No: 7 /2006

Universit libanaise Facult des sciences Universit Paul Sabatier I.R.I.T.

DEA d'Informatique
Coopration dans les sciences de traitement de l'information

Anne universitaire 2005/2006

Etude des protocoles et infrastructures de scurit dans les rseaux

Prpar par

Imad Bou Akl

Responsable

Zoubir Mammeri

Jury

Bilal Chebaro

Ali Awada

Kablan Barbar

Mots-cls : Systme embarqu - Attaques - Infrastructure critique rseaux de capteur - WiFi - Pare feu - IDS - connectivit - VPN - ADSL IPSEC -scurit - QoS - Internet -Satellite Rsum
Ce mmoire consiste traiter la connectivit dans les infrastructures critiques en utilisant plusieurs technologies et services. Il traite encore les mthodes qui offrent un haut dbit et les dispositifs et les protocoles qui assurent la scurit contre les attaques et les menaces.

Key words : Embedded system - Attacks - critical infrastructure - sensor networks - WiFi - Firewall - IDS - connectivity - VPN - ADSL - IPSEC Security - QoS - Internet - Satellite Abstract
This dissertation discusses the connectivity in critical infrastructures using several technologies and services. It also treats the methods which offer high data flow as well as the devices and the protocols which ensure the safety against attacks and the threats.

Remerciements
Ce travail a t effectu au sein de l'Institut de Recherche en informatique de Toulouse. Je remercie mon encadrant, Monsieur le professeur Zoubir Mammeri de lUniversit Paul Sabatier, responsable de lquipe ASTRE, pour ses encouragements, ses remarques constructives, pour mavoir accueilli dans son quipe de recherche et pour avoir assurer la direction de ce stage. Je remercie tous les membres de lquipe ASTRE. Je remercie Monsieur Jean-Paul Bahsoun, Professeur et Directeur du dpartement informatique de lIRIT et de lUPS pour ses encouragements et ses conseils. Je remercie Monsieur Bilal Chebaro, Docteur lUniversit libanaise, pour son encadrement durant mon stage au Liban, sa patience, ses remarques et ses conseils. Un grand remerciement mes parents pour leur support et leur croyance en moi. A toute personne qui a contribu la ralisation de ce mmoire, je dis : Merci.

Table des matires

Table des matires

Introduction Chapitre 1 : Introduction la scurit, rseaux sans fil et systmes embarqus 1.1 Introduction................................................................................................................... 9 1.2 Les attaques qui menacent les systmes critiques et embarqus ............................ 10 1.2.1 Des attaques traditionnelles ................................................................................. 10 1.2.1.1 Introduction................................................................................................... 10 1.2.1.2 Attaques par rebond ...................................................................................... 10 1.2.1.3 Attaque par dni de service........................................................................... 11 1.2.1.4 La technique dite par rflexion ............................................................... 11 1.2.1.5 Attaque par usurpation dadresse IP (IP spooffing)...................................... 11 1.2.1.6 Mot de passe devinant................................................................................... 11 1.2.2 Une vrai menace dans un systme critique .......................................................... 11 1.3 Les signaux wireless et les rseaux de capteur sans fil............................................... 12 1.3.1 Introduction.......................................................................................................... 12 1.3.2 Les techniques dtalement du spectre ................................................................ 13 1.3.2.1 La technique de saut de frquence ................................................................ 13 Etalement du spectre squence directe................................................................... 14 1.3.3 Les rseaux de capteur sans fil............................................................................. 15 1.3.3.1 La norme 802.15.4 ........................................................................................ 15 1.3.3.2 Topologie rseau........................................................................................... 15 1.3.3.3 Modle de transfert de donnes .................................................................... 15 1.4 Techniques de calcul en temps rel pour les mesures de la scurit .......................... 15 1.4.1 Introduction.......................................................................................................... 15 1.4.2 Cryptographie ...................................................................................................... 16 1.4.2.1 Chiffrement symtrique ................................................................................ 16 1.4.2.2 Chiffrement asymtrique .............................................................................. 17 1.4.3 Condenst............................................................................................................. 17 1.4.4 Signature numrique ............................................................................................ 17 1.4.4.1 Signature numrique symtrique .................................................................. 17 1.4.4.2 Signataire numrique asymtrique................................................................ 18 1.5. La gestion de la scurit par des moyens en temps rel ............................................ 18 1.5.1 Introduction.......................................................................................................... 18 1.5.2 Gestion des moyens de protections minimums.................................................... 18 1.5.3 Capacit des quipements de scurit.................................................................. 19 1.5.4 Filtrage des paquets en temps rel ....................................................................... 19 1.6 Faire confiance dun systme embarqu..................................................................... 19 1.6.1 Introduction.......................................................................................................... 19 1.6.2 Test en ligne intgr............................................................................................. 20 1.6.3 Le principe du modle checking .......................................................................... 20 1.7 Loverhead ajout par les mcanismes de la scurit ................................................. 21 1.7.1 Introduction.......................................................................................................... 21 -1-

Table des matires 1.7.2 IPSec .................................................................................................................... 22 1.7.3 Filtre de paquet (FP) ............................................................................................ 22 1.7.4 La scurit et la qualit de service ....................................................................... 22 Chapitre 2 : Technologies et services pour la connectivit 2.1 Introduction................................................................................................................. 25 2.2 Les dispositifs de connectivit des rseaux ................................................................ 25 2.2.1 Introduction.......................................................................................................... 25 2.2.2 Les avantages de lextension dun rseau local ................................................... 25 2.2.2 Les diffrents dispositifs de la connectivit......................................................... 26 2.3 La mise en place d'un serveur proxy........................................................................... 29 2.3.1 Introduction.......................................................................................................... 29 2.3.2 Le principe de fonctionnement d'un proxy .......................................................... 30 2.3.3 Les fonctionnalits d'un serveur proxy ................................................................ 30 2.3.3.1 Le filtrage...................................................................................................... 30 2.3.3.2 L'authentification .......................................................................................... 30 2.5 Mettre en place des caches web distribus ............................................................. 30 2.6 Les protocoles TCP/IP et Internet............................................................................... 31 2.6.1 TCP/IP.................................................................................................................. 31 2.6.1.1 Dfinition ...................................................................................................... 31 2.6.1.2 Adressage IP ................................................................................................. 31 2.6.1.3 IPv6 ............................................................................................................... 32 Chapitre 3 : Connectivit dans les infrastructures critiques 3.1 Introduction................................................................................................................. 34 3.2 Un dbit lev et le technologie multiplexage en longueur donde........................ 34 3.3 ADSL ...................................................................................................................... 35 3.3.1 Introduction.......................................................................................................... 35 3.3.2 La technologie ADSL .......................................................................................... 35 3.3.3 Loffre ADSL....................................................................................................... 36 3.3.3.1 Loffre NETISSIMO I .................................................................................. 36 3.3.3.2 Loffre NETISSIMO II ................................................................................. 36 3.3.3.3 Les fournisseurs daccs Internet proposant lADSL ................................... 36 3.3.4 Conclusion ........................................................................................................... 37 3.4 VPN............................................................................................................................. 37 3.4.1 Introduction.......................................................................................................... 37 3.4.2 Tunnel .................................................................................................................. 37 3.5 Assurer une qualit de service la demande .......................................................... 38 3.5.1 Le rseau multimdia........................................................................................... 38 3.5.1.1 Les conditions de la qualit de service ......................................................... 38 3.5.2 Les solutions de la QoS........................................................................................ 39 3.5.2.1 Les routeurs de priphrie............................................................................. 39 3.5.2.2 Les flux diffrencis de paquets ................................................................... 39 3.5.2.3 La notification explicite ................................................................................ 40

-2-

Table des matires 3.6 Internet par satellite..................................................................................................... 40 3.6.1 Introduction.......................................................................................................... 40 3.6.2 L'quipement ncessaire ...................................................................................... 41 3.6.3 Le fonctionnement ............................................................................................... 41 3.6.4 Les serveurs Proxy............................................................................................... 41 3.6.5 Le Push ........................................................................................................... 42 3.6.6 Les dbits ............................................................................................................. 42 3.6.7 L'avenir ................................................................................................................ 42 Chapitre 4 : Gestion de la scurit 4.1 Introduction................................................................................................................. 44 4.2 Les dispositifs de la scurit ....................................................................................... 44 4.2.1 Les pare-feu ......................................................................................................... 44 4.2.1.1 Dfinition et fonctionnement ........................................................................ 44 4.2.1.2 Les types de firewalls.................................................................................... 45 4.2.2 Les systmes de dtection et de prvention de lintrusion................................... 46 4.3 VPN............................................................................................................................. 47 4.3.1 Introduction.......................................................................................................... 47 4.3.2 IPSec .................................................................................................................... 48 4.3.3 SSL....................................................................................................................... 49 4.3.4 Utilisation de IPsec et SSL .................................................................................. 49 4.4 Un systme VPN bien administr ............................................................................... 49 Conclusion gnrale Bibliographie

-3-

Tables des figures

Table des figures

Figure 1 : Les grandes catgories de rseaux sans fil ....................................................... 12 Figure 2 : Le mode Ad Hoc et le mode Infrastructure...................................................... 13 Figure 3 : La technique chipping ...................................................................................... 14 Figure 4 : Principe du model-checking............................................................................. 21 Figure 5 : Accs au rseau local par un tunnel VPN ........................................................ 37 Figure 6 : Tunnel interconnectant le sous rseau A au sous rseau B ............................ 38 Figure 7 : Reprsentation des antennes embarques sur un satellite ................................ 41 Figure 8 : Diffrentes applications VPNS ........................................................................ 48

-4-

Introduction Gnrale

-5-

Introduction gnrale

Gnralement la prsence sur Internet est devenue une ralit pour les entreprises et les diffrentes infrastructures et ce quelque soit leur taille ou leur nature. La disponibilit daccs haut dbit permanent autorise chaque entreprise hberger des services Internet et proposer ses collaborateurs laccs au rseau sans contraintes. Donc linstallation de lInternet doit prendre en compte les problmatiques suivants : La connectivit lInternet et les relations avec les ISP (Internet Service Provider) Le routage IP et ladressage La gestion et la traduction dadresse (NAT) Le filtrage et le pare-feu Les services Internet et leur scurisation spcifique La gestion du DNS Le partage de charge La scurisation active des services face aux pannes Les infrastructures critiques sont les installations physiques et des technologies de linformation, les rseaux, les services et les actifs qui, en cas darrt ou de destruction, peuvent avoir des graves incidentes sur la sant ou la scurit des personnes et des biens. Les infrastructures critiques englobent : Les installations et les rseaux dans les secteurs dnergie (notamment les installations de production dlectricit, de ptrole et de gaz, les installations de stockage et les raffineries, les systmes de transport et de distribution) Les technologies des communications et de linformation (les tlcommunications, les systmes de radio diffusion, les logiciels, le matriel informatique et les rseaux, y compris lInternet, etc.) Les finances (le secteur bancaire) Eau (Rserves, stockage, traitement et rseaux) Transport (aroports, ports, systmes de contrle de trafic) Administration (services de base, installations, rseaux dinformation, actifs et principaux sites et monuments nationaux) Pour bien assurer une bonne interactivit entre les diffrents quipements des infrastructures critiques, il faut offrir un trs haut dbit permettant de fonctionner en temps rel. Aussi, il faut comprendre une chose : le trs haut dbit aujourdhui, 2.5 Gigabits/seconde, sera le dbit normal dici quatre ans. La limitation se fait au niveau des boucles locales, compte tenu du cot envisag dinstallation des connexions. En plus, il est utile de rduire le trafic travers le rseau critique et ainsi damliorer le temps de rponse. Donc, les technologies et les infrastructures critiques lies lInternet sont incontournables pour fournir une bonne qualit de service. On a considr lInternet luimme comme le rseau commun pour livrer tous les types de contenu. Cette vision optimiste na pas encore rempli toutes ses personnes, une des raisons tant que la technologie daccs large bande sur la boucle locale prend plus de temps pour se

-6-

Introduction gnrale dployer que prvu. Mais, l aussi, lvolution vers des services plus interactifs est fortement attendue. La connectivit des systmes critiques aux rseaux doit prendre en compte des besoins et des contraintes de plus en plus varies : monte en dbit en frquence, amlioration de la qualit de service, de la scurit et la sret de fonctionnement, traitement efficace des diffrents type de flux (donnes, voix, images), inter fonctionnement des diffrents constituants des rseaux, besoins particuliers de certains flux La scurit de ces systmes consiste scuriser trois classes de composants : les nuds du rseau (routeurs, commutateurs et entits de gestion), linfrastructure de transport et le trafic qui utilise ce rseau. Les travaux de ce mmoire ont consist tudier la connectivit dans les infrastructures critiques. L'objectif est de prciser la manire laquelle une infrastructure se connecte au rseau surtout Internet en prcisant les diffrents dispositifs et les technologies servant raliser ce but. Ainsi, on tudie les mcanismes et les protocoles permettant de scuriser ces infrastructures contre les attaques et les menaces. Le contexte et l'tude gnrale de quelques aspects font l'objet du premier chapitre de ce mmoire. Les types des attaques menaant les systmes et les infrastructures critiques sont d'abord prsents. Puis une tude gnrale sur l'acquisition des signaux wireless et les rseaux de capteur a t effectue. La cryptographie comme une technique de calcul en temps rel pour assurer la scurit a t reprsente. Aussi, des contraintes ont t cites dans le but d'offrir une scurit en temps rel dans les systmes informatiques critiques. Les systmes embarqus et ses caractristiques ont t tudis afin d'offrir la scurit et la confiance durant leur fonctionnement. Le second chapitre est consacr la description des technologies et des services permettant de faire la connectivit d'un rseau. Les dispositifs utiliss lors de la connectivit sont tout d'abord prsents. Au cours du troisime chapitre nous tudions les technologies spciales permettant de relier une infrastructure critique au rseau. Plusieurs mthodes sont prsentes pour mettre ces infrastructures sur le rseau en offrant tout entirement la scurit et un haut dbit permettant l'interaction en temps rel. Ainsi, nous prsentons la connectivit Internet par satellite. La ralisation et la gestion de la scurit avec des diffrents dispositifs et en utilisant des protocoles scuriss sont menes au quatrime chapitre. Ce mmoire se termine par une conclusion sur les travaux prsents.

-7-

Chapitre 1 Introduction la scurit, rseaux sans fil et systmes embarqus

-8-

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus

1.1 Introduction
Le degr dutilisation des systmes et rseaux dinformation et lenvironnement des technologies de linformation dans son ensemble ont volue de faon spectaculaire depuis 1992. Ces volutions offrent des avantages significatifs mais requirent galement que le gouvernement, les entreprises, les autres organisations et les utilisateurs individuels qui dveloppent, possdent, fournissent, grent, maintiennent et utilisent les systmes et rseaux dinformations, portent une bien plus grande attention la scurit. La scurit est un enjeu majeur des technologies numriques modernes. Infrastructure de tlcommunication (GSM, GPRS, UMTS), rseau sans fils (bluetooth, WiFi, WiMax), Internet, systmes dinformations, routeurs, systmes dexploitation, applications informatiques, toutes ces entits prsentent des vulnrabilits : faille de scurit, dfaut de conception ou de configuration. Ces systmes tombent en panne, subissent des erreurs dutilisation et sont attaqus de lextrieur ou de lintrieur par des pirates, des cybercriminels. Une approche globale de la scurit des systmes est essentielle pour protger la vie prive, pour rduire les vulnrabilits des grands systmes dinformations. [MR 06]. LInternet est le support dinfrastructures vitales telles que lnergie, les transports et les activits financires et joue un rle majeur dans la faon dont les entreprises conduisent leurs activits, dont les gouvernements assurent des services aux citoyens et aux entreprises et dont les citoyens communiquent et changent des informations. La nature et le type des technologies constituant linfrastructure des communications et de linformation ont galement sensiblement volu. Le nombre et la nature des dispositifs daccs cette infrastructure se sont multiplis et diversifis pour englober les terminaux daccs fixes, sans fil et mobiles et une proportion croissante des accs seffectue par lintermdiaire de connexions permanentes . Par voie de consquence, la nature, le volume et le caractre sensible de linformation change ont augment de faon significative. Toute cette progression demande de dvelopper une culture de la scurit . Donc, le prsent concept de protection de base a pour objectif de rduire la vulnrabilit des infrastructures critiques face aux vnements et accidents naturels ainsi quaux attentats terroristes et aux actes criminels. Dans cet objectif, le concept de base se concentre sur les mesures de protection relatives la construction, lorganisation, aux personnes et la technique. Aussi le temps est une dimension importante quil faut considrer dans les infrastructures critiques et dans les systmes des contrles et la prise en compte de ses contraintes intervient tous les niveaux du cycle de vie des applications. La correction fonctionnelle repose notamment sur des approches de gnie logiciel (conception de composants oriente objet ou aspect). La correction temporelle repose sur des approches propres au temps rel, notamment la spcification et la validation de contraintes de temps et la communication avec une qualit de service prdictible.

-9-

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus

1.2 Les attaques qui menacent les systmes critiques et embarqus

Les systmes embarqus reprsentent une grande partie des objets qui nous entourent, et qui contiennent de linformatique sans pour autant tre explicite. Linformatique embarque est prsente dans des contextes trs divers allant des tlphones portables aux instruments de navigation des avions. Un systme embarqu na pas le droit davoir une raction imprvisible. Il faut pouvoir garantir une borne temporelle pour les fonctions prises en charge. Les cyber-attaques menaant tous ces systmes prennent diverses formes : prises de contrle dun systme, dni de service, destruction ou vol de donnes elles ont toutes une consquence ngative pour les organisations. [GB 05] Les motivations des attaques peuvent tre des diffrentes sortes : Obtenir un accs au systme Voler des informations, tels que des secrets industriels ou des proprits intellectuelles ; Rcuprer des donnes critiques Sinformer sur lorganisation Troubler le bon fonctionnement dun service Utiliser le systme de lutilisateur comme rebond pour une attaque Utiliser les ressources du systme de lutilisateur, notamment lorsque le rseau sur lequel il est situ possde une bande passante leve. Un systme embarqu est aussi un systme mobile, et donc il peut tre amen subir souvent des pannes matrielles. Ces pannes matrielles doivent pouvoir tre vites, et lorsquelles arrivent, le systme, sil est autonome, doit logiquement pouvoir trouver un autre moyen deffectuer sa tche (si la gravit de la panne le permet).

1.2.1 Des attaques traditionnelles

1.2.1.1 Introduction Les cyber-attaques menaant tous ces systmes prennent diverses formes : prises de contrle clandestine dun systme, dni de service, destruction ou vol de donnes sensibles, hacking (piratage du rseau de tlcommunication), craking (craquage des protections logicielles des programmes), phreaking (sabotage, prise de contrle de centrales tlphonique, ). Elles ont toutes des consquences ngatives pour les organisations ou individus qui sont victimes. 1.2.1.2 Attaques par rebond Lors dune attaque, le pirate garde toujours lesprit le risque de se faire reprer, cest la raison pour laquelle les pirates privilgient habituellement les attaques par rebond, consistant attaquer une machine par lintermdiaire dune autre machine, afin de masquer les traces permettant de remonter lui (telle que son adresse IP) et dans le but dutiliser les ressources de la machine servant de rebond.

- 10 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus 1.2.1.3 Attaque par dni de service Une attaque par dni de service est un type dattaque visant rendre indisponible pendant un temps indtermin les services ou ressources dune organisation. Il sagit la plupart du temps dattaques lencontre des serveurs dune entreprise, afin quils ne puissent tre utiliss et consults. Le principe des attaques par dni de service consiste envoyer des paquets IP ou des donnes de taille ou de constitution inhabituelle, afin de provoquer une saturation ou un tat instable des machines victimes et de les empcher ainsi d'assurer les services rseau qu'elles proposent. 1.2.1.4 La technique dite par rflexion La technique dite attaque par rflexion (en anglais smurf ) est base sur lutilisation de serveurs de diffusion (broadcast) pour paralyser un rseau. Un serveur broadcast est un serveur capable de dupliquer un message et de lenvoyer toutes les machines prsentes sur le mme rseau. 1.2.1.5 Attaque par usurpation dadresse IP (IP spooffing) Lusurpation dadresse IP est une technique consistant remplacer ladresse IP de lexpditeur dun paquet IP par ladresse IP dune autre machine. Cette technique permet ainsi un pirate denvoyer des paquets anonymement. Il ne sagit pas pour autant dun changement dadresse IP, mais dune mascarade de ladresse IP au niveau des paquets mis. La technique de l'usurpation d'adresse IP peut permettre un pirate de faire passer des paquets sur un rseau sans que ceux-ci ne soient intercepts par le systme de filtrage de paquets (pare-feu). 1.2.1.6 Mot de passe devinant Il est facilement dobtenir un programme fendant de mot de passe tel que la fente . Ce programme essaie simplement de deviner le mot de passe dun compte.

1.2.2 Une vrai menace dans un systme critique

Un logiciel est dit critique lorsquune erreur dans son droulement peut avoir un impact sur la scurit des personnes ou avoir de graves rpercussions pour le systme quil contrle : cest le cas par exemple, du contrle-commande dune centrale nuclaire, des commandes de vol dun avion ou du systme de pilotage dun mtro sans chauffeur. Les erreurs peuvent nanmoins subsister et le contrle de leur propagation dans le systme nest pas toujours assur. En tmoignant quelques exemples rcents de catastrophes spectaculaires : Lexplosion du premier lanceur Ariane 5, en 1996, aprs quarante secondes de vol, tait due un problme de conversion de format de nombre dans le programme contrlant le systme de rfrence inertiel qui assure la stabilit de la fuse. Elle se traduisait par une

- 11 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus perte dun demi milliard deuros en matriel et par le risque de perte de crdibilit dun programme de sept milliards deuros. En 1991, lors de la premire guerre du Golfe, une imprcision numrique dans le calcul dune horloge interne causa la mort de vingt-huit soldats amricains aprs la dfaillance dun missile antimissile Patriot.

1.3 Les signaux wireless et les rseaux de capteur sans fil

1.3.1 Introduction
Les rseaux sans fil prennent le devant de la scne du monde des tlcommunications. La gamme des rseaux sans fil normalise ne fait que stendre et devrait venir concurrencer de plus en plus les rseaux sans fil en plus les rseaux de mobiles provenant du monde de tlcommunications. Plusieurs gammes de produits sont actuellement commercialises, mais la normalisation en cours devrait introduire de nouveaux environnements. Les groupes de travail qui se chargent de cette normalisation sont lIEEE 802.15, pour les petits rseaux personnels dune dizaine de mtres de porte ou PAN (Personal Area Network), lIEEE 802.11, pour les rseaux LAN (Local Area Network), IEEE 802.16 pour les rseaux MAN (Metropolitan Area Network) atteignant plus de dix kilomtres et enfin IEEE 802.22 pour les rseaux RAN (Regional Area Network), cest--dire les rseaux de plusieurs centaines de kilomtres de porte. Chacune de ces gammes correspond un usage diffrent, fonction de ses caractristiques : vitesse de transmission, dbit maximum, cot de l'infrastructure, cot de l'quipement connect, scurit, souplesse d'installation et d'usage, consommation lectrique et autonomie.

Figure 1 : Les grandes catgories de rseaux sans fil

- 12 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus

Le protocole 802.11 de lInstitut of electrical and Electronics Engineers (IEEE), parfois nomm Wi-Fi, dfinit plusieurs couches physiques et une couche daccs au mdium pour les rseaux sans fil (Wireless local area networks - WLAN). Les diffrentes couches physiques dfinissent diffrents codages permettant dassurer une transmission sans fil fiable et un multiplexage de plusieurs canaux de transmission. Le standard 802.11 dfinit deux modes opratoires : Le mode infrastructure dans lequel les clients sans fil sont connects un point daccs. Il sagit gnralement du mode par dfaut des cartes 802.11b. Le mode ad hoc dans lequel les clients sont connects les uns aux autres sans aucun point daccs.

Figure 2 : Le mode Ad Hoc et le mode Infrastructure

1.3.2 Les techniques dtalement du spectre

La norme IEEE 802.11 propose deux techniques de modulation de frquence pour la transmission de donnes issues des technologies militaires. Ces techniques, appeles talement de spectre consistent utiliser une bande de frquence large pour transmettre des donnes faibles puissances. On distingue deux types techniques dtalement de spectre : La technique de ltalement de spectre saut de frquence, La technique de ltalement de spectre squence directe 1.3.2.1 La technique de saut de frquence La technique FHSS (Frequency Hopping Spread Spectrum, en franais talement de spectre par saut de frquence ou talement de spectre par vasion de frquence) consiste

- 13 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus dcouper la large bande de frquence en un minimum de 75 canaux (hops ou sauts d'une largeur de 1MHz), puis de transmettre en utilisant une combinaison de canaux connue de toutes les stations de la cellule. Une allocation alatoire dune squence de frquence permet de multiplexer efficacement plusieurs transmissions et offre une bonne rsistance aux interfrences en bande, c'est--dire linterfrence en causes par des signaux mis dans la mme bande de frquence que le signal utile. Dans la norme 802.11, la bande de frquence 2.4 - 2.4835 GHz permet de crer 79 canaux de 1 MHz. La transmission se fait ainsi en mettant successivement sur un canal puis sur un autre pendant une courte priode de temps (d'environ 400 ms), ce qui permet un instant donn de transmettre un signal plus facilement reconnaissable sur une frquence donne. L'talement de spectre par saut de frquence a originalement t conu dans un but militaire afin d'empcher l'coute des transmissions radio. En effet, une station ne connaissant pas la combinaison de frquence utiliser ne pouvait pas couter la communication car il lui tait impossible dans le temps imparti de localiser la frquence sur laquelle le signal tait mis puis de chercher la nouvelle frquence. Aujourd'hui les rseaux locaux utilisant cette technologie sont standards ce qui signifie que la squence de frquences utilises est connue de tous, l'talement de spectre par saut de frquence n'assure donc plus cette fonction de scurisation des changes. En contrepartie, le FHSS est dsormais utilis dans le standard 802.11 de telle manire rduire les interfrences entre les transmissions des diverses stations d'une cellule. Etalement du spectre squence directe La technique DSSS (Direct Sequence Spread Spectrum, talement de spectre squence directe) consiste transmettre pour chaque bit une squence Barker (parfois appele bruit pseudo-alatoire ou en anglais pseudo-random noise, not PN) de bits. Ainsi chaque bit valant 1 est remplac par une squence de bits et chaque bit valant 0 par son complment. La couche physique de la norme 802.11 dfinit une squence de 11 bits (10110111000) pour reprsenter un 1 et son complment (01001000111) pour coder un 0. On appelle chip ou chipping code (en franais puce) chaque bit encod l'aide de la squence. Cette technique (appele chipping) revient donc moduler chaque bit avec la squence Barker.

Figure 3 : La technique chipping

- 14 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus Grce au chipping, de l'information redondante est transmise, ce qui permet d'effectuer des contrles d'erreurs sur les transmissions, voire de la correction d'erreurs.

1.3.3 Les rseaux de capteur sans fil

Un rseau de capteur sans fil est un ensemble de capteurs variant de quelques dizaines dlments plusieurs centaines, parfois plus. Les capteurs ne sont pas intgrs une quelconque architecture pr-existante de rseau. Cest pourquoi ils communiquent laide dun rseau ad hoc sans fil. Parmi les applications concernant les rseaux de capteurs, on distingue : Supervision de ltat du lair, du sol Dtection du sisme Surveillance militaire Ailes davion 1.3.3.1 La norme 802.15.4 La norme IEEE 802.15.4 a t spcialement en fonction des caractristiques des rseaux de capteurs, un faible dbit et une faible consommation lectrique. Elle dcrit le fonctionnement de la couche physique, et de la couche MAC. 1.3.3.2 Topologie rseau Deux topologies sont supportes par le protocole 802.15.4. La topologie en toile et la topologie point point. Dans la topologie en toile, les communications stablissent directement entre le nud central (coordinateur) et les capteurs, le coordinateur tant le nud qui initie et gre les communications dans le rseau. La topologie point point se rapproche alors plus de mode de communication tel quil est structur dans le rseau ad hoc. La topologie point point ncessite lutilisation dun protocole de routage (routage mech, ad hocetc.) 1.3.3.3 Modle de transfert de donnes La norme IEEE 802.15.4 dfinit trois modles transactionnels possibles : Transfert de donnes du coordinateur vers un nud du rseau. Transfert de donnes dun nud de rseau vers le coordinateur. Transfert de donnes de deux nuds du rseau entre eux. Dans le cas dune topologie en toile, seules les deux premiers transactions sont possibles car les changes se font exclusivement.

1.4 Techniques de calcul en temps rel pour les mesures de la scurit

1.4.1 Introduction
La premire tape dans l'valuation de la scurit est, bien videment, la comprhension de la notion de scurit . ce jour, on en connait deux dfinitions majeurs.

- 15 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus La premire, au sens de la thorie de l'information, a t initialement voque par Shannon. Elle concerne l'information sur le texte clair contenu dans le texte chiffr : un shma de chiffrement est parfaitement sr si le texte chiffr ne contient aucune information au sujet du texte clair correspondant. Dans le cadre dun schma de chiffrement symtrique, il a t dmontr que la scurit parfaite nest atteinte que si la clef utilise est aussi longue que le message. Cette condition a une srieuse limite en pratique. La deuxime approche, au sens de la thorie de la complexit, est actuellement utilise dans lanalyse des schmas de chiffrement. Elle ne sintresse pas au contenu du texte chiffr mais met laccent sur la difficult dextraire de linformation sur le texte clair partir du texte chiffr. Cette difficult est considre au sens de la complexit et elle est souvent compare la difficult dun problme bien dfini : la factorisation, par exemple.

1.4.2 Cryptographie
La cryptographie ou chiffrement est le processus de transcription d'une information intelligible en une information inintelligible par l'application de conventions secrtes dont l'effet est rversible. La loi franaise dfinit les prestations de cryptologie comme : toutes prestations visant transformer l'aide de conventions secrtes des informations ou signaux clairs en information ou signaux inintelligibles pour des tiers, ou raliser l'opration inverse, grce des moyens, matriels ou logiciels conus cet effet Il existe deux grands types de cryptographie : La cryptographie symtrique : la mme cl (le code secret) est utilise pour encrypter et dcrypter l'information. Le problme de cette mthode est qu'il faut trouver le moyen de transmettre de manire scurise la cl son correspondant. La cryptographie asymtrique : ce n'est pas la mme cl qui crypte et qui dcrypte les messages. L'utilisateur possde une cl prive et une cl publique. Il distribue sa cl publique et garde secrte sa cl prive. Dans ce type d'application, tout le monde peut lui crire en utilisant la cl publique, mais seul l'utilisateur destinataire pourra dcrypter et donc lire le message avec sa cl prive. La cryptographie permet ici d'assurer la confidentialit des donnes transitant sur un rseau : les donnes sont uniquement portes la connaissance des personnes autorises. Une autre paire de cls sera utilise pour s'assurer de l'identit de l'metteur d'un message : c'est la question de l'authentification. L'utilisateur crypte avec sa cl prive son message. Tout le monde peut dcrypter le message avec la cl publique correspondant l'expditeur ainsi identifi. 1.4.2.1 Chiffrement symtrique La mme cl est utilise pour chiffrer et dchiffrer. Le principal avantage du chiffrement symtrique est une grande vitesse de chiffrement obtenue par une ralisation en circuits intgrs. Le principal inconvnient est la difficult de partager la mme cl par deux entits distantes. En effet, cette cl devra tre gnre par une entit puis transporte vers lautre entit, ce qui impose un transport trs scuris. Parmi les cls de chiffrement symtrique, les plus connus sont DES et AES. La taille des cls est souvent comprise entre 40 bits et 256 bits.

- 16 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus

Fonctions pseudo-alatoires Pour la catgorie de chiffrement la plus frquemment tudie en cryptographie symtrique le chiffrement par bloc la proprit dsire est que le chiffrement soit une permutation (super) pseudo alatoire. Une permutation pseudo alatoire. Une permutation pseudo alatoire est une fonction pseudo alatoire o la fonction est une permutation. La notion pseudo de permutation super pseudo-alatoire est une extension de permutation pseudo alatoire o lattaquant peut accder non seulement la permutation mais aussi son inverse. Ces derniers seront, leur tour, utilises comme primitives pour dautres applications (chiffrement de donnes travers des modes doprations, code dauthentification de message). 1.4.2.2 Chiffrement asymtrique Dans le chiffrement asymtrique, les cls de chiffrement et de dchiffrement sont diffrentes. Une des cls appele cl secrte, est mmorise et utilise par une entit. Lautre cl, appele cl publique, est distribue toutes les autres entits. La cl publique porte bien son nom car sa distribution peut ne pas tre confidentielle (cest lavantage du chiffrement asymtrique) mais son authentification reste ncessaire. La cl publique est utilise en gnral lors du chiffrement et la cl prive pour le dchiffrement. Comme seule lentit possdant la cl prive peur dchiffrer, la confidentialit de lchange est assure. Linconvnient est que ces algorithmes utilisent des fonctions mathmatiques complexes qui ne peuvent tre raliss sur des circuits intgrs. Le dbit de ce type de chiffrement sera donc trs faible. Parmi les algorithmes de chiffrement asymtrique, le plus connu est RSA. La taille de chiffrement asymtrique est souvent comprise entre 512 et 2048 bits.

1.4.3 Condenst
Le condenst est dfini comme une fonction mathmatique dont le paramtre dentre peut tre de grande taille et dont le rsultat est de taille trs rduite. Le calcul du condenst doit tre rapide et il doit tre impossible de calculer le paramtre dentre partir du rsultat. La dernire proprit du condenst est que deux paramtres dentres identiques un bit prs doivent fournir deux rsultats tout fait diffrents.

1.4.4 Signature numrique

La signature numrique permet dassurer la fois lorigine et lintgrit du message. De manire semblable au chiffrement, il existe deux classes de signatures, lune symtrique (utilisation dune cl partage entre la source et la destination dun message), lautre asymtrique (utilisation dune paire de cls par entit). 1.4.4.1 Signature numrique symtrique La signature symtrique utilise le concept de condenst en combinaison avec une cl partag : le signataire du document calcule le rsultat du condenst sur la concatnation du message signer et de la cl partage et il envoie au destinataire le message et le rsultat du condenst : le destinataire calcule le condenst sur la concatnation du - 17 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus message reu et de la cl partage et vrifie si le condenst calcul est identique au condenst reu. Si cest le cas, cela signifie que le message na pas t modifi (service dintgrit) et que lorigine du message est bien le signataire (car seuls le signataire est le destinataire possdent le secret partag). 1.4.4.2 Signataire numrique asymtrique La signature asymtrique utilise le concept de condenst en combinaison avec la cl prive du signataire. Pour le signataire du document, lopration est effectue en trois phases : Calcul du rsultat du message chiffr signer Chiffrement du rsultat du condenst avec sa cl prive Envoi du message et du condenst chiffr au destinataire Trois oprations sont galement effectues par le destinataire : Calcul du rsultat du condenst du message reu Dchiffrement du condenst reu avec la cl oblique du signataire Vrification de lidentit du condenst calcul et du condenst dchiffr. Si cette identit est vrifie, cela signifie que le message na pas t modifi et que lorigine du message est bien le signataire, car seul le signataire possde la cl prive pour signer le condenst.

1.5. La gestion de la scurit par des moyens en temps rel

1.5.1 Introduction
La scurit des systmes informations est gnralement btie sur 3 briques de bases : La protection La dtection La raction Jusqu maintenant les efforts, en terme de scurit, taient mis sur la brique traditionnelle Protection (le pare feu, lantivirus, le systme dauthentification). Dans les applications critiques, le temps est une dimension importante qui met des contraintes en temps rel sur les diffrentes mesures de la scurit. Notre objectif sera donc de prciser ses diffrentes contraintes afin de mettre une politique de la scurit respectant le temps dans les systmes temps rel.

1.5.2 Gestion des moyens de protections minimums

On sait que les dispositifs de la scurit (pare-feu) sont placs pour protger les systmes contre les attaques et les menaces qui peuvent perturber le fonctionnement des applications. Lors du fonctionnement, ces dispositifs peuvent ajouter un dlai qui met en danger les applications et les systmes qui fonctionnent en temps rel. Donc, il ne faut pas les installer ou de les configurer une fois par toutes, une solution consiste par exemple : Valider rgulirement la validation de vos pare-feux Pour tre efficace, vos pare-feux ont t configurs au moment de leur mise en place en ligne avec vos politiques de scurit.

- 18 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus Pour rester efficace, leur configuration doit tre teste priodiquement et les alertes gnres contrles et corrles. Pour mieux matriser ces changements et affiner la configuration de vos pare-feux dans le but de rduire le temps, vous devez connatre les flux applicatifs pour filtrer et analyser les paquets concernant ces flux seulement. Valider la mise jour corrective rgulirement et tester priodiquement les vulnrabilits de tous les composants logiciels de votre systme dinformation. Veiller lactivation permanente de vos anti-virus.

1.5.3 Capacit des quipements de scurit

Pour gagner le temps, il faut que les firewalls et tous les quipements de scurit soient conus pour ne pas ralentir le trafic de votre rseau et que leurs capacits leur permettent de traiter les paquets de donnes le plus rapidement possible.

1.5.4 Filtrage des paquets en temps rel

Le filtrage des paquets est peut tre laspect le plus important de la scurit informatique proactive et efficace. Dans les systmes temps rel, cet aspect ncessite le dveloppement dun nouveau filtre de paquets qui emploie des structures des donnes et des algorithmes optimiss pour raliser une bonne performance pour le filtrage des paquets et la translation dadresse.

1.6 Faire confiance un systme embarqu

1.6.1 Introduction
Un systme embarqu est un systme complexe qui intgre du logiciel et du matriel conus ensemble afin de fournir des fonctionnalits donnes. Le systme matriel et lapplication (logiciel) sont intimement lis et immergs dans le matriel et ne sont pas aussi discernables comme dans un environnement de travail classique de type ordinateur de bureau. Un systme embarqu est autonome et ne possde pas des entres/sorties standards tels quun clavier ou un cran dordinateur. La sret de fonctionnement dun systme logiciel/matriel embarqu et temps rel est la proprit qui permet ses utilisateurs de placer une confiance justifie dans le service quil dlivre et dans le temps de raction qui doit tre prvisible. Mettre en place une quipe pour prparer la procdure de validation des logiciels, proposer des rgles rigoureuses pour cette qualification et assurer que les spcifications, les vrifications et les tests des logiciels sont ncessaires pour fonctionner les systmes embarqus. Lobtention dun systme Logiciel/Matriel sr de fonctionnement passe par lutilisation combine dun ensemble de mthodes que lon peut classer comme suit : prvention des fautes : comment empcher, par construction, loccurrence ou lintroduction des fautes. Tolrance aux fautes : comment fournir, par redondance, un service conforme la spcification en dpit des fautes.

- 19 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus Elimination des fautes : comment minimiser par vrification, la prsence des fautes. Prvisions des fautes : comment estimer, par valuer, la prsence, la cration, et les consquences des fautes. Prvention des fautes et limination des fautes peuvent tre vues comme constituent lvitement des fautes : comment tendre vers un systme exempt de fautes. lobtention de la sret de fonctionnement : comment procurer au systme laptitude dlivrer un service conforme la spcification. limination des fautes et prvision des fautes peuvent tre regroupes dans la validation de la sret de fonctionnement : comment avoir confiance dans laptitude du systme dlivrer un service conforme au service spcifi.

1.6.2 Test en ligne intgr

Lobjectif vis est de saffranchir de linfluence des fautes pour ainsi contribuer lamlioration de la scurit et la sret de fonctionnement des systmes conus et fabriqus. Diffrentes mthodes peuvent tre conjointement utilises pour atteindre cet objectif. On distingue : La prvention des dfaillances qui vise la rduction de la probabilit doccurrences de fautes : elle implique une analyse des mcanismes des diffrents modes de dfaillance pour en rduire les lois de dgradation qui les gouvernent. La tolrance aux fautes qui concerne la rduction de la sensibilit de la fonction implmente aux fautes. La prvision qui implique la surveillance du systme. Elle regroupe les oprations de dtection et de localisation de fautes afin de dcider dune action compensatrice de sorte que le processus puisse continuer remplir la mission qui lui a t confie, malgr la prsence des dfauts mis en vidence. La dcision dintervention ou de reconfiguration est prise lorsquil y a vidence exprimentale dun dfaut imminent. [ES 05]

1.6.3 Le principe du modle checking

La vrification par modle-checking consiste vrifier les proprits souhaites dun systme sur une traduction mathmatique de celui ci. Son principe est illustr dans la figure suivante :

- 20 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus

Figure 4 : Principe du model-checking

Afin de vrifier un systme, le concepteur doit : Raliser un modle du systme quil souhaite vrifier. Cette tche est dlicate puisque, la plupart du temps, le systme est dcrit en langue naturelle ou sous forme de programme incompatible avec le formalisme des programmes et il est alors ncessaire de traduire, le plus souvent la main, cette description. Spcifier formellement, par exemple dans un langage logique, les proprits attendues du systme. Nous donnons quelques exemples de proprits : Le systme peut-il se bloquer ? Aprs une panne, le signal dalarme se dclenche-t-il ? . Lavantage essentiel du modle-checking sur les mthodes fondes sur le test et la simulation est lexhaustivit : une proprit valide sur le modle le sera dans absolument toutes les situations alors quun scnario rel de fonctionnement a pu tre oubli dans une procdure de test. Par ailleurs, lorsquune proprit nest pas vrifie dans un modle ; les outils existants fournissent une trace dexcution du modle dmontrant que la proprit nest pas satisfaite. Il est plus facile de dterminer lorigine de lerreur et de la corriger.

1.7 Loverhead ajout par les mcanismes de la scurit

1.7.1 Introduction
La scurit des rseaux depuis quelques annes, a vu son importance saccrotre au point de devenir une priorit. Des outils automatiss de plus en plus complexes, des virus attaquent les rseaux et menacent en permanence lintgrit des systmes dinformation. Les mcanismes de la scurit deviennent fortement consommatrices de temps. Donc, il faut amliorer la gestion de la scurit pour garantir la qualit de service surtout dans les applications temps rel. Il sagit en fait de la qualit du transport des informations dans le sens o les donnes arrivent avec un dlai de transmission contrl. Par exemple, pour la visioconfrence, la qualit de service est ncessaire pour viter davoir des mauvaises transmissions. Donc en assurant la scurit, il faut prendre en compte plusieurs paramtres et de les grer dune manire qui respecte la QoS. Parmi celles-ci on retrouve :

- 21 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus Le dlai : diffrents dlais peuvent tre pris en compte. Dans ce cas, on sintresse au dlai de transport, c'est--dire le temps total pass au niveau des composants actifs du rseau (switch, firewall, etc) ; La latence : la somme de tous les dlais, dans une direction, dans une communication en temps rel. Une limite de 75 millisecondes est tolrable. Audel, la communication est dgrade ou de faible qualit. La variance (jitter) : la variation de la latence. Le maximum tolr est de 20 millisecondes.

1.7.2 IPSec
IPSec est un protocole destin fournir diffrents services de scurit. Son intrt principal reste sans contexte son mode dut de tunneling, c'est--dire dencapsulation dIP qui lui permet entre autres choses de crer des rseaux privs virtuels (ou VPN en anglais). Il ne faut pas ngliger les aspects pratiques tels que la charge processeur due au chiffrement, le dbit thorique possible, loverhead induit et donc le dbit effectif De plus IPSec nest pas le seul protocole permettant dtablir des tunnels, il en existe dautres comme les point--point tel que L2TP, L2F ou encore PPTP qui peut induire un overhead non ngligeable.

1.7.3 Filtre de paquet (FP)

Le filtrage des paquets est peut tre laspect le plus important de la scurit informatique proactive et efficace. Un filtre des paquets contrle les paquets atteignant lune de ses interfaces et prend une dcision base sur des rgles en fonction duquel il acheminera ou nacheminera pas ceux via une autre interface jusqu' destination. Chaque paquet est compar lensemble des rgles de filtrage. Lensemble des rgles se compose dune liste associe de rgles. Chaque rgle contient un ensemble de paramtres dfinissant lensemble de paquets pour lesquels la rgle sapplique. Les paramtres peuvent tre les suivants : ladresse source ou ladresse destination, le protocole, le numro de port, etc. Pour un paquet correspondant la rgle, on ralise la transmission ou le blocage de ce dernier. Dans les systmes temps rel, il faut dvelopper un nouveau filtre des paquets qui emploie des structures des donnes et des algorithmes optimiss pour raliser une bonne performance pour le filtrage des paquets.

1.7.4 La scurit et la qualit de service

La phase de la ralisation de la scurit dans une application temps rel avec les mcanismes cits ncessite le dveloppement dune structure matriel et lintgration du logiciel sur cette structure. Cette phase doit conduire un systme de scurit conforme

- 22 -

Chapitre 1: Introduction la scurit, rseaux sans fil et systmes embarqus aux objectifs, c'est--dire rpondant aux spcifications du problme et en particulier garantir un comportement temporel satisfaisant. Pour garantir les contraintes temporelles avec un dlai minimum, il faut non seulement crire des algorithmes de traitement dont on sait valuer un temps maximal dexcution, mais galement matriser les caractristiques des dispositifs qui les excute Lorsque les traitements sont importants et que les contraintes temporelles sont trs strictes, lexcution de ces traitements ncessite lutilisation de machines parallles. Un des buts principaux dans de dveloppement des dispositifs fonctionnant avec des processus parallliss est de rduire les frais gnraux prsents par les mcanismes de la scurit. Le temps de traitement est un facteur trs important et qui doit tre minimis. Beaucoup darchitectures essayent de rduire ces frais gnraux en rduisant en minimum le moment rel pour le traitement y compris le dlai. Donc, il faut prsenter une architecture pour garantir la QoS. Pour raliser la scurit qui garantie la QoS, un traitement paralllis dans les quipements de la scurit est lune des solutions efficaces. La gestion des processus est ncessaire pour offrir un meilleur temps dexcution. Nous voulons dire aussi quun paquet doit tre livr de sa source sa destination dans une date limite mme sil passe par les dispositifs de la scurit. Il est difficile doffrir une scurit avec une grande vitesse. En effet, les dispositifs de la scurit comme le firewall sont forcs danalyser des milliers des paquets qui passent dans le rseau ce qui augmente le dlai. Donc, il faut considrer les aspects qui servent garantir la QoS. Les quipements de transport qui assurent la scurit dans un systme temps rel doivent tre assez intelligents pour identifier et stopper tous les menaces et les attaques en respectant la qualit de service surtout en termes de dlai et de latence. Donc, la politique de la scurit doit tre en relation avec la politique de la QoS.

- 23 -

Chapitre 2 Technologies et services pour la connectivit

- 24 -

Chapitre 2 : Technologies et services pour la connectivit

2.1 Introduction
Pour se connecter Internet, il faut une connexion fiable et permanente, permettant lutilisation des technologies actuelles, comme lADSL, une leased line et cble, avec une largeur de bande minimale de 128Kpbs pour garantir la fiabilit, il est souhaitable de pouvoir utiliser les scnarios de back-up ncessaire. Nous pensons lISDN ou une autre technologie. Les rseaux physiquement diffrents (ISDN, leased line, ADSL) doivent pouvoir tre connects, le serveur de communication se chargeant du routing entre ces diffrents rseaux.

2.2 Les dispositifs de connectivit des rseaux

2.2.1 Introduction
Les dispositifs de connectivit sont des matriels ou des logiciels qui permettent de prolonger, de segmenter ou de raccorder des rseaux (locaux ou tendus). Les dispositifs de connectivit permettent par exemple dtendre un rseau local.

2.2.2 Les avantages de lextension dun rseau local

Lavantage principal, cest la ncessit. Les besoins ont augment, le trafic explose et met en danger la prennit du rseau existant. Un rseau local est une structure volutive, qui change en fonction des besoins et du degr de son utilisation. Tous les rseaux locaux sont amens devenir insuffisant mesure que le trafic devient de plus en plus important. Chaque topologie rseau a ses propres limites. Parfois, il ne suffit pas de rajouter des postes sur le rseau existant, et le rseau doit voluer Le dbit maximum du cble est presque atteint Les dlais dattente deviennent insupportables Les activits rseau se dveloppent Lapparition de nouveaux besoins Le partage de nouvelles ressources Le travail en rseau La messagerie Intranet Les applications rseaux Le GROUPWARE Les bases de donnes Laccs Internet Le nombre des collaborateurs augmente Le nombre de postes augmente Les serveurs Les stations Les imprimantes Le nombre de sites augmente

- 25 -

Chapitre 2 : Technologies et services pour la connectivit

2.2.2 Les diffrents dispositifs de la connectivit

Les diffrents dispositifs de connectivit sont les suivants : Les rpteurs Les ponts Les routeurs Les ponts-routeurs Les passerelles Les rpteurs : Les rpteurs rgnrent le signal lectrique qui se dgrade mesure quil parcourt le cble (cest laffaiblissement ou lattnuation du signal). Selon le type de cble, la distance maximum est diffrente. Le rpteur permet au signal de parcourir une distance plus grande (dans les deux sens). Ainsi, le rpteur permet dtendre un rseau au-del de ses limites, il permet daccrotre la longueur du cble et le nombre de nuds. Certains rpteurs peuvent passer les paquets dun support un autre, comme par exemple dun brin de coaxial fin vers de la fibre optique. Le rpteur peut tre multi cble. Le rpteur agit au niveau de la couche physique du modle OSI, cest dire quil rceptionne chaque paquet qui lui arrive, le rgnre et le rexpdie de lautre cot du cble. Les paquets ne sont pas filtrs, ni routs, ni traduit dans un autre protocole. De part et dautre du rpteur, la mthode daccs au rseau et le protocole doivent tre strictement les mmes. Un rpteur ne segmente pas un rseau et ne diminue jamais le trafic. Au contraire, les problmes de saturation du trafic, les temptes de diffusions gnrales (Broadcast Storm), se communiquent sur tout le rseau Un rpteur se situe toujours entre deux segments et seulement deux. Toutefois, quand le rpteur dispose de plusieurs ports, cest un rpteur multi ports et il fait office de concentrateur. Il ne faut pas utiliser de rpteur dans certaines conditions : Le trafic rseau est trs important, le problme persistera Les segments du rseau utilisent des mthodes daccs diffrentes Les protocoles rseau sont diffrents Les paquets doivent tre filtrs et/ou routs Les ponts : Les ponts (Bridges) permettent de prolonger et de segmenter un rseau, daugmenter le nombre de postes (le nombre de nuds), de rduire les goulets dtranglement, de router les paquets, de relier des supports diffrents. Les ponts permettent de relier ou de segmenter deux rseaux qui utilisent le mme protocole. La segmentation permet disoler le trafic sur chaque segment, et parfois cela facilite la localisation dun problme. Les ponts sont souvent utiliss pour des protocoles rseaux qui ne peuvent pas tre routs. Les ponts agissent au niveau de la couche liaison du modle OSI (les ponts naccdent pas aux couches suprieures, ils ne font pas la diffrence entre des protocoles diffrents, - 26 -

Chapitre 2 : Technologies et services pour la connectivit et donc, tous les protocoles traversent les ponts). La couche LIAISON peut tre divise en deux sous-couches, la sous-couche LLC et la sous-couche MAC. Les ponts travaillent au niveau de la sous-couche MAC qui reconnat les adresses MAC des cartes rseaux (ladresse Mac de chaque carte rseau, de chaque nud du rseau, est une adresse unique dans le monde entier). Les ponts sont parfois appels des ponts de couche MAC . Les ponts possdent une mmoire dans la quelle ils stockent les informations de la table de routage. Au dmarrage, la table de routage dun pont est vide. Les ponts construisent une table de routage en examinant les adresses sources des paquets qui lui parviennent. Ainsi, au fur et mesure du trafic, les ponts accumulent les informations sur les stations mettrices : Ladresse MAC de chaque nud Le segment auquel elles appartiennent, cest dire le port du pont auquel est reli le cble du segment en question Quand un paquet arrive sur un pont, celui-ci vrifie si ladresse source de lexpditeur figure dans sa table de routage, si ce nest pas le cas, le pont ly inscrit. Ensuite, le pont vrifie si ladresse cible du destinataire figure dans sa table de routage, si cest le cas, alors il achemine le paquet vers le segment (le port) auquel appartient le destinataire (sauf, si cest le mme segment que lexpditeur), si ce nest pas le cas, le pont transfert le paquet vers tous les autres segments, vers tous ses ports (le pont devra attendre que le destinataire mette son tour). Les routeurs : Les routeurs (Routers, Gateway) permettent de prolonger et de segmenter un rseau, daugmenter le nombre de postes (le nombre de nuds), de rduire les goulets dtranglement, de router le paquets, de relier des supports diffrents, de relier des segments qui utilisent des mthodes daccs au rseau diffrentes, ou des protocoles routables diffrents. Les routeurs sont souvent utiliss pour interconnecter plusieurs rseaux entre eux ; les interconnexions des rseaux proposent plusieurs chemins possibles pour que deux stations communiquent. Les routeurs permettent de router les paquets dun rseau vers un autre, tout en considrant que le chemin le plus court nest pas forcment le plus rapide. Les routeurs travaillent au niveau de la couche RESEAU du modle OSI. Lorsquun paquet est transmis un autre routeur, les adresses rseaux de la source et de la cible sont recres, et ventuellement traduites, cest ce qui permet un routeur de transmettre les paquets dun segment Ethernet vers un segment Token Ring par exemple. La table de routage dun routeur conserve les informations de routage qui le concerne directement, cest dire les informations des matriels adjacents (ordinateurs ou routeurs) qui sont installs sur les segments auxquels il est lui-mme raccord. Un routeur ne communique pas avec les ordinateurs qui sont situs au-del dun autre routeur. Les routeurs partagent leurs informations de routage avec les autres routeurs du rseau. Les informations de routage permettent aux routeurs de dterminer la route optimale : Les adresses rseaux des ordinateurs placs sur les segments adjacents

- 27 -

Chapitre 2 : Technologies et services pour la connectivit Les masques de sous rseaux des autres segments, les plages dadresse qui sont gres par les routeurs adjacents Les chemins possibles pour acheminer un paquet vers un des routeurs du rseau Le nombre de sauts de routeurs pour arriver tel ou tel segment

Les routeurs ne laissent pas passer les messages de diffusion gnrale (Broadcast), ils ne laissent passer que les protocoles routables. Les routeurs ne laissent passer que les paquets dont les adresses sont connues. Les routeurs peuvent servir de barrire de scurit entre les segments dun rseau. Les routeurs permettent de prvenir les saturations de diffusion. Les protocoles routables : DECnet IP IPX OSI DDP (Apple Talk) Les protocoles non routables : NetBEUI de MICROSOFT Les ponts-routeurs : Les ponts-routeurs (Brouter en anglais) sont une combinaison des fonctionnalits dun pont et dun routeur. Les ponts-routeurs routent les protocoles routables et font un pont en or pour les protocoles non routables. Les ponts-routeurs facilitent la gestion du trafic dun rseau quand celui-ci est compos la fois de ponts et de routeurs. Les passerelles : Les passerelles (Gateway) permettent la communication entre rseaux darchitectures diffrentes. Les passerelles interconnectent les rseaux htrognes multi fournisseurs. Les passerelles sont souvent utilises pour relier un rseau dordinateurs personnels un rseau de mini ordinateurs ou un rseau de grands systmes (ce qui permet aux utilisateurs daccder aux ressources dun grand systme par exemple). Une passerelle est toujours spcifique aux deux architectures quelle permet de runir. Une passerelle peut agir sur toutes les couches du modle OSI. La passerelle reformate les paquets, les donnes entrantes sont dpouilles de leur pile de protocole (dsencapsules) et rhabilles (rencapsules) avec lautre pile de protocole. La passerelle remplace une pile de protocole par une autre. Les passerelles sont des traducteurs de protocoles. Les passerelles sont souvent utilises pour les rseaux qui ne disposent pas de TCP/IP (par exemple, les rseaux NetWare qui fonctionnent sous SPX/IPX et qui veulent avoir un accs Internet).

- 28 -

Chapitre 2 : Technologies et services pour la connectivit

Les caractristiques des dispositifs de connectivit Rpteur Rgnration OUI Prolonger Les nuds Les supports Multi ports Broadcast Segmenter Filtrer Router Traduire Couche OSI Chemins Adresses Mthode daccs Protocoles Architecture rseaux Topologie Utilisation La mme Un seul La mme Bus Rallonger OUI OUI Multi cbles Pont OUI OUI OUI Routeur OUI OUI OUI Pontrouteur OUI OUI OUI Multi cbles OUI OUI et NON OUI OUI NON et OUI OUI Passerelles OUI OUI OUI Multi cbles OUI NON OUI OUI OUI OUI 1. 7. Plusieurs

Multi cbles Multi cbles OUI NON OUI OUI OUI OUI

Concentrateur OUI OUI NON NON NON NON 1. Physique Un seul OUI OUI OUI NON NON 2. LIAISON Un seul @ MAC La mme Un seul La mme Dorsale Regrouper

3. RESEAU 2. et 3. Plusieurs @ rseau CSMA/CD et le jeton Routables Ethernet et Token Ring Maillage Optimiser Maillage Simplifier Plusieurs

Plusieurs Plusieurs Spcifiques Maillage Traduire

2.3 La mise en place d'un serveur proxy

2.3.1 Introduction
Un serveur proxy est l'origine d'une machine faisant fonction d'intermdiaire entre les ordinateurs d'un rseau local et Internet.

- 29 -

Chapitre 2 : Technologies et services pour la connectivit La plupart du temps le serveur proxy est utilis pour le web, il s'agit donc d'un proxy HTTP, toutefois il peut exister des serveurs proxy pour chaque protocole applicatif (FTP, ...).

2.3.2 Le principe de fonctionnement d'un proxy

Le principe de fonctionnement basique d'un serveur proxy est assez simple, il s'agit d'un serveur mandat par une application pour effectuer une requte sur Internet sa place. Ainsi, lorsqu'un utilisateur se connecte Internet l'aide d'une application cliente configure pour utiliser un serveur proxy, celle-ci va se connecter en premier lieu au serveur proxy et lui donner sa requte. Le serveur proxy va alors se connecter au serveur que l'application cliente cherche joindre et lui transmettre la requte. Le serveur va ensuite donner sa rponse au proxy, qui va son la transmettre tour l'application cliente.

2.3.3 Les fonctionnalits d'un serveur proxy

Dsormais, avec l'utilisation de TCP/IP au sein des rseaux locaux, le rle de relais du serveur proxy est directement assur par les passerelles et les routeurs. Pour autant, les serveurs proxy sont toujours d'actualit grce certaines autres fonctionnalits. 2.3.3.1 Le filtrage D'autre part, grce l'utilisation d'un proxy on assure un suivi des connexions (en anglais tracking) via la constitution de fourneaux d'activit (logs) on enregistre systmatiquement les requtes des utilisateurs lors de leurs demandes de connexion Internet. Il est ainsi possible de filtrer les connexions Internet en analysant d'une part les requtes des clients, d'autre part les rponses des serveurs. Lorsque le filtrage est ralis en comparant la requte du client une liste de requte ralis, on parle d'une liste blanche, lorsqu'il s'agit d'une liste des sites interdits on parle de liste noire. Enfin l'analyse des rponses des serveurs conformment une liste de critres est appel filtrage de contenu. 2.3.3.2 L'authentification Dans la mesure o le proxy est l'intermdiaire indispensable des utilisateurs du rseau interne pour accder des ressources externes, il est parfois possible de l'utiliser pour authentifier les utilisateurs, c'est dire de leur demander de s'identifier l'aide d'un nom d'utilisateur et d'un mot de passe par exemple. Il est ainsi ais de donner l'accs aux ressources externes aux seules personnes autorises le faire et de pouvoir enregistr dans les fichiers journaux des accs identifis.

2.5 Mettre en place des caches web distribus

Les caches web ont t crs pour remdier en partie au problme de surcharge des serveurs web et de congestion des rseaux Internet. Ces caches stockent les documents demands rcemment par les utilisateurs afin de rduire le chemin parcourir pour rcuprer nouveau ces documents lors dune prochaine demande. Leur utilisation permet donc de rduire le trafic travers lInternet et ainsi damliorer le temps de rponse au client. Mais ces caches nont pas encore atteint un niveau de performance satisfaisant, et connaissent quelques dfauts dorganisation. Un mme document est

- 30 -

Chapitre 2 : Technologies et services pour la connectivit dupliqu sur plusieurs sites, ce qui pose invitablement le problme de la cohrence des diffrentes versions de ce document. Pour amliorer leur efficacit, lInstitut Eurcom a tudi lorganisation des caches relis par des liens trs haut dbit, et a dvelopp un systme de caches physiquement distribus sur plusieurs sites mais apparaissant logiquement comme un seul grand cache. Avec les caches distribus, une seule copie dun document est prsente dans lensemble de tous les caches, ce qui permet dassurer la cohrence des informations prsentes dans le rseau, dutiliser lespace disque des caches dune manire plus efficace et dassurer des temps de rponse extrmement faibles.

2.6 Les protocoles TCP/IP et Internet

2.6.1 TCP/IP
2.6.1.1 Dfinition Le nom TCP/IP se rfre un ensemble de protocoles de communications de donnes. Cet ensemble tire son nom des deux protocoles les plus importants : le Transmission Control Protocol et le Internet Protocol. Le protocole TCP/IP devient le fondement d'Internet, le langage qui permet aux machines du monde entier de communiquer entre elles. Internet devient le terme officiel pour dsigner non pas un rseau mais une collection de tous ces rseaux utilisant le protocole IP. Le succs de TCP/IP s'est vite tendu au reste du monde cause des facteurs suivants: TCP/IP est l'outil idal pour interconnecter du matriel htroclite C'est un standard ouvert Il est utilisable librement il est indispensable des couches physiques de hardware. Il tourne l'heure actuelle sur des supports Ethernet, Token Ring, du X25 et virtuellement tout type de media physique Il dispose d'un schma d'adressage unique identifiant chaque priphrique de manire univoque. 2.6.1.2 Adressage IP Chaque interface Internet est identifiable par une adresse Internet code sur 32 bits. Une adresse Internet Protocole est constitue de quatre nombres de 0 255 et spare par un point comme ceci : 194.78.19.32. Cela donne galement 32 bits ou quatre octets qu'on reprsente quelquefois de manire hexadcimale comme suit 0x9A0B3CFF.
Binary Format
11000000 10101000 00000011 00011000

Dotted Decimal Notation

192.168.3.24

- 31 -

Chapitre 2 : Technologies et services pour la connectivit Chaque machine relie Internet dispose d'une telle adresse unique. Dans cette unique Internet, il faut encore distinguer deux parties, l'identifiant de rseau et le numro d'hte. Une adresse IP est compose de deux parties: Le numro du rseau le numro de machine sur ce rseau 2.6.1.3 IPv6 La rpartition d'adresse rseau en classe commence dj poser de srieux problmes. Avec la numrotation actuelle baptise IPv4, il n'est possible d'adresser que 2 100 000 rseaux ou un total de 3 720 000 000. Un deuxime problme est la saturation des tables de routage qui croissent plus vite que la technologie des mmoires propres les contenir. Ce sera la norme IPv6 avec des adresses IP codes sur 128 bits qui sera retenue pour pallier ces deux problmes. Fin 1994, l'Internet Engineering Task Force s'est mis d'accord sur la norme IP Next Generation alias IPv6. IPv6 supportera jusqu' 1 milliard de rseaux. IPv6 apporte plusieurs amliorations la norme IPv4. IPv6 est prvu pour coexister avec IPv4 Un rseau IPv6 peut supporter un nombre illimit d'htes. Une adresse IPv6 peut contenir une adresse IPv4. L'adresse est reprsent comme huit valeurs hexadcimales de 16 bits spars par des doubles points du type 5D54:352A:1235:B357:8283:2CDE:C00D:FCB2. Des groupes de zros contigus peuvent tre reprsents par un double ''::'' comme suit: CF76:0:0:0:0:0:0:27 devenant CF76::27. Une adresse IPv4 de type d.d.d.d devient automatiquement x:x:x:x:d.d.d.d 0:0:0:0:0:0:0:0 devient une ''unspecified address'' L'adresse loopback n'est plus 127.0.0.1 mais 0:0:0:0:0:0:0:1 Le header a t simplifi pour rduire la bande passante requise par le protocole. La grande nouveaut est l'intgration de manire native des protocoles IPsec (IP security) dans IPv6 et non plus sur certaines configurations seulement comme c'tait le cas avec IPv4. Cela reprsente une vritable avance, en effet, lorsqu'IPv6 sera en place, tout un chacun pourra disposer de fonctions de scurit grce IPsec. La scurisation de VPNs (Virtual Private Network) lors de l'interconnexion de sites en est un exemple intressant. Un autre avantage de ce choix est la compatibilit avec les applications tournant sous IPv4 qui est toujours largement utilis et qui offre galement l'accs IPsec mais de manire optionnelle.

- 32 -

Chapitre 3 Connectivit dans les infrastructures critiques

- 33 -

Chapitre 3: Connectivit dans les infrastructures critiques

3.1 Introduction
On trouve aujourdhui des gros systmes critiques informatique dans les domaines de laronautique, arospatiale, du contrle du procd industrielle, de supervision de centrales nuclaire, voire de gestion de salles de march ou de tlmdecine. Pour ces exemples, une des caractristiques est que le systme informatique se voit confier dune grande responsabilit en termes de vie humaine, de consquence sur lenvironnement. On parle alors des systmes critiques, qui sont alors soumis des contraintes de fiabilit et de scurit. La prise de contrle dinfrastructures critiques semble tre un des objectifs du cyberterrorisme, la preuve en est la recrudescence de scans (tests de systmes informatiques pour dcouvrir leurs vulnrabilits afin de pouvoir les pntrer ultrieurement) dirigs sur des ordinateurs dorganisations grant des infrastructures critiques (eau, lectricit, transport). Les rseaux convergent aujourdhui vers une architecture commune exploitant le protocole Internet. Ce protocole conu pour le transport asynchrone des donnes informatiques na cependant pas t prvu pour des applications prsentant des contraintes des contraintes temps rel. Les dfauts rencontrs sur les rseaux IP (dlai, gigue, perte des paquets et variation de la bande passante) ne pourront tre surmonts sans une rnovation profonde de larchitecture et son adaptation aux nouvelles applications tlphonie, audio, vido la demande Le problme qui se pose : comment faire la connectivit des infrastructures critiques pour assurer un bon fonctionnement en respectant les contraintes du temps et de la qualit de service et en augmentant la scurit pour lutter contres les attaques et les menaces ?

3.2 Un dbit lev et le technologie multiplexage en longueur donde

Pour raliser une performance, il faut relier des routeurs nouvelles gnrations ou gigarouteurs, par des canaux de transmission optiques haut dbit en exploitant la technologie dite multiplexage en longueur donde, qui permet dutiliser plusieurs canaux, ou longueur donde en parallle dans la fibre optique. Avec cette architecture, on peut atteindre un dbit potentiel de 40 Gigabits par seconde en cur du rseau. [FT 01] Grce cette capacit en dbit exceptionnel, le rseau permet de : Favoriser lenseignement distance Dvelopper les techniques ncessaires lapprentissage du geste mdical distance Atteindre les potentialits attendues du calcul informatique distribu. Permettre la sauvegarde en ligne de trs grosses bases de donnes. Tout en assurant une excellente qualit de service et en qualifiant le comportement du rseau des applications trs haut dbit. Pour atteindre ce dbit, il faut utiliser la technologie dite multiplexage de longueur donde (utilise par France Tlcom avec le rseau VTHD). Celle-ci permet dutiliser - 34 -

Chapitre 3: Connectivit dans les infrastructures critiques simultanment plusieurs longueurs donde pour faire circuler des informations en parallle dans une mme fibre optique. Un des attraits majeurs de cette technologie est de permettre laccroissement progressif des capacits de transmission dune fibre par ajout progressif de longueurs donde supplmentaires. Mais le dbit de transfert des informations ne dpend pas seulement de la fibre optique mais aussi des routeurs et des cartes interfaces entre fibres et routeurs (pour le rseau VTHD, France Tlcom na donc pas eu besoin dinstaller de nouvelles fibres optiques : elle a simplement install sur son rseau un matriel de dernier gnration, des giga routeurs capables, via un laser, dexpdier sur une fibre une quantit colossale dinformation , de lordre de 2,5 Gbits/s par longueur donde). Avec cette technologie, on peut laborer les garanties de qualit de service pour rpondre aux attentes en termes de scurit et de fiabilit.

3.3 ADSL 3.3.1 Introduction

On va prsenter de manire synthtique les quipements et services mettre en uvre afin dassurer la scurit et la confidentialit des donnes de lentreprise qui souhaite connecter au rseau local Internet via une ligne ADSL. LADSL reprsente actuellement la meilleur mthode daccs Internet pour une entreprise dsirant fournir un accs relativement haut dbit ses utilisateurs. LADSL se positionne comme la technologie idale pour connecter un rseau local Internet. Linterconnexion dun rseau local avec un rseau public doit seffectuer dans le respect de certaines rgles, notamment au niveau de la scurit et de la confidentialit.

3.3.2 La technologie ADSL

Le principal intrt des technologies ADSL, est de rutiliser les cblages cuivre existants. Autant dire tout de site que la totalit des lignes tlphoniques dployes en France par loprateur nationale est ligible. De plus ces lignes tlphoniques peuvent tre utilises simultanment pour le transport de la voie et pour le transport des donnes. En effet, pour tre transporte sur une ligne tlphonique la voie nutilise quune bande passante de quelques dizaines de kilohertz correspond en fait la bande passante de la voie humaine, ce qui laisse une grande partie de la bande passante du cble inemploy. Cette bande passante inemploye que les technologies xDSL en gnral et lADSL en particulier utilisent. Ainsi une ligne tlphonique normale peut-elle tre transforme ligne en ADSL par la simple adjonction dun filtre sparateur qui se charge de transporter la voie humaine vers le priphrique habituel, et le reste des donnes vers le priphrique jouant le rle de modem ADSL.

- 35 -

Chapitre 3: Connectivit dans les infrastructures critiques

3.3.3 Loffre ADSL

Loffre ASDSL de loprateur national comporte plusieurs niveaux de performance. Deux solutions proposes correspondant des besoins en bande passante diffrents. Ces offres sappellent commercialement NETISSIMO I et NETISSIMO II. 3.3.3.1 Loffre NETISSIMO I Cibl lorigine pour les particuliers, cette offre permet un dbit de 500 Kbps en voie descendante (c'est--dire lorsque vous consultez des documents sur Internet ou que vous envoyez des emails) et de 128 Kbps en voie ascendante (cest--dire lorsque vous envoyez des informations sur Internet ou que vous envoyer un email). Cette offre ne permet pas dinterconnecter un rseau local, mais une poste seul. Dans cette offre le modem est connect directement entre le filtre ADSL et lordinateur se connectant lInternet. 3.3.3.2 Loffre NETISSIMO II Taill pour interconnecter un rseau local, loffre NETISSIMO II offre un dbit de 1000 Kbps en voie descendante (c'est--dire lorsque vous consultez des documents sur Internet ou que vous envoyez des emails) et de 256 Kbps en voie ascendante (cest--dire lorsque vous envoyez des informations sur Internet ou que vous envoyer un email). Dans cette offre, la seule diffrence avec NETISSIMO II est quau lieu de connecter un ordinateur derrire le modem ADSL, on connecte un dispositif rseau appel routeur qui est lui-mme connect au rseau local. Il est galement fortement recommand dajouter tous les dispositifs ncessaires afin dassurer la scurit et la confidentialit des donnes du rseau local. Ces dispositifs sont gnralement concentrs au goulot dtranglement que constitue laccs vers Internet. On les appelle des FireWalls. 3.3.3.3 Les fournisseurs daccs Internet proposant lADSL Aprs avoir fait install la ligne ADSL avec son filtre, son modem et ventuellement son routeur et son firewall, il faut encore avant de pouvoir utiliser sa ligne ouvrir un abonnement auprs dun fournisseur daccs Internet (FAI). Les abonnements ont un cot diffrent en fonction de si lon a opt pour une ligne NETISSIMO I ou pour une ligne NETISSIMO II. Les autres lments pouvant influer sur le cot de labonnement au FAI sont principalement la demande dune adresse IP fixe plutt quune adresse IP dynamique attribu par votre FAI pour une dure finie, et qui peut changer une fois ce dlai dpass. Lintrt dobtenir une adresse IP fixe auprs de votre FAI tient surtout si vous souhaitez utiliser votre ligne Internet pour les besoins suivants : Mettre disposition sur le rseau Internet un serveur fournissant de linformation (serveur web, serveur de messagerie, ect.) se trouvant dans vos locaux. Permettre des personnes distantes daccder votre systme dune manire scurise, authentifie, et crypte par le biais du mcanisme appel VPN. (virtual private network), rseau priv virtuelle en franais. [AD 01]

- 36 -

Chapitre 3: Connectivit dans les infrastructures critiques

Figure 5 : Accs au rseau local par un tunnel VPN

3.3.4 Conclusion
Pour sinterconnecter de manire permanent et haut dbit au rseau Internet, les solutions ADSL restent le plus fiables et dun moindre cot.

3.4 VPN
3.4.1 Introduction
Le but dun rseau virtuel (VPN) est de fournir aux utilisateurs et administrateurs du systme dadministration des conditions dexploitation, dutilisation et de scurit travers un systme public identique celle disponible sur un rseau prive. En dautres termes, on veut regrouper des rseaux privs, spar par un rseau public (Internet) en donnant lillusion pour lutilisateur quils ne sont pas spars, et tout en gardant laspect scuris qui tait assur par la coupure logique au rseau Internet. Un VPN est une technologie rseau qui cre un tunnel chiffr entre une machine sur Internet dote dune adresse IP quelconque et une passerelle daccs dun rseau priv. La machine distante se voie dote lors de ltablissement du tunnel dune adresse supplmentaire appartenant au rseau priv quelle cherche atteindre.

3.4.2 Tunnel
Le tunnel est une composante indispensable des VPN ; la problmatique est la suivante : on va relier deux rseaux privs qui sont spars par un rseau public (Internet), de faon transparente pour lutilisateur. Lutilisateur utilisera ainsi des interfaces rseaux virtuels et aura lillusion de discuter directement avec le rseau qui se trouve, en fait de lautre ct dInternet. La solution technique utilise, dans la plupart des cas, pour mettre en oeuvre des tunnels est l'encapsulation de protocoles.

- 37 -

Chapitre 3: Connectivit dans les infrastructures critiques

Figure 6 : Tunnel interconnectant le sous rseau A au sous rseau B

3.5 Assurer une qualit de service la demande

Les rseaux convergent aujourdhui vers une architecture commune exploitant le protocole Internet. Ce protocole conu pour le transport asynchrone de donnes informatiques na cependant pas t prvu pour des applications prsentant des contraintes temps rel. Les dfauts rencontrs sur les rseaux IP (dlai, gigue, perte des paquets et variation de la bande passante) ne pourrant pas tre surmonts sans une rnovation profonde de larchitecture et son adaptation aux nouvelles applications tlphonie, audio, vido la demande Avec lexplosion du trafic Internet et son volution vers un rseau commercial multiservice, les utilisateurs dInternet sont devenus des clients avec des exigences fortes en matire de qualit de service. Or larchitecture actuelle du rseau est limite dans la mesure o tous les paquets dinformation sont traits de la mme manire. Un rseau ayant un dbit lev permet dassurer une excellente qualit de service avec des modles de service adapts aux besoins de nouvelles applications.

3.5.1 Le rseau multimdia

LInternet multimdia qui intgrera voix, donnes et images dans une mme architecture doit voluer pour tre capable de rpondre aux nouveaux dfis et de garder en mme temps ses principes fondamentaux savoir la simplicit, la robustesse et luniversalit. 3.5.1.1 Les conditions de la qualit de service Laugmentation de la QoS : Pour rsoudre le problme de la qualit de service de lInternet, la recette pourrait tre dabord daugmenter la bande passante pour amliorer les performances. La puissance du processeur : Pour commuter des paquets des vitesses se chiffrant en trabits par seconde ou mettre en uvre des algorithmes de routage et

- 38 -

Chapitre 3: Connectivit dans les infrastructures critiques de gestion de priorit sophistique, il faut disposer des puissances de calcul la mesure des objectifs et des ambitions. La puissance de traitement semble donc comme la bande passante, quasi infini. Ladaptation en temps rel : Une large part du dlai et de la gigue lors de transmission de voix sur IP est due linadquation des terminaux aux applications audio temps rel. Llectronique conversion analogue digitale (A/D), les systmes dexploitation, les cartes son, ont t conus pour des applications traditionnelles et non pas pour le temps rel. Les interfaces rseaux et les modems sont tudis pour des paquets de donnes de grande taille et non pas pour des petits paquets de voix. De nouvelles technologies daccs large bande rseaux par cble (xDSL) ou sans fils doivent amliorer ces conditions. Les stratgies de bout en bout : Le rseau Internet est stupide et se contente de router les paquets individuellement sans notion de contexte ou de QoS alors que les terminaux sont intelligents et corrigent les dfauts de transmission dans le cas de service dbit constant (not par CBR, Constant Bit Rate). Les stratgies rseau : Les premires tentatives de modification du fonctionnement ont dimiter les mcanismes de QoS implants dj dans les rseaux ATM. Le groupe qui a travaill entre 94 et 97 a produit le protocole de rservation de ressources RSVP. Ce protocole est apparu trs vite non efficace. Dautres stratgies plus simples fondes sur des indices de priorit indiquant la classe de service du paquet reprsentent aujourdhui lavenir du rseau. Les recherches dans le domaine de la QoS sont destines aux VPN qui ne remplaceront vraiment les liaisons spcialises que lorsquils seront capables de garantir des spcifications strictes de QoS. Lintroduction de la complexit dans le rseau : Limplmentation de mcanismes de QoS dans le rseau aura des rpercutions importantes sur lvolution des quipements. La mise jour ultrieure ainsi que les services futurs devront tre compatibles avec les mcanismes implants dj dans les machines. Lintroduction de la complexit doit tre rversible.

3.5.2 Les solutions de la QoS

3.5.2.1 Les routeurs de priphrie Le routeur moyen perd une partie de ses prrogatives au profit de nouveaux quipements dextrmit, le routeur de priphrie qui sert de port dentre au sous rseau. Cest ce routeur qui calcule le chemin de routage qui affecte un indice de priorit au paquet et qui effectue ventuellement un contrle daccs. 3.5.2.2 Les flux diffrencis de paquets Lintroduction de mcanismes de ressources des classes de services (notes CoS) reprsente une volution certaine vers davantage dintelligence. Les routeurs de lInternet classique best effort traitent tous les paquets de la mme manire. Les routeurs de lInternet multimdia savent trier les paquets en fonction de leur indice CoS et leur apporter un traitement diffrenci. Les paquets subissent des contraintes de temps rel et seront servis en priorit et orients vers des files dattente garantissant la bande passante ncessaire. De mme, en cas de

- 39 -

Chapitre 3: Connectivit dans les infrastructures critiques congestion seront sacrifis en premier les paquets dapplication peu sensibles aux pertes. Ce que le routeur perd dun ct (le calcul du routage), il le gagne de lautre en se dotant de capacit de discernement et de traitement diffrenci des paquets. 3.5.2.3 La notification explicite Une volution prochaine pourrait introduire un mcanisme de notification explicite par laquelle un noeud informerait la source dun tat de congestion naissante, du montant de ressources disponibles un instant donn ou de sa capacit accepter et traiter les paquets de priorit leve.

3.6 Internet par satellite

3.6.1 Introduction
Les tlcommunications par satellites permettent de repousser les limites de la transmission de donnes par voie terrestre. De plus, la transmission de donnes seffectue par liaison directe assurant ainsi un service homogne et ceci quelque soit la position de lutilisateur. Tlvision, radio, Internet et multimdia, communications dentreprise et services de communication mobiles, le satellite peut tre utilis pour un large ventail dapplication, dont la coexistence peur tre particulirement avantageuse. En effet, TV, radio, Internet et multimdia peuvent tre combins en une seule offre, ce qui permet de rduire les cots des quipements et des services. A ces avantages, il peut tre rajout dautres atouts comme une qualit de service exceptionnelle, une rentabilit apprciable ou une large capacit de transmission. Les informations entre la terre et le satellite sont transmises par ondes lectromagntiques. Au fur et mesure, ces ondes se propagent le long du trajet radiolectrique (Terre/satellite) et subissent un affaiblissement (pour un trajet de 36 000 kilomtres correspond peu prs la distance entre un point de la terre et un satellite gostationnaire, lintensit dune onde radio de 100 W lmission nest plus quun 1/ (2.1014) Watt par mtre carr la rception). La principale fonction des antennes utilises dans les systmes de tlcommunications par satellite est de compenser la perte de puissance du signal qui se produit lors de son mission du sol vers lespace (et vice versa). Les antennes spatiales installes au bord des satellites gostationnaires peuvent mettre, recevoir, ou les deux la fois. La conception dune antenne dpend des exigences de la mission, lesquelles deviennent de plus en plus complexes. Elles sont caractrises par le nombre de zones de services, la bande passante, la rutilisation des frquences, la connectivit des canaux entre les zones de service, la flexibilit et la tenue en puissance. Pour rpondre de nombreuses applications, le satellite embarque une multitude dariens comme le montre la Figure ci dessous. [RG 03]

- 40 -

Chapitre 3: Connectivit dans les infrastructures critiques

Figure 7 : Reprsentation des antennes embarques sur un satellite

L'Internet par satellite devient plus en plus un besoin et mme une ncessit avec la dmocratisation des WebTV, des Streaming de plus en plus gourmand en bande passante et des sites web toujours plus riche en contenu multimdia.

3.6.2 L'quipement ncessaire

Bien que des exprimentations soient actuellement menes sur la transmission de donnes bidirectionnelle entre un PC et un satellite, le matriel le plus frquemment utilis dans le cadre d'une utilisation rsidentielle reste la carte de rception DVB-MPEG2 et le modem tlphonique pour la remonte des requtes vers les serveurs du fournisseur d'accs. Il existe maintenant une large gamme de cartes offrant plus ou moins de fonctionnalit.

3.6.3 Le fonctionnement
Le principe de fonctionnement de l'Internet par satellite est simple. A l'inverse de la connexion par modem tlphone standard, vous n'avez qu'un interlocuteur : les serveurs Proxy de votre fournisseur d'accs situ la station d'mission (appele aussi station d'Uplink ). En effet, l ou un internaute utilisant une connexion par modem entrera en contact avec diffrents serveurs dissmins sur le rseau mondial Internet, un internaute communiqu par satellite ne communiquera qu'avec un seul serveur qui est charg de rcuprer les demandes de l'abonn et de lui retransmettre le rsultat de ses requtes par la voie des aires. Inconvnient en cas de panne du serveur de la station d'mission. La fiabilit du matriel du fournisseur d'accs devient alors un lment non ngligeable.

3.6.4 Les serveurs Proxy

Les serveurs Proxy sont les serveurs chargs de surfer la place de l'internaute. Ces serveurs appels aussi cache , rcuprent les fichiers et donnes demandes par un

- 41 -

Chapitre 3: Connectivit dans les infrastructures critiques abonn. Les donnes ainsi rcoltes sont ensuite transmises diffrentes machines dont la tche et de les encapsuler en DVB-MPEG-2 avec un code d'identification unique afin que seul l'abonn ait effectu la requte reue son fichier. Bien souvent, l'adresse MAC de la carte de rception DVB-MPEG-2 est utilise pour identifier l'abonn.

3.6.5 Le Push
Autre possibilit intressante de la rception de donnes par satellite vers un microordinateur : le PUSH de donnes. Ce mode de rception rejoint compltement l'utilisation d'un satellite de faon normale . Lintrt de l'utilisation d'un satellite est la possibilit de toucher des millions d'utilisateurs (ou spectateurs) en un seul envoi de donnes. A l'inverse, en utilisation point point (principe de base de l'Internet), le service du satellite ne sera utilis que pour une seule personne isole. Le mode PUSH peut donc tre utilis pour mettre des donnes intressant un large public. On peut donc imaginer l'envoi de certaines de sites Internet vers tous les postes d'un groupe d'abonns ayant les mmes centres d'intrt. Par ailleurs, l'utilisateur n'a plus besoin d'effectuer des requtes sur les serveurs Proxy de son fournisseur d'accs et par consquent, n'a mme plus besoin de se connecter l'Internet pour recevoir des donnes.

3.6.6 Les dbits

Sur un satellite, un transpondeur dispose d'une capacit de 34 Mb, ce qui correspond une connexion Internet trs haut dbit souvent utiliss par les fournisseurs d'accs Internet terrestre ou de grandes socits ncessitant des haut dbits pour l'change de donnes entre diffrents sites loigns. Cette bande passante est alors partage par le nombre d'abonns utilisant simultanment les services de son fournisseur d'accs. En heure de pointe, cette bande passante peut tre mise mal si chaque abonn dispose lui mme d'un matriel de rception et d'mission haut dbit. En thorie, une carte de rception DVB MPEG-2 accepte jusqu' 45 MB par seconde! Un abonn pourrait alors consommer l'intgralit de la bande passante lui tout seul... Le fournisseur d'accs limite alors le dbit maximum par utilisateur en effectuant diffrents rglages la station d'mission.

3.6.7 L'avenir
Des socits prparent plus ou moins discrtement des services d'accs Internet par satellite pour le grand public dont les lancements commerciaux sont prvus pour les mois venir. Mais l'chec de certains pionniers a la matire de prouver qu'il n'est pas facile de proposer des services d'accs Internet par satellite en point point en utilisant une technologie tudie pour de la diffusion de masse, autrement dit : le multi-point.

- 42 -

Chapitre 4 Gestion de la scurit

- 43 -

Chapitre 4 : Gestion de la scurit

4.1 Introduction
Il faut assurer la scurit des infrastructures critiques lors de la connexion. Les systmes de commande et lacquisition de donnes embarqus dans les infrastructures critiques sont menacs par des attaques externes. Une architecture scurise est ncessaire lors de ltablissement de la connectivit. Il faut mettre en application des architectures plus bloques et des technologies de scurit, par exemple, en segmentant le rseau par des pare-feu robustes, utilisant lauthentification forte, mettant en application les programmes efficaces de gestion de la scurit qui incluent la scurit de tous les systmes de commande. Une solution aux problmes de la scurit est le firewall. Ce dispositif dispose de rgles lui permettant de savoir comment ragir en fonction des donnes qui transitent par lui. Par exemple, sil dtecte un paquet en provenance dInternet qui possde une adresse IP correspondant une adresse du rseau local (cas de figure ou quelquun essayerait de pntrer sur le rseau local depuis lextrieur en falsifiant ladresse source afin de faire croire quil est non pas sur Internet, mais sur le rseau local), le firewall rejettera le paquet dtectant une anomalie. Parmi les autres fonctionnalits potentielles dun firewall, on notera la possibilit de mettre en place des tunnels VPN. Les VPN (Virtual Private Network) ou rseaux privs virtuelles en franais, permettant dtablir un tunnel de donnes crypts et authentifis entre un utilisateur distant et le rseau local tout en passant par lInternet.

4.2 Les dispositifs de la scurit

4.2.1 Les pare-feu
4.2.1.1 Dfinition et fonctionnement Un pare-feu (firewall, en anglais) est un dispositif matriel et/ou logiciel qui implmente la fonction de scurit de contrle daccs. Un pare-feu est donc un dispositif pour filtrer les accs, les paquets IP, les flux entrant et sortant dun systme. Un pare-feu est install en coupure sur un rseau lorsquil sert de passerelle filtrante pour un domaine la frontire dun primtre ferm. Un pare feu est un systme permettant de filtrer les paquets de donnes changs avec le rseau, il s'agit aussi d'une passerelle filtrante comportant au minimum les interfaces rseaux suivante: Une interface pour le rseau protger (rseau interne). Une interface pour le rseau externe. Un pare-feu met en vigueur une politique de scurit qui laisse passer, ou arrte les trames ou les paquets dinformation selon cette politique. Il peut donc autoriser ou empcher des communications selon leur origine, leur destination ou leur contenu. Dans la pratique, un pare-feu lit et analyse chacun des paquets qui arrivent. Aprs analyse, il dcide du passage ou de larrt selon ladresse IP de lmetteur, du rcepteur, selon le

- 44 -

Chapitre 4 : Gestion de la scurit type de transport (TCP ou UDP) et le numro de port, en relation avec le type dapplication rseau. Quand la politique de scurit ne concerne que les couches basses, la seule analyse du paquet permet dautoriser, de rejeter ou dignorer le paquet. Quand la politique dcrit des rgles de scurit qui mettent en jeu le transport fiable, les sessions ou les applications, le pare feu doit connatre ltat momentan de la connexion et doit garder en mmoire de nombreux paquets pendant un certain temps de faon quil puisse dcider de lautorisation ou du rejet des paquets. Les pare-feu ont des limitations : ils doivent tre trs puissants en termes de ressources pour ne pas ralentir le trafic, dans un sens ou dans un autre, puisquils ont en coupure sur le rseau. Ils ne doivent pas tre court-circuits par dautres passerelles ou des modems connects directement lextrieur. Ils sont des bastions , c'est--dire des cibles pour les attaquants qui peuvent les assaillir pour saturer leur ressource. Un pare-feu doit possder un systme de journalisation (.log) sophistiqu a posteriori tous les faits importants qui jalonnent la vie de cette passerelle filtrante : tentatives dintrusion, vnements anormaux, attaques par saturation, par balayage. Un pare feu est en gnral architectur de telle manire que lon puisse distinguer physiquement les communications avec lextrieur, celles avec le rseau protger et enfin celles qui sont dvies vers une zone tampon de parking, souvent appele zone dmilitarise (DMZ en anglais), cest dans cette zone quon place le site web, ouvert lInternet, labri dun pare-feu, mais nettement spar du rseau interne protger. Il convient d'ailleurs de dire ici qu'il n'existe aucun systme de scurit qui soit infaillible 100%. Tout logiciel, qu'il soit de type firewall ou de type chiffrement d'information peut tre cass. Mais il suffit que les besoins financiers mettre en uvre pour ce faire soient suprieurs la valeur marchande estime des informations en notre possession pour que le systme soit considr comme fiable. [OA 97] 4.2.1.2 Les types de firewalls Packet filter : Le packet filter, comme son nom l'indique, filtre les paquets dans les deux sens. Pour ce faire, il utilise des fonctions de routage interne classiques. Ce sont des protections efficaces, mais pas toujours suffisantes. Certaines attaques complexes peuvent djouer les rgles. Screening router : Evite le IP spooffing en vrifiant que les adresses d'origine des paquets qui arrivent sur chaque interface sont cohrentes et il n'y a pas de mascarade. Exemple: un paquet qui a une adresse de votre rseau interne et qui vient de l'extrieur est un Spoofed Packet. Il faut le jeter et prvenir le plus vite l'administrateur qu'il y a eu tentative d'attaque.

- 45 -

Chapitre 4 : Gestion de la scurit

4.2.2 Les systmes de dtection et de prvention de lintrusion

Un systme de dtection dintrusion (IDS en anglais), est un dispositif matriel et/ou logiciel de surveillance qui permet de dtecter en temps rel et de faon continue des tentatives dintrusion en temps rel, dans un SI ou dans un ordinateur seul, de prsenter des alertes ladministrateur, voire pour certains IDS plus sophistiqu, de neutraliser ces pntrations ventuelles et de prendre en compte ces intrusions afin de scuriser davantage le systme agress. Un IDS ragit en cas danomalie, condition que le systme puisse bien identifier les intrus externes ou internes qui ont un comportement anormal, en dclenchant un avertissement, une alerte, en analysant ventuellement cette intrusion pour empcher quelle ne se reproduise, ou en paralysant mme lintrusion. Un IDS est un capteur informatique qui coute de manire furtive le trafic sur un systme, vrifie, filtre et repre les activits anormales ou suspects, ce qui permet ultrieurement de dcider daction de prvention. Sur un rseau, lIDS est souvent rparti dans tous les emplacements stratgiques du rseau. Les techniques sont diffrentes selon que lIDS inspecte un rseau ou que lIDS contrle lactivit dune machine (hte, serveur). Sur un rseau, il y a en gnral plusieurs sondes qui analysent de concert, les attaques en amont dun pare-feu ou dun serveur. Sur un systme hte, les IDS sont incarns par des dmons ou des applications standards furtives qui analysent des fichiers de journalisation et examinent certains paquets issus du rseau. Il existe deux grandes familles distinctes d'IDS: Les N-IDS (Network Based Intrusion Detection system), ils assurent la scurit au niveau du rseau. Les H-IDS (Host Based Intrusion Detection system), ils assurent la scurit au niveau des htes. Un N-IDS ncessite un matriel ddi et constitue un systme capable de contrler les paquets circulant sur un ou plusieurs liens rseau dans le but de dcouvrir si un acte malveillant ou anormal a lieu. Le H-IDS rside sur un hte particulier et la gamme de ces logiciels couvre donc une grande partie des systmes d'exploitation tels que Windows, Linux, ect... Le H-IDS se comporte comme un dmon ou un service standard sur un systme hte. Traditionnellement, le H-IDS analyse des informations particulires dans les journaux de logs (syslogs, messages, lastlogs...) et aussi capture les paquets rseaux entrant/sortant de l'hte pour y dceler des signaux d'intrusion (Dni de services, Backdoors, chevaux de troie...).

- 46 -

Chapitre 4 : Gestion de la scurit

4.3 VPN
4.3.1 Introduction
Les entreprises et les organisations possdent en gnral plusieurs sites gographiques qui travaillent conjointement en permanence. Dans chaque site gographique, les utilisateurs sont connects ensemble grce un rseau local. Ces rseaux locaux sont souvent connects via Internet. En outre, certains utilisateurs peuvent vouloir se connecter aux rseaux de lentreprise en tant lextrieur chez un client ou en dplacement. Il existait autrefois des liaisons physiques spcialises, qui sont maintenant abandonnes au profit de liaisons logiques. Un rseau virtuel priv (Virtual Private Network, en anglais do labrviation VPN) consiste en fabrication dun tunnel logique qui sera contract par les communications de lentreprise, lesquelles seront vhicules dans cette tranche numrique construite sur un rseau frquent par dautres usagers. Dans la pratique, il sagit dun artifice, car les donnes vont utiliser un chemin ordinaire, emprunt par tout le monde, mais ces donnes chiffres et taggues seront scurises, limage du transport de containers plombs sur une route. Le caractre priv du rseau est donc compltement virtuel puisquil ne sagit pas de liaison physique spcialise. Le caractre priv est cr par un protocole cryptographique (IPSec ou PPTP). Un VPN est donc une communication scurise entre deux points dun rseau public, do lexpression de tunnel. Un VPN fournit un service fonctionnellement quivalent un rseau priv, en utilisant les ressources partages dun rseau public. Les rseaux VPN Internet sont utiliss dans plusieurs types dapplication : Intranet tendus, Extranet, accs distants. Des tunnels empruntent le rseau Internet et assurent une scurit robuste des changes de donnes : authentification forte des quipements VPN source et destination, intgrit et confidentialit des donnes changes. VPN fournit aux utilisateurs et administrateurs du systme d'information des conditions d'exploitation, d'utilisation et de scurit travers un rseau public identiques celles disponibles sur le rseau priv. Parmi les protocoles VPN les plus utiliss, on peut citer : VPN IPSec et VPN SSL

- 47 -

Chapitre 4 : Gestion de la scurit

Figure 8 : Diffrents applications VPNS

4.3.2 IPSec
IPSec est un protocole destin fournir diffrents services de scurit. Son intrt principal reste sans contexte son mode de tunneling, c'est--dire dencapsulation dIP qui lui permet entre autres choses de crer des rseaux privs virtuels (ou VPN en anglais). Citons quelques proprits gnrales des tunnels destines aux VPNs : Les donnes transitant sont chiffres (confidentialit) et protges (intgrit) Les 2 extrmits sont authentifies Les adresses sources et destination sont chiffres Il ne faut pas ngliger les aspects pratiques tels que la charge processeur d au chiffrement, le dbit thorique possible, loverhead induit et donc le dbit effectif De plus IPSec nest pas le seul protocole permettant dtablir des tunnels, il en existe dautres comme les point--point tel que L2TP, L2F ou encore PPTP qui peut induire un overhead non ngligeable. IPSec est un protocole au niveau de la couche rseau qui offre : Intgrit des paquets : les paquets sont protgs de sorte que tous les changements pendant leur transmission aient pu tre dtects. Confidentialit des paquets : les paquets sont chiffrs avant dtre transmis sur les rseaux.

- 48 -

Chapitre 4 : Gestion de la scurit Authentification dorigine des paquets : les paquets sont protgs pour sassurer quils sont envoys par lexpditeur souhait.

4.3.3 SSL
SSL (Secure Sockets Layers) est un procd de scurisation des transactions effectues via Internet. Il repose sur un procd de cryptographie par clef publique afin de garantir la scurit de la transmission de donnes sur Internet. Son principe consiste tablir un canal de communication scuris entre deux machines (un client et un serveur) aprs une tape d'authentification. Le systme SSL est indpendant du protocole utilis, ce qui signifie qu'il peut aussi bien scuriser des transactions faites sur le Web par le protocole HTTP que des connexions via le protocole FTP, POP ou IMAP. En effet, SSL agit telle une couche supplmentaire, permettant d'assurer la scurit des donnes, situes entre la couche application et la couche transport (protocole TCP par exemple).

4.3.4 Utilisation de IPsec et SSL

IPsec et SSL sont les protocoles de scurit les plus utiliss sur internet. Nanmoins ces deux protocoles prsentent de grandes diffrences : Niveaux doprations : IPsec est un protocole de niveau rseau tandis que SSL est un protocole de niveau applicatif. Cette diffrence est le point de divergence essentiel. Primtre scuris : oprant deux niveaux diffrents, SSL offre des services de scurit limits TCP tandis que IPsec supporte nimporte quel trafic, TCP, UDP ou autre. De mme SSL scurise une application donne tandis quIPsec scurise plusieurs applications simultanment. Support dinstallation : Un grand avantage de SSL est labsence de logiciel supplmentaire ct client, un grand nombre de navigateurs supportant nativement HTTPS (hTTP sur SSL). A linverse IPsec requiert ce jour le dploiement de logiciels spcifiques. Dun point de vue scurit, il ny pas une grande diffrence entre SSL et IPsec qui partagent les mmes algorithmes. Etablir un VPN SSL ou un VPN IPsec dpend alors essentiellement des besoins des utilisateurs.

4.4 Un systme VPN bien administr

Trois points cls pour russir l'administration d'un VPN, sont: la scurit, l'administration et le dynamisme. Le dploiement de rseaux privs sur des infrastructures partages voire publiques comme Internet ncessite des prcautions impratives pour protger les systmes connects l'infrastructure partages et les changes qui vont prendre place sur cette infrastructure. Les solutions retenues s'appuient sur plusieurs protocoles de scurit, tel que L2TP, PPTP ou encore IPsec. IPsec, une suite de protocoles de scurit dfinie par l'IETF, est le protocole utilis dans notre approche grce ces avantages sur les autres protocoles.

- 49 -

Chapitre 4 : Gestion de la scurit Dautres part, ltude dune solution VPN, ncessite une bonne matrise de larchitecture du rseau modifier ou construire. Ladministration est un lment cl au dploiement des VPNs et tout particulirement tout ce quil concerne les services de groupes de communications. La mise en place dune solution bien administre est relie avec les points suivants : Politique: le systme dadministration doit avoir le pouvoir de convertir les politiques de configuration des rgles appliques sur les passerelles VPNs. La scurit et lattnuation des attaques sont aussi bases sur les politiques. Configuration : lapprovisionnement et la configuration des quipements VPN doivent tre fait dune manire automatise et applique sur les passerelles VPNs. Dploiement rentable : dans un systme administr, il faut avoir un mcanisme pour envoyer, dployer, et mettre jour les fichiers de configuration. Connaissance des topologies VPNs: plusieurs types de topologie doivent tre supports. On distingue les VPN maills et les VPN en toile qui correspond respectivement des topologies de liaisons virtuelles entre sites de type n vers m (rseau maill) soit de type n vers 1 (rseau en toile). Surveillance : lenvironnement scuris doit tre mise sous contrle et sous surveillance. Une automatisation de la supervision et de ladministration des quipements VPN installs sur les sites des utilisateurs finales. En gnral, ladministration est avant tout une problmatique de connectivit rseau et dinfrastructure IP. Certains problmes spcifiques lis la technologie utilise compliquent la mise en uvre, par exemple, la diffusion des fichiers de configuration IPsec bien cohrents entre les diffrents quipements VPN distribus sur lInternet.

- 50 -

Conclusion gnrale

- 51 -

Conclusion gnrale

Au cours de cette tude, nous avons prsent diffrentes mthodes et technologies pour connecter une infrastructure au rseau et lintrt dutiliser des lignes de communication spciales (ADSL, VPN, ect) et des protocoles afin de raliser la scurit et doffrir un haut dbit ncessaire pour le fonctionnement en temps rel. Les travaux de recherche dans ce domaine ont pour objectif dtudier les diffrents points qui servent raliser la connectivit des infrastructures critiques. Les principales tapes dune tude dune recherche applique la connectivit ont t abordes au cours de ce mmoire. Tout dabord, une tude gnrale sur quelques aspects a t propose dans le chapitre 1 afin de mettre en vidence les besoins de protection des rseaux contre les attaques et offrant un haut dbit et une interaction acceptable. La scurit en gnrale a t tudie aussi en mettant laccent sur les dispositifs ncessaires et en utilisant la cryptographie comme technique de calcul en temps rel. Le chapitre 3 traite la connectivit dans les infrastructures critiques par lutilisation des mthodes efficaces et des technologies scurises et fonctionnant en temps rel. La connectivit Internet par satellite a t traite comme un exemple dinfrastructure critique. Dans le chapitre 4, la gestion de la scurit a t prsente. Les diffrentes tapes lies la conception et la ralisation de cet objectif ont t traites. Plusieurs perspectives peuvent tre avances lissue de cette tude. La gestion de la scurit en respectant la qualit de service serait une premire amlioration. Aussi, la proposition des architectures matrielles pour scuriser les systmes embarqus serait un deuxime point.

- 52 -

Bibliographie

- 53 -

Bibliographie [DD 04] Damien DEVILLE- Un systme dexploitation temps rel extensible pour carte microprocesseur - Thse de doctorat, Universit des sciences et technologies de Lille, dcembre 2004. [ES 05] Emmanuel SIMEU Test et surveillance intgrs des systmes embarqus - Diplme dhabilitation diriger des recherches, universit Joseph Fourrier de Grenoble, le 22 septembre 2005. [OA 97] Olivier Andrieu- Internet guide de connexion - Eyrolles, 3me dition 1997-ISBN : 2-212-08928-7 [UIT 03] Union internationale des tlcommunications- Le rapport essentiel sur la tlphonie IP . [LC 05] Lina AL-CHAAL- Dynamic and Easily Manageable Approach for Secure IP VPN Environments Thse de doctorat, institut national polytechnique de Grenoble, le 2 fvrier 2005. [RG 03] Rgis CHANTALAT- Optimisation dun rflecteur spatial a Couverture cellulaire par lutilisation dune bande interdite lectromagntique multisources. Thse de doctorat, universit de Limoges, novembre 2003. [FT 01] France Tlcom- Rseau VTHD, lInternet vraiment trs haut dbit -, paris, le 9 mai 2001. [GB 05] Gilles BROUSSILLON- AUTONOMIC COMPUTING , Etude dapprofondissement, Master 2, Gnie informatique, Universit Joseph Fourrier, Grenoble, Novembre 2005. [MR 06] Michel RIGUIDEL- La scurit des rseaux et des systmes , Paris, 2005-2006. [AD 01] Alain DESEINE- Accder Internet via ADSL , janvier 2001.

Nous vous suggrons de visiter:

www.commentcamarche.fr : Un site informatique offrant des informations utiles

surtout des cours sur le rseau.

- 54 -