15

Click here to load reader

Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

  • Upload
    lyanh

  • View
    213

  • Download
    0

Embed Size (px)

Citation preview

Page 1: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

1

Sûreté et sécurité informatique pour débutant

par Dale Levasseur

20 octobre 2009 Clé informatique

Université de Sherbrooke

Page 2: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

2

Table des matières

Révisions du document ........................................................................................................3 Introduction..........................................................................................................................4

Qui est visé par ce document?....................................................................................4 La portée de ce document .........................................................................................4

Quelques définitions ............................................................................................................5 Différence entre un virus et un ver.............................................................................5 Le cheval de Troie......................................................................................................6 Les logiciels espions ..................................................................................................6

Les moyens de protection ....................................................................................................7 Comment choisir ses moyens de protection? .............................................................7 Logiciels disponibles..................................................................................................8

Mots de passe.......................................................................................................................9 Les qualités privilégiées pour la sélection de mots de passe .....................................9 Les caractéristiques d’un bon mot de passe ...............................................................9 Les erreurs à éviter ...................................................................................................10 Les questions secrètes ..............................................................................................10

Mises à jour........................................................................................................................12 En quoi consiste une mise à jour? ............................................................................12 Pourquoi faire ses mises à jour?...............................................................................12

Copies de sûreté .................................................................................................................13 Les caractéristiques voulues d'une copie..................................................................13 Où placer ses copies? ...............................................................................................13

Communications par la toile ..............................................................................................14 Les chaînes de lettres ...............................................................................................14 L'hameçonnage.........................................................................................................14 Les logiciels de clavardage ......................................................................................15 Comment s'y retrouver? ...........................................................................................15

Références .........................................................................................................................16 Feuille de rappel.................................................................................................................17

Page 3: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité informatique au carrefour de l'information à l'Université de Sherbrooke. Si vous désirez plus d'information sur les éléments présentés dans ce document, nous vous invitons à contacter l'auteur ou les sites de référence présentés à la fin de ce document.

Qui est visé par ce document?

S’adressant principalement aux débutants, ce document se veut comme un aide-mémoire aux personnes désireuses de l’utiliser. Il ne se veut nullement être une liste exhaustive des différents aspects abordés en son sein, le domaine touché étant beaucoup trop large et prompt au changement pour pouvoir se vanter de l’être.

La portée de ce document Les éléments abordés en ce document consistent en ceux identifiés par l'auteur comme étant les plus importants à retenir pour une personne désirant en apprendre plus sur la sécurité informatique. Par la présentation des différentes menaces intrinsèques au domaine de l'information et des moyens pouvant être utilisés pour s'en protéger, le lecteur sera en mesure d'utiliser les connaissances recueillies pour mieux se protéger lui-même et ses données.

Page 4: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

4

Quelques définitions Pour éviter une potentielle confusion due à méconnaissance des différents termes présents dans ce document, nous élaborerons tout de suite sur ceux-ci en fournissant une définition que nous utiliserons tout le long de votre lecture. Toutes les définitions présentes ont été choisies parmi celles disponibles dans le grand dictionnaire terminologique. Terme Définition du Grand dictionnaire terminologique Virus Logiciel malveillant, généralement de petite taille, qui se transmet par les réseaux ou les

supports d'information amovibles, s'implante au sein des programmes en les parasitant, se duplique à l'insu des utilisateurs et produit ses effets dommageables quand le programme infecté est exécuté ou quand survient un évènement donné.

Ver Programme malveillant, autonome et parasite, capable de se reproduire par lui-même.

Cheval de Troie Programme malveillant qui prend l'apparence d'un programme valide afin de déjouer les mécanismes de sécurité du système informatique et d'accéder à des données pour en permettre la consultation non autorisée, la modification ou la destruction.

Logiciel espion Logiciel destiné à collecter et à transmettre à des tiers, à l'insu de l'utilisateur, des données le concernant ou des informations relatives au système qu'il utilise.

Différence entre un virus et un ver La définition de virus n'est peut-être pas claire sur la différence entre un virus et un ver, mais il tout de même important de saisir la différence et l'impact que cela peut avoir sur la façon de protéger votre ordinateur. La principale différence réside dans le fait que le ver peut se propager de lui-même sur un réseau sans qu'il ne soit soumis à aucun stimulus particulier. Ses programmes malicieux se reproduisent par eux-mêmes à l'intérieur même des ordinateurs infectés ainsi que sur les ordinateurs auquel il a accès à partir des machines infectées. Le virus quant à lui nécessitera d'être « activé » pour faire effet, le programme transportant le virus devant être effectué ou certain Le moyen le plus efficace de se protéger contre un ver ou d'un virus est de toujours faire ses mises à jour régulièrement et de se prémunir d'un pare-feu et d'un antivirus efficace. Ceux-ci utilisant des failles souvent connues dans divers logiciels, il est aisé pour eux de s'introduire sur une machine qui n'est pas prête à se faire attaquer.

Page 5: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

5

Le cheval de Troie Comme le virus ou le logiciel espion, le cheval de Troie s'installera à l'insu de l'utilisateur. Contrairement à ces derniers, les effets pourront attendre longtemps avant de se faire sentir, le but d'un cheval de Troie n'étant pas nécessairement de causer des problèmes ou de récolter des renseignements directement, mais bien de préparer la venue ou l'utilisation de vos données par un élément extérieur. Il pourra généralement atteindre ce but en désactivant les protections de l'ordinateur.

Les logiciels espions Très souvent inclus dans des logiciels téléchargeables gratuitement sur internet, ces logiciels permettent de recueillir à l'insu de l'utilisateur une grande quantité d'information sur le système ou l'utilisation du système par les usagers. L'information, une fois récoltée par le logiciel, est généralement envoyée à une tierce partie par l'entremise de la connexion internet du système, parasitant celle-ci. En plus d'envoyer une multitude d'informations personnelles à de purs inconnus, l'utilisation de la connexion internet à cette fin peu éventuellement mener à des ralentissements importants. Souvent identifié comme des problèmes avec l'ordinateur en lui-même, le ralentissement dû à des logiciels espions peut être diagnostiqué et réglé par l'utilisation de programmes appropriés. Malgré tout, il est intéressant de noter que certains logiciels installant des logiciels espions cessent de fonctionner si ses logiciels sont retirés, obligeant leurs utilisateurs à conserver les logiciels espions s'ils veulent continuer d'opérer normalement. Le logiciel de partage de données Kazaa, très populaire avant sa fermeture pour des raisons légales il y a quelques années, est un très bon exemple de ceci car il cessait d'opérer à la seconde où le logiciel espion « cydoor » qui était installé en même temps que lui n'était plus présent sur la machine.

Page 6: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

6

Les moyens de protection

De nombreuses solutions simples existent pour améliorer la protection et la sécurité d’un ordinateur personnel contre les menaces extérieures sans pour autant nécessiter un niveau de connaissance élevé de la part des utilisateurs. Les moyens de protection les plus connus et utilisés sont les pare-feu, les antivirus et les antilogiciels-espions. Le grand dictionnaire terminologique fournit diverses définitions pour ses éléments. Terme Définition du Grand dictionnaire terminologique Antivirus Logiciel de sécurité qui procède, automatiquement ou sur demande, à l'analyse

des fichiers et de la mémoire d'un ordinateur, soit pour empêcher toute introduction parasite, soit pour détecter et éradiquer tout virus dans un système informatique.

Pare-feu Dispositif informatique qui permet le passage sélectif des flux d'informations entre le système informatique de l'entité et un réseau externe, dans le but de neutraliser les tentatives d'accès non autorisé au système en provenance de l'extérieur de l'entité et de maîtriser les accès vers l'extérieur.

Antilogiciel espion Logiciel servant à détecter et à éliminer les logiciels espions.

Comment choisir ses moyens de protection? Quand il est question de sécurité, un grand nombre de couches de sécurité augmente de manière significative la protection d'un système. Un élément nuisible voulant s'en prendre à un ordinateur protégé par plusieurs couches de sécurité devra traverser chacune des couches individuellement. Pour une optimisation de la défense d'un système, il peut être intéressant pour un individu d'installer chacun des trois types de protection présentés plus haut. Bien que certaines fonctionnalités de ses logiciels peuvent se recouper en certains points, le simple fait que vous utilisiez différents moyens de défense permettra de vous assurer de la validité des résultats.

Page 7: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

7

Logiciels disponibles L'université de Sherbrooke fournit gratuitement à ses étudiants une version du logiciel d'antivirus McAfee VirusScan. Les modalités d'utilisation ainsi que les étapes pour effectuer le téléchargement du logiciel peuvent être retrouvées sur le site du Service des technologies de l'information à l'adresse suivante : http://www.usherbrooke.ca/sti/securite/antivirus/ Dans le cas où le logiciel fourni par l'université ne répond pas à vos attentes où, si vous êtes dans l'impossibilité de le télécharger ou de l'installer, il existe quelques logiciels disponibles gratuitement qui remplissent aussi efficacement leurs rôles de protecteurs. Une liste non exhaustive de logiciels gratuits et efficaces est disponible en annexe.

Page 8: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

8

Mots de passe Les mots de passe sont omniprésents dans le monde informatique, protégeant nos photos, nos travaux, nos conversations, notre intimité et toute une gamme de données diverses plus ou moins confidentielles. De par leur nature et leur utilité, il est extrêmement important de comprendre l’impact que cette simple suite de symbole peut avoir sur votre vie et savoir comment définir des mots de passe sécuritaires.

Les qualités privilégiées pour la sélection de mots de passe Deux concepts doivent être présents dans vos esprits en permanence lors de la sélection d’un mot de passe :

- Unique : Votre mot de passe doit être unique et ne pas être utilisé à outrance. Un mot de passe différent devrait être de mise pour chaque élément à protéger. Mais, dans une certaine mesure, réutiliser certains mots de passe pour des aspects nécessitant une moins grande sécurité est aussi une bonne alternative. Utiliser un seul et unique mot de passe pour protéger toutes vos données est intéressant, mais permet à une personne malveillante d’accéder à la totalité de celles-ci si jamais il réussit à mettre la main sur celui-ci.

- Confidentiel : L’accès à votre mot de passe devrait être restreint à une quantité

limitée de personnes et au mieux, ne devrait être connu que des seules personnes devant obligatoirement le connaître. Bien qu’il soit tentant de divulguer son mot de passe, il est important de s’assurer de l’honnêteté des gens à qui on en fait mention avant

Les caractéristiques d’un bon mot de passe Un mot de passe efficace devrait répondre au minimum aux quatre critères suivants :

- Être suffisamment long (Minimum de 8 caractères) - Doit être composé de caractères variés (Chiffres, lettres, Majuscules, caractères

spéciaux (!, @, etc.))

- Être suffisamment personnel et d’un bon niveau de complexité pour ne pas être facilement deviné aisément, mais…

- Il doit pouvoir être facilement mémorisé (pour ne pas avoir besoin de l’écrire)

Plus un mot de passe est long, plus il aura tendance à être sécuritaire. La raison pour ceci est que chaque nouveau caractère ajouté à un mot de passe augmente de

Page 9: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

9

beaucoup le temps nécessaire et le nombre d’essais requis pour trouver votre mot de passe. Incorporer une grande variété de caractères aide beaucoup à cela, car il oblige une personne voulant découvrir votre mot de passe à augmenter son champ de recherche. Un mot de passe long et compliqué permet d’obtenir la garantie d’une certaine sécurité, mais il n’est pas garant d’efficacité. Si un mot de passe est tellement complexe qu’il en devient impossible pour l’utilisateur de s’en rappeler sans devoir le noter, il est peut-être envisageable de devoir le modifier.

Les erreurs à éviter De très nombreuses erreurs communes peuvent être effectuées lors de la sélection d’un mot de passe. Le principal problème avec les techniques de sélection de mots de passe présentés plus bas est qu’il relativement aisé pour une personne mal intentionnée de retrouver votre mot de passe ou de l’obtenir grâce à des logiciels prévus à cet effet. Il est important d’éviter les pratiques suivantes lorsque vous choisissez un mot de passe :

• Une suite de chiffres ou répétitions de lettres (12345, aaaaa, bbbbb, 54321) • Votre nom d'utilisateur • Votre nom réel ou d’un membre de votre famille • Un nom d’animal, de lieu connu • Une date d'anniversaire (la vôtre ou celle de vos proches) • numéro de téléphone, adresse ou numéro d'assurance sociale • un mot du dictionnaire, peu importe la langue

Les questions secrètes Il est possible dans de très nombreux systèmes de se connecter ou d’obtenir une copie du mot de passe utilisé actuellement par l’entremise des « questions secrètes ». On entend par là que l’utilisateur définit une question qui lui sera posé s’il oublie son mot de passe et qui lui permettra de récupérer son mot de passe si la réponse fournie est la même que la réponse prédéfinie par l’utilisateur. Bien qu’efficaces, peu de gens comprennent véritablement les répercussions possibles de choisir sa réponse à la légère. La sélection de la réponse aux questions secrètes devrait être aussi importante que la sélection même de votre mot de passe, car la sécurité de votre compte repose autant sur celle-ci que sur votre mot de passe usuel.

Que ce soit par sa connaissance de votre environnement ou par les renseignements qu’il peut obtenir par l’entremise d’un site internet quelconque comme les sites de rencontre ou de partage d’information, une personne ne devrait jamais considérer la tâche de trouver votre mot de passe comme une tâche aisée.

Page 10: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

10

Mises à jour

En quoi consiste une mise à jour? Une mise à jour de logiciel est une modification effectuée dans le but d'ajouter de nouvelles fonctionnalités, de corriger des éléments erronés ou de réparer des erreurs présentes dans des versions passées du logiciel.

Pourquoi faire ses mises à jour? Effectuer les mises à jour des logiciels sur un système est essentiel pour protéger ce système des menaces extérieur. Toujours à l'affût d'opportunités ou de failles, les personnes mal intentionnées à la base des différents virus et vers circulant sur la toile analysent les logiciels ou les systèmes d'exploitation populaires pour trouver un élément pouvant être exploité. Un fait intéressant pouvant motiver à faire ses mises à jour est que de nombreux logiciels sont lancés sur le marché alors qu'ils possèdent encore des erreurs ou des failles. Souvent minimes, ses failles peuvent parfois être exploitées pour causer des problèmes. Cette pratique est particulièrement présente lorsque le lancement d'un logiciel a été précipité ou bien lorsque le logiciel ou système lancé est trop gros pour être vérifié entièrement. Il est généralement corrigé en court de route grâce aux rapports d'erreur des utilisateurs.

Page 11: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

11

Copies de sûreté Un système informatique est affecté par une grande quantité d'éléments nuisibles pouvant venir (virus, ver, corruption de données, mauvaise manipulation, etc.) et d'une foule de facteurs extérieurs (température, usure des pièces, bris, etc.). Des pertes de données sont presque inévitables, mais il est possible de minimiser l'impact des différents imprévus en prenant les mesures nécessaires. Effectuer des copies de sûreté des différents éléments d'importance d'un système est gage de paix d'esprit, car si un problème survient, il pourra généralement être réglé plus ou moins rapidement par la récupération de données.

Les caractéristiques voulues d'une copie La caractéristique la plus importante d'une copie de sûreté est son existence. Elle se doit d'être présente au moment où on a besoin d'elle, sinon elle frôle l'inutilité. Elle doit être faite de manière préventive pour être certain qu'elle sera présente. La régularité des copies de sûreté doit aussi être une habitude ancrée dans les habitudes des utilisateurs. Il est important de connaître à quelle fréquence il est nécessaire d'effectuer des copies pour faire en sorte que si un problème survient, il puisse être rapidement corrigé. Le délai idéal pour effectuer des copies régulières dépend entièrement du type de donnée à conserver, mais devrait être de plus en plus court à mesure que l’importance des données s’accentue.

Où placer ses copies? Anodine en apparence, cette question est tout de même cruciale pour s'assurer que tous les efforts appliqués dans le but de conserver des données importantes n'auront pas été vains. Le premier élément à prendre en compte est qu'une copie ne devrait pas uniquement être présente sur le même système que les données car si un problème venait à affecter le système original, les données de sauvegarde deviendraient inutilisables elle aussi. En second lieu, elles doivent aussi être accessibles. S'envoyer soit même des données par courriel pour pouvoir les récupérer en temps voulu ou bien les conserver sur une base physique (disque externe, clé USB, etc.) permet un accès rapide aux données. Dernièrement, il faut se rappeler que la durée de vie d'un disque ou d'une clé pouvant varier, ceux-ci n'étant pas éternels, conserver plusieurs copies ou bien renouveler les copies existantes doit être envisageable.

Page 12: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

12

Communications par la toile Les communications par l'entremise de la toile sont presque indispensables dans un milieu universitaire. Celles-ci viennent sous différentes formes, chacune apportant

Les chaînes de lettres Parmi les éléments pouvant causer le plus de frustration en ce qui a trait aux courriels, les chaînes de lettre doivent probablement se placer au second rang. Que ce soit pour faire circuler des blagues, pour annoncer que vous risquez de gagner une fortune si vous renvoyez ce courriel à tous vos amis ou pour vous avertir d'un supposé virus qui prendrait supposément la forme d'une image de clown, le résultat est le même. Envoyé souvent avec la plus pure des intentions, il est important de comprendre que la plupart des textes envoyés par des chaînes de lettre sont inutiles ou faux. Pour attirer l'attention des gens, les auteurs de lettres vont souvent utiliser des éléments pouvant toucher émotionnellement le lecteur. Une pétition envoyée par courriel, en plus de n'avoir aucune valeur, sera ingérable de par le fait qu'il sera atrocement difficile, voir impossible à la personne recueillant les résultats de compiler efficacement le résultat ou de garder un contrôle sur la pétition. Les merveilleux labradors à données dont l'amie de votre amie fait circuler les photos par courriels n'ont potentiellement jamais existé.

L'hameçonnage Cette technique fut baptisée ainsi en l'honneur des pêcheurs laissant leur ligne tranquillement flotter sur la surface de l'eau en attendant qu'un poisson morde à l'hameçon. L'hameçonnage est une technique visant à faire croire qu'une personne visite un site quand en vérité elle ne fait que naviguer sur un site identique à l'original. Cette technique à généralement pour but d'obtenir vos informations personnelles avec plus ou moins d'originalité. Plaçant leur site en ligne, ils attendent patiemment qu'un internaute découvre leur site et se fasse prendre au piège. La méthode la plus utilisée consiste à effectuer un envoi massif de courriels au nom d'une banque annonçant à l'utilisateur qu'un problème quelconque c'est produit avec son compte et qu'il peut se connecter à un lien quelconque (menant vers le faux site) pour pouvoir accéder à des informations plus détaillées. Le site invite par la suite l'utilisateur à entrer toutes ses informations (parfois des informations étranges telles que l'employeur actuel et le numéro d'assurance sociale) pour se connecter. Certaines techniques plus avancées consistent à rediriger l'utilisateur d'un faux site vers une copie identique d'un site de paiement par internet tel que « paypal » pour ensuite recueillir les données de l'utilisateur.

Page 13: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

13

Diverses options présentes dans des navigateurs populaires tels qu' « Internet explorer » et « Firefox » permettent la vérification des sites visités pour s'assurer qu'un utilisateur ne navigue pas sur un faux site.

Les logiciels de clavardage Les logiciels de clavardage se sont tellement incrustés dans le domaine de l'informatique qu'il est difficile pour certaines personnes de s'en passer. Certains virus utilisent des logiciels de clavardage pour se propager en profitant du peu de méfiance des gens. Un ordinateur infecté par un virus pourrait prendre le contrôle du compte de messagerie d'un individu et envoyer un fichier ou un lien amenant les contacts de cette personne à télécharger eux aussi le virus ou à exécuter du code nuisible. Il est important de se méfier des liens étranges qu'une personne peut vous envoyer si ce n'est pas son habitude ou bien de si une personne ce met à vous écrire un message dans une langue qui n'est pas la sienne.

Comment s'y retrouver? Pour démystifier ce qui est faux de ce qui est vrai, il n'existe qu'une seule solution sécuritaire : se renseigner. De nombreux sites spécialisés comme « secuser » et « hoaxkiller » permettent d'identifier les faux messages, les chaînes de lettres mensongères ainsi que les

Page 14: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

14

Références [Site Internet]

− Secuser http://www.secuser.com

− Grand dictionnaire terminologique http://www.olf.gouv.qc.ca/ressources/gdt.html

− Hoaxkiller http://www.hoaxkiller.fr/

− Centre d’aide Blogger de google http://www.google.com/support/blogger/

Page 15: Sûreté et sécurité informatique pour débutant - Accueil · Introduction Ce document présent les sujets abordés dans la présentation du 21 octobre 2009 concernant la sécurité

15

Feuille de rappel Antivirus McAfee VirusScan – Antivirus et antilogiciel espion gratuit fournis par l'université http://www.usherbrooke.ca/sti/securite/antivirus/ Avira Antivir - Antivirus gratuit disponible sur internet http://www.free-av.com/fr/index.html Avast! – Antivirus dont la version familiale est disponible gratuitement http://www.avast.com/index_fre.html Anti-Hameçonnage Liste de logiciels anti-hameçonnage http://www.secuser.com/telechargement/index.htm#antiphishing Pare-feu Zone Alarm – Pare-feu élémentaire disponible gratuitement sur le site internet http://www.zonealarm.com/security/fr/anti-virus-spyware-free-download.htm Anti-Logiciel Espion Spybot – Logiciel francophone gratuit http://www.safer-networking.org/fr/index.html Ad-Aware – Logiciel anglophone gratuit http://www.lavasoft.com/products/ad_aware.php Sites d'aide Secuser – Sites français d'information sur les virus, ver, hameçonnage et autres. http://www.secuser.com Hoaxkiller – Site français d'information sur les pourriels et chaînes de lettres http://www.hoaxkiller.fr/