN : rôle et usages
2. Types de VPN
3. TLS et HTTPS
4. Historique de TLS et SSL
5. Chiffrement, MAC et certificats
6. Sécurisation d’un réseau
7. Sous-adressage IP
8. Fonctionnement du DNS

📖 1. VPN : rôle et usages

🔑 Notions clés & Définitions

• Réseau Privé Virtuel : Un réseau privé virtuel est un système qui crée une connexion logicielle sécurisée entre des points de communication distants.
• Tunnel VPN : Un tunnel VPN est le lien virtuel par lequel les données transitent entre deux extrémités, généralement sous chiffrement.
• VPN d’entreprise : Un VPN d’entreprise est un VPN utilisé pour relier soit deux réseaux d’entreprise, soit un poste client à un réseau d’entreprise.

📝 Points essentiels

• Un VPN (Virtual Private Network) crée un lien virtuel entre deux réseaux d’entreprise ou entre un client et un réseau d’entreprise.
• Le lien virtuel d’un VPN s’appelle un tunnel, où les données sont chiffrées.
• Les VPN ont commencé à émerger vers 1997.
• Les lignes louées offrent des performances au maximum mais coûtent cher, tandis que les PVC sont moins chers mais avec une sécurité amoindrie.
• Le VPN présente des avantages comme le faible coût, une mise en œuvre rapide sous contrôle de l’entreprise et une sécurité assurée par le chiffrement.
• Le VPN a aussi pour limites des performances dépendant du réseau public et une exigence de compétences plus élevées.

💡 Astuce mémo

VPN = Tunnel chiffré : relier deux bouts sans dépendre de la sécurité du réseau public.

📖 2. Types de VPN

🔑 Notions clés & Définitions

• VPN client-to-site : Un VPN client-to-site relie un appareil d’un utilisateur à un réseau d’entreprise via un tunnel chiffré.
• Split tunnel : Le split tunnel est une variante de VPN client-to-site parmi lesquelles on choisit pour gérer le trafic via le tunnel.
• Full tunnel : Le full tunnel est une variante de VPN client-to-site parmi lesquelles on choisit pour faire passer davantage de trafic dans le tunnel.
• VPN site-to-site : Un VPN site-to-site interconnecte deux réseaux d’entreprise distants pour offrir un réseau privé interne sécurisé et transparent.
• VPN grand public : Un VPN grand public est une solution ouverte au public qui protège la confidentialité et permet de contourner des restrictions géographiques.

📝 Points essentiels

• Le VPN client-to-site sert à créer un tunnel chiffré entre un PC (ou smartphone, tablette) et un réseau d’entreprise, par exemple en télétravail ou depuis un hôtel ou une gare.
• Le VPN client-to-site existe sous deux formes nommées split tunnel et full tunnel.
• Le VPN site-to-site sert à relier plusieurs sites géographiquement séparés en leur donnant un accès privé interne sécurisé et transparent.
• Les VPN grand public incluent des fournisseurs comme NordVPN, SurfShark et GhostVPN et sont utilisés pour le surf anonyme et l’accès à des contenus bloqués par zone.
• Avec un VPN grand public, l’utilisateur se connecte à un serveur du fournisseur puis navigue sur Internet via ce tunnel.

💡 Astuce mémo

Client-to-site : appareil → entreprise ; Site-to-site : entreprise A ↔ entreprise B ; Grand public : navigateur → serveur du fournisseur (anonymat + contournement).

📖 3. TLS et HTTPS

🔑 Notions clés & Définitions

• Transport Layer Security : TLS est un protocole cryptographique conçu pour sécuriser les échanges réseau en assurant authentification, confidentialité et intégrité.
• HTTPS : HTTPS est HTTP encapsulé dans TLS, ce qui chiffre et authentifie les données HTTP transportées sur TCP.
• Suite de chiffrement : Une suite de chiffrement regroupe les primitives choisies pour l’échange, l’authentification et la protection (certificats, signatures, hachage, chiffrement asymétrique et symétrique).
• Record Protocol TLS : Le Record Protocol encapsule les données TLS, puis assure confidentialité et intégrité à l’aide des clés négociées pendant le handshake.

📝 Points essentiels

• TLS fournit une authentification par certificat, une confidentialité via des clés symétriques de session, et une intégrité contre la modification par signatures des données échangées.
• TLS/SSL se place comme une couche intermédiaire entre TCP et le protocole applicatif (ex. HTTP), ce qui permet de sécuriser directement les échanges applicatifs.
• En HTTPS, l’URL, les en-têtes HTTP et le corps des requêtes et réponses HTTP sont chiffrés et authentifiés grâce à TLS.
• TLS 1.2 utilise un handshake avec messages comme ClientHello, ServerHello, Certificate (et éventuellement Certificate Request), puis des messages ChangeCipherSpec et Finished avant l’échange chiffré des données.
• Le Record Protocol segmente les données en blocs de taille < 16 ko et utilise un mécanisme de type HMAC (signature MAC) généré avec les clés produites pendant la négociation pour vérifier intégrité et identité.

💡 Astuce mémo

TLS = Certificat (qui?) + Signature (qui a dit?) + Hachage (ce qui change?) + Chiffrement (ce qu’on lit?).

📖 4. Historique de TLS et SSL

🔑 Notions clés & Définitions

• TLS 1.2 handshake : Protocole d’établissement de liaison TLS 1.2 qui négocie les suites, échange des certificats et met en place le chiffrement avant les données.
• TLS 1.3 handshake : Protocole d’établissement de liaison TLS 1.3 qui réduit la poignée de main et supprime le support de suites/paramètres vulnérables comme RSA.
• Record Protocol : Couche TLS responsable de l’échange chiffré des données une fois la session établie via les clés issues de la négociation.

📝 Points essentiels

• Dans TLS 1.2, le client commence par un ClientHello avec les suites cryptographiques proposées et le serveur répond par un ServerHello avec la suite retenue.
• Dans TLS 1.2, le serveur envoie un Certificate, puis (si requis) CertificateRequest, ServerKeyExchange, et ServerHelloDone avant l’éventuel Certificate du client.
• Dans TLS 1.2, le client chiffre la clé de session avec la clé publique du certificat serveur et envoie éventuellement CertificateVerify puis ChangeCipherSpec et Client Finished.
• Dans TLS 1.3, l’échange ne supporte pas RSA ni d’autres suites/paramètres vulnérables et la poignée de main est raccourcie.
• Dans TLS 1.3, la séquence inclut ClientHello, ServerHello, EncryptedExtensions, puis Certificate et CertificateVerify côté serveur, avec Finished des deux côtés avant l’Encrypted Data.
• Après l’établissement, le Record Protocol segmente les données en blocs < 16 ko et assure confidentialité et intégrité avec les clés négociées.

💡 Astuce mémo

TLS 1.2 = “long handshake” avec étapes certificat/ChangeCipherSpec; TLS 1.3 = “court et durci” (pas RSA) puis données via Record Protocol.

📖 5. Chiffrement, MAC et certificats

🔑 Notions clés & Définitions

• Chiffrement des données : Le chiffrement transforme les données en contenu illisible sans la clé, de sorte qu’un attaquant qui intercepte les flux ne peut pas les comprendre.
• Motif d’intégrité : Un mécanisme d’intégrité (motif d’intégrité) permet de vérifier si les données reçues ont été modifiées en cours de transfert.
• Tunnel virtuel : Un tunnel virtuel est un canal logique entre deux sites où transitent uniquement des données chiffrées et protégées contre la modification.

📝 Points essentiels

• Dans un VPN, les flux entre sites distants sont chiffrés et protégés par un mécanisme d’intégrité pour rester incompréhensibles en interception et détecter toute modification malveillante.
• Si un attaquant altère les données pendant le transport, le mécanisme d’intégrité permet au destinataire d’identifier une perte d’intégrité et de refuser de traiter ces données.
• Le besoin de protection contre des attaques passives (écoute/interception) est couvert par le chiffrement et par la signature ou l’intégrité des messages.

💡 Astuce mémo

Chiffrer = rendre illisible ; Intégrité (MAC) = repérer la triche.

📖 6. Sécurisation d’un réseau

🔑 Notions clés & Définitions

• Attaques passives : Ce sont des attaques qui cherchent à collecter ou exploiter des informations sans perturber les ressources du système, ce qui les rend difficiles à détecter.
• Chiffrement : Ce mécanisme transforme les données pour limiter leur lecture par des tiers, même en cas d’interception sur le réseau.
• Signature : Ce mécanisme permet de vérifier l’authenticité et l’intégrité d’un message afin de repérer une modification non autorisée.
• DNSSEC : Ce dispositif ajoute une signature associée aux entrées DNS pour réduire le risque de spoofing lié à l’absence d’authentification des messages.
• Liste DHCP fermée : C’est une approche consistant à limiter le service DHCP à des couples MAC et IP autorisés afin de rejeter toute requête hors liste.

📝 Points essentiels

• Les attaques passives sont difficiles à détecter car elles n’altèrent pas le système, et la parade citée repose sur le chiffrement et la signature.
• Pour lutter contre l’IP spoofing, on interdit l’authentification par adresse IP source, on supprime rsh et rlogin, et on vérifie la présence des protections anti-spoofing sur le firewall.
• Contre l’ARP poisoning, on utilise des associations ARP statiques IP↔MAC et on surveille les changements d’association avec arpwatch ou WinARP Watch.
• Contre le DNS spoofing, on configure le DNS pour résoudre directement uniquement les noms du domaine d’autorité et on emploie DNSSEC comme signature des entrées DNS.
• Contre le DHCP spoofing, on limite le service DHCP à une liste fermée de correspondances MAC↔IP pour rejeter les demandes non conformes.

💡 Astuce mémo

Chiffrement+Signature pour le passif ; Anti-spoofing + suppression rsh/rlogin pour l’IP ; ARP statique + surveillance ; DNSSEC ; DHCP en liste fermée.

📖 7. Sous-adressage IP

🔑 Notions clés & Définitions

• Sous-adressage : Le sous-adressage divise un réseau IP en plusieurs sous-réseaux pour donner à chacun sa propre plage d’adresses.
• Masque sous-réseau : Le masque sous-réseau indique, en $/$CIDR, combien de bits appartiennent à la partie réseau et sous-réseau, au détriment de la partie hôte.
• Adresse de diffusion : L’adresse de diffusion est l’adresse la plus haute d’une plage de (sous-)réseau, utilisée pour envoyer un message à tous les hôtes du sous-réseau.

📝 Points essentiels

• Le sous-adressage consiste à emprunter des bits de la partie hôte pour créer une partie sous-réseau supplémentaire dans l’adresse IP.
• Le nouveau masque de sous-réseau se construit en mettant à 1 les bits de la partie réseau et de la partie sous-réseau, et en laissant à 0 les bits réservés aux hôtes.
• Sur l’exemple 183.1.0.0 (classe B), on modifie le masque de /16 vers /18 en empruntant 2 bits, ce qui crée 4 sous-réseaux.
• Avec /18 (2 bits), les sous-réseaux commencent à 183.1.0.0, 183.1.64.0, 183.1.128.0 et 183.1.192.0.
• Pour le 1er sous-réseau 183.1.0.0,/18, la diffusion vaut 183.1.63.255, et pour les suivants elle vaut respectivement 183.1.127.255, 183.1.191.255 et 183.1.255.255.

💡 Astuce mémo

Bits empruntés = moins d’hôtes : réseau ↑, sous-réseaux ↑ (donc diffusion = dernière adresse de chaque sous-plage).

📖 8. Fonctionnement du DNS

🔑 Notions clés & Définitions

• DNS : Le DNS est un mécanisme de résolution qui convertit des noms de domaine en informations, notamment des adresses IP.
• Serveur DNS : Un serveur DNS est un hôte qui exécute le service de réponse aux requêtes pour un ensemble de domaines via des enregistrements.
• Cache DNS : Le cache DNS est la mémoire locale d’un poste qui contient déjà certaines correspondances nom→IP afin d’éviter des requêtes réseau inutiles.
• CNAME : Un CNAME est un alias DNS qui pointe un nom vers un autre enregistrement, avant de fournir l’adresse IP finale demandée.

📝 Points essentiels

• Le poste interroge d’abord son cache DNS pour une adresse IP connue avant d’envoyer une requête au serveur DNS local.
• Si l’enregistrement n’est pas en cache, le DNS local envoie une résolution en cascade vers les serveurs racines pour le TLD, puis vers le TLD pour le SLD, puis vers le serveur qui gère la zone du SLD.
• Le serveur local retourne au poste l’adresse IP associée au nom demandé (exemple: www.google.fr).
• Lorsqu’un nom demandé est un alias CNAME, le DNS renvoie l’IP correspondant à l’hôte réel associé à ce CNAME (exemple: srv-web avec l’IP 216.58.201.227).
• La résolution utilise des requêtes récursives côté client vers le serveur DNS local, puis des requêtes itératives entre serveurs DNS pour obtenir l’information manquante.

💡 Astuce mémo

Cache DNS d’abord, sinon Racines → TLD → SLD, puis IP (et s’il y a CNAME, on suit l’alias jusqu’à l’IP).

📅 Repères chronologiques

Date	Événement
1997	Début d’émergence des VPN
1994	SSL 1.0 (1994) développé par Netscape
1995	SSL 2.0 (1995) première version de SSL réellement utilisée
1996	SSL 3.0 (1996) dernière version de SSL (puis successeur TLS)
1999	TLS 1.0 (janv 1999)
2008	Publication de la norme TLS 1.2 (août 2008)
2014	SSL banni en 2014 (faille POODLE)
2018	Publication de la norme TLS 1.3 (août 2018)
23/04/2026	Date de plan/chapitre sur VPN (support de cours)

📊 Tableaux de synthèse

VPN client-to-site : split vs full tunnel

Type	Trafic via tunnel	Usage
Split tunnel	Choix pour gérer le trafic via le tunnel	Variante du VPN client-to-site
Full tunnel	Faire passer davantage de trafic dans le tunnel	Variante du VPN client-to-site

TLS 1.2 vs TLS 1.3 (handshake et durcissement)

Version	Points de handshake	Contraintes cryptographiques
TLS 1.2	ClientHello/ServerHello puis Certificate/éventuels messages, ChangeCipherSpec et Finished	Suites/paramètres (dont RSA) gérés dans le handshake
TLS 1.3	ClientHello, ServerHello, EncryptedExtensions puis Certificate/CertificateVerify, Finished des deux côtés	Ne prend pas en charge RSA ni d’autres suites/paramètres vulnérables

⚠️ Pièges & confusions fréquents

1. Confondre le tunnel VPN (lien virtuel chiffré) avec le chiffrement lui-même : le tunnel transporte des données chiffrées.
2. Croire que TLS garantit seulement la confidentialité : dans le cours, TLS fournit aussi authentification et intégrité via signature/MAC.
3. Mélanger TCP et UDP : TCP est fiable et orienté connexion, UDP est non fiable et sans connexion.
4. Inverser les rôles dans TLS 1.2 : le client envoie ClientHello et, côté client, intervient ChangeCipherSpec et Client Finished avant les données chiffrées.
5. Rater que TLS Record segmente les données en blocs de taille < 16 ko et utilise une vérification d’intégrité/identité via MAC/HMAC.
6. Confondre stateless/stateful dans les pare-feux : stateless compare à des ACL, stateful vérifie que les paquets correspondent à une connexion et consulte un tableau d’états.
7. Se tromper de logique dans le sous-adressage : emprunter des bits à la partie hôte augmente le nombre de sous-réseaux mais réduit le nombre d’hôtes par sous-réseau.

✅ Checklist Examen

1. Expliquer l’objectif d’un VPN et le rôle du tunnel, en précisant l’usage entre deux réseaux d’entreprise et entre un PC client et un réseau d’entreprise.
2. Distinguer VPN client-to-site, VPN site-to-site et VPN grand public, avec le principe de connexion via un serveur du fournisseur pour le grand public.
3. Citer les trois propriétés qu’un protocole VPN doit fournir (authentification, confidentialité, intégrité) et donner des exemples de protocoles VPN vus.
4. Décrire le modèle IPSec : ses cinq services fonctionnels, les composants (AH/ESP, ISAKMP/IKE, SAD/SPD), et les deux modes (transport/tunnel).
5. Présenter AH : ajout de l’entête AH selon le mode, rôle du SPI, de l’ICV et du numéro de séquence pour contrer le rejeu.
6. Présenter ESP : combinaison confidentialité/authentification/intégrité/anti-rejeu, et le fait que le payload est chiffré et encapsulé.
7. Expliquer l’architecture TLS/SSL : couche intermédiaire entre TCP et protocole applicatif, puis les protocoles d’architecture (Handshake, Record, Alert, ChangeCipherSpec/CCS).
8. Savoir dérouler l’établissement TLS 1.2 handshake : ClientHello/ServerHello, Certificate (et requête éventuelle), ChangeCipherSpec puis Finished, avant Encrypted Data.
9. Savoir comparer TLS 1.2 et TLS 1.3 : TLS 1.3 raccourcit la poignée de main et supprime le support de suites/paramètres vulnérables (notamment RSA).
10. Donner les remèdes de sécurisation cités dans le cours contre l’IP spoofing, ARP poisoning, DNS spoofing et DHCP spoofing (anti-spoofing firewall, ARP statique + surveillance, DNSSEC, liste DHCP fermée).
11. Être capable de décrire une architecture de pare-feu (un seul central / plusieurs pare-feux / DMZ) et de caractériser stateless vs stateful vs pare-feu applicatif (proxy).
12. Réaliser un calcul de sous-adressage vu en cours sur l’exemple 183.1.0.0,/16 → /18 : nombre de sous-réseaux, adresses de début et adresse de diffusion de chaque sous-réseau.
13. Expliquer le fonctionnement du DNS vu au cours : cache DNS d’abord, sinon cascade racines → TLD → SLD, CNAME renvoyé vers l’hôte réel, et types de requêtes (récursives côté client/local, itératives entre serveurs).