|
Conception et déploiement d'un réseau informatique pour la transmission des données.( Télécharger le fichier original )par Pamphil KAZADI Université Notre Dame du Kasayi - Licence 2015 |
CHAPITRE II : SECURITE ET CRYPTOGRAPHIE DES DONNEES2.0. INTRODUCTION Dans ce chapitre nous présentons d'une manière détaillée les mécanismes de la sécurité de données en commençant par le formalisme mathématique et afin nous chuterons par la sécurisation des données avec des protocoles et logiciels de sécurité, cependant il convient de distinguer deux approches de la sécurité :
2.1. LA SURETE DE FONCTIONNEMENT37 2.1.1. Généralité L'indisponibilité d'un système peut résulter de la défaillance des équipements de traitement(panne), de la perte d'information par dysfonctionnement des mémoires de masse, d'un défaut des équipements réseau, d'une défaillance involontaire (panne) ou volontaire (grève) de la fourniture d'énergie mais aussi d'agressions physiques comme l'incendie et les inondations. 2.1.2. Système de tolérance de panne La fiabilité matérielle est obtenue par sélection des composants mais surtout par le doublement des éléments principaux, ces derniers systèmes sont dits à tolérance de panne (fault tolerant). La redondance peut être interne à l'équipement (alimentation...) ou externe. Les systèmes à redondance utilisent les techniques de mirroring et/ou de duplexing. Le mirroring : est une technique dans laquelle le système de secours est maintenu en permanence dans le même état que le système actif (miroir). Le mirroring disques consiste à écrire simultanément les données sur deux disques distincts. En cas de défaillance de l'un, l'autre continue d'assurer les services disques. Le duplexing : est une technique dans laquelle chaque disque miroir est relié à un contrôleur disque différent. Le duplexing consiste à avoir un équipement disponible qui prend automatiquement le relais du système défaillant. 2.1.3. Sûreté environnementale L'indisponibilité des équipements peut résulter de leur défaillance interne mais aussi des événements d'origine externe. Le réseau électrique est la principale source de perturbation (coupures, microcoupures, parasites, foudre...). Des équipements spécifiques peuvent prendre 37 Claude Servin, Réseaux et télécoms ; Cours et exercices corrigés, Dunod, Paris, 2003 ~ 39 ~ le relais en cas de défaillance du réseau (onduleur off-line) ou constituer la source d'alimentation électrique permanente du système (onduleur on-line). Ces équipements fournissent, à partir de batteries, le courant électrique d'alimentation du système. 2.1.4. Quantification C'est un mécanisme qui fait appel à la notion de la fiabilité et la maintenance du système informatique
Partant de ces deux notions évoquées ci-haut, nous pouvons définir le comportement d'un système comme étant une suite d'états de bon et de mauvais fonctionnement.
D'où MTBF : temps moyen de bon fonctionnement MTTR : temps moyen de toute réparation Pour rendre un système plus efficace, on peut jouer sur 2 valeurs : augmenter la MTBF, les composants réseaux seront alors plus onéreux ou diminuer les temps d'indisponibilité et c'est la maintenance qui devient plus coûteuse. ~ 40 ~ 2.2. LA SECURITE 2.2.1. Principes généraux38 L'ouverture des réseaux de l'entreprise au monde extérieur, la décentralisation des traitements et des données ainsi que la multiplication des postes de travail accroissent les risques de dénaturation des systèmes et d'altérations des données. Les menaces peuvent se regrouper en cinq catégories, celles qui visent à : La confidentialité : L'information n'est connue que des entités communicantes c'est-à-dire que l'information peut être accédée, utilisée, copiée ou divulguée uniquement par des personnes autorisées ou des systèmes qui ont reçu les droits pour le faire. L'intégrité L'information n'a pas été modifiée entre sa création et son traitement (en ce qui concerne un éventuel transfert). L'authentification L'authentification consiste à la vérification de l'identité d'une personne, d'une machine, d'un programme. La non-répudiation La non-répudiation consiste à une vérification que l'envoyeur et le destinateur sont bien les parties qui disent avoir envoyé ou reçu le message La disponibilité La disponibilité garantit l'accès à un service, des ressources, des informations dans un délai maximal déterminé. La vulnérabilité La vulnérabilité est une faiblesse dans un système, permettant de mettre en cause la sécurité d'une information ou d'un système d'information. 2.2.2. Sécurité Informatique39 La connaissance des failles potentielles et la nécessité de protection de son réseau sont des atouts indispensables. Cette prise de conscience est récente. Beaucoup des protocoles utilisés, par exemple, n'ont pas été conçus à l'origine pour être sécurisés. On peut citer, parmi eux, la plupart de ceux de la suite TCP/IP. Les interconnexions entre les systèmes se sont multipliées, particulièrement à travers le réseau public Internet. Là encore, de nombreuses failles sont apparues. 38 http:// www.maboite.com consulté le 17/01/2015 Le 10H50' 39 GUILBERT J.F. (éd), Téléinformatique, Transport et traitement de l'information dans les réseaux et système informatique, Ed. Eyrolles, Paris, 1900. ~ 41 ~ Nous ne pouvons penser éliminer tout risque, mais il peut être réduit en le connaissant et en adoptant des solutions adéquates.
Dans ce cas le pirate cherche a compromettre le serveur de noms et modifie les tables de correspondances noms d'hôte - adresses IP. Ces modifications sont reportées dans les bases de données de traduction du serveur DNS. Ainsi lorsqu'un client émet une requête, il reçoit une adresse IP fictive, celle d'une machine totalement sous le contrôle du pirate. 2.2.2.1. La sécurité logique40 La sécurité logique de réseau consiste à définir les périmètres suivants :
a) Sécurité en couche41 Ce point aborde des notions générales et fondamentales sur la protection des réseaux de données et sur les couches dites basses du modèle OSI. Les couches sont interdépendantes logiquement par leurs interfaces communes respectives. 40 http://www.free-livre.com consulté le 20/01/2015 à 20H45 41 Solange Ghernaouti-Hélie, Sécurité informatique et réseaux, 3ème Edition Eyrolles ~ 42 ~ 1) couche physique il s'agit de l'accès le plus largement répandu au réseau par connecteur de type mural RJ45 et de la technologie Wi-Fi ainsi, les premières mesures de protection seront abordées sans pour l'instant toucher la configuration proprement dite d'un équipement. Dans le cas d'un réseau câblé, il suffit simplement de ne pas connecter la prise murale à l'équipement réseau. Cette méthode fort simple n'est que rarement utilisée et nombreux sont les réseaux accessibles à partir d'une prise murale à partir des endroits les plus anodins. Une autre méthode consiste sur l'équipement réseau à fermer administrativement les ports qui ne sont pas reliés à un ordinateur. Les accès sans fil sont par nature plus difficiles à protéger contre les tentatives physiques de connexion par le réseau radio. Ils sont vulnérables à des attaques sur les ports câblés qui sont, rappelons-le, quasi directement connectés au reste du réseau. Les ondes radios quant à elles ne connaissent pas les frontières. Une approche de protection consiste à positionner les points d'accès sans fil au plus loin des zones publiques. La nécessité est d'encourager dans le plan de sécurité d'isoler les zones publiques des zones privées faisant partie du réseau dit interne. Les zones publiques mettent à disposition des visiteurs un accès à Internet faiblement contrôlé grâce à une borne WiFi au rayonnement réduit ainsi le passage d'une zone à l'autre nécessite une authentification. 2) couche liaison C'est à partir de la couche liaison de données qu'apparaît la notion d'adresse réseau. Cette couche est responsable de la communication d'entités par le biais d'un média commun. Ses fonctions comprennent entre autres la génération des trames et la détection d'erreurs. Parmi les protocoles de niveau deux les plus connus nous trouvons Ethernet et PPP Enfin, en regard de chaque exigence, l'équipement renseigne une case avec ses commentaires et le degré de priorité.
Tableau 1 : tableau d'exigence En déduisant ce tableau nous sommes conduits à brosser quelques attaques qui surviennent sur cette couche par exemple : ? Les attaques par mac flooding Un commutateur Ethernet est communément désigné par l'appellation de switch. Si un concentrateur Ethernet ou hub est un équipement sans intelligence (parfois comparé à une multiprise) le switch quant à lui possède une table CAM (Content Addressable Memory) dans laquelle sont inscrits des couples port adresse MAC. Les ponts possédaient déjà une table de ce type mais en revanche n'avaient qu'un nombre de ports très limités. '-' 43 '-' Pour contrer une telle attaque, Cisco propose une commande switchport port-security dont les options permettent :de limiter le nombre d'adresses MAC associées à un port du switch ;de réagir en cas de dépassement de ce nombre ;de fixer une adresse MAC sur un port et de ne retenir que la première adresse MAC qui se présente. ? les changements de VLAN Les attaques virales qui ont ébranlé les réseaux d'entreprises ces dernières années ont prouvé la nécessité de posséder un niveau d'isolation supplémentaire au sein des VLAN. Les vers ayant causé le plus de dégâts embarquaient un dispositif permettant l'expansion rapide de l'attaque aux machines les plus proches. Ainsi, les réseaux directement connectés une fois connus par le vers, furent inondés de messages jusqu'à l'effondrement. Pour prévenir a une telle attaque, il faut constituer un réseau commuté pouvant héberger de nombreux VLAN (VLAN ACL, Private VLAN) 3) couche réseau Au niveau de la couche 3 du modèle OSI, les équipements terminaux reçoivent en plus de leur adresse physique (propre à la couche 2) une adresse dite logique. Les machines qui sont connectées à un réseau et qui doivent échanger des données ne sont pas toutes obligatoirement sur le même segment physique et n'ont donc pas une vue directe les unes des autres. Il est en effet aisé d'aborder les concepts d'adressage et de segmentation en les comparant avec la manière dont les numéros de téléphone sont organisés par pays, par région, par central téléphonique urbain et par répartiteur dans chaque quartier. Cette chaîne hiérarchique est utilisée pour localiser les correspondants en vue d'établir la communication (et de la facturer). Il en est de même pour les adresses IP qui possèdent des propriétés utilisées par les architectes afin de segmenter les réseaux. Une fois physiquement et logiquement séparés, les équipements terminaux utilisent les services offerts par d'autres équipements afin de communiquer en s'affranchissant de la segmentation. Ces équipements sont connus sous le nom de routeurs qui sont la cible de plusieurs attaques. Ainsi pour pallier a ces attaques, il est évident de Disposer d'une redondance IP sûre pour la route par défaut(HSRP), Filtrer le trafic entre réseaux IP en tenant compte des connexions et de leur sens(ContextBased access control ACL), Se protéger des attaques TCP(TCP Intercept), Préserver la confidentialité et l'intégrité des échanges(IPSEC). 2.2.2.2. Sécurité par matériels et Protocoles42 Cette section traitera les notions sur quelques protocoles utilisés pour sécuriser l'échange des données ainsi que les matériels utilisés pour répondre tant soit peu au défi. En ce qui concerne les protocoles nous avons ciblé les protocoles suivants : ? PPP (Point to Point Protocol) Le protocole PPP assure quatre fonctions entre autres : la négociation des paramètres de connexion, l'affectation d'adresse IP, la sécurisation des échanges par authentification des communicants et enfin le transfert de données. 42 http:// www.ssi.gouv .fr/fr/ confiance /ebios.html consulté le 18/03/2015 à 9H45' '-' 44 '-' Lorsque les paramètres liaison et réseau sont définis, si l'entité LCP a négocié une phase d'authentification, le PPP procèdera à l'identification des entités communicantes > SSL Le protocole SSL (Secure Sockets Layers) le SSL constitue une couche insérée entre la couche application et la couche TCP procède en quatre étapes :
> IPSEC Le protocole IPSec est un ensemble de protocoles qui permet un chiffrement en ligne de l'information, le protocole est directement implémenté sur les routeurs, les clés sont de type symétrique. IPSec est composé de :
V' Transport : Il se positionne entre le protocole Réseau (IP) et le protocole Transport (TCP, UDP) il permet de conserver les adresses sources et destination d'origine. V' Tunnel : ce mode permet de chiffrer les adresses d'origine (c'est-à-dire tout le paquet original) et de doter le nouveau paquet ainsi obtenu de nouvelles adresses qui correspondent aux adresses des interfaces externes des routeurs. '-' 45 '-' V' Nesting : C'est un mode hybride. On applique successivement les deux protocoles. Il s'agit dès lors d'une encapsulation IPSec dans IPSec 3. SPD et SA V' La SPD (Security Policy Database) est une base de données présentée sur chaque système capable d'utiliser IPSec. Elle permet de déterminer la politique de sécurité à appliquer à un certain trafic. Chaque entrée de cette base est identifiée grâce à plusieurs "sélecteurs" tels que l'adresse IP source et destination, le numéro de port ou le protocole de transport. Ce sont ces sélecteurs qui permettent de retrouver les SAs associées à un type de trafic. V' Les SA (Security Association) sont le nom donné à toute communication protégée par l'intermédiaire d'IPSec. C'est une relation à sens unique entre un expéditeur et un récepteur. Elle repose sur une unique application de AH ou de ESP. Ainsi, pour une liaison protégée par AH entre 2 entités, il y aura 2 SA. > WEP C'est un protocole utilisé pour sécuriser le système au niveau de la couche liaison de données, il crypte des trames à la norme 802.11 en utilisant des algorithmes symétriques qui consiste à définir la clé secrète déclarée au niveau du point d'accès. > EAP (Extended authentification Protocol) Est un protocole qui se charge de transporter les informations, d'identifier les utilisateurs il est basé sur l'utilisation d'un contrôleur d'accès qui établit l'accès au réseau pour un utilisateur . > RADIUS Le protocole Raduis est un mécanisme de transport de données, il vise à fournir aux fournisseurs d'accès internet un moyen de centraliser la base de données d'utilisateurs distant quel que soit le point d'accès auquel se connecte l'utilisateur. Il convient de noter que la sécurité de transaction des données n'est pas non seulement assurée par des protocoles, algorithmes mais aussi par différent matériels que nous essayerons d'énumérer : a. WAP (WiFi Protected Access) Ceci est la première de nos exigences, son objectif est de conditionner l'accès au réseau (par le biais de la connexion sans fil) à la présentation d'identifiants valides. Le WPA a amélioré dès sa première mouture le chiffrement utilisé par le protocole WEP en proposant l'utilisation d'une clé plus longue, ainsi qu'un meilleur système de distribution et de dérivation, un meilleur contrôle d'intégrité et l'utilisation d'une clé à chaque paquet chiffré. Ce dispositif introduit le protocole de chiffrement AES (Advanced Encryption Standard) en remplacement de RC4 (utilisé par WEP) avec des clés de 128 bits ainsi qu'une nouvelle collection de systèmes visant à assurer l'intégrité des messages. 43 ROLIN Pierre, MARTINEAU Gilbert, TOUTAIN Laurent, LEROY Alain, Les réseaux, principes fondamentaux, hermes, décembre 1996 ~ 46 ~
L'interconnexion entre le réseau public Internet et le LAN utilise très souvent, une zone publique tampon, hébergée dans l'entreprise. Ce cas est nommé zone démilitarisée ou DiMilatarize Zone (DMPZ). Elle héberge différents serveurs accessibles depuis l'Internet, tels que :
44 Alexandre Berzati, Thèse : Analyse cryptographique des altérations d'algorithmes, Université de Versailles Saint-Quentin, 2010 ^- 47 ^-
Fig. 21 : zone de DMZ 2.3. LES PRINCIPAUX CONCEPTS CRYPTOGRAPHIQUES44
Un crypto système est constitué d'un algorithme cryptographique, ainsi que toutes les clés possibles et tous les protocoles qui le font fonctionner. 2.3.1. Le Chiffrement Le chiffrement ou cryptage est le procédé de conversion du texte clair en un texte incompréhensible, ou encore en un texte crypté, de ce qui précède nous allons subdiviser cette partie en deux volets : - 48 - 1. Le chiffrement classique45 Nous essayerons de prendre quelques chiffrements classiques entre autre : Le chiffrement par décalage46 Il s'agit d'un des plus simples et des chiffres classiques les plus populaires. Son principe est un décalage des lettres de l'alphabet. Dans les formules ci-dessous, p est l'indice de la lettre de l'alphabet, k est le décalage. Pour le chiffrement, on aura la formule C = E(p) = (p + k) mod 26 2.3 Pour le déchiffrement, il viendra p = D(C) = (C - k) mod 26 2.4 Si l'on connait l'algorithme utilisé (ici César), la cryptanalyse par force brute est très facile. En effet, dans le cas du chiffre de César, seules 25 clés sont possibles
Fig.22: code césar Le chiffrement par substitution47 Il s'agit d'une méthode plus générale qui englobe le chiffrement par décalage. En effet, à chaque lettre de l'alphabet on fait correspondre une autre, c'est-à-dire que l'on effectue une permutation de l'ensemble des lettres. Pour la première lettre a, on a 26 possibilités de substitutions. Pour la lettre b, on n'en a plus que 25 et ainsi de suite. Ainsi, il y a : 26*25*24*...*1 = 26 ! = 403 291 461 126 605 635 584 000 000 permutations possibles de l'alphabet français. Ce chiffrement est beaucoup plus complexe et évolué que le chiffrement par décalage, mais reste néanmoins cassable. Le chiffrement par Vigenère C'est une amélioration décisive du chiffre de César. Sa force réside dans l'utilisation non pas d'un, mais de 26 alphabets décalés pour chiffrer un message. 45 Sandrine JULIA, cours ; Techniques de cryptographie, Université de Lyon, 2004 46 http://www.securiteinfo.com consulté le 20/02/2015 16H00' 47 L a u r e n t B l o c h et C h r i s t o p h e W o l f h u g e, Sécurité informatique ; Principes et méthode, Eyrolles, Paris, 2006 ~ 49 ~ On parle du carré de Vigenère. Ce chiffre utilise une clef qui définit le décalage pour chaque lettre du message (A : décalage de 0 cran, B : 1 cran, C : 2 crans, ..., Z : 25 crans). Exemple : chiffrer le texte "PAMPHILE KAZADI" avec la clef "MULUMBA" (cette clef est éventuellement répétée plusieurs fois pour être aussi longue que le texte clair)
Tableau 2 : chiffrement par Vigenère 2. Le chiffrement Moderne 48 Dans la société de l'information d'aujourd'hui, l'usage de la cryptologie s'est banalisé. On le retrouve quotidiennement avec les cartes bleues, téléphones portables, Internet ou encore les titres de transport. La cryptologie moderne a pour l'objet l'étude des méthodes qui permettent d'assurer les services d'intégrité, d'authenticité et de confidentialité dans les systèmes d'information et de communication. Elle recouvre aujourd'hui également l'ensemble des procédés informatiques devant résister à des adversaires. La cryptologie se partage en deux sous-disciplines : la cryptographie qui propose des méthodes pour assurer ces services et la cryptanalyse qui recherche des failles dans les mécanismes proposés. A. Cryptographie symétrique49 La cryptographie à clefs privées, appelée aussi cryptographie symétrique est utilisée depuis déjà plusieurs siècles. C'est l'approche la plus authentique du chiffrement de données et mathématiquement la moins problématique. La clef servant à chiffrer les données peut être facilement déterminée si l'on connaît la clef servant à déchiffrer et vice-versa. Dans la plupart des systèmes symétriques, la clef de cryptage et la clef de décryptage sont une seule et même clef. Les principaux types de crypto systèmes à clefs privées utilisés aujourd'hui se répartissent en deux grandes catégories : les crypto-systèmes par flots et les crypto-systèmes par blocs. > Crypto-système par flot Dans un crypto-système par flots, le cryptage des messages se fait caractère par caractère ou bit à bit, au moyen de substitutions de type César générées aléatoirement : la taille de la clef est donc égale à la taille du message. L'exemple le plus illustratif de ce principe est le chiffre de Vernam. Cet algorithme est aussi appelé « One Time Pad » (masque jetable), c'et à dire que la clef n'est utilisée qu'une > Crypto-système par bloc Le chiffrement symétrique qui, utilise une clé servant au processus de chiffrement et de déchiffrement du message à transmettre ou à recevoir, sa sécurité est liée directement au fait que la clé n'est connue que part l'expéditeur et le destinateur. A la lumière de ce qui précède nous distinguons deux catégories de chiffrement par bloc hormis la substitution il s'agira spécialement de : 48 CHEY COBB, sécurité réseaux pour les nuls, First interactive, New York, 2003 49 William Stallings, Cryptography and Network Security : Principles and Practice, 3rd ed. Prentice Hall, 2003 Est un algorithme de chiffrement par blocs à plusieurs tours similaire à DES mais avec une taille de blocs et de clefs supérieures et variables, choisis entre 128, 196 et 256 bits. ~ 50 ~ Chiffrement par transposition : Les transpositions consistent à mélanger les symboles ou les groupes de symboles d'un message clair suivant des règles prédéfinies pour créer de la diffusion. Ces règles sont déterminées par la clé de chiffrement. Une suite de transpositions forme une permutation. Illustrons en prenant un message à coder tel que « AU REVOIR L'UKA » ayant comme clé K1=71265843 A U R E V O I R L ` U K A
U I O E R A V L A U ` R K
A U R E V O I R L ` U K A Tableau 3 : chiffrement par transposition Ainsi le message crypté sera U IOERAV L AU'RK à l'inverse, pour déchiffrer un message, il suffit d'avoir une clé de déchiffrement K2=23875416 générée selon l'ordre du message clair à crypter Chiffrement par produit : C'est la combinaison des deux. Le chiffrement par substitution ou par transposition ne fournit pas un haut niveau de sécurité, mais en combinant ces deux transformations, on peut obtenir un chiffrement plus robuste. La plupart des algorithmes à clés symétriques utilisent le chiffrement par produit. On dit qu'un « round » est complété lorsque les deux transformations ont été faites une fois (substitution et transposition). Plusieurs algorithmes se sont développés pour le chiffrement à clé symétrique, nous citerons les plus connus:
~ 51 ~ Un octet b composé des 8 bits b7, b6, b5, b4, b3, b2, b1, b0 peut être vu comme un polynôme de degré inférieur ou égal à 7 avec des coefficients dans {0,1} : b7 x7 + b6 x6 + b5 x5 + b4 x4 + b3 x3 + b2 x2 + b1 x + b0 L'addition de deux polynômes de ce type revient à additionner modulo 2 les coefficients de chacun. Cette addition correspond au OU exclusif. B. Cryptographie asymétrique50 Tous les algorithmes évoqués jusqu'à présent sont symétriques en ce sens que la même clef est utilisée pour le chiffrement et le déchiffrement. Le problème essentiel de la cryptographie symétrique est la distribution des clefs : pour que « N» personnes puissent communiquer de manière confidentielle il faut n (n-1)/2 clefs. L'idée de base des crypto-systèmes à clefs publiques a été proposée dans un article fondamental de Diffie et Hellman en 1976. Le principe fondamental est d'utiliser des clefs de chiffrement et déchiffrement différentes, non reconstructibles l'une à partir de l'autre : une clef publique pour le chiffrement, une clef secrète pour le déchiffrement. Ce système est basé sur une fonction à sens unique, soit une fonction facile à calculer dans un sens mais très difficile à inverser sans la clef privée. La sécurité de tels systèmes repose sur des problèmes calculatoires : RSA (factorisation de grands entiers), ElGamal (logarithme discret), Merkle-Hellman (problème du sac à dos « knapsacks ») ? RSA (Rivest - Shamir - Adleman) Il est basé sur le calcul exponentiel. Sa sécurité repose sur la fonction unidirectionnelle suivante : le calcul du produit de 2 nombres premiers est aisé. La factorisation d'un nombre en ses deux facteurs premiers est beaucoup plus complexe. C'est un algorithme le plus connu et le plus largement répandu, sa force est basé sur l'élévation à une puissance dans un champ fini sur des nombres entiers modulo un nombre premier. Ce crypto-système utilise deux clés d et e, le chiffrement se fait selon C = Me mod n et le déchiffrement par M = Cd mod n. Certes le principe consiste à une paire l'une publique (e,n) et une privée (d,n). La première étape revient à choisir n. Il doit s'agir d'une valeur assez élevée, produit de 2 nombres premiers très grands p et q. En pratique, si p et q ont 100 chiffres décimaux, n possèdera 200 chiffres. Selon le niveau de sécurité souhaité, la taille de n peut varier : 512 bits, 768, 1024 ou 20483 Eu égard à ce qui précède nous pouvons illustrer cela au moyen d'un exemple concret: Soient p = 31, q = 53 n=p*q=1643, e = 11 et d = 851 La clé publique est donc (11,1643) et la clé privée est (851,1643). Soit le codage par la position dans l'alphabet du mot «ANEMONE». 5°Http : www.dbprog.developpez.com consulté le 17/03/2015 à 10H35 ~ 52 ~ Il vient 01 14 05 13 15 14 05 On procède selon deux conditions : Notion1 Découpage en morceaux de même longueur, ce qui empêche la simple substitution : 011 405 131 514 05 On ajoute un padding initial si nécessaire. 001 140 513 151 405 Cela provoque la perte des patterns (« NE »). Notion 2 Découpage en morceaux de valeur inférieure à n, car opération modulo n. Lors du chiffrement, on a 00111 mod 1643 0001 14011 mod 1643 0109 51311 mod 1643 0890 15111 mod 1643 1453 40511 mod 1643 0374 Et pour le déchiffrement, 0001651 mod 1643 001 0109851 mod 1643 140 0890851 mod 1643 513 1453851 mod 1643 151 0374851 mod 1643 405 Lors du déchiffrement, sachant qu'il faut obtenir des blocs de 2 éléments (grâce au codage particulier de l'exemple), on a bien
Tableau 4 : déchiffrement par RSA '-' 53 '-' CONCLUSION PARTIELLE Dans ce chapitre nous avons abordé les aspects de la sécurité dans la transaction des données par rapport au formalisme mathématique telle que le chiffrement symétrique et asymétrique, ainsi par rapport au modèle OSI nous avons scindé le mécanisme de la sécurité des données en trois grandes parties suivantes : ? La protection contre les tentatives d'accès et la cible de nombreuses attaques visant à s'introduire frauduleusement sur les réseaux en usurpant l'identité d'un hôte de la couche physique et liaison. ? La couche réseau et transport ont constitué un univers de protocoles TCP/IP dont les communications nécessitent parfois une protection contre les écoutes afin de préserver un niveau élevé de confidentialité, il s'agira ici essentiellement pour nous de présenter à ce niveau la manière de sécuriser les communications intersites par IPSEC ? Et enfin nous avons chuté par la problématique liée à la configuration des kits informatiques afin d'assurer les liaisons physiques et logiques, restreindre les accès aux personnes non autorisées par le biais de pare-feu, serveur proxy... Vu les différentes théories évoquées ci-haut, nous pensons avoir une idée des travaux qui nous reste à faire dans notre projet en matière de la sécurité afin de rendre notre réseau opérationnel, '-' 54 '-'
'-' 55 '-' CHAPITRE III : CONFIGURATION ET DEPLOIEMENT DU RESEAU 3.0. INTRODUCTION Dans ce chapitre, une étude sera faite à partir du système existant, cette analyse permettra d'examiner ce système, de déterminer ses points forts et ses défaillances ainsi qu'à analyser les nouveaux besoins en fonction de ces critiques, nous pouvons déceler le fond du problème et trouver une solution adéquate pour y remédier. De ce fait découle l'importance de ce qui suit afin de le rendre le plus clair et le moins ambiguë possible. La qualité de ces critiques dépendra de la suite de l'étude que nous allons entreprendre. 3.1. HISTORIQUE Conventionné catholique cet hôpital est géré par les soeurs de la congrégation de saint Vincent de Paul en 1914. Au départ, son histoire a commencé avec le père de la congrégation de Scheut Jean VANALTER curé de la mission à l'époque, dans le but d'épargner la population contre des multiples maladies épidémiologiques et endémiques ; il organise une boite de secours qui constitua le premier pas vers la création de l'hôpital. Au fur et à mesure que la population croissait, les besoins des soins se diversifiaient ainsi vers 1928 au village de rayon (NGEYE KALAMBA) communément appelé BAKWA NDAYE se vit sérieusement attaquer par la lèpre : les frères missionnaires Joseph, Senghor Jean de Maye et Paul se sont adonnés à administrer les soins aux victimes pour les guérir. y' En 1936 les soeurs religieuses de la congrégation précité prient la relève d'infirmières traitantes. y' En 1942, il y a eu la construction d'un complexe Hospitalier y' En 1954 marqua l'arrivé de la soeur Michel de la nationalité Hongroise, elle fut une infirmière de talent qui a eu à aider dans l'espace sanitaire qui s'occupa de plus de toutes les situations des femmes. y' En 1972, la soeur Marie-Ange de MULDE s'occupera des activités concernant les activités de l'éducation sanitaire, de la vaccination et de l'éducation dans les villages environnants. y' Ce vers la même époque que les locaux de Sanatorium et mal nourrit furent construit (actuelle bâtiment administratif de l'ISTM/Dimbelenge) y' En 1977, un pavillon des opères fut achevé ce à travers la période à laquelle le premier médecin Zaïrois fut affecté pour la zone de Dimbelenge à l'occurrence Dr LIKELE MOLINGI BATO. y' En 1983, suivant les nouvelles structures stratégiques et politiques des soins de santé primaire adopter au Zaïre, l'hôpital de katende sera classé dans le rang des hôpitaux généraux de référence avec le médecin Belge Dr Michel VERMEULEN comme médecin chef de santé et médecin directeur. ~ 56 ~ 3.2. SITUATION GEOGRAPHIQUE La zone de santé rurale de katende est situé dans la région du kasai occidental sous région de la lulua et plus précisément dans la zone administrative de Dimbelenge où elle prend en charge la population de trois collectivités : Lubi, Lubudi et Kunduyi. Elle est délimitée par :
'-' 57 '-' 3.5. ANALYSE DE L'EXISTANT La zone de santé rurale de Katende dispose de Treize centres de santé d'où la nécessité de faire communiquer d'une part ces derniers entre eux et d'autre part la DPS et le bureau central de la zone. Cette communication se fait d'une manière classique, autrement dit les méthodes utilisées pour faire transiter les messages que la zone désire faire passer se présentent comme suit : > Les notes de service Premier outil de communication utilisé au bureau central de la zone les notes écrites, en effet elles ont pour objectif de diffuser au sein de la zone, des informations précises et utiles pour le bon fonctionnement. > Les communications électroniques Les agents de la DPS font recours aux réseaux sociaux comme Facebook pour communiquer, partager certaines informations et débattre de certains sujets. > La ligne téléphonique C'est un moyen de communication utilisé par le MCZ et la DPS pour rester en interaction dynamique afin d'avoir les indicateurs. La ligne téléphonique reste un de moyen indéfectible que les IS s'en servent pour centraliser les plus importantes données de différents centres de santé. 3.5.1. Critique de l'existant Ce système présente un certain nombre d'insuffisances qu'on va essayer d'énumérer, notons néanmoins que ces difficultés ne peuvent être réglées d'une manière définitive qu'à travers une refonte du système existant. Les principales insuffisances et limites du système existant se présentent comme suit : y' Le Manque de communication et de collaboration entre les différents agents de la zone y' La relation entre les IT et le BCZ est très réduite y' La perte de temps suite au va et vient entre les centres de santé et le BCZ. y' L'utilisation abusive du carburant dans les taches de la récolte de canevas SNIS. y' Le besoin incessant d'accès à l'Internet afin de pouvoir communiquer et manipuler le logiciel DHS2 pour encoder en temps réel les données SNIS. y' Les notes de service ne parviennent pas forcément à toutes les structures concernées ce qui engendre certaines failles quant à l'application de ces notes. y' L'utilisation des réseaux sociaux comme FACEBOOK à des fins de communication à caractère administratif ou professionnel peut encourir la zone a un vrai danger. y' La circulation de nouveautés au sein de la zone se fait à l'aide de la ligne téléphonique ce qui engendre un mauvais partage des informations entre les IS. y' Insuffisance voire même inexistence du service informatique au bureau central ce qui pèse sur les IT et l'IS de manipuler l'outil informatique ce qui rend le travail lourd. ~ 58 ~ 3.5.2. Orientation du besoin futur Afin de pallier aux défaillances observées, on se propose d'informatiser le processus de communication interne et externe au sein du bureau central. Ce qui se traduit par le développement d'un réseau informatique opérationnel, une fois mis en place et exploité par tous les personnels de la zone celui-ci va permettre une communication assez fluide et efficace. La création d'un portail réseau permet au personnel l'accès à l'information en temps opportun et également une mise à jour régulière et efficace. Un Portail peut servir à fournir tout genre d'informations utiles au sein de la zone. Partant du principe qu'une mauvaise circulation de l'information dans une entreprise peut nuire excessivement l'image de cette entreprise. 3.6. CAHIER DE CHARGE Le cahier de charge peut être défini comme un acte, un document de référence qui permet au dirigeant d'entreprise, d'une organisation de préciser les exigences ou conditions d'un projet qu'il faut réaliser ou une tâche à exécuter par un consultant en vue d'améliorer une situation donnée tout en précisant les résultats. 3.6.1. Indentification et description du projet 3.6.1.1. Etude de besoin Dans cette section du chapitre, seront exposés les besoins des utilisateurs à travers les spécifications fonctionnelles et non fonctionnelles afin d'aboutir à une application performante et satisfaisante a la hauteur de l'attente des utilisateurs. 3.6.1.2. Besoin fonctionnel Pour la clarté de ce travail, nous allons dégager deux aspects spécifiques du réseau : le réseau pour informer (ou pour s'informer), le réseau pour collaborer (communiquer) Notion1 : le réseau pour informer(ou pour s'informer) Le réseau doit rassembler toutes les informations utiles au personnel dans l'exercice de ses fonctions et pour se situer dans son environnement de travail : les nouveautés, les nouveaux services, actualités sur la vie de la zone, l'annuaire téléphonique, la consultation des informations du dépôt pharmaceutique, rapports d'activité de la vaccination et les notes de services Notion2 : Le réseau pour communiquer En matière de communication, les besoins se sont également précisés : V' Rechercher une personne sur un annuaire par son nom. V' Communiquer par messagerie avec tout le personnel sans exception ou qu'il soit. '-' 59 '-' y' Pouvoir gérer ses congés en ligne : demande de congé, ou de récupération, obtenir une réponse, consulter son congé, valider la demande. y' Pouvoir s'exprimer et échanger sur un sujet dans un forum interne. 3.6.2. Conception du réseau Un réseau informatique étant un ensemble d'ordinateurs qui communiquent entre eux en utilisant les différentes technologies telle que les ondes radio c'est ainsi que l'on parlera respectivement d'un réseau WIFI et par câble du réseau Ethernet. Il permet de relier tous les personnels dans le but de faciliter leur communication, leur collaboration et la gestion de leur travail. Il s'agit d'un moyen simple de partager et de valider les informations à l'intérieur d'une structure. Cela est d'autant plus important que le personnel est assez éparpillé géographiquement sur tout le territoire. Facile à mettre en oeuvre de façon décentralisée, le réseau informatique offre l'avantage d'une interface identique quel que soit le poste de travail auquel l'utilisateur est connecté. 3.6.2.1. Besoin non fonctionnel Les besoins non fonctionnels sont importants car ils agissent de façon indirecte sur le résultat et sur le rendement de l'utilisateur d'où leurs importances. Pour cela il faut répondre aux exigences suivantes : y' Fiabilité : le réseau doit fonctionner de façon cohérente sans erreurs. y' Les erreurs : le réseau doit les signaler par des messages d'erreurs. y' Ergonomie et bon IHM : l'application doit être adaptée à l'utilisateur sans qu'il fournisse trop d'effort (utilisation claire et facile). y' Efficacité : le réseau doit permettre l'accomplissement de la tâche avec le minimum de manipulations. y' Sécurité : le réseau doit être sécurisé au niveau des données: authentification et contrôle d'accès. 3.6.2.2. Identification des acteurs Le but de ce projet étant de permettre aux employés de la zone de santé rurale de santé de disposer d'une plateforme de communication et de partage de données. Chaque employé de la zone est un acteur interagissant avec le réseau ce qui lui attribue certains rôles spécifiques au poste occupé. ~ 60 ~ Voici le tableau présentant les différents acteurs du système et leurs rôles
Tableau 5 : tableau des acteurs 3.7. DIAGRAMME EXPLICATIF DU RESEAU Le diagramme permet de voir les principales fonctions du système, il définit essentiellement les limites du système à mettre en place ainsi que les cas d'utilisation primaires. Ce diagramme correspond à la segmentation de quelques fonctions qui se résume
Gestion d'accès Droit d'utilisateur Gestion de congé Planification réunion
l'essentiel de notre projet présenté comme suit : Gestion des utilisateurs
RESEAU INFORMATIQUE DE KATENDE Utilisateur ordinaire Fig. 23: diagramme explicatif Encodage, réception des notifications Responsable de service Gestion de CANEVAS SNIS Produits pharmaceutiques Administrateur Directeur Hiérarchique ~ 61 ~ 3.7.1. planning prévisionnel de la réalisation du projet 3.7.1.1. Accessibilité géographique Il ressort de ce tableau ici-bas que : ? Cinq Aires de Santé sont situées à plus de 45 Km du bureau central et deux Aires de Santé ont plus de 30% de leur population au delà de 5Km de Centre de Santé ? 69% des Aires de Santé ont en outre le Centre de Santé de responsabilité, une autre structure des soins améliorant ainsi, l'accessibilité géographique de leur population au PMA.
Tableau 6 : accessibilité géographique ~ 62 ~ En déduisant ce tableau nous sommes conduits à ressortir les sites suivant pour notre réseau :
> MADILA > MUANZA NGOMA 3.7.1.2. Description des tâches et leurs relations d'antériorités
Tableau 7 : description des tâches ~ 63 ~ 3.7.1.3. Graphe MPM G Z
0 0 9 9 A B 4 4 F 1 1 1 1 2 2 0 0 1 5 C D E H I 5 5 6 6 Fig. 24 : Graphe MPM 3.7.2. Les ressources matérielles Apres avoir passé en revue sur la zone de santé rurale de Katende nous avons récence les matériels se ramenant au tableau suivant :
Tableau 8 : ressources matérielles 3.7.3. Ressources logicielles Nous pouvons citer : y' Windows7 y' Windows8 y' Antivirus Kaspersy, AVIRA, AVG ~ 64 ~ 3.8. PRESENTATION DETAILLEE DE LA SOLUTION RETENUE
192.168.0.0/24 Figure 25 : présentation du réseau 3.8.1. Composant matériels En ce qui concerne les composants matériels, nous aurons besoin des serveurs, des ordinateurs, des imprimantes et des points d'accès qui doivent former notre réseau.
~ 65 ~ Le routeur servant interconnecté le trois site qui constitue notre réseau doit avoir les caractéristiques suivantes : marque Cisco
Nous avons besoin de câble UTP+RJ45 pour réaliser différentes connexions des ordinateurs. 3.8.2. logiciels nécessaires Nous avons opté pour ce projet les logiciels ci-après : ? Windows 2008 server Entreprise Edition Le choix porté sur le système d'exploitation Windows server 2008 est justifiable dans le sens qu'il inclut d'une part la gestion des certificats, et d'autres part il dispose d'un serveur RADIUS intégré sous le nom de NPS(Network Policy Server ) pouvant à lui seul gérer un nombre infini de clients RADIUS et en plus il regorge le protocole DHCP sous l'annuaire Active Directory pour gérer les couples mot de login/mot de passe, création des comptes utilisateurs. ? Antivirus Security Internet L'ordinateur connecté au réseau est la cible de plusieurs menaces ainsi pour protéger notre réseau contre les virus et des programmes malveillants, nous avons pensé à cet antivirus pour multiples raisons entre autre il incorpore le logiciel anti-espions et la mise à niveau rapide. 3.9. CONFIGURATION ET DEPLOIEMENT DU RESEAU 3.9.1. Configuration des serveurs L'installation du logiciel Windows server 2008 pour l'administration du réseau ~ 66 ~
Fig. 26 : installation de Windows server L'ajout du rôle au serveur pour l'attribution d'adresse IP automatique
Fig. 27 : configuration du serveur DHCP ~ 67 ~ La détermination de la certification et la configuration de la clé pour restreindre les accès à des personnes non autorisées.
Fig. 28 : certification La délimitation de la plage d'adresse pour augmenter le niveau de sécurité
Fig. 29 : délimitation des adresses ~ 68 ~ L'installation du serveur d'internet pour les accès
Fig. 30 : serveur IIS Pour paramétrer l'adresse mail dans le domaine Katende, ouvrez Outlook
Fig.31 : configuration outlook ~ 69 ~ L'ajout d'un nouveau compte de messagerie
Fig. 32 : ajout d'un nouveau compte Outlook 3.9.2. Quelques lignes de code source Routeur KATENDE CENTRE Router>(code lecture) Router>enable Router #configure terminal Router (config) enable secret KatendeBcz Router (config-line) console 0 Router ( config-line) #password adminastrator Router ( config-line) #login Router ( config-line) #exit Router (config) line vty 0 15 Router (config-line) #password kamp Router (config)# hostname KTD01 KTD01 (config) #interface fastEthernet 0/0 KTD01 (config) #ip address 192.168.0.2 255.255.255.0 KTD01 (config) #no shutdow KTD01 (dhcp-config) #ip dhcp pool KTD01 (dhcp-config) #network 192.168.0.0 255.255.255.0 KTD01 (dhcp-config) #default-router 192.168.0.1 KTD01 (dhcp-config) #dns-server 210.40.15.20 KTD01 (config) #exit ~ 70 ~ 3.9.3. Evaluation du Coût global de la conception a) Coût matériels
b) Coût personnel
~ 71 ~ |
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
