Bibliographie & annexes
Présentation
RÉSUMÉ
Cet article a pour objet la sécurisation des applications de type client-serveur sur Internet. La démarche de sécurité permet d’identifier les biens sensibles (ressources puis échanges) qui doivent être protégés dans l’opération de transaction. De par sa robustesse, sa généralisation et sa commodité, le protocole TLS s’avère un constituant essentiel dans un réseau sécurisé. Il répond aux objectifs de sécurité, en assurant l’authentification mutuelle des acteurs, la confidentialité, l’intégrité spatiale et temporelle des transactions.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Cyril TESSEREAU : Expert sécurité, Silicomp-AQL
INTRODUCTION
Dire qu’Internet prospère est aujourd’hui une affirmation des plus en vogue. Mais au-delà de la constatation, il est intéressant de remarquer que l’essor d’Internet se caractérise par la généralisation d’un mode de fonctionnement qui existait auparavant dans les systèmes de terminaux : un nombre limité de serveurs concentre et traite des requêtes provenant d’une multitude de clients. Là où le réseau des réseaux se distingue de ce modèle, c’est par la nature de ses clients : non pas un parc homogène de terminaux bien connus, dédiés à une seule fonction, mais une foule hétérogène et anonyme d’ordinateurs exécutant pele-mêle toutes sortes d’applications. La mixité inhérente des informations, la vulnérabilité du commun ingénu suscitant la malveillance du profiteur habile, l’improbabilité de modéliser finement les usagers du réseau, effacent alors définitivement toute possibilité d’exploiter Internet dans une confiance mutuelle et générale. Pourtant, quoi qu’il en soit, l’inextricable Toile doit être sécurisée afin d’en tirer un service viable : à charge pour le chercheur et l’ingénieur de fournir les cadres convenables. Ici, on s’intéresse en particulier à examiner comment la cryptologie et l’ingénierie de protocole s’allient pour rendre sûres des applications telles que le commerce en ligne.
L'expertise technique et scientifique de référence
DOI (Digital Object Identifier)
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(75 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Sécurité et modèle en couche1. Contexte
En préambule et en guise de définition, l’utilisation des applications de type client-serveur sur Internet se manifeste souvent par un fonctionnement en deux étapes. Dans un premier temps, le client récupère de l’information publique sur les prestations offertes par le serveur, comme par exemple son catalogue produit, afin de préparer une commande : en termes plus courants, il « remplit son panier ». Dans un second temps, il officialise la transaction – l’achat en ligne – qui est l’objectif et la conclusion de sa connexion au serveur.
Toute la valeur ajoutée est dans cette transaction ponctuelle, qui se trouve noyée dans un flot de données purement informatif, ne contenant en soi rien de crucial. C’est ce premier constat qui guide toute la démarche consistant à apporter la fiabilité et la sûreté sur lesquelles on ne saurait faire l’impasse. En effet, l’intérêt est évidemment de reporter tout ce qui peut être considéré comme critique sur un acte éphémère, détouré, caractérisé, plutôt que sur le cheminement incertain, nébuleux, qui le précède – et qui justifie à lui seul l’image canadienne de « butinage ».
1.1 Biens, environnement, menaces
C’est pourquoi, lorsqu’on en arrive à la démarche de sécurité, il convient d’identifier les biens et les acteurs. Plus précisément, il importe de discerner les biens qui doivent être protégés et les acteurs hostiles dont il faut se prémunir. Dans l’environnement considéré, Internet, de nombreux clients hétéroclites et non cloisonnés peuvent accéder à de grands systèmes ouverts et interopérables. Parmi la multitude de clients potentiels et de serveurs déclarés, certains peuvent se révéler malveillants sans qu’ils soient identifiables a priori, mais le client honnête comme le serveur légitime doivent être en mesure de se prémunir contre leurs agressions.
Leurs biens sensibles, et donc susceptibles d’êtres visés par une attaque, sont de deux ordres : les ressources et les échanges. En premier lieu, les ressources désignent ce qui est stocké en propre tant chez le client que sur le serveur : il convient d’y interdire les accès indésirables par un filtrage approprié. Cela relève en particulier de la mise en place de pare-feu (firewalling ) qui est un domaine...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(75 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Contexte
BIBLIOGRAPHIE
-
(1) - KERCKHOFFS (A.) - La cryptographie militaire. - Journal des sciences militaires. Vol. IX, p. 5-38, janv. 1883 ; p. 161-191, fév. 1883.
-
(2) - DIFFIE (W.), HELLMAN (M.E.) - New directions in cryptography. - IEEE Transactions on Information Theory. IT-22, 644-654 (1976).
-
(3) - RÉMI (F.) - La cyptographie à clé publique. - Pour la Science. Dossier no 36 : L’art du Secret, 44-51 (juil.-oct. 2002).
-
(4) - TESSEREAU (C.), HÉBRARD (P) - Un nouveau standard de sécurisation des réseaux. - Pour la Science. Dossier no 36 : L’art du Secret, 69-71 (juil.-oct. 2002).
-
(5) - BRUMLEY (D.), BONEH (D.) - Remote timing attacks are practical. - 12th Usenix Security Symposium (août 2003).
-
(6) - KLIMA (V.), POKORNY (O.), ROSA (T.) - Attacking RSA-based Sessions in...
NORMES
-
Information technology – Open Systems Interconnection – The Directory : Overview of concepts, models and services - ITU-T Rec. X.500 - 02-01
-
Information technology – Open Systems Interconnection – The Directory : Public-key and attribute certificate frameworks - ITU-T Rec. X.509 - 03-00
-
Technologies de l’information – Interconnexion de systèmes ouverts (OSI) – L’annuaire : vue d’ensemble des concepts, modèles et services - ISO/CEI 9594-1 - 12-98
-
Technologies de l’information – Interconnexion de systèmes ouverts (OSI) – L’annuaire : cadre d’authentification - ISO/CEI 9594-8 - 08-04
-
Digital Signature Standard (DSS) - NIST FIPS 186-2 - 01-00
-
Secure Hash Standard (SHS) - NIST FIPS 180-2 - 08-02
-
Digital Encryption Algorithm – Modes of Operation - ANSI X3.106 - 1996
-
...
ANNEXES
Internet Engineering Task Force (IETF) http://www.ietf.org
International Telecommunication Union – Telecom Standardization (ITU-T) http://www.itu.int/ITU-T
National Institute of Standards and Technology (NIST) http://www.nist.gov
American National Standards Institute (ANSI) https://www.ansi.org/
HAUT DE PAGE
OpenSSL http://www.openssl.org
HAUT DE PAGE
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(75 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
