Sécurisation des postes de Travail



Chap 10 Internet Services, SSL/TLS, IPSec

Sommaire

  • Internet Services
  • SSL/TLS
  • IP security (IPsec)

Internet Services

Introduction

Pourquoi adopter une attitude sécuritaire

De nos jours les ordinateurs sont de plus en plus omniprésents. Ils contiennent toutes sortes d'informations confidentielles, des numéros de carte de crédit aux listes de contacts. Il convient donc de tenter de sécuriser ces informations de la façon la plus efficace possible contre de possibles attaques.

Pourquoi "attitude sécuritaire" et non sécurité informatique?

Vous vous êtes peut-être posé cette question : pourquoi parle-t-on ici d'attitude sécuritaire et non de sécurité informatique? La réponse est bien simple. La sécurité informatique n'existe tout simplement pas. Tout appareil informatique qui contient des informations sensibles sera toujours sujet à une quelconque faiblesse qui pourra - avec assez de moyens - être exploitée par des forces malveillantes. Le but est donc d'adopter une attitude sécuritaire adaptée à ses besoins pour mettre des bâtons dans les roues des personnes qui nous voudraient du mal.

Pour adopter une attitude sécuritaire, il est important de comprendre comment fonctionne les techniques que l'on applique. Malheureusement, certaines personnes veulent tout, tout de suite, recherchent LA solution à leurs problèmes de sécurité. Cela implique cependant trop souvent de faire confiance à de distants "experts" que l'on croit sur parole.

Tenez-le vous pour dit, tenter de sécuriser son ordinateur prends du temps et ne se résume pas à télécharger un programme.

Course Objectives

At the conclusion of the course, students will be able to

1. Install and configure virtual Windows (desktop and server) and Linux hosts
2. Install, configure, and secure real world services on the aforementioned hosts
3. Configure group policy and delegate appropriate services to users
4. Configure secure access control
5. Implement file permissions, access control lists, and IPtables
6. Install and configure additional protective software
7. Assemble a host-based security policy and standard build documentation for a fictional organization

SSL/TLS

Secure Sockets Layer (SSL)

Historique

SSL (pour l’anglais Secure Socket Layer) fut con¸cu par Netscape pour sécuriser les transactions commerciales sur son navigateur Netscape Navigator 1.1, alors le leader du march´e en 1994, en rempla¸cant http par https (avec ‘s’ pour secure). La première version, maintenant connue sous le nom de SSLv1, de 1994 n’a pas été diffusée. La seconde version, SSLv2, a été diffusée en novembre 1994 [HIC–95] et une implémentation a été intégrée dans le navigateur en mars 1995. Wagner et Goldberg [GW–96] ont trouvé une faille de sécurité, due au générateur de nombres pseudo-aléatoires utilisé, qui permettait de casser une connexion SSL en moins d’une heure.

Netscape recruta un consultant en sécurité bien connu, Paul Kocker, pour travailler avec Allan Freier et Phil Karlton afin de développer une nouvelle version de SSL. Cette troisième version, SSLv3 [FKK–96], est sortie fin 1995. Microsoft a con¸cu également un protocole analogue, PCT pour Private Communicatio Technology, également en 1995 [BLSSY–95]. En mai 1996, l’Internet Engineering Task Force (IETF) a mis en place un groupe de travail Transport Layer Security (TLS) pour standardiser les protocoles du type SSL. TLS a été publié comme [RFC 2246] en janvier 1999, avec peu de différences par rapport à SSLv3.

SSL repose sur le principe théorique suivant : cryptage des données et transmission de la clé à distance. Nous allons détailler les principes théoriques sur lesquels ces solutions reposent puis plus en détail un de ces protocoles, à savoir SSL.

Check conformity between Certificate and Key. Outputs must be the same

# openssl rsa -noout -modulus -in Private_key.key | openssl md5

# openssl x509 -noout -modulus -in Certificate.crt | openssl md5



Check SSL Config and Vulnerabilities

https://www.ssllabs.com/

TLS v1.0 Test # openssl s_client -tls1 -connect www.bird.bg:443 < /dev/null

TLS v1.1 Test # openssl s_client -tls1_1 -connect www.bird.bg:443 < /dev/null

TLS v 1.2 Test # openssl s_client -tls1_2 -connect www.bird.bg:443 < /dev/null

TLS v 1.3 Test # openssl s_client -tls1_3 -connect www.bird.bg:443 < /dev/null

Transport Layer Security (TLS)

TLS contre SSL
TLS est plus efficace et sécurisé que SSL car il dispose d'une authentification de message plus puissante, d'une génération de clé-matériel et d'autres algorithmes de cryptage. Par exemple, TLS prend en charge les clés pré-partagées, les mots de passe distants sécurisés, les clés à courbe elliptique et Kerberos, contrairement à SSL. TLS et SSL ne sont pas interopérables, mais TLS offre une compatibilité ascendante pour les appareils plus anciens utilisant encore SSL.

La spécification du protocole TLS définit deux couches. Le protocole d'enregistrement TLS assure la sécurité de la connexion et le protocole d'établissement de liaison TLS permet au client et au serveur de s'authentifier et de négocier des clés de sécurité avant la transmission des données.

La prise de contact TLS est un processus en plusieurs étapes. Une prise de contact TLS de base implique que le client et le serveur envoient des messages «bonjour», ainsi que l’échange de clés, un message chiffré et un message de fin. Le processus en plusieurs étapes rend TLS suffisamment flexible pour pouvoir être utilisé dans différentes applications, car le format et l’ordre d’échange peuvent être modifiés.

IP security (IPsec)

IP security (IPsec)

IPsec (IP security) is a suite of protocols developed to ensure the integrity, confidentiality and authentication of data communications over an IP network.

IPsec may be used in three different security domains:
  1. Virtual private networks
  2. Application-level security
  3. Routing security

At this time, IPsec is predominately used in VPNs. When used in application-level security or routing security, IPsec is not a complete solution and must be coupled with other security measures to be effective, hindering its deployment in these domains

IPsec operation

IPsec has two modes of operation,
  1. Transport mode
  2. Tunnel mode

When operating in transport mode, the source and destination hosts must directly perform all cryptographic operations. Encrypted data is sent through a single tunnel that is created with L2TP (Layer 2 Tunneling Protocol). Data (ciphertext) is created by the source host and retrieved by the destination host. This mode of operation establishes end-to-end security.

When operating in tunnel mode, special gateways perform cryptographic processing in addition to the source and destination hosts. Here, many tunnels are created in series between gateways, establishing gateway-to-gateway security. When using either of these modes, it's important to provide all gateways with the ability to verify that a packet is real and to authenticate the packet at both ends. Any invalid packets must be dropped.

The IP Security protocol, which includes encryption and authentication technologies, is a common element of VPNs (Virtual Private Networks) running over the internet.

IPsec Components

IPSec has three major components:
  • IP Authentication Header (AH)
  • IP Encapsulating Security Payload (ESP)
  • Internet Key Exchange (IKE)
Eninam BAGNABANA     |         |     bagnadavid@outlook.fr     |