Sécurité informatique

Les notions à connaître

Chiffrement symétrique

Une seule clé secrète partagée pour chiffrer ET déchiffrer. Très rapide (utilisé pour le volume de données). Problème : comment transmettre la clé de façon sécurisée ? Ex : AES (Advanced Encryption Standard).

Chiffrement asymétrique

Deux clés mathématiquement liées : clé publique (connue de tous, chiffre) et clé privée (secrète, déchiffre). Résout le problème d'échange de clés. 100-1000x plus lent que le symétrique. Ex : RSA.

HTTPS et TLS

HTTPS est HTTP sécurisé par TLS (Transport Layer Security). TLS combine les deux chiffrements : asymétrique pour échanger une clé de session, puis symétrique (AES) pour chiffrer les données. Le cadenas dans le navigateur indique HTTPS actif.

Certificat numérique

Document électronique signé par une autorité de certification (CA) qui lie une clé publique à une identité (nom de domaine). Le navigateur vérifie le certificat pour s'assurer qu'il communique avec le bon serveur.

Injection SQL

Attaque consistant à insérer du code SQL malveillant via un champ de saisie non protégé. Un attaquant peut contourner l'authentification ou extraire des données. Protection : requêtes paramétrées.

XSS (Cross-Site Scripting)

Attaque où un script malveillant est injecté dans une page web et exécuté par le navigateur de la victime. Permet de voler des cookies ou sessions. Protection : échapper les entrées utilisateur.

Hachage (hash)

Fonction à sens unique qui transforme une donnée en empreinte de taille fixe. Propriétés : déterministe, irréversible, résistant aux collisions. Ex : SHA-256. Utilisé pour stocker les mots de passe.

Signature numérique

Le signataire chiffre le hash du message avec sa clé PRIVÉE. Le destinataire déchiffre avec la clé PUBLIQUE du signataire. Garantit authenticité et intégrité.

Les erreurs à éviter en nsi

• ✗ Croire que HTTPS est totalement sécurisé

  ✓ HTTPS chiffre le canal, mais ne protège pas contre le phishing, les failles côté serveur ou les malwares côté client.

• ✗ Penser que le chiffrement asymétrique chiffre toutes les données

  ✓ L'asymétrique est trop lent. Il sert à échanger la clé de session. Ensuite, le symétrique (AES) chiffre les données.

• ✗ Construire des requêtes SQL par concaténation avec les saisies utilisateur

  ✓ Toujours utiliser des requêtes paramétrées. C'est la SEULE protection fiable contre l'injection SQL.

• ✗ Stocker les mots de passe en clair dans la base de données

  ✓ Stocker le HASH du mot de passe (bcrypt, SHA-256 avec sel). Pour vérifier : hacher la saisie et comparer.

• ✗ Confondre chiffrement et hachage

  ✓ Chiffrement = réversible (avec la clé). Hachage = irréversible. On CHIFFRE un message, on HACHE un mot de passe.

Sais-tu répondre à ces questions ?

Les corrigés détaillés sont dans le quiz du chapitre.

1. Quelle est la différence fondamentale entre le chiffrement symétrique et le chiffrement asymétrique ?
2. Quel protocole assure une connexion sécurisée (chiffrée) entre un navigateur et un serveur web ?
3. Qu'est-ce qu'une fonction de hachage ?
4. Alice veut envoyer un message confidentiel à Bob en utilisant le chiffrement asymétrique. Quelle clé utilise-t-elle pour chiffrer ?
5. Le chiffrement de César décale chaque lettre de k positions. Avec k = 3, quel est le chiffrement de 'NSI' ?