diff --git a/Assets/Images/DNSSEC-DNS_poisoning.png b/Assets/Images/DNSSEC-DNS_poisoning.png new file mode 100644 index 0000000..258e6b1 Binary files /dev/null and b/Assets/Images/DNSSEC-DNS_poisoning.png differ diff --git a/Assets/Images/DNSSEC-Exemple.png b/Assets/Images/DNSSEC-Exemple.png new file mode 100644 index 0000000..d21fcda Binary files /dev/null and b/Assets/Images/DNSSEC-Exemple.png differ diff --git a/Assets/Images/DNSSEC-RRset.png b/Assets/Images/DNSSEC-RRset.png new file mode 100644 index 0000000..57ba282 Binary files /dev/null and b/Assets/Images/DNSSEC-RRset.png differ diff --git a/Assets/Images/DNSSEC-RRsig.png b/Assets/Images/DNSSEC-RRsig.png new file mode 100644 index 0000000..de63acc Binary files /dev/null and b/Assets/Images/DNSSEC-RRsig.png differ diff --git a/Assets/Images/DNSSEC-ZSK_KSK.png b/Assets/Images/DNSSEC-ZSK_KSK.png new file mode 100644 index 0000000..bb64a48 Binary files /dev/null and b/Assets/Images/DNSSEC-ZSK_KSK.png differ diff --git a/Assets/Images/DNSSEC-man-in-the-middle_attack.png b/Assets/Images/DNSSEC-man-in-the-middle_attack.png new file mode 100644 index 0000000..e8bb120 Binary files /dev/null and b/Assets/Images/DNSSEC-man-in-the-middle_attack.png differ diff --git "a/Assets/Images/MQTT_publish-subscribe_sh\303\251ma.png" "b/Assets/Images/MQTT_publish-subscribe_sh\303\251ma.png" new file mode 100644 index 0000000..23805d2 Binary files /dev/null and "b/Assets/Images/MQTT_publish-subscribe_sh\303\251ma.png" differ diff --git "a/Assets/Images/Mod\303\250le_OSI.png" "b/Assets/Images/Mod\303\250le_OSI.png" new file mode 100644 index 0000000..322f82c Binary files /dev/null and "b/Assets/Images/Mod\303\250le_OSI.png" differ diff --git a/Assets/Images/Paquet_IPv4_ICMP.png b/Assets/Images/Paquet_IPv4_ICMP.png new file mode 100644 index 0000000..427ac12 Binary files /dev/null and b/Assets/Images/Paquet_IPv4_ICMP.png differ diff --git a/Assets/Images/SNMP_MIB_OID.png b/Assets/Images/SNMP_MIB_OID.png new file mode 100644 index 0000000..d63df5c Binary files /dev/null and b/Assets/Images/SNMP_MIB_OID.png differ diff --git a/Assets/Images/SNMP_schema.png b/Assets/Images/SNMP_schema.png new file mode 100644 index 0000000..cee0d77 Binary files /dev/null and b/Assets/Images/SNMP_schema.png differ diff --git a/Assets/Images/SNMP_trame_request.png b/Assets/Images/SNMP_trame_request.png new file mode 100644 index 0000000..d328675 Binary files /dev/null and b/Assets/Images/SNMP_trame_request.png differ diff --git a/Assets/Images/SNMP_trame_response.png b/Assets/Images/SNMP_trame_response.png new file mode 100644 index 0000000..00eaa06 Binary files /dev/null and b/Assets/Images/SNMP_trame_response.png differ diff --git a/Assets/Images/SchemaH323.png b/Assets/Images/SchemaH323.png new file mode 100644 index 0000000..dbb653c Binary files /dev/null and b/Assets/Images/SchemaH323.png differ diff --git a/Assets/Images/SchemaSIP.png b/Assets/Images/SchemaSIP.png new file mode 100644 index 0000000..f0cd28f Binary files /dev/null and b/Assets/Images/SchemaSIP.png differ diff --git a/Assets/Images/conversation POP3.PNG b/Assets/Images/conversation POP3.PNG new file mode 100644 index 0000000..19f8d90 Binary files /dev/null and b/Assets/Images/conversation POP3.PNG differ diff --git a/Divers/WSL2.md b/Divers/WSL2.md new file mode 100644 index 0000000..3cb870b --- /dev/null +++ b/Divers/WSL2.md @@ -0,0 +1,62 @@ +# Le WLS2 : + +## Qu'est-ce que c'est ? + +Disponible depuis 2016, WSL qui signifie "Windows Subsystem for Linux", est comme son nom l'indique, +un outil permettant de faire tourner un environnement GNU/Linux directement dans Windows. C'est un système bien plus pratique pour accéder à linux +qu'un dual boot où de devoir créer une machine virtuelle. + +Pour en profiter, il suffit d'activer la virtualisation sur son processeur dans le BIOS puis, après la simple commande PowerShell `wsl --install`, +WSL est prêt à être utilisé. Il ne reste donc plus qu'à choisir parmi les distributions disponibles dans le Microsoft store pour pouvoir avoir accès +à une machine linux profondément intégrée à Windows. + +## Comment ça marche ? + +Pour comprendre WSL il faut s'intéresser à ses différentes versions, car en effet le fonctionnement de WSL a changé depuis sa création. + +A son lancement en 2016, WSL1 était une "Couche de compatibilité" pour faire tourner des fichiers binaires exécutables (ELF) nativement sur Windows 10. Aucune recompilation où portage des applications n'est nécessaire. WSL1 fournit un kernel compatible avec linux qui opère par dessus le kernel de Windows et qui va exécuter les fichiers binaires Linux. WSL1 va ensuite traduire les appels systèmes linux en appels systèmes Windows. Les applications Linux tournent dans les distributions qui fournissent toutes les dépendances et paquets nécessaires, un peu comme des conteneurs. + +WSL1 a une approche semblable a Wine, qui est une couche de compatibilité bien connue permettant de faire tourner des exécutables Windows sur Linux en implémentant les appels systèmes et API des Windows dans des librairies. + +En 2019, Microsoft annonce WSL2 qui possède un véritable kernel Linux basé sur la technologie Hyper-V. Ce qui se rapproche plus donc de la virtualisation plus "classique". Cette transition a permis un meilleur support des applications ainsi que de meilleures performances du file systeme. + +Un kernel est une partie du système d’exploitation qui permet de gérer les ressources système et de faire le lien entre le matériel (hardware) et les logiciels (software) + +Le fonctionnement de WSL2 est semblable à celui de Docker, le kernel est partagé entre toutes les instances de linux mais la mémoire et les file systèmes sont différents. Cela permet de lancer une machine très rapidement car tout le système ne doit pas démarrer. + +D’ailleur, en extractant le fichier .tar d’une distribution depuis une image Docker et en l’important dans WSL2, on peut faire tourner d’autres distributions que celles disponibles dans le microsoft store. Un des exemples les plus populaires de cette pratique est la distribution Arch linux. + +## À quoi ça sert ? + +WSL2 a de nombreuses utilisation très pratique qui améliore considérablement le confort d’utilisation de windows, pour le développement notamment. + +De nombreux développeurs préfèrent Linux a Windows pour les options et la liberté qu'il offre. Cependant, beaucoup préfèrent quand même la facilité et le confort de Windows au quotidien. Désormais, grâce à WSL2 il est possible de rester sous windows et de tout de même travailler dans la liberté qu’offre Linux. + +L'intégration de WSL2 et de Windows permet également de faciliter la gestion des fichiers des machines Linux, en effet depuis l’explorateur de fichier WIndows, une section en bas baptisée linux contient l'entièreté du file systeme de chaque distribution installée et permet de facilement retrouver et éditer des fichiers depuis windows. + +Mais cette possibilité fonctionne aussi dans les deux sens, depuis un terminal d’une des machines linux, on retrouve tout le file système de windows comme volume monté dans le répertoire /mtn/c/, cela permet donc de gérer tout son ordinateur windows grâce aux outils puissants que sont les commandes Unix. + +Un outil très pratique pour utiliser WSL2 c’est Vs code. Grâce à une extension fournie par microsoft, vs code permet de centraliser tous les outils pour utiliser WSL2, depuis une même fenêtre, on a accès à un ou plusieurs terminaux, a une arborescence de tous les file systeme de chaque distribution et à un éditeur de texte pour modifier des fichiers de config par exemple. + + + + + + + + + + +## Bibliographie : + +https://docs.microsoft.com/en-us/windows/wsl/compare-versions + +https://www.whitewaterfoundry.com/what-is-wsl#:~:text=WSL%20executes%20unmodified%20Linux%20ELF64,executes%20them%20at%20native%20speed. + +https://docs.microsoft.com/en-us/windows/wsl/use-custom-distro + +https://code.visualstudio.com/docs/remote/wsl + +https://docs.microsoft.com/en-us/windows/wsl/faq + +https://ling123labs.com/posts/WSL-files-in-Windows-and-vice-versa/ diff --git a/Divers/divers.md b/Divers/divers.md new file mode 100644 index 0000000..cf92681 --- /dev/null +++ b/Divers/divers.md @@ -0,0 +1,10 @@ +--- +layout: default +title: Divers +nav_order: 2 +has_children: true +--- +# Divers + +- [Gestionnaires de paquets](Divers/gestion-paquets.md) +- [WSL2](Divers/WSL2.md) diff --git a/Divers/gestion-paquets.md b/Divers/gestion-paquets.md new file mode 100644 index 0000000..e117e41 --- /dev/null +++ b/Divers/gestion-paquets.md @@ -0,0 +1,261 @@ +[Accueil Wiki](https://epheclln.github.io/Wiki-TI/) +# Gestionnaire de paquets +## Qu'est-ce qu'un gestionnaire de paquets ? + +Un gestionnaire de paquets est un outil qui permet à l'utilisateur d'installer, de désinstaller et de mettre à jour des logiciels via des paquets souvent prévus pour une distribution Linux. + +## Pourquoi utiliser un gestionnaire de paquets ? + +### Ils automatisent l'installation d'un logiciel. +Sans eux vous seriez obligé de télécharger le binaires d'une application, mettre ces derniers dans les bons dossiers, mettre à jour la variable d'environnement vous même (pour ne pas devoir donner le chemin absolu d'une application a chaque fois que vous voulez l'exécuter) et surtout ne pas devoir résoudre les dépendances d'une application vous-même. + +### Ils assurent que le logiciel soit 100% compatible avec votre distribution. +Imaginez-vous installer un logiciel qui ne fonctionne pas totalement car il utilise des librairies trop veilles voir même trop récente et que cause a ce dernier de ne pas fonctionner totalement voire même de rendre votre system instable, eh bien tout ces sont éviter grace à des paquets maintenue pour être complètement compatible avec votre distribution. À noter que la plupart des gestionnaires de paquets proposent un serveur avec des versions "instables" des paquets qui permettent à ceux qu'ils le veulent à avoir accès aux dernières nouveautés au prix d'un system peut-être moins stable. + +## Quels sont les principaux gestionnaires de paquets ?[1, 2, 3] + +| Nom du gestionnaire de paquets| APT | DNF | YUM | ZYPPER | Pacman | SNAP | FLATPAK | +|---|---|---|---|---|---|---|---| +| **Distribution liée** | Debian/Ubuntu | Fedora/CentOS/RedHat Linux | RedHat Linux | OpenSUSE | Arch Linux |

/

|

/

| +| **Installeur** | dpkg | RPM | RPM | RPM | pacman | snap | flatpak | +| **Fromat** | .deb | .rpm | .rpm | .rpm | .tar.xx |

/

|

/

| + +### À quoi servent les installeurs ? +Imaginons que, par exemple, vous soyez sur Debian, pour le cours de réseau vous avez besoin de packet tracer, pour ce faire vous allez sur le site de cisco et télécharger packet-tracer.deb, ce fichier est bien un paquet Debian mais il vous faut à présent l'installer, c'est là qu'entre en jeu l'application dpkg pour installer les paquets Debian. + +Un gestionnaire de paquets sans installeur ne ferait que télécharger sur un serveur les paquets demandés par l'utilisateur sans les installers. + +### Le cas Snap et Flatpak +Comme vous avez pu le voir Les gestionnaires de paquets Snap et Flatpak ne sont lié à aucune distribution, pourquoi cela ? + +La raison est que grace à la technologie de containerisation, chaque application vit dans son monde, ces gestionnaires de paquets permettent aux applications de toujours fonctionner dans le même environement et donc de ne pas être dépendant de leur distribution. + +Ces gestionnaires de paquets sont très clairement l'avenir car ils permettent au développeur de maintenir un seul paquet et de ne plus devoir résoudre les bugs spécifiques à une distribution. + +## Comment les utiliser ? + +### APT[4] + +* Mettre à jour les sources : + ``` + apt update + ``` +Permets de mettre à jour la liste des paquets disponible depuis le serveur source. +* Installer la dernière version des paquets installé sur le system : + ``` + apt upgrade + ``` +* Installer un nouveau paquet : + ``` + apt install *nom du paquet* + ``` +* Réinstaller un paquet : + ``` + apt reinstall *nom du paquet* + ``` +* Désinstaller un paquet : + ``` + apt remove *nom du paquet* + ``` + * L'argument `--purge` est souvent ajouté pour ne laisser aucun fichier du paquet désinstallé, mais peut aussi être utiliser pour un paquet déjà désinstallé avec la commande : + ``` + apt purge *nom du paquet* + ``` + +* Rechercher un paquet en particulier : + ``` + apt search *nom du paquet* + ``` +* Lister les paquets installés : + + ``` + apt list --installed + ``` +### DNF/YUM[5] + +* Mettre à jour les sources : + ``` + dnf/yum check-update + ``` +* Installer la dernière version des paquets installée sur le system : + ``` + dnf/yum upgrade + ``` +* Installer un nouveau paquet : + ``` + dnf/yum install *nom du paquet* + ``` +* Réinstaller un paquet : + ``` + dnf/yum reinstall *nom du paquet* + ``` +* Désinstaller un paquet : + ``` + dnf/yum remove *nom du paquet* + ``` + +* Rechercher un paquet en particulier : + ``` + dnf/yum search *nom du paquet* + ``` +* Lister les paquets installée : + + ``` + dnf/yum list --installed + ``` +### ZYPPER[6] + +* Mettre à jour les sources : + ``` + zypper refresh + ``` +* Installer la dernière version des paquets installée sur le system : + ``` + zypper update + ``` +* Installer un nouveau paquet : + ``` + zypper install *nom du paquet* + ``` +* Réinstaller un paquet : + ``` + zypper reinstall *nom du paquet* + ``` +* Désinstaller un paquet : + ``` + zypper remove *nom du paquet* + ``` + +* Rechercher un paquet en particulier : + ``` + zypper search *nom du paquet* + ``` +* Lister les paquets installés : + + ``` + zypper search --installed-only + ``` + +### PACMAN[7] + +* Mettre à jour les sources (non obligatoire) : + ``` + pacman -Syy + ``` +* Installer la dernière version des paquets installée sur le system : + ``` + pacman -Syu + ``` +* Installer ou réinstaller un paquet : + ``` + pacman -S *nom du paquet* + ``` +* Installer un paquet local : + ``` + sudo pacman -U */chemin/vers/le/paquet* + ``` +* Désinstaller un paquet : + ``` + pacman -R *nom du paquet* + ``` + +* Rechercher un paquet en particulier : + ``` + pacman -Ss *nom du paquet* + ``` +* Lister les paquets installés : + + ``` + pacman -Qm + ``` + +### SNAP[8] + Si votre distribution n'inclut pas snap par défaut, il vous faudra l'installer vous-même en fonction de votre distribution. + + Voici le lien : https://snapcraft.io/docs/installing-snapd + +* Mettre à jour les sources et installer la dernière version des paquets installée sur le system (automatique) : + ``` + snap refresh + ``` +* Installer un nouveau paquet : + ``` + snap install *nom du paquet* + ``` + +* Désinstaller un paquet : + ``` + snap remove *nom du paquet* + ``` + +* Rechercher un paquet en particulier : + ``` + snap find *nom du paquet* + ``` +* Lister les paquets installés : + + ``` + snap list + ``` + +### FLATPAK[9] + Comme pour snap, si votre distribution n'inclut pas flatpak par défaut, il vous faudra l'installer vous-même en fonction de votre distribution. + + Voici le lien : https://flatpak.org/setup/ + + L'un des plus gros avantages à souligner de flatpak est qu'il n'est pas obligatoire d'être `root` pour installer des paquets. + +* Mettre à jour les sources et installer la dernière version des paquets installée sur le system : + ``` + flatpak update + ``` +* Installer un nouveau paquet : + ``` + flatpak install *nom du paquet* + ``` + +* Désinstaller un paquet : + ``` + flatpak uninstall *nom du paquet* + ``` + +* Rechercher un paquet en particulier : + ``` + flatpak search *nom du paquet* + ``` +* Lister les paquets installés : + + ``` + flatpak list --app + ``` + +## Bibliographie + +1. [Gestionnaire de paquets](https://fr.wikipedia.org/wiki/Gestionnaire_de_paquets), [auteurs](https://xtools.wmflabs.org/articleinfo/fr.wikipedia.org/Gestionnaire_de_paquets#top-editors), 4 août 2022, consulté le 19 août 2022. + * Résumé : Explications de ce qu'est un gestionnaire de paquets. + * Avis sur la source : Explique très bien ce qu'est un gestionnaire de paquets. +2. [Introduction to Flatpak](https://docs.flatpak.org/en/latest/introduction.html), [auteurs](https://github.com/flatpak/flatpak-docs/blob/master/docs/introduction.rst), 7 avril 2021, consulté le 19 août 2022. + * Résumé : Explication sur ce qu'est flatpak. + * Avis sur la source : Source offiel qui explique bien ce qu'est flatpak. +3. [Everything You Need to Know About Snap and Snap Store](https://www.makeuseof.com/everything-you-need-to-know-about-snap-and-snap-store/), Yash Wate, 21 juin 2021, consulté le 19 août 2022. + * Résumé : Explication sur ce qu'est snap, comment il fonctionne, les avantages, les inconvénients et comment l'installer. + * Avis de la source : Article très complet sans être trop technique. +4. [Ubuntu man apt](https://manpages.ubuntu.com/manpages/jammy/man8/apt.8.html), Canonical, 2019, consulté le 19 août 2022. + * Résumé : Man de apt + * Avis de la source : Documentation officiel ubuntu. +5. [Using the DNF software package manager](https://docs.fedoraproject.org/en-US/quick-docs/dnf/), [auteurs](https://pagure.io/fedora-docs/quick-docs/history/modules/ROOT/pages/dnf.adoc?identifier=master), octobre 2021, consulté le 19 août 2022. + * Résumé : Documentation des commandes du gestionnaire de paquets DNF. + * Avis de la source : Documentation officiel fedora, simple mais efficace. +6. [OpenSUSE : Managing Software with Command Line Tools](https://documentation.suse.com/sles/12-SP4/html/SLES-all/cha-sw-cl.html#:~:text=Zypper%20is%20a%20command%20line,managing%20software%20from%20shell%20scripts.), [auteurs](https://github.com/SUSE/doc-sle/blob/maintenance/SLE12SP4/xml/sw_managing_commandline.xml), 1 août 2019, consulté le 19 août 2022. + * Résumé : Documentation des commandes du gestionnaire de paquets zypper. + * Avis de la source : Documentation officiel openSUSE, très complète. +7. [pacman](https://wiki.archlinux.org/title/pacman), [auteurs](https://wiki.archlinux.org/index.php?title=Pacman&action=history), 1 août 2022, consulté le 19 août 2022. + * Résumé : Documentation des commandes du gestionnaire de paquets pacman. + * Avis de la source : Documentation officiel Arch Linux, très complète. +8. [Getting started](https://snapcraft.io/docs/getting-started), Canonical, juin 2022, consulté le 19 août 2022. + * Résumé : Documentation des commandes snap. + * Avis de la source : Documentation officiel snap, simple mais efficace. +9. [Using Flatpak](https://docs.flatpak.org/en/latest/using-flatpak.html), [auteurs](https://github.com/flatpak/flatpak-docs/blob/master/docs/using-flatpak.rst), 23 juillet 2021, consulté le 19 août 2022. + * Résumé : Documentation des commandes flatpak. + * Avis de la source : Documentation officiel flatpak, très complète. + diff --git a/README.md b/README.md index dc9bf1d..7a3aa2e 100644 --- a/README.md +++ b/README.md @@ -60,7 +60,8 @@ Le Wiki TI est en français. Le français sera également la langue utilisée p - Date de consultation de la ressource (si ressource Web) - Un petit paragraphe résumant les informations que la ressource contient - Un avis critique sur la qualité de la ressource -- En cas de synthèse sur un sujet, le rédacteur indique soigneusement les ressources utilisées selon les pratiques bibliographiques habituelles, et référence la source de chaque information directement dans le texte (par ex : "Le DNS tourne par dessus UDP [3]" pour indiquer que cette information a été tirée de la troisième ressource de la bibliographie). En cas de citation / extrait, le rédacteur n'oublie bien entendu pas l'utilisation des guillements pour bien indiquer qu'il n'est pas l'auteur de l'élément de texte concerné. +- En cas de synthèse sur un sujet, le rédacteur indique soigneusement les ressources utilisées selon les pratiques bibliographiques habituelles, et référence la source de chaque information directement dans le texte (par ex : "Le DNS tourne par dessus UDP [3]" pour indiquer que cette information a été tirée de la troisième ressource de la bibliographie). En cas de citation / extrait, le rédacteur n'oublie bien entendu pas l'utilisation des guillements pour bien indiquer qu'il n'est pas l'auteur de l'élément de texte concerné. +- L'utilisation d'une **intelligence artificielle** est bien sûr possible, à condition que le texte produit soit majoritairement votre contribution, et à condition de le référencer explicitement et d'annexer les échanges avec le chatbot (prompts utilisés, résultats obtenus et comment ils ont été exploités, ...). diff --git "a/R\303\251seaux/DNSSEC-implementation.md" "b/R\303\251seaux/DNSSEC-implementation.md" new file mode 100644 index 0000000..dbfcc23 --- /dev/null +++ "b/R\303\251seaux/DNSSEC-implementation.md" @@ -0,0 +1,231 @@ +# Mise en œuvre pratique de DNSSEC: Implémentation (Bind9) et tests associés + récapitulatif DNS + +## Récapitulatif +### Le DNS en entreprise + +Le réseau d'une entreprise comprend généralement, le résolveur placé en interne/Trusted zone avec un SOA interne et un SOA externe placé dans la DMZ. + +Le rôle principal de résolveur placé en interne/Trusted zone est de recevoir les requêtes venant des utilisateurs et de les transmettre aux SOA approprié pour obtenir les réponses voulues. Il va interroger le SOA interne pour résoudre les noms de domaine internes, par exemple lorsque des clients envoient un requête pour le serveur web interne (ou autre), afin d'obtenir l'adresse ip qui correspond. Cela permet aux utilisateurs en interne d'accéder directement à ces services sans passer par internet et offrir du coup une meilleure performance et sécurité. +Le SOA interne permet donc de gérer les zones DNS internes, qui contiennent les infos spécifiques à l'entreprise. Il répond aux requêtes DNS internes en résolvant les noms de domaine internes et fournis les réponses adéquates. En plaçant ce serveur dans le réseau interne, ça permet de limiter l'accès aux informations sensibles et de renforcer la sécurité globale du réseau. + +Quant à lui, le SOA externe est placé en DMZ. Pour rappel la DMZ est une zone conçue pour isoler les services accessibles publiquement. +Le SOA externe gère les zones DNS publiques de l'entreprise et est utilisé pour les services accessibles depuis l'Internet. Il répond aux requêtes DNS externes provenant des clients externes. En plaçant celui-ci dans la DMZ, on réduit les menaces et vulnérabilités car les attaquants ne peuvent pas accéder directement au réseau interne de l'entreprise. + +### Les types de requêtes: +Il y'a trois types de requêtes DNS : + +1. Récursive: Globalement, quand un pc ou un résolveur effectue une requête récursive, il demande au serveur DNS de lui fournir directement la réponse complète. Cela veut dire que le serveur DNS interroge les autres serveurs DNS de manière itérative jusqu’à quand il obtient la réponse souhaitée. + +2. Itérative: la personne/pc qui fait la requête demande au serveur DNS de lui fournir la meilleure réponse qu'il possède, même si ce n'est pas la réponse complète. Si le serveur DNS ne trouve pas l'info demandée, il renverra une indication sur le serveur de noms ayant l'autorité sur le domaine. Le demandeur devra alors continuer à interroger des autres serveurs DNS pour obtenir la réponse complète. + +3. Non récursive: Généralement utilisé par les résolveurs DNS pour chercher une IP spécifique qui n'est pas présente dans leur cache. Le résolveur envoie une requête à un serveur DNS spécifique et se contente d'une seule réponse. Il ne poursuit pas le processus de requête récursive pour obtenir une réponse complète, cela permet de limiter l'utilisation de la bande passante. + +### Gestion des noms de domaine public et réservation via les registars : + +Quand une entreprise souhaite réserver un nom de domaine accessible publiquement, elle doit passer par un registar (permet de gérer et réserver des noms de domaine) autorisé par le registry du TLD (Top Level Domain) qui correspond à son choix de nom de domaine. Les registars sont très important car ils permettent la gestion des noms de domaine en facilitant la réservation et le renouvellement des noms de domaine. C'est en fait des intermédiaires entre les entreprise et les registries (Registry: base de donnée de tout les sous domaines d'un TLD). + +### Délégation de zone + +Délégation de zone : + +_"La délégation DNS est le processus par lequel un serveur DNS autorise un autre serveur DNS à effectuer des actions faisant autorité au nom de ce serveur. Cela permet une utilisation plus efficace des ressources, en particulier lorsqu'il s'agit de déploiements à grande échelle."_ (1) + +C'est un mécanisme qui permet de diviser la gestion du DNS en différentes zones responsables de sous-domaines. Quand une entreprise va réserver un nom de domaine publique, elle doit configurer la délégation de zone pour indiquer au système DNS publique comment trouver la zone correspondante à son nom de domaine. Il faut pour cela ajouter des enregistrements NS au domaine parent. +Exemple: `domaineParent.com. IN NS ns1.domaineParent.com.` + +### Menaces courantes liées au DNS et mesures de protection (DNSSEC) + +Parmi les menaces courantes liées au DNS, on retrouve: + +* Cache poisoning: + +_"le cache poisoning est une technique permettant de leurrer les afin de leur faire croire qu'ils reçoivent une réponse valide à une requête qu'ils effectuent, alors qu'elle est frauduleuse."_ (4) + +C'est en fait une attaque dans laquelle un attaquant modifie les infos stockées dans le cache du serveur DNS. L'objectif est de redirigé le trafic vers des sites Web malveillants. L'attaquant envoie des fausses réponses DNS au serveur DNS cible en les faisant passer pour des réponses légitimes provenant de serveurs DNS autoritaires. L'attaquant force donc le serveur DNS à stocker ces fausses informations dans son cache. + +* Pharming: + +Même principe que le cache poisoning, l'attaquant redirige le trafic d'un utilisateur vers un site Web malveillant en modifiant les paramètres DNS mais généralement utilisé pour voler des informations telles que les identifiants de connexion/données personnelles. + +* ID spoofing: + +Cette attaque vise à tromper un serveur DNS en modifiant l'identifiant (ID) des requêtes DNS. D'habitude, quand un client envoie une requête DNS à un serveur, celui-ci attribue un ID unique à cette requête. L'ID est utilisé pour faire correspondre les réponses aux requêtes correspondantes. +Lors d'une attaque d'ID spoofing, un attaquant essaie de prédire ou de deviner l'ID d'une requête DNS valide pour fournir une fausse réponse avant que le serveur DNS n'ait la chance de recevoir la véritable réponse. +L'objectif reste de tromper les utilisateurs et de les rediriger vers des sites Web malveillants de l'attaquant. + +* DoS: + +Attaque qui a pour but de rendre un service indisponible en submergeant le serveur DNS de requêtes. + +* Tunneling DNS: + +Méthode qui permet de contourner les firewalls en utilisant le trafic DNS pour établir des communications avec des machines infectées derrière le firewal en contournant la sécuritée. + + +Pour contrer ces menaces, des mesures de protection doivent être mises en place. Une solution efficace est l'utilisation du DNSSEC. + +## Configuration de DNSSEC dans Bind9 + +### DNSSEC c'est quoi ? + +Le DNSSEC est une sécuritée qui ajoute des mécanismes de protection supplémentaires au DNS. Il utilise des signatures pour garantir "l'intégrité et l'authenticité des données DNS". + +En utilisant DNSSEC, les entreprise peuvent renforcer la sécurité de leurs infrastructures DNS et protéger les utilisateurs contre les attaques malveillantes. C'est pourquoi je vais expliquer comment configurer DNSSEC sur bind9... + +### Configuration du DNSSEC (SOA externe) + +Voici les étapes pour configurer DNSSEC sur bind9 de manière éfficace. + +1. Avant tout, il faut activer DNSSEC dans les `options{ }` de votre fichier `named.conf.options` où `named.conf` en fonction de votre configuration: +* Ouvrir avec l'éditeur nano le fichier contenant les options de named.conf: `nano /etc/bind/named.conf.options` et insérer les lignes suivantes dans les options: +``` +dnssec-enable yes; +dnssec-validation yes; +dnssec-lookaside auto; +``` + +2. Créer une ZSK (Zone Signing Key) et une KSK (Key Signing Key): + +* ZSK: Utilisée pour signer les enregistrements de ressources dans la zone de domaine donnée, _"assurant ainsi l'intégrité des données et la validité des réponses DNS."_ (23) + +`dnssec-keygen -a NSEC3RSASHA1 -b 2048 -n ZONE example.com` + +KSK: signature plus puissante utilisée pour signer la ZSK + +`dnssec-keygen -f KSK -a NSEC3RSASHA1 -b 4096 -n ZONE example.com` + +3. Le répertoire aura maintenant 4 clés - des paires privées/publiques de ZSK et KSK. Il faut maintenant ajouter les clés publiques qui contiennent l'enregistrement DNSKEY au fichier de zone. On va utiliser cette boucle: +``` +for key in `ls Kexample.com*.key` +do +echo "\$INCLUDE $key">> example.com.zone +done +``` + +4. Maintenant que les clés sont ajoutées au fichier de zone, on va signer la zone avec cette commande : + +`dnssec-signzone -3 $(head -c 1000 /dev/random | sha1sum | cut -b 1-16) -A -N INCREMENT -o -t ` + +L'output devrait ressembler à ceci: +``` +root@ubuntu:/var/cache/bind# dnssec-signzone -A -3 $(head -c 1000 /dev/random | sha1sum | cut -b 1-16) -N INCREMENT -o l2-4.ephec-ti.be -t l2-4.ephec-ti.be.zone +Verifying the zone using the following algorithms: NSEC3RSASHA1. +Zone signing complete: +Algorithm: NSEC3RSASHA1: KSKs: 1 active, 0 stand-by, 0 revoked + ZSKs: 1 active, 0 stand-by, 0 revoked +example.com.zone.signed +Signatures generated: 14 +Signatures retained: 0 +Signatures dropped: 0 +Signatures successfully verified: 0 +Signatures unsuccessfully verified: 0 +Signing time in seconds: 0.046 +Signatures per second: 298.310 +Runtime in seconds: 0.056 +``` + +5. Charger la zone signée: + +* Modifier le fichier `named.conf.local` où `named.conf` en fonction de votre configuration: + + +`nano /etc/bind/named.conf.local` + +* Changer l'option file de la zone concernée: + +``` +zone "example.com" IN { + ///// zone option ///// + file "example.com.zone.signed"; +}; +``` + +6. Redémarrer Bind9: + +`sudo systemctl restart bind9 ` + + +## Tests de DNSSEC + +Option 1: `Dig` + +`dig A example.com.` + +``` +; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> A example.com. @localhost +noadditional +dnssec +multiline +;; global options: +cmd +;; Got answer: +;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 32902 +;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 3, ADDITIONAL: 5 +;; WARNING: recursion requested but not available + +;; OPT PSEUDOSECTION: +; EDNS: version: 0, flags: do; udp: 4096 +;; QUESTION SECTION: +;example.com. IN A + +;; ANSWER SECTION: +example.com. 86400 IN A 93.184.216.119 +example.com. 86400 IN RRSIG A 7 2 86400 20131227171405 ( + 20131127171405 40400 example.com. + JCoL8L7As1a8CXnx1W62O94eQl6zvVQ3prtNK7BWIW9O + lir/4V+a6c+0tbt4z4lhgmb0sb+qdvqRnlI7CydaSZDb + hlrJA93fHqFqNXw084YD1gWC+M8m3ewbobiZgBUh5W66 + 1hsVjWZGvvQL+HmobuSvsF8WBMAFgJgYLg0YzBAvwHIk + 886be6vbNeAltvPl9I+tjllXkMK5dReMH40ulgKo+Cwb + xNQ+RfHhCQIwKgyvL1JGuHB125rdEQEVnMy26bDcC9R+ + qJNYj751CEUZxEEGI9cZkD44oHwDvPgF16hpNZGUdo8P + GtuH4JwP3hDIpNtGTsQrFWYWL5pUuuQRwA== ) + +;; AUTHORITY SECTION: +example.com. 86400 IN NS master.example.com. +example.com. 86400 IN NS slave.example.com. +example.com. 86400 IN RRSIG NS 7 2 86400 20131227171405 ( + 20131127171405 40400 example.com. + hEGzNvKnc3sXkiQKo9/+ylU5WSFWudbUc3PAZvFMjyRA + j7dzcVwM5oArK5eXJ8/77CxL3rfwGvi4LJzPQjw2xvDI + oVKei2GJNYekU38XUwzSMrA9hnkremX/KoT4Wd0K1NPy + giaBgyyGR+PT3jIP95Ud6J0YS3+zg60Zmr9iQPBifH3p + QrvvY3OjXWYL1FKBK9+rJcwzlsSslbmj8ndL1OBKPEX3 + psSwneMAE4PqSgbcWtGlzySdmJLKqbI1oB+d3I3bVWRJ + 4F6CpIRRCb53pqLvxWQw/NXyVefNTX8CwOb/uanCCMH8 + wTYkCS3APl/hu20Y4R5f6xyt8JZx3zkZEQ== ) + +;; Query time: 0 msec +;; SERVER: 127.0.0.1#53(127.0.0.1) +;; WHEN: Thu Nov 28 00:01:06 2013 +;; MSG SIZE rcvd: 1335 +``` + +Si le DNSSEC est fonctionnel, les RRSIG record devraient être présent dans la section `ANSWER` + +Option 2: Utiliser un site d'analyse DNS tel que [celui ci](https://dnssec-analyzer.verisignlabs.com): + +![image](https://github.com/thePFLy/spotifyDisplayer/assets/92318644/3b07e69b-1475-42a4-a4d0-62e2d7dc37dd) + +Si le DNSSEC est fonctionnel, l'analyse du site devrait afficher des RRSIG et DNSKEY validés. + +## Bibliographie +1. Ahona Rudra, [Délégation de sous-domaines](https://powerdmarc.com/fr/dmarc-subdomain-delegation/), 5 aout 2022, consulté le 23/05/2023 +2. Michael Buckbee, [Qu’est-ce que le DNS, comment fonctionne-t-il et quelles sont ses vulnérabilités ?](https://www.varonis.com/fr/blog/dns-kezako), 7 mars 2019, consulté le 23/05/2023 +3. nameShield, [DNS Cache Poisoning](https://www.nameshield.com/ressources/lexique/dns-cache-poisoning/), consulté le 24/05/2023 +4. Wikipedia, [Empoisonnement du cache DNS](https://fr.wikipedia.org/wiki/Empoisonnement_du_cache_DNS), 18 janvier 2023, consulté le 24/05/2023 +5. Praveen N, [SOA Servers Configuration and DMZ ](http://praveensreenivas.blogspot.com/2016/03/dmz-computing.html), 8 mars 2016, consulté le 23/05/2023 +6. Ahona Rudra ,[Types de DNS : Explication des types de requêtes, serveurs et enregistrements DNS](https://powerdmarc.com/fr/dns-types-queries-and-servers/amp/), il y'a 5 mois, consulté le 23/05/2023 +7. One ,[What is a registry, registrar and registrant?](https://help.one.com/hc/en-us/articles/115005588149-What-is-a-registry-registrar-and-registrant-), consulté le 23/05/2023 +8. Perrin Varin ,[Comprendre la hiérarchie des institutions Registre, Bureau d’Enregistrement (Registrar), Revendeur (Reseller) et Registrant. ](https://blog.netim.com/fr/news-netim/comprendre-la-hierarchie-des-institutions-registre-bureau-denregistrement-registrar-revendeur-reseller-et-registrant-1414/), 16 juillet 2019, consulté le 23/05/2023 +9. Mathieu ,[La délégation NS d'un sous-domaine, cet illustre inconnu](https://uname.pingveno.net/blog/index.php/post/2019/03/02/La-d%C3%A9l%C3%A9gation-NS-d-un-sous-domaine%2C-cet-illustre-inconnu), 5 mars 2019, consulté le 23/05/2023 +10. Romain Guichard, [Délégation d'une zone DNS](http://blog.vsense.fr/delegation-dune-zone-dns.html), 4 mars 2013, consulté le 23/05/2023 +11. Kaspersky, [Qu’est-ce que le pharming et comment l’éviter ?](https://www.kaspersky.fr/resource-center/definitions/pharming), consulté le 24/05/2023 +12. Wikipedia ,[Pharming](https://fr.wikipedia.org/wiki/Pharming), 1 mars 2023,consulté le 24/05/2023 +13. Inet, [Le DNS ID spoofing](https://www.inetdoc.net/guides/tutoriel-secu/tutoriel.securite.attaquesprotocoles.dns.html), , consulté le 24/05/2023 +14. Erez Hasson ,[DNS Spoofing](https://www.imperva.com/learn/application-security/dns-spoofing/), 2 mai 2023, consulté le 24/05/2023 +15. Wikipedia ,[DNS spoofing](https://en.wikipedia.org/wiki/DNS_spoofing), 13 avril 2023, consulté le 24/05/2023 +16. Michael Buckbee, [Qu’est-ce que le DNS Tunneling ? Guide de détection](https://www.varonis.com/fr/blog/quest-ce-que-le-dns-tunneling-guide-de-detection), 6 avril 2023, consulté le 24/05/2023 +17. Jaromil ,[Qu’est-ce que le DNS Tunneling ? Guide Complet](https://www.ambient-it.net/dns-tunneling-implementation/), 11 janvier 2023, consulté le 24/05/2023 +18. Icann, [DNSSEC – Qu'est-ce que c'est et pourquoi est-ce important ?](https://www.icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-20-fr), consulté le 23/05/2023 +19. Wikipedia, [Domain Name System Security Extensions](https://fr.wikipedia.org/wiki/Domain_Name_System_Security_Extensions), 8 juillet 2022, consulté le 23/05/2023 +20. CloudFlare ,[Comment fonctionne DNSSEC](https://www.cloudflare.com/fr-fr/dns/dnssec/how-dnssec-works/), consulté le 24/05/2023 +21. Jesin A,[How To Setup DNSSEC on an Authoritative BIND DNS Server](https://www.digitalocean.com/community/tutorials/how-to-setup-dnssec-on-an-authoritative-bind-dns-server-2), 19 mars 2014, consulté le 24/05/2023 +22. Klinsmann Öteyo,[How To Secure BIND DNS Server With DNSSec Keys](https://computingforgeeks.com/secure-bind-dns-server-with-dnssec-keys/), 22 octobre 2022, consulté le 24/05/2023 +23. Computer Security Resource Center ,[Zone Signing Key (ZSK)](https://csrc.nist.gov/glossary/term/zone_signing_key), consulté le 24/02/2023 \ No newline at end of file diff --git "a/R\303\251seaux/Filtrage_spam.md" "b/R\303\251seaux/Filtrage_spam.md" new file mode 100644 index 0000000..9f03781 --- /dev/null +++ "b/R\303\251seaux/Filtrage_spam.md" @@ -0,0 +1,133 @@ +# Importance du filtrage de spam dans les services de messagerie +Malgré la diminution des courriers indésirables ces dernières années (de +- 90% à +- 50% des mails), la quantitée de courrier indésirable reste un problème. C'est pourquoi il est essentiel de setup des mécanismes de filtrage qui vont être efficaces pour avoir une expérience utilisateur positive mais aussi pour protéger les utilisateurs contres les menaces du spam. + +![Diminution_spam](https://www.altospam.com/actualite/wp-content/img/2019/05/stats-spam-05-2019-1024x667.png) + +Le spam se réfère aux messages généralement commerciaux qui sont envoyés par grand nombre à beaucoup d'utilisateurs en même temps. Ils peuvent inclure de la pub, des offres frauduleuses, escroqueries, contenir des logiciels malveillants ou encore des liens vers de sites web dangereux. + +C'est la raison pour laquelle le filtrage de spam est un "outil" essentiel des services de messagerie. Il cherche en fait à indentifier et à séparer les e-mails habituels des courriers indésirables, ce qui permet de cette manière aux utilisateurs de se focus sur les messages importants et éviter le spam de leur faire perdre du temps où encore d'être atteints par des mails contenant des menaces. + +# Les composants du système de messagerie et leur rôle dans le filtrage de spam + +## MUA (Mail User Agent) +Le MUA est le composant du système de messagerie qui permet aux utilisateurs d'accéder et rédiger un mail pour l'envoyer au MTA/MSA mais aussi à organiser les mails et intègre souvent des filtres de spam. + +### Interaction avec les filtres de spam +L'un de ses rôles est de travailler avec les filtres de spam pour aider à identifier et à gérer les e-mails indésirables. +Les MUA ont souvent des outils d'aide de filtrage de spam qui utilisent plusieurs techniques pour calculer la probabilité qu'un e-mail soit du spam. Ce n'est pas le MUA qui filtre les spams mais il utilise des techniques pour aider à filtrer les messages. +* L'analyse des en-têtes et contenus: +Les MUA scannent si demandé les en-têtes et les contenus des e-mails pour trouver des signes de spam. +Ca inclut des en-têtes de courrier électronique qui sont suspects, des liens ou images suspects, et même des mots qui sont souvent utilisé dans les spams. +* L'analyse des Black lists: +C'est l'utilisation des listes noires qui répertorient les IP ou les domaines connus pour envoyer du spam. +Les MUA peuvent consulter ces listes pour vérifier si l'expéditeur d'un e-mail est répertorié justement dans ces listes, ce qui peut contribuer à l'identification des spams. +* Règles de filtrage personnalisées: +Elles permettent aux utilisateurs de marquer et gérer les e-mails. Par exemple, l'utilisateur peut s'il le souhaite créer une règle/filtre pour marquer les mails provenant d'un adresse spécifique comme spam. + +L'utilisateur peut jouer un rôle important dans le filtre de spams parce-que il fournit des infos importantes aux filtres pour les aider à améliorer leurs critères de détection. Ils peuvent signaler les spams avec le MUA. + +## MSA (Mail Submission Agent) +Le MSA est le composant du système de messagerie responsable de la soumission des e-mails. Il intervient lorsqu'un utilisateur envoie un e-mail à partir de son MUA pour qu'il soit transmis aux destinataires. + +Même si le MSA est principalement chargé de la transmission des e-mails, il peut aussi jouer un rôle dans le filtrage de spam. + +### Techniques de filtrage de spam +Le MSA peut s'aider de techniques de filtrage de spam pour mesurer le danger des e-mails soumis avant de les transmettre aux destinataires (d'abord au MTA). +Ces techniques peuvent inclure l'analyse des en-têtes, du contenu et d'autres caractéristiques des e-mails pour détecter les signes de spam. Le MSA peut utiliser des mécanismes tels que les listes noires, les règles de filtrage, l'analyse heuristique et d'autres méthodes pour évaluer la chance qu'un e-mail soit du spam. + +### Validation des règles de filtre avant l'envoi des e-mails +Avant de transmettre les e-mails aux destinataires, le MSA peut valider les règles de filtrage de spam configurées. +Ces règles peuvent être données par l'administrateur du système de messagerie. Ils spécifient les critères à utiliser pour identifier les e-mails indésirables. Le MSA vérifie si les e-mails soumis sont OK par rapport aux critères donnés dans les règles de filtrage. Si un e-mail est identifié comme spam en fonction de ces règles, le MSA peut prendre le rejeter de l'e-mail et le placer dans le dossier de spam. + +## MTA (Mail Transfer Agent) +### Rôle dans le filtrage de spam +Le MTA joue un rôle dans le filtrage de spam lors de la transmission des e-mails. En fait, il est considéré comme l'élément le plus important du système de messagerie en ce qui concerne le filtrage de spam. + +Le principal rôle du MTA est de transférer les e-mails d'un serveur à un autre. Lorsqu'un e-mail est envoyé depuis le MUA (Mail User Agent) d'un expéditeur ou venant d'un MSA, il est responsable de son acheminement vers le MTA du destinataire. Cependant, avant de transmettre l'e-mail au destinataire, le MTA applique des techniques de filtrage de spam pour mesurer la qualité de l'e-mail. +### Utilisation de techniques de filtrage +Quand le MTA effectue le filtrage de spam lors de la transmission des e-mails, il peut utiliser plusieurs techniques pour évaluer la probabilité qu'un e-mail soit du spam. + +Quelques techniques et leur mécanisme : + +1. Filtres basés sur les politiques de sécurité : +Les politiques de sécurité sont les règles et les critères de filtrage à appliquer en fonction des préférences utilisateur. +Ces politiques peuvent être des règles comme l'interdiction d'e-mails venant de certaines adresses IP ou de domaines ou aussi le blocage de certains types de pièces jointes dangereuses ou encore l'exigence d'une authentification SPF ou DKIM pour vérifier l'origine des e-mails. + +2. Analyse heuristique : +C'est une technique de filtrage qui utilise des algorithmes d'apprentissage automatique pour détecter les spams. Comme vu précédemment, Le MTA peut analyser les caractéristiques des e-mails (mots-clés suspects, structures de phrases inhabituelles, liens ou d'images suspectes,...) et les comparer à des modèles de mails spam pour savoir si le mail est du spam ou non. + +3. Listes de réputation : +Les listes de réputation fournissent des infos sur la réputation du coup des expéditeurs en se basant sur des critères: l'historique de l'adresse IP, la conformité aux normes de messagerie, la fréquence de l'envoi de spam, etc... +Le MTA peut consulter ces listes pour savoir à quel point ou pas faire confiance à l'expéditeur. +Si l'expéditeur est enregistré comme ayant une mauvaise réputation en raison de l'envoi de spam, le MTA peut augmenter la chance que l'e-mail soit classé comme spam. + +4. Analyse de contenu et de structure : +Comme le MUA, Le MTA peut analyser le contenu et la structure des e-mails pour trouver des caractéristiques communes aux spams. L'analyse inclut en-têtes, mots-clés spécifiques, structures de phrases inhabituelles, des liens ou images suspects. + +5. Blacklist: +Lorsqu'un MTA reçoit un e-mail du MSA ou MUA, il peut vérifier ces listes noires pour voir si l'expéditeur ou l'adresse IP source de l'e-mail est répertorié. +Si oui ca indique que l'expéditeur est considéré comme non fiable ou a été signalé pour l'envoi de spam. +La présence d'une adresse IP ou d'un domaine dans une liste noire peut elle aussi déclencher plusieurs actions de filtrage, telles que le rejet pur et simple de l'e-mail, le marquage comme spam, ou une évaluation supplémentaire à l'aide d'autres techniques de filtrage. +Les listes noires peuvent venir de différentes sources comme par exemple les organisations spécialisées dans la lutte contre le spam, des fournisseurs d'accès Internet ou des initiatives communautaires. Il existe des listes noires publiques et privées. Les administrateurs de MTA peuvent choisir celles qu'ils souhaitent utiliser en fonction de ce qu'ils ont besoin et de leurs politiques de sécurité. + +6. Le filtrage bayésien: +Cette technique consiste à analyser le contenu des e-mails et à calculer la probabilité qu'ils soient des spams. Comment il fait, c'est assez simple: le MTA utilise un modèle de classification bayésienne déja entraîné. +Le modèle est construit en se basant sur pleins d'e-mails d'apprentissage préalablement catégorisés comme spams ou pas. +À partir de ces exemples, le MTA définit "les probabilités conditionnelles des différentes caractéristiques présentes dans les e-mails". + + +En utilisant ces techniques, le MTA est en position de détecter et bloquer les mails indésirables avant qu'ils n'atteignent le ou les destinataires finales. Cela contribue à maintenir la qualité et la sécurité du service de messagerie en empêchant le spam. + +## MDA (Mail Delivery Agent) +## Stockage des mails +Il joue aussi un rôle dans le filtrage de spam lors de la transmission des e-mails, ainsi que dans le stockage des e-mails. Une fois que les utilisateurs ont été définis, il est important de spécifier où et comment les e-mails sont stockés, de manière à ce que le MDA puisse y accéder pour les déposer. + +En ce qui concerne le stockage des e-mails, deux formats sont souvent utilisés: le format mbox et le format Maildir. + +Le format mbox est un format de boîte mail Unix, dans laquelle tous les e-mails sont concaténés dans un seul fichier. +Malheureusement ce format est vraiment pas pratique quand la boîte devient assez volumineuse parce-qu'il faut alors logiquement parcourir tout les fichiers pour accéder à un mail. +En plus, lorsqu'un e-mail est déposé ou consulté, le fichier doit être bloqué en écriture pour éviter les problèmes de cohérence. + +En revanche, le format Maildir a été proposé à l'origine pour le serveur QMail. Dans ce format, chaque e-mail est stocké dans un fichier différent et chaque message est placé dans un répertoire dédié. Contrairement au format mbox il est plus éfficace car il permet un accès individuel à chaque message sans avoir besoin de parcourir un fichier entier. +Cela facilite le traitement et la manipulation des e-mails, tout en offrant de meilleures performances en termes d'accès et de gestion des boîtes aux lettres. + +### Rôle dans le filtrage de spam +En ce qui concerne le filtrage de spam, le MDA peut aussi encore une fois appliquer des règles et des mécanismes de filtrage (analyse des en-têtes, du contenu et des caractéristiques des e-mails pour détecter les signes de spam) +Le MDA peut aussi interagir avec d'autres composants du système de messagerie dont MTA pour appliquer des stratégies de filtrage à différentes étapes du processus d'envoi de mails. + +## MRA (Mail Retrieval Agent) +### Interaction avec les filtres de spam lors de la récupération des e-mails par les utilisateurs + Lorsque le MRA récupère les e-mails du serveur de messagerie, il peut interagir avec le filtres de spam de la classification des e-mails en tant que spam ou non spam pour appliquer des règles de filtrage supplémentaires. + + +# SpamAssassin pour Postfix +SpamAssassin est un en gros un outil de filtrage spam qui est open-source. +Il utilise plusieurs techniques pour analyser les e-mails et déterminer s'ils sont du spam ou non. Dont des règles préconfigurées, des algorithmes d'apprentissage automatique et d'autres méthodes. + +## Intégration de SpamAssassin avec Postfix +L'intégration de SpamAssassin avec Postfix peut se faire en configurant Postfix pour consulter la base de données de réputation de SpamAssassin quand il reçoit une demande de livraison d'un e-mail. +Si l'adresse IP de l'expéditeur est répertoriée comme étant associée à du spam dans la base de données de réputation, Postfix peut refuser la livraison de l'e-mail, empêchant de cette manière l'e-mail spam d'atteindre le serveur de messagerie. + +L'intégration se fait principalement au niveau du MTA et MDA. + +En ce qui concerne le MUA, la configuration de SpamAssassin peut varier. +Certains MUA peuvent avoir une intégration directe avec SpamAssassin, ce qui permet aux utilisateurs d'appliquer des règles de filtrage en plus au niveau du client pour marquer ou trier les e-mails en fonction de leur probabilité d'être du spam. + + +# Bibliographie +1. Oktey, [Statistiques sur les spams et le phishing, les virus et ransomwares et les publicités](https://www.globalsecuritymag.fr/Statistiques-sur-les-spams-et-le,20190603,87692.html), juin 2019, consulté le 26/05/2023 +2. Jyothiikaa Moorthy, [23 Email Spam Statistics to Know in 2023](https://www.mailmodo.com/guides/email-spam-statistics/), 24 Mars 2023, consulté le 26/05/2023 +3. Wikipedia, [Spam](https://fr.wikipedia.org/wiki/Spam), 4 avril 2023, consulté le 26/05/2023 +4. Wikipedia, [Email Spam](https://en.wikipedia.org/wiki/Email_spam), 9 février 2023, consulté le 26/05/2023 +5. Yevgen Tsvetukhin, [What is an MTA?](https://mailtrap.io/blog/mail-transfer-agent/), 28 octobre 2019, consulté le 26/05/2023 +6. The warmup inbox team, [MTA and spam](https://blog.warmupinbox.com/mail-transfer-agent/), 15 octobre 2021, consulté le 26/05/2023 +7. Emma, [Everything about spam filters](https://myemma.com/blog/everything-you-ever-wanted-to-know-about-spam-filters/), 2015, consulté le 26/05/2023 +8. Ivan LaBianca, [How spam filters work](https://www.theseventhsense.com/blog/how-spam-filters-work-and-how-to-stop-emails-going-to-spam), 4 mars 2022, consulté le 26/05/2023 +9. itDepartement, [How email filtering works](https://www.your-itdepartment.co.uk/knowledge-bank/how-email-filtering-works/), 5 aout 2019, consulté le 26/05/2023 +10. Wikipedia, [Maildir](https://fr.wikipedia.org/wiki/Maildir), 30 mars 2022, consulté le 26/05/2023 +11. Wikipedia, [Mbox](https://fr.wikipedia.org/wiki/Mbox), 12 février 2023, consulté le 26/05/2023 +12. Wikipedia, [Analyse heuristique](https://fr.wikipedia.org/wiki/Analyse_heuristique), 8 février 2021, consulté le 26/05/2023 +13. Ionos, [Email blacklist ou blocklist, tout sur la liste noire anti-spam](https://www.ionos.fr/digitalguide/email/securite-email/quest-ce-que-le-blacklisting/), 6 février 2023, consulté le 26/05/2023 +14. Maxime CHARLÈS, [Filtrage bayésien : technique pour lutter contre le SPAM](https://blog.provectio.fr/filtrage-bayesien-technique-pour-lutter-contre-le-spam/), 1er janvier 2018, consulté le 26/05/2023 +15. Wikipedia, [Filtrage bayésien du spam](https://fr.wikipedia.org/wiki/Filtrage_bay%C3%A9sien_du_spam), 7 mars 2023, consulté le 26/05/2023 +16. Wikipedia, [SpamAssassin](https://fr.wikipedia.org/wiki/SpamAssassin), 16 mai 2023, consulté le 26/05/2023 diff --git "a/R\303\251seaux/Futur_http.md" "b/R\303\251seaux/Futur_http.md" new file mode 100644 index 0000000..a701ee9 --- /dev/null +++ "b/R\303\251seaux/Futur_http.md" @@ -0,0 +1,247 @@ +--- +layout: default +title: L'avenir d'HTTP +parent: Réseaux +--- +# L’avenir de HTTP + +## Définition [^1]** + +L’Hypertext Transfer Protocol, généralement abrégé HTTP, littéralement « protocole de transfert hypertexte », est un protocole de communication client-serveur développé pour le web. +Le protocole HTTP est devenu un standard de l’IETF en 1997. + +## Evolution des versions du protocole HTTP [^2] + +Plusieurs versions de ce protocole se sont succédées depuis l’origine : HTTP/0.9, HTTP/1.0, HTTP/1.1 et HTTP/2. +Les versions successives du protocole vont progressivement corriger les problèmes des versions précédentes + +## HTTP/2 [^3]** + +La version HTTP/2 est toujours la version majoritaire actuellement. +Par rapport à ses prédécesseurs, elle a introduit le concept de multiplexage de plusieurs transactions HTTP dans une seule connexion TCP. +Ce concept visait à résoudre le problème du blocage de Head Of Line (HOL), qui est l’un des principaux problèmes de performance rencontrés. +Ce multiplexage est malheureusement inefficace s’il existe des pertes de paquets. + +De plus, les pages web reprennent des contenus de plus en plus lourds (vidéos 4K, images, rendus 3D etc.), et le trafic ne cesse d’augmenter. + +C’est dans ce contexte que HTTP/3 a été démarré pour aider à améliorer les performances du web. + +## Vers l’avenir de HTTP [^4]** + +Sans disposer de boule de cristal, on peut raisonnablement penser que l’avenir de HTTP va se baser sur plusieurs normes qui correspondent à des avancées +majeures depuis la première version de HTTP. +Il s’agit des normes suivantes : + +- HTTPS : [RFC 2818] +- HSTS : [RFC 6797] +- QUIC : [RFC 9000] est la norme principale, décrivant le socle de base de QUIC +- HTTP/3 [Toujours En cours de standardisation par l’IETF : dernier draft date du 11 mars 2022 : Hypertext Transfer Protocol Version 3 (HTTP/3)] +- HTTPA : hors norme actuellement + +Ces différentes normes seront détaillées ci-dessus + +## HTTP/3 [^3][^5][^6][^7][^8][^9]** + +Un certain nombre de différences importantes existent entre HTTP/2 et HTTP/3. + +![image](https://user-images.githubusercontent.com/56791491/172709717-23d03c0a-e536-4685-b266-cf3d1f0bf79d.png) + +### TCP vs UDP + +Contrairement à HTTP/2, HTTP/3 n'utilise pas le protocole de contrôle de transmission (TCP) comme le faisaient ses prédécesseurs. +Au lieu de cela, il utilise le protocole de connexion Internet rapide UDP. + +Actuellement, le HTTP/2 embarque en effet un protocole de transport TCP orienté “connexion”. +En résumé, lorsqu'une machine A envoie des données à une machine B, cette dernière est prévenue de l'arrivée des données et envoie un accusé de réception. +Ce protocole présente un avantage : il renforce la sécurité. En revanche, il rend le transport des données relativement lent, puisqu'il nécessite plusieurs allers-retours. + +![image](https://user-images.githubusercontent.com/56791491/172709855-94af9cca-4e25-457a-9751-ec33d0987ce9.png) + +Le protocole QUIC utilise UDP, qui est un protocole de transport orienté “non connexion”. +Lorsqu'une machine A envoie des paquets à une machine B, le flux est unidirectionnel. +La machine B n'est pas prévenue de l'arrivée des données et les reçoit sans envoyer d'accusé de réception. + +QUIC garantit la livraison des flux dans l'ordre, mais pas entre les flux. +Cela signifie que chaque flux enverra des données et maintiendra l’ordre des données, +mais chaque flux pourra atteindre la destination dans un ordre différent de celui que l’application a envoyé. + +### TLS 1.3 + +Dans les faits, ce protocole UDP n’est pas un transport fiable. Pour éviter ce problème, QUIC ajoute une couche au-dessus d'UDP qui introduit la fiabilité. +L’objectif est de garantir la même fiabilité des communications, contrôle de flux et gestion de la congestion similaires à TCP. + +Ainsi QUIC peut envoyer d’un seul coup à un serveur les requêtes de connexion et de chiffrement, ce qui réduit de moitié la latence des nouvelles connexions. + +En résumé, QUIC accélère la navigation web tout en améliorant la sécurité. HTTP/3 ne prend en charge que les connexions cryptées grâce au cryptage TSL 1.3 intégré. + +### Avantages de l’HTTP/3 + +Les avantages de HTTP/3 sont une meilleure vitesse de transmission, des temps de chargement plus courts et une connexion plus stable. +S'appuyant sur UDP, HTTP/3 contourne les points faibles de TCP et utilise tous les avantages de HTTP/2 et HTTP sur QUIC. + +#### Résolution du problème de la latence due au TCP + +Lorsqu’une session TCP est établie, elle déclenche généralement l’algorithme de contrôle de congestion TCP. +Il évalue la quantité de trafic qui peut être envoyée avant que la congestion ne se produise par le biais du processus de démarrage lent TCP (Slow Start). + +En s’appuyant sur le protocole UDP et en prenant en charge les flux de première classe, QUIC résout ce problème de latence lié au démarrage lent de la connexion. + +#### Le problème de blocage de HOL est résolu + +QUIC offre un support au multiplexage, de sorte que différents flux HTTP peuvent utiliser différents flux de transport QUIC tout en partageant la même connexion QUIC. +Ainsi, l’état de congestion est partagé. +Les flux QUIC sont transmis indépendamment et, dans la plupart des cas, la perte de paquets affectant un flux n’affecte pas les autres. + +### Quels problèmes HTTP/3 pourrait-il poser ? [^7] + +De nombreux critiques indiquent que HTTP/3 arrive trop tôt après le protocole HTTP/2. Les problèmes suivants sont souvent cités. + +#### Ossification + +L’Internet est rempli d’équipements divers comme des routeurs ou pare-feu, qui exécutent généralement des logiciels pour gérer le trafic réseau et qui sont rarement mis à jour. + +Ce phénomène est souvent appelé « ossification ». Cela signifie que beaucoup de ces éléments ne sont pas encore adaptés au protocole QUIC. + +#### Problèmes de sécurité + +La sécurité des applications et des données est au centre des critiques. +Grâce à une réglementation claire des requêtes et des réponses, TCP était considéré comme un protocole fiable et orienté connexion. + +Or, puisque les contrôles de sécurité et le cryptage n'ont plus lieu via TLS, mais directement via UDP, les fournisseurs ont peur d’un impact sur la sécurisation du trafic de données en raison du manque d'authentification TLS. En conséquence, certains réseaux bloquent sciemment QUIC ! + +#### Performances + +Bien que les performances soient théoriquement améliorées par le passage à HTTP/3, certains maillons risquent de poser problème dans la chaîne et devront être adaptés pour procurer les avancées espérées. + +Ainsi, pour l’optimisation des performances, beaucoup d’appareils prennent en charge la fonction de déchargement TCP (“TCP offloading”) au niveau de leurs cartes d’interface réseau, mais peu d’entre eux le prennent en charge pour UDP. + +Par rapport à son homologue TCP, UDP souffre également d’un manque de support des API. C’est également le cas pour les bibliothèques TLS sur QUIC. + +TCP est le protocole courant depuis des années, alors que UDP ne l’est pas, de sorte que les systèmes d’exploitation et la pile logicielle ne sont généralement pas aussi optimisées. +Par conséquent, il y a beaucoup plus de charge/besoins CPU avec QUIC : selon certaines estimations, deux fois plus qu’avec HTTP/2. + +### Usage de HTTP/3 [^10][^11]** + +Les motivations pour introduire le nouveau protocole sont donc nombreux : + +- Amélioration de performances +- Meilleur temps de réponse +- Meilleur comportement lors de pertes de paquets +- Amélioration de la confidentialité + Bien que HTTP/3 soit déjà disponible actuellement, son usage reste minoritaire, comme on peut le consulter sur le site https://w3techs.com/technologies/comparison/ce-http2,ce-http3 + +![image](https://user-images.githubusercontent.com/56791491/172710600-7cd1777e-57bb-49cf-83cc-314544a62687.png) + +Pourtant, de nombreux browsers permettent maintenant d’utiliser HTTP/3 ( voir la liste via l’URL suivante https://caniuse.com/http3) : + +![image](https://user-images.githubusercontent.com/56791491/172710586-cd925436-1f5b-4f18-b59f-a8dcd13e2418.png) + +Et de nombreux sites l’utilisent déjà comme google (évidement) mais aussi Youtube ou Facebook + +![image](https://user-images.githubusercontent.com/56791491/172710551-471dea08-50e9-45d5-908a-35e68e5f94ea.png) + +## HTTPS [^12]** + +L'HyperText Transfer Protocol Secure HTTPS signifie « protocole de transfert hypertextuel sécurisé ») est la combinaison du HTTP avec une couche de chiffrement comme SSL ou TLS. + +HTTPS permet au visiteur de vérifier l'identité du site web auquel il accède, grâce à un certificat d'authentification émis par une autorité tierce, réputée fiable. +Il garantit théoriquement la confidentialité et l'intégrité des données envoyées par l'utilisateur (notamment des informations entrées dans les formulaires) et reçues du serveur. +Il peut permettre de valider l'identité du visiteur, si celui-ci utilise également un certificat d'authentification client. + +Les parties prenantes sont + +- le client — par exemple le navigateur Web — contacte un serveur — par exemple Wikipédia — et demande une connexion sécurisée, en lui présentant un certain nombre de méthodes de chiffrement de la connexion (des suites cryptographiques) ; +- le serveur répond en confirmant pouvoir dialoguer de manière sécurisée et en choisissant dans cette liste une méthode de chiffrement et surtout, en produisant un certificat garantissant qu'il est bien le serveur en question et pas un serveur pirate déguisé (on parle de l'homme du milieu). +- Ces certificats électroniques sont délivrés par une autorité tierce (autorité de certification) à laquelle le client comme le serveur ont choisi de faire confiance, un peu comme un notaire dans la vie courante, et le client peut vérifier, grâce à la signature de cette autorité sur le certificat présenté par le serveur, que celui-ci est authentique. Le client s’assure par ailleurs que le certificat n’est pas périmé et aussi éventuellement que l’autorité de certification ne l’a pas révoqué. + +Le certificat contient aussi une clé dite publique qui permet de chiffrer un message pour le rendre secret et uniquement déchiffrable par le serveur grâce à une clé dite privée que seul le serveur détient, on parle de chiffrement asymétrique. +Cela permet au client d'envoyer de manière secrète un code aléatoire qu’il invente (une clé symétrique dite clef de session) qui sera mélangé à tous les échanges entre le serveur et le client de façon à ce que tous les contenus de la communication soient chiffrés. Pour cela, on mélange le contenu avec le code, ce qui donne un message indéchiffrable, et à l'arrivée refaire l’opération symétrique avec ce message redonne le contenu en clair. + +En bref : serveur et client se sont reconnus, ont choisi une manière de chiffrer la communication et se sont passés de manière chiffrée un code (clé de chiffrement symétrique) pour dialoguer de manière secrète. + +HTTP/3 n'existe pas dans une version non sécurisée ou non chiffrée. + +## HSTS [^13][^14]** + +Une autre avancée pour sécuriser un site web est d’utiliser le HSTS « HTTP Strict Transport Security ». + +HTTP Strict Transport Security (HSTS) est un mécanisme de politique de sécurité proposé pour HTTP, permettant à un serveur web de déclarer à un navigateur web qu'il doit interagir avec lui en utilisant une connexion sécurisée (comme HTTPS). +Elle est communiquée au client via la réponse HTTP, et plus précisément dans le champ d'en-tête nommé « Strict-Transport-Security ». Elle spécifie une période de temps durant laquelle l'utilisateur doit accéder au Serveur informatique uniquement de façon sécurisée. + +Le HSTS force les navigateurs et les applications à utiliser — si cela est possible — le HTTPS pour se connecter. + +Facebook, Google, Gmail, Twitter et PayPal ne sont que quelques-uns des grands réseaux sociaux et portails de paiement à déployer une politique de sécurité HSTS aujourd’hui. + +## HTTPA [^15][^16][^17]** + +Cette nouvelle avancée est beaucoup moins aboutie. Elle permet d’ajouter à HTTPS qui sécurise le transport des données un protocole pour garantir également leur protection lors du traitement en protégeant le calcul en cours d'exécution. + +« HTTPS est actuellement le principal protocole pour les applications Web. Il fournit une connexion rapide et sécurisée avec un certain niveau de confidentialité et d'intégrité. +Cependant, HTTPS ne peut pas fournir de garanties de sécurité sur les données d'application dans le calcul, de sorte que l'environnement informatique présente des risques et des vulnérabilités. + +Compte tenu de cela, Gordon King et Hans Wang, deux employés d'Intel pensent que les services Web peuvent être rendus plus sûrs non seulement en effectuant des calculs dans des environnements d'exécution à distance de confiance, ou TEE, mais également en vérifiant pour les clients que cela a été fait. + +Dans un article intitulé : « HTTPA : HTTPS Attestable Protocol », récemment publié sur ArXiv, ils décrivent un protocole HTTP appelé HTTPS Attestable (HTTPA) pour améliorer la sécurité en ligne grâce à la certification à distance. + +HTTPA est conçu pour fournir une certification à distance et des garanties informatiques confidentielles entre un client et un serveur lors de l'utilisation du Web sur Internet. +Dans le cas de HTTPA, nous supposons que le client est digne de confiance et que le serveur ne l'est pas. L'utilisateur client peut vérifier ces garanties pour décider s'il peut faire confiance et exécuter les traitements informatiques sur le serveur ou non. Cependant, HTTPA n'offre aucune garantie que le serveur est digne de confiance. Elle comporte deux parties : la sécurisation des communications et des traitements + +- Concernant la sécurité des communications, HTTPA reprend toutes les hypothèses de HTTPS pour la sécurité des communications, y compris l'utilisation de TLS et la communication sécurisée, notamment l'utilisation de TLS et la vérification de l'identité de la personne. +- En ce qui concerne la sécurité informatique, le protocole HTTPA nécessite de fournir un état d'assurance supplémentaire d'attestation à distance pour que les traitements informatiques se produisent dans un espace sécurisé, afin que l'utilisateur client puisse exécuter les calculs dans une mémoire chiffrée. + +Quant à savoir si ou quand HTTPA pourrait être adopté, il n'est pas clair. +Lorsqu'on leur a demandé s'il était prévu de soumettre la spécification sous forme de RFC ou d'entreprendre une autre forme de normalisation, +ils ont répondu : « Nous avons des discussions en cours qui doivent être examinées par l'équipe juridique d'Intel avant de pouvoir adopter HTTPA ». + +## Bibliographie + +[^1]: "Hypertext Transfer Protocol", fr.wikipedia.org, https://fr.wikipedia.org/wiki/Hypertext_Transfer_Protocol#HTTP/3 (consulté le 01/06/2022) + ** Avis de la source : fiable pour la définition + +[^2]: "HTTP/3" : le passé, le présent et l'avenir, https://blog.cloudflare.com/fr-fr/http3-the-past-present-and-future-fr-fr/ (consulté le 01/06/2022) + ** Avis de la source : document ancien mais qui explique la l’évolution du protocole + +[^3]: "Qu’est-ce que HTTP/3 – Informations sur le nouveau protocole UDP rapide ?", kinsta.com, + https://kinsta.com/fr/blog/http3/#http3-coming, (consulté le 04/06/2022) + ** Avis de la source : résumé de la différence UDP-TCP + +[^4]: "HTTP/3 : Des origines à nos jours", blog.cloudflare.com, https://blog.cloudflare.com/fr-fr/http-3-from-root-to-tip-fr-fr/ (consulté le 01/06/2022) + ** Avis de la source : présentation de l’importance des normes + +[^5]: "HTTP/3", en.wikipedia.org, https://en.wikipedia.org/wiki/HTTP/3 (consulté le 01/06/2022) + ** Avis de la source : Bon résumé + +[^6]: "HTTP/3 : le protocole origine Google est dans les starting-blocks", silicon.fr, https://www.silicon.fr/http3-protocole-262163.html, (consulté le 02/05/2022) + ** Avis de la source : comparaison HTTP/2 vs HTTP3 + +[^7]: "HTTP/3: the next Hypertext Transfer Protocol explained simply", ionos.com ,https://www.ionos.com/digitalguide/hosting/technical-matters/http3-explained/ (consulté le 04/06/2022) + ** Avis de la source : document qui date de 2 ans mais qui résume bien HTTP/3 + +[^8]: "HTTP/3", http3-explained.haxx.se, https://http3-explained.haxx.se/fr/h3, (consulté le 31/05/2022) + ** Avis de la source : très complet et très clair source principale de la partie HTTP/3 + +[^9]: "Qu’est-ce que le protocole HTTP/3, et ce qu’il change par rapport à HTTP/1 et HTTP/2", fasterize.com, https://www.fasterize.com/fr/blog/protocole-http3/ (consulté le 31/05/2022) + ** Avis de la source : information sur QUIC + +[^10]: Can I use , caniuse.com, https://caniuse.com/http3, (consulté le 02/06/2022) + ** Avis de la source : très bonne source d’information pour les compatibilités browser protocole + +[^11]: Usage statistics of HTTP/3 for websites, w3techs.com, https://w3techs.com/technologies/details/ce-http3 (consulté le 02/06/2022) + ** Avis de la source : très bonne source d’information actualisé + +[^12]: "HyperText Transfer Protocol Secure", fr.wikipedia.org, https://fr.wikipedia.org/wiki/HyperText_Transfer_Protocol_Secure, (consulté le 1/06/2022) + ** Avis de la source : très complet et source la plus importante pour la partie HTTPS + +[^13]: "Qu’est-ce que le HSTS et comment le met-on en œuvre ?", globalsign.com, https://www.globalsign.com/fr/blog/qu-est-ce-que-le-hsts-comment-le-mettre-en-uvre + +[^14]: "HTTP Strict Transport Security", wikipedia.org , https://fr.wikipedia.org/wiki/HTTP_Strict_Transport_Security, (consulté le 2/06/2022) + ** Avis de la source : résumé vulgarisé + +[^15]: "HTTPA : vers une attestation d’intégrité sur TLS ?", silicon.fr,https://www.silicon.fr/httpa-attestation-integrite-tls-418933.html, (consulté le 2/06/2022) + ** Avis de la source : description technique de HTTPA + +[^16]: HTTPA, a protocol for web services in trusted environments, blog.desdelinux.net/, https://blog.desdelinux.net/en/Http-a-protocol-for-web-services-in-trusted-environments/ (consulté le 2/06/2022) + ** Avis de la source : bonne entrée en matière + +[^17]: "Vous avez entendu parler de HTTPS. Découvrez maintenant HTTPA : des services Web dans des environnements de confiance", securite.developpez.com, https://securite.developpez.com/actu/328186/Vous-avez-entendu-parler-de-HTTPS-Decouvrez-maintenant-HTTPA-des-services-Web-dans-des-environnements-de-confiance-avec-Intel-SGX-un-outil-qui-fournit-le-chiffrement-en-memoire/ (consulté le 2/06/2022) + ** Avis de la source : très bonne source diff --git "a/R\303\251seaux/HTTP2.md" "b/R\303\251seaux/HTTP2.md" new file mode 100644 index 0000000..f6ed452 --- /dev/null +++ "b/R\303\251seaux/HTTP2.md" @@ -0,0 +1,63 @@ +# Article Http2 + +## Qu’est que HTTP/2 ? + +HTTP/2 est une révision majeure du protocole HTTP, qui est le protocole de couche applicative utilisé dans le web. La première version de HTTP fut HTTP/0.9, qui proposait uniquement de faire des requêtes GET. Il est ensuite suivi de HTTP/1 puis HTTP/1.1 (1997) puis vient HTTP/2. + +## Histoire + +Google a développé un protocole de remplacement à HTTP/1.1 nommé SPDY (speedy) qui avait pour objectif d’augmenter la vitesse par rapport à celui-ci. En 2012, le projet initial de HTTP/2 est développé et se base directement sur SPDY. En 2015, l’IESG (Internet Engineering Steering Group) qui est chargé des standards d’internet approuve la norme HTTP/2. Par la suite, le navigateur Google Chrome annonce l'abandon progressif de SPDY au profit d’HTTP/2. + +## Objectif + + +Le principale objectif de HTTP/2 est de réduire la latence (c’est pour ça que celui-ci a pris comme base le protocole SPDY). En effet, les pages web d’aujourd’hui ont grandement évolué par rapport à celles qu’on trouvait au début de HTTP/1.1, celles-ci devant générer des centaines de requêtes. Hors, HTTP/1.1 ne supporte qu’une requête par connexion.Pour corriger ce problème, HTTP/2 autorise lui qu’une connexion par site mais il permet de transmettre plusieurs requêtes par messages (pipeline). + + +## Changement par rapport à HTTP/1.1 + +Une connexion TCP multiplexé: Comme précisé au dessus, HTTP/2 ne permet qu’une connexion TCP car celle-ci prend beaucoup de temps à s’établir, mais permet de faire une requête sur cette même connexion. +Compression d’en-tête HTTP: Contrairement à HTTP/1.1, HTTP/2 compresse les en-têtes. De plus, il ne place un en-tête que s' il y a un changement d’état par rapport à la requête précédente, réduisant ainsi la répétition. +Serveur Push: Au lieu de lire la page HTML et de déterminer les ressources nécessaires à partir de celle-ci (exemple: page de style css), le serveur se charge de les envoyés directement, évitant ainsi d'attendre que le serveur lise la page HTML + +![image](https://i.goopics.net/jof53p.png) + +source: https://www.infoq.com/fr/articles/http2-les-details/ + + +## Avantages de HTTP/2 + +Performance: le multiplexage permet de transmettre plus de données en même temps. +Performances du web mobiles: le multiplexage et la compression d’en-tête permet de diminuer la latence sur les réseaux mobiles. +Diminution des coûts: l’augmentation du débit obtenue avec HTTP/2 permettra aux services de télécommunication de réduire leur dépense, réduisant ainsi les tarifs proposés par les fournisseurs. +Sécurité: L'algorithme HPACK (pris en charge par HTTP/2) permet de contrer les menaces de sécurité. + +## Place de HTTP/2 aujourd’hui: +En 2021, 47% des sites webs les plus connus utilisaient HTTP/2. 97% des navigateurs pouvaient prendre en charge HTTP/2 fin 2015. + +## Conclusion +Le web ne cesse d’évoluer ces dernières années, à mesure que les utilisateurs et les sites se font de plus en plus nombreux. Le protocole applicatif HTTP se doit donc d’évoluer pour répondre à l'expansion du web. HTTP/2 est une grande évolution de ce protocole qui permettra aux utilisateurs d’internet d’avoir une meilleure expérience avec un web plus rapide, moins coûteux et sécurisé. + + + + + + + +Bibliographie + +https://en.wikipedia.org/wiki/HTTP/2 + +https://developer.mozilla.org/fr/docs/Web/HTTP/Basics_of_HTTP/Evolution_of_HTTP + +https://fr.wikipedia.org/wiki/Internet_Engineering_Steering_Group + +https://web.dev/performance-http2/ + +https://stileex.xyz/pourquoi-internet-rapide-http2/ + +https://boowiki.info/art/hypertext-transfer-protocol/http-2.html#Obiettivi + +https://blog.dareboost.com/fr/2016/11/http2-changements-bonnes-pratiques-http1-front-end/ + +https://kinsta.com/fr/apprendre/http2/#main_benefits_of_http2 diff --git "a/R\303\251seaux/IAX.md" "b/R\303\251seaux/IAX.md" new file mode 100644 index 0000000..b27096d --- /dev/null +++ "b/R\303\251seaux/IAX.md" @@ -0,0 +1,231 @@ +--- +layout: default +title: IAX +parent: Réseaux +--- + +# Inter-Asterisk eXchange + +IAX est un protocole VoIP produit et créé à la base pour le logiciel PBX « Asterisk ». Il est utilisé pour transmettre des sessions VoIP entre les serveurs et les machines des clients. + +## VoIP et Asterisk : + +IAX fait donc partie intégrante du système VoIP mis en place par le PBX Asterisk, mais qu’est-ce qu’Asterisk et la VoIP ? + +### > Qu’est-ce qu’Asterisk ?: + +![image](https://user-images.githubusercontent.com/71372371/166737739-e9360031-97ac-4d70-8657-8113ab4634f0.png) + +Asterisk est un logiciel PABX (Autocommutateur téléphonique privé) créé en 1999 par Mark Spencer. + +Ce logiciel est très utilisé dans les entreprises ou les calls-centers et est à la base de nombreux autres logiciels de communication. Dû à sa popularité, il possède une grosse communauté. Il utilise le système VoIP pour transmettre toutes sortes de médias (voix, vidéo, images, etc) [[8](https://en.wikipedia.org/wiki/Asterisk)]. + +### > Qu’est-ce que la VoIP ?: + +VoIP sont les initiales de « Voice over IP », et comme son nom l’indique, c’est de la téléphonie (transmission de voix) en utilisant le protocole IP et donc via internet. + +La VoIP offre de nombreux avantages comparés à la téléphonie classique. En effet, le fait de ne plus avoir une ligne pour les données et une ligne pour la transmission des appels est assez révolutionnaire. Cette technologie permet donc de transmettre le tout (voix et données) sur le même type de support. La VoIP devient également un standard dans les entreprises dû à son cout réduit pour son installation et son entretien. + +## Principales caractéristiques d’IAX : + +IAX est utilisé en téléphonie sur IP, mais quelles sont ses caractéristiques et en quoi est-il différent des autres protocoles VoIP ? + +### > Avantages comparé à la VoIP classique : + +- **Ports** : En VoIP classique, on utilise deux ports, le port 5060 pour transmettre la signalisation relative au flux et un second port qui est déterminé au début de l'échange pour transmettre les données. Cependant l’avantage de IAX est qu’il utilise un seul port, le 4569 en UDP, à la fois pour la signalisation et le flux de données [[2](https://en.wikipedia.org/wiki/Inter-Asterisk_eXchange), [3](https://www.voip-info.org/iax-versus-sip/.)]. Le fait d’exposer un seul port présente divers avantages. En effet, la configuration du firewall est plus simple et la NAT est également rendue plus simple à configurer. Cette caractéristique apporte donc une certaine « légèreté » en matière de configuration pour ce protocole [[4](https://askanydifference.com/difference-between-sip-and-iax/)]. + +- **Diminution de la bande passante** : IAX utilise une en-tête racourcie comparé aux autres protocoles (_voir carctéristiques techniques_). Comme moins de données sont envoyées, cela inclut une réduction de la bande passante utilisée. + +- **Diminution de la latence** : Le fait qu'un seul port soit utilisé au lieu d’un seul, apporte aussi un changement au niveau de la latence. En effet, comme les deux flux traditionnels sont envoyés en même temps et sur le même port, on a une réduction de la latence + +- **Rapidité** : Ces trois premiers avantages apportent donc une vitesse pour la communication qui est plus importante qu’avec d'autres protocoles comme SIP par exemple. + +- **Protocole binaire** : + Le fait que AIX soit un [**protocole binaire**](https://github.com/Pourbaix/Wiki-TI/blob/main/R%C3%A9seaux/IAX.md#concepts) apporte un grand plus point de vue sécurité, en effet il est plus difficile de trouver des failles. SIP est quant à lui un exemple de protocole basé sur du texte [[5](https://www.voip-info.org/iax-versus-sip/#:~:text=1)]. + +### > Défauts de IAX : + +Malgré ces avantages, IAX n’est pas autant utilisé que SIP, qui est le protocole le plus utilisé pour la VoIP. + +Nous allons donc voir quels sont les défauts d’IAX qui seraient la raison pour laquelle SIP est toujours une base solide pour faire de la VoIP. + +- **Construit sur base d’un système Asterisk** : Bien qu’une portabilité soit envisageable vers d’autres systèmes que celui d’Asterisk, le fait que IAX a été créé à la base pour ce dernier apporte un problème. En fait, il est impossible d’utiliser IAX sans un router typé Asterisk . Cela pointe l’un des plus gros défauts de IAX, il n’est pas très polyvalent et adaptatif, là où des protocoles comme SIP le sont beaucoup plus. La dépendance à Asterisk est aussi ce qui rend ce protocole moins flexible que SIP ou MGCP, car le protocole n’a pas été conçu dans le même but. + +- **Sensible au déni de service** : L'une des forces d'IAX est aussi une de ses faiblesses. En effet, comme ce protocole n'utilise qu'un port qui est bien connu, il est sensible aux [**attaques par déni de service**](https://github.com/Pourbaix/Wiki-TI/blob/main/R%C3%A9seaux/IAX.md#concepts). + +## Caractéristiques techniques: + +### > Protocoles: + +Au lieux d'utiliser RTP, IAX utilise UDP sur un seul port (le 4569) comme précisé précédemment. +Toute la partie signalisation est gérée en couche 2 (Liaison de données). + +### > Structure des données: + +IAX envoit des paquets avec la structure suivante: +[[10](https://www.nextiva.com/blog/voip-codecs.html#:~:text=A%20VoIP%20codec%20is%20a,two%20terms%3A%20Compression%20and%20Decompression.)] + +- 20 octets pour l'entête IP (**=** autres protocoles), +- 8 octets pour l'entête UDP (**=** autres protocoles), +- 4 octets pour le "**_mini-entête_**" de IAX ( au lieux de 12 octets pour les autres protocoles), +- Le payload dont la taille varie selon le [**codec**](https://github.com/Pourbaix/Wiki-TI/blob/main/R%C3%A9seaux/IAX.md#concepts). + +![image](https://user-images.githubusercontent.com/71372371/167297794-8ca673cb-c247-4b8d-8fe3-4b2b8467bb9e.png) + +[SOURCE](https://www.semanticscholar.org/paper/A-Comparative-Study-between-Inter-Asterisk-Exchange-Aliwi-Sumari/58eb892d9574cd17312ce98adc9e7009695e3094/figure/3) + +C'est cette structure qui diminue l'utilisation de la bande passante. Cette "mini-entête" IAX apporte un gros plus car moins de données sont échangées et donc moins de bande passante est utilisée. + +### > Échange type: + +Voici un exemple d'échange type lors d'une communication avec le protocole IAX: + +![6-Figure1-1](https://user-images.githubusercontent.com/71372371/167297870-0d01989d-a751-4145-add1-67474aea5d07.png) + +[SOURCE](https://www.semanticscholar.org/paper/A-Comparative-Study-between-Inter-Asterisk-Exchange-Aliwi-Sumari/58eb892d9574cd17312ce98adc9e7009695e3094/figure/3) + +On distingue 2 personnes: l'appelant qui initie l'appel (A) et l'appelé qui reçoit la demande d'appel (B). + +Voici les différentes étapes: + +1. Mise en place de la connexion: + Lorsqu'une personne initie un appel vers une autre, il y a envoi d'un paquet `NEW` pour demander à B d'initier une communication. Si le poste de B est disponible, il envoie un paquet `ACCEPT`. A accuse réception de ce dernier et c'est à ce moment-là que l'utilisateur B reçoit la notification d'appel. Le poste B indique alors à A que la sonnerie est en cours (`RINGING`). Si l'utilisateur B décroche, il y a envoi d'un paquet `ANSWER` et si A accuse réception c'est le début de la conversation entre les deux personnes. + +2. Échange/Conversation entre les 2 communiquants + +3. Fin de la communication: + Quand l'un des membres raccroche, un paquet de type `HANGUP` est envoyé à l'autre communiquant. Ce dernier envoie un accusé de réception. + +### **Explications:** + +## **Concepts**: + +### C01 - Attaque par déni de service: + +Une attaque par déni de service (appellé DoS en anglais) consiste à rendre indisponible un service et donc d'empêcher les utilisateurs de l'utiliser. De manière générale, cette attaque consiste à surcharger un réseau ou un serveur en s'y connectant et en envoyant des requêtes avec une quantité importante d'appareils.[[7](https://fr.wikipedia.org/wiki/Attaque_par_déni_de_service)] + +### C02 - Protocoles binaires: + +Il existe deux types de protocoles; des protocoles binaires où les informations sont transmises sous une forme où le protocole utilise toutes les valeurs d'un octet. Et d'un autre coté, les protocoles dit basé sur du texte, transmettent eux des valeurs qui correspondent à des caractères lisibles par l'être humain (par exemple de l'ASCII) [[6](https://en.wikipedia.org/wiki/Communication_protocol#:~:text=A%20binary%20protocol%20utilizes%20all,rather%20than%20a%20human%20being)]. + +### C03 - Codecs: + +Les codecs sont des manières d'encoder l'information transmise qui détermines la qualité audio, la bande-passante, la compression de la voix, etc. + +Il sont généralement caractérisé par 3 choses: + +- Le taux d'échantillonnage +- Le débit binaire +- La bande-passante utilisée + +En VoIP il en existe plusieurs, les 3 plus connus sont: + +1. **G.711**, inventé en 1972, il propose une qualité sonore élevée mais requière une assez grosse bande-passante. + +2. **G.722HD**, c'est un codec dit Haute-Définition (HD) qui fut créé en 1988. + +3. **G.729**, c'est l'un des codecs les plus légé en bande-passante et avec une qualité audio résonable. + +Source => [[9](https://www.nextiva.com/blog/voip-codecs.html#:~:text=A%20VoIP%20codec%20is%20a,two%20terms%3A%20Compression%20and%20Decompression.)] + +## **Bibliographie:** + +### - [1]() + +Titre: Inter-Asterisk eXchange: Deployement scenariosin SIP-enabled nteworks + +Auteur: WILEY, John Wiley & Sons + +Date de parution: 2009 + +Date de visite: 29/04/2022 + +### - [2](https://en.wikipedia.org/wiki/Inter-Asterisk_eXchange) + +Titre: Inter-Asterisk eXchange + +Auteur: ? + +Date de parution: 7 Novembre 2021 + +Date de visite: 27/04/2022 + +### - [3](https://www.voip-info.org/iax-versus-sip/.) + +Titre: IAX (Inter-Asterisk Exchange Protocol) + +Auteur: Mark Spencer + +Date de parution: 1 Juin 2005 + +Date de visite: 23/04/2022 + +### - [4](https://askanydifference.com/difference-between-sip-and-iax/) + +Titre: Difference Between SIP and IAX (With Table) + +Auteur: askanydifference + +Date de parution: ? + +Date de visite: 28/04/2022 + +### - [5](https://www.voip-info.org/iax-versus-sip/#:~:text=1) + +Titre: IAX versus SIP + +Auteur: VoIP Info + +Date de parution: 1 juin 2005 + +Date de visite: 23/04/2022 + +### - [6](https://en.wikipedia.org/wiki/Communication_protocol#:~:text=A%20binary%20protocol%20utilizes%20all,rather%20than%20a%20human%20being.) + +Titre: Communication protocol + +Auteur: Wikipedia + +Date de parution: 26 Avril 202 + +Date de visite: 1/05/2022 + +### - [7](https://fr.wikipedia.org/wiki/Attaque_par_déni_de_service) + +Titre: Attaque par déni de service + +Auteur: Wikipedia + +Date de parution: 1 avril 2022 + +Date de visite: 1/05/2022 + +### - [8](https://en.wikipedia.org/wiki/Asterisk) + +Titre: Asterisk + +Auteur: Wikipedia + +Date de parution: 4 mai 2022 + +Date de visite: 25/04/2022 + +### - [9](https://www.nextiva.com/blog/voip-codecs.html#:~:text=A%20VoIP%20codec%20is%20a,two%20terms%3A%20Compression%20and%20Decompression.) + +Titre: What Are VoIP Codecs & How Do They Affect Call Sound Quality? + +Auteur: JEREMIAH ZERBY + +Date de parution: 16 novembre 2020 + +Date de visite: 08/05/2022 + +### - [10](https://scialert.net/fulltext/?doi=ajsr.2017.110.115) + +Titre: VoIP Protocols’ Bandwidth Based-Mini/RTP Header Using Different Codecs: A Comparison + +Auteur: Naser K.A. Alajmi, Hadeel Saleh Haj Aliwi and Kamal Alieyan + +Date de parution: 15 juin 2017 + +Date de visite: 05/05/2022 diff --git "a/R\303\251seaux/ICMP.md" "b/R\303\251seaux/ICMP.md" new file mode 100644 index 0000000..c8e6824 --- /dev/null +++ "b/R\303\251seaux/ICMP.md" @@ -0,0 +1,155 @@ +--- +layout: default +title: ICMP +parent: Réseaux +--- + +# ICMP + +## Qu'est-ce que le protocole ICMP ? [[1]](https://www.ionos.fr/digitalguide/serveur/know-how/quest-ce-que-le-protocole-icmp/) [[2]](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol#cite_note-5) [[3]](https://www.editions-eni.fr/open/mediabook.aspx?idR=769233a055093dd8a2a414361a469394) +--- + +ICMP ou Internet Control Message Protocol est un protocole faisant parti de l'ensemble des protocoles TCP/IP et sert à la transmission de messages de contrôle et d'erreur. + +A ce jour, il existe 2 versions : une pour l'Ipv4, décrite dans l'RFC 792 [[4]](https://datatracker.ietf.org/doc/html/rfc792) en 1981, et une pour l'Ipv6 [[5]](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol_V6), décrite dans l'RFC 4443 [[6]](https://datatracker.ietf.org/doc/html/rfc4443) en 2006. + +## Pourquoi utiliser ICMP ? [[2]](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol#cite_note-5) [[4]](https://datatracker.ietf.org/doc/html/rfc792) +--- + +Le but d'ICMP est de signaler et contrôler les problèmes lors d'une transmission. Par exemple, c'est grâce à lui qu'on sait que la destination n'est pas atteignable ou qu'il y a eu une redirection. De ce fait, il doit être implémenté dans chaque module IP. +Il faut également savoir qu'aucun message ICMP n'est envoyé pour répondre à la réception d'une autre message ICMP et ce, afin d'éviter des problèmes de bouclage sans fin. + +Pour finir, faite attention, son but n'est pas de rendre le protocole IP (Internet Protocol) fiable. Il ne garantit en rien l'arrivée d'un paquet de données à sa destination et ne signale pas la perte d'un paquet lors de sa transmission. + + +## ICMP et le modèle OSI [[2]](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol#cite_note-5) [[3]](https://www.editions-eni.fr/open/mediabook.aspx?idR=769233a055093dd8a2a414361a469394) +--- + +Le protocole ICMP est un protocole de couche 3 sur le modèle OSI mais est traité comme un se situant sur une couche supérieure lors de son encapsulation dans le protocole IP. +

+ Modèle OSI +

+ +## Fonctionnement d'ICMP +--- + +ICMP utilise un système de types et de codes qui permet d'identifier le type de message et l'état de ce dit type. + +### Les types et leurs codes [[7]](https://www.iana.org/assignments/icmpv6-parameters/icmpv6-parameters.xhtml#icmpv6-parameters-2) [[8]](https://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml) +--- +Les types sont différenciés à l'aide d'un numéro allant de 0 à 255 qui leur est propre et sont accompagnés par un ou plusieurs codes permettant d'identifier le problème/contrôle. + +Exemples en IPv4 : +Type | Code | Description +---- | ---- | ----------- +0 - Réponse d'écho | 0 | Réponse d'echo +3 - Destinataire inaccessible | 0 | Réseau inaccessible +3 - Destinataire inaccessible | 1 | Machine inaccessible +3 - Destinataire inaccessible | 2 | Protocole inaccessible +3 - Destinataire inaccessible | 3 | Port inaccessible +8 - Demande d'écho | 0 | Demande d'écho + +Il faut également savoir que les numéros de types sont différents suivants la version d'ICMP qu'on utilise. Ainsi, le type 1 en IPv6 n'est pas forcément le même qu'en IPv4. + +Si vous voulez plus de détails sur ces numéros et codes, voici la documentation de L'IANA à ce sujet : IPv6 et IPv4 + + +### Format d'un paquet ICMP [[1]](https://www.ionos.fr/digitalguide/serveur/know-how/quest-ce-que-le-protocole-icmp/) [[2]](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol#cite_note-5) [[3]](https://www.editions-eni.fr/open/mediabook.aspx?idR=769233a055093dd8a2a414361a469394) [[5]](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol_V6) +--- + +Même si le protocole ICMP se trouve sur la même couche que le protocole IP, il ne dispose pas d'un paquet propre. En effet, il est directement encapsulé dans un paquet IP. De ce fait, ICMP est traité par IP comme étant un protocole de couche supérieure. + +Le format en IPv4 contient : + +

+ Paquet IPv4 avec ICMP +

+ +- un en-tête IPv4 (en vert). La valeur de _Protocole_ est 1 et celle de _Type de Service_ est 0. +- un en-tête ICMP (en bleu) : + - Type : le numéro du type de message + - Code : le code décrivant l'état du type + - Somme de contrôle : permet de vérifier que les données n'ont pas été corrompu en chemin. + +Le format en IPv6 est semblable à celui en IPv4 mais son en-tête IP est adapté à la version 6. + +## Ping et ICMP [[9]](https://linux.die.net/man/8/ping) +--- + +Ping est une commande très connue qui utilise des paquets ICMP (plus précisément des _ECHO_REQUEST ICMP_ et des _ECHO_RESPONSE ICMP_) afin d'obtenir plusieurs informations sur le réseau. + +Pour effectuer une requête ping, il faut saisir, au minimum, ceci : `ping adresseIP/nomHôte` + +Par exemple : + +Taper `ping canopus` donnera ceci : +``` +PING canopus.austin.century.com: (128.116.1.5): 56 data bytes +64 bytes from 128.116.1.5: icmp_seq=0 ttl=255 time=2 ms +64 bytes from 128.116.1.5: icmp_seq=1 ttl=255 time=2 ms +64 bytes from 128.116.1.5: icmp_seq=2 ttl=255 time=3 ms +64 bytes from 128.116.1.5: icmp_seq=3 ttl=255 time=2 ms + +----canopus.austin.century.com PING Statistics---- +4 packets transmitted, 4 packets received, 0% packet loss +round-trip min/avg/max = 2/2/3 ms +``` +Une réponse standard contient différentes informations : le nombre de bytes envoyé par paquet, la destination, le numéro du paquet, le TTL nécessaire pour atteindre la destination, le temps que cela a nécessité et le nombre de paquets perdus et réceptionnés . D'autres informations peuvent être obtenues en fonction des paramètres que l'on choisit. Plus de détails [ici](https://linux.die.net/man/8/ping). + +## Alternative à ICMP et à PING [[10]](https://linux.die.net/man/1/echoping) [[11]](https://linux.die.net/man/8/arping) [[12]](https://curl.se/) +--- + +Le problème avec la commande ping et ICMP en général, est qu'une grande partie du trafic ICMP est bloquée par les pare-feu des réseaux pour diverses raisons de sécurité. Dans ce cas, voici plusieurs alternatives : +- echoping [[10]](https://linux.die.net/man/1/echoping) : fonctionne de manière similaire à ping. Sa grande différence est qu'il utilise TCP au lieu d'ICMP. +- arping [[11]](https://linux.die.net/man/8/arping) : fonctionne de manière similaire à ping. Il utilise des paquets ARP pour vérifier l'état de la destination. On peut également utiliser des adresses MAC avec cette commande. +- curl [[12]](https://curl.se/) : alternative majoritairement utilisée pour tester la connectivité d'un site. + +## Bibliographie + +1. [Qu'est-ce que le protocole ICMP ?](https://www.ionos.fr/digitalguide/serveur/know-how/quest-ce-que-le-protocole-icmp/), Digital Guide IONOS, le 05/03/2019, consulté le 31/05/2022 + - _Résumé : Explication générale d'ICMP_ + - _Avis sur la ressource : Permet de se faire une idée en gros du sujet_ + +2. [Internet Control Message Protocol](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol#cite_note-5), Wikipedia, 27/12/2021, consulté le 31/05/2022 + - _Résumé : Explication générale d'ICMPv4_ + - _Avis sur la ressource : Fiable et permet d'étoffer quelques détails_ + +3. [ICMP](https://www.editions-eni.fr/open/mediabook.aspx?idR=769233a055093dd8a2a414361a469394), Cisco, consulté le 31/05/2022 + - _Résumé : Extrait du livre de Cisco sur les notions de base en sur les réseaux_ + - _Avis sur la ressource : Fiable et résume en quelque ligne et de manière suffisante (pour cet article) ICMP_ + +4. [RFC 792](https://datatracker.ietf.org/doc/html/rfc792), J.Postel, septembre 1981, consulté le 31/05/2022 + - _Résumé : RFC détaillant l'implémentation d'ICMPv4_ + - _Avis sur la ressource : Fiable et explique de manière détailler ICMPv4_ + +5. [Internet Control Message Protocol V6](https://fr.wikipedia.org/wiki/Internet_Control_Message_Protocol_V6), Wikipedia, 10/10/2017, consulté le 31/05/2022 + - _Résumé : Explication générale d'ICMPv6_ + - _Avis sur la ressource : Fiable et permet d'étoffer quelques détails_ + +6. [RFC 4443](https://datatracker.ietf.org/doc/html/rfc4443), A.Conta & S.Deering & M.Gupta, mars 2003, consulté le 31/05/2022 + - _Résumé : RFC détaillant l'implémentation d'ICMPv6_ + - _Avis sur la ressource : Fiable et reprenant l'implémentation d'ICMPv4 mise à jour pour ICMPv6_ + +7. [Internet Control Message Protocol version 6 (ICMPv6) Parameters](https://www.iana.org/assignments/icmpv6-parameters/icmpv6-parameters.xhtml#icmpv6-parameters-2), Iana, 27/04/2022, consulté le 31/05/2022 + - _Résumé : Document de l'Iana regroupant tous les codes et types d'ICMPv6_ + - _Avis sur la ressource : Fiable et permet d'avoir la liste complète et expliquée de tous les paramètres d'ICMPv6_ + +8. [Internet Control Message Protocol (ICMP) Parameters](https://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml), Iana, 25/09/2020, consulté le 31/05/2022 + - _Résumé : Document de l'Iana regroupant tous les codes et types d'ICMPv4_ + - _Avis sur la ressource : Fiable et permet d'avoir la liste complète et expliquée de tous les paramètres d'ICMPv4_ +9. [ping(8) - Linux man page](https://linux.die.net/man/8/ping), Linux.die.net, consulté le 08/06/22 + - _Résumé : Page MAN de la commande ping_ + - _Avis sur la ressource : Fiable car il s'agit de la documentation provenant des pages MAN_ + +10. [echoping(1) - Linux man page](https://linux.die.net/man/1/echoping),Linux.die.net, consulté le 08/06/22 + - _Résumé : Page MAN de la commande echoping_ + - _Avis sur la ressource : Fiable car il s'agit de la documentation provenant des pages MAN_ + +11. [arping(8) - Linux man page](https://linux.die.net/man/8/arping),Linux.die.net, consulté le 08/06/22 + - _Résumé : Page MAN de la commande arping_ + - _Avis sur la ressource : Fiable car il s'agit de la documentation provenant des pages MAN_ + +12. [CURL://](https://curl.se/), curl, consulté le 08/06/22 + - _Résumé : Site web de CURL et sa documentation_ + - _Avis sur la ressource : Fiable car il s'agit du site officiel de curl_ + diff --git "a/R\303\251seaux/LDAP.md" "b/R\303\251seaux/LDAP.md" new file mode 100644 index 0000000..8d57769 --- /dev/null +++ "b/R\303\251seaux/LDAP.md" @@ -0,0 +1,232 @@ +--- +layout: default +title: LDAP +parent: Réseaux +--- + +# LDAP + + +Aujourd’hui, l’un des enjeux majeures lors de la croissance d’une entreprise est la sécurité de son systeme d'information; il est impératif de garder le contrôle sur l’ensemble des données nécessaires à l’authentification et les droits d’accès…ces informations sont très difficiles à maitriser car très volatiles et éparses, il devient donc de plus en plus difficile d’utiliser un stockage de données classique. Une solution à ce problème serait de mettre en place des annuaires LDAP. +LDAP (Lightweight Directory Access Protocol) est un protocole qui spécifie une méthode de stockage d’annuaire et facilite l’authentification et l’autorisation des utilisateurs aux serveurs, fichiers, équipements réseaux etc... + + +## LES ORIGINES DU PROTOCOLE LDAP +LDAP a été codéveloppé par Tim Howes de l'Université du Michigan, Steve Kille d' Isode Limited et Wengyik Yeong de Performance Systems International, en 1993. [[1](https://ldapwiki.com/wiki/History%20of%20LDAP)]. +Au commencement, l'Union Internationale des Télécommunications (UIT) créa les annuaires X.500 qui reposaient sur le protocole DAP (directory access protocol) . Ce fut à l’époque un concept novateur dans l’uniformisation d’accès aux services, la centralisation et la protection des ressources. Seulement il était très difficile à mettre en place a la fois pour les systèmes et pour les réseaux. LDAP apparaitra comme une solution a tous ces problèmes en permettant l’authentification et l’autorisation des utilisateurs sur les serveurs, les fichiers et les applications tout en réduisant la bande passante et la demande sur les terminaux. Grâce à ces gains d'efficacité, LDAP connaîtrait un grand succès et deviendra le protocole d'authentification de facto des services d'annuaire Internet pendant un certain temps et en 1997, LDAPV3 a été proposé et acceptée comme norme internet pour les services d’annuaire ; aujourd’hui encore c’est la version la plus recente et la plus rependue + +[[2](https://openclassrooms.com/fr/courses/2257706-presentation-du-concept-dannuaire-ldap)] + + +## DESCRIPTION DU PROTOCOLE LDAP +LDAP est un protocole de la couche 7 qui utilise TCP comme protocole de transport et fonctionne par défaut sur le port 389 et 636 pour sa version sécurisée (LDAP OVER TLS/SSL). + +On distingue 02 méthodes de communications : +- **Client/serveur** : accès aux informations par les clients +- **Serveur/serveur** : duplication des informations entre serveurs + + + La version actuelle (version 3) proposent les évolutions suivantes : +- L'utilisation de l'encodage UTF-8 +- L'authentification via Simple Authentication and Security Layer (SASL), et Transport Layer Security (TLS) +- Le support des Referrals (une branche pointe vers un autre annuaire) +- La capacité d'étendre le protocole +- Le support des schémas dans l'annuaire + +## AVANTAGES ET INCONVENIENTS DE LDAP + +### AVANTAGES +- Il peut être open source : on a par exemple OPENLDAP +- Standardisé : LDAP a été ratifié en tant que norme IETF (Internet Engineering Task Force) en 1997 avec RFC 2251. [[3](https://www.journaldunet.fr/web-tech/dictionnaire-du-webmastering/1203397-ldap-lightweight-directory-access-protocol-definition-traduction)]. + +- Flexible : l’authentification LDAP est utilisé pour de nombreux cas de figure. +- Securisé : en effet grâce à SSL ou TLS, il est tout à fait possible de chiffrer les communications LDAP et donc les rendre plus ou moins inaccessibles +- Multi-système : LDAP est compatible avec différents systèmes d’exploitation et d’appareils. Cependant, différentes offres LDAP peuvent limiter cette flexibilité ; active directory, par exemple, est centré sur Windows et necessite souvent des options complémentaires pour fonctionner avec des systèmes d’exploitation supplémentaires. + + +### INCONVENIENTS +- Ancienneté : LDAP est un protocole plus ancien. Aujoud’hui il existe de nouveaux protocoles d’authentification tels que SAML qui sont conçus pour les environnements informatiques modernes orientés cloud.[[4](https://www.okta.com/fr/blog/2016/12/what-is-saml/)]. +- Mise en place assez complexe : l’installation et la maintenance de LDAP dans une entreprise nécessite généralement des compétences assez poussées. + +## PRINCIPES + +Un serveur LDAP agira donc de façon **asynchrone** comme un **intermédiaire** entre un client et une source de données qui pourrait être un fichier ou une base de données. Ses principales fonctions sont: +- **Mise à jour** : Cela inclut l'ajout, la suppression ou la modification des informations de répertoire. +- **Requête** : Cela inclut la recherche et la comparaison des informations d'annuaire. +- **Authentification** : les principales fonctions d'authentification incluent la liaison et la déliaison ; une troisième fonction, abandon, peut être utilisée pour empêcher un serveur de terminer une opération. + +![image](https://user-images.githubusercontent.com/64273779/168279400-381b5146-817d-4bc3-a4c5-85a5499e780a.png) + + +les modèles LDAP représentent les services que propose le serveur au client. On en distingue 04 d’après) qui sont : + +- **Le modèle de nommage** : définit La façon dont les informations sont stockées et organisées dans l’annuaire. +- **Le modèle fonctionnel** : définit les services fournis par l’annuaire (recherche , ajout). +- **Le modèle d’information** : définit le type d’informations stockées. +- **Le modèle de sécurité** : définit les droits d’accès aux ressources[[5](https://openclassrooms.com/fr/courses/2257706-presentation-du-concept-dannuaire-ldap)] + + + +### LE MODELE DE NOMMAGE + +Dans un annuaire LDAP, les données sont représentées de manière hiérarchique, on parlera ici d’arborescence d’informations d’annuaire (DIT). Dans cette structure arborescente, chaque élément est appelé une entrée et possède : ++ Un ensemble d’attributs qui représentent les caractéristiques de ce dernier. ++ un DN (Distinguished Name) qui est le nom complet permettant de le situer dans l’arbre. ++ Un RDN (relative distinguished Name ) qui est la partie du DN permettant de représenter cette élément de manière unique dans l’annuaire. + +Toutes les entrées n’ayant pas de subordonées correspondent donc à des feuilles et la racine est l’entité globale qui englobe toutes les informations dans l’annuaire. + +![image](https://user-images.githubusercontent.com/64273779/168279486-c4a11c9f-1f0f-4231-a445-b73a83cb3e17.png) + + +Dans l’Example ci-dessus, la racine correspond au nom de domaine où est hébergé le serveur LDAP. On a donc 02 branches (users et groups) qui correspondent aux organisational units. + +La feuille BRICE par exemple aura comme DN : **cn=brice,ou=users,dc=ephec-ti,dc=be et son RDN sera brice** + + +### LE MODELE FONCTIONNEL +Il décrit les moyens d’acces et les operations applicables aux données. + +Les operations possibles seront : +- Opération d’interrogation : requête pour accéder aux données +- Opération de comparaison : renvoie vrai ou faux si egal. +- Les operations de mise a jour : + - Add : ajouter une entrée au repertoire + - Delete : suppromer une entrée au repertoire + - Rename : modifier le nom d’entrée d’un repertoire + - Modify : modifier une entrée +- Les opérations d’authentification et de contrôle : + - Bind : Initier une nouvelle session sur le serveur LDAP + - Unbind : Terminer une session sur le serveur LDAP + - Abandon : Abandonner l’operation précédemment envoyée au serveur. + + ### LE MODELE D’INFORMATION + + Il définit le type de données pouvant être stocké dans l’annuaire. + Une Entrée représente l’élément de base de l’annuaire. Elle contient les données, un ensemble d’attributs ; on peut faire le parallèle avec les classes en POO. + + Un attribut pourra donc appartenir à plusieurs classes. Il est caractérisé par un nom, un type, une méthode de comparaison, un objet Identifier, une valeur. + + Une classe d’objet est définie par : + * Un nom + * Un OID qui l’identifie de manière unique dans l’arborescence + * Des attributs obligatoires + * Des attributs optionnels + +L’ensemble formé par ces classes d’objet et leurs attributs seront définis par un schéma. + + +### LE MODELE DE SECURITE +Il décrit le moyen de protéger les données de l’annuaire par des mécanismes permettant aux clients de s’identifier et d’acceder aux données selon leurs droit. Il s’etend sur plusieurs niveaux : +- L’authentification pour se connecter au service : Pour accéder aux ressources de l’annuaire, le client doit s’authentifier auprès du serveur. Cette opération est dite de « binding » [[6](https://openclassrooms.com/fr/courses/2257706-presentation-du-concept-dannuaire-ldap/2260351-modele-de-securite)] + les différentes méthodes d’authentification proposée par LDAPV3 sont: + * Anonymous authentification : accès sans authentification + * Root DN authentication : accès administrateur + * Mot de passe+ SSL ou TLS : accès chiffré + * Certificats sur SSL : échange de clé publique ou privée +- Un modèle de contrôle d’accès aux données : droit d’accès aux données(lecture, ecriture, recherche , comparaison). +- Par le chiffrement des communications : utilisation de SSL ou TLS + + +## MISE EN PLACE D'UN SERVEUR LDAP + +La configuration d’un annuaire LDAP passe par plusieurs étapes a savoir : + +### Etape1 : **la phase de conception** + +On determine: ++ La nature des données ++ La finalité de ces données c’est-à-dire ce que l’on compte en faire ++ La manière de gérer ces données ++ On désigne enfin le DIT (DIRECTORY INFORMATION TREE) + +### Etape2 : **configuration du serveur** + ++ Installation du serveur ++ Creation du/des comptes administrateurs ++ Ajout des nouveaux objets en fonction du DIT designé au prealable + +### ETAPE 3 : **sécurisation du service** + +Configuration des ACL : définir les types d’utilisateurs et les niveaux d’accès pour chaque ressource de l’annuaire. + +on distingue plusieurs d'accès: + +| niveau | Description | +| ------------- |------------- | +| none | pas d'accès | +| compare |comparaison | +| auth | authentification | +|search | recherche | +| read | lecture | +| write | ecriture | + + +Les différents types d’utilisateurs + + +| niveau | Description | +| ------------- | ------------- | +| * | Tous les types d’utilisateurs | +|anonymous |Utilisateur anonyme | +| users | Utilisateur authentifié | +|self| Utilisateur associé à l’entrée recherche| + +[[7](http://igm.univ-mlv.fr/~dr/XPOSE2009/ldap/xpose_ldap.pdf)] + + +## LDAP VERS LE CLOUD? + +Aujourd'hui la plupart des entreprises se tournent vers des solutions CLOUD; il nait donc le besoin de solutions d'annuaire plus flexibles, pouvant fonctionner avec des ressources cloud et s'adapter à differents systemes d'exploitations. Les solutions centrées sur Microsoft windows et Azure d'active directory commencent donc à présenter des limites pour de nombreuses entreprises avec des systemes d'exploitation divers. Ces nouveaux défis avec AD et les annuaires sur site ont poussé les entreprises à se tourner vers le cloud LDAP et, finalement, vers Directory-as-a-Service. + + + + + +## Bibliographie + +* [[1](https://ldapwiki.com/wiki/History%20of%20LDAP)]. + - titre : History of LDAP + - auteur: + - derniere modification: 20/06/ 2019 + - date de consultation : 11/05/2022 + +* [[2](https://openclassrooms.com/fr/courses/2257706-presentation-du-concept-dannuaire-ldap)] + - titre: presentation du concept d'annuaire LDAP + - auteur: Antoine Bouet + - derniere mise à jour: 14/02/2022 + - date de consultation: 11/05/2022 + +* [[3](https://www.journaldunet.fr/web-tech/dictionnaire-du-webmastering/1203397-ldap-lightweight-directory-access-protocol-definition-traduction)] + - titre : LDAP (Lightweight Directory Access Protocol) : définition, traduction + - auteur: + - derniere mise à jour : 09/01/2019 + - date de consultation : 12/05/2022 + +* [[4](https://www.okta.com/fr/blog/2016/12/what-is-saml/)] + - titre : Qu'est-ce que le protocole SAML ? + - auteur: Ed Sawma + - derniere mise à jour : 04/09/2020 + - date de consultation : 12/05/2022 + +* [[5](https://openclassrooms.com/fr/courses/2257706-presentation-du-concept-dannuaire-ldap)] + - titre: presentation du concept d'annuaire LDAP + - auteur: Antoine Bouet + - derniere mise à jour: 14/02/2022 + - date de consultation: 11/05/2022 + +* [[6](https://openclassrooms.com/fr/courses/2257706-presentation-du-concept-dannuaire-ldap/2260351-modele-de-securite)] + - titre: presentation du concept d'annuaire LDAP + - auteur: Antoine Bouet + - derniere mise à jour: 14/02/2022 + - date de consultation: 11/05/2022 + +* [[7](http://igm.univ-mlv.fr/~dr/XPOSE2009/ldap/xpose_ldap.pdf)] + - titre: LDAP et les services d'annuaire + - auteur: marc olory + - derniere mise a jour: 12/12/2010 + - date de consultation: 13/05/2022 + + + + diff --git "a/R\303\251seaux/LoRaWAN.md" "b/R\303\251seaux/LoRaWAN.md" new file mode 100644 index 0000000..e2c0360 --- /dev/null +++ "b/R\303\251seaux/LoRaWAN.md" @@ -0,0 +1,168 @@ +> ### _Carlier Louis_ + +# Article Wiki LoRaWAN - Carlier Louis + +![image](https://user-images.githubusercontent.com/63374771/186425838-bcc3a80a-eccc-464e-b0e1-96ca939edd88.png) + +# Introduction + + + +LoRaWAN (acronyme de "Long Range Wide-area network") est un protocole de télécommunication radio permettant les communications bas débit et ne nécessitant que très peu de consommation énergétique. + +Ce protocole est utilisé dans le cadre de l'internet des objets, c'est à dire l'interconnexion entre internet et des objets, des lieux ou des environnements physiques. Par exemple, il peut être utiliser dans le cadre de monitoring industriel ou encore pour des applications agricoles. + +![image](https://user-images.githubusercontent.com/63374771/186428645-009de9d6-52d1-4146-a6f8-b5bf9ca59d41.png) + +Source: https://knowhow.distrelec.com/fr/telecommunication/quest-ce-que-la-technologie-lora-lorawan/ + +
+ + +Il est est fondé sur la technologie de modulation propriétaire LoRa et est créée en 2009 par la start-up grenobloise Cycléo. L'entreprise a ensuite été rachetée en 2012 pour 21 millions de dollars par le spécialiste américain des semi-conducteurs Semtech. + + + +# LoRa et LoRaWAN + +LoRaWAN est un protocole tandis que LoRa fait référence à la couche physique permettant de connecter des capteurs ou objets nécessitant une longue autonomie de batterie à moindre coût. + +LoRaWAN est la couche logicielle qui détermine la manière dont les appareils utilisent le matériel LoRa, il fait partie des technologies LPWAN (Low Power Wide Area Network) qui assurent une couverture longue portée tout en consommant peu de puissance. Les informations transportées peuvent circuler sur des distances plus longues que sur les réseaux de télécommunication traditionnels. Un objet connecté en LoRaWAN peut envoyer des données à une borne située à une distance d'1 kilomètre en zone urbaine et à plus de 20 kilomètres dans une zone rurale plane. + +![image](https://user-images.githubusercontent.com/63374771/186429090-4da121b3-f2ca-4e84-a057-9c6f36a9438b.png) + +Source: https://knowhow.distrelec.com/fr/telecommunication/quest-ce-que-la-technologie-lora-lorawan/ + +
+ + +Contrairement aux réseaux mobiles "classique" (4G, 5G), LoraWAN n'est pas taillé pour transporter de grande quantité de données, il n'est pas fait pour êtres utiliser pour satisfaire les besoins des smartphones par exemple. La technologie de modulation de fréquence utilisée ne permet de faire circuler que des petites quantité de données, comme par exemple avec les données émises par des capteurs à ultrasons ou de température par exemple. Le débit de transfert est compris entre 0,3 et 50 kilobits par seconde, ce qui est vraiment faible. + +De plus, la spécification LoRaWAN est une norme qui permet une bonne intégration entre les dispositifs d’autres fabricants. Ce simple facteur est l’une des raisons pour lesquelles la technologie LoRa s’est vite accélérée dans le secteur de l’IoT. + +
+ +Tableau comparatif des différentes technologies LPWAN: + +![image](https://user-images.githubusercontent.com/63374771/186467492-5856ac47-fdd2-4550-815f-6fa9df5dc959.png) + +Source: http://cedric.cnam.fr/~bouzefra/cours/cours_Lora.pdf + + +# Fonctionnement et architecture de LoRaWAN + +L’architecture de LoRaWAN est divisé en quatre composants: +* End Nodes +* Passerelle +* Serveur réseau +* Serveur d’applications (dans le cloud) + +![image](https://user-images.githubusercontent.com/63374771/186436742-6159b66e-ef81-455f-a7a3-ff71329d1d86.png) + +Source: https://knowhow.distrelec.com/fr/telecommunication/quest-ce-que-la-technologie-lora-lorawan/ + +
+ + +Les End Nodes (nœuds) sont situés à l’extrémité du réseau, ce sont des microcontrôleurs base consommation. Ils peuvent être déployé sur le terrain pendant de nombreuses années sans aucune maintenance. Ils sont équipés d’un émetteur LoRa pour pouvoir envoyer des paquets de données à la passerelle. + +Les passerelles de LoRaWAN reçoivent les données des Ends Nodes. Les passerelles sont des transporteurs de paquets et elles permettent de faire la liaison entre les dispositifs et le réseau. Une passerelle transmet tous les paquets radio en liaison montante au serveur et inversement, sur la liaison descendante, la passerelle LoRa exécute les demandes de transmission provenant du serveur. + +Le serveur réseau reçoit les données des passerelles et les transferts au serveur d'applications. Un grand nombre de fonctionnalités doivent être implémentées sur ce serveur, comme par exemple le filtrage des paquets en liaison montante en double ou encore l'exécution des mécanismes de gestion du réseau. + +Le serveur d'applications permet d'interpréter les données reçues. C'est ce serveur qui est responsable du cryptage, du décryptage et du traitement des payloads de la couche application. De nombreuses application avec différents type de cryptage ou d'encodage peuvent être prise en compte par ce serveur afin d'assurer la sécurité des données et la qualité de la transmission. + +# Couverture réseau de LoRaWAN + +Chaque opérateur LoRaWAN dispose de son propre réseau et donc de sa propre carte de couverture. Il y a un total de 170 opérateurs dans le monde (chiffre de mai 2022) proposent un réseau LoRaWAN dans plus de 162 pays. En Belgique, le réseau est proposé par Proximus. + +![image](https://user-images.githubusercontent.com/63374771/186466575-e27ad0e2-2fdc-4754-ba5c-3300da29cdc2.png) + +Source: http://cedric.cnam.fr/~bouzefra/cours/cours_Lora.pdf + +
+ + + +# Sécurité du réseau LoRaWAN + +Une sécurité irréprochable est indispensable pour toute conception LPWAN. LoRaWAN utilise un cryptage AES 128 bits et comprend deux couches de sécurité indépendantes : une clé de session réseau (NwkSKey) et une clé de session d'application (AppSKey). + +![image](https://user-images.githubusercontent.com/63374771/186444981-5792bc03-2e4f-4ccd-8bcb-cc5240dd1b6e.png) + +Source: https://www.digikey.be/fr/articles/develop-lora-for-low-rate-long-range-iot-applications + +
+ +_Le flux de données d'un dispositif de terminaison LoRa vers l'application inclut un processus de cryptage et de décryptage au début et à la fin de la chaîne, pour que seuls le capteur du nœud d'extrémité et l'application aient accès aux données en texte brut._ + +
+ +La couche de sécurité du réseau permet de garantir l'authenticité du nœud au sein du réseau tandis que au niveau de l'application, elle garantit l'interdiction d'accès aux données d'application de l'utilisateur final par l'opérateur réseau. + +Logiquement, la clé applicative n’est connue que du fournisseur de l’application en question, évitant ainsi qu’un tiers ne puisse consulter les données. Pour sa part, la clé réseau, est communiquée par l’opérateur du réseau aux fournisseurs d’applications autorisés. + +Ces clés servent à sécuriser les données transmises par les équipements au travers du réseau mais elles sont également indispensables pour leur activation sur le réseau. + +# Activation d’un équipement LoRaWAN + +Avant de pouvoir effectuer une quelconque communication à travers un réseau LoRaWAN, les équipements doivent obtenir les clés de session, 2 méthodes d’activation sont possibles: OTAA (Over-The-Air Activation) ou APB (Activation By Personalization). + +## Activation avec la méthode OTAA + +Pour activer un équipement LoRaWAN avec cette méthode, l’équipement doit transmettre au réseau une demande d’accès ```join request```. Afin de réaliser cela, nous avons besoin de 3 paramètres: +1. Le DevEUI (id unique de l'équipement) +2. L'AppEU (id du fournisseur de l’application) +3. L'AppKey (clé AES 128 déterminée par le fournisseur de l’application) + +L'équipement envoie la requête contenant ces 3 paramètres ainsi qu’un MIC calculé avec l'AppKey. Le serveur d'enregistrement va recevoir cette requête et vérifier le MIC grâce à la clé AppKey et si le serveur accepte la requête de l'équipement, la requête ```join accept``` est transmise en réponse à ce dernier. + +Ensuite, les clés de session vont pouvoir être calculées à partir des données présentes dans la réponse du serveur. + +![image](https://user-images.githubusercontent.com/63374771/186460781-fc8c12ce-b18f-4328-a89b-d8cb49bd9f4e.png) + +Source: https://www.frugalprototype.com/technologie-lora-reseau-lorawan/ + + +A chaque nouvelle session, ces clés sont renouvelées. + +## Activation avec la méthode APB + +Avec cette méthode, les clés de session ainsi que l’adresse de l’équipement sont directement inscrits dans l’équipement LoRaWAN. De cette manière, l'envoi de requête n'est plus nécessaire avant de communiquer sur le réseau. + +Si on suit cette méthode, cela signifie que la communication a lieu sur un réseau spécifique car les clés de session sont connues d'avance. Contrairement à la méthode OTAA, ces clés sont statiques. + +## Laquelle de ces méthodes utiliser ? + +La méthode OTAA est plus sécurisé que la APB, cependant elle est plus complexe à mettre en place. + +Dans le cas d’un prototyoe ou pour une utilisation sur un réseau connu, la méthode APB est largement suffisante. + +Pour un déploiement plus conséquent, il est conseillé d'utiliser la méthode OTAA afin d'assurer plus de sécruité. + + +# Bibliographie + +1) [LoRa / LoRaWAN](https://enless-wireless.com/fr/lora/) - Nom du site: **Enless Wireless** - Auteur: **/** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +2) [LoRaWAN](https://fr.wikipedia.org/wiki/LoRaWAN) - Nom du site: **Wikipédia** - Auteur: **/** - Date de visite: **20/08/2022** - Dernière date de modification: **12/03/2022** + +3) [Internet des objets](https://fr.wikipedia.org/wiki/Internet_des_objets) - Nom du site: **Wikipédia** - Auteur: **/** - Date de visite: **20/08/2022** - Dernière date de modification: **14/06/2022** + +4) [Lora](https://www.journaldunet.fr/web-tech/dictionnaire-de-l-iot/1197635-lora-comment-fonctionne-le-reseau-iot-20220509/) - Nom du site: **JDN** - Auteur: **/** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +5) [M2M, IoT, LoRa, MQTT, …](https://www.atys-concept.com/blog-de-la-performance/articles-cybersecurite-et-reseaux/m2m-iot-lora-mqtt-comment-profiter-simplement-des-objets-connectes/) - Nom du site: **atys concept** - Auteur: **/** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +6) [LoRa et LoRaWAN](https://knowhow.distrelec.com/fr/telecommunication/quest-ce-que-la-technologie-lora-lorawan/) - Nom du site: **knowhow.distrelec** - Auteur: **Chris Rush** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +7) [LoRaWAN](https://iotindustriel.com/technologies-solutions-iiot/sans-fil/lorawan-conception-et-mise-en-oeuvre-pour-liot/) - Nom du site: **IoT Industriel** - Auteur: **Yasmine Aloui** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +8) [Développez avec LoRa pour les applications IoT bas débit, longue portée](https://www.digikey.be/fr/articles/develop-lora-for-low-rate-long-range-iot-applications) - Nom du site: **Digi-Key** - Auteur: **/** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +9) [LoRaWAN](https://www.frugalprototype.com/technologie-lora-reseau-lorawan/) - Nom du site: **Frugal Prototype** - Auteur: **Ali Benfattoum** - Date de visite: **20/08/2022** - Dernière date de modification: **/** + +10) [Cours sur le Réseau LoRaWAN](http://cedric.cnam.fr/~bouzefra/cours/cours_Lora.pdf) - Auteur: **Samia Bouzefrane** - Date de visite: **20/08/2022** + + + + diff --git "a/R\303\251seaux/MQTT.md" "b/R\303\251seaux/MQTT.md" new file mode 100644 index 0000000..d6854a1 --- /dev/null +++ "b/R\303\251seaux/MQTT.md" @@ -0,0 +1,212 @@ +--- +layout: default +title: MQTT +parent: Réseaux +--- +# Article Wiki MQTT - Momin Maxime 2TL2 + +## Introduction [1][2] + +MQTT, pour "Message Queuing Telemetry Transport", est un protocole basé sur TCP-IP au niveau de la couche applicative. Celui-ci appartient aux protocoles de messagerie dit de type **publish-subscribe**. +Il a vu le jour avec une première version en 1999 et est né de la collaboration de Andy Stanford-Clark (IBM¹) et Arlen Nipper (Eurotech²). +MQTT a été conçu dans le but d'étre utilisé dans les zones où la bande passante est tout d'abord limitée. Ensuite, ces principaux objectifs étaient d'être efficace en therme de bande passante, d'être léger et également de posséder un faible dépense en énergie. + +Ce protocole, possédant une moindre surcharge en therme d'en-têtes que d'autres protocoles comme HTTP³, excelle au niveau du transfert de données comparés à d'autres protocoles de communication. Un point important à spécifier est que celui-ci est décrit comme être facile à mettre en oeuvre coté client et convient très bien à des environnements possédants des ressources limitées. Etant donné que ce critère était également l'un des objectifs initiaux du protocole, il est important de le souligner. + +Il n'est pas rare de voir MQTT qualifié de protocole de file d'attente. Cette qualification est trompeuse étant donnée que MQTT ne présente pas de file d'attente comparable aux différentes solutions plus traditionnelles de communication. + +*IBM¹: Société multinationale américaine présent dans le domaine informatique* +*Eurotech²: Société italienne dans le secteur de l'informatique* +*HTTP³: Protocole de communication client-serveur* + +
+ +## Qu'est-ce qu'un protocole "publish-subscribe"? [1][3][4] + +Pour comprendre MQTT, il est impératif de comprendre ce qu'est un protocole que l'on qualifie de "publish-subscribe". + +Tout d'abord, il faut savoir que ce protocole utilise un mécanisme particulier pour transférer les données et est composé de deux types d'acteurs et d'un domaine de donnée: + +- Le domaine de donnée est appelé le **courtier** ou **broker**. +- Le premier type de client est **l'éditeur** ou plus communément qualifié le **publisher**.*-> Les clients publiant des données sur le courtier sont qualifiés d'éditeurs.* +- Le second type sont les **abonnés** ou **subscriber**. + *-> Les clients récupèrant les informations publiées sur le courtier sont qualifiés d'abonnés.* + +Un éditeur n'envoie des messages/données pour, à priori, aucun distanateur bien spécifique. A la place, les messages sont envoyé à une catégorie bien spécifique présente sur un courtier. *Il peut, bien entendu, il y avoir une multitude de catégories différentes présentes sur le courtiers.* + +Mais comment recevoir les données dans ces circonstances vous demandez-vous ? Et bien tout simplement par principe d'abonnement. Un dabonné souhaitant recevoir des données s'abonnera à la ou les catégories souhaitées et recevra donc les données présentes dans celles-ci. + +Bien entendu, un éditeur ne peut donc pas savoir si ses messages envoyés au courtier seront lus ou non par un abonné quelconque. Idem pour les abonnés qui pourront s'abonner aux catégories souhaitées mais n'aurons pas connaissance de l'existance d'un éditeur lié à cette catégorie. Seul le courtier est connu des différents éditeurs et abonnés. + +![](https://github.com/M-Momin/Wiki-TI/blob/main/Assets/Images/MQTT_publish-subscribe_sh%C3%A9ma.png) + +*Shéma réalisé via draw.io* + +### Dissociation ? [1][8] + +Un des élément fondamentale spécifique à ce modèle est la dissociation complète entre les éditeurs et les abonnés et ce sur plusieurs plans. + +- La **dissociation spatiale**: Les acteurs n'ont pas besoin de connaitre les informations de l'autre tel que l'adresse IP ou encore le port. +- La **dissociation temporelle**: L'éditeur ainsi que l'abonné ne doivent pas nécessairement fonctionner au même instant pour communiquer. +- La **dissociation de synchronisation**: Se traduit par le fait que l'envoie ou la réception d'un élèment n'interrompt pas les opérations s'exécutant sur les deux acteurs. + +### Le filtrage [1][5] + +Il est également interressant de savoir, qu'avec l'aide d'un filtrage bien défini, les messages peuvent être reçus seulement par certains destanataires bien spécifiques. + +Il existe 4 types de filtrage différents dans le cas du modèle "pub-sub": + +1. **Filtrage par sujet**: + Les messages envoyés sont reçus et stockés dans des catégories logiques plus communément appelés "sujets". Les différents abonnés d'un système, qui sont abonnés aux différents sujets visés, auront accès à toutes les informations envoyés et stockés dans ces catégories logiques spécifiques. +2. **Filtrage basé sur le contenu**: + Ici, les messages sont filtrés selon leurs attributs et/ou leur contenu. Un abonné recevra donc uniquement les messages correspondant aux différentes contraintes qu'il a spécifié. Il est important de préciser que cette méthode possède un inconvénient qui est que le contenu doit être connu avant toutes choses par l'abonné ainsi que par l'émetteur pour fonctionner correctement. +3. **Filtrage par type**: + Dans ce cas-ci, le filtrage se fait en fonction de l'évènement ou du type. Il est coutume d'utiliser cette méthode dans les languages qualifiés d'orientés objet. +4. **Filtrage hybride** + Dans certaines situations, la combinaison du filtrage par sujet et de celui basé sur le contenu est d'application. Dans un premier temps, des messages sont publiés dans des sujets spécifiques (Filtrage par sujet). Par la suite, les abonnés récupèrent des messages basés sur le contenu de différents sujets correspondant à leurs spécifications ultérieures (Filtrage basé sur le contenu). + +### Points importants à savoir [1] + +Dans le modèle pub/sub, il est important de connaitre, au préalable, les différents détails et aspects qui définissent la structuration des données établies (Différents contenus, attributs, sujets ...). Comme nous avons pu le constater dans le cas du filtrage basé sur le contenu, les 2 acteurs doivent connaitre les différents sujets avant quoi que ce soit. +Ensuite, il faut bien comprendre que les messages envoyés par un éditeur ne seront peut-être jamais reçus/lus par un abonné. + +
+ +## MQTT dans tout ça ? + +### MQTT - Modèle pub/sub [1][2][8] + +MQTT découpe l'espace en 2 parties distinctes composées de l'émetteur (publisher) et de l'abonné (subscriber). Ceux-ci doivent uniquement avoir pris connaissance de l'adresse ip et du port du courtier afin de pouvoir, dans le cas de l'émetteur, envoyer des messages et, dans le cas de l'abonné, s'abonner afin d'avoir la possibilité de recevoir des messages spécifiques. MQTT se dissocie donc d'une certaine manière spatialement. + +Généralement, l'utilisation de MQTT concerne une conversation quasi instantannée entre l'éditeur et l'abonné. Quand ce n'est pas le cas, une solution de repli existe car MQTT se dissocie temporellement. Le courtier peut donc stockés les informations afin qu'elles soient accessibles plus tard pour les distanataires qui ne sont pas actuellement connectés. Pour que cela se fasse, il faut respecter deux conditions: + +1. L'abonné s'est déja connecté une fois avec une session persistante. +2. L'abonné possède sur la catégorie spécifique une QoS¹ de 1 ou 2. + +MQTT peut également faire de la dissocation de synchronisation. Une bonne partie des bibliothèques clientes fonctionnent, à ce jour, de manière asynchrone à l'aide de fonction de rappels. Cela signifie que MQTT n'empêchera aucune tâches s'exécutant pendant la publication ou l'attente d'un message. + +MQTT fonctionne avec un filtrage par sujet. Chaque message émis par un éditeur au courtier contient donc un sujet. Le courtier utilise ce sujet afin de vérifier si oui ou non un abonné peut recevoir ce message spécifique. + +*QoS¹: la qualité de service décrit la capacité de transmettre des informations dans de bonnes et certaines conditions (les QoS concernant MQTT seront vues plus tard dans l'article.* + +### MQTT - Qualités de services [6][7] + +Il existe trois types différents de qualités de services pour le protocole MQTT. A savoir que chaque connexion au courtier est spécifiée par une valeur allant de 0 à 2. + +1. QoS = 0**Au plus une fois** qui signifie que le message sera envoyé uniquement envoyé une fois à l'abonné sans accusé de réception. Si l'abonné n'est pas en ligne ou que le message se perd, il ne sera jamais renvoyé et sera donc perdu. A savoir que le message ne requiert donc pas d'être stocké dans le courtier. Ce mode de transfert est le plus rapide des 3. +2. QoS = 1**Au moins une fois** spécifie que le message sera envoyé jusqu'à ce qu'un accusé de réception soit reçu par l'émetteur du message. Le message doit donc pouvoir être stocké temporairement par l'émetteur pour pouvoir être renvoyé si jamais. Le message pourra, dans ce cas-ci, être envoyé plusieurs fois. +3. QoS = 2 + **Exactement une fois** est le niveau le plus important, le plus sûr et le plus lent dans MQTT. Il est défini par l'utilisation d'une négociation à deux niveaux entre le client expéditeur et le client abonné. Ce procédé permet de garantir la réception d'une unique copie du message. + +
+ +## MQTT & MQ ? + +MQTT est bien différent d'un simple protocole de messagerie par file d'attente. Contrairement à ce dernier, en MQTT, le principe est de pouvoir partager un message à tout abonnés s'étant abonné au préalable au sujet et non pas juste à un seul consomateur. Les sujets sont également bien plus flexibles qu'une simple liste d'attente étant donné que ceux-ci peuvent être créés au fur et à mesure. + +
+ +## Connexion MQTT via NAT + +Généralement un client MQTT, éditeur ou abonné, est placé derrière un routeur qui s'occupera de transformer son ip privée en une ip publique. Le client va tout d'abord initié la connexion en envoyant, au courtier, un message de type CONNECT. Le courtier, possédant une ip publique, maintient la connexion active après le premier CONNECT si aucun problème ne survient. Ceci permet l'envoi et la réception de messages. + +
+ +## Messages MQTT [9] + +#### CONNECT (Se connecter) + +Si le message d'initiation de connexion CONNECT envoyé au courtier ne respecte pas les spécifications MQTT ou génère un temps trop important entre l'ouverture du socket réseau et l'envoi du message CONNECT, le courtier se charge de mettre fin à la connexion. Ce procéder permet d'éviter toutes tentatives de ralentissement du courtier. + +#### PUBLISH (Publier) + +Dés que le client a établi la connexion avec le courtier, celui-ci peut publier des messages. Comme dit précédemment, le protocole MQTT utilise un filtrage basé sur les sujets des différents messages. Il est impératif que chaque messages contienne une rubrique que le courtier pourra utiliser pour envoyer les messages aux clients abonnés à celles-ci. Dans MQTT, c'est l'éditeur qui choisit le type de structure de donnée a envoyer. Par exemple, celui-ci peut décider d'expédier des données textes, binaires ou encore JSON. + +#### SUBSCRIBE (S'abonner) + +Comme dit plus haut, si aucune personne n'est abonné à un sujet, aucune donnée ne sera jamais transmise. Il est donc indispensable de pouvoir s'abonner. Pour cela, le client voulant s'abonné doit envoyé un SUBSCRIBE au courtier. + +#### SUBACK (Accusé d'abonnement) + +Pour confirmer à l'abonné qu'il s'est bien abonné à un sujet, le courtier (après avoir bien reçu un message SUBSCRIBE par l'abonné) lui envoie un message d'accusé de réception SUBACK. +Quand l'envoi du SUBSCRIBE et la réception d'un message SUBACK est réalisé avec succès par l'abonné, celui-ci obtient et obtiendra chaque messages publiés qui correspond aux rubriques liées à ses abonnements qui étaient contenus dans son précédent message SUBSCRIBE. + +#### UNSUBSRIBE (Se désabonner) + +Bien entendu, qui dit abonnement dit désabonnement. Ce message a pour but de supprimer les abonnements qu'à client abonné a chez un courtier. + +#### UNSUBACK (Accusé de désabonnement) + +Pour confirmer le désabonnemnt de l'abonné, le courtier envoie à nouveau un accusé de réception mais UNSUBACK cette fois-ci. + +
+ +## Ses usages pour l'IoT [10] + +Les possibilités sont vaste et variées allant de sondes de température au controle de volets mécaniques. L'intérêt de celui-ci est qu'il soit rapide et peu énergivore. Il n'a également besoin que de très peu de ressources et peut être utilisé sur de petits microcontroleurs peu puissants. +Au niveau de la sécurité, MQTT est également très interressant permettant une facilité de chiffrement via SSL/TLS et la gestion de l'authentification des clients + +
+ +## Bibliographie : + +1) - Lien: https://iot.goffinet.org/iot_protocole_mqtt.html, + Nom du site: goffinet, + Nom de l'auteur: /, + Date de consultation: 25/05/2022, + Dernière date de modification: / + `
` +2) - Lien: https://fr.wikipedia.org/wiki/MQTT, + Nom du site: wikipedia, + Nom de l'auteur: /, + Date de consultation: 25/05/2022, + Dernière date de modification: 28/01/2022 + `
` +3) - Lien: https://fr.wikipedia.org/wiki/Publish-subscribe + Nom du site: wikipedia, + Nom de l'auteur: /, + Date de consultation: 25/05/2022, + Dernière date de modification: 31/03/2021 + `
` +4) - Lien: https://ably.com/topic/pub-sub + Nom du site: ably, + Nom de l'auteur: Matthew O’Riordan, + Date de consultation: 25/05/2022, + Dernière date de modification: 17/07/2020 + `
` +5) - Lien: https://stringfixer.com/fr/Publish/subscribe + Nom du site: stringfixer.com, + Nom de l'auteur: /, + Date de consultation: 03/06/2022, + Dernière date de modification: / + `
` +6) - Lien: https://www.ibm.com/docs/fr/ibm-mq/7.5?topic=ssfksj-7-5-0-com-ibm-mm-tc-doc-tc60340--htm + Nom du site: ibm.com, + Nom de l'auteur: /, + Date de consultation: 03/06/2022, + Dernière date de modification: 20/04/2021 + `
` +7) - Lien: https://www.hivemq.com/blog/mqtt-essentials-part-6-mqtt-quality-of-service-levels/ + Nom du site: hivemq.com, + Nom de l'auteur: The HiveMQ Team, + Date de consultation: 04/06/2022, + Dernière date de modification: 16/02/2015 + `
` +8) - Lien: https://www.hivemq.com/blog/mqtt-essentials-part2-publish-subscribe + Nom du site: hivemq.com, + Nom de l'auteur: The HiveMQ Team, + Date de consultation: 04/06/2022, + Dernière date de modification: 19/01/2015 + `
` +9) - Lien: https://www.hivemq.com/blog/mqtt-essentials-part-4-mqtt-publish-subscribe-unsubscribe/ + Nom du site: hivemq.com, + Nom de l'auteur: The HiveMQ Team, + Date de consultation: 06/06/2015, + Dernière date de modification: 02/02/2015 + `
` +10) - Lien: https://www.planete-domotique.com/blog/2021/03/17/protocole-mqtt-iot-domotique/ + Nom du site: planete-domotique.com, + Nom de l'auteur: Lucas, + Date de consultation: 06/06/2015, + Dernière date de modification: / + `
` diff --git "a/R\303\251seaux/POP.md" "b/R\303\251seaux/POP.md" new file mode 100644 index 0000000..3074b76 --- /dev/null +++ "b/R\303\251seaux/POP.md" @@ -0,0 +1,86 @@ +--- +layout: default +title: POP +parent: Réseaux +--- +# POP + +## Qu'est ce que POP [1] [2] + +Le protocol POP (Post Office Protocol) est un protocole frotement utilisé dans le monde du mail. Il permet de télécharger nos mails se situant sur un serveur vers notre ordinateur sur lequels on pourra les lire via un client de messagerie tel qu'Outlook, Thunderbird, Gmail, etc. Après avoir téléchargé un mail avec POP, celui-ci ne se trouvera plus sur le serveur. + +Le gros point négatif de POP vient de là. Après avoir consulté ses mails sur une machine, il est alors impossible pour l'utilisateur de consulter ce même mail sur une autre machine. + +Il est possible de conserver ses mails sur le serveur POP, mais pendant une durée limitée qui doit être configuré sur le client mail de l'utilisateur. + +Le protocole Imap, son concurrent, quant à lui permet de télécharger ses mails à partir d'un serveur mail, mais le mail en question reste sur le serveur. Cela permet à l'utilisateur de consulter leurs emails sur n'importe quelle autre machine. + +Le protocole POP peut s'occuper de l'authentification de l'utilisateur et donc de la vérification de notre identifiant et de notre mot de passe. Il bloque également l'accès à notre boite aux lettres lorsque nous y accédons et empêche alors toutes autres connexions. + +## Conversation POP [9] + +

+ Conversation POP +

+ + +### Le protocole POP gère les commandes suivantes [5] : + +* LIST : donne le nombre de courriers présents sur le serveur avec leur numéro. +* RETR [x] : récupère le courrier numéro en attente sur votre serveur. +* DELE [x] : détruit le courrier numéro. +* NOOP : vérifie la connexion. +* LAST : récupère le dernier message arrivé sur le serveur. +* QUIT : quitte la session et en autorise une autre. + +## Où est-il utilisé ? + +Tout les clients mails peuvent être paramétrés afin d'utiliser POP. + +## Quel est le futur du protocole POP [5] + +POP4 n'existe qu'en tant que proposition informelle ajoutant la gestion de base des dossiers, la prise en charge des messages en plusieurs parties, ainsi que la gestion des indicateurs de message pour concurrencer IMAP. +Cependant, son développement n'a pas progressé depuis 2003. + +De l'autre côté, son concurrent IMAP a publié sa dernière version, la version 4, en 1994 et aucune version 5 n'a été annoncée jusqu'à aujourd'hui. + +## L'avantages du protocole POP [3][4] + +* POP est plus simple à utiliser, plus simple à configurer et efficace +* Permet la gestion de ses emails en local ce qui facilite et augmente la vitesse de recherche et de tri. +* Il nécessite une quantité minimale de ressources afin de fonctionner. + +## Désavantages du protocole POP [3][4] + +* Nécessite une connexion constante à internet. +* Oblige l'utilisateur à sauvegarder ses mails afin de ne pas les perdre en cas de problème. + +## Sécurisation du protocole POP [10] + +La sécurisation du protocole POP, peut-être faites de deux manière s +différentes. + +Premièrement, on peut sécuriser les échanges au niveau du protocole grâce +à un certificat SSL ou TLS. Cette technique permet aux serveurs et aux +clients de s'authentifier mutuellement. Les échanges de messages peuvent +alors être chiffrés. + +Ensuite, il est possible d'ajouter une couche de sécurité PGP et S/MIME. +Ces 2 outils sécurisent le dialogue entre les utilisateurs de la +messagerie électronique et sur des échanges de bout en bout. +Pour garder l'intégrité et la confidentialité des échanges PGP et S/MIME +fonctionnent à l'aide d'un mécanisme de signature numérique et de +chiffrement. + +## Source + +* [1] Fonctionnement du protocole POP et IMAP - Base de connaissances - KALANDA. (2019). Kalanda.Net. Consulté le 27 mai 2022, à l’adresse https://www.kalanda.net/apps/index.php/knowledgebase/27/Fonctionnement-du-protocole-POP-et-IMAP.html#:%7E:text=Le%20protocole%20POP%20permet%20de,les%20voir%20sur%20mon%20smartphone). +* [2] Arobase.org. (2018, 25 septembre). Le protocole POP. Consulté le 25 mai 2022, à l’adresse https://www.arobase.org/fonctionnement/pop.htm#:%7E:text=Le%20protocole%20POP%20g%C3%A8re%20l,m%C3%AAme%20temps%20%C3%A0%20votre%20courrier. +* [3] Questiaux, J. (2021, 18 juin). Mon compte email : choisir POP ou IMAP ? Better Web. Consulté le 20 mai 2022, à l’adresse https://www.betterweb.fr/blog/mon-compte-email-choisir-pop-ou-imap +* [4] A. (2020, 31 décembre). POP3, Post Office Protocol : de quoi s’agit-il, à quoi sert-il et en quoi est-il différent d’IMAP? Informatique Mania. https://www.informatique-mania.com/en/courriers-electroniques/bureau-de-protocole-de-messagerie-pop3/ +* [5] Wikipedia contributors. (2022c, mai 16). Post Office Protocol. Wikipedia. https://en.wikipedia.org/wiki/Post_Office_Protocol +* [6] POP et IMAP : différences, avantages et inconvénients. (2010, 17 mars). L’Orient-Le Jour. https://www.lorientlejour.com/article/650498/POP_et_IMAP%2B%253A_differences%252C__avantages_et_inconvenients.html#:%7E:text=Parmi%20les%20avantages%20du%20compte,enfin%20une%20utilisation%20minimale%20des +* [7] POP3 - RFCs 1939 : https://www.ietf.org/rfc/rfc1939.txt +* [8] IMAP4 - RFCs 3501 : https://datatracker.ietf.org/doc/html/rfc3501 +* [9] POP3-Client-Server-Procedure. (2009). Researchgate. https://www.researchgate.net/figure/POP3-Client-Server-Procedure_fig2_251917023 +* [10] Problématique. (2003). Techniques de l’Ingénieur. https://www.techniques-ingenieur.fr/base-documentaire/technologies-de-l-information-th9/securite-des-si-services-et-applications-42315210/securite-des-e-mails-pgp-et-s-mime-h5330/problematique-h5330niv10001.html diff --git "a/R\303\251seaux/SMB.md" "b/R\303\251seaux/SMB.md" new file mode 100644 index 0000000..88c6478 --- /dev/null +++ "b/R\303\251seaux/SMB.md" @@ -0,0 +1,148 @@ +--- +layout: default +title: SMB +parent: Réseaux +--- + +# SMB (Server Message Block) + +Dans une époque où les réseaux informatiques sont partout, aussi bien chez soi qu’au travail ou bien même dans la rue, la création +d’un réseau local comme alternative à Internet fait l’unanimité. Ceci permet au membre du réseau d’échanger toute sorte d’information +et donnée entre eux, mais également, offre la possibilité de gérer des serveurs, des imprimantes ou des routeurs par exemple. Pour +gérer tout ça, de nombreuses règles sont mise en œuvre par le billet de protocoles, l’un d’entre eux est le SMB.¹ + +## Qu’est-ce que le SMB ? ¹ + +Le SMB ou Server Message Block est un protocole développé en 1983 par IBM et en constante évolution depuis lors. Ce dernier est un +protocole serveur-client gérant l’accès à des fichiers, à des répertoires complets et à d’autres ressources du réseau tel que des +imprimantes ou des interfaces partagées sur le réseau, de plus ce dernier a également été créer dans le but d’échanger des +informations avec les autres protocoles, c’est la communication inter-processus. + +Mis à disposition d’un large public dans le cadre de l’implémentation du système d’exploitation réseau OS/2 LAN Manager ainsi que de +son successeur LAN Server, ce protocole majoritairement utilisé sous Windows qui supporte la rétrocompatibilité (compatible avec +d’anciennes versions du système d’exploitation) pour le SMB. Certains logiciels permettent par ailleurs d’utiliser le Server Message +Block avec les systèmes d’exploitation Linux et Unix grâce à Samba par exemple et ainsi de permettre la communication +multi-plateforme. ² + +## Comment fonctionne SMB ? + +Le protocole SMB permet à des membres d’un même réseau ayant également le protocole d’implémenté d’accéder à des fichiers et services +partagés à ces fins sur celui-ci. Pour commencer une connexion entre les différent parti doit être mise en place, SMB utilise, pour +ce faire le Transmission Control Protocol (TCP) prévu avec un handshaking en trois temps entre le client et le serveur avant +l’établissement de la connexion, pour la suite du transfert de données les spécifications de TCP sont également maintenue durant +l’échange de données.¹ + +![image](https://user-images.githubusercontent.com/71373028/172682323-972f15e0-cfb7-4aee-ad37-0288bee85706.png) + +Lors d’une connexion SMB via un protocole TCP, des demandes par messages sont effectuées du côté serveur et client pour mettre des +fichiers ou service à disposition sur le réseau.² + +## Comment le SMB a-t-il évolué depuis sa création ?¹ + +Publié en 1983, SMB a subi de nombreuses modifications par rapport à sa première version, partant de la première version, SMB 1.0, +nous sommes maintenant et depuis l’arrivée de Windows 10 à SMB 3.1.1. +Voici les grandes étapes qui ont fait évoluer ce protocole : +- SMB 1.0 (CIFS) : +Assimilé dans un premier temps à la modification Common Internet File System (CIFS), ce n’est qu’une partie de la première édition de +SMB. En effet, cet aspect du protocole n’était porté que sur les machines équipées de Windows NT 4.0 et ne communiquait uniquement +via l’interface NetBIOS grâce aux port UDP 137 et 138 respectivement utiliser pour la résolution de nom et la transmission de paquet, +mais aussi en TCP via le port 139 utilisé pour l’établissement de la connexion et du transfert. Il nous faudra donc attendre +l’arrivée de Windows 2000 pour voir disparaître la dépendance de NetBIOS, mais aussi une connexion directe via le port TCP 445, +encore utiliser aujourd’hui. + +- SMB 2.0¹ : +Arrivé en 2006 avec Windows Vista, il apporte, avec lui d’importante réforme sur le protocole précédant. Les principales +améliorations du système étant les suivantes : +- la réduction drastique du nombre de commandes +- l’optimisation des performances grâce à une file d’attente des requêtes +- la compatibilité avec les liens symboliques +- amélioration des signatures des messages +- plus de modularité avec un accroissement du nombre de clients +En plus de ça, Microsoft permet malgré tout de continuer la communication avec les versions précédente, mais également avec d’autres +systèmes d’exploitation différente. + +- SMB 2.1¹ : +Cette version, liée à Windows 7 propose une révision du système précédant dès 2007, en plus des légères améliorations apporté par +celui-ci, il implémente une nouvelle méthode de verrouillage afin de réguler plus facilement l’accès aux fichiers. + +- SMB 3.0¹ : +Arrivé en 2012 avec Windows 8 le server message block se voit aussi attribuer une nouvelle version. Avec cette dernière version, +l’accent est porté sur la performance et la sécurité des connexions. Celle-ci apporte aussi avec elle la possibilité d’accéder au +stockage des fichiers à distance grâce à RDMA (Remote Direct Memory Access). Avec sa refonte, des nouvelles fonctionnalités sont +mises en place telle que la possibilité d’établir des connexion multi channels, mais aussi un chiffrement de bout en bout lors du +transfert de fichier. + +- SMB 3.1.1¹ : +Publier en 2015 avec Windows 10 cette version augmente la sécurité avec un contrôle de l’intégrité avant l’authentification grâce à +un hachage SHA 512, elle oblige également à sécuriser la connexion des appareils communiquant avec le protocole SMB 2.0. +Microsoft viendra par la suite stopper la communication par défaut vers le SMB 1 pour des raisons de sécurité, cette option est +toutefois possible à activer pour permettre la rétrocompatibilité. + +## Comment se protéger lors de l’utilisation d’un SMB ?² + +Étant donné que Microsoft a accordé énormément d’importance au fait de maintenir la communication entre les différentes version du +protocole, mais ceci s’accompagne d’énormément de risques. Effectivement, la communication entre les vieilles et les nouvelles +versions engendre de nombreuses failles de sécurité rendant les utilisateurs vulnérable notamment aux attaques DoS. +Les risques sont d’autant plus élevés pour les attaques via SMB dans les réseaux ou tous les protocoles du protocole sont +généralement activés afin de permettre son utilisation par les appareils qui y ont recours comme les imprimantes ou autres appareils +en réseaux. Si malgré tous les utilisateurs classiques n’utilise plus les anciennes versions de SMB, les hackers, eux, se voient leur +travail facilité par les failles laisser dans les premières versions, c’est pour ça que Windows 10 permet de désactiver le suivi des +premières versions. + +## Quelques cas d’utilisation et d’implémentation des Server Message Block¹ ² + +L’utilisation la plus fréquente est bien entendu la connexion client-serveur entre les ordinateurs et les serveurs de fichiers, mais +pas que, car le protocole est également capable de communiqué avec d’autres processus et comprend un simple échange de données entre +deux appareils aussi. +En-dehors de son utilisation classique sous Windows, de nombreux logiciels ont fini par intégrer le Protocole de Server Message Block +dans leurs projets afin de permettre son utilisation sur des systèmes indépendants à Windows tel que Linux, Unix ou encore Mac en +voici quelques exemples : +- Samba : sans aucun doute l’une des implémentations de SMB parmi les plus connues et rependue en dehors de Windows. Ce logiciel +libre a permis la communication Server Message Block sur les systèmes Unix et Linux dès 1991.³ ⁶ +- Netsmb : développé pour les systèmes d’exploitation BSD, il est une implémentation du client et du serveur SMB directement sur le +noyau de celui-ci. Premièrement exploiter sur le système FreeBSD 4.4, il est, à ce jour, disponible sur un bon nombre de systèmes BSD +tel que NetBSD et macOS.¹ +- YNQ : précédemment appeler NQ, utilisé dans les systèmes non dotés de Windows, il implémente le Server Message Block et permet de +ce fait la communication avec les appareils équipés de Windows. Il est développé par l’entreprise Visuality Systèms Ltd, une +entreprise spécialisée dans les logiciels.⁴ +- ConnectedNas : développée spécialement pour les appareils Android par Connected Way, cette application permet au utilisateur +d’appareil mobile d’échanger facilement des données avec des appareils SMB. +Pour des raisons de sécurité, tous les protocoles cités utilisent des versions avancées du service SMB afin de garantir la sécurité +des utilisateurs.⁵ + + +## Bibliographie + +* [^1] : INOS, (https://www.ionos.fr/digitalguide/serveur/know-how/server-message-block-smb/#:~:text=SMB%20(Server%20Message%20Block)%20est,interfaces%20partag%C3%A9es%20dans%20le%20r%C3%A9seau), 24/09/2020, consulté le 14/05/2022 + + **Résumé** : Présentation globale des SMB + **Avis sur la ressource** : Il s'agit d'un article détaillant le protocole SMB datant de 2020, mais je n'ai pas vu de mise à + jour plus récent. + +* [^2] : Article communautaire, MICROSOFT, (https://docs.microsoft.com/en-us/windows-server/storage/file-server/smb-security), 17/02/2022,consulté le 15/05/2022 + + **Résumé** : Description générale de SMB + **Avis sur la ressource** : Il s'agit d'un article communautaire mis à jour régulièrement et surveiller par Microsoft pour + assurer la fiabilité de la ressource. + +* [^3] : Article communautaire, WIKIPEDIA, (https://fr.wikipedia.org/w/index.php?title=Samba_(informatique)&oldid=193049431), 21/04/2022, 25/05/2022 + + **Résumé** : Description de Samba + **Avis sur la ressource** : Cet article reprend les grandes lignes de samba, il faut toutefois se méfier de certains articles Wikipédia qui peuvent être modifiés par tout le monde. + +* [^4] : VISUALITYNQ, (https://visualitynq.com/products/ynq/), 2022, consulté le 27/05/2022 + + **Résumé** : Description et explication de YNQ + **Avis sur la ressource** : C'est un article officiel sur le protocole permettant de comprendre grâce a des exemples de son fonctionnement + +* [^5] : Article communautaire, TRUENAS, (https://www.truenas.com/docs/core/coretutorials/sharing/smb/smbshare/), 22/05/2022, consulté le 06/06/2002 + + **Résumé** : Description du protocole et sur quoi il se base + **Avis sur la ressource** : C'est un article mis à jour régulièrement avec comme dernière version le 22/05 + +* [^6] : SAMBA, (https://www.samba.org/),02/05/2022, Consulté le 25/05/2022 + + **Résumé** : Documentation officiel Samba + **Avis sur la ressource** : Documentation très intéressante aussi bien pour ce renseigner que pour configurer Samba, il est en plus mis à jour régulièrement + + diff --git "a/R\303\251seaux/SMTP.md" "b/R\303\251seaux/SMTP.md" new file mode 100644 index 0000000..ac5dedd --- /dev/null +++ "b/R\303\251seaux/SMTP.md" @@ -0,0 +1,140 @@ +--- +layout: default +title: SMTP +parent: Réseaux +--- +# Protocole SMTP + +## Qu'est ce que SMTP (Simple Mail Transfer Protocol) ? [2][3][4] + +Le Simple Mail Transfer Protocol (SMTP) est un protocole utilisé pour transmettre des courriers électroniques sur un réseau. Il permet aux ordinateurs et aux serveurs d'échanger des données de manière normalisée, indépendamment de leur configuration matérielle ou logicielle. Le SMTP facilite la circulation des e-mails entre l'expéditeur et le destinataire, de manière similaire à l'adressage standardisé sur une enveloppe utilisé par le service postal. Cela rend possible la transmission de courriers électroniques à grande échelle. + +Cependant, il est important de noter que le SMTP est un protocole de transmission des e-mails et non de réception. Tout comme le service postal dépose le courrier dans une boîte aux lettres, le serveur SMTP transmet l'e-mail au serveur du fournisseur de messagerie. Le destinataire doit ensuite utiliser d'autres protocoles (POP/IMAP) pour récupérer l'e-mail depuis le serveur afin de le lire. + +## Comment fonctionne le SMTP ? [1][2][3][4][5] + +Les protocoles de mise en réseau suivent tous une procédure établie pour l'échange de données. Le protocole SMTP, par exemple, définit la manière dont les données sont échangées entre un client de messagerie et un serveur de messagerie. Le client de messagerie est l'interface permettant à un utilisateur d'interagir avec l'application de messagerie utilisée pour lire et envoyer des e-mails, qu'il s'agisse d'une application de bureau ou web. Le serveur de messagerie est un ordinateur spécialisé dans l'envoi, la réception et le transfert des e-mails. Les utilisateurs n'interagissent pas directement avec ces serveurs. + +Voici les étapes qui se déroulent entre le client de messagerie et le serveur de messagerie pour envoyer un e-mail : + +1. **Ouverture de la connexion SMTP** : étant donné que le SMTP utilise le protocole TCP (Transmission Control Protocol) comme protocole de transport, la première étape consiste à établir une connexion TCP entre le client et le serveur. Ensuite, le client de messagerie lance le processus d'envoi de l'e-mail en exécutant une commande spéciale appelée "Hello" (HELO ou EHLO). + +2. **Transfert des données de l'e-mail** : le client envoie une série de commandes au serveur, accompagnées du contenu de l'e-mail lui-même. Cela comprend l'en-tête de l'e-mail (contenant notamment le destinataire et l'objet), le corps de l'e-mail et les éventuelles pièces jointes. + +3. **Exécution de l'Agent de Transfert de Courrier (Mail Transfer Agent)** : le serveur exécute un programme appelé Mail Transfer Agent (MTA), qui vérifie le domaine de l'adresse e-mail du destinataire. Si ce domaine est différent de celui de l'expéditeur, le MTA interroge le DNS (Domain Name System) pour obtenir l'adresse IP du destinataire. Cela peut être comparé à la recherche du code postal d'un destinataire par les services postaux. + +4. **Fermeture de la connexion** : une fois que le client a terminé la transmission des données, il informe le serveur, qui clôt alors la connexion. À ce stade, le serveur ne reçoit plus de données supplémentaires concernant l'e-mail, sauf si le client établit une nouvelle connexion SMTP. + +Le premier serveur de messagerie n'est généralement pas la destination finale de l'e-mail. Une fois que le client a envoyé l'e-mail au premier serveur, ce dernier répète la procédure de connexion SMTP avec un autre serveur de messagerie. Ce processus se répète jusqu'à ce que l'e-mail atteigne finalement la boîte de réception du destinataire, sur un serveur de messagerie contrôlé par le fournisseur de messagerie du destinataire. + +Pour mieux comprendre on peut comparer ce processus à la façon dont un courrier estcheminé entre l'expéditeur et le destinataire. Le facteur ne transporte pas directement une lettre de l'expéditeur au destinataire, mais la remet d'abord à son bureau de poste. Ensuite, le bureau de poste envoie la lettre à un bureau situé dans une autre ville, qui la renvoie à un autre bureau, et ainsi de suite, jusqu'à ce que la lettre atteigne sa destination. De la même manière, les e-mails passent d'un serveur à l'autre via le protocole SMTP jusqu'à ce qu'ils parviennent à la boîte de réception du destinataire. + +## Les commandes SMTP [2][3][4] + +Les commandes SMTP sont des instructions prédéfinies sous forme de texte, utilisées pour indiquer à un client ou à un serveur ce qu'il doit faire et comment traiter les données accompagnant un e-mail. On peut les comparer à des boutons sur lesquels le client peut appuyer pour s'assurer que le serveur accepte les données correctement. + +Voici les commandes principaux : + +* **HELO/EHLO** : Ces commandes permettent d'établir la connexion SMTP entre le client et le serveur en disant "Bonjour" (HELO) ou en utilisant une version spécialisée du SMTP (EHLO). + +* **MAIL FROM** : Cette commande informe le serveur de l'expéditeur de l'e-mail. Par exemple, si Alice souhaite envoyer un e-mail à son ami Bob, le client enverrait la commande "MAIL FROM:alice@exemple.com". + +* **RCPT TO** : Cette commande spécifie la liste des destinataires de l'e-mail. Si l'e-mail a plusieurs destinataires, le client peut envoyer cette commande plusieurs fois. Dans l'exemple précédent, le client de courrier électronique d'Alice enverrait "RCPT TO:bob@exemple.com". + +* **DATA** : Cette commande précède le contenu de l'e-mail. + +* **RSET** : Cette commande réinitialise la connexion et supprime toutes les informations précédemment transférées, sans mettre fin à la connexion SMTP. Elle est utilisée lorsque le client a envoyé des informations incorrectes. + +* **QUIT** : Cette commande met fin à la connexion SMTP. + +Voici un exemple pour mieux comprendre les différentes commandes : + +![image](https://d6x8u9i2.rocketcdn.me/blog/wp-content/uploads/2017/11/SMTP-sequence-diagram.png) + +_source : https://www.afternerd.com/blog/smtp/_ + +## Qu'est-ce qu'un serveur SMTP ? [1][4][5] + +Un serveur SMTP est un serveur de messagerie qui permet l'envoi et la réception d'e-mails en utilisant le protocole SMTP. Lorsqu'un client souhaite envoyer un e-mail, il se connecte directement au serveur SMTP fourni par le service de messagerie. Le serveur SMTP exécute différents programmes : + +* **Mail Submission Agent (MSA)** : Il reçoit les e-mails envoyés par le client de courrier électronique. + +* **Mail Transfer Agent (MTA)** : Il transfère les e-mails vers le serveur suivant dans la chaîne d'acheminement. Si nécessaire, il peut consulter le système de noms de domaine (DNS) pour trouver l'enregistrement MX (Mail eXchange) du domaine du destinataire. + +* **Mail Delivery Agent (MDA)** : Il reçoit les e-mails envoyés par les MTA et les stocke dans la boîte de réception du destinataire. + +## Quel port le protocole SMTP utilise-t-il ? [4][7] + +Dans le domaine des réseaux, un port fait référence à un point virtuel de réception des données réseau. On peut le comparer au numéro d'appartement dans une adresse postale. Les ports permettent aux ordinateurs de trier et de transmettre les données réseau vers les applications appropriées. Les mesures de sécurité réseau, comme les pare-feu, peuvent bloquer les ports inutilisés afin d'empêcher l'envoi et la réception de données malveillantes. + +Historiquement, le protocole SMTP utilisait uniquement le port 25. Ce port est toujours utilisé aujourd'hui par le protocole SMTP, mais il peut également utiliser les ports 465, 587 et 2525. + +* Le port 25 est principalement utilisé pour les connexions entre serveurs SMTP. De nos jours, les pare-feu des réseaux des utilisateurs finaux bloquent souvent ce port, car les spammeurs tentent de l'utiliser de manière abusive pour envoyer d'importantes quantités de contenu indésirable. + +* Le port 465 était autrefois assigné à l'utilisation du protocole SMTP avec chiffrement Secure Sockets Layer (SSL). Le SSL a depuis été remplacé par le protocole Transport Layer Security (TLS) et les systèmes de messagerie modernes n'utilisent plus ce port. Il est principalement présent dans les systèmes plus anciens (obsolètes). + +* Le port 587 est désormais le port par défaut pour l'envoi d'e-mails. Les communications SMTP effectuées via ce port utilisent le chiffrement TLS. + +* Le port 2525 n'est pas officiellement associé au protocole SMTP, mais certains services de messagerie proposent l'utilisation de la transmission SMTP via ce port en cas de blocage des ports mentionnés ci-dessus. + +## Les inconvénients du protocole SMTP [3] + +Le protocole SMTP présente deux inconvénients. + +Le premier est qu'il ne fournit pas de confirmation d'expédition consultable lors de l'envoi d'un email. Bien que les spécifications du protocole prévoient une telle notification, son format n'est pas défini par défaut, ce qui signifie qu'en général, seul un message d'erreur en anglais incluant l'en-tête du message non délivré est renvoyé. Par conséquent, il est difficile de déterminer la cause de l'échec de la transmission, comme une adresse incorrecte ou une boîte de réception saturée du côté du destinataire. + +Le deuxième inconvénient du SMTP est l'absence d'authentification des utilisateurs lors de l'établissement d'une connexion, ce qui rend l'identité de l'expéditeur d'un email peu fiable. Les relais SMTP ouverts sont souvent utilisés de manière abusive pour l'envoi massif de spams. Les expéditeurs utilisent des adresses d'expéditeurs fictives, ce qui rend leur traçabilité impossible (spoofing d'email). Aujourd'hui, de nombreuses techniques de sécurité sont mises en œuvre pour prévenir une utilisation abusive des serveurs SMTP. Par exemple, les emails suspects sont rejetés ou placés en quarantaine (dossier spam). Le protocole d'identification DomainKeys, le Sender Policy Framework (SPF) et le Greylisting sont utilisés à cette fin. De plus, il est devenu courant de recevoir des emails non seulement via le port traditionnel 25/TCP, mais aussi via d'autres ports. + +## Qu'est-ce que l'Extended SMTP (ESMTP) ? [3][4] + +L'ESMTP (Extended Simple Mail Transfer Protocol) est une version améliorée du protocole de transfert de courrier électronique, qui étend les fonctionnalités de la version initiale. Il permet notamment l'envoi de pièces jointes et l'utilisation du TLS, entre autres fonctionnalités. Contrairement au SMTP classique, la plupart des clients et services de messagerie utilisent l'ESMTP. + +L'ESMTP introduit des commandes supplémentaires, telles que la commande "EHLO" qui permet l'envoi d'un message de salutation étendu (extended hello), afin d'activer l'utilisation de l'ESMTP dès le début de la connexion. + +## Sécurisation du protocole SMTP [8] + +Dans tous les protocoles de communication sur Internet, garantir l'intégrité, la confidentialité et l'authenticité des données est une priorité en matière de sécurité de communication. Il existe 2 techniques pour sécuriser le protocole SMTP. + +1. **Le chiffrement des mails** : La technique de chiffrement des données est utilisée par les utilisateurs du protocole SMTP pour éviter d'envoyer des e-mails en clair sur le réseau. Elle permet de créer un canal de communication sécurisé entre le client de messagerie et les serveurs SMTP. + +Parmi les méthodes de chiffrement les plus couramment utilisées, on trouve le Protocole TLS (Transport Layer Security) et le standard S/MIME (Secure/Multipurpose Internet Mail Extensions). Ces méthodes garantissent la confidentialité et l'intégrité des données échangées, empêchant ainsi leur lecture par des tiers. + +2. **L’authentification SMTP** : L'authentification SMTP, également connue sous le nom de SMTP AUTH, est une extension conçue pour protéger un serveur de messagerie contre une utilisation non autorisée. Afin d'envoyer un e-mail via le serveur SMTP et de procéder à son envoi, l'expéditeur doit s'authentifier en utilisant un compte valide. Cela réduit la possibilité d'envoi de spam à partir de clients non autorisés. + +Cependant, il est important de noter que l'extension SMTP AUTH ne contrôle que l'envoi de l'e-mail et non l'ensemble de ses informations. Par conséquent, elle ne garantit pas l'identité de l'expéditeur affichée dans l'en-tête "From". Il est donc possible pour une personne malveillante de se faire passer pour quelqu'un d'autre, malgré cette couche de sécurité. + +## Comment tester un serveur SMTP ? [6][9] + +Pour effectuer un test sur un serveur SMTP, la méthode la plus recommandée consiste à utiliser Telnet, un protocole largement utilisé dans les réseaux TCP/IP. + +Voici un exemple qui illustre comment effectuer un test de connexion SMTP depuis un client interne vers un serveur, en utilisant une authentification standard sous Windows : + +1. Ouvrez l'invite de commande en recherchant le terme "cmd" dans la barre de recherche. + +2. Tapez la commande "telnet smtp.exemple.com 25" pour vous connecter au serveur SMTP via le port 25. Remplacez "smtp.exemple.com" par l'adresse de votre propre serveur SMTP. + +3. Si le serveur est accessible, il renverra un rapport avec les codes d'état 220 et "smtp.example.com ESMTP Postfix", ou un message en texte clair équivalent. Cela indique qu'il n'y a pas d'erreur de connexion de la part du serveur SMTP. + +Ensuite, vous pouvez vous authentifier et, si nécessaire, envoyer un e-mail de test pour mieux cerner la cause du problème. Si malgré une connexion fonctionnelle, l'e-mail n'atteint pas sa destination, le problème est probablement lié au fournisseur ou au destinataire. + +Si vous ne recevez aucune réponse ou seulement un message d'erreur du serveur, il est donc possible que votre pare-feu ou votre programme antivirus bloque la transmission d'e-mails. + +## Bibliographie + +* [1] Numa, [SMTP : définition, serveurs, protocole… Le guide pour s’y retrouver !](https://www.brevo.com/fr/blog/smtp-definition-protocole-serveurs/), version du 23 août 2017, consultée le 25 mai 2023 + +* [2] Wikipedia, [Simple Mail Transfer Protocol](https://fr.wikipedia.org/wiki/Simple_Mail_Transfer_Protocol), version du 26 juillet 2022, consultée le 25 mai 2023 + +* [3] Ionos, [Qu’est-ce que SMTP ? Définition et principes de bases](https://www.ionos.fr/digitalguide/email/aspects-techniques/smtp/), version du 25 juin 2019, consultée le 25 mai 2023 + +* [4] CloudFlare, [Qu'est-ce que le Simple Mail Transfer Protocol (SMTP) ?](https://www.cloudflare.com/fr-fr/learning/email-security/what-is-smtp/), consultée le 25 mai 2023 + +* [5] ActiveTrail, [SMTP: Définition Et À Quoi Ça Sert ?](https://www.activetrail.fr/blog_marketing/email_marketing_articles_fr/smtp-definition-et-a-quoi-ca-sert/), version du 9 août 2022, consultée le 25 mai 2023 + +* [6] AUDREY TIPS, [Compte SMTP (SMTP)](https://audreytips.com/glossaire-web/compte-smtp/), version du 16 juillet 2020, consultée le 25 mai 2023 + +* [7] Florian Burnel, [Messagerie : découverte des protocoles SMTP, POP, IMAP et MAPI](https://www.it-connect.fr/messagerie-decouverte-des-protocoles-smtp-pop-imap-et-mapi/), version du 7 janvier 2021, consultée le 25 mai 2023 + +* [8] Anne Quan, [Tout ce que vous devez savoir sur la sécurité SMTP](https://pacomail.io/blog/securite-smtp/), version du 5 september 2022, consultée le 25 mai 2023 + +* [9] Ionos, [Serveur SMTP : définition et fonctionnement](https://www.ionos.fr/digitalguide/email/aspects-techniques/serveur-smtp/), version du 26 juin 2019, consultée le 25 mai 2023 \ No newline at end of file diff --git "a/R\303\251seaux/Schema_SPF.png" "b/R\303\251seaux/Schema_SPF.png" new file mode 100644 index 0000000..d2aaf5f Binary files /dev/null and "b/R\303\251seaux/Schema_SPF.png" differ diff --git "a/R\303\251seaux/SpamAssassin.md" "b/R\303\251seaux/SpamAssassin.md" new file mode 100644 index 0000000..b37667b --- /dev/null +++ "b/R\303\251seaux/SpamAssassin.md" @@ -0,0 +1,122 @@ +--- +layout: default +title: SpamAssassin +parent: Réseau +--- + +# SpamAssassin + +![spam-assasin-logo-transparent](https://github.com/HaAymar/Wiki-TI/assets/71372488/1942bfb7-2f7b-4608-86ca-b60ff8112e35) + +## Définition SpamAssassin +SpamAssassin est un logiciel de filtrage du courrier indésirable (spams) qui est très utilisé, il analyse les en-têtes et le contenu des e-mails pour détecter les signes de spam. +- Il utilise des listes noires pour identifier les expéditeurs et les serveurs de messagerie non fiables associés au spam +- SpamAssassin peut également analyser les pièces jointes et les URL dans les e-mails pour détecter les contenus suspects +- Il attribue des scores aux messages en fonction des règles et des analyses effectuées. + +Il peut être intégré avec des serveurs de messagerie utilisant les protocoles POP, IMAP et SMTP. +### Difference entre POP/IMAP et SMTP + +POP/IMAP : sont les protocoles de messagerie utilisés pour récupérer les e-mails à partir d'un serveur de messagerie. + +SMTP : est un protocole standard utilisé pour l'envoi d'e-mails à travers les réseaux. Il est principalement utilisé pour l'envoi de mails à partir d'un client de messagerie vers un serveur de messagerie sortant. + +Afin de restreindre la propagation de spam, des filtres sont employés à divers niveaux comme : MUA, MTA, MDA ... +## Pourquoi utilisé le SpamAssassin + +Les principales raisons qui poussent à l'utilisation de SpamAssassin sont les suivantes: + +- Protection contre les menaces : SpamAssassin est capable de détecter et de marquer les e-mails contenant des liens malveillants, des pièces jointes dangereuses ou d'autres éléments associés à des attaques de phishing, de malware ou d'autres menaces en ligne. Cela contribue à renforcer la sécurité du système de messagerie. + +- Réduction du temps de traitement : En filtrant automatiquement les e-mails indésirables, SpamAssassin permet de réduire la quantité de courrier indésirable qui atteint les boîtes de réception des utilisateurs. Cela permet aux utilisateurs de passer moins de temps à trier manuellement les e-mails non sollicités. + +- Personnalisation des règles : SpamAssassin permet aux utilisateurs de personnaliser les règles de filtrage en fonction de leurs besoins spécifiques. Ils peuvent ajouter, supprimer ou ajuster les règles pour mieux s'adapter à leurs préférences et à leur environnement de messagerie. + +## Installation et configuration de SpamAssassin +Avant de pouvoir configurer SpamAssassin il faut d'abord installer ça sur une machine. +Voici les étapes de configuration sous linux: + +Installation spamAssassin + +``` +sudo apt-get install spamassassin +``` + +Après l'installation de toutes les dépendances, il faudra créer un utilisateur système qui pourra communiquer avec le démon `spamd` + +``` +adduser --disabled-login --home /var/spamd spamd +``` + +Configuration pour le fichier ```/etc/default/spamassassin``` on place le CRON à 1: + +``` +CRON=1 +``` +Après il faut indiquer à Postfix qu'on utilise SpamAssassin dans le fichier `/etc/postfix/master.cf`on ajoutant: +``` +smtp inet n - - - - smtpd +-o content_filter=spamassassin +``` +Et les deux lignes à la fin de ce même fichier: + +``` +spamassassin unix - n n - - pipe + user=spamd argv=/usr/bin/spamc -f -e /usr/sbin/sendmail -oi -f ${sender} ${recipient} +``` +Ensuite, il faut démarrer SpamAssassin avec la commande: +``` +systemctl start spamassassin +postfix reload +``` +[Sources](https://www.hostnextra.com/kb/install-spamassassin-with-postfix-on-ubuntu/) + +- [Utilisation SpamAssassin windows](https://cwiki.apache.org/confluence/display/spamassassin/UsingOnWindows) +- [Utilisation SpamAssassin avec centOs](https://archives.microlinux.fr/spamassassin-centos-7/) + +## Comment intégrer SpamAssassin aux serveurs POP/IMAP et SMTP + +Pour intégrer SpamAssassin au serveur POP/IMAP, il faut suivre ces étapes suivantes : +- Installez SpamAssassin sur la machine (voir l'étape précedente) +- Configurez votre serveur de messagerie pour acheminer les e-mails via SpamAssassin. +- Activez le support SpamAssassin dans la configuration du serveur de messagerie. +- Configurez le serveur de messagerie pour appliquer les filtres SpamAssassin aux e-mails entrants. +- Définissez des actions en fonction des résultats du filtrage (marquage, déplacement des e-mails indésirables). +Il est possible de consulter la documentation en suivant ce lien en cliquant [ici](https://doc.ubuntu-fr.org/serveur_mail_avec_postfix_et_courier-imap) + +Aprés avoir fait tous ces étapes, vous pouvez commencer à intégrer SpamAssassin dans POP/IMAP en suivant les étapes suivantes: + +1. À partir de votre serveur, ouvrez le fichier de configuration Dovecot sur votre serveur. Sur Ubuntu, le fichier de configuration principal de Dovecot se trouve généralement dans "/etc/dovecot/dovecot.conf" ou dans "/etc/dovecot/conf.d/10-mail.conf". +2. Cherchez la section dans le fichier de configuration Dovecot qui définit le protocole POP ou IMAP, en fonction de celui que vous souhaitez intégrer à SpamAssassin. +3. Ajouter les lignes de configuration suivantes dans la section correspondante afin de permettre le filtrage SpamAssassin : +- Pour POP3 +``` +mail_plugins = $mail_plugins antispam +pop3_uidl_format = %08Xu%08Xv +pop3_client_workarounds = outlook-no-nuls oe-ns-eoh +``` +- Pour IMAP: +``` +mail_plugins = $mail_plugins antispam +imap_client_workarounds = delay-newmail +``` +4. Cherchez la section qui définit les plugins dans le fichier de configuration de Dovecot et ajoutez la ligne suivante pour permettre le plugin antispam: +``` +mail_plugins = $mail_plugins antispam +``` +5. Enregistrer les changements dans le fichier de configuration Dovecot et redémarrer le service Dovecot afin d'appliquer les changements : +``` +service dovecot restart +``` +6. Assurez-vous que SpamAssassin est correctement intégré en envoyant un email de spam à une adresse hébergée sur votre serveur POP/IMAP. L'e-mail doit être signalé en tant que spam dans le dossier approprié. + +## Conclusion +SpamAssassin est une solution efficace et largement utilisée pour filtrer le courrier indésirable dans les services de messagerie. Avec son intégration transparente avec les protocoles POP, IMAP et SMTP, SpamAssassin offre une protection complète contre les spams, les e-mails malveillants et les menaces en ligne + +## Bibliographie +- [1] [C'est quoi spamAssassin](https://en.wikipedia.org/w/index.php?title=Apache_SpamAssassin&action=history) consulté le 25/05/2023 +- [2] [Installation et configuration de SpamAssassin](https://www.hostnextra.com/kb/install-spamassassin-with-postfix-on-ubuntu/)consulté le 25/05/2023 +- [3] [Comment integrer SpamAssassin dans les protocoles POP/IMAP et SMTP](https://siguillaume.developpez.com/tutoriels/linux/mise-place-systeme-messagerie-electronique-sous-linux/?page=page-1)consulté le 25/05/2023 +- [4] [Configuration smtp avec SpamAssassin](https://www.malekal.com/installer-configurer-spamassassin-debian/)consulté le 25/05/2023 +- [5] [Protocole SMTP ET POP/IMAP](https://www.cleanfox.io/blog/divers/les-protocoles-de-messagerie/#:~:text=Les%20protocoles%20sortants%20(SMTP)%20servent,et%20de%20distribution%20des%20messages) consulté le 26/05/2023 +- [6] [Pourquoi utilisé SpamAssassin](https://www.hostpapa.com/knowledgebase/fr/knowledge-base/comment-utiliser-spamassassin/) consulté le 26/05/2023 diff --git "a/R\303\251seaux/XMPP.md" "b/R\303\251seaux/XMPP.md" new file mode 100644 index 0000000..d9eb9b9 --- /dev/null +++ "b/R\303\251seaux/XMPP.md" @@ -0,0 +1,130 @@ +--- +layout: default +title: XMPP +parent: Réseaux +--- + +# XMPP + +## Qu'est-ce que XMPP ?[^1] [^2] [^3] [^4] [^5] + +XMPP (Extensible Messaging and Presence Protocol) est un protocole connu principalement pour la messagerie instantanée en cross-platform, +mais il est aussi utilisé bien que cela soit moins connu pour de l'échange de données entre applications systèmes, mais également pour de la supervision système et réseau ou du cloud computing.
+ +XMPP est connu pour avoir défini les standards pour la communication en message instantané en 1999 et début des années 2000. + +Au jour d'aujourd'hui, il est encore utilisé principalement par WhatsApp, mais également google , GNOME, IBM, ...
+Ce protocole est construit en language XML (Extensible Markup Language) parfois appeler "Jabber" alors que celui-ci est un service baser sur XMPP. +XMPP utilise TCP/IP avec une architecture client-server transmettant ces informations avec des paquets XML. + +X: Pour extensible car c'est un projet open source qui est tout le temps modifié et amélioré.
+M: Pour messages car il a un très bon mécanisme d'envoi de messages.
+P: Pour présence car il détecte l'état d'une personne si elle est en ligne , déconnectée ou occupée.
+P: Pour protocole car c'est un protocole de communication tout simplement.
+ +## Histoire[^1] [^2] [^3] + +En 1998 Jérémie Miller invente Jabber un protocole de message instantané utilisant le XML. Mais il manquait un framework pour le faire fonctionner et c'est pour +trouver une alternative Open Source au protocole propriétaire existant que XMPP va être développé.
Il sera développé par la communauté Jabber et dans un premier temps être nommé Jabber protocole (un alias encore utilisé par certain).
Il sera reconnu en 2004 par l'IETF et il adopte le nom de XMPP.
+Il sera utilisé successivement par Apple en 2005 , google de 2005 à 2013 ensuite par Facebook de 2008 à 2015 puis par Skype en 2011 et enfin par WLM en 2011.
+La dernière release de l'IETF est le RFC7622 avec la version la plus moderne de XMPP en 2015. + +## Fonction principale[^3] [^4] + +* Recevoir et envoyer des messages en direct entre utilisateurs +* Blocker un utilisateur +* Gérer ses contacts +* Gérer les fils de discussion qui sont suivis ou non +* Transmettre le status de l'utilisateur (En ligne, occupé, ...) + +## Comment cela fonctionne ? +XMPP est divisé en plusieurs parties au milieu de tout cela se trouve XMPP Core: +### XMPP Core[^6] [^7] +le coeur est composé des features suivantes: +* un flux d'envoi de données XML +* un canal sécurisé avec TLS +* Authentification avec SASL +* utilisation de l'UTF-8 +* Autorisation pour une discussion bidirectionnelle +* Des informations sur la disponibilité & la présence + +### Jingle +Jingle est la version XMPP de transmission VoIP. Il transmettra leur paquet au travers de XMPP mais utilise tout de même les protocoles RTP(Real-time Transport Protocol).
+Jingle a été développé pour supporter SIP (Session Initiation Protocol) et SDP (Session Description Protocol) ce qui permet de passer facilement des réseaux XMPP à des réseaux SIP. + +### Multi-User-Chat (MUC) +Comme son nom l'indique c'est une extension qui permet de créé des conversations avec plusieurs utilisateurs ainsi que de créer des canaux de discussion. Dans ces features nous retrouvons : +* Inviter des utilisateurs +* Exclure des utilisateurs +* bannir des utilisateurs +* Mettre en place des mots de passe +* Donner des droits au modérateur + +![](https://i.goopics.net/mr699q.png) + +### Client-server + +Comme vous venez de le voir sur le schéma au-dessus XMPP est basé sur une architecture server-client.
+Vous envoyez donc vos données XML de votre client vers le serveur et le serveur redirige vers le client destinataire de données.
+Chaque client est représenté par un identifiant unique que le serveur utilisera pour transmettre les messages à bonne destination.
+XMPP utilise des gateways quand il doit envoyer des informations ou recevoir des informations d'un réseau qui n'est pas XMPP (Ex: SMS, SMTP, IRC). + +### Connexion TCP + +En temps normal XMPP va établir une connexion TCP persiste pour ne pas devoir en refaire une à chaque message envoyé.
+Dans les versions plus récentes XMPP utilise des WebSockets et/ou TLS pour une communication sécurisée. + +### Envoie de messages + +XMPP utilise l'envoi de messages Asynchrones pour permettre aux utilisateurs d'envoyer autant de message qu'ils le désirent sans attendre de réponse.
+Et les 2 utilisateurs n'ont pas besoin d'être connectés en même temps pour envoyer des messages.
+XMPP contrairement aux autres, offre une expérience de discussion presque instantanée car contrairement aux autres qui vont ping le serveur toutes les x secondes (processus appellé "polling") pour récupérer des data.
+XMMP lui enverra directement tout nouveau message de l'utilisateur vers le serveur et du serveur vers le destinataire. + +### Décentraliser + +XMPP n'as pas de serveur officiel c'est-à-dire que n'importe qui peut créé son serveur et faire ce qu'il veut avec. + +## Avantages et Inconvénients[^1] [^3] +
+ +|Avantages|Inconvénients| +|---|---| +|Open Source le code et document officiel sont accessibles gratuitement| Il est difficile de transférer ces utilisteurs d'un autre réseau (MSN, AIM, etc), mauvaise migration | +|Base validée par l'IETF et continue d'être mis à jour et il est stable | Fonctionalité incomplète présente comme Jingle qui n'est pas exploitable en l'état| +|Décentralisé|| +|Sécurité disponible (ex:TLS, SASL)|| +|Flexible il peut être utilisé pour autre chose que les messages instantanés|| +|Confidentiallité: peut mettre en place OMEMO, OpenPGP, ... || +|Supporte beaucoup de language ( C, C++, C#, Ruby, Java, ...)|| + +## Conclusion + +XMPP est la base des protocoles de messages instantanés et cela vaut donc la peine de l'étudier pour le comprendre et choisir quel chemin emprunté dans le cas où l'on +voudrait développer une app avec de la messagerie instantanée.
+Il est bien sûr tout à fait exploitable. Il a beaucoup d'espace pour pouvoir grandir. La team XSF travaille sur le développement de l'encryptage pour une communication plus sécurisée.
+Dans le futur,il sera développé que ce soit du côté VoIP ou encore dans le domaine de l'IoT.
+Car je le rappelle il n'est pas limité qu'à la messagerie instantanée XMPP c'est plus que ça.
+ +## Bibliographie +[^1]: "XMPP", xmpp.org, https://xmpp.org/about/technology-overview/ (consulté le 25/05/2022) + ** Résumé : Explication détaillée sur XMPP et ces features + ** Avis sur la ressource : Très bonne ressource et fiable car c'est le site officiel +[^2]: "Extensible Messaging and Presence Protocol", fr.wikipedia.org, https://fr.wikipedia.org/wiki/Extensible_Messaging_and_Presence_Protocol (consulté le 25/05/2022) + ** Résumé : Histoire de XMPP et présentation technique + ** Avis sur la ressource : Certains points sont légers mais en général très complet +[^3]: "XMPP Refresher: The Open Instant Messaging Protocol Then & Now", getstream.io, https://getstream.io/blog/xmpp-extensible-messaging-presence-protocol/ (consulté le 25/05/2022) + ** Résumé : Explication détaillée sur XMPP , ces features , côté technique et perspective pour le futur + ** Avis sur la ressource : Très Complet +[^4]: "XMPP Protocol", www.geeksforgeeks.org, https://www.geeksforgeeks.org/xmpp-protocol/ (consulté le 25/05/2022) + ** Résumé : Bref explication sur XMPP et ce qu'il représente + ** Avis sur la ressource : Très léger et pas assez d'explications +[^5]: "Extensible Messaging and Presence Protocol (XMPP)", www.techopedia.com, https://www.techopedia.com/definition/396/extensible-messaging-and-presence-protocol-xmpp (consulté le 25/05/2022) + ** Résumé : Explication de ce qu'est XMPP + ** Avis sur la ressource : Pas complet et très léger +[^6]: "RFC 6120 (Ancien version 3920)", www.techopedia.com, https://xmpp.org/rfcs/ (consulté le 29/05/2022) + ** Résumé : Explication du RFC core de XMPP + ** Avis sur la ressource : Fiable car site officiel +[^7]: "RFC 6121 (Ancien version 3921)", www.techopedia.com, https://xmpp.org/rfcs/ (consulté le 29/05/2022) + ** Résumé : Explication du RFC IM (Instant Messaging) XMPP + ** Avis sur la ressource : Fiable car site officiel diff --git "a/R\303\251seaux/Z-Wave.md" "b/R\303\251seaux/Z-Wave.md" new file mode 100644 index 0000000..3e47428 --- /dev/null +++ "b/R\303\251seaux/Z-Wave.md" @@ -0,0 +1,79 @@ +# Z-Wave c'est quoi ? +![zwave](https://user-images.githubusercontent.com/49406566/186436922-07251c55-3185-4bc0-a917-738a3e38d896.png) + +Créé en 1999, Z-Wave est un protocole de communication radio sécurisé et dédié à une application domotique. Ainsi, ce protocole permet à différents appareils électroniques, pouvant être de marques différentes ou non, d'interagir entre eux au sein d'un domicile via une bande de fréquences isolée du wifi, de la 4G ou encore des ondes radios classiques.
+Il est optimisé pour des échanges à faible bande passante à contrario du Wi-Fi qui est quant à lui optimisé pour des échange à haut débit. Ainsi, les appareils reliés entre eux via ce protocole pourront se faire passer une commande donnée par l'utilisateur dans un périmètre d'environ 50 mètres, en fonction de la localisation intérieure ou extérieure de l'installation.
+En terme d'exemples concrets, nous pourrions citer : +* Si la porte d'entrée s'ouvre entre 10 et 18h, envoyer une notification sur le téléphone du propriétaire, +* Si la luminosité ambiante est trop faible, allumer les lumières de la pièce, +* Si une personne reconnue par le système entre dans la maison, lui lire un message personnalisé ou un rapport concernant les différentes notifications/alertes reçues durant son absence. + +Un des principaux avantages de Z-Wave est qu'il est très simple de créer une routine/scénario simplement et ne nécessite aucunement des connaissances dans le domaine de la programmation. Néanmoins, il est bien évidemment possible de créer des scénarios plus complexes en s'appuyant sur des langages comme Python, Bash, ... + +# Quels avantages et spécificités ? +Z-Wave fonctionne à très faible consommation, ce qui permet d'économiser beaucoup d'énergie. Effectivement, les différents services resteront en état de repos tant qu'ils ne seront pas sollicités avant de se réveiller lors d'une interaction avec eux, ce qui augmente grandement la durée de vie de la batterie.
+Le protocole Z-Wave, à contrario du Wifi et d'un réseau 4G, travaille sur une bande de fréquences, de 868MHz en Europe, totalement isolée du reste du réseau.
+Il travaille également en réseau maillé, ce qui permet de facilement mettre en place une structure non hiérarchiques entre les différents nœuds du réseau. Ce réseau maillé représente un réel avantage au niveau des échanges entre les différents appareils car il permet de facilement pouvoir venir ajouter un retirer un nœud de ce réseau sans devoir retravailler sur l'entièreté de celui-ci. Également, ce réseau maillé permet une alimentation facile entre tous les composants du réseau, de nombreuses routes sont créées à travers ce même réseau tout en augmentant le rayon de ce dernier. Enfin, dernier avantage de ce réseau maillé, lorsqu'un service ne sera plus disponible, les services avoisinant serviront de relais pour transmettre l'instruction aux autres et ainsi ne pas arrêter cette dernière à la moindre erreur d'un service.
+Également, Z-Wave propose une comptabilité complète entre n'importe quel type de matériel, de n'importe quelle marque, tout est fait pour que l'inter compatibilité soit assurée par ce protocole. Évidemment, les services doivent comporter le logo Z-Wave pour tout de même fonctionner dans le réseau du même nom.
+Un autre avantage de ce protocole est la sécurité qu'il offre aux communications, pour ce faire, il se base sur un chiffrement asymétrique AES dont je reparlerai plus tard. + +# Quels sont les désavantages de ce protocole ? +Afin d'assurer la compatibilité de différents appareils les uns avec les autres, ces derniers doivent être soumis à la certification Z-Wave. Une fois cette certification acquise, le logo Z-Wave apparait sur le produit et il est ainsi certifié compatible avec les autres éléments Z-Wave. Néanmoins, tout cette certification a un coût qui se répercute incontestablement sur l'acheteur qui se verra son prix d'achat assez important. Également, les producteurs désirant s'allier à l'environnement Z-Wave doivent passer par cette certification qui leur impose un coût certain. En réalité, ce premier désavantage n'en est pas réellement un pour quelqu'un qui veut s'assurer de la compatibilité de ses devices et de la sécurité de ces derniers.
+Il est également important de se renseigner sur la compatibilité de produits issus de produits différents, effectivement la fréquence de ces derniers varie en fonction des pays où le produit est fabriqué, voici une petite sélection de pays avec lur fréquence Z-Wave entourée : + +![image](https://user-images.githubusercontent.com/49406566/186449411-1f2eb449-0a9e-4da2-af33-5fcd39d9e531.png) + +Il est donc primordial de s'assurer de la bonne compatibilité des produits si ceux-ci proviennent de pays étrangers (en Europe, la majorité des pays sont sur la même fréquence (CEPT dans l'image ci-dessus, 868.4 MHz).
+Le fait d'avoir également une plage de fréquence isolée du Wifi et du réseau 4G représente d'un coté un avantage mais également un inconvénient car le débit maximal de communication s'élève à 100kB/s, ce qui peut empêcher certains services de fonctionner comme des sonnettes connectées.
+Voici la carte des pays dans lesquels nous retrouvons aujourd'hui des produits équipé de Z-Wave. +![image](https://user-images.githubusercontent.com/49406566/186467245-7640a855-00fa-4281-9fb9-ac1e06ac89a0.png) + + +# Comment fonctionne ce protocole +Tous les services Z-Wave sont connectés à un "Hub" général qui va gérer l'ensemble du réseau.
+Le protocole Z-Wave se base sur le standard ITU-T G.9959 qui définit les spécifications des couches physique et MAC pour les émetteurs-récepteurs de radiocommunication numériques à bande étroite et à courte portée et ce, sans donner la liste des fréquences utilisées par les dispositifs.
+Au dessus de ces deux couches, nous retrouvons une couche applicative. Cette couche a pour fonction de présenter les différentes informations utilisées pour le contrôle et la gestion des modules. Voici un schéma présentant la liaison entre ces différentes couches. + +![image](https://user-images.githubusercontent.com/49406566/186417100-6a7cd21c-101f-4428-bc64-12c2e1950546.png) + +Dans la couche applicative : +* Le "header" permet ici d'indiquer de quelle type de trames il s'agit, +* Le "cmd" class permet d'indiquer de quel type de requête il s'agit, +* Le "command" permet d'indiquer une commande à exécuter, +* Les "parameters" sont différents paramètres à prendre en compte ou à utiliser pour la requête. + +Dans la couche MAC : +* Le HomeID indique l'émetteur et la destinataire d'un message. Si la valeur de cet HomeID est à "0xFF", la trame sera de type broadcast et le message sera donc envoyé à chaque équipement du réseau. + +Toutes les communications sont organisées en classes de commande. Ces classes sont utilisées afin de réaliser des actions précises, ces actions sont bien évidemment limitée aux fonctionnalités offertes par les équipements du réseau. Chaque classe peut ensuite définir une ou plusieurs commandes, avec différents paramètres. Par exemple, la classe COMMAND_CLASS_SWITCH_BINARY permet de spécifier différents types de commandes : +* Les commandes SET, qui permettent de définir un état, +* Les commandes GET, qui permettent de récupérer un état, +* Les commandes REPORT, qui permettent de stocker un état en paramètre. + +Si l’on souhaite allumer une lampe, on pourra donc utiliser la commande SET pour définir le nouvel état, en passant en paramètre la valeur de cet état (0xFF pour 1/allumée, 0x00 pour 0/éteinte). Si le contrôleur domotique souhaite connaître l’état du périphérique, il utilisera la même classe, mais avec la commande GET. La lampe enverra ensuite une commande REPORT pour signaler son état en paramètre.
+ +Afin que le contrôleur soit en mesure de savoir s’il doit utiliser la classe de sécurité pour l’envoi des messages, une trame NIF (Node Information Frame) est envoyée lors de l’inclusion d’un module au réseau Z-Wave. Si vous utilisez OpenZWave, la liste des classes reconnues et sécurisées pour les différents périphériques est stockée dans le fichier de configuration zwcfg_[HomeID].xml. + +Afin de chiffrer les communications, une clé dédiée au réseau Z-Wave cible est tout d’abord échangée entre le contrôleur et le périphérique lors de la phase d’inclusion (représentée en bleu dans la figure 3) : + +![image](https://user-images.githubusercontent.com/49406566/186463166-930b0f13-3dee-47bc-a932-7aa13acf5542.png) + + +# Utilités de la couche applicative +Comme expliqué précédemment, la couche applicative du protocole Z-Wave permet de fournir des informations sur le type de classe de commande, la fonction utilisée ainsi qu'une liste de paramètres.
+La couche applicative permet également d'assurer une communication chiffrée en AES 128 bits (Advanced Encryption Standard ou AES ,est un algorithme de chiffrement symétrique. Il s'agit du nouveau standard de chiffrement pour les organisations du gouvernement des États-Unis. Il a été approuvé par la NSA (National Security Agency) dans sa suite B1 des algorithmes cryptographiques. Il est actuellement le plus utilisé et le plus sûr). Pour ce faire, la couche applicative va utiliser la classe de commande "COMMAND_CLASS_SECURITY" qui permet d'encapsuler les données de la couche comme dans l'image ci-dessous : + +![image](https://user-images.githubusercontent.com/49406566/186442112-37e8a875-a6cc-4036-a6a3-df947ab40149.png) + +La couche applicative est ainsi primordiales pour le bon envoi des requêtes ainsi que la sécurisation de ces dernières. + +# Bibliographie +1. [Journal du Net](https://www.journaldunet.fr/web-tech/dictionnaire-de-l-iot/1440712-z-wave-caracteristiques-et-evolution-du-reseau/) +2. [Planète Domotique](https://www.planete-domotique.com/blog/2019/11/15/top-10-z-wave/) +3. [Wikipédia](https://fr.wikipedia.org/wiki/Z-Wave) +4. [Homey](https://homey.app/fr-be/wiki/quest-ce-que-z-wave/) +5. [Diamond Connect](https://connect.ed-diamond.com/MISC/misc-082/la-securite-du-protocole-z-wave) +6. [Clemovernet](https://clemovernet.wordpress.com/2015/08/05/z-wav-debuter-controleur-en-cs/) +7. [Vidéo Youtube](https://www.youtube.com/watch?v=k2qOh1O5tug&ab_channel=EverythingSmartHome) +8. [Silicon Labs](https://www.silabs.com/wireless/z-wave/global-regions) + diff --git "a/R\303\251seaux/asterix.md" "b/R\303\251seaux/asterix.md" new file mode 100644 index 0000000..82c6310 --- /dev/null +++ "b/R\303\251seaux/asterix.md" @@ -0,0 +1,273 @@ +--- +layout: default +title: Asterix +parent: Réseaux +--- +# ASTERIX + +## **Qu'est-ce que ASTERIX ?[^9]** + +Astérix est une implémentation logicielle d'un autocommutateur privé PBX qui +est une centrale téléphonique desservant une organisation privée et permettant +le partage des lignes réseaux d'un bureau central entre les téléphones installés +en interne. + +Chaque Appareil connecté au PBX possède un numéro de téléphone d'extension +désigné qui peut ou non être mappé au plan de numérotation du bureau central. + +Astérisk permet donc l'établissement et le contrôle de la communication entre +les différents terminaux tels que les postes téléphoniques, les appareils ou +services de voix sur protocole internet (VoIP). + +###### Fig.1 Schéma d'une infrastructure asterisk + +![flux d'appel](https://user-images.githubusercontent.com/74672498/169313118-e214baf6-f8d7-40f4-a8c8-4b757a64b2e8.png) + +###### "https://docplayer.fr/508846-Le-support-de-la-video-par-asterisk.html" docplayer.fr + +Il prend en charge plusieurs fonctionnalités disponibles dans les systèmes PBX +notament la messagerie vocale, conférence téléphonique, distribution +automatique d'appel. Ce qui fait l'une des plus grande force d'Asterisk est que +les utilisateurs peuvent créer de nouvelles fonctionnalités en écrivant des +scripts de plan de numérotation dans plusieurs des propres langages d' +extensions d'Asterisk tout simplement en ajoutant des modules chargeables personnalisés écrits +en PHP ou C. Qu'en est-il réellement de l'intégration des flux video dans une +infrastructure Asterisk ? + +## **Flux video** + +### Introduction[^2] + +Encore appelé streaming, c'est un processus d'envoie de contenu en direct. La +plupart des logiciels de voix sur ip telles que facebook, skype discord intègre +des flux multimédia : appel video. En générale la VoIP est utilisée pour décrire +des communications point à point. Pour ce qui est du flux video par +visioconférence on parle de communication multipoint qui est une diffusion d'un +emetteur vers un groupe de récepteur. + +Pour ce faire, les deux protocoles utilisés dans une infrastructure Astérisk +pour permettre ce flux video sont RTP et RTCP + +### **Protocole RTP** + +Le principe du protocole RTP (Real-Time Transfert Protocol) consiste à envoyer +les paquets en temps réel sur le réseau. Les paquets sont marqués temporellement +de manière à être réordonnancé par le client afin d’afficher la vidéo de +manière cohérente. Il permet de founir un moyen uniforme pour le transport de +données sur IP soumises à des contraintes de temps réel tels que les flux média, +audio et vidéo. + +#### **Caractéristiques[^3]** + +RTP étant utilisé en mode unidirectionnel (d'un emetteur à un récepteur), il +peut être aussi utilisé en mode multicast via satellite sans garantie de qualité de service ([QoS](https://fr.wikipedia.org/wiki/Qualit%C3%A9_de_service)). Les données sont augmentées de l'ajout du protocole de contrôle RTCP. + +Le rôle principal de RTP consiste à numéroter les paquets IP afin de +reconstituer les flux voix ou vidéo de manière fluide et ce, même si le réseau +sous jacent change l'ordre des paquets. Par opposition à HTTP et FTP qui fonctionnent au-dessus de TCP, RTP fonctionne au dessus de UDP + +Il est utilisé par SIP, H.323, MGCP et éventuellement d'autres protocoles pour transporter les médias entre les points d'extrémité. + +Exemple de communication via SIP + +###### Fig.2 Schéma d'une converstion via SIP + +![utilisation_avec_sip](https://user-images.githubusercontent.com/74672498/169355709-eaec4f3c-978d-42bf-8bc2-6c2245cf71ea.png) + +###### "https://www.researchgate.net/figure/VoIP-call-setup-based-on-SIP-SDP-RTP-RTCP-protocols-based-on-9_fig3_1924445" researchgate.net + +- **Utilisation avec un canal de retour[^3]** + +RTP peut être utilisé conjointement avec un canal de retour via RTCP voir RTSP(Real Time Streaming Protocol destiné aux système de streaming média). Ce canal de retour peut servir à demander des changements de compression ou de débit pour les applications multimedias ou encore informer l'émetteur des propriétés temps-réel du canal. + +Pour améliorer les performances de RTP, un protocole spécifique au streaming permet de contrôler la diffusion du contenu, il s’agit de RTSP (Real Time Streaming Protocol). + +RTSP est un protocole de niveau applicatif qui sert à contrôler les propriétés temps-réel du contenu délivré. Il est adapté aussi bien à la diffusion de données pré-enregistrées que de données diffusées en direct. + +- **Utilisation en mode unicast[^3]** + + Ce mode de diffusion nécessite l'ouverture d’un flux spécifique entre le serveur et le client. Les protocoles utilisés sont RTSP pour le contrôle du flux et RTP pour l’émission du flux. RTSP utilise TCP alors que RTP utilise UDP. L’intérêt de RTSP par rapport à RTP est d’ajouter un contrôle sur le contenu et de pouvoir par exemple accéder directement à un point donné du contenu sans avoir à le télécharger dans sa globalité. Il améliore ainsi les performances. + +Comment sa se passe : + +1. Le client contacte le serveur de streaming grâce au protocole RTSP. +2. le serveur retourne via RTSP une description de la session de streaming qu’il va ouvrir. +3. Le serveur informe le client du nombre de flux ( Une session étant composé de plusieurs flux : audio, video etc) +4. Le serveur donne des informations décrivant les flux comme le type du média et le codec de compression +5. Les flux sont diffusés séparément via le protocole RTP. + +###### Fig.2 Utilisation de RTP en unicast + +![rtp_unicast](https://user-images.githubusercontent.com/74672498/169299420-0e91d1bf-7c4f-429f-99c5-da9a9a9e5b5c.png) + +###### "https://www.iifa.fr/video-ip" iifa.fr + +- **Utilisation en mode multicast[^2]** + +La mise en œuvre de RTP en mode multicast requiert une configuration préalable de +routage au niveau du récepteur, qui doit faire lui-même la demande de routage à +ses routeurs hôtes, entre l'émetteur et le récepteur. L'émetteur quant à lui +informe séparément les routeurs de diffusion auxquels il est directement +connecté. il n'existe qu'un seul flux qui est dupliqué au niveau de chaque recepteur. on peut prendre le cas de la diffusion d'une chaine de TV où le flux est partagé entre tous les recepteurs. + +Comment sa se passe : + +Pour se connecter au multicast, le client doit télécharger un fichier type SDP(Session Description Protocol) qui contient les informations nécessaires pour recevoir le flux multicast, l'adresse IP du serveur, le numéro de port et les informations de description des flux (même informations que celle envoyées par RTSP dans le cas d'un diffusion unicast). + +###### Fig.3 Utilisation de RTP en multicast + +![rtp_multicast](https://user-images.githubusercontent.com/74672498/169301654-924eb1f4-ccb3-4ee8-aed4-38f244f8cc9f.png) + +###### "https://www.iifa.fr/video-ip" iifa.fr + +#### **RTP et la NAT[^7]** + + Les protocoles de signalisation utilisés pour les échanges multimédias (H.323 SIP, MGCP etc) sont en effet sensible à la NAT! Pourquoi? + + Lors d'une signalisation, ces protocoles ne se contentent pas de mentionner leur adresse IP dans l'entête des paquets qu'ils envoient mais l'indiquent également dans le corps de leurs messages. Par exemple avec le protocole SIP un message d'invitation INVITE comporte des informations sur l'ip de la source du paquet. Le récepteur ne peut répondre correctement à la requête puisque l'ip source initiale est une adresse privée. Le récepteur envoie donc sa réponse vers l'adresse ip source spécifiée qui ne lui est pas accessible, et le paquet de réponse n'arrive jamais. + +###### Fig.4 Utilisation de la NAT + + ![nat_rtp](https://user-images.githubusercontent.com/74672498/169309816-8f15135e-f6b8-4e7b-8c0c-acfcd0bcd053.png) + +###### "https://docs.switzernet.com/3/public/110303-asterisk-nat/" docs.switzernet.com + + Le protocole NAT posent donc quelques soucis au niveau d'une infrastructure décentralisée notamment lors de l'échange des paquets voix et video dans le protocole RTP. RTP étant décentralisé, pour résoudre le problème, tous les paquets RTP seront envoyés de l'interlocuteur au serveur avant d'être redirigés vers le bon client. Cette solution induit une forte utilisation de la bande passante du serveur, mais permet de résoudre le problème de la NAT. + +#### **Intégration de RTP dans Asterisk[^4]** + +La configuration du protocole RTP dans une infrastructure Asterisk passe par le fichier rtp.conf qu'Asterisk utilise pour générer et recevoir le traffic RTP. Par défaut rtp.conf utilise la plage de ports RTP comprise entre 10000 à 20000. + +Pour chaque appel SIP bidirectionnel entre 02 terminaux, cinq ports sont généralement utilisés : 5060 pour la signalisation SIP, Un port pour le flux de données un port pour RTCP dans une direction, 2 ports supplémentaires pour le flux de données et RTCP dans la direction opposée. + +Exemple + +``` +; +; Configuration RTP +; +[général] +; +; RTP start et RTP end configurent les adresses de début et de fin +; +rtpstart=10000 +rtpend=20000 +``` + +Si vous avez un NAT ou un pare-feu entre Asterisk et le serveur, vous devez les configurer pour gérer le transfert des ports. + +### **Intégration de la video dans Asterisk[^5]** + +Asterisk prend en charge une variété de support audio et vidéo et fournit des modules CODEC pour faciliter l'encodage et le décodage des flux audio. Pour l'instant le transcodage vidéo ou le transcodage d'image n'est pas pris en charge. + +#### **Pris en charge des vidéos[^6]** + +| Non | Valeur de configuration | Format Module | Distribué avec Astérisk | +| :----: | :---------------------: | :-----------: | :-----------------------: | +| H.261 | h261 | n/A | OUI | +| H.263 | h263 | format_h263 | OUI | +| H.263+ | h263p | format_h263 | OUI | +| H.264 | h264 | format_h264 | OUI | + +le fichier produit par les pilotes de format vidéo Asterisk n'est pas dans un format vidéo habituel. [Gstreamer](https://gstreamer.freedesktop.org/) prend en charge la production de ces fichiers et la conversion de divers fichiers vidéo en fichiers vidéo + audio Asterisk. + +#### **Prise en charge du pilote de canal[^8]** + +Dans Asterisk un canal est l'unité atomique qui transporte un appel au sein d'Asterisk. Il peut s'agir d'une connection physique à une ligne téléphonique ou à un poste téléphonique comme il peut s'agir d'une connection logique induite par un appel en provenance d'un réseau de données. Chaque canal est géré par un pilote qui en connaît les moindres détails et qui n'expose que le strict nécessaire à la couche supérieure du PBX. + +Généralement, un pilote de Canal lit dans un fichier de configuration les informations concernant le matériel/protocole qu'il doit gérer puis entre en attente de modification d'état sur les canaux physiques/logiques. Dès qu'un changement d'état survient, (Sonnerie par exemple), le pilote crée une structure de données de type channel et y attache tous les callbacks nécessaires à la communication. + +Les pilotes de canal qui prennent en charge la video dans Asterisk sont: + +| Pilote de canal | Module | Remarque | +| :-------------: | :-----------: | :---------------------------------------------------------------------: | +| SIP | chan_sip.so | Le pilote de canal SIP (chan_sip.so) prend en charge la vidéo | +| IAX2 | chan_iax2.so | Prend en charge les appels vidéo (sur les troncs aussi) | +| Local | chan_local.so | Transfère les appels vidéo en tant que canal proxy | +| Agent | chan_agent.so | Transfère les appels vidéo en tant que canal proxy | +| oss | chan_oss.so | Prend en charge l'affichage/le décodage vidéo, voir video_console.txt | + +Ci-dessous on peut voir un exemple de configuration de base de sip : sip.conf + +```conf +[general] +context=Hell +srvlookup=yes +tos_sip=cs3 +tos_audio=ef +tos_video=af41 +useragent=AUFSIPUA Pwrd by Asterisk PBX +externip = 1.2.3.4 +externhost=foo.baz.bar +localnet=192.168.0.0/255.255.0.0 +localnet=10.0.0.0/255.0.0.0 +localnet=172.16.0.0/12 +localnet=169.254.0.0/255.255.0.0 + +[tom] +type=friend +secret=s3cr3t +qualify=10 +disallow=all +allow=speex +allow=gsm +allow=alaw +nat=no +host=dynamic +canreinvite=no +context=hackers + + + reload chan_sip.so ou sip reload + sip list objects + sip list peers + sip list settings|domains|channels|subscriptions + sip list peers +``` + +Pour ce qui est des applications, elles rendent des services lorsqu'un appel est traité dans le système. Pour chaque appel, une suite d'applications est exécuté en série dans l'ordre dans lequel elles sont défini dans un diaplan (fichier qui reprend les instructions de traitement d'un l'appel). Certaines applications utilisent un fichier de configuration comme l'application VoiceMail (Messagerie vocale) + +Les applications de plans de numérotation qui sont connus pour gérer la vidéo sont : + +- Messagerie vocale - Stockage de la messagerie vocale vidéo +- Enregistrer - Enregistre les fichiers audio et vidéo +- Lecture - Lit une vidéo tout en étant invité à lire l'audio +- Echo - Renvoie l'audio et la vidéo à l'utilisateur + +## Bibliographie + +[^1]: "_Qu'est-ce que ASTERIX ?_", fr.wikipedia.org, https://fr.wikipedia.org/wiki/Asterisk_(logiciel) (consulté le 18/05/2022) + ** Résumé : Bref définition d'asterisk ainsi que de ses fonctionnalités + ** Avis sur la ressource : Très leger et pas assez explicite dans certains point + +[^2]: "_RTP ?_", iifa.fr, https://www.iifa.fr/video-ip) (consulté le 19/05/2022) + ** Résumé : Détaille les différents mode d'utilisation de RTP + ** Avis sur la ressource : Clair et schématique le meilleur pour comprendre RTP en unicast et multicast + +[^3]: "_RTP ?_", fr.wikipedia.org, https://fr.wikipedia.org/wiki/Real-time_Transport_Protocol (consulté le 19/05/2022) + ** Résumé : Définition de RTP ainsi que des protocoles associés + ** Avis sur la ressource : Va droit au but : Bonne base pour comprendre le protocole + +[^4]: "_Intégration de RTP dans Asterisk_", asteriskdocs.org, http://www.asteriskdocs.org/en/2nd_Edition/asterisk-book-html-chunk/asterisk-APP-D-SECT-37.html (consulté le 18/05/2022) + ** Résumé : Montre une configuration minimaliste de RTP au sein d'astérisk + ** Avis sur la ressource : Clair mais assez leger : insuffisant pour une configuration total + +[^5]: "_Prise en charge des pilote de canal_", wiki.asterisk.org, https://wiki.asterisk.org/wiki/display/AST/Video+Telephony (consulté le 19/05/2022) + ** Résumé : Donne les différents pilote de canal ainsi que les format video d'asterisk + ** Avis sur la ressource : Assez concis + +[^6]: "_Prise en charge des vidéos_", fr.wikipedia.org, https://wiki.asterisk.org/wiki/display/AST/Asterisk+Audio+and+Video+Capabilities (consulté le 19/05/2022) + ** Résumé : Document officiel d'asterisk (Prise en charge des médias) + ** Avis sur la ressource : Pas très détaillé concernant les flux videos + +[^7]: "_RTP et la NAT_", fr.wikipedia.org, https://wiki.asterisk.org/wiki/display/AST/Asterisk+Audio+and+Video+Capabilities (consulté le 19/05/2022) + ** Résumé : Fonctionnement d'Asterisk avec un routeur NAT et les problèmes rencontrés + ** Avis sur la ressource : Super explication de comment résoudre le problème de la nat dans une infrastructure Asterisk + +[^8]: "_Pilote de canal_", wiki.auf.org, https://wiki.auf.org/wikiteki/Asterisk/QuelquesNotions (consulté le 19/05/2022) + ** Résumé : Détaille les différents cannaux et leurs pilote utilisés par Astérisk + ** Avis sur la ressource : Super article très explicite + +[^9]: "_PABX_", fr.wikipedia.org, https://fr.wikipedia.org/wiki/Autocommutateur_t%C3%A9l%C3%A9phonique_priv%C3%A9 (consulté le 19/05/2022) + ** Résumé : Bref définition de ce que c'est qu'un PBX et de son evolution + ** Avis sur la ressource : Chouette définition diff --git "a/R\303\251seaux/delegation_dns.md" "b/R\303\251seaux/delegation_dns.md" index 69752f1..3485270 100644 --- "a/R\303\251seaux/delegation_dns.md" +++ "b/R\303\251seaux/delegation_dns.md" @@ -3,51 +3,43 @@ layout: default title: Délégation DNS parent: Réseaux --- - # Délégation DNS ## Domaines, sous-domaines et zones [^2] -La délégation DNS est le mécanisme permettant à un domaine de ne pas devoir gérer l'ensemble des machines qui le compose. Il peut décider de confier la gestion d'un sous-ensemble de ces machines à d'autres serveurs. Ces sous-ensembles sont déterminés par la hiérarchie des noms DNS : il s'agit des sous-domaines. - -Ainsi, le domaine 'mondomaine.dom.' peut être découpé en sous-domaines, dont par exemple 'sousdom.mondomaine.dom.'. Les machines qui appartient à 'mondomaine.dom.', mais à aucun des sous-domaines de ce dernier, constituent la **zone** 'mondomaine.dom.'. Un serveur de nom doit obligatoirement gérer sa zone, mais peut déléguer ses sous-domaines à d'autres serveurs de noms. +La délégation DNS est le mécanisme permettant à un domaine de ne pas devoir gérer l'ensemble des machines qui le compose. Il peut décider de confier la gestion d'un sous-ensemble de ces machines à d'autres serveurs. Ces sous-ensembles sont déterminés par la hiérarchie des noms DNS : il s'agit des sous-domaines. -En effet, chaque sous-domaine est lui-même une zone, et doit donc posséder un serveur de nom (désigné par Name Server (NS) ou Authoritative Server (SOA)). Dans notre exemple, il y aura donc (au minimum) une machine responsable pour la zone 'mondomaine.dom.', et une autre machine responsable de la zone 'sousdom.mondomaine.dom.'. +Ainsi, le domaine 'mondomaine.dom.' peut être découpé en sous-domaines, dont par exemple 'sousdom.mondomaine.dom.'. Les machines qui appartient à 'mondomaine.dom.', mais à aucun des sous-domaines de ce dernier, constituent la **zone** 'mondomaine.dom.'. Un serveur de nom doit obligatoirement gérer sa zone, mais peut déléguer ses sous-domaines à d'autres serveurs de noms. +En effet, chaque sous-domaine est lui-même une zone, et doit donc posséder un serveur de nom (désigné par Name Server (NS) ou Authoritative Server (SOA)). Dans notre exemple, il y aura donc (au minimum) une machine responsable pour la zone 'mondomaine.dom.', et une autre machine responsable de la zone 'sousdom.mondomaine.dom.'. ## La délégation en pratique -La délégation consiste donc à ce qu'un serveur de nom d'un domaine redirige les requêtes concernant les sous-domaines au serveur de noms du sous-domaine concerné [^1]. +La délégation consiste donc à ce qu'un serveur de nom d'un domaine redirige les requêtes concernant les sous-domaines au serveur de noms du sous-domaine concerné [^1]. -Pour cela, il doit posséder le nom du serveur de nom du sous-domaine dans son fichier de zone, sous la forme d'un record NS. Néanmoins, cela n'est pas suffisant, puisque les clients auront besoin de l'adresse IP de ce serveur du sous-domaine. +Pour cela, il doit posséder le nom du serveur de nom du sous-domaine dans son fichier de zone, sous la forme d'un record NS. Néanmoins, cela n'est pas suffisant, puisque les clients auront besoin de l'adresse IP de ce serveur du sous-domaine. -Par exemple, pour contacter 'www.sousdom.mondomaine.dom.', avoir le nom du serveur ns.sousdom.mondomaine.dom. n'est pas suffisant, il faut son adresse IP pour pouvoir lui envoyer une requête DNS. Or, cette machine appartient à la zone "sousdom" dont elle est elle-même responsable! +Par exemple, pour contacter 'www.sousdom.mondomaine.dom.', avoir le nom du serveur ns.sousdom.mondomaine.dom. n'est pas suffisant, il faut son adresse IP pour pouvoir lui envoyer une requête DNS. Or, cette machine appartient à la zone "sousdom" dont elle est elle-même responsable! -Pour pouvoir résoudre ce problème, il faut faire une exception au principe de répartition des machines par zone. Il va falloir ajouter l'IP de la machine ns.sousdom.mondomaine.dom. au fichier de zone du NS de mondomaine.dom, alors que cette machine n'appartient théoriquement pas à cette zone. +Pour pouvoir résoudre ce problème, il faut faire une exception au principe de répartition des machines par zone. Il va falloir ajouter l'IP de la machine ns.sousdom.mondomaine.dom. au fichier de zone du NS de mondomaine.dom, alors que cette machine n'appartient théoriquement pas à cette zone. -Cette adresse IP du serveur de nom d'un sous-domaine est encodée sous forme d'un record A. Ce record est appelé **Glue Record** [1]. +Cette adresse IP du serveur de nom d'un sous-domaine est encodée sous forme d'un record A. Ce record est appelé **Glue Record** [1]. -Dans le cas de notre exemple, la délégation de zone sera donc configurée en ajoutant les deux Resource Records suivants au fichier de zone du serveur de nom de 'mondomaine.dom.' : +Dans le cas de notre exemple, la délégation de zone sera donc configurée en ajoutant les deux Resource Records suivants au fichier de zone du serveur de nom de 'mondomaine.dom.' : ``` sousdom.mondomaine.dom. IN NS ns.sousdom.mondomaine.dom. ns.sousdom.mondomaine.dom IN A 1.2.3.4 ``` - - - - - ## Bibliographie -* [^1]: P. Mockapetris, IETF, [RFC 1034 - DOMAIN NAMES - CONCEPTS AND FACILITIES](https://datatracker.ietf.org/doc/html/rfc1034), Internet Draft, Nov. 1987 - **Résumé** : Standard définissant les concepts du DNS - **Avis sur la ressource** : Il s'agit du texte de standardisation d'origine du DNS. Attention, il date de 1987 et possède de nombreuses mises à jour à consulter en parallèle. -* [^2]: **Slides du cours Admin I - Chapitre DNS**, V. Van den Schrieck, 2018, consulté le 10 janvier 2022 - **Résumé** : Présentation de la hiérarchie DNS et des différents rôles des serveurs DNS - **Avis sur la ressource** : C'est un slideshow présentant les bases du DNS, qui gagnerait à être plus détaillé (schémas, texte, ...) - - - - +[^1]: P. Mockapetris, IETF, [RFC 1034 - DOMAIN NAMES - CONCEPTS AND FACILITIES](https://datatracker.ietf.org/doc/html/rfc1034), Internet Draft, Nov. 1987 + + **Résumé** : Standard définissant les concepts du DNS + **Avis sur la ressource** : Il s'agit du texte de standardisation d'origine du DNS. Attention, il date de 1987 et possède de nombreuses mises à jour à consulter en parallèle. + +[^2]: **Slides du cours Admin I - Chapitre DNS**, V. Van den Schrieck, 2018, consulté le 10 janvier 2022 + + **Résumé** : Présentation de la hiérarchie DNS et des différents rôles des serveurs DNS + **Avis sur la ressource** : C'est un slideshow présentant les bases du DNS, qui gagnerait à être plus détaillé (schémas, texte, ...) diff --git "a/R\303\251seaux/dns.md" "b/R\303\251seaux/dns.md" new file mode 100644 index 0000000..567a2d9 --- /dev/null +++ "b/R\303\251seaux/dns.md" @@ -0,0 +1,156 @@ +--- +layout: default +title: roots servers +parent: Réseaux +--- + + +# Introduction : + +Dès que l'on recherche un élément en ligne, que l'on communique avec un service en ligne, le serveur racine (du DNS) joue un rôle important dans la résolution de nom. Comment, sur base d'une adresse IP, il est possible d'arriver sur Google, Youtube ou encore Facebook? + +## Histoire : + +Avant le DNS, la résolution de nom sur internet se faisait grâce à un fichier texte que l'on recopiait sur les ordinateurs, par transfert de fichier. + +Ce fichier portait le nom de: HOSTS.TXT(5). + +En 1982, ce système montre ses premières limites, et plusieurs propositions de remplacement voient le jour. Les premières idées ne sont pas gardées. Un certain Paul Mockapetris(6) fut désigné responsable quant au développement d'un autre système de résolution de nom. +Il est responsable du DNS, une architecture qu'il proposera en 1983 dans les RFC 882 et RFC 883. + +Ce dernier est également l'inventeur du premier serveur de courrier électronique basé sur le protocole SMTP. + +## Explications des root-servers + +Afin de nous rendre sur nos sites web préférés, nous utilisons la résolution de nom DNS, qui passe par les serveurs racines (roots-servers). + +Un serveur racine est un élément primordial pour la résolution de nom. Il répond aux requêtes ou demandes des clients dans la zone racine du DNS (Cette zone marque le niveau le plus élevé, au premier niveau de l'espace de nom DNS). +Ces derniers n'exécutent pas eux-même la résolution de nom, mais informent à la place le client des autres serveurs DNS à consulter de manière plus précise afin d'obtenir une meilleure réponse. (1) + +Cependant, afin de pouvoir interroger un serveur racine, il faut également posséder des informations à son propos. Quel est l'adresse IP du serveur racine responsable de la zone que je cherche à joindre? +Pour ce faire, il existe un fichier, appelé "fichier de zone racine", qui contient tous les noms et toutes les adresses IP des domaines de premier niveau. +Ce fichier est téléchargé lors de l'installation d'un client DNS, comme Bind9 par exemple. +Ce dernier se trouve dans le repertoire /etc/bind, sous le nom de db.root. (2) + +La gestion de base du serveur racine est à la responsabilité de l'ICANN (Internet Corporation for Assigned Names and Numbers). + +Il n'y a plus, contrairement à la croyance populaire, uniquement 13 serveurs racines uniques du DNS . +En effet, nous devons plutôt parler de 13 "identités de serveur". Ces "identités", ayant chacune une adresse IP, sont souvent considérées comme des serveurs racines. + +Lettre des serveurs racines du DNS | Adresse IPv4 | Adresse IPv6 | Opérateurs +--- | ------------- | ---------- | -------------- +A | 198.41.0.4 | 2001:503:ba3e::2:30 | VeriSign | +B | 192.228.79.201 | 2001:478:65::53 | USC-ISI | +C | 192.33.4.12 | 2001:500:2::c | Cogent Communications | +D | 199.7.91.13 | 2001:500:2d::d | University of Maryland | +E | 192.203.230.10 | | NASA | +F | 192.5.5.241 | 2001:500:2f::f | ISC | +G | 192.112.36.4 | | U.S. DoD NIC | +H | 128.63.2.53 | 2001:500:1::803f:235 | US Army Research Lab | +I | 192.36.148.17 | 2001:7FE::53 | Autonomica | +J | 192.58.128.30 | 2001:503:c27::2:30 | VeriSign | +K | 193.0.14.129 | 2001:7fd::1 | RIPE NCC | +L | 199.7.83.42 | 2001:500:3::42 | ICANN | +M | 202.12.27.33 | 2001:dc3::35 | WIDE Project | + +(4) + +Lors d'une tentative de résolution de nom, on va tout d'abord interroger un serveur racine, afin d'obtenir plus d'informations sur le domaine de premier niveau (TLD, Top Level Domain). + +Par la suite, grâce à la réponse du TLD, nous allons interroger le SOA de la zone recherchée, afin d'obtenir l'IP recherchée. (1) + +C'est de cette manière que nous parvenons à accéder aux contenus de certains sites. Sans le fichier db.root, toute la résolution de nom du DNS global ne marcherait pas. Les serveurs DNS racines sont les piliers du DNS. + +## Attaques sur les serveurs racines : + +Il y a déjà eu, durant son histoire, de nombreuses attaques sur les serveurs racines. Étant la base de la résolution de nom, si le service tombe en panne, c'est tout internet qui tombe en panne. (4) + +### Attaque de 2002 : + +Lors de cette attaque, 7 serveurs sur les 13 ont été touchés, et on vu leurs performances dégradées à cause de cette dernière. Les auteurs de cette attaque l'ont effectué à l'aide d'un DDoS. Ils ont réussi à générer un volume de requêtes 40x supérieurs à la normale. +Suite à cette attaque, le systeme anycast a été mis en place : + +"Anycast est une technique d'adressage et de routage permettant de rediriger les données vers le serveur informatique le « plus proche » ou le « plus efficace » selon la politique de routage." +[source](https://fr.wikipedia.org/wiki/Anycast). + +### Attaque de 2007 : + +Les serveurs F, G, L et M ont été attaqués pendant 24h. + +Lors de cette attaque, l'impact sur M a été moindre grâce à anycast. + +5000 machines, essentiellement basées en corée du sud, ont générées du traffic en direction des Etats-Unis. (4) + +### Attaque de 2015 : + +5 millions de requêtes par seconde prennant la route vers les 13 serveurs racines. L'attaque était destinée à chaque serveur racine de chaque lettre. La durée totale de cette attaque n'a pas dépassé 4 heures, mais les serveurs DNS racines ont été confrontés à environ 1 trillion de requêtes erronées. (3) + +## Conclusion : + +Les root-servers / serveurs racines sont un élément essentiel à la résolution de nom sur internet. Ils représentent le fondement du fonctionnement du service DNS. Sans eux, nous ne pourrions plus aller sur un site sur base de son url. Ce service a, de nombreuses fois, été attaqué pour essayer de le faire tomber, mais ils n'y sont jamais arrivés. +Le service est super robuste, pas étonnant vu son importance dans la société à l'heure actuelle. + + +## Bibliographie: + + +### source 1 : + +[URL](https://www.ionos.fr/digitalguide/serveur/know-how/quest-ce-quun-serveur-racine-definition-et-fonctionnement/) de l'article + +Auteur : Know-how + +Titre de l'article : Qu’est-ce qu’un serveur racine ? Définition et fonctionnement + +Date de consultation : 25 mai 2023 + +### source 2 : + +[URL](https://linux.developpez.com/formation_debian/serveur-dns.html) +Auteur : ? + +Titre de l'article : Chapitre 9. Monter un serveur DNS + +Date de consultation : 25 mai 2023 + +### source 3 : + +[URL](https://news.sophos.com/fr-fr/2015/12/12/serveurs-dns-racine-attaque-ddos-massive/) de l'article + +Auteur : Sophos France + +Titre de l'article : Des serveurs DNS racine résistent à une attaque DDoS massive + +Date de consultation : 25 mai 2023 + +### source 4 : + +[URL](https://fr.wikipedia.org/wiki/Serveur_racine_du_DNS) de l'article + +Auteur : ? + +Titre de l'article : Serveur racine du DNS + +Date de consultation : 25 mai 2023 + +### source 5 : + +[URL](https://fr.wikipedia.org/wiki/Serveur_racine_du_DNS](https://www.techno-science.net/glossaire-definition/Domain-Name-System-page-2.html)) de l'article + +Auteur : [liste ici](http://fr.wikipedia.org/w/index.php?title=Domain%20Name%20System&action=history) + +Titre de l'article : Domain Name System + +Date de consultation : 25 mai 2023 + +### source 6 : + +[URL](https://fr.wikipedia.org/wiki/Paul_Mockapetris) de l'article + +Auteur : [ici]([http://fr.wikipedia.org/w/index.php?title=Domain%20Name%20System&action=history](https://fr.wikipedia.org/wiki/Utilisateur:Bot_de_pluie)) + +Titre de l'article : Paul Mockapetris + +Date de consultation : 25 mai 2023 + + diff --git "a/R\303\251seaux/dnssec.md" "b/R\303\251seaux/dnssec.md" new file mode 100644 index 0000000..00dea4b --- /dev/null +++ "b/R\303\251seaux/dnssec.md" @@ -0,0 +1,203 @@ +--- +layout: default +title: DNSSEC +parent: Réseaux +--- + +# DNSSEC ( Domain Name System Security Extensions) + +## Histoire du DNSSEC + +###### https://en.wikipedia.org/wiki/Steven_M._Bellovin +![](https://upload.wikimedia.org/wikipedia/commons/thumb/9/95/Steven_M_Bellovin_2016.jpg/220px-Steven_M_Bellovin_2016.jpg) + + Tout commence en 1990, lorsque le [Docteur Steven M. Bellovin](https://en.wikipedia.org/wiki/Steven_M._Bellovin) a découvert des failles de sécurité dans le protocole DNS¹. Il a remarqué qu'il était très facile pour une personne malveillante de rediriger un utilisateur vers un autre site web. + +Il faut savoir que le DNS n'avait aucun système de sécurité car Internet était très loin d'être le géant qu'il est aujourd'hui. Le seul moyen pour un résolveur de vérifier les informations qu'il recevait était de comparer l'adresse IP source d'une réponse avec l'adresse IP de la requête, ce qui n'est pas du tout sécurisé de part la facilité à falsifier celles-ci. + +Les trois principales failles de sécurité découvertes par le [Docteur Steven M. Bellovin](https://en.wikipedia.org/wiki/Steven_M._Bellovin) sont le "DNS Spoofing", le "DNS Cache poisoning" et la "man-in-the-middle attack". + +**Qu'est-ce que le DNS Spoofing / DNS Cache Poisoning⁵ ?** +Le DNS Spoofing (usurpation DNS en français) est l'action de rediriger un utilisateur vers un site web malveillant afin de lui soutirer des informations privées, telles que des mots de passe ou des numéros de carte de crédit. +Les attaquants se font passer pour le serveur autoritaire d'un site web afin d'empoisonner le cache d'un résolveur pour y mettre de fausses informations, de sorte que celui-ci renvoie une adresse IP incorrecte aux utilisateurs et ainsi les redirige au mauvais endroit. + + + +**Qu'est-ce que l'Attaque de l'homme du milieu⁹ ?** +L'attaque de l'homme du milieu (man-in-the-middle attack en anglais) n'a rien à voir avec la terre du même nom, mais consiste plutôt à intercepter/relayer la communication entre deux parties. +L'attaquant a donc le contrôle direct sur les informations et peut donc décider de les modifier à sa guise. Cette attaque est très souvent utilisée pour rediriger des utilisateurs lambda vers des sites web frauduleux. + + +
+ +### **Et comment peut-on empêcher ces attaques ?** +Ces attaques ont toutes un point en commun en terme de sécurité, c'est que le résolveur n'a aucun moyen de savoir si les informations qu'il reçoit sont correctes car il ne sait pas avec quelle machine il communique. Il nous faut donc un système pour authentifier les machines DNS afin d'empêcher quiconque de s'immiscer entre les mailles du filet . +C'est ainsi que le DNSSEC fut inventé en se basant sur la cryptographie à clé publique . + + +## **Petit rappel sur le fonctionnement du DNS⁶** +Le but du protocole DNS est de mettre en oeuvre des mécanismes afin de faire correspondre un nom de domaine et une adresse IP. +Celui-ci fonctionne grâce à une hiérarchisation de domaines et de sous-domaines, dont le sommet est appelé la racine et est représenté par un point. +Chaque domaine et sous-domaine peut ensuite créer une délégation ([voir Délégation DNS](https://epheclln.github.io/Wiki-TI/R%C3%A9seaux/delegation_dns.html)) et ainsi de suite. + + +Nous utilisons donc un résolveur pour faire des requêtes récursives, afin d'interroger un par un, en partant de la racine, les "Name Servers" jusqu'à trouver l'adresse IP correspondante à notre requête. + + + + + +###### Wikipedia, [en ligne] https://fr.wikipedia.org/wiki/Domain_Name_System + + +Prenons un exemple avec 'www.wikipedia.org'; +- Notre Internaute veut accéder à la page Internet avec l'url 'www.wikipedia.org', il va alors interroger son résolveur pour lui demander l'adresse IP du Serveurs autoritaire de 'wikipedia.org' +- La première requête de notre résolveur va nous faire interroger le serveur Racine, qui va nous renvoyer l'adresse IP du NS '.org'. +- La deuxième requête va ensuite interroger le NS '.org' qui va nous renvoyer l'IP du NS 'wikipedia.org' +- La troisième requête va ensuite interroger le NS de 'wikipedia.org' qui va nous répondre avec l'adresse IP de 'www.wikipedia.org'. +- Notre résolveur renvoie l'adresse IP du serveur autoritaire de wikipedia.org à notre Internaute. + + + +## **Fonctionnement du DNSSEC** +### **Sécurisation d'une zone⁸** +- Tout d'abord, des Ressource Records de même type (A,AAAA,MX...) sont regroupés ensemble dans un RRset. +- Chaque Serveur DNS génère une paire de clés ZSK (**Z**one **S**ignature **K**ey) et une paire de clés KSK(**K**ey **S**ignature **K**ey). +- La ZSK privée est utilisée pour signer le RRset et stocke la signature dans un RRSIG. + +
+
+ + +- La ZSK publique est stockée dans un Ressource Record "DNSKEY" et utilisée pour vérifier la signature . +- La KSK publique est stockée dans un Ressource Record "DNSKEY" . +- Ces deux RR 'DNSKEY' sont rassemblées dans un RRset . +- La KSK privée est utilisée pour signer le RRset "DNSKEY" et stocke la signature dans un autre RRSIG . + +
+ +
+ +Pour l'instant, le serveur de nom agit de manière indépendante, il faut trouver un moyen de propager la confiance entre les serveurs . +C'est ce qu'on appelle la _Chain of Trust_. + + +### **Chain of Trust⁷** +Le DNSSEC fonctionne à l'aide d'un système de chaîne de confiance⁵ (en Anglais 'Chain of Trust') qui valide les serveurs DNS sur base de leurs RRSIG. Le NS pourra donc obtenir un certificat de confiance signé par le parent, et ainsi de suite jusqu'à ce que l'entièreté de la chaîne soit certifiée. +Lorsqu'une zone enfant termine sa sécurisation, elle hache son RRset DNSKEY et l'envoie à la zone parent pour qu'elle l'ajoute en tant qu'enregistrement DS(Delegation Signer) dans ses Ressources Records. Celui-ci va ensuite repasser dans le processus de sécurisation de la zone parent . Et ainsi de suite jusqu'au "Root Server", dont le certificat fut approuvé manuellement par l'ICANN en 2010. +
+**Exemple de requête :** + +
+ + +- Un utilisateur essaie de joindre "www.ephec.com", il va alors contacter la Zone Racine +- La Zone Racine va alors vérifier la zone ".com" avec sa KSK publique +- La zone ".com" va vérifier le RR de la zone "ephec.com" +- La zone "ephec.com" va finalement vérifier le RR de "www.ephec.com" +- Le RR est ensuite renvoyé à l'utilisateur + + +### **Ressource Record DNSSEC** +Exemple de Ressource Record 'DNSKEY' : +``` +ephec.com. 3600 IN DNSKEY 257 3 13 gkfdFDSdsfl21VC== +``` + +| Nom | TTL | Class | Type de RR | Flags | Protocole | Algorithme | Clé Publique | +|---|---|---|---|---|---|---|---| +| ephec.com. | 3600 | IN | DNSKEY | 257 | 3 | 6 | gkfdFDSdsfl21VC== | + +- Les 4 premiers champs définissent le nom de domaine de la zone à qui appartient la clé publique +- Le champ "Flags" indique des informations supplémentaires +- Le champ "Protocole" est toujours égal à 3 pour le DNSSEC +- Le champ "Algorithme" correspond à l'algorithme utilisé pour le chiffrement de la clé publique + +Exemple de Ressource Record 'RRSIG' : +``` +ephec.com. 3600 IN RRSIG A 5 2 fd3Fsd5G43dsqlm=) +``` + +| Nom | TTL | Class | Type de RR | Type Covered | Algorithme | Nombre de label | Signature | +|---|---|---|---|---|---|---|---| +| ephec.com. | 3600 | IN | RRSIG | A | 5 | 2 | fd3Fsd5G43dsqlm=) | + +- Les 4 premiers champs définissent le nom, le TTL(Time to Leave), la classe et le type de Ressource Record +- Le champ "Type Covered" indique le type de RR couvert par la signature +- Le champ "Algorithme" indique l'algorithme utilisé pour créer la signature +- Le champ "Nombre de label" correspond au nombre de label dans le nom => "ephec.com" = 2 (ephec / com) + +Exemple de Ressource Record 'DS' : +``` +ephec.com. 3600 IN DS 2371 13 2 3K12J312LK321L +``` + +| Nom | TTL | Class | Type de RR | Tag de clé | Algorithme | Type de hash | Valeur du hash | +|---|---|---|---|---|---|---|---| +| ephec.com. | 3600 | IN | DS | 2371 | 13 | 2 | 3K12J312LK321L | + +- Les 4 premiers champs définissent le nom, le TTL(Time to Leave), la classe et le type de Ressource Record +- Le champ "Tag de clé" indique un nombre qui identifie la référence du record DNSKEY +- Le champ "Algorithme" indique l'algorithme utilisé pour le RR DNSKEY +- Le champ "Type de hash" correspond à l'algorithme de hash cryptographique utilisé pour créer le hash + + +## **Avenir du DNSSEC ?** +Le DNSSec est très important dans la sécurisation du DNS. +On a remarqué que sans celui-ci, de nombreuses fraudes et attaques pouvaient avoir lieu. +Sa popularité augmente peu à peu chaque année³ et d'après moi le DNSSec deviendra un standard de la sécurisation, tout comme HTPPS. + + + +

+ +## **Bibliographie** + + +* 1 : Wikipedia, [Wikipedia - Domain Name System Security Extensions ](https://en.wikipedia.org/w/index.php?title=Domain_Name_System_Security_Extensions&oldid=1081721838), Apr. 2022, consulté le 26 Avril 2022 + + **Résumé** : Page Wikipedia du DNSSEC + **Avis sur la ressource** : Il s'agit de la page Wikipedia concernant le DNSSEC. + Plus complète en Anglais, elle rassemble beaucoup d'informations concernant ce dernier. + +* 2 : dnssec, [ DNSSEC: DNS Security Extensions Securing the Domain Name System ](https://www.dnssec.net/), Sept. 2018, consulté le 26 Avril 2022 + + **Résumé** : Page Officiel du DNSSEC + **Avis sur la ressource** : Il s'agit de la page officiel en anglais du DNSSEC. Même si le design n'est pas parfait, c'est toujours utile. + +* 3 : Apnic,stats.lab [ Use of DNSSEC Validation for World ](https://stats.labs.apnic.net/dnssec/XA?hc=XA&hx=1&hv=0&hp=0&hr=1&w=365), consulté le 26 Avril 2022 + + **Résumé** : Statistique sur l'utilisation du DNSSec + **Avis sur la ressource** : Il s'agit d'une page du laboratoire de statistique de Apnic sur la validation DNSSec dans le monde. + Cette ressource est utile quant à la compréhension de l'expansion de DNSSec. + +* 4 : ICANN,stats.research [ TLD DNSSEC Report ](https://stats.research.icann.org/dns/tld_report/), consulté le 26 Avril 2022 + + **Résumé** : Statistique sur les TLD signé + **Avis sur la ressource** : Il s'agit d'une page officielle du site de l'ICANN qui représente le nombre de TLD (top-level domain, domaine de premier niveau en français) signé par DNSSEC dans le monde. Cette ressource est utile quant à la compréhension de l'expansion de DNSSec + +* 5 : ICANN.org, [ DNSSEC – Qu'est-ce que c'est et pourquoi est-ce important ?](https://www.icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-20-fr#:~:text=Les%20DNSSEC%20renforcent%20l'authentification,par%20le%20propri%C3%A9taire%20des%20donn%C3%A9es. +), consulté le 26 Avril 2022 + + **Résumé** : Page expliquant l'importance du DNSSec + **Avis sur la ressource** : Il s'agit d'une page du site officiel de l'ICANN, cette ressource est donc cohérente. + +* 6 : Wikipedia, Domain Name System, [ Domain Name System ](https://fr.wikipedia.org/w/index.php?title=Domain_Name_System&oldid=193399624), consulté le 26 Avril 2022 + + **Résumé** : Page Wikipedia du DNS + **Avis sur la ressource** : Plus complête en Anglais, pratique pour se rappeler de petits détails. + +* 7 : ResellersPanel, DNSSec Enabled On our Platform, [ DNSSec Enabled on our platform ](https://blog.resellerspanel.com/domain-names/dnssec-enabled-on-our-platform.html), consulté le 28 Avril 2022 + + **Résumé** : Page rassemblant plein d'informations sur le DNSSec + **Avis sur la ressource** : En Anglais, très complête avec beaucoup d'illustrations + +* 8 : CloudFlare, [ How DNSSEC Works](https://www.cloudflare.com/fr-fr/dns/dnssec/how-dnssec-works/), consulté le 28 Avril 2022 + + **Résumé** : Explication sur l'utilisation des clés et le fonctionnement du DNSSEC + **Avis sur la ressource** : Très complète avec plein d'illustrations + +* 9 : Wikipedia, [Man-in-the-Middle Attack](https://fr.wikipedia.org/w/index.php?title=Attaque_de_l%27homme_du_milieu&oldid=191530746), consulté le 7 Mai 2022 + + **Résumé** : Explication Sur l'attaque de l'homme du milieu + **Avis sur la ressource** : Très complète avec des d'exemples diff --git "a/R\303\251seaux/docker_swarm.md" "b/R\303\251seaux/docker_swarm.md" new file mode 100644 index 0000000..a8dfac3 --- /dev/null +++ "b/R\303\251seaux/docker_swarm.md" @@ -0,0 +1,212 @@ +--- +layout: default +title: Docker Swarm +parent: Réseaux +--- +# Docker swarm + +Un docker swarm est un ensemble ("cluster") d'hôtes Docker ("Docker hosts"). Un docker host est une instance Docker Engine. Il est possible d'en avoir plusieurs sur une même machine hôte. On appelles "nodes" les docker hosts faisant partie d'un swarm. Ces nodes peuvent avoir deux rôles : + +- manager : gère l'adhésion des hôtes et la délégation des taches. +- worker : fait tourner un service swarm. + +Par défaut les nodes manager font aussi tourner des services comme des nodes worker. On peut les configurer pour qu'elles gèrent uniquement des taches de manager. + +Le principe d'un docker swarm est de déployer les services sur un seule node, le manager. On fournit une définition de service au node manager et celui-ci s'occupera de départager les unités de travail, les taches ("tasks"), entre les différents worker nodes. Il est tout a fait possible d'avoir plusieurs manager dans un même swarm. + +![swarm-diagram](https://user-images.githubusercontent.com/94830560/172141105-e2b8a7b0-d8eb-4889-9fd9-a0f2d0ece97a.png) + +

+ Docker swarm contenant plusieurs nodes manager et worker. [3] +

+[1][2][3] + +## Créer un docker swarm et le rejoindre [4][14] + +On initialise sur un docker host le swarm. Ce docker host deviendra un manager. + +``` +docker swarm init --advertise-addr= +``` + +\ est l'adresse IP de la machine abritant le manager. + +La commande renvoie un message indiquant la commande à taper pour qu'un autre docker host puisse rejoindre le swarm en tant que worker ou manager. Elle ressemblera à : + +``` +docker swarm join --token :2377 +``` + +On peut obtenir ces commandes en utilisant sur un node manager : + +``` +docker swarm join-token [worker/manager] +``` + +On peut également changer changer le mode d'un node avec les commandes + +``` +docker node promote +docker node demote +``` + + La première transforme un worker en manager et la seconde fait l'inverse. [9][10] + +## Services et tasks [1][2][3] + +Un services est la définition des tasks à exécuter sur les nodes worker ou manager. En définissant un service on indique quelle image utiliser et les commandes à exécuter dans les tasks. On définit pour ce service un état optimal que Docker essaiera de maintenir. On peut définir le nombre de répliques, ressources de stockage, ressources de réseau, ports exposés vers l'extérieur, etc. Le manager distribuera les tasks en fonction de l'état optimal. + +Les tasks, en opposition aux "standalone containers", sont des containers faisant partie d'un service swarm et étant gérés par un swarm manager. Le type de service qu'on définit dans l'état optimal permets de déterminer le nombre de tasks qui seront distribuées par le manager entre les workers. + +- Replicated service : le manager distribue un nombre précis de tasks à travers les workers. +- Global service : le manager distribue une task à chaque node disponible dans le cluster. + +![docker_swarm](https://user-images.githubusercontent.com/94830560/172188028-a8e5dc46-8b43-4404-bc66-99b7c880394c.png) + +## Création de services [5] + +La parmétrisation d'un service peut être très complète. Voyons les points basiques. Pour plus d'informations, n'hésitez pas à consulter la documentation [Docker](https://docs.docker.com/engine/swarm/services/#create-a-service). + +La commande de base pour créer un service swarm est la suivante. \ est l'image qu'utiliserons les containers (tasks) et \ est la commande qui sera exécutée dans le container après sa création. + +``` +docker service create +``` + +On peut bien sûr compléter cette commande avec une multitude de flags : + +- ``--name `` permets de donner un nom au service. +- ``--p/--publish `` permets de choisir un Published Port, un port externe sur lequel on accède au service. +- ``--env `` permets de définir des variables d'environnement. +- ``--workdir`` permets de définir un working directory. +- ``--user`` permets de définir un utilisateur. +- ``--mode`` permets d'indiquer le mode de service (replicated, global, ...). Si on n'utilise pas ce flag un service sera replicated par défaut. +- ``--replicas`` permets d'indiquer le nombre de répliques qu'on veut avoir. +- etc. + +On peut également définir le comportement de mise à jour du service (délai avant mise à jour automatique, que faire lors d'une erreur de mise à jour, ...), définir une façon de revenir à une version antérieure du service en cas de problème avec la version actuelle du service. + +Pour avoir des données persistantes on peut utiliser le flag ``--mount`` pour définir des data volumes ou bind mounts [[5]](https://docs.docker.com/engine/swarm/services/#give-a-service-access-to-volumes-or-bind-mounts). Le principe est similaire aux [bind mounts [12]](https://docs.docker.com/storage/bind-mounts/) et [named volumes [13]](https://docs.docker.com/storage/volumes/) utilisés pour avoir des données persistantes sur des standalone containers. + +Quelques exemples issus de la documentation Docker [5] : + +``` +docker service create --name helloworld \ + --env MYVAR=myvalue \ + --workdir /tmp \ + --user my_user \ + alpine ping docker.com +``` + +``` + docker service create --name my_web \ + --replicas 3 \ + --publish published=8080,target=80 \ + nginx +``` + +``` +docker service create \ + --mode global \ + --publish mode=host,target=80,published=8080 \ + --name=nginx \ + nginx:latest +``` + +Il est facile de modifier un service avec la commande ``docker service update ...``. Elle vient, tout comme la commande de création, avec beaucoup de flags. [5] + +## Tolérance aux pannes et Load balancing [1] + +Les workers communiquent l'état de leurs tasks qui leur ont été assigné. De cette manière le manager peut maintenir l'état désiré. Par exemple, dans le cas où un worker tombe en panne et n'est plus disponible le manager redistribue une nouvelle Task à un autre worker pour respecter le nombre de répliques qu'on doit avoir. + +Le mode swarm possède un DNS interne qui assigne automatiquement une entrée DNS pour chaque service dans le swarm. Le manager fait du load balancing pour distribuer les requêtes entre les service disponibles en fonction du nom DNS du service. Il utilise le load balancing également pour rendre les services accessibles à l'extérieur du swarm si on le souhaite. Il peut assigner automatiquement un "Published Port", un port extérieur, à un service (entre 30 000 et 32 767). On peut aussi choisir nous même un port non utilisé. + +![docker_swarm load_balancing](https://user-images.githubusercontent.com/94830560/172187969-31d75f97-e232-4a06-a702-186753e36e9d.png) + +  +  + +# Réseaux overlay + +On peut aussi préciser à la création d'un service un réseau overlay. Le but d'un réseau overlay est de permettre la communication entre des containers sur des docker hosts/machines différentes. Tous les containers peuvent participer à un réseau overlay, peu importe si ce sont des tasks définis par un service ou des standalone containers. Dès qu'un container rejoindra le réseau une adresse ip du réseau lui sera attribué. [6] + +## Création d'un réseau overlay [7][11] + +On doit créer le réseau overlay sur un manager. Ce dernier fera savoir aux autres nodes que le réseau existe. + +``` +docker network create -d overlay +``` + +Quelques flags à utiliser : + +- ``--attachable``permets d'attacher manuellement des containers au réseau et donc à des standalone containers d'utiliser le réseau overlay. +- `` -d / --driver`` indique le driver qui gèrera le réseau (bridge, overlay, ...). Bridge est mis par défaut, il faut donc préciser que c'est un réseau overlay dans notre cas avec `` --d overlay``. +- ``--gateway`` définit une Gateway pour le réseau. +- ``--internal ``empêche l'accès au réseau depuis l'exterieur. +- ``--ipv6 ``active l'IPv6. +- ``--subnet`` définit le sous-réseau dans lequel Docker va piocher les adresses à attribuer. Docker attribue par défaut des subnets aux différents réseaux et fait en sorte qu'il ne se superposent pas. Ce flag nous permets de choisir le subnet d'adresses. +- ``--ip-range`` permets de définir un sous-ensemble d'adresses ip dans le subnet que Docker utilisera pour l'attributaion des ip. +- etc. + +Exemple de la documentation Docker [11] : + +``` + docker network create + --d overlay \ + --attachable \ + --subnet=172.28.0.0/16 \ + --ip-range=172.28.5.0/24 \ + --gateway=172.28.5.254 \ + my_overlay +``` + +Pour plus d'infos ou exemples consultez la documentation [Docker [11]](https://docs.docker.com/engine/reference/commandline/network_create/) ou la commande `` docker network create --help``. + +## Attribuer un réseau overlay à un service ou un standalone container [7][8] + +Attribuer un réseau overlay à un service ou standalone container ce fait à sa création avec le flag ``--network`` . + +``` +docker service create ... --network ... +``` + +Dans le cas du standalone container il faut veiller à ce que le réseau ai été créé avec le flag ``--attachable ``. Sans ça on ne pourra tout simplement pas attribuer le réseau overlay. + +``` +docker run ... --network ... +``` + +## Ports utilisés [6][7] + +Un réseau overlay utilise plusieurs ports pour communiquer : + +- 2377/tcp : communications pour la gestion du cluster +- 7946/tcp, 7946/udp : communications entre nodes +- 4789/udp : traffic du réseau overlay + +Il faut donc veiller à ouvrir ces ports sur chaque Docker host participant à un réseau overlay. + +  +  + +# Bibliographie + +| N° | Auteur | Date de rédaction | Date de consultation | Titre | Lien | +| --- | --------------------- | ------------------ | -------------------- | ------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | +| 1 | Docker | - | 1 Juin 2022 | Swarm mode key concepts | https://docs.docker.com/engine/swarm/key-concepts/ | +| 2 | Docker | - | 1 Juin 2022 | Getting started with swarm mode | https://docs.docker.com/engine/swarm/swarm-tutorial/ | +| 3 | Docker | - | 1 Juin 2022 | How nodes work | https://docs.docker.com/engine/swarm/how-swarm-mode-works/nodes/ | +| 4 | Docker | - | 1 Juin 2022 | Create a swarm | https://docs.docker.com/engine/swarm/swarm-tutorial/create-swarm/ | +| 5 | Docker | - | 3 Juin 2022 | Deploy services to a swarm | https://docs.docker.com/engine/swarm/services/ | +| 6 | Docker | - | 3 Juin 2022 | Use overlay networks | https://docs.docker.com/network/overlay/ | +| 7 | Docker | - | 3 Juin 2022 | Networking with overlay networks | https://docs.docker.com/network/network-tutorial-overlay/ | +| 8 | Docker | - | 3 Juin 2022 | Networking with standalone containers | https://docs.docker.com/network/network-tutorial-standalone/ | +| 9 | Docker | - | 1 Juin 2022 | docker node promote | https://docs.docker.com/engine/reference/commandline/node_promote/ | +| 10 | Docker | - | 1 Juin 2022 | docker node demote | https://docs.docker.com/engine/reference/commandline/node_demote/ | +| 11 | Docker | - | 3 Juin 2022 | docker network create | https://docs.docker.com/engine/reference/commandline/network_create/ | +| 12 | Docker | - | 6 Juin 2022 | Use volumes | https://docs.docker.com/storage/volumes/ | +| 13 | Docker | - | 6 Juin 2022 | Use bind mounts | https://docs.docker.com/storage/bind-mounts/ | +| 14 | Sandip Bhowmik | 15 Novembre 2018 | 1 Juin 2022 | How to Configure Docker Swarm with multiple Docker Nodes on Ubuntu 18.04 | https://linuxconfig.org/how-to-configure-docker-swarm-with-multiple-docker-nodes-on-ubuntu-18-04 | +| 15 | BMitch | 19 Février 2018 | 1 Juin 2022 | What is the difference between docker host and node? | https://stackoverflow.com/questions/48801206/what-is-the-difference-between-docker-host-and-node | +| 16 | Simplilearn - Matthew | 26 Octobre 2018 | 1 Juin 2022 | Docker Swarm - Docker Swarm Tutorial - What Is Docker Swarm? - Docker Swarm Example - Simplilearn | https://www.youtube.com/watch?v=Tm0Q5zr3FL4 | diff --git "a/R\303\251seaux/kubernetes.md" "b/R\303\251seaux/kubernetes.md" new file mode 100644 index 0000000..ae95e13 --- /dev/null +++ "b/R\303\251seaux/kubernetes.md" @@ -0,0 +1,77 @@ +--- +layout: default +title: Kubernetes +parent: Réseaux +--- +# Kubernetes + +## Historique [1] + +La méthode de déploiement de plusieurs applications a énormément évolué. Originellement, les applications étaient déployées sur le serveur physique. Cette solution a vite montré des limites de performances. + +Pour répondre à cette problématique, la virtualisation est apparue. Elle consiste à exécuter des applications dans des machines virtuelles (VMs) avec un système d'exploitation propre par-dessus l'OS hôte. Cela permet une structure évolutive et une sécurité plus importante par l'isolation des applications. + +Les VMs ont cependant encore un problème de ressource, chaque application nécessitant un Kernel. La conteneurisation est ensuite arrivée pour pallier à cela. Un conteneur est similaire à une VM dans son fonctionnement logique. La différence majeure est que les conteneurs sont exécutés sur l'OS hôte et non sur son propre OS. Cette avancée permet d'avoir des applications légères, une meilleure portabilité et une uniformité pour tous les environnements. + +## Qu'est ce que Kubernetes ? [1] [2] + +Kubernetes est un outil permettant la gestion de conteneurs. Il permet le déploiement et la restauration automatique de plusieurs applications sur plusieurs machines physiques disponibles dans le réseau Kubernetes. +Il permet également la mise à l'échelle et facilite la mise à jour de ces applications. Toutes ses fonctionnalités ont pour objectif principal d'assurer une haute disponibilité et une gestion des ressources évolutive. + +Un environnement Kubernetes, appelé Cluster, est composé de 1 ou plusieurs Node(s) ou nœud(s). Un nœud représente une machine physique du Cluster. +Parmi les Nodes, au moins 1 doit servir de Master Node. Celui- où ceux-ci s'occupent, en plus des ressources applicatives déployées par le client, de gérer les composants nécessaires au fonctionnement du Cluster. + +Kubernetes propose un ensemble de ressources permettant la gestion des applications. +L'unité de base de Kubernetes est un Pod. Il contient le ou les conteneurs nécessaires au fonctionnement d'une application, et se voit attribuer une adresse IP interne au Cluster. + +## Quelques concepts Kubernetes [1] [2] + +Comme expliqué ci-dessus, Kubernetes propose une multitude de concepts pour organiser une infrastructure d'applications. En voici une liste non exhaustive : + +1. Deployments + +Les Deployments, où déploiements, sont des ressources permettant de contrôler un Replication Set. Ce dernier est une couche supplémentaire permettant la gestion de plusieurs Pods basés sur une même image. +Alors que les ReplicaSet s'occupent d'assurer la disponibilité d'un certain nombre de répliques d'une application, un déploiement permet en plus de gérer la mise à jour des Pods en garantissant la disponibilité de l'application. Il permet aussi de garder un historique des versions de l'application et d'y revenir au cas où une mise à jour s'avère non fonctionnelle. + +2. Service + +Un Service Kubernetes est une ressource permettant de faire le lien entre les différents Pods et l'extérieur. Il existe plusieurs types de services remplissant plusieurs objectifs différents. Les services de type NodePort ouvrent un port sur chaque Node du Cluster hébergeant l'application auquel le service est lié. Des services LoadBalancer vont eux utiliser un balanceur de charge externe, avec son adresse IP propre, pour rendre l'application disponible depuis l'extérieur. + +3. Volumes et Persistent Volumes + +Les Volumes permettent de créer des ressources partagées pour tous les conteneurs dans un pod. La durée de vie d'un Volume est liée à celle du Pod utilisant ces données. Les Persistent Volumes ont eux un cycle de vie indépendant du/des pod(s) auquel/auxquels ils sont liés. Cela permet d'assurer une persistance des données même si un pod vient à disparaitre. + +4. Ingress + +Un Ingress permet d'exposer des applications au travers de règles de routage. Cela permet d'avoir plusieurs applications accessibles sur la même adresse IP publique. Les Ingress s'occupent uniquement de gérer les accès depuis l'extérieur. Cette ressource nécessite cependant un contrôleur d'Ingress, qui est parfois intégré avec le fournisseur, sinon configuré en plus des autres ressources. + +## Exemple en application + +Une entreprise possède 2 serveurs pour héberger des applications Web. Ces applications nécessitant une très haute disponibilité, une faible latence et pouvoir supporter beaucoup de requêtes, l'entreprise à décidé de mettre en ligne ces applications à l'aide de Kubernetes. Le schéma ci-dessous représente l'infrastructure Kubernetes de l'entreprise. +Les 2 serveurs de l'entreprise font office de Master Node, ce qui permet d'assurer une haute disponibilité des services de gestion du Cluster Kubernetes. +Chaque application est mise en ligne à l'aide d'un Deployment. Chaque Déploiement assure que 2 répliques de l'application soient en ligne dans toutes les circonstances. Ces 2 répliques sont donc des Pods gérés par le Déploiement. Les outils des Master Nodes permettent d'équilibrer la charge sur les différentes machines du Cluster. + +L'application App 2 nécessite une base de données à laquelle toutes les répliques doivent avoir accès. La base de données doit être déployée dans l'environnement Kubernetes à l'aide d'un Persistant Volume (PV). Chaque réplique d'App 2 y accède à l'aide du label indiqué lors de la création du PV, ou de son adresse IP interne au Cluster. Etant donné que c'est un persistant volume, les données ne disparaitrons si un Pod cesse de fonctionner. + +Pour permettre aux utilisateurs (User 1 et User 2) d'accéder à l'application App 2, cette dernière doit être exposée sur le réseau externe. Pour cela, 2 types de ressources Kubernetes sont créées dans le Cluster. La première est un Service. Chaque application possède son propre Service de type NodePort. Ce Service permet de rendre l'application disponible sur un port de l'adresse IP de chacun des Nodes. +Acccèder à l'application au travers de l'adresse IP des Nodes n'est pas une bonne pratique. Cela réduit l'efficacité de l'équilibrage de charge et expose les adresses IP de tous les Nodes du Cluster. +Pour pallier à cela, un Ingress est créé. L'Ingress récupère les Services des 2 applications et leur attribue une route. Lorsqu'un utilisateur désire accèder à l'application, celui-ci doit indiquer l'adresse IP (ou le nom de domaine si un [DNS est mis en place](https://kubernetes.io/fr/docs/concepts/services-networking/dns-pod-service/)) qui lui est attribué par le Ingress Controller et la route définie pour l'accès à l'application. + +![Infrastructure Kubernetes](https://user-images.githubusercontent.com/56077782/171189387-2a83fdad-00d5-44b8-bd10-0d934cab1eb0.png) + +User 1 et User 2 désirent accéder à l'application App 2 en utilisant l'URL suivante: /app2. +Les requêtes sont alors renvoyées par l'Ingress vers le Service de l'App 2. Celui-ci accède ensuite à l'un des Pods lié au Service de l'App 2. +Les 2 utilisateurs ont alors accès à la même application avec les mêmes données, mais sur des répliques différentes. + +## Bibliographie + +1. **Documentation Officielle Kubernetes**, Kubernetes, [What is Kubernetes?](https://kubernetes.io/docs/concepts/overview/what-is-kubernetes/), Dernière mise à jour le 4 avril 2022, consulté dernièrement le 7 mai 2022 + + **Résumé** : Présentation officielle de Kubernetes + + **Avis sur la ressource** : Cette présentation explique clairement l'utilité de Kubernetes avec l'arrivée de la virtualisation ainsi que le fonctionnement de base de la technologie. +2. **Introduction aux concepts de Kubernetes**, Digital Ocean, [An introduction to Kubernetes](https://www.digitalocean.com/community/tutorials/an-introduction-to-kubernetes), Justin Ellingwood, 1 octobre 2014 (dernière mise à jour le 2 mai 2018), consulté dernièrement le 7 mai 2022 + + **Résumé** : Explication d'un bon nombre des concepts et composants de Kubernetes + + **Avis sur la ressource** : Ce site reprends beaucoup des concepts de Kubernetes avec une explication claire de chacun d'entre eux. diff --git "a/R\303\251seaux/proxy.md" "b/R\303\251seaux/proxy.md" new file mode 100644 index 0000000..5b1bcee --- /dev/null +++ "b/R\303\251seaux/proxy.md" @@ -0,0 +1,223 @@ +--- +layout: default +title: Proxy +parent: Réseaux +--- +# Le proxy + +## Qu'est-ce qu'un proxy?[^2] + +Tiré de l'anglais qui signifie "procuration", le terme proxy désigne un serveur qui permet de relayer les requêtes. +Un serveur Proxy (également appelé serveur mandataire) est donc un serveur qui agit comme intermédiaire entre un utilisateur demandeur d'une ressource et le serveur distant, fournisseur de cette ressource. L'utilisateur ne peut plus s'adresser directement au serveur distant sans passer par le serveur Proxy, qui fonctionne au nom du client, masquant potentiellement la véritable origine de la demande. + +###### Fig.1 Schéma d'un serveur Proxy + + + +###### "https://www.proxyvpn.fr/wp-content/uploads/2019/02/1200px-CPT-Proxy.svg_.png"© proxyvpn.fr + +## Que se passe-t-il au niveau du réseau ? [^3] + +Le Proxy travaille sur la couche application, au niveau 7 du modèle OSI. Concrètement, dans le cas d'un proxy web, il décapsule donc toutes les couches inférieures quand il reçoit une requête http et réencapsule les paquets IP pour les retransmettre vers le serveur de destination. Il y a donc deux connexions TCP ce qui signifie une rupture de flux au niveau du Proxy. + +###### Fig.2 Décapsulation de la requête reçue et réencapsulation + +![Décapsulation de la requête et réencapsulation](https://zestedesavoir.com/media/galleries/5382/2e3db985-cde5-4e61-9bf7-5af14485d872.png) + +###### "Décapsulation de la requête et réencapsulation" https://zestedesavoir.com/media/galleries/5382/2e3db985-cde5-4e61-9bf7-5af14485d872.png + +Dans un réseau, on peut donc empêcher les utilisateurs, grâce à un Firewall d'accéder directement à Internet et les obliger de passer par un Proxy, ce qui permet de contrôler les accès dans un sens comme dans l'autre. + +## Les différentes fonctionnalités d'un serveur Proxy [^4][^5] + +#### **Amélioration des performances** + +* Le caching Proxy ou proxy-cache + Grâce à sa capacité de garder en cache les pages les plus souvent visitées par les utilisateurs du réseau local, le Proxy est capable de réduire le temps d'accès à ces pages ainsi que la bande passante vers Internet. + Le caching proxy a été le premier type de serveur proxy. +* Le PEP (Performance Enhancing Proxy) + C'est un Proxy concu pour améliorer les performances TCP en cas de : + - temps aller-retour élevés + - pertes de paquets élevées + - taux de chargement et téléchargement très différents + Il peut compresser les données afin d'utiliser le réseau plus efficacement ce qui participe également à la rapidité de la navigation. + +#### **Anonymisation de l'utilisateur** + +Le serveur Proxy transmet la requête au serveur distant via une adresse ip publique et de ce fait masque l'adresse ip initiale, celle de l'utilisateur. La réponse du serveur distant ne se fait que via le Proxy car il est le seul à connaître l'adresse d'origine. L'utilisateur devient invisible ou presque car le trafic reste entièrement visible pour le FAI (Fournisseur d'Accès à Internet) et pour le Proxy lui-même. Un certain degré de confiance doit s'établir entre le serveur Proxy et son utilisateur. + +#### **Journalisation des connexions** + +Le Proxy enregistre l'ensemble des requêtes dans les logs et offre ainsi une traçabilité centralisée des flux. Ceci permet, entre autres, de rédéfinir la politique de sécurité du réseau sur base des données récoltées sans oublier, dans le cadre d'une entreprise de concilier RGPD et récolte de ces données parfois à caractère personnel. + +#### **Filtrage et surveillance** + +- Contrôle de contenu + + - Un filtrage peut être appliqué suivant la politique de sécurité en place sur le réseau. Ceci permet de bloquer les sites inutiles dans un cadre de travail (pornographie, réseaux sociaux,...) mais également ceux considérés comme malveillants. + Les requêtes peuvents être filtrées selon : + - des listes + - White List -> le filtrage se fait à partir d'une liste de sites autorisés + - Black List -> le filtrage se fait à partir d'une liste de sites non autorisés + - une URL + - un filtre d'expressions régulières (URL Regex filtering) + - le MIME + - des mots-clés du contenu +- Contournement des filtres + + - Dans certains cas, les utilisateurs peuvent contourner les proxies qui filtrent à l'aide de listes noires en envoyant les informations proxy à partir d'un site ne figurant pas sur la liste. + - Certains serveurs limitent leur service en fonction de l'origine de la requête. Par exemple, en cas de censure gouvernementale qui vise à bloquer l'accès à certains sites dits subversifs en utlisant la géolocalisation basée sur IP. En passant par un proxy situé dans un autre pays, il est possible de contourner le filtrage(5). + Dans l'autre sens, un internaute étranger pourra accéder à un site qui n'accepte que les internautes d'un pays ciblé en passant par un proxy situé dans le pays en question. + +#### **Sécurisation** + +Le serveur Proxy protège les utilisateurs de son réseau en servant de visage public unique. Tous ses utilisateurs sont anonymes car ils sont dissimulés par l'adresse IP du Proxy. En cas de tentative de piratage sur une machine spécifique, son adresse IP sera beaucoup plus difficile à trouver. De plus, les Proxies peuvent jouer le rôle de Firewall ce qui augmente encore la sécurité du réseau. + +## Types de serveurs Proxy [^2] + +Il existe de nombreux types de serveurs Proxy classés selon leur fonctionnalités décrites ci-dessus. + +#### **HTTP Proxy ou Web Proxy**[^5] + +- Proxy transparent + Ce type de Proxy ne masque pas l'adresse IP de l'utilisateur. Il est utilisé par les écoles, les organisations et les gouvernements afin de pouvoir contrôler l'utilisation d'Internet et ainsi censurer son contenu. + Le serveur Web connaît donc l'adresse IP de l'utilisateur mais il sait également que l'utilisateur utilise un Proxy. +- Proxy anonyme + L'adresse IP de l'utilisateur est remplacée par l'adresse IP du Proxy. + Le serveur Web ne connaît pas l'adresse IP de l'utilisateur mais il sait que l'utiilisateur utilise un Proxy. +- Proxy déformant ou distordant + Le Proxy transmet une fausse adresse IP pour désigner l'utilisateur leurrant ainsi le serveur quant à la source de la requête. + Le serveur Web sait que l'utilisateur utilise un proxy et pense connaître l'adresse IP d'origine. +- Proxy High Anonymity ou Proxy Elite + Il s'agit du type de Proxy le plus sécurisé car il parvient à dissimuler également son existence au serveur en modifiant périodiquement l'adresse IP qu'il présente au serveur Web. + Le serveur Web ne connaît ni l'adresse IP de l'utilisateur ni celle du Proxy. + +#### **Proxy SOCK (Socket Secure)** [^6] + +Le Proxy SOCK est un Proxy de tunneling, technique consistant à utiliser un protocole pour transporter des données à l'intérieur d'un autre protocole. Il crée une connexion TCP vers un autre serveur derrière le Firewall au nom du client. Le serveur Proxy SOCK relaie la session TCP et UDP d'un utilisateur qui n'est pas autorisé à établir une connexion avec un serveur extérieur au-delà du Firewall. + +###### Fig.3 Schéma d'un Proxy de tunneling + +![](https://miro.medium.com/max/1378/1*St3AO8UxsllEnO93Pqoqcw.png) + +_shivk "https://miro.medium.com/max/1378/1*St3AO8UxsllEnO93Pqoqcw.png" + +"Le client SSH crée un proxy SOCK (tunnel). Il prend le trafic local envoyé à un port spécifique du PC et l'envoie via la connexion SSH à un emplacement distant, le serveur SSH" + +#### **Proxy FTP (File Transfer Protocol)**[^11] + +Celui-ci fonctionne comme un relais pour le transfert de fichiers et permet de contrôler les connexions et les commmandes telles que PUT et GET en fonction des adresses source et de destination et de l'authentification de l'utilisateur. Il peut également réguler la quantité et la fréquence des transferts et limiter la taille des fichiers. + +#### **Proxy SIP (Session Initiation Protocol)**[^11] + +Basé sur le protocole SIP, le Proxy SIP permet de contrôler les appels au sein d'un réseau. Il redirige les appels selon les informations reprises dans le registre SIP. + +#### **Proxy SSL (HTTPS Proxy)**[^11] + +Le Proxy SSL effectue le chiffrement et déchiffrement entre l'utilisateur et le serveur de manière totalement invisible. + +#### **Proxy SMTP (Simple Mail Transfer Protocol)**[^11] + +Le Proxy SMTP contrôle les e-mails, entrants ou sortants, sur base de l'adresse source, le serveur de l'expéditeur ou encore le contenu. Les proxies SMTP sont utilisés pour, entre autres, filtrer les spams, prévenir contre le phishing et autre logiciels malveillants. + +#### **Proxy DNS et Proxy Smart DNS**[^11] + +Le Proxy DNS transfère les requêtes et les réponses DNS entre l'utilisateur et le serveur. Il peut, entre autres, améliorer les performances grâce à son cache et protèger les serveurs contre le piratage de domaine et l'usurpation de DNS. +Le Proxy Smart DNS se distingue du Proxy DNS par le fait qu'il contourne les restrictions mises en place par les serveurs DNS comme par exemple la géolocalisation. + +#### **Reverse Proxy** [^5] + +Le Reverse Proxy se situe entre un groupe de serveurs et Internet, il gère le trafic pour ses serveurs. +En bref, le proxy protège les clients, alors qu'un Reverse Proxy protège les serveurs. +Pour plus d'informations sur le Reverse Proxy, se référer à l'[article](https://github.com/KeviinKeurvels/Wiki-TI/blob/reverse_proxy/reverse_proxy.md) de Monsieur Kevin Keurvels. + +## Différence entre Proxy et Firewall [^8] + +Les Firewalls bloquent les accès non autorisés à des réseaux privés ou depuis ces réseaux privés. Ils empêchent les machines au sein du réseau d'être exposées librement à Internet. +Les principales différences entre un Firewall et un Proxy : + +- Un Firewall bloque les connexions, un Proxy les facilite. +- Un Firewall se place entre un réseau privé et public. Un Proxy peut se placer entre deux réseaux publics +- Un Firewall protège un réseau interne contre des attaques tandis qu'un Proxy fournit une anonymisation et contourne des restrictions +- Un serveur Proxy peut faire office de Firewall + Les pare-feu ne peuvent pas être considérés comme des serveurs proxy car même s'ils ont la capacité de bloquer ou d'autoriser les requêtes en fonction de certaines règles, ils ne les acheminent pas. + +## Différence entre Proxy et VPN [^12] + +Un VPN (Virtual Private Network) est une connexion sécurisée et chiffrée entre deux réseaux. A l'instar d'un Proxy, il masque l'adresse IP en agissant comme intermédiaire et réoriente le traffic. +Un VPN ajoute un réseau privé virtuel, une sorte de tunnel personnel qui vous cache aux yeux des autres. Ce tunnel de chiffrement transforme un texte normal en un mélange codé, déchiffrable à l'aide d'une clé de déchiffrement que seuls l'utilisateur et le serveur VPN possèdent. +Les principales différences entre un VPN et un Proxy : + +- un VPN fournit un cryptage, une authentification et une protection d'intégrité au trafic tandis que le Proxy ne fournit pas beaucoup de sécurité sur la connexion elle-même. +- un VPN fonctionne sur le Firewall, un Proxy fonctionne sur les navigateurs. +- Un VPN crée un tunnel de connexion, un Proxy ne crée aucun tunnel. +- Les protocoles utilisés sont différents : PPTP, IKEv2, L2TP/IPsec, SSL, TLS...pour un VPN et HTTP, SMTP, FTP... pour un Proxy. + Le VPN et le proxy ont des objectifs similaires, mais un VPN fournit plus de sécurité qu’un serveur proxy. + +## Risques liés au Proxy[^10] + +#### Serveur Proxy gratuit + +Il y a toujours une contrepartie à la gratuité d'un service. + +- Performances diminuées : quand la charge de trafic est importante, le maintien de la vitesse nécessite une bande passante étendue. Seulement, la plupart des serveurs Proxy gratuits fonctionnent avec une faible bande passante ce qui signifie un ralentissement certain au niveau de la navigation Web. +- Logiciels espions : ils sont généralement téléchargés comme des applications libres ou transmis par des sites malveillants. +- Sécurité des données : Dans le cas d'un serveur Proxy hacké, les informations personnelles qui transitent via le serveur risquent d'être surveillées, récoltées et modifiées à des fins malveillantes comme l'usurpation d'identité. + +#### Historique de navigation + +Un Proxy connaît l'IP d'origine et l'historique des requêtes de l'utilisateur. Dès lors, il s'agit de vérifier si le serveur enregistre ces données et quelle politique de conservation des données il applique car si ces données sont consignées et vendues alors que le service attendu est l'anonymisation, le dit-service est frauduleux. + +#### Cryptage + +Il ne faut pas oublier que de base, un serveur proxy ne chiffre pas le trafic qu’il filtre. Il faut donc associer son utilisation avec un protocole de cryptage sinon les demandes seront envoyées en texte brut et à la merci de celui qui écoute . + +## Bibliographie + +[^1]: "_Qu'est-ce qu'un proxy?_", proxyvpn.fr, https://www.proxyvpn.fr/qu-est-ce-qu-un-proxy (consulté le 02/05/2022) + ** Résumé : Page Web décrivant le Proxy + ** Avis sur la ressource : Court mais concis pour une première approche + +[^2]: "_Proxy server_", Wikipedia, https://en.wikipedia.org/wiki/Proxy_server (consulté le 02/05/2002) + ** Résumé : Page wipédia décrivant un serveur Proxy + ** Avis sur la ressource : Beaucoup plus détaillée que la page en français équivalente + +[^3]: Vince,"_Le proxy dans tous ses états_", zestedesavoir.com, https://zestedesavoir.com/tutoriels/2789/les-reseaux-de-zero/reprenons-du-service/le-proxy-dans-tous-ses-etats/ (consulté le 06/05/2022) + ** Résumé : Le fonctionnement du proxy plus détaillé + ** Avis sur la ressource : Un des seuls sites où l'on aborde la couche OSI + +[^4]: Jeff Petter, "_What is a Proxy server and how does it work?_", varonis.com, https://www.varonis.com/blog/what-is-a-proxy-server 27/03/2020(consulté le 06/05/2022) + ** Résumé : Le fonctionnement du Proxy, risques et avantages + ** Avis sur la ressource : Très claire mais un peu simple dans la description + +[^5]: "_Qu'est-ce qu'un serveur proxy et comment fonctionne-t-il ?_", avast.com, https://www.avast.com/fr-fr/c-what-is-a-proxy-server (consulté le 04/05/2022) + ** Résumé : Un récap du Proxy + ** Avis sur la ressource : La page est claire mais Avast en profite pour faire sa publicité + +[^6]: _shivk, "_Adventure with Proxy : Intro to Proxy_", medium.com, https://medium.com/@_shivk/adventure-with-proxy-intro-to-proxy-f7e640b455e7 février 2020 (consulté le 06/05/2022) + ** Résumé : Le Proxy et ses différents types + ** Avis sur la ressource : Très claire au niveau des différents Proxies + +[^7]: "_What is an HTTP Proxy? Types of HTTP Proxies explained_", bestproxyreviews.com, https://www.bestproxyreviews.com/http-proxy/ 21/04/2022(consulté le 06/05/2022) + ** Résumé : Différents types de Proxies et leurs fournisseurs + ** Avis sur la ressource : Très claire au niveau des différents Proxies + +[^8]: "_Différence entre Proxy et Firewall_", waytolearnx.com, https://waytolearnx.com/2018/09/difference-entre-proxy-et-firewall.html 09/09/2018(consulté le 02/05/2022) + ** Résumé : Un rappel sur le Proxy et sur le Firewall + ** Avis sur la ressource : Juste ce qu'il faut sans entrer dans les détails + +[^9]: "_Différence entre VPN et Proxy_, waytolearnx.com, "https://waytolearnx.com/2018/07/difference-entre-vpn-et-proxy.html 28/07/2018(consulté le 02/05/2022) + ** Résumé : Un rappel sur le Proxy et sur le VPN + ** Avis sur la ressource : Juste ce qu'il faut sans entrer dans les détails + +[^10]: Vuk Mujovic, "_Cacher les connexions Proxy: qu'est-ce qu'un Proxy et une adresse IP?_", le-vpn.com, https://www.le-vpn.com/fr/quest-ce-quun-proxy/#:~:text=Risques%20li%C3%A9s%20%C3%A0%20l'utilisation%20d'un%20proxy&text=Le%20risque%20le%20plus%20courant,transmis%20par%20des%20sites%20malveillants. 29/10/2021(consulté le 08/05/2022) + ** Résumé : Les fonctionnalités du Proxy, les types et les risques liés au Proxy + ** Avis sur la ressource : Concis avec en prime une liste des serveurs Proxy les plus connus + +[^11]: Catherine Chipeta, "_Qu'est-ce qu'un serveur Proxy? Une explication claire de son fonctionnement_", upguard.com, https://www.upguard.com/blog/proxy-server#:~:text=Proxy%20servers%20work%20by%20facilitating,directly%20back%20to%20the%20user. 18/04/2022(consulté le 07/05/2022) + ** Résumé : Le fonctionnement et les types de Proxies + ** Avis sur la ressource : Aussi claire que le titre + +[^12]: "_Qu'est-ce qu'un VPN et comment fonctionne-t-il ?_", avast.com, https://www.avast.com/fr-fr/c-what-is-a-vpn (consulté le 04/05/2022) + ** Résumé : Un récap du VPN + ** Avis sur la ressource : La page est claire mais Avast en profite pour placer sa publicité diff --git "a/R\303\251seaux/quic_tcp.md" "b/R\303\251seaux/quic_tcp.md" new file mode 100644 index 0000000..a06282c --- /dev/null +++ "b/R\303\251seaux/quic_tcp.md" @@ -0,0 +1,50 @@ +--- +layout: default +title: Quic et TCP +parent: Réseaux +--- +# Quic et TCP + +## C’est quoi TCP? + +TCP est l'abréviation de Transmission Control Protocol. Il s'agit de l'un des protocoles principale de la famille de protocoles TCP/IP et l'une des normes les plus importantes d'Internet. Il s'agit d'un protocole orienté connexion qui utilise les services du protocole Internet au niveau de la commutation. + +## C’est quoi Quic? [1] + +C’est rare qu’un protocolle basant sur IP apparait. Depuis le 27 mai 2021 la version 1.0 à été publié officielment. QUIC ("Quick UDP Internet Connections") est un protocole de transport expérimental de Google, qui a été mis à la disposition du public pour la première fois en 2013. Afin d'envoyer rapidement et facilement des paquets de données simples via le protocole UDP (User Datagram Protocol) sans connexion. Le travail de QUIC a été motivé par le désir de développer des alternatives aux solutions de sécurité établies pour TCP, HTTP/2 et TLS/SSL. Cela offre la même protection tout en réduisant les retards de connexion et de transport et en permettant plusieurs connexions. + +## Mais pourquoi inventer un nouveau protocolle si TCP existe déjà ? [2] + +TCP, est un protocole classique permettant d'envoyer des données binaires sans erreur. TCP garantit que tous les paquets sont envoyés sans modification, dans le bon ordre et sans perte. Si nécessaire, la pile TCP réclame les paquets manquants jusqu'à ce que les données soient disponibles. Pour que cela fonctionne, il y a un handshake initial au cours duquel la destination se met d'accord sur différents paramètres. Cela cause qu’au début d’une connection TCP beaucoup de temps est perdu à cause du TCP-Handshake et du TLC-Handshake. +D'autre part, Quic est moins sujet à la perte de paquets et peut donc mieux fonctionner sur des réseaux peu fiables. Quic est un protocole basé sur UDP, spécialement conçu pour être utilisé dans des réseaux rapides, fiables et sécurisés. Il offre un certain nombre d'avantages par rapport à TCP, notamment de meilleures performances et une plus grande fiabilité. +Quic est également très évolutif et peut être facilement adapté aux besoins d'un réseau. Il est en outre très efficace sur le plan énergétique et peut donc être utilisé dans des appareils mobiles, où les fonctions d'économie d'énergie sont avantageuses. + +## Quic avec HTTP/3 [3] + +Les deux protocoles HTTP3 et QUIC sont les dernières avancées dans le domaine des technologies Internet. + +HTTP3 est une évolution du célèbre protocole de transfert hypertexte (HTTP). Alors que HTTP était jusqu'à présent basé sur le protocole TCP/IP, HTTP3 s'appuie sur le nouveau protocole UDP, spécialement conçu pour la transmission de données sur Internet. L'utilisation du protocole UDP permet à HTTP3 de fonctionner beaucoup plus rapidement que le HTTP traditionnel. En outre, HTTP3 offre quelques nouvelles fonctions particulièrement utiles pour l'utilisation d'Internet. Par exemple, plusieurs requêtes peuvent être envoyées simultanément au serveur, ce qui augmente considérablement la vitesse de la connexion. La sécurité est également améliorée par le nouveau protocole, puisque toutes les données sont transmises de manière cryptée. + +On ignore encore totalement quand QUIC ou HTTP/3 seront présentés comme norme. En conséquence, les développeurs et les administrateurs ont encore le temps de planifier l'avenir et de paniquer. Il n'est pas vraiment nécessaire de paniquer. QUIC est facile à mettre en œuvre. Comme l'infrastructure utilisée est le très répandu UDP, il suffit de mettre à jour le logiciel du navigateur sans devoir attendre la prochaine version du système d'exploitation. En outre, QUIC est qualifié de rétrocompatible. Si l'interlocuteur n'est pas encore prêt pour le nouveau protocole, il met à disposition un fallback sur TCP. + +## Différence entre Quic et TCP [2] [3] + +La plus grande différence est sûrement que Quic ce situe dans le « user space » par rapport à TCP qui ce trouve dans le kernel : +![grafik](https://user-images.githubusercontent.com/56824199/174491370-c7f36cac-c627-4e70-83a4-80d219ff3809.png) + +L'avantage de l'implémentation de QUIC dans l'espace utilisateur est que les développeurs peuvent écrire / sélectionner leur propre implémentation et que les développeurs peuvent rapidement diffuser les corrections et améliorations de la pile QUIC via des mises à jour régulières de l'application (comme du côté serveur). La plupart des entreprises utilisent également la pile QUIC uniquement pour communiquer avec leurs services, ce qui est donc également possible dans la plupart des cas. Dans ce cas, l'entreprise possède à la fois les implémentations client et serveur. + +## Perfomance Quic vs TCP [4] + +![grafik](https://user-images.githubusercontent.com/56824199/174491383-a2e94588-8602-45ba-8a2b-b0bab52e645d.png) + +## Bibliographie + +[1] Wiki Ionos, „QUIC: Das steckt hinter dem experimentellen Google-Protokoll“, +« 20.07.2020 », https://www.ionos.de/digitalguide/hosting/hosting-technik/quic-das-internet-transportprotokoll-auf-udp-basis/ [05.06.2022] + +[2] Frank Carius, „QUIC - UDP mit TLS statt TCP“, « 2021 », https://www.msxfaq.de/netzwerk/grundlagen/quic_udp_mit_tls_statt_tcp.htm [05.06.2022] + +[3] Nicky Reinert, „HTTP/3 und QUIC: Was steckt hinter dem nächsten großen Update für HTTP?“, « 08.08.2019 », https://entwickler.de/webentwicklung/http3-und-quic-was-steckt-hinter-dem-nachsten-grossen-update-fur-http/ [05.06.2022] + +[4] Frederic Lardinois, „Google Wants To Speed Up The Web With Its QUIC Protocol“, « 18.04.2015 », https://techcrunch.com/2015/04/18/google-wants-to-speed-up-the-web-with-its-quic-protocol/?guccounter=1&guce_referrer=aHR0cHM6Ly9sZXZlbHVwLmdpdGNvbm5lY3RlZC5jb20vd2lsbC1nb29nbGVzLXF1aWMtcHJvdG9jb2wtcmVwbGFjZS10Y3AtNmVkOTkxYTBjYTFl&guce_referrer_sig=AQAAAMih_sDttxvv2RkTzk0RRJOclfaZ4vxcSO-lurMsnuBkQ--QgYwfbsqTjkYe0Xn0nSVsqplskoMP77pnlIUBcBpwmy9cGfpoPW2UgSTqBhs6alxSgdCfAYrz5L2v7UVJHYNagfJBxr5yySWOVZmm_fu8wROwNpsaMj3ttQzt9ESn [05.06.2022] diff --git "a/R\303\251seaux/reverse_proxy.md" "b/R\303\251seaux/reverse_proxy.md" new file mode 100644 index 0000000..1ed9406 --- /dev/null +++ "b/R\303\251seaux/reverse_proxy.md" @@ -0,0 +1,137 @@ +--- +layout: default +title: Reverse Proxy +parent: Réseaux +--- + +# Le Reverse Proxy +Dans cet article, nous allons essayer de répondre à la question +**"Qu'est-ce qu'un reverse proxy et pourquoi en utiliser un ?"** +## Tout d'abord, qu'est-ce qu'un proxy ? +En résumé, un proxy (aussi appélé "*forward proxy*" en anglais [4]) est un logiciel ou une machine permettant de sécuriser une infrastructure réseau via différents points. Il se place juste après les clients de sorte à recevoir leurs requêtes avant qu'elles ne sortent du réseau et qu'elles n'atteignent Internet. + +Le proxy intervient le plus souvent, au niveau de la couche applicative et, plus précisément, au niveau des échanges protocolaires. Il existe plein de sortes de proxy en fonction des protocoles avec lesquels ils vont travailler (un proxy HTTP s'occupera donc des échange HTTP). Certains proxies travaillent même au niveau de la **de la couche transport** (voir [HAProxy](https://en.wikipedia.org/w/index.php?title=HAProxy&oldid=1085855827)). + +![proxy](https://www.ionos.fr/digitalguide/fileadmin/DigitalGuide/Schaubilder/Forward_Proxy.png) +*Représentation schématique d’un proxy [4] +https://www.ionos.fr/digitalguide/fileadmin/DigitalGuide/Schaubilder/Forward_Proxy.png* + +Il existe différent types de Proxy. Penchons-nous sur 2 d'entre eux: +- **Proxy DNS**: sert pour un "accès à la résolution DNS Internet via le résolveur externe[3]" +- **Proxy Web**: permet d'accélérer la navigation en gérant la mémoire cache et en assurant la compression des données. Il sécurise aussi la navigation en bloquant certains sites ou publicités[1]. On peut aussi mettre un système d'authentification pour atteindre des ressources extérieures. + +**Exemple d'utilisation d'un proxy:** +Une entreprise utilisant un proxy pour bloquer des ressources jugées inutiles pour l'entreprise (ex: réseaux sociaux, pornographie, ...).[2] + + + +## Mais du coup, qu'est-ce qu'un reverse proxy ? + +Un reverse proxy (ou en français un proxy inverse [5]) est un logiciel ou une machine qui se place du côté opposé à celui du proxy ce qui veut dire qu'il se place à l'entrée d'un réseau, juste avant de joindre un serveur (Web par exemple). + +![proxy](https://www.ionos.fr/digitalguide/fileadmin/DigitalGuide/Schaubilder/Reverse_Proxy.png) +*Représentation schématique d’un reverse proxy [4] +https://www.ionos.fr/digitalguide/fileadmin/DigitalGuide/Schaubilder/Reverse_Proxy.pngg* + +Un utilisateur passera par le reverse proxy pour accéder aux services. De cette façon, il permet de rajouter une sécurité supplémentaire et protége les serveurs des attaques potentielles venant de l'exterieur. + +Quand le proxy reçoit une requête venant d'Internet, il regarde d'abord si cette dernière est conforme aux règles de sécurité présentent dans la configuration du reverse proxy. + +Finalement, le reverse proxy permet aussi d'optimiser le trafic des données d'un réseau via différentes manières. + +## Quelles sont les applications que peut avoir un reverse proxy ? +Le reverse proxy est utilisé dans plusieurs buts bien distincts. +### Le reverse proxy permet le caching d'information +Le reverse proxy peut stocker en mémoire une ou plusieurs pages HTML statiques (uniquement avec un contenu qui ne change pas en fonction de l'utilisateur qui l'utilise). + +Quand une requête pour une page statique, qu'il avait précédement stockée en mémoire, arrive, le reverse proxy lui fournit la page sans même faire une seule requête au serveur Web. + +De cette façon, la charge des serveurs Web est globalement diminuée. Cette utilisation-ci s'appelle « accélérateur web » ou « accélérateur HTTP »[5] ou encore le caching[4]. + +De temps en temps, le reverse proxy ira demander au serveur si les données qu'il a stocké sont toujours à jour ou si le contenu des pages a changé. Si ce n'est plus le cas, il demande les nouvelles pages au serveur Web et il remplace les données dans sa mémoire cache. + +De cette façon, le reverse proxy est sûr de rester à jour. + +### Le reverse proxy permet l'anonymisation des serveurs +Vu que toutes les requêtes passent par le reverse proxy qui transfère la demande au service demandé, les serveurs restent anonymes ce qui rajoute une sécurité non négligable. + +### Le reverse proxy permet la répartition de charge +La répartition de charge ou "*load-balancing*" en anglais. On entend beaucoup ce terme dans les manuels d'école ou dans le milieu de l'informatique mais qu'est-ce que ça veut vraiment dire ? + +Il n'est pas rare dans une entreprise d'avoir plusieurs serveurs (Web par exemple) et de répartir le traffic des différentes requêtes entre les différents serveurs. Grâce à ce système, le charge pour chaque serveur est diminué. Ce système est appelé "**répartition de charge**". + +Et le reverse proxy dans tout ça ? Il permet tout simplement de pouvoir, quand il reçoit une requête, choisir vers quel serveur la diriger et donc de répartir la charge de travail sur plusieurs serveurs pour les surcharger le moins possible. + +Mais comment peut-il faire cela ? Tout simplement en liant une URL à différents serveurs[4]. + +### Le reverse proxy permet la compression des données +Pour un échange plus rapide, le reverse proxy peut compresser les données avant de les envoyer au client. + +Pour faire cela, le reverse proxy va avoir besoin d'un logiciel supplémentaire. Le plus connu pour compresser les sites Web est Gzip lequel est souvent utilisé avec Apache ou nginx [4]. + +### Le reverse proxy permet l'encodage et le contrôle des données +On peut installer, sur un reverse proxy, des antivirus ou des filtres de paquets pour analyser plus en profondeur les paquets reçus, ce qui permet de sécuriser les paquets qui atteignent les serveurs. + +L'encodage des données est aussi possible grâce à des outils externes. + +### Le reverse proxy permet de surveiller l'envoi des paquets +Si un serveur ne traite pas bien une demande à cause d'une erreur quelconque, une erreur est renvoyée. Sauf que certaines erreurs ne doivent pas être visibles par le client. + +Le reverse proxy se charge donc de filtrer les paquets sortant du réseau (typiquement des réponses des différents serveurs) et d'arrêter certains paquets contenant, justement, ces fameuses erreurs. Il peut aussi stopper l'envoi d'information considérée comme non désirée comme les tokens ou autres [6]. + +### Le reverse proxy comme terminateur SSL +Le reverse proxy peut gérer le protocole SSL ([Secure Sockets Layer](https://fr.wikipedia.org/w/index.php?title=Transport_Layer_Security&oldid=191806531)). Grâce à cela, il peut sécuriser les paquets qu'il envoit ce qui rajoute une sécurité supplémentaire dans l'échange des paquets. + +### Le reverse proxy permet une surveillance facilitée pour l'administrateur +Vu que toutes les requêtes passent par le reverse proxy, en consultant ses logs l'administrateur système peut voir les requêtes qui ont été bloqués et voir si elles sont justifiées. + +Si elles ne le sont pas, il peut très facilement changer les règles de filtrage directement sur la même machine. + +## Donc l'implémentation d'un reverse proxy résout tout les problèmes de sécurité ? +Pas tout à fait ! Tout d'abord, pour qu'un reverse proxy soit utilisé comme il faut, il doit disposer de WAF ([Web Application Firewalls](https://www.vaadata.com/blog/fr/les-3-configurations-des-waf-pour-se-proteger-des-cyber-attaques/)) qui sont des firewalls qui analysent le flux entrant et sortant vers les serveurs Web et qui bloquent les requêtes qui semblent suspect. Ils permettent de protéger contre les attaques de types phishing, ransomware, attaque DDOS, malware [8]. + +Ensuite, une mise à jour des listes noires (contenu bloqué) et des listes blanches (contenu autorisé) doit être faite assez fréquement pour éviter que des demandes valides ne soient bloquées et donc, que cela gache l'expérience utilisateur. + +Pour finir, la mise à jour des listes noires est impérative pour garantir d'être à jour pour contrer les nouvelles menaces, auquel cas, le reverse proxy deviendra de plus en plus obsolète et deviendra inutile. + +## En conclusion +Un reverse proxy est très intéressant pour protéger les serveurs et pour filtrer les requêtes les atteignant. Toutefois, une mauvaise configuration ou une mauvaise mise à jour des données pourrait le rendre inutile ou pire, pourrait gâcher l'expérience utilisateur et être négatif pour l'entreprise. + +***Article écrit par Kevin Keurvels HE201913.*** + +## Bibliographie +1) [Proxy - Wikipédia](https://fr.wikipedia.org/w/index.php?title=Proxy&oldid=193004402), La communauté mais validé par des administrateurs, 20 avril 2022, consulté le 03 mai 2022 + - Résumé : Page expliquant ce qu'est un proxy dans toutes ses utilisations + - Avis sur la ressource : Ressource assez complète et qui à l'air sérieuse + +1) [Qu'est ce qu'un proxy ?](https://www.commentcamarche.net/faq/17453-qu-est-ce-qu-un-proxy), Jean-François Pillou, 28 février 2018, consulté le 03 mai 2022 + - Résumé : Ressource assez basique expliquant ce qu'est un proxy et son principe de fonctionnement + - Avis sur la ressource : La ressource explique bien les principes fondamentaux d'un proxy +1) [Slides : DNS avancé](https://moodle.ephec.be/pluginfile.php/369478/mod_resource/content/0/Admin-Res-Sys-II_4_DNS.pdf), Virginie Van den Schrieck, date de création inconnue, consulté le 3 mai 2022 + - Résumé : Powerpoint expliquant plein de concepts avancés sur le DNS dont le proxy dans l'aspect sécurité + - Avis sur la ressource : Ressource très intéréssante et assez complète +1) [Le serveur reverse-proxy : Eléments principaux](https://www.ionos.fr/digitalguide/serveur/know-how/quest-ce-quun-reverse-proxy-le-serveur-reverse-proxy/), l'auteur est inconnu, 17 mars 2020, consulté le 4 mai 2022 + - Résumé : Article expliquant les principes du reverse proxy et qui dit comment en configurer un + - Avis sur la ressource : Ressource assez sérieuse, professionnelle et trés détailée +1) [Proxy inverse - Wikipédia](https://fr.wikipedia.org/w/index.php?title=Proxy_inverse&oldid=186198908e), La communauté mais validé par des administrateurs, 9 septembre 2021, consulté le 4 mai 2022 + - Résumé : Page expliquant de manière assez brève ce qu'est un reverse proxy tout en détaillant ses applications + - Avis sur la ressource : Ressource utile pour avoir une idée générale sur le sujet sans trop rentrer dans les détails. +1) [Improve Your Application Security Using a Reverse Proxy](https://traefik.io/blog/improve-application-security-using-a-reverse-proxy/), Manuel Zapf, 13 janvier 2022, consulté le 4 mai 2022 + - Résumé : Article en anglais centré sur les aspects sécurités qui justifient l'utilisation d'un reverse proxy + - Avis sur la ressource : Article très complet et rempli d'informations utiles +1) [Les 3 configurations des WAF pour se protéger des cyber-attaques](https://www.vaadata.com/blog/fr/les-3-configurations-des-waf-pour-se-proteger-des-cyber-attaques/), Auteur inconnu, 11 mars 2015, consulté le 5 mai 2022 + - Résumé : Article expliquant ce qu'est un WAF et comment en utiliser un. + - Avis sur la ressource : Ressource utile et compréhensible pour tout un chacun. Il informe bien sur les WAF. +1) [Quels sont les atouts d’un WAF ?](https://www.oracle.com/fr/security/waf-definition-pare-feu.html), Auteur inconnu et date de création inconnus, consulté le 7 mai 2022 + - Résumé : Article expliquant ce qu'est un WAF et ce qu'est Oracle Dyn WAF + - Avis sur la ressource : Ressource utile quoique assez courte mais il permet d'en savoir plus sur les WAF. +1) [HAProxy - Wikipédia](https://en.wikipedia.org/w/index.php?title=HAProxy&oldid=1085855827), La communauté mais validé par des administrateurs, 2 mai 2022, consulté le 7 mai 2022 + - Résumé : Article expliquant ce qu'est HAProxy et ses différentes caractéristiques. + - Avis sur la ressource : Ressource utile pour avoir un aperçu de ce qu'est HAProxy mais ne conviendrait pas dans le but de tout connaître sur le sujet. +1) [Transport Layer Security - Wikipédia](https://fr.wikipedia.org/w/index.php?title=Transport_Layer_Security&oldid=191806531), La communauté mais validé par des administrateurs, 11 mars 2022, consulté le 7 mai 2022 + - Résumé : Article très fourni expliquant les protocoles SSL et TLS. + - Avis sur la ressource : Ressource utile et très complète permettant d'avoir énormément d'informations sur TLS et SSL. + + + + diff --git "a/R\303\251seaux/sip_vs_h323.md" "b/R\303\251seaux/sip_vs_h323.md" new file mode 100644 index 0000000..ec9afb7 --- /dev/null +++ "b/R\303\251seaux/sip_vs_h323.md" @@ -0,0 +1,168 @@ +--- +layout: default +title: Comparatif SIP - H323 +parent: Réseaux +--- + +## 1. Introduction + +### 1.1 Qu’est-ce que le protocole SIP? [^1] [^2] + +       La « Session Initiation Protocol » (SIP) est un protocole TCP/IP de le couche applicative normalisée et standardisé par l’IETF*. Il s’agit d’un protocole de communication standard couramment utilisé dans les télécommunications multimédias. Ce dernier est le plus répandu dans la téléphonie par internet (la VoIP*). + +       Le protocole SIP permet d’établir une « session » entre deux ou plus de participants, de modifier cette session et finalement de mettre fin à cette session. + +       Par défaut, ce protocole est supporté sur le port 5060 par TCP ou UDP et pour sa version sécurisé, SIP-TLS, sur le port 5061 par défaut. Il fonctionne aussi bien avec l’IPv4 qu’avec l’IPv6. + +       SIP est un protocole de type « requête-réponse ». Celui-ci est similaire aux protocoles internet tel que http et SMTP. + +       SIP prend en charge cinq aspects afin de réaliser un établissement et une terminaison de communications multimédia : + +* Localisation de l’utilisateur +* Disponibilité de l’utilisateur +* Capacités de l’utilisateur +* Établissement d’une session +* Gestion d’une session + +### 1.2 Qu’est-ce que le protocole H.323? [^4] [^5] [^7] + +       Comme le SIP, le H.323 est un protocole conçu pour initier, gérer et terminer des sessions médias. Cependant celui-ci est standarisé par L'IEEE*. + +       Existant depuis 1996, Il est considéré comme assez ancien. C’est un protocole binaire et se fait remplacer par le SIP. + +       Il utilise le numéro de port TCP 1720. + +       Il ressemble davantage à une combinaison de plusieurs protocoles différents qui peuvent être regroupés en trois catégories : + +* La signalisation +* La négociation de codec +* Le transport de l’information + +### 1.3 Schéma illustrant une communication VoIP (session + multimédia) + +#### SIP [^1] + +

+ Conversation SIP +

+ +#### H.323 [^8] + +

+ Conversation SIP +

+ +Documentation du schéma car ce dernier est plus complexe qu'une communication SIP : + +* ARQ = Adminssion Request, demande l'autorisation de participer à un appel +* ACF = Admission Confirm, réponse positive pour cette appel +* ARJ = Admission Reject, réponse rejeter +* H.225 = Pour le contrôle, la signalisation et la gestion d'un appel +* H.245 = Défini pour les canaux des média par H.323 +* TCS = Terminal capability set, codecs envoyé au terminal +* ACK = Accusé de réception +* OCL = Open logical channel, ouverture d'un chemin de communication +* CLC = Close logical channel, fermeture d'un chemin de communication +* ESC = End session command, commande pour mettre fin à la session +* DRQ = Disengage Request, mettre fin à l'appel +* DCF = Disengage Confirm, réponse pour mettre fin à l'appel + +## 2. Comparaison entre ces deux protocoles [^1] [^2] [^3] [^4] [^5] + +### 2.1 Codage des messages : + +       Les messages H323 sont encodés dans un format binaire compact. Les messages sont efficacement codés et décodés par des machines (codec). Alors que ceux du protocole SIP, sont plus faciles à lire par l’homme, ils sont encodés au format ASCII. L’avantage du SIP est qu’il ressemble aux protocoles http/SMTP et est beaucoup plus simple que le H323. Cela rend le H323 moins convivial pour les techniciens dans un environnement de dépannage. + +       Ils utilisent tous les deux le protocole RTP* comme protocole de transfert des données multimédia. + +       Le SIP est plus léger car il est basé sur une approche similaire au protocole http. + +### 2.2 En terme de temps : + +       Le protocole H323 a été introduit quelques années avant le SIP. L’internet Engineering Task Force (IETF) a développé le protocole SIP basé sur le H323. Comparé au H323, SIP est plus simple, plus évolutif et plus étroitement lié aux applications Internet existantes. + +### 2.3 Utilisation : + +       SIP et H323 sont des protocoles de communication utilisés pour les appels multimédia et la téléconférence sur des réseaux basés sur le protocole Internet. + +       D’autres communications multimédias sont prises en charge par SIP telles que la messagerie instantanée, les jeux en ligne et même le partage de fichiers. + +       Cependant, H323 se concentre uniquement sur la conférence multimédia, c'est à dire la possibilité d'interagir à distance à travers une variété de canaux de communication. Par exemple : audio, vidéo et partage à distance d'écrans + +### 2.4 Utilisation technique : + +| Comparatif ` | SIP | H323 | +| :------------------------------------------- | :-------------------------------------------------- | :----------------------------------------------------------------------------------------------- | +| Nombre d'échange pour établir la connexion | 1,5 aller-retour (voir schéma ci-dessus) | 6 à 7 aller-retour (voir schéma ci-dessus) | +| Maintenance du code protocolaire | Simple par sa nature textuelle à l'exemple de Http | Complexe et nécessitant un compilateur | +| Evolution du protocole | Protocole ouvert à des nouvelles fonctions | Ajout d'extensions propriétaires sans concertation entre vendeurs | +| Détection d'un appel en boucle | Oui | Inexistante sur la version 1, un appel routé sur l'appelant provoque une infinité de requêtes | +| Signalisation multicast | Oui, par défaut | Non | + +### 2.5 Fiabilité + +       Le fait que H323 ait une portée limitée le rend moins complexe que SIP. + +       H323 présente d’autres avantages tels que la fiabilité, la traversée NAT, l’adressage flexible et l’équilibrage de charge sur SIP. + +## 3. Conclusion + +       Bien que le protocole H.323 et le protocole SIP proposent deux ensembles de structures de systèmes téléphonies IP, ils poursuivent les mêmes objectifs. + +       Le protocole SIP peut être utilisé à de nombreuses fins de communication multimédia, telles que les jeux en ligne, la messagerie instantanée et le partage de fichiers, en plus de l'application prévue pour la conférence multimédia. Cependant, H323 est limité à la conférence multimédia. + +       Ils sont développés et modifiés séparément en fonction des différents systèmes d'application de développement. + +       La flexibilité et la simplicité du protocole SIP lui a permis de remplacer quasiment la totalité du protocole H.323 dans le monde de la VoIP. + +### Définition en large permettant de comprendre certains concepts : [^6][^7] + +| Sujet | Définition | +| :----------------------- | :----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | +| *VoIP | « Voice Over Internet Protocol », permet la transmission de la voix par internet. | +| *IETF | Ils produisent la plupart des nouveaux standards d’Internet. | +| *IEEE | Institut des ingénieurs électriciens et électroniciens | +| *RTP | est un protocole de communication informatique permettant le transport de données | +| RTCP | il va de pair avec le RTP, il transmet les paquets de contrôle au participant d’un appel. C’est-à-dire de donner un feedback sur la qualité du service fourni par le RTP. | + +## Bibliographie + +[^1]: [3CX-VoIp-SIP](https://www.3cx.fr/voip-sip/sip/), Equipe 3CX, Création du site en 2005 mais il est régulièrement mis à jour, consulté le (8/05/2022) + + **Résumé** : Définition du protole SIP et de la VoIP. + **Avis sur la ressource** : 3CX est une plateforme de communication complète. Cette entreprise mets à jour régulièrement ces informations disponible en ligne. De plus, ils organisent régulièrement des webinaires, les liens sont disponilbes sur leur site web. + +[^2]: [Wikipédia-SIP](https://fr.wikipedia.org/wiki/Session_Initiation_Protocol), Wikipédia, dernière modification a été faites le 30 mars 2022, consulté le (8/05/2022) + + **Résumé** : Article résumant les informations éssentiel du protocole SIP. + **Avis sur la ressource** : Encyclopédie libre régulièrement mise à jour. + +[^3]: [Goffinet François-SIP](https://sip.goffinet.org/sip/architecture/), François Goffinet, 2021, consulté le (8/05/2022) + + **Résumé** : Explication détaillé de l'architecture SIP. + **Avis sur la ressource** : Rédigé par un formateur IT, écrivains, professionel avec de l'expérience dans le métiers depuis de nombreuses années [LinkedIn](https://www.linkedin.com/in/fegoffinet/). + +[^4]: [Wikipédia-H.323](https://fr.wikipedia.org/wiki/H.323#:~:text=323%20regroupe%20un%20ensemble%20de,est%20publi%C3%A9e%20en%20novembre%201996.), WWikipédia, dernière modification a été faites le 30 mars 2022, consulté le (8/05/2022) + + **Résumé** : Article résumant en large les informations du protocole H.323. + **Avis sur la ressource** : Encyclopédie libre régulièrement mise à jour. + +[^5]: [Techno-Science.net](https://www.techno-science.net/definition/1369.html), Tecnho-Science/Wikipédia, mis en ligne en 2004, consulté le (8/05/2022) + + **Résumé** : Ce site explique et définit l'utilisation du protocole H.323 dans ses débuts. + **Avis sur la ressource** : C'est un site d'information sur l'actualité des sciences et des technologies édité par l'association Techno-Science.net. + +[^6]: [3CX-RTCP](https://www.3cx.fr/voip-sip/rtcp/#:~:text=Le%20RTCP%20signifie%20Real%20Time,aux%20participants%20d'un%20appel), Equipe 3CX, Création du site en 2005 mais il est régulièrement mis à jour, consulté le (8/05/2022) + + **Résumé** : Définition du protole RTCP. + **Avis sur la ressource** : 3CX est une plateforme de communication complète. Cette entreprise mets à jour régulièrement ces informations disponible en ligne. De plus, ils organisent régulièrement des webinaires, les liens sont disponilbes sur leur site web. + +[^7]: [IEEE-H.323](https://ieeexplore.ieee.org/document/874981), Equipe IEEE, Date de publication en Octobre 2000 (Le H.323 étant assez ancien). + + **Résumé** : Définition du H.323 par des experts de l'équipe IEEE + **Avis sur la ressource** : L'IEEE est une oganisation à but non lucratif, c'est une très grande organisation professionnelle technique au monde dédiée à l'avancement de la technologie. + +[^8]: [Oracle-H.323](https://docs.oracle.com/en/industries/communications/session-border-controller/8.4.0/configuration/sip-and-h-323.html#GUID-D0030405-6A1C-4FFB-8A54-4381BE76E0D6), Equipe Oracle. + + **Résumé** : Schéma de communication par des experts de l'équipe Oracle. + **Avis sur la ressource** : Oracle a pour but d'aider les gens à découvrir des informations et à partager celles-ci. diff --git "a/R\303\251seaux/snmp.md" "b/R\303\251seaux/snmp.md" new file mode 100644 index 0000000..a3be71a --- /dev/null +++ "b/R\303\251seaux/snmp.md" @@ -0,0 +1,95 @@ +--- +layout: default +title: SNMP +parent: Réseaux +--- + +# SNMP (Simple Network Management Protocol) + +SNMP est un protocole de monitoring. Il permet de gérer et voir l'état des appareils d'un réseau comme des imprimantes, routers, modems, switchs et ordinateurs de bureau. SNMP est donc très utile pour détecter les pannes, réduire le temps d'intervention et analyser l'utilisation des ressources. + +SNMP est apparu en 1988 et a été développé par un groupe de collaborateur avec le soutien de OSI/IETF/NSF. C'est un protocol de couche OSI Application et passe par les port 161 et 162 ou 10161 et 10162 en sécurisé. + + +## Fonctionnement + +SNMP organise le monitoring du réseau par l'intermédiaire d'un serveur de supervision (monitoring server) appelé sobrement le superviseur. Pour que le superviseur puisse collecter des informations sur l'état des appareils du réseau il faut faire tourner un processus en arrière plan sur les machines à superviser. Ce processus deamon est appelé un agent. + +![Schéma du protocole SNMP](../Assets/Images/SNMP_schema.png "Schéma du protocole SNMP") + +### Le superviseur et les agents ont deux façons de communiquer : + +* Le Polling + +C'est ce qui permet une supervision active du réseau. Le superviseur envoi régulièrement des requêtes (GET ou SET) aux agents pour récupérer des informations telles que le taux d'utilisation du CPU, taux de transfert de données sur la carte réseau, les ports actifs,.. Il permet d'avoir une vue globale de l'activité sur le réseau. Par convention il utilise le port UDP 161. Il peut également servir à configurer les appareils. + +* Les Traps + +C'est ce qui permet une supervision passive du réseau. Lorsqu'un évènement prédéfini ce passe, l'agent envoi des informations au superviseur. Par exemple on peut définir une règle tel que si un port ethernet d'un switch est débranché, l'agent envoi une alerte au superviseur. Les Traps passent par le port 162. + + +### L'agent stocke sur son hôte différentes informations : +Pour savoir quelles données sont accéssibles par le superviseur, les agents stockent des variables (appelées OID) dans une base de données (appelée MIB). + +* MIB (Management Information Base) Base de donnée des info de supervision + +Fichier texte qui décrit les informations disponibles via SNMP sur l'appareil supervisé. + +* OID (Object Identifiers) + +Suite de nombre permettant de naviguer au sein de la structure du MIB. Identifiant universel + +
+

Schéma de l'arborescence du MIB

+Arborescence du MIB +
Schéma provenant du cours d'Administration des réseaux de Ioura Batugowski
+ +* Community String + +Défini les droits d'accès au MIB de l'appareil et permet de mettre un mot de passe pour l'authentification auprès de l'appareil supervisé. + +## Les différentes versions de SNMP + +### Version 1 +La première version est facile à utiliser et contient les éléments de bases pour la gestion du réseaux. Il est simple à configurer et ne chiffre pas les données donc utilise peu de bande passante. Il est tout de même conseillé de l'utiliser que en réseau local étant donné que les données passent en claire dans le réseau. + +### Version 2 +La deuxième version ajoute la prise en charge des compteurs à 64 bits et l'ajout de l'opération GETBULK qui permet de demander plusieurs informations dans le MIB de l'agent. Il est à noté que la version SNMPv2c n'est pas compatible avec SNMPv1. + +### Version 3 +La version SNMPv3 ajoute enfin de la sécurité au protocol grâce à plusieurs mécanismes: l'authentification, le chiffrement, l'estampillage du temps et la gestion des permissions permettant de restreindre l'accès en lecture ou écriture du MIB. + +## Exemple de trame +![Trame de requête SNMP](../Assets/Images/SNMP_trame_request.png "Trame de requête SNMP") +On peut voir ci-dessus une requête SNMP qui se fait sous UDP. Les données envoyées sont : +* La version SNMP utilisée : SNMPv1. +* La communauté qui permet de faire des domaines d'administrations : public (valeur de base). +* Le PDU (Packet Data Unit) qui contient toutes les données de la requête : + * Le type de la requête : get-request. + * L'id de la requête : 37. + * Le status d'erreur : noError + * L'index d'erreur: 0 + * Les OIDs avec leur valeur + +Voici la réponse à la requête : +![Trame de requête SNMP](../Assets/Images/SNMP_trame_response.png "Trame de requête SNMP") + + + +## Bibliographie + +* https://www.youtube.com/watch?v=mqzb_4lz_gs, Auteur: formip, Date de création: 18 septembre 2019, consulté le 5 juillet 2022 + * Résumé : Page Wikipedia de SNMP + * Avis : Article complet. +* https://www.frameip.com/snmp/, Auteur: frameip, Date de création: avant le 23 juin 2018, consulté le 5 juillet 2022 + * Résumé : Article sur le protocole SNMP + * Avis : Article très complet et vérifié par des pairs (grâce à la partie commentaire). Je le considère donc fiable au vu des différentes améliorations qu'il a eu depuis son écriture. +* https://www.paessler.com/fr/it-explained/snmp, Auteur: paessler, Date de création: Inconnue, consulté le 5 juillet 2022 + * Résumé : Article sur le protocole SNMP + * Avis : Article complet mais aucune indication des sources, ni de la date de rédaction. +* Slides du cours d'Administration des réseaux(Théorie) 2021, Maxime Vanlerberghe + * Résumé : Cours sur l'administration de réseaux + * Avis : Cours qui passe le protocole SNMP de manière claire et concise. Permet de comprendre SNMP dans les grandes lignes. Fiable car cours donné en Bac 3 d'informatique. +* Slides du cours d'Administration des réseaux(Pratique) 2021, Ioura Batugowski + * Résumé : Cours sur l'administration de réseaux + * Avis : Cours qui passe le protocole SNMP de manière claire et concise. Permet de comprendre SNMP dans les grandes lignes. Fiable car cours donné en Bac 3 d'informatique. \ No newline at end of file diff --git "a/R\303\251seaux/spf.md" "b/R\303\251seaux/spf.md" new file mode 100644 index 0000000..b921c95 --- /dev/null +++ "b/R\303\251seaux/spf.md" @@ -0,0 +1,88 @@ +[Accueil Wiki](https://epheclln.github.io/Wiki-TI/) + +--- + +layout: default +title: SPF +parent: Réseaux + +--- + +# SPF + +## Qu'est ce que c'est? + +SPF, acronyme de Sender Policy Framework, permet d'empêcher les envois de message par des spammeurs au nom de votre domaine au moyen d'un système de validation. Spf permet a une organisation de publier des servers de messagerie autorisés. Ce framework fonctionne de pair avec DMARK. Il donne à ceux qui recoivent l'information les différentes informations par rapport à la fiabilité de l'origine du mail. [1] + +Il s'agit donc d'un moyen d'autentification par nom de domaine pour éviter l'usurpation d'identité. Pour cela, il a besoin du DNS. Ainsi, tout expéditeurs peux spécifier quels serveurs peuvent envoyer des e-mails au nom de leur domaine. + +## Histoire + +Les premières mentions de SPF remontent au environ de 2000. La spécification de ce dernier s'est faite dans les années suivantes au moyen de plusieurs versions. Le nom original de SPF était tout d'abord "Sender Permitted Form". Ce dernier a donc évolué durant les premières versions. [1] + +En 2006, une tentative de combinaison de SPF avec la proposition CallerId de Microsoft a été réalisée par un groupe de travail de l'[IETF](https://www.ietf.org/). Cette expérience aura porté ses fruits en 2014 et est maintenant connue sous le nom de RFC 7208.[1] + +Actuellement, les techniques d'autentification privilègient DKIM et DMARC par rapport à SPF. Cependant, il détermine toujours si un mail est conforme au DMARC.[1] + +## Dans la pratique + +Pour configurer SPF, il faut au préalable ajouter un SPF record dans la zone DNA du domaine. Celui-ci permet la spécification des différentes adresses ips qui sont authorisées à envoyer des mails au nom du domaine.[1] + +SPF vérifie qu'un expéditeur peux envoyé des messages avec ce nom de domaine. Si pas (la vérification a échouée), le serveur récepteur détermine ce qu'il faut faire du message en fonction de la stratégie configurée.[4] + +![SPF](./\Schema_SPF.jpg) + +* Nous pouvons donc comprendre grâce au schéma ci-dessus, lorsque nous recevons un mail, il est d'abord soumis a la vérification SPF avnt d'arriver sur notre boite mail. ce qui empêche l'usurpation d'identité. + +## SPF record + +le SPF record est composé de plusieurs parties. Il commence par un numéro de version, suivi par les différents mécanismes qui permettent de de définir les expéditeurs valides.[3] +type de SPF record : `"v=spf1 ip4:207.171.160.0/19 -all"` + +* numéro de version : `v=spf1` + +### mécanismes + +Dans un enregistrement DNS SPF, il peux y avoir différents mécanismes utilisés qui permettent au serveur récepteur de savoir quel mécanisme d'authentification il devra utilisé.[5] + +* a : défini le record du DNS A du domaine comme source d'envoi valide. +* mx : défini le record MX du domaine comme source d'envoi valide. +* ptr : défini le nom d'hôte inverse de l'adresse ip d'envoi comme source d'envoi valide. +* ip4 : défini l'adresse/pool d'adresse ipv4 comme source d'envoi valide. +* ip6 : défini l'adresse/pool d'adresse ipv6 comme source d'envoi valide. +* include : inclu le SPF record pour le nom de domaine. + +il est également possible de rajouter des qualificateurs qui permettent de spécifier la portée de l'enregistrement. On les utilise principalemrnt pour spécifié si un addresse ip peux ou pas envoyé des mail avec notre nom de domaine. + +## exemples + +`v=spf1 a:mail.solarmora.com ip4:192.72.10.10 include:_spf.google.com ~all` pour cet enregistrement, les expéditeurs suivant sont authorisé a envoyé des mails : + +* le serveur mail.solarmora.com +* le serveur disposant de l'adresse ip 192.72.10.10 +* Google Workspace + +une fois que l'enregistrement SPF est fait, il faut l'ajouter a notre domaine + +`TXT @ v=spf1 include:_spf.google.com ~all 3600` dans ce cas ci, nous autorisons l'envoi des ail a partir de google Workspace +TXT fait référence au type d'enregistrement +@ fait référence au domaine. si il y a un sous-domaine, le mettre ici au lieu du `@`. +`v=spf1 include:_spf.google.com ~all` ceci fait référence a la valeur de l'enregistrement +3600 fait référence au TTL. + +## Limitation + +Le spf record a cependant quelques problèmes. + +* la validation se fait uniquement sur "enveloppe de" et donc l'"en-tête de" n'est pas validée.[1] alors que dans la plupart des clients, c'est "en-tête de" qui est montré comme expéditeur. +* lors du transfert d'un mail, la personne qui transfert deviens de nouvel expéditeur et donc, les vérification SPF échouent.[1] +* Le maintien est plus difficile dû au manque de rapports.[1] + +## sources + +* [1] Qu'est-ce que le SPF ? - DMARC Analyzer. (s. d.). DMARC Analyzer. consulté le 27-05-2022 +* [3] Qu'est-ce qu'un SPF record? - DMARC Analyzer. (n.d.). DMARC Analyzer. consulté le 05-06-2022 +* [RFC SPF] RFC 7208 +* [RFC Dmark] RFC 7489 +* [4] consulté le 05-06-2022 +* [5] La syntaxe de l'enregistrement SPF expliquée - Un guide simple de la syntaxe SPF. (n.d.). PowerDMARC. consulté le 25-08-2022 diff --git "a/R\303\251seaux/visioConference.md" "b/R\303\251seaux/visioConference.md" new file mode 100644 index 0000000..8173aa0 --- /dev/null +++ "b/R\303\251seaux/visioConference.md" @@ -0,0 +1,138 @@ +--- +layout: default +title: VisioConference +parent: Réseaux +--- + +# Les Protocoles de visioconférence + +## 1. Que signifie visioconférence [[1]](https://fr.wikipedia.org/wiki/Visioconférence) + +La visioconférence est une solution de communication à distance sécurisée, via Internet, dans des points multiples, permettant l'échange visuel entre deux individus, ou plusieurs dizaines ou même des centaines ou des milliers de personnes, selon les options et les licences. +Elle est aussi appelée vidéoconférence, c'est la technique qui permet de voir et dialoguer avec son interlocuteur à travers un moyen numérique. + +Visioconférence est aussi la combinaison de 2 techniques : + +- La visiophonie ou vidéotéléphonie : qui est l'association de la téléphonie et de la télévision permettant aux utilisateurs de se voir pendant leur conversation téléphonique. + +- La conférence multipoints ou conférence à plusieurs : permettant d'effectuer une réunion avec plus de 2 terminaux + +Figure 1. Ex: visioconférence + + +## 2. Pourquoi la visioconférence ? [2]( https://www.a2com.fr/blog/6-bonnes-raisons-dutiliser-la-visioconference-en-entreprise/#:~:text=Le%20collaboratif%20est%20au%20cœur,dans%20une%20entreprise%20multi%20sites.) +La visioconférence est un vrai levier d’efficacité professionnel qui facilite les échanges entre les collaborateurs dans les entreprises multi sites. + +### 2.1 Les principaux protocoles de visioConférence [3](https://fr.acervolima.com/protocoles-de-visioconference/) + +##### Figure 2. certains protocoles [[2]](https://trueconf.com/video-conferencing-architecture.html) + + +#### Protocole H.323 + C'est un protocole de transfert de données avec une bande passante non garantie appliquée aux vidéoconférences personnelles et de groupe. + - Il a été conçu par l'UIT(Union internationale des télécommunication) + - Il utilise le langage informatique du binaire + - Assure des communications multimédias sur différents réseaux. + - il est très complexe, il est possible qu'il y ait des retards. + + +#### Protocole SIP +C'est un protocole réseau permettant de connecter des applications clientes de différents fournisseurs. SIP a remplacé H.323 et est utilisé dans la visioconférence et la téléphonie IP. +- Il a été conçu par l'IETF(Internet Engineering Task Force) +- Il utilise le langage informatique ASCII +- Il est très flexible et simple +- L'agent utilisateur et le serveur réseau constituent deux composantes fonctionnelles principales. +- Permet de configurer, d'éditer et de mettre fin aux sessions multimédias ou aux appels. +- Ressemble au protocole HTTP. +- Il est fonctionnel avec le IPv4 et IPv6 +- +### 2.2 Différentes normes pour la visioconférence [4]( https://www.dwpro.fr/blog/visioconference/normes-visioconference#:~:text=De%20plus%2C%20la%20norme%20H,les%20systèmes%20de%20visioconférence%204K.) + + + + +#### Contrôle et la signalisation : +H.225 : il est en système de communications et c'est une sous-norme de H.323 [I]( https://fr.wikipedia.org/wiki/H.225).
+Ses objectifs : +- Gestion d’un appel : Ce système s'appuie sur le processus de préparation des appels ISDN (Intergrated Services Digital Network) +- Enregistrement, admission et status : RAS qui est le premier canal de signalisation et utilise le protocole UDP comme couche de transport +H.245 : il a été mis en place pour les canaux des médias par H.323, il a été ouvert dès le départ à la négociation de codecs communs, veiller à toutes les fonctions de gestion des flux de médias. +RTCP (Real-time Transport Control Protocol) : Il s'agit d'un protocole de contrôle des flux RTP, permettant de transmettre des informations de base sur les participants d'une session, ainsi que sur la qualité de service.[II]( https://fr.wikipedia.org/wiki/Real-time_Transport_Control_Protocol ) +#### Voix : +- G.726 : C'est une norme de compression audio de l'UIT-T qui est utilisée en telephonie fixe, elle utilise une "modulation impulsive et l'encodage différentiel adaptatif" (MICDA) à 40, 32, 24 ou 16 kbit/s +- G.728 : Ancienne norme de compression audio, elle est recommandée aux protocoles H.320 et H.323 sur l'encodage sonore pour la téléphonie et la vidéoconférence. +- G.729 : Norme qui est sous recommandation, définit l'encodage vocal 8 kbit/s par prédiction linéaire avec excitation par séquences encodées avec structure algébrique conjuguée. +#### Video : +- H.261 : C'est une évolution de la norme, elle fut notamment popularisée par la console de jeu PlayStation de Sony, qui l'intégra entièrement dans son moteur de décompression de données +- H.263 : Ce standard est devenu obsolète, sa succession a été assurée par le standard H.263 de meilleure qualité pour VoIP ; pour le codage vidéo pur, nous préférons le standard H.264. +- H.265 : H265 ou encore HEVC (High Efficiency Video Coding) un nouveau standard dont l'objectif est d'améliorer de manière significative la compression vidéo, il est en mesure de transmettre la même vidéo que son prédécesseur (H264) pour une vitesse deux fois moins. Il supporte toutes les définitions d’images usuelles et des cadences d’images plus élevées. +#### Données : +- T.123 : Audiovisual Protocol Stacks, piles de protocoles de données spécifiques au réseau pour les conférences multimédias +- T.124 : Contrôle de conférence générique +- T.125 : Service de communication multipoint + +## 3 Difference entre la visioConférence et le streaming video [5](https://www.avast.com/fr-fr/c-what-is-streaming) +### 3.1 VisioConférence +Elle est mieux définie comme un événement où plusieurs utilisateurs d'ordinateurs peuvent communiquer entre eux simultanément à l'aide de caméras sur Internet. +### 3.2 Streaming Video +C'est un type de technologie multimédia qui offre du contenu vidéo et audio à un dispositif connecté à Internet. C’est un flux vidéo organisé par l’organisateur comme video sur youtube, Netflix etc. +#### 3.2.1 Types de streaming video + - Streaming en direct : Le streaming en direct vous donne accès aux événements au moment où ils se produisent + - streaming video : +#### 3.2.2 Les protocoles de streaming vidéo: +- HLS (HTTP Live Streaming): Ce protocole est compatible avec un large éventail d'appareils, navigateurs de bureau, téléviseurs intelligents, boîtes de décodage, appareils mobiles Android et iOS et même les lecteurs vidéo HTML5. Cela permet aux streamers d'atteindre une audience aussi large que possible. +- SRT (Secure Reliable Transport): est un autre protocole open source développé par le fournisseur de technologie de streaming Haivision, les principaux avantages pour lesquels SRT est connu sont la sécurité, la fiabilité, la compatibilité et le streaming à faible latence. +- MPEG-PASH: est l'un des derniers protocoles de streaming, mis au point par le Moving Pictures Expert Group (MPEG), en alternative à la norme HLS. +- WebRTC : est un open source qui vise à offrir la diffusion en continu avec une latence en temps réel. Développé à l'origine pour les applications basées sur le chat et l'utilisation VoIP +## Conclusion [[C]](https://cefre-uahb.fr.gd/LA-VISIOCONFERENCE.htm#:~:text=Une%20seule%20séance%20de%20visioconférence,la%20perte%20de%20temps%20supprimée.) +Une seule séance de visioconférence permet d'éviter les appels téléphoniques, les courriels, les télécopies, les envois de courrier ou les pires déplacements. +Grâce à la vidéoconférence, les communications s'améliorent, la prise de décisions est facilitée, la productivité augmente, les coûts diminuent et le temps perdu est éliminé. +## Bibliographie: +1. [Que signifie visioconférence](https://trueconf.com/video-conferencing-architecture.html) + + - Auteur et date d'expédition : Inconnu + - Date de consultation : 20 Juillet 2022 + - Avis : l'explicaion est un peu court + - Résume : Explication sur visioConférence et ses protocoles + +2. [Pourquoi la visioconférence ?](https://www.a2com.fr/blog/6-bonnes-raisons-dutiliser-la-visioconference-en-entreprise/#:~:text=Le%20collaboratif%20est%20au%20cœur,dans%20une%20entreprise%20multi%20sites.) + + - Auteur et date d'expédition : Inconnue, 2021 + - Date de consultation : 27 juillet 2O22 + - Avis : Le Résumer trés courte + - Résume: Explication des avantages de la visioConférence + +3. [Principaux protocoles](https://fr.acervolima.com/protocoles-de-visioconference/) + + - Auteur et date d'expédition : Jack Sparrow, 5 juillet de 2022 + - Date de consultation : 27 juillet 2022 + - Avis : très court explication + - Résume : explication des principaux protocoles de la visioconférence + +4. [Differentes normes de visioConférence](https://www.dwpro.fr/blog/visioconference/normes-visioconference#:~:text=De%20plus%2C%20la%20norme%20H,les%20systèmes%20de%20visioconférence%204K.) + + - Auteur et date d'expédition + - Date de consultation : 27 juillet 2022 + - Avis : Explications sont bien détailler mais peu de contenu + - Résume : Explication sur les normes de visioConférence + +5. [Difference entre la visioConférence et le streaming video](https://www.avast.com/fr-fr/c-what-is-streaming) + + - Auteur et date d'expédition : Alfred Poor, le 28 septembre 2019 + - Date de consultation : 2 Aout 2022 + - Avis : Les types de streaming sont bien expliqué + - Résume : Explication et comparaison de visioconférence et streaming vidéo + +6. [Protocoles streaming video](https://www.cdnetworks.com/media-delivery-blog/video-streaming-protocols/) + + - Auteur et date d'expédition : Inconnu , December 19, 2021 + - Date de consultation : 8 Aôut 2022 + - Avis : Bien detailler et bien complet avec les explications + - Résume : Differentes protocole du streaming video + +7. [Autre liens](https://www.cisco.com/c/fr_ca/support/docs/quality-of-service-qos/qos-packet-marking/21662-video-qos.html) + - Auteur et date d'expédition : Inconnu , 15 février 2008 + - Date de consultation : 11 Aôut 2022 + - Avis : Bien detailler et moyennement complet mais avec une tres bonne explication + - Résume : Explication sur l'implémentation H.323 + - https://docplayer.fr/508783-Deploiement-de-la-visioconference-ip-dans-un-etablissement-etat-de-l-art-et-evolution-des-protocoles.html diff --git "a/R\303\251seaux/wireshark.md" "b/R\303\251seaux/wireshark.md" new file mode 100644 index 0000000..da17ac4 --- /dev/null +++ "b/R\303\251seaux/wireshark.md" @@ -0,0 +1,154 @@ +--- +layout: default +title: Wireshark +parent: Réseaux +--- + +# Wireshark + +## Wireshark ? C'est quoi ? [^2] [^4] + +Wireshark est un analyseur de paquets réseau créé en 1998 par Gerald Combs. C'est un logiciel qui permet d'analyser un réseau et de récupérer tous les paquets (un "paquet" est un message d’un des nombreux protocoles réseau) y passant pour ensuite le décomposer et le traduire en données interprétables par des humains. +Wireshark est utilisé notamment pour : + +- L'analyse et le troubleshooting réseau. +- La sécurité réseau. +- Le reverse engineering. +- Le développement et le début de protocoles. +- L’éducation. + +Aujourd’hui que ce soient des agences gouvernementales, de grandes entreprises ou bien des écoles, tout le monde utilise Wireshark. Car bien qu’il existe des alternatives sur le marché (comme tcpdump ou cloudShark qui sont les principaux concurrents) c’est bien Wireshark qui est le plus populaire et ce grâce à ses très nombreux filtres , ses fonctionnalités variées et le nombres de protocoles que ce dernier peut interpréter (actuellement 1515 selon Wikipédia [^2]). +Wireshark est disponible sur tous les OS et une version en ligne de commande, nommé Tshark, existe aussi. + +## Fonctionnalités : [^2] [^5] + +Voici une liste de fonctionnalités non exhaustive de Wireshark mais suffisante pour commencer. + +### La capture de paquets : + +La fonctionnalité principale et de base de Wireshark est la capture de paquets. Pour commencer une capture, ouvrez Wireshark et sélectionnez un réseau que vous voulez observer en double cliquant dessus. +![image](https://user-images.githubusercontent.com/62069633/170109781-124844a2-4c1d-4583-8e6c-85e1d788fb4e.png) +Lorsque vous souhaitez arrêter la capture, appuyez sur le petit carré rouge en haut à gauche. +Vous pouvez ensuite travailler dessus ou enregistrer la capture pour revenir dessus plus tard en allant dans **fichier -> enregistrer sous**. +Pour recommencer une capture, cliquez sur l'aileron bleu, à gauche du carré rouge. +![image](https://user-images.githubusercontent.com/62069633/170111507-3912c10a-ce96-4149-b715-db2f774c736e.png) + +### L'analyse de paquets + +Maintenant que nous avons une capture Wireshark, cela nous permet de l'analyser. Pour ce faire nous aurons l'aide de trois fenêtres : + +1. Le packet list +2. Le packet details +3. Le packet bytes pane + +![image](https://user-images.githubusercontent.com/62069633/170119431-f55549da-1adb-4bfb-8e43-2ae49e237546.png) + +#### 1. Le packet list + +Le packet list nous permet de voir tous les paquets enregistrés dans cette capture. Cette fenêtre vous communique déjà des informations générales classées dans différentes colonnes. Vous pouvez si vous le souhaitez supprimer, ajouter ou modifier des colonnes en faisant un clic droit sur l'entête.Cependant les colonnes par défaut seront généralement amplement suffisantes. + +- No. : cette colonne numérote les paquets capturés et indique à quelle conversation appartient le paquet : si en cliquant sur un paquet vous voyez qu'une ligne pleine apparait sur un autre paquet, c'est qu'ils sont dans une même conversation (par exemple three handshake).![image](https://user-images.githubusercontent.com/62069633/170123265-fcdcf935-272d-42d4-9b04-e25624661fe5.png)Les paquets qui n'ont pas de lignes mais des pointillés ne font pas partie de cette conversation.![image](https://user-images.githubusercontent.com/62069633/170123621-fe1cc571-e45b-43c0-bf79-532116f7d749.png) +- Time : cette colonne indique quand sont arrivés les paquets après le début de la capture. +- Source : indique l'adresse IP qui a envoyé le paquet. +- Destination : indique l'adresse IP qui a reçu le paquet. +- Protocole : indique le protocole utilisé. +- Length : indique la taille du paquet (en octets). +- Info : cette colonne donne des informations différentes en fonction du protocole utilisé. + +#### 2. Le packet details + +Lorsque vous sélectionnez un packet dans le packet list, vous pourrez retrouver tous les protocoles utilisés par ce paquet dans cette fenêtre. +Vous pouvez développer un protocole en faisant un clic gauche dessus. +De plus, vous pouvez, dans le packet list, ne faire apparaitre que les paquets utilisant le même protocole en faisant un clic droit sur le protocole **Appliquer comme un filtre -> Sélectionné** ou n'afficher que les paquets de la conversation avec **Filtre de conversation -> le protocole souhaité**. + +#### 3. Le packet bytes pane + +Ici, vous retrouverez le paquet brut au format hexadécimal ou binaire (click droit -> ... comme bits) avec une traduction au format ASCII. Si vous cliquez sur un bit cela sélectionnera dans le packet détails ce à quoi il correspond (et vice versa). + +### Les filtres : [^7] + +Il existe deux types de filtre dans Wireshark : les filtres de capture et les filtres d'affichage. Le premier se met avant une capture et permet de ne capturer que ce qui nous intéresse et de réduire la taille du fichier de capture. Le second lui s'applique après une capture et ne fait que cacher les paquets qui ne nous intéressent pas. + +#### Filtres de capture : + +Pour appliquer un filtre de capture, entrez, avant la capture, le filtre ici : +![image](https://user-images.githubusercontent.com/62069633/170136920-c9313d66-dd70-4da5-9b51-57b10902a2ca.png) + +Si vous souhaitez entrer deux filtres, utilisez le mot clé : `and` +Si vous souhaitez appliquer un filtre inversé (donc : capturer tous sauf), utilisez le mot clé: `not` + +Wireshark utilise des filtres par défaut s’il est utilisé à distance pour ne pas enregistrer ce qui est lié à cette connexion (comme ssh). + +##### Exemples utiles (trouver ici [^6]) + +Pour capturer tout se qui vient et sort d'une adresse IP : +`host 172.18.5.4` +Pour capturer tout ce qui concerne un range d’IP : +`net 192.168.0.0/24` +Pour capturer tout ce qui concerne un port : +`port 53` +Pour ne capturer que du trafic IPv4 : +`ip` +Pour ne capturer que du trafic unicast : +`not broadcast and not multicast` + +#### Filtres d’affichage : + +Pour appliquer un filtre de capture, entrez, le filtre ici : +![image](https://user-images.githubusercontent.com/62069633/170139504-3bd37f17-fa69-4376-b305-01c3f09a3876.png) + +Si vous souhaitez n'afficher que les paquets qui correspondent à deux filtres, utiliser le mot clé : `and` ou `&&` +Si vous souhaitez n'afficher que les paquets qui correspondent à deux filtres, utiliser le mot clé : `or` ou `||` + +##### Exemples utiles (trouvés ici [^7]) + +Pour n'afficher que les paquets possédant un protocole : +`TCP` +Pour n'afficher que ce qui correspond à une adresse IP : +`ip.addr==172.18.5.4` +Pour capturer tout ce qui concerne un range d’IP : +`ip.addr==192.168.0.0/24` +Pour capturer tout ce qui concerne un port : +`tcp.port==53` +Pour ne capturer que le trafic entre deux machines (par exemple client et serveur): +`ip.src==192.168.18.5 and ip.dst==192.168.2.45` + +### La colorisation : [^8] + +La colorisation permet de mettre en évidence des paquets qui répondent à certains filtres sans pour autant cacher les autres. Wireshark propose, de base, 20 filtres. Pour ajouter ou supprimer des filtres aller dans **vue -> coloring rules**. +![image](https://user-images.githubusercontent.com/62069633/170142753-0138ffd1-61dd-4164-a87f-9ad87fc1daee.png) + +Vous pouvez ainsi remarquer qu'il est possible d'importer ou d'exporter des règles de colorisation. Ainsi vous pouvez avoir plusieurs sets de règles que vous utiliserez dans différentes utilisations et vous pourrez aller chercher des règles préfaites sur internet pour des cas spécifiques. + +## Bibliographie + +[^1]: [Wireshark User’s Guide](https://www.wireshark.org/docs/wsug_html_chunked/), auteur inconnu, date de création inconnu, consulté le (24/05/2022) + Résumé : documentation officielle de Wireshark + Avis sur la ressource : clair et très complet malgré un design un peu rebutant + +[^2]: [Wireshark](https://fr.wikipedia.org/wiki/Wireshark), wikipedia, consulté le (24/05/2022) + Résumé : page Wikipédia Wireshark + Avis sur la ressource : très peu complète mais donnes quelques informations de bases + +[^3]: [Comment utiliser Wireshark: tutoriel complet + astuces](https://www.varonis.com/fr/blog/comment-utiliser-wireshark), Jeff Petters, 12 mai 2021, consulté le (24/05/2022) + Résumé : petit guide concis sur wireshark + Avis sur la ressource : petit guide concis mais clair et agréable à lire + +[^4]: [Network traffic analysis for IR: Alternatives to Wireshark](https://resources.infosecinstitute.com/topic/network-traffic-analysis-for-ir-alternatives-to-wireshark/), Patrick Mallory, 12 novembre 2019, consulté le (24/05/2022) + Résumé : alternatives à Wireshark + Avis sur la ressource : présente bien les alternatives + +[^5]: [How to Use Wireshark: A Complete Tutorial](https://www.lifewire.com/wireshark-tutorial-4143298), Scott Orgera, 8 juillet 2020, consulté le (24/05/2022) + Résumé : autre guide sur wireshark + Avis sur la ressource : très clair mais trop court + +[^6]: [CaptureFilters](https://wiki.wireshark.org/CaptureFilters), auteur inconnu, date de création inconnu, consulté le (24/05/2022) + Résumé : guide sur les filtres de captures + Avis sur la ressource : concis et donne des exemples utiles + +[^7]: [DisplayFilters](https://wiki.wireshark.org/DisplayFilters), auteur inconnu, date de création inconnu, consulté le (24/05/2022) + Résumé : guide sur les filtres d'affichage + Avis sur la ressource : concis et donne des exemples utiles +[^8]: [ColoringRules](https://wiki.wireshark.org/ColoringRules), auteur inconnu, date de création inconnu, consulté le (24/05/2022) + Résumé : guide sur les la coloration + Avis sur la ressource : concis et donne des exemples utiles diff --git "a/S\303\251curit\303\251/DDoS.md" "b/S\303\251curit\303\251/DDoS.md" new file mode 100644 index 0000000..38bf0f9 --- /dev/null +++ "b/S\303\251curit\303\251/DDoS.md" @@ -0,0 +1,160 @@ +# Attaques par déni de service distribué (DDoS) et protection + +## C'est quoi une attaque DDoS +### Qu'est ce que c'est ? +Une attaque DDoS c'est une cyberattaque qui a pour objectf de rendre un site web ou un service indisponible en envoyant énormément de trafic sur celui-ci. Cela surcharge les ressources du système et le rend inaccessible aux utilisateurs. + +Le but d'une attaque DDoS est donc de perturber les services et de rendre un site ou un service inutilisable en envoyant une énorme quantité de demandes simultanées au service. Une possibilitée est d'utiliser plusieurs ordinateurs hacké par l'attaquant qui agissent ensemble. +Les attaquants envoient en fait une grande quantité de trafic/données falsifié à partir de différentes sources pour saturer le site ou le service qui est ciblé. + +![DDoS example](https://images.frandroid.com/wp-content/uploads/2023/03/attaque-ddos-1200x675.jpg) + +### Plus en détail +Ces attaques ont pour cible les infrastructures informatiques vulnérables et surchargent les serveurs et réseaux avec un trafic très élevé. Elles peuvent avoir différents formes comme les attaques volumétriques, qui innondent la cible avec un haut débit de données ou des attaques "d'épuisdement des ressources", qui visent à consommer toutes les ressources disponibles du système (CPU, upload...), ou encore des attaques sur des applications qui vont dans ce cas exploiter les failles spécifiques d'une app web. + +![Surcharge trafic](https://cf-assets.www.cloudflare.com/slt3lc6tev37/7xwaGxGINeyxavVbrXO6M1/24f139faac6094044adaa84c82394962/ddos_attack_traffic_metaphor.png) + +Pour mener une attaque DDoS, les attaquants utilisent souvent des botnets, c'est des réseaux d'ordinateurs infectés/hack qui sont contrôlés à distance. +Ces ordinateurs souvent obtenus par l'aide de logiciels malveillants, agissent sous le contrôle de l'attaquant sans que leur propriétaire ne s'en rende forcément compte. Les botnets permettent aux attaquants de mettre en place de manière coordonnée les attaques à grande échelle, ce qui donne plus de mal à la cible de détecter et contrer l'attaque + +Les mesures de protection contre les attaques DDoS demandent en général l'utilisation d'un pare-feu, un systèmes qui va détecter les intrus (système d'intrusion), des filtres de trafic... +Les fournisseurs de services Internet (alias FSI) et les hébergeurs peuvent aussi mettre en place des protections au niveau du réseau pour détecter et bloquer le trafic malveillant. + +En conclusion, une attaque DDoS est une cyberattaque qui vise à rendre un site web ou un service online indisponible en noyant ses ressources avec un trafic excessif qui vient de plusieurs ordinateurs infectés. Ces attaques exploitent les vulnérabilités de systèmes et elles peuvent causer des problèmes importants. La protection contre le DDoS nécessite des mesures de sécurité assez élevé pour garantir la disponibilité des services. + + + +### Objectif & conséquences +Les attaques DDoS peuvent avoir des conséquences négatives pour les organisations ciblées par l'attaquant. Ce que je veux dire par là c'est que les entreprises peuvent avoir des pertes de revenus, des atteinte à la réputation car si une entreprise de sécurité est DDoS elle serait directement moins bien vue que les autres tandis qu'un entreprise qui va résister à une attaque DDoS sera alors mise en avant, une perturbation des ventes qui frustrait les utilisateurs. Elles peuvent être lancées par des individus malveillants, des groupes organisés ou des organisations criminelles. + +Les attaques DDoS peuvent être utilisées à différentes fins, voici quelques raisons possibles d'une attaque DDoS: + +* La concurrence: +Un attaquant peut DDoS pour se débarrasser de la concurrence, c'est donc dû à des raisons financières. En mettant en œuvre une attaque DDoS, il empêche le site Web des concurrents de faire des affaires. +Une entreprise peut aussi se servir d’une attaque DDoS pour diminuer grandement l’activité d’une entreprise ou un magasin concurrent, et le couler financièrement. + +* Raisons politiques: +Cela peut être peut-être parce que l’attaquant n’aime pas une organisation politique et veut endommager son serveur. +On retrouve aussi les attaques DDoS dans des actions politiques. Les "hacktivistes" peuvent utiliser l’attaque DDoS pour "punir" à leur manière un service d’état ou couper la communication d’un groupe adverse. +Enfin, certains pays utilisent l’attaque DDoS pour contraindre les services d’un autre pays, et donc de cette manière déstabiliser l’action du gouvernement qui est ciblé. +Aux tout début de la guerre en Ukraine, la Russie a été accusée d’avoir lancé beaucoup d'attaques DDoS contre les services administratifs et bancaires ukrainiens.(21) + +* Chantage financier: +Un chantage financier peut être lancé par une organisation criminelle contre la promesse de ne pas paralyser des services d'une entreprise ou autre. + +* Leurre: +L’attaque DDoS sert parfois de leurre à une autre attaque, comme p.ex l’installation d’un ransomware/malware ou le vol de données privées. + +* Amusement: +Il se peut aussi qu’un attaquant le fasse parce qu’il le trouve drôle ou alors c'est simplement une façon de faire passer le temps. + + +## Techniques + +Avant de comprendre comment les différentes attaques DDoS fonctionnent, il faut savoir comment la connexion réseau est établie. +Le modèle OSI, ci-dessous, _"est un cadre conceptuel utilisé pour décrire la connectivité réseau en sept couches distinctes."_ (4) + +![OSI](https://cf-assets.www.cloudflare.com/slt3lc6tev37/6ZH2Etm3LlFHTgmkjLmkxp/59ff240fb3ebdc7794ffaa6e1d69b7c2/osi_model_7_layers.png) + + +Les attaques DDoS sont devenues plus sophistiquées au fil du temps, en utilisant des techniques comme l'amplification du trafic, l'utilisation de botnets, etc... + +### Attaques sur la couche d'application +Objectif de l'attaque : + +Parfois appelées attaques DDoS couche 7, ces attaques ont pour but d'épuiser les ressources de la cible pour créer un déni de service. + +Les attaques visent la couche où les pages Web sont créees sur le serveur et données en réponse aux requêtes HTTP. +Une requête HTTP ne coûte pas cher à exécuter du côté client, mais elle peut être cher pour le serveur cible qui pour y répondre doit souvent charger plusieurs fichiers et exécuter des requêtes de base de données afin de créer la page web. + +Ca n'est pas simple de se défendre contre les attaques visant la couche 7 car il peut être compliqué de différencier le trafic malveillant du trafic habituel. + +![Http flood](https://cf-assets.www.cloudflare.com/slt3lc6tev37/3jlyZeWRy9eBz3tyEk9mxA/96eab064524495e8f6b2647f1f7b9d60/application_layer_ddos_example.png) + +Exemple: +* HTTP flood: +Cette attaque est un peu comme si on actualiserait sans cesse un naviguateur web sur un grand nombre d'ordinateur à la fois. Cela donne lieu à un grand nombre de requête et submerge le serveur ce qui provoque un DDOS. + +Les mises en œuvre les plus simples peuvent accéder à une URL avec la même plage d'adresses IP, de référents et d'agents utilisateurs malveillants. Les versions plus compliquées peuvent utiliser énormément d'adresses IP malveillantes et cibler des URL random. + +### Attaques protocolaires +Les attaques protocolaires exploitent des faiblesses des couches 3 et 4 pour rendre la cible inaccessible. +Aussi appelées "attaques par épuisement des tables d'état", elles créent une interruption de services en consommant trop de ressources des serveurs ou les ressources comme le pare-feu. + +![SYN FLOOD](https://cf-assets.www.cloudflare.com/slt3lc6tev37/38KdcqNuv0l0jF4ohUI7bj/44a3f60c5352984258f72a1e69e1bbdd/syn_flood_ddos_example.png) +Exemple: +* SYN flood: +_"Dans le cas d'une attaque SYN Flood la situation est comparable à celle d'un employé qui travaille dans la réserve et qui reçoit les demandes du comptoir du magasin. +L'employé reçoit une demande, va chercher le paquet et attend une confirmation avant de le transmettre au comptoir. Il reçoit ensuite de nombreuses autres demandes de colis sans confirmation jusqu'à ce qu'il ne puisse plus transporter aucun colis, qu'il soit débordé et que les demandes commencent à rester sans réponse."_ (4) +Elle permet l'envoie à une cible d'un grand nombre de paquet SYN de requête d'initialisation de connexion TCP avec des IP sources illégales. La machine ciblée va alors répondre à chaques demande de connexion et ensuite attendre la dernière étape qui n'a jamais lieu à cause du grand nombre de demande d'initialisation. + +### Attaques volumétriques +Les attaques volumétriques utilisent des botnets qui sont créés à partir de plusieurs systèmes infecté par des malwares. Ils sont donc contrôlé par un attaquant et des bots sont utilisés pour DDoS la cible avec un trafic qui sature toute la bande passante disponnible. +![Aplification DNS](https://cf-assets.www.cloudflare.com/slt3lc6tev37/1FIBEeoyzoa64lVGlWKaRV/3b878bb03df1729b48cd3f667cdfe3de/amplification_ddos_example.png) + + + +## Mécanismes de protection contre les attaques DDoS +Il est important de mettre en place des mesures/mécanismes de protection contre les attaques DDoS pour prévenir ces problèmes. +Cela inclut la configuration correcte des infrastructures réseau, la surveillance du trafic, l'utilisation de pare-feu et de systèmes de filtrage du trafic. + +Filtrage du trafic : +Le filtrage du trafic est une technique souvent utilisée pour détecter et bloquer les attaques DDoS. Il consiste à analyser le flux de données entrant et filtrer les paquets en fonction de critères défini par l'entreprise. +Les filtres peuvent être basés sur des adresses IP, des protocoles ou même des ports. Les solutions de filtrage du trafic peuvent être mis en place au niveau du réseau, des serveurs ou des dispositifs de protection DDoS montés par l'entreprise si besoin. Les black lists et white lists sont aussi utilisées pour autoriser ou bloquer certaines adresses IP ou plages d'IP en fonction de leur réputation. + +Limitation de bande passante : +La limitation de bande passante permet de contrôler la quantité de trafic permis sur un réseau ou un système. Cette technique permet de réduire l'impact des attaques DDoS en limitant la bande passante allouée à certains types de trafic comme par exemple les requêtes qui proviennent de sources suspectes ou les trop grosses requêtes. + +Pare-feu : +Les pare-feu jouent un grand rôle dans la protection contre les attaques DDoS car ils surveillent et contrôlent le flux de trafic entre les réseaux. +Ils peuvent eux aussi être configurés pour bloquer les connexions suspectes ou les requêtes excessives liées aux attaques DDoS. Les pare-feu utilisent des "règles de filtrage "pour autoriser/bloquer le trafic en fonction de critères (adresses IP source, ports, protocoles ou motifs de trafic). + +Équilibrage de charge : +C'est une technique pour répartir la charge du trafic sur plusieurs serveurs. En répartissant équitablement les requêtes entrantes, ca réduit la vulnérabilité d'un serveur seul face à une attaque DDoS. + +Distribution géographique des serveurs : +"La distribution géographique des serveurs" consiste à déployer des serveurs dans différentes régions géographiques. En répartissant les serveurs dans des endroits différents, les attaques DDoS qui ciblent un seul emplacement ont moins de chance de réussir. De plus, cette approche permet de réduire la latence pour les utilisateurs éloignés (Cours théorique Dev3). + +## Exemples réels + +Les attaques DDoS ont eu un impact sur de nombreuses organisations ou entreprises et services en ligne. Quelques exemples concret d'attaques DDoS et les mesures de protection qui ont été mises en place : + +* Attaque DDoS contre GitHub (en 2018) : + GitHub a subis une technique d'amplification basée sur le protocole Memcached pour générer un trafic massif vers les serveurs de GitHub. + L'attaque a atteint un pic de 1,35 térabits par seconde (Tbps), ce qui a rendu les services de GitHub indisponibles pendant plusieurs minutes. Même si ca peut parraître minime, plusieurs minutes multiplié par le nombre d'utilisateurs c'est finalement assez énorme. + Pour se défendre contre cette attaque, GitHub a rapidement réagi en mettant en place un système de filtre du trafic et en travaillant en collaboration avec les fournisseurs de services Internet pour filtrer le trafic malveillant. Ils ont aussi mis en place une surveillance continue pour détecter et diminuer grandement les futures attaques. + +* Attaque DDoS contre Dyn DNS (en 2016) : + Cette attaque a ciblé les serveurs DNS de Dyn qui est un important fournisseur de services DNS et a perturbé l'accès à de nombreux sites Web connus tels que Twitter, Reddit et Netflix. L'attaque a été réalisée en exploitant des milliers d'appareils IoT mal sécurisés, tels que des caméras de surveillance, pour inonder les serveurs DNS de requêtes. Les mesures de protection mises en place après cette attaque par Dyn ont inclus: + l'amélioration de la sécurité des appareils IoT et la mise en place de mécanismes de détection des flux de trafic anormaux et l"a diversification des infrastructures DNS pour réduire l'impact potentiel d'attaques futures." + +Ces exemples d'attaques DDoS mettent en avant l'importance de la réactivité et la miste en place de protection solide contre les attaques extérieures. + +## Conclusion +En conclusion, les attaques DDoS représentent une menace pour les organisations/entreprises et les services en ligne. Il est très important de mettre en place des mécanismes de protection fonctionnels et robustes (section "Mécanismes de protection contre les attaques DDoS" ci dessus). +De plus, la préparation est un aspects clé pour contrer les attaques DDoS. + +Je pense pour ma part qu'il est important de rester à jour avec les dernières techniques d'attaque et de défense contre les attaques DDoS car les attaquants malveillant continuent d'évoluer leurs stratégies. + +## Bibliographie +1. Akamai ,[ Qu'est-ce qu'une attaque DDoS ? ](https://www.akamai.com/fr/glossary/what-is-ddos), consulté le 24/05/2023 +2. Kaspersky ,[Qu'est-ce qu'une attaque DDoS ?](https://www.kaspersky.fr/resource-center/threats/ddos-attacks), consulté le 24/05/2023 +3. Mathilde Saliou ,[C'est quoi, une attaque collective par saturation de service ?](https://www.numerama.com/cyberguerre/1099384-quest-ce-quune-attaque-ddos.html), 25 septembre 2022, consulté le 24/05/2023 +4. Cloudfare ,[Comment fonctionne une attaque DDoS](https://www.cloudflare.com/fr-fr/learning/ddos/what-is-a-ddos-attack/), consulté le 25/05/2023 +5. One ,[Qu’est-ce que le DDoS ?](https://www.one.com/fr/securite-de-site-web/qu-est-ceque-attaques-force-brute-ddos), consulté le 24/05/2023 +6. Frandroid ,[Qu’est-ce qu’une attaque DDoS ?](https://www.frandroid.com/culture-tech/securite-applications/1628765_quest-ce-quune-attaque-ddos), 22 mai 2023, consulté le 24/05/2023 +7. Combell ,[Qu’est-ce qu’une attaque DDoS, et comment puis-je m’en protéger ?](https://www.combell.com/fr/blog/comment-proteger-votre-site-web-contre-les-attaques-ddos/), 12 mai 2021, consulté le 24/05/2023 +8. ANSSI ,[Comprendre et anticiper les attaques DDoS](https://www.ssi.gouv.fr/uploads/2015/03/NP_Guide_DDoS.pdf), consulté le 24/05/2023 +9. Christophe Auberger ,[Comment se protéger des attaques DDoS](https://www.journaldunet.com/solutions/dsi/1150228-comment-se-proteger-des-attaques-ddos/), 17 février 2015, consulté le 24/05/2023 +10. Ahona Rudra ,[Mesures à prendre pour prévenir les attaques DDoS](https://powerdmarc.com/fr/steps-to-prevent-ddos-attacks/), 29 septembre 2022, consulté le 24/05/2023 +11. AfricaCyberMag ,[Comprendre et se protéger des DDoS](https://cybersecuritymag.africa/index.php/comprendre-et-se-proteger-des-ddos), 21 avril 2023, consulté le 24/05/2023 +12. Cloudflare ,[Famous DDoS attacks | The largest DDoS attacks of all time](https://www.cloudflare.com/learning/ddos/famous-ddos-attacks/), consulté le 25/05/2023 +13. Lily Hay Newman ,[GitHub Survived the Biggest DDoS Attack Ever Recorded](https://www.wired.com/story/github-ddos-memcached/), 1 mars 2018, consulté le 25/05/2023 +14. Wikipedia ,[Cyberattaque de 2016 contre Dyn](https://fr.wikipedia.org/wiki/Cyberattaque_de_2016_contre_Dyn), 25 mai 2022, consulté le 25/05/2023 +15. Jérôme Cartegini ,[GitHub subit une attaque DDoS massive sans précédent](https://www.lesnumeriques.com/informatique/github-subit-attaque-ddos-massive-sans-precedent-n72155.html), 6 mars 2018, consulté le 25/05/2023 +16. Fabrice Clerc ,[Retour sur l’attaque DDoS contre DYN DNS](http://www.mtom-mag.com/article2905.html), octobre 2016, consulté le 25/05/2023 +17. Jean Elyan ,[10 choses à savoir sur les attaques DDoS massives contre Dyn](https://www.lemondeinformatique.fr/actualites/lire-10-choses-a-savoir-sur-les-attaques-ddos-massives-contre-dyn-66325.html), 25 octobre 2016, consulté le 25/05/2023 +18. Wikipedia ,[Cloudflare](https://fr.wikipedia.org/wiki/Cloudflare), 16 septembre 2022, consulté le 25/05/2023 +19. DataNews ,[Cloudflare enregistre le plus grande attaque DDoS à ce jour](https://datanews.levif.be/actualite/cloudflare-enregistre-le-plus-grande-attaque-ddos-a-ce-jour/), 14 février 2022, consulté le 25/05/2023 +20. OVH ,[ Qu’est-ce qu’une attaque DDoS ? ](https://www.ovhcloud.com/fr/security/anti-ddos/ddos-definition/), consulté le 25/05/2023 +21. Steve Holland , [ Russia responsible for cyberattack against Ukrainian banks](https://www.reuters.com/world/us-says-russia-was-responsible-cyberattack-against-ukrainian-banks-2022-02-18/), 18 février 2022, consulté le 25/05/20223 \ No newline at end of file diff --git "a/S\303\251curit\303\251/DKIM.md" "b/S\303\251curit\303\251/DKIM.md" new file mode 100644 index 0000000..a7997cc --- /dev/null +++ "b/S\303\251curit\303\251/DKIM.md" @@ -0,0 +1,131 @@ +*** +# Synthèse sur DKIM + +## Qu'est-ce que DKIM et à quoi ça sert ? + +DKIM (DomainKeys Identified Mail) est une méthode d'authentification utilisée pour empêcher la falsification des adresses électroniques et renforcer la sécurité des courriers électroniques. +Elle offre un moyen fiable pour le serveur de messagerie du destinataire de vérifier l'authenticité du domaine de l'expéditeur. L'un des objectifs principaux de DKIM est de protéger +l'expéditeur contre les risques liés au spam en démontrant aux filtres anti-spam qu'il n'est pas un spammeur malveillant. En utilisant DKIM, les expéditeurs légitimes peuvent établir +leur crédibilité et améliorer l'envoi des courriers électroniques. + + +## Comment ça fonctionne ? + +Lorsqu'un courrier électronique voyage des serveurs de l'expéditeur à la boîte de réception du destinataire, il passe par différents serveurs intermédiaires. +Ce parcours expose le courrier électronique à des vulnérabilités potentielles, telles que des modifications non autorisées. DKIM agit comme une norme mondiale d'authentification des courriers électroniques, +sécurisant ainsi le contenu du courrier de l'expéditeur au destinataire à l'aide d'une signature cryptographique du corps du message. Cette signature garantit que le domaine de l'expéditeur +est légitime et que le message n'a pas été altéré pendant son transit. DKIM opère au niveau de la couche application du modèle OSI, offrant ainsi une protection pour les protocoles de messagerie tels que SMTP, +IMAP et POP, même lorsqu'ils sont utilisés de manière sécurisée. + +Une fois qu'un courrier électronique est envoyé depuis un domaine configuré avec DKIM, le serveur de messagerie de l'expéditeur génère une signature DKIM en utilisant une clé privée associée à la clé publique +enregistrée dans le DNS du domaine d'expédition. Cette signature est ajoutée au courrier électronique sous la forme d'un en-tête DKIM-Signature. + + +*** +Voici un exemple de signature DKIM dans un mail. + + +

+ +

+ +*** + +Lorsque le courrier électronique est reçu par le serveur de messagerie du destinataire, celui-ci extrait l'en-tête DKIM-Signature et utilise la clé publique récupérée à partir de l'enregistrement DKIM dans le DNS +pour vérifier la signature. Si la vérification réussit, cela confirme que le courrier électronique provient bien du domaine indiqué et qu'il n'a pas été modifié pendant le transit. +Cette vérification de l'authenticité du domaine de l'expéditeur offre une protection contre la falsification des adresses électroniques. Les destinataires peuvent avoir confiance que l'expéditeur +est réellement le propriétaire légitime du domaine mentionné dans l'en-tête DKIM-Signature. Cela permet de réduire les risques liés au spam, à l'hameçonnage +et à d'autres formes de courriers électroniques malveillants. + +En plus de l'authentification de l'expéditeur, DKIM assure également l'intégrité du message. Si le contenu du courrier électronique est modifié en cours de route, +la signature DKIM ne correspondra plus et la vérification échouera. Cela permet de détecter toute modification indésirable du message et d'alerter le destinataire. + + +## Comment configurer DKIM ? + +* La première étape consiste à générer une paire de clés DKIM composée d'une clé privée et d'une clé publique. La clé privée est utilisée pour signer les courriers électroniques sortants, +tandis que la clé publique est placée dans le DNS pour permettre la vérification des signatures par les serveurs de messagerie entrants. Vous pouvez utiliser des outils tels que [Dkim Core Tool](https://dkimcore.org/tools/) +ou d'autres outils spécifiques à votre serveur de messagerie pour générer les clés. + +Exemple d'une clé privée : + +![cléPrivée](https://github.com/Shayann37/Wiki-TI/assets/71373280/3ba86e12-28ef-4fc1-8b0d-fb6a3a36f127) + +Exemple de clé publique : + +![cléPublique](https://github.com/Shayann37/Wiki-TI/assets/71373280/ae201da0-149a-4a6c-9666-0fed72254255) + +*** + +* Une fois les clés générées, vous devez configurer votre serveur de messagerie pour utiliser DKIM. Les étapes précises varient en fonction du serveur de messagerie que vous utilisez. En général, +vous devrez ajouter des lignes de configuration spécifiques à DKIM dans les fichiers de configuration de votre serveur de messagerie. + +Voici un exemple de commande et de configuration que vous devez faire pour un serveur mail utilisant "Postfix" : + +1. Installer le paquet "OpenDkim" sur votre système +```code +apt-get install opendkim opendkim-tools +``` + +2. Ajouter les lignes suivantes dans le fichier de configuration Postfix +```code +milter_default_action = accept +milter_protocol = 2 +smtpd_milters = inet:localhost:8891 +non_smtpd_milters = inet:localhost:8891 +``` + +3. Ajouter les lignes suivante dans le fichier "/etc/opendkim.conf" +```code +Domain example.com //example.com doit évidement être changé par votre propre nom de domaine +KeyFile /path/to/private/key //changer le chemin par votre chemin d'accès à votre clé privée +Selector default +``` + +4. Définir la variable SOCKET dans le fichier "/etc/default/opendkim" +```code +SOCKET="inet:8891" +``` + +Si vous désirez avoir une explication et une démonstration plus approfondie sur la configuration de DKIM, n'hésitez pas à jeter un coup d'oeil sur ce [lien](https://fr-wiki.ikoula.com/fr/Installer_DKIM_sur_Postfix_sous_Debian). + +*** + + +* Maintenant votre serveur de messagerie configuré, vous devez ajouter un enregistrement DKIM au système DNS associé au domaine d'expédition. +Cet enregistrement est généralement un enregistrement TXT qui contient les informations de la clé publique DKIM, y compris le sélecteur DKIM. +Vous devez copier le contenu de la clé publique générée précédemment dans cet enregistrement TXT. + +*** + +* Dès la configuration effectuée, il est recommandé de tester et de vérifier que DKIM fonctionne correctement. Vous pouvez envoyer des courriers électroniques depuis votre domaine +configuré avec DKIM vers des adresses externes et vérifier les en-têtes des courriers électroniques reçus pour voir si les signatures DKIM sont présentes et valides (image d'exemple observable dans +la partie "Comment ça fonctionne ?). +Vous pouvez également utiliser des outils en ligne tel que [MxToolBox](https://mxtoolbox.com) pour vérifier la configuration DKIM de votre domaine. + +## Conclusion + +En résumé, DKIM est une méthode d'authentification qui ajoute des signatures cryptographiques aux messages électroniques, protégeant ainsi contre la falsification des adresses électroniques. +En permettant au serveur de messagerie du destinataire de vérifier l'authenticité du domaine de l'expéditeur, DKIM renforce la sécurité des courriers électroniques,prévient la manipulation +des messages et réduit les risques de spam et d'attaques de phishing. + +# Sources + +* Mantra, [SPF, DKIM et DMARC : pourquoi sont-ils importants et comment les configurer ?](https://fr.mantra.ms/blog/spf-dkim-dmarc-explication-parametrage). Consulté le 26 mai 2023 + +* Wikipédia, [DomainKeys Identified Mail](https://fr.wikipedia.org/wiki/DomainKeys_Identified_Mail). Consulté le 26 mai 2023 + +* Youtube, Docteur Internet, [Le DKIM c'est quoi ?](https://www.youtube.com/watch?v=nlAx8WMM5Z4). Consulté le 26 mai 2023 + +* DigitaWeb, Corentin Jacquemin, [DKIM : Comment le configurer ?](https://www.digitaweb.com/blog/dkim-comment-configurer). Consulté le 26 mai 2023 + +* Hostinger Tutorials, Roua K., 18 avril 2023, [C’est quoi DKIM ? Le Guide du Débutant (2023)](https://www.hostinger.fr/tutoriels/enregistrement-dkim). Consulté le 26 mai 2023 + +* Ikoula, [Installer DKIM sur Postfix sous Debian](https://fr-wiki.ikoula.com/fr/Installer_DKIM_sur_Postfix_sous_Debian). Consulté le 26 mai 2023 + +* OpenAi, [ChatGTP](https://chat.openai.com). Consulté le 26 mai 2023 + +*** + +Fait le 26 mai 2023 par GONZALEZ Shayann 2TL2 + diff --git "a/S\303\251curit\303\251/DNS Filtering.md" "b/S\303\251curit\303\251/DNS Filtering.md" new file mode 100644 index 0000000..55c1abd --- /dev/null +++ "b/S\303\251curit\303\251/DNS Filtering.md" @@ -0,0 +1,94 @@ +--- +layout: default +title: DNS Filtering +parent: Sécurité +--- +# DNS Filtering + +## Introduction + +Le DNS Filtering (ou filtrage DNS en français) est une technique utilisée pour contrôler et restreindre l'accès à Internet en fonction des noms de domaine demandés par les utilisateurs. Le DNS, qui signifie Domain Name System, est le système utilisé sur Internet pour traduire les noms de domaine en adresses IP, permettant ainsi aux utilisateurs d'accéder aux sites web en utilisant des noms conviviaux plutôt que des séries de chiffres. + +Le filtrage DNS s'appuie sur cette infrastructure pour bloquer, rediriger ou autoriser sélectivement les requêtes DNS en fonction de règles préétablies. Il peut être utilisé à différents niveaux, que ce soit au niveau de l'utilisateur individuel, du réseau domestique, de l'entreprise ou même d'un pays entier. + +## Fonctionnement du DNS Filtering [1][2][3][4][5] + +Les requêtes DNS sont dirigées vers un résolveur DNS. Certains résolveurs DNS peuvent agir comme des filtres en refusant de résoudre les requêtes pour certains domaines répertoriés dans une liste de blocage, empêchant ainsi les utilisateurs d'accéder à ces domaines. Le filtrage DNS peut également utiliser une liste d'autorisations au lieu d'une liste de blocage. + +Démontrons par un exemple pour mieux comprendre le fonctionnement du filtrage DNS : supposons qu'un employé reçoive un e-mail de phishing et clique sur un lien menant à malware-website.com. Avant que l'ordinateur de l'employé ne charge le site Web, il envoie une requête au service de résolution DNS de l'entreprise qui utilise le filtrage DNS. Si le site malveillant est présent dans la liste de blocage de l'entreprise, le résolveur DNS bloquera la demande, empêchant ainsi le chargement de malware-website.com et contrant l'attaque de phishing. + +Le filtrage DNS peut bloquer les sites Web soit par leur nom de domaine, soit par leur adresse IP : + +* Par domaine : le résolveur DNS n'effectue pas de recherche ou de résolution d'adresses IP pour certains domaines spécifiques. +* Par adresse IP : le résolveur DNS tente de résoudre les domaines pour toutes les adresses IP, mais s'il trouve une adresse IP figurant sur la liste noire, il ne la renverra pas à l'appareil qui a effectué la demande. + +## Qu'est-ce qu'une liste de blocage ? [1] + +Dans le DNS Filtering, une liste de blocage est une compilation de domaines ou d'adresses IP connus pour être nuisibles. Les fournisseurs de filtrage DNS utilisent ces listes pour empêcher l'accès à des sites dangereux. Ils peuvent se baser sur des listes partagées au sein de la communauté de la cybersécurité, créer leurs propres listes ou faire les deux. Certains filtres DNS analysent les pages Web et ajoutent automatiquement celles qui sont malveillantes à la liste de blocage. Par exemple, si un site comme example.com exécute un code JavaScript malveillant, example.com sera ajouté à la liste de blocage. + +Le filtrage DNS peut également bloquer des domaines qui ne sont pas directement liés à des logiciels malveillants ou à des attaques de phishing, mais qui hébergent du contenu interdit ou inapproprié. Par exemple, une entreprise peut décider d'ajouter des sites pour adultes à sa liste de blocage de filtrage DNS. + +En revanche, une liste blanche est une compilation de domaines ou d'adresses IP autorisés. Seuls les domaines ou adresses IP présents sur cette liste sont autorisés, tandis que tous les autres sont bloqués. + +## Utilisation du DNS Filtering [1][3][4] + +Bien que le filtrage DNS ne doive pas être la seule solution pour protéger les données de votre entreprise, il reste une mesure de sécurité très efficace. + +Il y a trois principaux cas d'utilisation du filtrage DNS. + +1. Bloquer les sites Web hébergeant des logiciels malveillants : +Les sites Web contenant des logiciels malveillants peuvent causer des dommages à votre entreprise. Une fois que les réseaux gérés par votre entreprise sont infectés par des logiciels malveillants, vous pouvez vous attendre à ce que vos opérations et votre productivité soient gravement perturbées. Le filtrage DNS est souvent la première ligne de défense contre de telles infections. +Les employés peuvent être induits en erreur ou redirigés vers des sites Web malveillants où des logiciels malveillants sont téléchargés sur leurs appareils. À partir de là, ces logiciels peuvent se propager dans toute l'infrastructure de l'entreprise et, s'ils ne sont pas contrôlés, finir par paralyser les opérations de l'entreprise. C'est pourquoi le filtrage DNS est une mesure judicieuse pour prévenir les violations de données de l'entreprise. + +2. Bloquer les sites de phishing : +Les attaques de phishing sont courantes pour compromettre l'ensemble du réseau d'une entreprise. Dans ce cas, les attaquants essaient de tromper vos employés pour qu'ils divulguent leurs informations de connexion. La protection contre le phishing est un cas d'utilisation connexe où les attaquants tentent d'escroquer les employés en les redirigeant vers un site Web qui semble légitime et qui demande un nom d'utilisateur et un mot de passe. Ces sites ressemblent souvent visuellement aux vrais sites, mais leurs noms de domaine et adresses IP sont différents. +Le filtrage DNS agit comme un filet de sécurité pour les employés qui pourraient involontairement tomber dans le piège du phishing. + +3. Bloquer l'accès aux sites Web interdits : +Vous souhaitez maximiser la productivité de votre équipe. Parfois, certains sites Web peuvent entraver cette productivité, ce qui peut avoir un impact sur votre entreprise. Vous pouvez utiliser des outils de filtrage DNS pour appliquer des politiques de contenu et de navigation sur Internet en bloquant l'accès aux adresses IP des sites Web que vous ne souhaitez pas que votre équipe visite. + +## Limitations du DNS Filtering [6] + +Le filtrage DNS présente certaines limites qui nécessitent l'utilisation d'autres méthodes complémentaires. Voici quelques exemples de ce qu'il ne peut pas faire ou de ses limitations : + +* Le filtrage DNS fonctionne de manière similaire aux logiciels antivirus traditionnels, en s'appuyant sur une base de données généralement gérée par le fournisseur de services. Cependant, cela signifie que les utilisateurs ne seront pas protégés contre les sites récemment créés qui ne sont pas encore répertoriés dans la base de données. La réactivité du fournisseur est cruciale pour assurer une protection efficace. + +* Les utilisateurs peuvent toujours accéder à des sites distrayants ou à du contenu illégal en utilisant le réseau de téléphonie mobile, contournant ainsi les filtres DNS. + +* Il est possible de contourner les filtres DNS en utilisant des mesures telles que l'utilisation d'un serveur DNS public ou d'un proxy. Ces méthodes doivent être bloquées à l'aide d'un pare-feu fiable. + +* Bloquer un grand nombre de sites Web peut agacer les travailleurs qui souhaitent effectuer des activités personnelles limitées et raisonnables pendant une pause ou un déjeuner. + +* L'utilisation du filtrage DNS sur les appareils personnels (BYOD) peut poser des problèmes lorsqu'il s'agit d'utiliser l'appareil de manière sécurisée à des fins personnelles, voire de se connecter à un réseau personnel dans certains cas. + +* Bien que les faux positifs soient rares avec le filtrage DNS moderne, ils peuvent toujours se produire. Cette limitation du filtrage DNS réside dans son blocage global au niveau du domaine. Un "faux positif" peut également indiquer une compromission du site auquel vous tentez d'accéder. Dans ce cas, il peut être difficile pour le propriétaire du site de le retirer de la liste bloquée. Si un site réputé est soudainement bloqué, il est recommandé de contacter son propriétaire pour l'en informer. + +* Les cybercriminels peuvent facilement changer de nom de domaine, créant ainsi une sorte de "course aux armements" entre les fournisseurs de filtrage et les escrocs. La plupart des cybercriminels abandonnent rapidement les sites qui ont été mis sur liste noire. + +* Le filtrage DNS n'est pas compatible avec DNSSEC, qui vise à protéger les utilisateurs contre les redirections malveillantes et les techniques de phishing utilisant ce que l'on appelle "l'empoisonnement DNS". Il est donc nécessaire de prendre en compte l'importance relative de ces deux aspects pour votre entreprise. Bien que le filtrage DNS soit plus utile pour de nombreuses entreprises, il est important de réfléchir à leur pertinence en fonction de votre secteur d'activité et du type de données traitées. + +## Filtrage DNS vs Filtrage Web [1][5] + +Il y a deux types de filtrage de contenu : le filtrage DNS et le filtrage Web. Le filtrage DNS restreint l'accès aux sites Web en se basant sur les requêtes DNS, tandis que le filtrage Web bloque l'accès à des sites Web spécifiques en fonction de leurs URL. Le filtrage DNS est souvent plus efficace que le filtrage Web, car il peut empêcher l'accès aux sites Web avant même qu'ils ne soient chargés. + +En général, les filtres DNS sont plus précis que les filtres Web. Les requêtes DNS sont souvent plus précises que les URL. Par exemple, une requête DNS pour "example.com" renverra toujours la même adresse IP. En revanche, selon votre région, l'URL example.com peut changer. De plus, votre connexion peut également influencer ces changements. + +Le filtrage Web prend généralement plus de temps que le filtrage DNS. Les requêtes DNS sont généralement résolues plus rapidement que les URL. De plus, le filtrage DNS peut entraver l'accès aux sites Web qui utilisent des connexions sécurisées (HTTPS). + +## Conclusion + +En conclusion, le DNS Filtering est une mesure de sécurité efficace pour contrôler et restreindre l'accès à Internet. Il permet de bloquer les sites malveillants, de prévenir les attaques de phishing et d'optimiser la productivité des utilisateurs. Cependant, il présente certaines limitations et doit être complété par d'autres méthodes pour renforcer la sécurité. + +## Bibliographie + +* [1] CloudFlare, [What is DNS filtering? | Secure DNS servers](https://www.cloudflare.com/learning/access-management/what-is-dns-filtering/), consultée le 23 mai 2023 + +* [2] Malwarebytes, [What is DNS filtering?](https://www.malwarebytes.com/cybersecurity/business/what-is-dns-filtering), consultée le 23 mai 2023 + +* [3] Cezarina Dinu, [What Is DNS Filtering and Why Does Your Business Need It?](https://heimdalsecurity.com/blog/dns-filtering/), version du 9 septembre 2022, consultée le 23 mai 2023 + +* [4] GoodAcces, [How DNS Filtering Can Help Secure Your Business](https://www.goodaccess.com/dns-filtering-explained-how-it-works-and-its-usage), consultée le 23 mai 2023 + +* [5] Beloslava Petrova, [What is DNS filtering? Do you need it?](https://www.cloudns.net/blog/what-is-dns-filtering-do-you-need-it/), version du 22 février 2022, consultée le 23 mai 2023 + +* [6] Paul William, [The Importance of DNS Filtering](https://www.appliedi.net/blog/the-importance-of-dns-filtering/), consultée le 23 mai 2023 \ No newline at end of file diff --git "a/S\303\251curit\303\251/IPsec.md" "b/S\303\251curit\303\251/IPsec.md" new file mode 100644 index 0000000..bb65b73 --- /dev/null +++ "b/S\303\251curit\303\251/IPsec.md" @@ -0,0 +1,127 @@ +--- +layout: default +title: IPSec +parent : Sécurité +--- +# IPSec ( Internet Protocol Security ) + +## Un peu d'histoire + +En informatique et plus particulièrement en réseau, les paquets IP sont les éléments principaux pour communiquer des données entre deux machines. +Dans ces paquets on y distingue deux grands types d'éléments à savoir, ceux pour les données et ceux contenant l’adresse de l’expéditeur et du destinataire. + +Screenshot 2022-06-02 at 14 59 04 + +Le point négatif de cette communication est l’absence de sécurité en effet les données des paquets ne sont pas cryptées de plus il n’est pas possible de vérifier l’authenticité de celles-ci également. + +C’est un gros problème vu que lors de cet échange de données, les paquets passent par différents routeurs. Elles peuvent donc être interceptées, lues, manipulées, modifiées à tout moment par une personne mal intentionnée. + +Pour faire face à cette situation et ainsi permettre un transfert de paquets de données sécurisés sur des réseaux publics, l’Internet Protocol Security ou IPsec a été développé. + +## IPSec + +« Internet Protocol Security » (IPSec) est une suite de protocoles conçue pour la suite de protocoles Internet TCP-IP standardisé par l’IETF (Internet Engineering Task Force) pour l’IPv4 mais aussi l’IPv6 permettant une communication sécurisée avec des réseaux IP qui ne sont pas dignes de confiance. La confidentialité, l’authenticité et l’intégrité de la circulation des données sont assurées par un système d'authentification et de cryptage . + +On peut répartir la suite des protocles IPSec en 3 groupes : + +- Protocoles de transfert : + + - AH ( Authentication Header ) + - ESP ( Encapsulating Security Payload ) +- Gestion des clés : + + - ISAKMP ( Internet Security Association and Key Management Protocol ) + - IKE ( Internet Key Exchange ) +- Base de données : + + - SAD ( Security Association Database ) + - SPD ( Security Policy Database ) + +### Protocoles de transfert AH et ESP + +Le protocole d'en-tête d'authentification (AH) fournit l'authentification de l'origine des données ainsi que l'intégrité de celles-ci[3] . Néanmoins, AH n'assure pas la confidentialité des données, celles-ci sont transmisses en claire ! +c'est pourquoi AH est utilisé en combinaison avec ESP. +Le protocoles ESP ou Encapsulating Security Payload est utilisé pour la confidentialité des données en les chiffrants. + +La combinaison de ces protocoles possède deux mode de fonctionnnemnt, le mode `Transport` où les machines sont connectées directement et le mode `Tunnel` qui permet de crée une connexion sécurisée entre deux réseaux IP. + +- Fonctionnement en mode Transport : + +Le mode transport a possède un temps de traitement rapide, mais ne sécurise que les données de l'utilisateur, les adresses source et cible restent non protégées c'est pourquoi ce mode ce mode ne peut être utilisé qu’entre deux machines, par exemple routeur à routeur ou ordinateur à ordinateur. + +- Il commence par crypter les données +- Ensuite il rajoute un entête intermédiaire entre l’entête du paquet et les données. + `Screenshot 2022-06-14 at 10 32 06` +- Fonctionnement en mode Tunnel : + + Le paquet recoit une nouvelle en-tête IP contenant les adresse source et cible ainsi que les données. + Ce mode permet de connectées deux réseaux entre eux. + +- Il commence par crypter le paquet contenant les données +- Ensuite il forme un nouveau paquet avec une nouvelle entête IP pour assurer l’intégrité de celui-ci et donc empêcher un pirate de connaitre + l’expéditeur et le destinataire. + +Screenshot 2022-06-14 at 10 31 58 + +### Gestion des clés IKE & ISAKMP + +IKE ou Internet Key Exchange est un procédé de gestion de clés permettant d'assurer la négociation entre deux entités afin de mettre en place un canal de communication sécurisé entre celles-ci. Ce dernier utilise l'algorithme Diffie-Hellaman pour l'échange des clés tout en combinaison avec ISAKMP . + +ISAKMP ou Internet Security Association and Key Management Protocol est un protocole défini par RFC 2408 pour établir une association de sécurité (SA) et des clés cryptographiques dans un environnement Internet.[6] + +- 1. On établit une connexion sécurisée en utilisant, soit les certificats de chaque partie, soit un mot de passe commun +- 2. Une fois les routeurs d’accord sur le type de sécurité, IKE ouvre un tunnel sécurisé + +![IKE](https://user-images.githubusercontent.com/43784062/170671902-771c40ec-7197-4f2e-8774-54dab0226f26.jpeg) + +### Base de données SAD & SDP + +Les informations nécessaires au transfert des paquets sont stockées dans deux bases de données en local à savoir SPD ( Security Policy Database ) et SAD ( Security Association Database ). + +Dans la base de données SDP on va retrouver les information permettant de déterminer le ou les protocoles à utiliser à savoir AH, ESP ou la combinaison des deux tant dit que dans la base de donnée SAD, on va retrouver les informations essentielles pour le protocole IKE à savoir les différentes clés de chiffrement. + +## Les points positifs et négatif d'IPSec + +Les avantages d’IPSec sont indéniables en matière de performance et de fiabilité. +Une fois le tunnel ouvert, les différentes formes de paquets de données (mail, ftp, voip,... ) peuvent être communiquées sans que des outils/applications n’aient à être installés. + +IPSec fourni également une grande sécurité pour le trafic de données interne des entreprises mais cela peut aussi réduire la vitesse de communication. +Deplus IPSec complique la traversée des NAT et Pare-Feu à cause de l’absence de notion de ports source/destination pou résoudre ceci, IPSec utilise une extension "Nat-Traversal, RFC 3947 et RFC 3948" [10 - 11] cette dernière propose d'encapsuler le protocoles ESP ou AH dans un paquet UDP afin de pouvoir plus facilement traverser NAT et Par-Feu.[5 - 7 - 8 - 9] + +## Exemple utilisation d'IPSec + +Voici un exemple d'utilisation IPSec en mode tunnel : + +Prennons par exemple une entreprise qui possède deux sites, celle-ci aimerait que ses deux sites puissent communiquer sur le même réseau de mainère sécurisée. Pour répondre à ce besoin elle va mettre en place un VPN pour relier les deux sites et utiliser la suite de protocoles IPSec afin de créer un tunnel sécursié entre les deux sites. + +![Screenshot 2022-06-08 at 15 47 43](https://user-images.githubusercontent.com/43784062/172632849-84ae322a-aad7-4681-88c0-fdca4b8bc8fc.png) + +Voici un exemple d'utilisation IPSec en mode transport : + +Prennons par exemple, une connexion bureau à distance sécurisée où une personne sur une machine A se connecte sur une seconde machine B ( ex : Teamviewer ). Pour établir une communication sécurisé entre sa machine et la seconde elle va devoir utiliser le mode Transport d'IPSec. + +![Screenshot 2022-06-08 at 16 19 19](https://user-images.githubusercontent.com/43784062/172640127-7c37ab62-fd3b-436b-b80e-e88c07368373.png) + +## Sources : + +[1] https://www.ionos.com/digitalguide/server/know-how/ipsec-security-architecture-for-ipv4-and-ipv6/, consulté le 26/05/2022, date article : 03/08/2016, auteur : /, Affiliation : ionos.com, titre artcile : Secure network connections with IPsec + +[2] https://www.frameip.com/vpn/, consulté le 26/05/2022, date article : /, auteur : /, Affiliation : frameip.com, titre artcile : RÉSEAU PRIVÉ VIRTUEL VPN + +[3] https://www.ibm.com/docs/en/i/7.1?topic=protocols-authentication-header, consulté le 28/05/2022, date article : 31/08/2021, auteur : / , Affiliation : ibm.com , titre article : Authentication Header + +[4] https://en.wikipedia.org/wiki/Internet_Security_Association_and_Key_Management_Protocol, consulté le 28/05/2022, date article : 25/05/2022, auteur : /, Affiliation : wikipedia.org, titre article : Association de sécurité Internet et protocole de gestion de clés + +[5] https://www.sstic.org/media/SSTIC2006/SSTIC-actes/Faiblesses_d_IPSec_en_deploiements_reels/SSTIC2006-Article-Faiblesses_d_IPSec_en_deploiements_reels-vanhullebus.pdf, consulté le 31/05/2022, auteusr :Yvan Vanhullebus , Affiliation : Netasq, titre article : Faiblesses d’IPSec en déploiements réels + +[6] https://www.rfc-editor.org/rfc/rfc2408.html, consulté le 31/05/2022 , date article : Novembre 1998 ,auteurs : D. Maughan & M. Schertler & M. Schneider & J. Turner , Affiliation : RFC, titre article : Internet Security Association and Key Management Protocol (ISAKMP) + +[7] https://www.rfc-editor.org/rfc/rfc3947.html, consulté le 31/05/2022, date article : Janvier 2005, auteurs :T. Kivinen & B. Swander & A. Huttunen & V. Volpe , Affiliation : RFC, titre article : Negotiation of NAT-Traversal in the IKE + +[8] https://www.rfc-editor.org/rfc/rfc2406.html, consulté le 31/05/2022, date article : Novembre 1998 , auteurs :S. Kent & R. Atkinson , Affiliation : RFC, titre article : IP Encapsulating Security Payload (ESP) + +[9] https://www.rfc-editor.org/rfc/rfc2402.html, consulté le 31/05/2022, date article : Novembre 1998 , auteurs :S. Kent & R. Atkinson, Affiliation : RFC, titre article : IP Authentication Header + +[10] https://www.rfc-editor.org/rfc/rfc3947.html, consulté le 31/05/2022, date article : Janvier 2005 , auteurs : T. Kivinen & B. Swander & A. Huttunen & V. Volpe , Affiliation : RFC, titre article : Negotiation of NAT-Traversal in the IKE + +[11] https://www.rfc-editor.org/rfc/rfc3948.html, consulté le 31/05/2022, date article : Janvier 2005 , auteurs :A. Huttunen & B. Swander & V. Volpe & L. DiBurro & M. Stenberg, Affiliation : RFC, titre article : UDP Encapsulation of IPsec ESP Packets diff --git "a/S\303\251curit\303\251/PGP.md" "b/S\303\251curit\303\251/PGP.md" new file mode 100644 index 0000000..1a56696 --- /dev/null +++ "b/S\303\251curit\303\251/PGP.md" @@ -0,0 +1,141 @@ +--- +layout: default +title: PGP +parent: Sécurité +--- + +# PGP + +## Introduction + +Avant de rentrer dans le vif du sujet en détails, il est intéressant de d'abord se remettre dans le Contexte et de se poser la question suivante : "Pourquoi utiliser PGP ?".
+ +Inventé en 1991, PGP ou "Pretty Good Privacy" est un système de chiffrement utilisé pour chiffrer des données, chiffrer des emails ainsi que des fichiers sensibles à travers différents logiciels se basant sur PGP lui-même. PGP s'impose rapidement comme un standard pour la confidentialité des emails et sa popularité repose sur 2 avantages significatifs.
+Premièrement, PGP est un "freeware" ou "logiciel gratuit" (pour les francophones) qui lui a permis de se propager assez rapidement parmi les utilisateurs désirant un niveau de sécurité supplémentaire sur leur transfert d'emails.
+Deuxièmement, PGP utilise le système de chiffrement asymétrique ce qui permet aux utilisateurs de communiquer de facon chiffré de bout en bout lors d'échanges de mails coté serveur (sans échanger leurs clés privées ce qui est un réel avantage en terme de sécurité et à moindre cout et assure le chiffrement de bout en bout des communications. [1] [6] + +## A quoi sert PGP ? + +### le chiffrement de Mails + +Le chiffrement des emails de bout en bout est le cas d'usage principal de PGP et est utilisé pour toute personne souhaitant effectuer des communications sécurisées et préserver la confidentialité des ses données.[1] [6] [5] + + +### la vérification de signatures numériques + +Outre le cas des mails, PGP est aussi utilisé pour la vérification de signature numériques, c'est à dire la vérification de l'identité d'un expéditeur d'un email. "Une signature numérique repose sur l’utilisation d’un algorithme pour combiner la clé de l’expéditeur avec les données qu’il envoie. Cette combinaison génère une » fonction hash » : un autre algorithme permettant de convertir un message en un bloc de données à taille fixe. Ce bloc est ensuite chiffré à l’aide de la clé privée de l’expéditeur." [lebigdata.fr/pgp-tout-savoir] [6] [5] + +le destinataire du message est alors capable de déchiffrer les données en utilisant la clé publique de l'expéditeur. Si un caractère du message à été altéré pendant l'échange du message, alors cela signifie que l'expéditeur n'est peut etre pas celui qu'il prétend... [1] [6] [5] + +### le chiffrement de fichiers + +Le chiffrement des fichiers est un autre cas d'usage de PGP et est utilisé pour toute personne souhaitant effectuer des échanges de dossiers ou fichiers sécurisées et préserver la confidentialité des données. [1] [5] + +
+ +## Fonctionnement et Concepts Théoriques + +PGP possède certaines caractéristiques semblables à d'autres systèmes de chiffrement tels que Kerberos, S/MIME ou encore un peu plus populaire : SSL. A un niveau basique le chiffrement PGP utilise une combinaison de 2 types de chiffrements c'est à dire, le chiffrement symétrique et asymétrique que l'on peut qualifier comme "a clef de sessions". [5] + +Avant de continuer, il est intéréssant de se renseigner sur que signifie les termes chiffrer, déchiffrer, crypter, décrypter et j'en passe car ses termes sont très souvent utilisés dans le domaine de l'informatique mais le signification ne sont pas exactement les mêmes et beaucoup d'entre nous n'utilise pas ses termes correctement.
+ +L'ensemble de ses termes fait partie du domaine de la cryptographie, c'est à dire l'ensemble des techniques qui permettent de rendre un message inintelligible. Le chiffrement des données consiste en l’utilisation d’une technique de cryptographie pour rendre un message clair illisible à l’aide d’une clé de chiffrement. Le principe fondamental est que cette clé doit être connue par le destinataire pour permettre le déchiffrement du message. c'est sur ce principe que repose le logiciel PGP. il éxiste plusieurs types de clés et chaque appareil ou utilisateur dispose de sa propre clé.
[7] + +Contrairement au chiffrement, le cryptage est souvent une confusion vis à vis du terme "chiffrement" ou l'on associe trop souvent les 2 termes et pour autant "chiffrer" n'est pas "crypter". en Effet, prenons le terme "décrypter", décrypter consiste à retrouver le texte original à partir d’un message chiffré sans posséder la clé de (dé)chiffrement. Décrypter ne peut accepter d’antonyme : il est en effet impossible de créer un message chiffré sans posséder de clé de chiffrement. c'est pourquoi le terme "crypter" est une simple erreur venant sans doute du mot "cryptographie" et qui est, en effet, une erreur de vocabulaire. [7] + +Revenons à notre chiffrement PGP et son Fonctionnement : + +Tout d'abord, PGP génère une clé de session aléatoire en utilisant un premier alogrithme. Cette clé est un très long nombre qui ne peut pas être deviné, et ne peut être utilisé qu’une seule fois.
+ +Ensuite, cette clé de session est chiffrée. Cette opération est réalisée à l'aide de la clé publique du destinataire du message. La clé publique est liée à l'identité d'une personne particulière et n'importe qui peut l'utiliser pour lui envoyer un message. L'expéditeur envoie sa clé de session PGP chiffrée au destinataire et celui-ci est en mesure de le déchiffrer à l'aide de sa clé privée. En utilisant la clé de session, le destinataire peut finalement déchiffrer le message. + +Enfin, pourquoi ne pas utiliser une simple méthode de chiffrement symétrique ? En effet, le chiffrement symétrique est une technique plus rapide et plus facile à mettre en place mais l'inconvénient est que la clé commune à l'expéditeur et au destinataire nécéssite d'etre partagée en texte brut, ce qui n'est pas sur du tout... +C’est la raison pour laquelle on utilise une clé de chiffrement publique pour chiffrer la clé de session. Ainsi, PGP combine l’efficacité du chiffrement symétrique et la sécurité du chiffrement par clé publique. + +Comprendre le chiffrement symétrique et asymétrique : -> Cookie Conneté
+ +Schéma de Chiffrement PGP:

+ +![test](https://github.com/edouardmais1/AdminSysII2.0/blob/main/IMG/PGP.png) + + +
+schéma rédigé via draw.io par Maisin Edouard + +
+ +## PGP, OpenPGP et GnuPG + +en raison des problèmes de brevets de PGP dans les années 90, PGP n'était pas toujours la solution la plus pratique à l'internationale, le Groupe de travail OpenPGP fur crée après la diffusion du code source de PGP, lui, protégé. OpenPGP est basé sur le système de chiffrement PGP et est lui aussi, une méthode de chiffrement basé sur un système de clés. OpenPGP est largement uutilisé pour sécuriser les communications par courrier électronique, mais sa technologie peut également être appliquée au transfert de fichier via FTP. [2] [1] + +GnuPG, lui, est une autre norme de chiffrement libre que les entreprises peuvent utiliser, basée sur OpenPGP. La principale différence avec le PGP réside dans les algorithmes pris en charges. GnuPG est un outil utilisé pour la communication et le stockage de données en toute sécurité. Il dispose d’un système de gestion des clés robuste et s’intègre facilement à d’autres applications. Il prend en charge : le chiffrement, la signature des données, S/MIME et SSH.[2] [8] + +
+ +## Quelle sécurité fournie par PGP ? + +Il est assez difficile de certifier à qu'une méthode de chiffrement est à 100% infaillible. Cela dit, PGP à maintenant plus de 30 ans et peu de vulnérabilités ont été détecter dans l'implémentation de base du système. De plus, son système de à 2 clés, son système de signature et le fait qu'il soit open-source contribuent tous à sa réputation comme l'un des meilleurs protocoles de cryptage. + + +## Algorithmes de chiffrement PGP + +Différents types d'algorithmes de chiffrements peuvent etre utilisés avec PGP bien que le populaire "RSA" soit l'un des plus courants étant donné sa robustesse. L'on peut noté d'autres algorithmes courament utilisés comme AES et autres. + +A noté que la taille d'un clé RSA peut varier sur des longueur de bits différents renforcant la sécurité. En effet, un clé chiffrée sur 1024 ou 512 bits (assez faibles) ne possedera pas la meme robustesse qu'une clé chiffrée sur 2048 ou 4096 bits... + +Il est interessant de noté que certains protocoles, logiciels ou certificats obligent l'utilisation de taille de clé RSA minimum afin d'assurer une confidentialité et robustesse accrue tout comme par exemple *SSL dont les clés minimum passeront de 2048 à 3072 bits* [https://www.ssl.com/fr/les-blogs/nouvelle-taille-de-cl%C3%A9-rsa-minimale-pour-les-certificats-de-signature-de-code/] + + +## Avantages et Inconvénients ? + +Le principal avantage de PGP est qu'il est presque impossible de contourner son chiffrement, ce qui explique sa populairité encore à l'heure actuelle. + +De plus, ses différentes extensions et les solutions qu'il apporte en fonction du type d'objet à chiffrer font de lui un logiciel très polyvalent. + +Néanmoins, le plus gros inconvénient de PGP reste sa compléxetité d'utilisation assez complexe et peut induire des failles de sécurité si celui-ci n'est pas utilisé correctement. + +à l'heure actuelle des solutions pretes à l'emploi sont disponibles, et il ne faut pas oublier que PGP n'offre malheureusement pas l'anonymat... En effet, meme si le contenu des messages est chiffré, il est possible de remonter jusqu'a l'identité de l'expéditeur ou du destinataire. + + +## Choisir son logiciel PGP + +Afin de choisir au mieux son logiciel PGP, il est essentiel de prendre en compte les critères à mettre en place concernant la sécurité à mettre en place ainsi que le type d'objet à sécuriser. +les Leaders en termes de logiciels PGP: + +- Gpg4o (Outlook): très populaire pour les utilisateurs Windows et permet de chiffrer les emails avec une interface intuitive.
+- GPGToolss (Apple MAil): populaire pour les utilisateurs Mac OS et permet de bénéficier de chiffrement pour les différents services d'un Mac (services Mail et applications). +- ProtonMail : utilisant directement le chiffrement PGP par défaut et permet donc de profiter du logiciel aisément. +
+ +## Conclusion + +En conclusion, PGP est logiciel de chiffrement de haute qualité et reste l'un des leaders à l'heure actuelle pour ses performances et sa polyvalence. Il met à disposition différents types de solutions en fonctions de différents besoin utilisateurs. Son système de chiffrement à double clés, son système de signature et son algorithme de chiffrement RSA font de lui l'un des logiciels les plus complets et sécurisé. + + + +## Bibliographie : + +1) - https://fr.wikipedia.org/wiki/Chiffrement_RSA, wikipédia, article en ligne dont la dernière modification date du 12 avril 2022
+ + +2) - https://fr1.buffalo-mn.org/pgp-me-pretty-good-privacy-explained-4745, buffalo.org
+ + + +3) - https://tutox.fr/2017/04/28/chiffrer-nest-crypter/, tutox.fr, publié le 28 avril 2017
+ + + +4) - https://www.malekal.com/le-chiffrement-pgp-comment-ca-marche/, malekal.com, dernière modification le 16 juin 2021
+ + +5) - https://www.varonis.com/fr/blog/pgp-encryption, varonis.com, dernière modification le 1er avril 2022 + +6) - https://www.lebigdata.fr/pgp-tout-savoir, lebigdata.fr, publié le 21 janvier 2021
+ + +7) - https://www.clicours.com/cours-fonctionnement-de-pgp-programme-de-cryptage/, clicours.com, dernière modification inconnue + + +8) - https://docs.microsoft.com/fr-fr/system-center/orchestrator/standard-activities/pgp-encrypt-file?view=sc-orch-2022, docs.microsoft.com, publié le 2 mai 2022
+ diff --git "a/S\303\251curit\303\251/SSH.md" "b/S\303\251curit\303\251/SSH.md" new file mode 100644 index 0000000..96c2064 --- /dev/null +++ "b/S\303\251curit\303\251/SSH.md" @@ -0,0 +1,109 @@ +--- +layout: default +title: SSH +parent: Sécurité +--- + +# Article sur SSH +![download](https://github.com/HaAymar/Wiki-TI/assets/71372488/d67e13d1-c6d2-4202-958a-9b9b8283d461) + +## SSH c'est quoi +SSH (Secure Shell) : Protocole de communication sécurisé qui nécessite l'échange de clés de cryptage en début de connexion pour garantir une communication sécurisée entre un client et un serveur à distance. Il permet d'authentifier l'utilisateur en toute sécurité, de chiffrer les données transmises et d'exécuter des commandes à distance. SSH est très utilisé pour accéder à distance à des systèmes informatiques, qui fourni une connexion fiable et sécurisée pour des tâches comme l'administration du système, le transfert de fichiers et le tunnel de port. + +## Protocoles SSH +Il existe 2 principales protocole SSH: +- SSH1 +- SSH2 + +### Difference entre SSH1 et SSH2 +- SSH1 : C'est la première version du protocole SSH qui a été développée. Elle utilise principalement l'algorithme de chiffrement asymétrique RSA pour l'authentification et le chiffrement des données. Cependant, SSH1 a été largement remplacé par SSH2 en raison de problèmes de sécurité et de vulnérabilités connues. Il est recommandé d'éviter d'utiliser SSH1 et de privilégier SSH2. +- SSH2 : C'est la version actuelle et largement utilisée du protocole SSH. Elle offre des améliorations significatives en termes de sécurité, de performances et de fonctionnalités. + +### Fonctions principales du SSH +- Authentification sécurisée +- Chiffrement des données +- Transfert de fichiers sécurisé +- Exécution de commandes à distance + +## Utilisation du Secure Shell +Le Secure Shell (SSH) est couramment utilisé pour accéder de manière sécurisée à des systèmes distants et exécuter des commandes à distance. +L'utilisation de SSH peut se faire avec un logiciel PuTTY ou sur le terminal macOs ou linux + +### PuTTY +![011500xnlg6t64fqgeggzz](https://github.com/HaAymar/Wiki-TI/assets/71372488/a37d7438-c048-4b4a-b085-317d4cf2ee23) + +PuTTY est un client SSH gratuit et open-source largement utilisé pour se connecter à des serveurs distants en utilisant le protocole SSH. Il est principalement utilisé sur les systèmes Windows, mais il existe également des versions disponibles pour d'autres plateformes. + +L'utilisation de PuTTY s'effectue après avoir téléchargé celui-ci [ici](https://www.putty.org/), après l'installation, il faudra sélectionner le protocole SSH. Par défaut, celui-ci est défini sur le port 22. +Pour plus d'information vous pouvez consulter ce site en [cliquant ici](https://www.hostinger.fr/tutoriels/connexion-ssh-windows-putty) + +![connect-config 399589842237e1bd21e24efe4d8052b5a5a77440462e3ab2f51a4c5019b74f19](https://github.com/HaAymar/Wiki-TI/assets/71372488/e1ffa45e-1abd-4610-bcfb-95f1a2fb9df6) + +### Utilisation sur le terminal (Linux et MacOs) +Après avoir ouvert le terminal, il existe plusieur commandes à effectuer pour se connecter en mode SSH : +- Connection SSH: + ``` + ssh username@hostname +``` + En fonction de la configuration du serveur distant, vous devrez vous authentifier. Vous pouvez utiliser un mot de passe ou une clé SSH. Si vous utilisez une clé SSH, votre clé publique devra se trouver dans le fichier `~/.ssh/authorized_keys` + +### Comment se connecter avec la clé SSH +![61c1b963247368113bbeef17_Secure Shell work](https://github.com/HaAymar/Wiki-TI/assets/71372488/bf0ed866-8e78-43eb-ad93-4301dffc07b2) + +Pour configurer l'authentification par clé SSH, vous devez prendre quelques étapes spécifiques. En premier lieu, vous avez besoin de générer une paire de clés publiques ou privées sur votre machine locale. Pour ce faire, il est possible d'utiliser l'utilitaire ssh-keygen en exécutant la commande suivante sur votre terminal: +- Creation d'une nouvelle clé sur le terminal: + ``` +ssh-keygen -t rsa +``` +Ensuite, suivez les étapes. Vous devrez préciser un emplacement pour sauvegarder la clé privée. Par défaut, elle est généralement sauvegardée dans le répertoire ~/.ssh/ avec le nom "id_rsa". Cliquez sur "Entrée" pour accepter l'emplacement par défaut. + +Vous devrez aussi définir un mot de passe(passphrase) afin de protéger la clé privée. Il est conseillé de choisir un mot de passe solide pour une sécurité optimale. +### Clé privée +C'est un fichier crucial pour l'authentification par clé SSH. Elle est générée sur votre machine locale et doit être gardée en sécurité. Voici l'emplacement de la clé privée: + ``` +cat ~/.ssh/id_rsa +``` +### Clé publique +Elle est dérivée de la clé privée et doit être partagée avec les serveurs à distance auxquels vous voulez vous connecter. Voici comment obtenir la clé publique. + +Une fois que vous avez généré la clé privée avec la commande précédente avec "ssh-keygen", vous pouvez afficher la clé publique en exécutant la commande suivante avec ".pub" qui signifie "publique" + ``` +cat ~/.ssh/id_rsa.pub +``` +La clé publique sera affichée dans votre terminal. Vous pouvez la copier intégralement. + +Après avoir généré votre clé privée et obtenu la clé publique, vous devez fournir la clé publique au serveur distant avec lequel vous souhaitez vous connecter. Généralement, le serveur SSH conserve la liste des clés publiques autorisées dans un fichier appelé "authorized_keys". + +Voici comment ajouter votre clé publique au fichier "authorized_keys" +1. Connectez-vous au serveur distant via SSH +``` +ssh username@IP_ADDRESS +``` + Ensuite entrez votre mot de passe.
+ +2. Une fois connecté, exécutez les commandes suivantes pour ajouter votre clé publique à l'authentification par clé +``` +mkdir -p ~/.ssh +echo "VOTRE_CLÉ_PUBLIQUE" >> ~/.ssh/authorized_keys +``` + +En suivant ces étapes, vous avez configuré SSH Key Authentication en utilisant les fichiers appropriés à l'emplacement correct.Ceci renforcera la sécurité de vos connexions SSH via une méthode d'authentification basée sur des clés asymétriques. +## Les avantages pour l'utilisations de SSH +- Protection contre des attaques de force brutale : SSH intègre des mécanismes pour protéger contre les attaques de force brutale. c'est-à-dire que si un attaquant essaie de deviner le mot de passe, le serveur SSH limite le nombre de tentatives de connexion et bloque automatiquement l'adresse IP source. + +- Tunneling sécurisé. : SSH permet de créer des tunnels sécurisés, ce qui signifie que le trafic réseau entre le client et le serveur peut être acheminé par un canal crypté. Ceci est particulièrement utile lorsque vous avez besoin d'accéder à des services à distance (comme des bases de données) par l'intermédiaire de réseaux non sécurisés. + +- Administration à distance : SSH permet de gérer facilement les serveurs à distance. Vous pouvez vous connecter à un serveur à distance par SSH et exécuter des commandes, éditer des fichiers de configuration, gérer les utilisateurs, etc. Ceci permet aux administrateurs système de gérer leurs systèmes à distance de façon sécurisée. + +- Portabilité: SSH est un protocole standard et est largement soutenu sur diverses plates-formes, y compris Linux, macOS et Windows. Ceci signifie que vous pouvez utiliser SSH pour vous connecter à des serveurs distants à partir de différentes machines, peu importe le système d'exploitation utilisé. + +## Bibliographie +- [1] [Definition ssh](https://fr.wikipedia.org/wiki/Secure_Shell) Consulté le 24/05/2023 +- [2] [Fonctions principales](https://www.paessler.com/fr/it-explained/ssh) Consulté le 24/05/2023 +- [3] [Difference entre SSH1 et SSH2](https://waytolearnx.com/2017/12/difference-entre-ssh1-et-ssh2.html#:~:text=SSH2%20n'est%20plus%20un,chiffrer%20les%20flux%20de%20donn%C3%A9es) Consulté le 24/05/2023 +- [4] [Se connecter avec PuTTy](https://kinsta.com/fr/blog/se-connecter-via-ssh/) Consulté le 25/05/2023 +- [5] [Comment se connecter avec la clé SSH](https://lecrabeinfo.net/se-connecter-en-ssh-par-echange-de-cles-ssh.html) Consulté le 25/05/2023 +- [6] [Les avantages pour l'utilisations de SSH](https://www.opportunites-digitales.com/ssh-tout-ce-que-vous-devez-savoir/) Consulté le 26/05/2023 +- [7][Se connecter sur un serveur distant](https://www.hostinger.fr/tutoriels/generer-cle-ssh) Consulté le 02/06/2023 + + diff --git "a/S\303\251curit\303\251/Systemes_de_detection_d_intrusion.md" "b/S\303\251curit\303\251/Systemes_de_detection_d_intrusion.md" new file mode 100644 index 0000000..dc5f7a2 --- /dev/null +++ "b/S\303\251curit\303\251/Systemes_de_detection_d_intrusion.md" @@ -0,0 +1,46 @@ +--- +layout: default +title: Systemes_de_detection_d_intrusion.md +parent: Sécurité +--- + +# Intrusion Detection Systems + +## Définition +Un système de détection d’intrusion détecte quand une personne n’étant pas censé avoir accès au système est présente sur ledit système. La détection peut avoir lieu à différents niveaux et la réaction de cas de détection d’intrus peut être passive ou active. +## Déploiement +Un IDS peut être déployé soit sur les hôtes d’un réseau, soit sur le réseau ou encore sur les deux. Ces deux IDS, IDS sur l’hôte (HIDS) ou sur le réseau (NIDS), diffèrent notamment sur la façon avec laquelle ils vont détecter un intrus. + +NIDS : L’IDS sur réseau étudie les en-têtes des paquets réseaux et plus particulièrement les adresses IP source et destination, les ports source et destination et les drapeaux IP/TCP. Il étudie aussi la charge utile du paquet. + +HIDS : L’IDS sur hôte, lui, étudie le trafic du réseau, comme il est déchiffré, les logs du système, la liste des processus, les appels système, le système de fichier, l’utilisation de la mémoire vive et du processeur. + +## Réaction +Les IDS sont par définition passifs. Leur but est la détection. En cas de détection, ils alertent ou note la détection d’un intrus dans le log. +Cependant, ils existent aussi des systèmes actifs. Ils sont appelés systèmes de prévention d’intrusion (IPS). Ils peuvent simplement abandonner les paquets notés comme intrus ou bloquer l’adresse IP source dans le firewall, bloquer le compte de l’utilisateur ou empêcher une exécution. + +## Utilisation malveillante et anomalie +L’utilisation malveillante est ce que l’IDS recherche à détecter alors que l’anomalie est la déviation de la norme. Pour que l’utilisation malveillante soit détectée, il faut définir ces utilisations malveillantes et comment les reconnaitre. Pour cela, on essaie de reconnaitre les signatures d’un type d’attaques. + +On peut diviser les résultats de détection en quatre catégories: + +* Le vrai positif, quand il y a une intrusion et qu’elle est détectée. +* Le faux négatif, quand il y a une intrusion mais qu’elle n’est pas détectée. +* Le faux positif, quand il n’y a pas d’intrusion mais que l’IDS croit en avoir détectée une. +* Le vrai négatif, quand il n’y a pas d’intrusion et que rien n’est détecté. + +En fonction de la sensibilité et de la spécificité de l’IDS, on va faire varier les résultats de détection. En augmentant la sensibilité, on augmente les chances de détecter les vrais positifs et en augmentant la spécificité, on diminue les chances de détecter de faux positifs. + +On peut à nouveau diviser les IDS en deux catégories, ceux qui se basent sur la détection d’utilisation malveillante et ceux qui se basent sur la détection d’anomalies. +Ceux basés sur l’utilisation malveillante ne pourront détecter que les attaques connues alors que ceux basés sur les anomalies peuvent détecter des attaques inconnues. + +Pour la détection d’anomalies, les HIDS regardent les traces d’appels système en créant un dictionnaire avec un paterne des appels systèmes utilisés et en détectant les appels systèmes inhabituels alors que les NIDS, qui ont le trafic réseau en clair, analysent la fréquence de caractères au sein de la charge utile du paquet. + + +## Evaluation de la précision +En utilisant des courbes ROC (Caractéristique d'exploitation du récepteur) permettent de comparer entre une sensibilité importante et une spécificité importante. +Ces courbes sont réalisées à partir de mesures sur un système. Il faut cependant faire attention aux taux de vrais positifs et de faux positifs à de l’erreur de taux de base. + +### Source + +* HERRMANN Dominik, “044-Network-Security-II”, Introduction to Security and Privacy, 2022 diff --git "a/S\303\251curit\303\251/TLS.md" "b/S\303\251curit\303\251/TLS.md" new file mode 100644 index 0000000..a95ad1e --- /dev/null +++ "b/S\303\251curit\303\251/TLS.md" @@ -0,0 +1,109 @@ +--- +layout: default +title: TLS +parent: Sécurité +--- + +# Transport Layer Security + +## Introduction +Transport Layer Security, ou TLS, a pour objectif de sécuriser les échanges effectués sur la couche transport. Il offre une surcouche à TCP, et permet aux protocoles applicatifs de bénéficier de conversations chiffrées de bout en bout [[1]](#bib1). Son cas d'utilisation le plus répandu est HTTPS (Hyper Text Transfer Protocol Secure), permettant la sécurité des opérations effectuées sur le web, mais TLS reste tout de même un standard populaire pour d'autres applications nécessitant un transport sécurisé, comme par exemple l'email, la messagerie, ou encore la téléphonie sur IP (VoIP). + +Voici les principales caractéristiques de TLS permettant d'assurer un transport des données de manière sécurisée : +- Chiffrement : protège la session grâce à une combinaison d'algorithmes symmétriques et asymmétriques, rendant les données inexploitables sans possession des clés cryptographiques. +- Authentification : permet d'assurer que les partis communiquants sont réellement qui ils prétendent être, grâce à des certificats TLS. +- Intégrité : vérifie la validité de chaque paquet grâce à son Message Authentication Code (MAC), permettant de détecter une altération ou perte de données. + +La première version de TLS a été initialement publiée en 1999 dans le [RFC 2246](https://datatracker.ietf.org/doc/html/rfc2246), et visait à succéder à SSL (Secure Sockets Layer), dont la dernière version, 3.0, a été dépréciée en 2015 ([RFC 7568](https://datatracker.ietf.org/doc/html/rfc7568)), pour des raisons d'obsolescence (insécurité, capacités limitées). + +La classification de TLS dans le modèle OSI est assez ambigüe en raison de ses caractéristiques. En effet, puisqu'il opère au dessus de TCP, il devrait se trouver dans une couche supérieure à la couche 4. Cependant, il transporte de manière fiable des données applicatives, cela pourrait définir un protocole de couche 4. En raison de ses objectifs de chiffrement, TLS est généralement classé dans la couche présentation [[2]](#bib2) [[3]](#bib3), responsable de la traduction des données. Notons cependant que le modèle OSI est plus complexe à appliquer dans ce cas-ci, et qu'il peut ne pas représenter la réalité qui est parfois impossible à généraliser. + +## Historique +Au début de l'ère d'Internet, les communications étaient effectuées en clair. De ce fait, des protocoles comme HTTP étaient extrêmement vulnérables, puisque les données étaient potentiellement exploitables par quiconque parvenait à mettre la main dessus. Il a fallu attendre le milieu des années 90 pour disposer de moyens permettant de sécuriser le traffic circulant sur Internet. + +### SSL 1.0 +En 1994, Netscape Communications s'apprêtait à publier la première version de son protocole Secure Sockets Layer, apportant une couche de sécurité au protocole TCP. Cependant, des vulnérabilités critiques ont rapidement été détectées, et cette version 1.0 n'a jamais été publiée. + +> "The actual history of SSL was that SSL 1.0 was so bad that Alan Schiffman and myself broke it in ten minutes when Marc Andressen presented it at the MIT meeting." [Phillip Hallam-Baker](https://en.wikipedia.org/wiki/Phillip_Hallam-Baker) [[4]](#bib4) + +### SSL 2.0 +En 1995, le protocole SSL a enfin été rendu disponible au public avec la version 2.0, et a servi de base à l'arrivée de la sécurité sur le web, avec la sortie du protocole HTTPS. Malheureusement, comme pour la version 1.0, des failles de sécurités ont rapidement été détectées dans SSLv2, comme par exemple de faibles algorithmes de chiffrement, ou bien une grande vulnérabilité aux attaques de type Man-In-The-Middle (interception du flux de données, permettant de prendre possession des clés, et donc de déchiffrer l'information). Ces raisons ont mené à sa dépréciation en 2011 ([RFC 6176](https://www.rfc-editor.org/rfc/rfc6176)). + +### SSL 3.0 +Les défauts des précédentes versions de SSL ont nécessité une reconception intégrale du protocole. C'est en 1996 que la version 3.0 voit le jour. Cette dernière, plus robuste, a été largement employée pendant des années. Certaines failles ont été détectées au fil du temps ([BEAST](https://learn.microsoft.com/en-us/archive/blogs/kaushal/taming-the-beast-browser-exploit-against-ssltls), [BREACH](https://www.breachattack.com/)), et c'est en 2014 que la découverte de l'attaque POODLE ([CVE 2014-3566](https://nvd.nist.gov/vuln/detail/CVE-2014-3566)) a officiellement mis un terme à la pertinence de SSLv3, qui a été déprécié en 2015 ([RFC 7568](https://www.ietf.org/rfc/rfc7568)). + +### TLS 1.0 +En janvier 1999, l'IETF (Internet Engineering Task Force) a inauguré la première version de TLS ([RFC 2246](https://datatracker.ietf.org/doc/html/rfc2246)), visant à succéder à SSL. Bien que TLS se base sur les spécifications du protocole SSL de Netscape, et les deux protocoles étant globalement assez similaire, l'apport principal de cette refonte intégrale est le passage vers un standard beaucoup plus libre. Il a été déprécié en 2021 ([RFC 8996](https://datatracker.ietf.org/doc/html/rfc8996)) + +### TLS 1.1 +Cette révision ([RFC 4346](https://datatracker.ietf.org/doc/html/rfc4346)) de TLS 1.0, datant de 2006, apporte des améliorations de sécurité et d'autres rectifications mineures. La vulnérabilité principale à l'origine de ce patch concernait le CBC (Cipher Block Chaining), mécanisme de défense dont la valeur pouvait être prédite, autorisant donc des attaques. TLS 1.1 a également été déprécié en 2021 par le [RFC 8996](https://datatracker.ietf.org/doc/html/rfc8996). + +### TLS 1.2 +En 2008, la version 1.2 de TLS a été publiée ([RFC 5246](https://datatracker.ietf.org/doc/html/rfc5246)). Cette dernière visait à améliorer la complexité cryptographique du protocole, notamment par une migration de certaines étapes de chiffrement de MD5/SHA-1 vers d'autres alternatives beaucoup plus puissants comme SHA-256. La négociation des algorithmes de chiffrement a également été améliorée. + +Depuis sa publication initiale, TLS 1.2 a subi des améliorations visant à conserver sa pertinence dans le temps ([RFC 6176](https://datatracker.ietf.org/doc/html/rfc6176), [RFC 8446](https://datatracker.ietf.org/doc/html/rfc8446#section-1.3)). TLS 1.2 est aujourd'hui la plus ancienne version encore supportée (99.9% en date du 02 mai 2024 [[5]](#bib5)), et sa dépréciation n'a pas encore été prévue. + +### TLS 1.3 +En août 2018, le [RFC 8446](https://datatracker.ietf.org/doc/html/rfc8446) annonce l'arrivée de TLS 1.3, avec un grand nombre d'améliorations, notamment : +- La dépréciation d'un bon nombre d'algorithmes de chiffrement (MD5, SHA-224, ...) et fonctionnalités (compression, renégociation) devenus obsolètes +- La séparation des mécanismes d'authentification et d'échange de clés au niveau des cipher suites (ensemble prédéfini d'algorithmes de chiffrement [[6]](#bib6)) +- L'instauration du mode [0-RTT](https://techdocs.akamai.com/property-mgr/docs/early-data-0rtt) (Zero Round-Trip Time) permettant au client récemment authentifié d'envoyer des paquets de données pendant l'initialisation de la session TLS ([handshake](#tls-handshake)). Cette addition élimine la nécessité d'attendre la réponse du serveur avant de commencer l'émission de données, mais le protocole devient alors sensible à de potentielles attaques Replay (duplication de paquets). + +TLS 1.3 est aujourd'hui la version la plus récente et robuste du protocole. Cette dernière est supportée à 70.1% en date du 02 mai 2024 [[5]](#bib5). Aujourd'hui, elle ne supporte que des algorithmes dont aucune vulnérabilité n'est connue. Malheureusement, il n'est pas à écarter l'option que des failles soient découvertes, et que TLS 1.3 devienne obsolète. + +## Fonctionnement +L'échange TLS est caractérisé par deux phases : +- La poignée de main/handshake, servant à initier la session, lors de laquelle le serveur procure son certificat permettant de vérifier son identité +- Le transfert de données chiffrées sous forme de Records, et dont l'intégrité et l'authenticité sont assurées par un Message Authentication Code (MAC) + +### Certificats +Pour parvenir à communiquer via TLS, un serveur a besoin d'une preuve d'identité, permettant au client de s'assurer que son interlocuteur est réellement qui il prétend être. Pour cela, TLS emploie des certificats (SSL en utilisait également, d'où la persistence de l'expression SSL certificate). + +Les certificats sont générés par des autorités tierces (Certificate Authorities ou CA) telles que [Let's Encrypt](https://letsencrypt.org/) ou [GlobalSign](https://www.globalsign.com), et octroyés après validation de l'authenticité du demandant. Un certificat contient des champs tels que le nom de domaine, la CA correspondante et sa signature, et une clé publique [[7]](#bib7) . + +Bien que principalement utilisés par les serveurs, les certificats TLS existent également pour les clients. Leur objectif d'authentification reste le même, et ils peuvent être utilisés notamment lorsqu'un serveur souhaite restreindre l'accès à des clients vérifiés, de manière plus sécurisée qu'un simple mot de passe. + +### Handshake + +L'initialisation de la session TLS est représentée par une four-way handhsake (poignée de main en quatre étapes). Elle a pour objectifs de négocier les algorithmes de chiffrement utilisés lors de la session, de valider l'authenticité du serveur (grâce à son certificat), et d'assurer l'échange des clés cryptographiques qui seront utilisées lors du transfert de données [[8]](#bib8) [[9]](#bib9) . Voici les échanges effectués lors cette four-way handshake : +1. ClientHello : Le client débute la conversation par un message ClientHello, contenant des informations telles que sa version de TLS, un nombre aléatoire qui servira à générer les clés de session et une cipher suite (liste ordonnée d'algorithmes supportés pour les différentes étapes de la conversation). +2. ServerHello / Certificate : Le serveur analyse le ClientHello et choisit la plus récente version de TLS supportée, une cipher suite correspondant à la proposition du client, et génère à son tour un nombre aléatoire. Il envoie également son certificat pour prouver son identité, ainsi qu'un ServerKeyExchange (si demandé par l'algorithme sélectionné pour l'échange de clés). +3. ClientKeyExchange / Finished : Le client envoie un message permettant l'échange de clés et un Finished indiquant qu'il est prêt à échanger de l'information chiffrée sous forme de Records. +4. Finished : Le serveur répond à son tour avec un Finished. Tout échange ultérieur nécessitera les clés cryptographiques pour être déchiffré. + +Notons que les étapes de la poignée de main son sujettes à plusieurs variantes. Par exemple, certains environnements nécessitent aussi une authentification du client (via son propre certificat) , et/ou le premier record pourrait être réceptionné avant le ServerHello si la mécanique 0-RTT est activée. + +Comme expliqué ci-dessus, plusieurs clés interviennent lors de la four-way handshake. Voici de brèves explications pour clarifier la terminologie employée dans le cadre de TLS : +- Clé publique : Il s'agit de la clé contenue dans le certificat du serveur, et est accessible à tout le monde. +- Clé privée : Seul le serveur possède cette clé qui lui a été conférée lors de la création de son certificat. Il l'utilise pour déchiffrer les messages chiffrés par sa clé publique. Elle n'a d'utilité que lors de la poignée de main qui permet de générer d'autres clés. +- Pre-Master Secret : Cette information est calculée grâce à une combinaison du ServerKeyExchange (si l'algorithme le demande), du ClientKeyExchange et de la clé publique. +- Master Secret : Cette clé est dérivée sur base du Pre-Master-Secret grâce à une PRF (Pseudo Random Function). La dérivation a pour objectif d'améliorer la sécurité cryptographique des clés, mais également d'assurer l'unicité du Master Secret pour chaque session. +- Clés de session : Le serveur et le client partagent une paire de clés symmétriques (deux clés identiques), qu'ils utilisent à la fois pour chiffrer et déchiffrer les Records. Elles sont générées par dérivation du Master Secret par une PRF, utilisant les nombres aléatoires partagés par le client et le serveur pour assurer des clés uniques en cas de Master Secret identique (reprise de connexion). + +### Message Authentication code (MAC) +Une fois que la session est initiée, le client et le serveur peuvent à présent envoyer et recevoir des données. Pour vérifier la validité de l'information, chaque Record sera accompagné d'un code d'authentification ou MAC. Lorsque le récepteur reçoit le message, il aura comme tâche de calculer son MAC en employant sa clé de session, afin d'assurer qu'il correspond à celui inclus dans le Record. + +Les deux partis doivent se mettre d'accord sur la méthode employée pour calculer les MAC. En effet, l'ordre des opérations à effectuer diffère pour les algorithmes MAC-then-Encrypt (d'abord calculer le MAC) et Encrypt-then-MAC (d'abord chiffrer le message). Notons qu'avec MAC-then-Encrypt, si le MAC n'est pas valide (pour quelconque raison), le récepteur aura effectué deux opérations avant de se débarasser du message. Encrypt-then-MAC propose une solution permettant d'écarter directement les Records altérés [[8]](#bib8) . + +## Alternatives +TLS est naturellement un standard très répandu dans le domaine des échanges applicatifs chiffrés. Cependant, il existe plusieurs alternatives permettant de répondre à des besoins similaires ou légèrement différents. En voici une liste non exhaustive : +- DTLS, Datagram Transport Layer Security (initialement décrit dans [RFC 4347](https://www.rfc-editor.org/rfc/rfc4347)) : tourne sur UDP, et offre donc un support pour différents protocoles applicatifs tels que SIP (Session Initiation Protocol) qui est utilisé notamment pour la VoIP et la communication vidéo. +- QUIC : protocole développé par Google pour permettre à HTTP de tourner par dessus UDP, utilisant un chiffrement similaire à TLS, et permettant de limiter la quantité d'information nécessaire à établir la connexion (assez lourde avec TCP). +- SSH, Secure Shell (initialement décrit dans [RFC 4253](https://datatracker.ietf.org/doc/html/rfc4253)) : protocole offrant un canal de communication sécurisé dans un environnement distant non sécurisé, dont les cas d'utilisation sont assez distincts de TLS, mais ayant recours à des méthodes très similaires pour atteindre ses objectifs. + +Ces protocoles, mais également bien d'autres plus ou moins répandus, permettent d'assurer différents types de communication de manière sécurisée. Notons qu'aucun n'a réellement pour objectif de remplacer TLS, qui dispose de ses cas d'usage bien définis, mais plutôt d'étendre les possibilités pour couvrir un maximum de cas de figure, et ainsi procurer des options sécurisées quels que soient les besoins de l'application. + +## Bibliographie +- [TLS Basics](https://www.internetsociety.org/deploy360/tls/basics/) [1], Internet Society, consulté le 10/12/2024 +- [A high level view of TLS/SSL](https://www.ibm.com/docs/en/informix-servers/15.0.0?topic=tls-high-level-view-tlsssl) [2], IBM, dernière modification le 19/11/2024, consulté le 10/12/2024 +- [Transport Layer Security](https://en.wikipedia.org/wiki/Transport_Layer_Security) [3], Wikipedia, dernière modification le 12/12/2024, consulté le 12/12/2024 +- [Crypto Standards v.s. Engineering habits](https://www.metzdowd.com/pipermail/cryptography/2013-October/018041.html) [4], Phillip Hallam-Baker, 04/10/2010, consulté le 11/12/2024 +- [SSL Pulse](https://www.ssllabs.com/ssl-pulse/) [5], Qualys Inc, 02/05/2024, consulté le 11/12/2024 +- [What are cipher suites?](https://www.networking4all.com/en/support/faq/what-are-cipher-suites) [6], Networking4all, consulté le 11/12/2024 +- [What is an SSL/TLS Certificate?](https://aws.amazon.com/what-is/ssl-certificate/) [7], Amazon Web Services Inc, consulté le 11/12/2024 +- [Computer Networking : Principles, Protocols and Practice](https://beta.computer-networking.info/syllabus/default/protocols/tls.html) [8], Olivier Bonaventure, dernière modification le 12/12/2024, consulté le 12/12/2024 +- [What happens during a TLS handshake?](https://www.cloudflare.com/learning/ssl/what-happens-in-a-tls-handshake/) [9], Cloudflare Inc, consulté le 12/12/2024 +- [SSL and TLS Protocols](https://wiki.openssl.org/index.php/SSL_and_TLS_Protocols), OpenSSL, dernière modification le 27/06/2017, consulté le 12/12/2024 +- [The Illustrated TLS Connection](https://tls12.xargs.org/), consulté le 12/12/2024 +- [The POODLE Attack and the End of SSL 3.0](https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-and-the-end-of-ssl-3-0/), Richard Barnes (Mozilla Corporation), dernière modification le 14/10/2014, consulté le 11/12/2024 +- [What is TLS (Transport Layer Security)?](https://www.cloudflare.com/learning/ssl/transport-layer-security-tls/), Cloudflare Inc, consulté le 11/12/2024 diff --git "a/S\303\251curit\303\251/etude_de_cas_hacking.md" "b/S\303\251curit\303\251/etude_de_cas_hacking.md" new file mode 100644 index 0000000..3987288 --- /dev/null +++ "b/S\303\251curit\303\251/etude_de_cas_hacking.md" @@ -0,0 +1,71 @@ +--- +layout: default +title: Etude de cas - Compromission d'un VPS +parent: Sécurité +--- + +# Etude de cas : Compromission d'un VPS + +En mai 2022, un des VPS utilisé dans le cadre de ce cours a été compromis : nous avons reçu un email de notification de la part du fournisseur indiquant que des tentatives d'intrusion sur le port SSH ont été commises depuis cette machine. Suite à cela, nous avons investigué la machine incriminée pour tenter d'en savoir concernant l'attaque subie, en nous inspirant de pistes proposées sur le [site Linux Hint](https://linuxhint.com/determine_if_linux_is_compromised/) [1]. + +## Observation des connexions réseaux + +Pour visualiser les tentatives de connection lançées depuis la machine, le bon vieil outil netstat est toujours utile. Contrairement au débugging de services, nous n'utilisons dans un premier temps pas l'option "l", car ce ne sont pas les ports "en écoute" qui nous intéressent, mais bien les connexions initiées depuis la machine. On peut voir dans l'output ci-dessous qu'il y a énormément de tentatives de connexion sur des ports 22 de machines distantes (ce qui correspond bien à la plainte reçue), et que ces tentatives de connexion ont parfois réussi (état ESTABLISHED). Pour les tentatives réussies, on voit que le coupable est le processus de pid 150510, associé à l'exécutable tsm. + + + $ sudo netstat -antp | more + Active Internet connections (servers and established) + Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name + tcp 0 0 127.0.0.53:53 0.0.0.0:* LISTEN 54381/systemd-resol + tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 53106/sshd: /usr/sb + tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 133699/nginx: maste + tcp 0 0 152.228.217.108:41524 94.26.246.51:22 TIME_WAIT - + tcp 0 0 152.228.217.108:41688 45.192.85.204:30945 TIME_WAIT - + tcp 0 0 152.228.217.108:55360 46.4.90.59:22 ESTABLISHED 150510/tsm + tcp 0 0 152.228.217.108:33044 91.121.71.10:22 TIME_WAIT - + tcp 0 0 152.228.217.108:52626 46.254.16.41:22 TIME_WAIT - + tcp 0 0 152.228.217.108:59622 212.122.43.13:22 TIME_WAIT - + tcp 0 0 152.228.217.108:55436 141.79.10.62:22 TIME_WAIT - + (etc.) + + +Nous pourrions également regarder les ports actifs depuis la machine, cette fois avec l'option -l. Cela permettrait de vérifier s'il n'y a pas un service "suspect" à l'écoute, par exemple en attente de commandes depuis la machine contrôlant l'attaque. Ce n'est pas le cas dans la situation analysée. + +Pour vérifier les dernières tentatives de login, on peut consulter le fichier .bash-history, soit directement, soit en utilisant la commande "last". Cependant, les attaquants nettoient souvent ce fichier après l'intrusion. Dans notre cas, aucune information utile n'y figure. + +## Analyse du processus incriminé + +Une fois le processus coupable identifié (dans notre cas, tsm), on peut en savoir plus à son sujet avec un ps -A ou bien un "top", comme le montre l'output ci-dessous. On voit que le processus tsm tourne avec l'utilisateur "node", et qu'il occupe une belle portion du CPU du VPS. Il s'agit donc de l'utilisateur qui a été compromis. On observe également un autre processus lancé par node et utilisant beaucoup de ressources : kswapd0 + + top - 08:53:08 up 3 days, 22:39, 1 user, load average: 43.06, 24.71, 21.26 + Tasks: 114 total, 2 running, 112 sleeping, 0 stopped, 0 zombie + %Cpu(s): 92.4 us, 3.7 sy, 0.0 ni, 0.0 id, 0.0 wa, 0.0 hi, 4.0 si, 0.0 st + MiB Mem : 1935.3 total, 145.7 free, 618.3 used, 1171.3 buff/cache + MiB Swap: 0.0 total, 0.0 free, 0.0 used. 1125.8 avail Mem + + PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND + 152194 node 20 0 4783328 12848 2372 S 81.4 0.6 3:05.02 tsm + 103921 node 20 0 714124 267052 2360 S 16.6 13.5 766:23.31 kswapd0 + 54387 root 19 -1 84148 21452 20232 S 0.3 1.1 0:33.83 systemd-journal + 153042 root 20 0 12172 6964 6144 S 0.3 0.4 0:00.01 sshd + 1 root 20 0 170836 11388 6816 S 0.0 0.6 0:36.37 systemd + 2 root 20 0 0 0 0 S 0.0 0.0 0:00.01 kthreadd + 3 root 0 -20 0 0 0 I 0.0 0.0 0:00.00 rcu_gp + 4 root 0 -20 0 0 0 I 0.0 0.0 0:00.00 rcu_par_gp + + +Quelques recherches Google concernant ces processus nous ont mené à [cet article](https://qastack.fr/ubuntu/1115770/crond64-tsm-virus-in-ubuntu) [2]. Suite à la lecture, nous avons pu vérifier que le compte utilisateur node avait effectivement une clé SSH autorisée dans son .ssh/authorised_keys. Cela permet à l'attaquant de se reconnecter à volonté sans mot de passe. D'autres recherches mènent à l'identification du processus kswapd0 comme dissimulant un malware de mining. + + +A ce stade, les investigations ont été arrêtées et le problème résolu par une réinitialisation complète du VPS, avec demande à l'étudiant de mettre en place directement l'authentification par clé, la désactivation du ssh par pwd, ainsi que Fail2Ban afin d'éviter de nouvelles compromissions. D'autres éléments auraient pu être investiguées sur base des pistes proposées par U. Asad [1], telles que les crontabs ou les logs, entre autres. + +Il aurait été possible de tenter de nettoyer le VPS en supprimant l'utilisateur node ainsi que les traces du malware, mais dans ce cas précis, puisqu'il n'était pas nécessaire de sauver des données, une réinitialiasion est plus simple et plus sûre car plus radicale. + +## Bibliographie +[1] Usama Asad, [How to determined if a linux system is compromised](https://linuxhint.com/determine_if_linux_is_compromised/), 2020, consulté le 20 mai 2022 + - Résumé : Article type "blog" en anglais listant des commandes/procédures permettant d'investiguer une éventuelle compromission sur un serveur Linux. + - Avis sur la ressource : Excellent article détaillant et expliquant de manière claire et assez complète des pistes génériques à suivre en cas de compromission. + +[2] Auteur anonyme [virus crond64 / tsm dans Ubuntu](), forum "QAStack", date du post inconnue, consulté le 20 mai 2022. + - Résumé : Post de forum témoignant de l'analyse d'une infection d'une machine Ubuntu par un processus tsm. + - Avis sur la ressource : Partage d'expérience d'un utilisateur particulier décrivant son cas spécifique. Donne des pistes intéressantes pour investiguer des situations similaires. diff --git "a/S\303\251curit\303\251/https.md" "b/S\303\251curit\303\251/https.md" new file mode 100644 index 0000000..b0b4d47 --- /dev/null +++ "b/S\303\251curit\303\251/https.md" @@ -0,0 +1,174 @@ +--- +layout: default +title: HTTPS +parent: Sécurité +--- +# HTTPS + +## Qu'est-ce que HTTPS ? + +Le HTTPS est un protocole permettant de sécuriser les échanges de données entre un serveur et un client, et de valider l’identité d’un site visité. Cette double sécurisation est essentielle : elle garantit la confidentialité des données et rassure les internautes qui se connectent à votre site web. + +C'est le protocole de transfert HTTP qui est encapsulé au sein d'une session SSL ou TLS. `
` + +

+ What's HTTPS?
+ Représentation du protocole HTTPS [7] +

+ +## Pourquoi HTTPS ? + +- Meilleur référencement et positionnement par l'algorithme de Google. +- Protéger les informations des internautes et de vos clients en évitant les attaques de l'homme du milieu ( l'interception du trafic). +- Éviter d’avoir le label “Non sécurisé” à l’affichage de votre site internet. +- Pour bénéficier de HTTP/2.0 `
` La norme n'impose pas HTTPS mais les navigateurs Firefox et Chrome requiert HTTPS pour se connecter à un site en HTTP/2.0. + +## Objectifs d'HTTPS + +1. Confidentialité : + + Les données échangées sont chiffrées à l'aide d'une clé et ne peuvent être déchiffrées par les deux parties. +2. Authentification : + + Le client vérifie que le serveur qu'il adresse est celui qu'il prétend être (ceci évite les attaques de l'homme du milieu). Au besoin, le client peut vérifier son identité auprès du serveur. +3. Intégrité : + + Les parties s'assurent que les données reçues n'ont pas fait l'objet d'une modification. +4. Transparence : + + Aucun changement nécessaire dans le protocole applicatif englobé. +5. Spontanéité : + + Un client peut spontanément se connecter à un serveur (pas de prérequis). + +### Comprendre le SSL/TLS [1] + +SSL signifie Secure Sockets Layer, qui est le nom du protocole lorsqu'il appartenait à Netscape. +Mais l'IETF (Internet engineering Task Force) a décidé d'en prendre le contrôle afin de le rendre plus ouvert et standardisé. +Mais pour éviter tous les problèmes légaux, il est renommé TLS pour « Transport Layer Security ». + +Aujourd'hui il n'y a plus que TLS mais on fait référence à SSL par abus de langage. + +### Versions SSL/TLS [4] + +- SSL 1.0 (jamais publié) par Netscape, +- SSL 2.0 en 1995, déprécié en 2011 par la RFC 6176, +- SSL 3.0/RFC 6101 en 1996 (refonte), déprécié en 2015 par la RFC 7568, +- TLS 1.0 / RFC 2246 en 1999 (modifications mineures), +- TLS 1.1 / RFC 4346 en 2006 (protections contre les attaques sur CBC), +- TLS 1.2/ RFC 5246 en 2008 (chiffrement authentifié ou AEAD via GCM et CCM), +- Mise à jour sur TLS 1.2 en 2011/ RFC 6176 (compatibilité SSL), +- TLS 1.3 / RFC 8446 en 2018 (compression, renégociation, MD5, SHA1, RC4, 3DES, PFS obligatoire, optimisation réseau (0-RTT) , SHA-256, Courbe elliptique 25519 & 448). + +### Rappels cryptographiques [2] + +Le chiffrement symétrique et asymétrique sont les deux techniques utilisées pour protéger la confidentialité de votre message sur internet. La différence fondamentale entre les deux réside dans le fait que le chiffrement symétrique permet de chiffrer et de déchiffrer le message à l'aide de la même clé. En revanche, le chiffrement asymétrique utilise la clé publique pour le chiffrement et une clé privée pour le déchiffrage. + +| | Chiffrement symétrique | Chiffrement asymétrique | +| :---------: | :------------------------------------------------------: | :--------------------------------------------------------------: | +| Définition | Une seule clé pour le chiffrement et le déchiffrement. | Une clé différente pour le chiffrement et le déchiffrement. | +| Performance | Rapide en exécution. | Lent à l’exécution en raison de la charge de calcul élevée. | +| Algorithmes | AES, DES, 3DES et RC4. | Diffie-Hellman, RSA. | +| Objectif | Utilisé pour la transmission massive des données. | Souvent utilisé pour l'échange des clés secrètes. | + +## Authentification [3] + +Un certificat c'est comme la carte d'identité d'un serveur, il permet d'assurer que vous êtes bien la personne que vous prétendez être. Pour cela, il faudrait passer par une autorité de certification (autorité reconnue, validée, sûre, qui peut délivrer des certificats). Il faudrait donc prouver que nous sommes le propriétaire du site à l'autorité de certification et, si tel est le cas, nous recevons ce certificat. + +Il existe 3 types de certificats. + +1. `` Validation de domaine `
` + Simple vérification sur l’appartenance du domaine. +2. `` Validation d’organisation `
` + Vérification de l’identité du propriétaire (carte d’identité, SIRET, etc). +3. `` Validation étendue `
` + Enquête sur le propriétaire (vérification d’une présence physique, opérationnelle et juridique), permet l’affichage du propriétaire dans la barre d’adresse). + +## Mise en pratique [5] + +Si vous avez un site HTTP en production sous apache et que vous souhaitez le mettre en HTTPS, la solution la plus simple consiste à utiliser l'outil [Certbot](https://doc.ubuntu-fr.org/apache2#activation_du_module_ssl) de [Let's Encrypt](https://letsencrypt.org/fr/). + +L’objectif de Let’s Encrypt et du protocole ACME est de permettre la mise en place d’un serveur HTTPS et l’obtention automatique d’un certificat de confiance, reconnu nativement par les navigateurs, sans intervention humaine. Ceci est accompli en exécutant un agent de gestion de certificat sur le serveur Web. + +Voici les étapes à suivre : + +Pour que le protocole TLS fonctionne sous Apache2, vous devez activer le module ssl à l'aide de la commande : + +``` +sudo a2enmod ssl +``` + +puis recharger la configuration d'Apache 2 : + +``` +sudo systemctl reload apache2 +``` + +Mise en place de HTTPS avec Certbot, pour celà il faut que votre service web Apache soit déjà configuré, fonctionnel et accessible au public. + +Installation de Certbot + +``` +sudo apt install python3-certbot-apache +``` + +Certbot permet ensuite de générer tous les certificats et d'adapter les configurations d'Apache pour tous les noms de domaine associés aux hôtes virtuels au moyen d'une seule commande : + +``` +sudo certbot --apache +``` + +À l'aide de l'option `–apache`, Certbot crée et active automatiquement les fichiers de configuration pour les serveurs virtuels HTTPS sur le port 443. + +Au cours de l'opération, le script nous demande de vérifier les domaines pour lesquels nous voulons obtenir les certificats et de choisir d'utiliser HTTPS ou non. Acceptés tous et forcer le HTTPS. + +Après cette opération les sites devraient être accessibles en HTTPS de manière sécurisée. + +Vous trouverez une documentation plus détaillée à ce sujet sur [cette page](https://doc.ubuntu-fr.org/tutoriel/securiser_apache2_avec_ssl) de la documentation. + +
+ +## Conclusion + +Voilà, nous avons terminé ! Nous avons appris ce qu'est le HTTPS et comment le mettre en place. + +- dites TLS et pas SSL (déprécié!) +- HTTPS bientôt le « défaut » +- commencez vos nouveaux projets en HTTPS (même en dev pour s'approcher de la réalité !) +- Soyez à jour, testez régulièrement votre site et actualisez sa configuration +- Utilisez les outils d'automatisation TLS (Let’s encrypt/ACME) + +## Bibliographie + +1. [Qu’est ce que SSL/TLS et HTTPS ?](https://www.hostinger.fr/tutoriels/quest-ce-que-ssl-tls-et-https), Bernadeta Kairyte, 08 mars 2022, consulté le 1er mai 2022. + + - Résumé : Présentation des protocoles de chiffrement et de sécurité. + - Avis sur la ressource : Très bon résumé concernant le protocole SSL/TLS et HTTPS. +2. [Différence entre le cryptage symétrique et asymétrique](https://waytolearnx.com/2018/07/difference-entre-le-cryptage-symetrique-et-asymetrique.html#comment-2889), Anonyme, 23 juillet 2022, consulté le 30 avril 2022 + + - Résumé : Explication de la différence entre le cryptage symétrique et asymétrique. + - Avis sur la ressource : Resumé assez court mais très pertinent. +3. [Types de certificats SSL : Lequel convient le mieux à votre site ?](https://kinsta.com/fr/blog/types-de-certificats-ssl/), Salman Ravoof, 28 juillet 2021, consulté le 01 mai 2022 + + - Résumé : Les différents types de certificats SSL. + - Avis sur la ressource : Explication dans les grandes lignes. +4. [SSL/TLS and PKI History](https://www.feistyduck.com/ssl-tls-and-pki-history/), Ivan Ristić, février 2022, consulté le 27 avril 2022 + + - Résumé : L'histoire du protocole SSL/TLS et de la PKI. + - Avis sur la ressource : Résume assez long mais très pertinent. +5. [Utiliser HTTPS avec Apache2](https://doc.ubuntu-fr.org/tutoriel/securiser_apache2_avec_ssl), Gabriel Theuws, 16 mars 2021, consulté le 25 avril 2022 + + - Résumé : Mise en place de certbot dans un ser apache. + - Avis sur la ressource : Les etapes de configuration sont très bien expliquées. +6. [Mettre son site en ligne (4/4) : Comprends le SSL / HTTPS](https://www.youtube.com/watch?v=_UpuZ0Y3k-c), Jonathan Boyer, 24 février 2016, consulté le 26 avril 2022 + + - Résumé : Vidéo expliquant le fonctionnement des protocoles SSL/TLS et HTTPS. + - Avis sur la ressource : Video de qualité et les démonstantions sont bien illustrées. +7. [Représentation HTTPS](https://www.oni.fr/wp-content/uploads/2018/07/est-ce-que-le-https-est-bon-pour-le-seo-1.jpg), Camille DOSTIE, 03 Juillet 2018, consulté le 08 mai 2022 + + - Résumé : Image expliquant le protocole HTTPS. + - Avis sur la ressource : Images bien illustrées. +8. [HTTPS n’aura plus de secret pour vous](https://www.youtube.com/watch?v=NCPgs4YlijU&t=2186s), Grégory Paul, 09 mai 2016, consulté le 01 mai 2022 + + - Résumé : Conférence Devoxx sur le protocoles HTTPS. + - Avis sur la ressource : La vidéoconférence est présentée par quelqu'un de très compétent en la matière. diff --git "a/S\303\251curit\303\251/protocoles_vpn.md" "b/S\303\251curit\303\251/protocoles_vpn.md" new file mode 100644 index 0000000..3aaa515 --- /dev/null +++ "b/S\303\251curit\303\251/protocoles_vpn.md" @@ -0,0 +1,220 @@ +--- +layout: default +title: Protocoles VPN +parent: Sécurité +--- +# Les protocoles VPN + +## Introduction : + +Les connexions VPN (Virutal Private Network) permettent de créer un lien sécurisé entre deux points, elles sont utilisées par les entreprises pour fournir à leurs employés un moyen d'accéder au réseau interne ou à des ressources internes depuis un ordinateur ou un réseau distant. Les connexions VPN sont chiffrées ce qui rend le trafic opaque pour les personnes non autorisées. Il existe aussi des connexions VPN commerciaux destinés aux internautes pour chiffrer leurs trafic et garantir leurs anonymat ainsi que contourner la censure. Cet article est consacré aux VPN qui passent à travers internet, donc n'abordera pas les VPN privés tel que les VPN MPLS. + +La première connexion VPN a été développé par un employé de Microsoft en 1996. Il a développé le “point-to-point tunneling protocol” (PPTP). + +Il existe trois types de connexions VPN : + +1- Site to Site VPN => entre deux réseaux d’entreprise + +![image](https://user-images.githubusercontent.com/71373221/172702429-810763b1-7064-47d3-82c4-985e9d6fa493.png) + +2- Client to Site VPN => entre un équipement client et un réseau d’entreprise. + +![image](https://user-images.githubusercontent.com/71373221/172702490-6885a770-2e6d-4a71-a2a5-700b60072871.png) + + 3- SSL-VPN: Les entreprises utilisent des VPN SSL pour permettre aux utilisateurs distants d'accéder en toute sécurité aux services offert , ainsi que pour sécuriser les sessions Internet des utilisateurs qui accèdent à Internet depuis l'extérieur du réseau de l'entreprise. + +![image](https://user-images.githubusercontent.com/71373221/172167250-c4a129a1-8677-4987-a332-770f594a8b81.png) + +Le choix du protocole VPN à utiliser se base sur trois facteurs: + +1- Les algorithmes de chiffrement utilisés donc le niveau de sécurité et de cryptage offert + +2- La vitesse de navigation + +3- La facilité de mise en place + +## Les protocoles VPN + +### PPTP signifie Point-to-Point Protocol + +C’est le protocole VPN le plus ancien, ses plus gros avantages sont la vitesse qu’il offre et la facilité de configuration. Son cryptage est faible (128 bits) donc facilement piratable + +• Ce protocole est compatible avec toutes les plateformes : Windows, Linux, macOS, iOS, Android, Tomato, DD-WRT et d’autres systèmes d’exploitation et appareils. + +• Pour établir une connexion PPTP il faut l’adresse du serveur, un nom d’utilisateur et un mot de passe. + +• Utilisation des clés de cryptage jusqu’à 128 bits. + +• Utilise le chiffrement MPPE (Microsoft Point-to-Point Encryption). + +PPTP est un protocole de niveau 2, le principe de ce protocole est de crypter et compresser des trames PPP et de les encapsuler dans un datagramme IP. Les données du réseau local sont encapsulées dans un message PPP, qui est lui-même encapsulé dans un message IP. +Le schéma suivant montre comment un paquet PPTP est assemblé. + +![image](https://user-images.githubusercontent.com/71373221/172167318-0a443f0d-833c-4158-bf44-e4ae609382c6.png) + +### L2TP/ Ipsec + +L2TP ou Layer 2 Tunneling Protocol fusionne les meilleures fonctionnalités des deux protocoles de tunneling PPTP (Point-to-Point Tunneling Protocol) et L2F (Layer 2 Forwarding Protocol). Il est compatible avec plusieurs plateformes. +Il encapsule les données deux fois, ce qui peut ralentir la connexion. Cependant, il compense cela en fournissant le processus de cryptage/décryptage dans le noyau et en permettant le multithreading. + +• Très sécurisée - fonctionne avec les algorithmes de cryptage AES et 3DES (clé 256 bits) + +• Prend en charge une large gamme de systèmes d'exploitation et mobiles + +• L2TP utilise IPSec pour une sécurité supplémentaire + +• Établissement de liaison fiable - utilise le port UDP 1701, le port 500 et le port 4500 + +• L2TP est une bonne option si la sécurité est plus importante pour la connexion VPN que la vitesse. + +• Très facile à configurer + +L2TP est un protocole de niveau 2, le principe de ce protocole est de crypter des trames PPP et de les encapsuler dans un datagramme IP qui est crypté avec IPsec. +IPsec permet de sécuriser les échanges au niveau de la couche réseau. +Le schéma suivant montre comment un paquet L2TP/IPsec est assemblé. + +![image](https://user-images.githubusercontent.com/71373221/172167379-f74de74f-d68d-41e8-a7b7-a07404487c39.png) + +### SSTP (Secure Socket Tunneling Protocol): + +SSTP est un protocole VPN développé par Microsoft pour remplacer PPTP et L2TP/IPSec. Il a été introduit pour améliorer la sécurité des transferts de données et éviter les blocages des pare-feu. Il utilise SSL/TLS, des négociations de clés sécurisées et des transferts cryptés. +Lorsqu'un client établit une connexion VPN basée sur SSTP, il établit d'abord une connexion TCP au serveur SSTP via le port TCP 443. L'établissement de liaison SSL/TLS se produit via cette connexion TCP. + +• Disponible sur Linux et Mac OS X mais il est utilisé principalement sur Windows. + +• SSTP utilise le chiffrement AES-256 (Advanced Encryption Standard) + +• Facile à installer et à configurer + +• Utilise TCP sur le port 443 ce qui le rend difficile à bloquer + +SSTP est un protocole de niveau transport , les paquets IP sont chiffrés, encapsulés puis transportés dans un canal SSL. +Le schéma suivant montre comment un paquet SSTP est assemblé. + +![image](https://user-images.githubusercontent.com/71373221/172168007-9ef2bcdf-a25c-4acf-98d2-f666cbda1b03.png) + +### IKEv2/IPsec : Internet Key Exchange version 2 with IPsec + +IKEv2 est un protocole de tunnellisation. Il est associé à IPsec pour assurer la sécurité du trafic internet. Il est plus rapide que les autres protocoles grâce à la prise en charge de MOBIIKE. +• Très sécurisée - Prend en charge plusieurs versions d’AES. + +• IKEv2 est pris en charge par moins de systèmes et de logiciels que L2TP/IPSec + +• IKEv2 utilise le port 500 du protocole UDP, donc peut être bloqué par un pare-feu. + +• Connexion stable et cohérente + +IKEv2 est un protocole de niveau application, il permet l’échange de clés secrètes de façon sécurisée. Le principe de ce protocole est de chiffrer des messages en utilisant des clés pré-partagées. IPsec permet de sécuriser les échanges au niveau de la couche réseau. +IKE combine des éléments issus de protocoles différents : + +- ISAKMP : Internet Security Association and Key Management Protocol (RFC 2408) +- OAKLEY : Oakley Key Determination Protocol (RFC 2412) +- DOI : IPSec Domain of Interpretation (RFC 2407) + +Le schéma suivant montre l’emplacement de IKE et IPsec dans les couches TCP/IP. + +![image](https://user-images.githubusercontent.com/71373221/172167414-8ffaa2f6-dc8e-4c1b-b80c-b58e895b7f19.png) + +### OpenVPN + +C’est le protocole VPN le plus utilisé, il est compatible avec plusieurs équipements. Il offre une forte sécurité et ne ralentit pas la connexion internet, il est open source donc fiable. +• Bien adapté aux appareils mobiles et toutes les plateformes. + +• Très sécurisée - Il crypte les données avec un chiffrement complexe, notamment AES et Camellia, des algorithmes de chiffrement 256 bits. + +• Il s’appuie sur SSL/TLS pour l’authentification et le cryptage. + +• Utilisation du chiffrement AES-256 et n’importe quel port. + +• Open source, ce qui le rend plus fiable + +• Possibilité d’améliorer la Vitesse en utilisant UDP. + +• La configuration est complexe. + +Le transfert de données démarre après l'échange de la clé symétrique en utilisant la connexion TLS déjà établie. OpenVPN utilise un tunnel UDP sans connexion où il n'y a pas de mécanisme de retransmission et ACK. La structure de paquet ainsi que l'encapsulation de la couche réseau peuvent être vues dans l’image ci-dessous. +L'en-tête de paquet se compose uniquement d'opcode et d'ID de clé. L'opcode est utilisé pour identifier le type de paquet, l'ID de clé est utilisé pour identifier l'état TLS local associé. + +![image](https://user-images.githubusercontent.com/71373221/172167457-f08c2733-d506-41a2-b0d6-cdaff62bb6be.png) + +### WireGuard + +C’est un protocole récent, développé en 2017 pour Linux, son principal avantage est sa vitesse ultra-rapide. + +• Il est compatible avec windows, macOS, iOS et Android. + +• Il utilise deux clefs une publique et une privée pour gérer l’authentification du serveur et des différents clients. + +• Utilise le protocole UDP, donc peut être bloqué par un pare-feu. + +• Simple et facile à configurer + +• Utilise ChaCha20 pour le chiffrement et Poly1305 pour l'authentification. Il utilise aussi Curve25519 pour l'échange de clé Diffie-Hellman à courbe elliptique (ECDH) ; BLAKE2s pour le hachage; et un handshake 1.5 Round Trip Time (1.5-RTT) + +Le protocole WireGuard fournit un tunnel réseau sécurisé entre deux terminaux en utilisant le protocole UDP (User Datagram Protocol) comme protocole de transport. Il utilise un protocole cryptographique de handshake appelé Noise pour fournir une authentification mutuelle et l’accord sur la clé. Les données de transport telles que les paquets IP encapsulés dans les tunnels WireGuard sont protégées à l'aide du chiffrement authentifié avec données supplémentaires (AEAD). + +## Conclusion + +![image](https://user-images.githubusercontent.com/71373221/172167603-14fd30d6-0057-47b3-8cc6-dc9a989246bc.png) + +Le PPTP est un ancien protocole vulnérable actuellement, il est conseillé de ne plus l’utiliser. + +L2TP est une bonne option si la sécurité est plus importante pour la connexion VPN que la vitesse. IKEv2/IPsec est le plus rapide, plus que L2TP et PPTP, Il est plus léger et plus stable qu'OpenVPN. Il offre le même niveau de sécurité que L2TP et OpenVPN. + +WireGuard peut être bloqué par les pare-feux car il utilise UDP, comme IKEv2. Il est toujours en cours de développement et doit encore faire l'objet d’audits de sécurité. + +OpenVPN est cependant moins susceptible d'être bloqué par les pare-feux lorsque vous vous connectez via TCP. Il est le protocole le plus fiable vue qu’il est opensource. + +SSTP est un protocole propriétaire de Microsoft, s’il faut choisir entre PPTP, L2TP et SSTP, pour un ordinateur Windows, il vaut mieux utiliser SSTP car il peut contourner les pares-feux et il est plus sécurisé que PPTP. + +## Bibliographie + +* IPSec Overview Part Four: Internet Key Exchange (IKE) + https://www.ciscopress.com/articles/article.asp?p=25474&seqNum=7 + +Consulté le 21 mai 2022 +Date de publication : Feb 22, 2002. +L'article est écrit par Cisco Press . + +Résumé : Article écrit par Cisco et décrit les protocoles IPSec et IKE1&2. +Avis sur la resource : Excellent article, il donne des détails technique approfondis sur les protocoles IPSec et IKE1&2. + +* Les différents protocoles utilisées par les fournisseurs VPN + https://www.vpnmonde.com/les-differents-protocoles-pour-les-vpn/ + +Consulté le 20 mai 2022 + +Résumé : Article écrit par des bénévoles en sécurité informatique, il analyse et compare les différents protocoles VPN du marché. + +Avis sur la resource : Excellent article, il explique en détails les protocoles VPN et donne les avantages et inconvénients de chaque protocole. + +* Understanding VPN Protocols: Which One is Best? | CyberNews + https://cybernews.com/what-is-vpn/vpn-protocols/ + +Consulté le 13 mai 2022 + +Résumé : Cet article explique les protocoles VPN, il compare aussi les différents protocoles utilisés. + +Avis sur la resource : ce document décrit bien les protocoles VPN et fait une comparaison détaillée. + +* Secure Socket Tunneling Protocol (SSTP).: https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-sstp/70adc1df-c4fe-4b02-8872-f1d8b9ad806a + +Consulté le 5 Juin 2022 + +Date de publication: 06/24/2021. + +L'article est écrit par Microsoft. + +Résumé : Article écrit par Microsoft et décrit le protocole SSTP. +Avis sur la ressource : Excellent article, il donne des détails technique approfondis sur le protocole SSTP. + +* Les VPNs et les protocoles SLIP, PPP, PPTP, L2F, L2TP, LCP, IPSec, MPLS, NAT: http://wapiti.enic.fr/commun/ens/peda/options/ST/RIO/pub/exposes/exposesrio2001ttv02/Roudel_Maroc/index.htm + +Consulté le 6 Juin 2022 + +Date de publication: Janvier 2002. + +L'article est écrit par Philippe Roudel et Alain Maroc ENIC. + +Résumé : Cet article décrit les protocoles suivants: SLIP, PPP, PPTP, L2F, L2TP, LCP, IPSec, MPLS, NAT. +Avis sur la ressource : Excellent article, il donne des détails technique approfondis sur tous les protocoles abordés. diff --git "a/S\303\251curit\303\251/zabbix.md" "b/S\303\251curit\303\251/zabbix.md" new file mode 100644 index 0000000..bd6b183 --- /dev/null +++ "b/S\303\251curit\303\251/zabbix.md" @@ -0,0 +1,74 @@ +--- +layout: default +title: Zabbix +parent: Sécurité +--- + +# Zabbix + +## 1. Introduction + +Zabbix est un logiciel de monitoring open source. Projet démarré en tant que logiciel interne en 1998, il est rendu public en 2011 et la première version stable du logiciel, la 1.0, sort en 2004. Actuellement, la dernière version majeure disponible et stable est la 6.0.4 disponible depuis le 3 mai 2022 mais il existe aussi la version 6.2.0 qui est en bêta. Zabbix est utilisé pour la surveillance de divers composant informatique telle que les serveurs, machines virtuelles et services cloud. [1] [7] + +## 2. Fonctionnement + +L’outil de supervision Zabbix fonctionne avec une partie coté serveur qui s’installe sur un environnement Linux et un coté agent qui peut s’installer sur n’importe quelle plateforme. [2] +Zabbix peut opérer de plusieurs façons pour récolter des informations. Avec un trappeur Zabbix (container dans lequel nos données sont envoyées)[9], c’est l’hôte qui démarre une communication avec le serveur et envoie ses données. Le trappeur permet de mettre en place des scripts afin de définir des variables. Les valeurs contenues dans ces variables sont ensuite transmises au serveur qui lui va traiter ses données et les afficher sur une interface graphique. [2] [3]`
` + +Il existe aussi le cas de figure où c’est le serveur qui initie la communication via des requêtes grâce à un agent Zabbix et des paramètres utilisateur. Les paramètres utilisateur vont permettre de définir les éléments à monitorer et les données qui devront être récoltée par l’agent Zabbix. Comme pour le trappeur, les données récoltées vont être récoltées et traitées par le serveur. [2] [4] `
` + +Pour assurer la sécurité des communications entre le serveur et les machines clientes, Zabbix va appliquer un système de chiffrement. De cette manière, toutes les données transmissent sont protégées lorsqu’elles circulent sur des réseaux non sécurisés. [5] `
` + +Une fois arrivées sur le serveur, les données doivent être stockées. Pour cela, Zabbix utilise une base de données relationnelle sous MySQL ou PostgreSQL. Les données ainsi stockées pourront alors être utilisée par une interface web afin de visualiser le monitoring de nos machines. [5] +Zabbix va permettre ainsi de construire des graphes sur tout un tas de paramètres que l’on décide de monitorer : L’espace disque libre sur un serveur, le taux d’utilisation de la RAM d’une machine, la chaleur du processeur, etc. `
` + +![Architecture Zabbix Agent et trappeur](http://www.kjkoster.org/zapcat/Architecture_files/zabbix%20arch.png). + +Afin de mieux gérer les comportement non désiré ou état critique d’une infrastructure IT, Zabbix propose un système d’envoi de notification. L’utilisateur installant et paramétrant l’outil de monitoring, va pouvoir définir des seuils pour un élément que l’on veut surveiller. Ainsi lorsque, par exemple, l’espace libre sur le disque de stockage X : de notre serveur sera inférieur à la valeur définie, Zabbix va envoyer une notification par mail, messagerie instantanée ou SMS selon ce qui a été définit. [6] `
` + +## 3. Avantages et Inconvénients + +### 3.1. Avantages : + +* Découverte automatique du réseau[10] +* Intégration SNMP [7] +* Très complet +* Monitoring distribué +* Hautement configurable [8] + +Le protocole SNMP permet à une application de gestion (ici Zabbix) de demander des informations provenant d'une unité gérée. L'unité gérée contient un logiciel qui envoie et reçoit des informations SNMP. Ce module logiciel est généralement appelé agent SNMP. [11] + +### 3.2. Inconvénients + +* Interface très encombrée [8] +* La configuration demande une très grande maitrise de l’outil [8] +* Gourmand en ressources [8] + +## 4. Concurrent + +Même si Zabbix est un outil de monitoring très populaires à l'heure actuelle, il existe de nombreux autres logiciels de supervision qui ont chacun leurs spécificités. [12] + +* Nagios: un de premiers logiciel de ce type ayant vu le jour en 1999 sous le nom de NetSaint. +* DataDog: outil de surveillance prévu plus spécifiquement pour les équipes de développement afin de mettre sous forme de graphes les différentes données récoltées par leurs applications. +* Microsoft System Center: l'outil de surveillance proposé par Microsoft +* Netdata: Conçu et optimisé pour les systèmes Linux +* Chekmk: Extrèmement simple à mettre en place + +## 5. Conclusion + +Grâce à sa longévité de plus de 20 ans et à chaque ajout et amélioration qu’ont apportés toutes les versions, Zabbix est maintenant une référence connue dans le monde entier en ce qui concerne le monitoring de système informatique. Malgré la forte concurrence dans ce domaine, Zabbix a réussi à innover et à se différencier des autres outils de monitoring existant. `
` + +## Sources + +* Zabbix. (n.d.). Download million images for free. https://stringfixer.com/fr/Zabbix [1] +* Supervision et métrologie Zabbix : principes et fonctionnement - Syloe. (n.d.). Syloe. https://www.syloe.com/supervision-et-metrologie-zabbix [2] +* Elément trapper. (n.d.). Zabbix :: The Enterprise-Class Open Source Network Monitoring Solution. https://www.zabbix.com/documentation/4.0/fr/manual/config/items/itemtypes/trapper [3] +* Paramètres utilisateur. (n.d.). Zabbix :: The Enterprise-Class Open Source Network Monitoring Solution https://www.zabbix.com/documentation/4.0/fr/manual/config/items/userparameters [4] +* Kalsin, V. (2020, July 30). Comment installer et configurer Zabbix et configurer des serveurs à distance sur Ubuntu 20.04. DigitalOcean The developer cloud. https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-zabbix-to-securely-monitor-remote-servers-on-ubuntu-20-04-fr [5] +* Logiciel zabbix open source | Glossaire Syloé Experts Devops & Cloud. (n.d.). Syloe. https://www.syloe.com/glossaire/logiciel-zabbix/ [6] +* Notes de publication. (n.d.). Zabbix :: The Enterprise-Class Open Source Network Monitoring Solution. https://www.zabbix.com/fr/release_notes [7] +* Solution ultime de Supervision d'Entreprise - Zabbix. (n.d.). AxelIt. https://www.axelit.fr/technologies/zabbix/ [8] +* Zabbix : Utiliser les Trappers pour faire des Graphs customs - UnGeek.Fr. (n.d.). UnGeek.Fr. https://ungeek.fr/zabbix-trapper-custom-graph/#1-créer-le-trapper [9] +* Configuration d'une règle de découverte réseau. (n.d.). Zabbix :: The Enterprise-Class Open Source Network Monitoring Solution. https://www.zabbix.com/documentation/current/fr/manual/discovery/network_discovery/rule [10] +* IBM Docs. (n.d.). IBM - Deutschland | IBM. https://www.ibm.com/docs/fr/spectrum-control/5.3.7?topic=standards-simple-network-management-protocol [11] +* Alternatives Zabbix. G2 https://www.g2.com/products/zabbix/competitors/alternatives [12] diff --git a/index.md b/index.md index 9e8f402..9be1b39 100644 --- a/index.md +++ b/index.md @@ -6,49 +6,12 @@ nav_order: 1 # Page d'accueil -Bienvenue sur le Wiki TI. Vous y trouverez une série de ressources et de synthèses liées au cursus TI. - -Les informations sont organisées par catégorie : - -## Electronique et traitement du signal - -### Bases d'électricité -### Electronique -### Traitement du signal - - - -## Réseaux - -### Routage et switching -### Protocoles transport et applicatifs -* [Délégation DNS](Réseaux/delegation_dns.md) - -### Administration réseaux - - - - -## Développement - - -### JS et développement Web -### Python -### Autres langages - -## Systèmes - -### Concepts d'OS -### Linux -### Windows -### Virtualisation -### Conteneurs - -## Sécurité - - - - - +Bienvenue sur le Wiki TI. Vous y trouverez une série de ressources et de synthèses liées au cursus TI. +Les informations sont organisées par catégorie. Chaque catégorie reprend une table des matières spécifiques à son contenu. +- [Electronique et traitement du signal]() +- [Développement]() +- [Réseaux](reseaux.md) +- [Sécurité](securite.md) +- [Divers](divers.md) diff --git a/reseaux.md b/reseaux.md index 4798770..ce79364 100644 --- a/reseaux.md +++ b/reseaux.md @@ -4,11 +4,58 @@ title: Réseaux nav_order: 2 has_children: true --- - # Réseaux -Cette section regroupe tous les articles concernant le réseau : Protocoles, configuration, outils, bonnes pratiques... +Cette section regroupe tous les articles concernant le réseau : Protocoles, configuration, outils, bonnes pratiques, etc. + +## Services et protocoles transport et applicatifs + +### Le DNS + +- [Délégation DNS](Réseaux/delegation_dns.md) +- [DNSSec](Réseaux/dnssec.md) + +### Le Web + +- [HTTPS](Réseaux/https.md) +- [Le futur d'HTTP](Réseaux/futur_http.md) +- [HTTP2](Réseaux/HTTP2.md) + +### Le mail + +- [POP](Réseaux/POP.md) +- [SPF](Réseaux/spf.md) + +### La VoIP + +- [IAX](Réseaux/iax.md) +- [Asterix](Réseaux/asterix.md) +- [Comparatif SIP/H323](Réseaux/sip_vs_h323.md) +- [La visioconférence](Réseaux/visioConference.md) + +### Autres protocoles + +- [LDAP](Réseaux/ldap.md) +- [ICMP](Réseaux/ICMP.md) +- [IPSec](Sécurité/IPsec.md) +- [MQTT](Réseaux/MQTT.md) +- [Quic et TCP](Réseaux/quic_tcp.md) +- [SMB](Réseaux/SMB.md) +- [XMPP](Réseaux/XMPP.md) +- [LoRaWAN](Réseaux/LoRaWAN.md) +- [SNMP](Réseaux/snmp.md) +- [Z-Wave](Réseaux/Z-Wave.md) + +## Administration réseaux + +- [Proxy](Réseau/proxy.md) +- [Reverse Proxy](Réseaux/reverse_proxy.md) + +## Virtualisation et conteneurisation + +- [Docker Swarm et les réseaux overlays](Réseaux/docker_swarm.md) +- [Kubernetes](Réseaux/kubernetes.md) -## Articles +## Outils -* [Délégation DNS](Réseaux/delegation_dns.md) +- [Wireshark](Réseaux/wireshark.md) diff --git a/securite.md b/securite.md new file mode 100644 index 0000000..76cbbac --- /dev/null +++ b/securite.md @@ -0,0 +1,27 @@ +--- +layout: default +title: Sécurité +nav_order: 2 +has_children: true +--- +# Sécurité + +## Protocoles de sécurité +- [PGP](Sécurité/PGP.md) +- [HTTPS](Sécurité/https.md) +- [IPSec](Sécurité/IPsec.md) +- [Protocoles VPN](Sécurité/protocoles_vpn.md) +- [SPF](Réseaux/spf.md) + + +# Dispositifs et outils + +- [Reverse Proxy](Réseaux/reverse_proxy.md) +- [Proxy](Réseaux/proxy.md) +- [Zabbix](Sécurité/zabbix.md) +- [Détection d'intrusion](Sécurité/Systemes_de_detection_d_intrusion.md) + + +# Etudes de cas + +- [Compromission d'un serveur Ubuntu](etude_de_cas_hacking.md) diff --git a/template.md b/template.md index 515ff05..3495d84 100644 --- a/template.md +++ b/template.md @@ -1,26 +1,20 @@ -[Accueil Wiki](https://epheclln.github.io/Wiki-TI/) +--- +layout: default +title: Titre de l'article +parent: Sécurité/Réseaux/... +--- # Titre ## Sous-titre 1 Texte - - ## Sous-titre 2 Texte - - - - - ## Bibliographie * [Nom de la ressource](lien vers la ressource), Auteur, Date de création, consulté le (date consultation) - - Résumé : ... - - Avis sur la ressource : ... - - - + - Résumé : ... + - Avis sur la ressource : ...