Introduction à la sécurité

1. Les conséquences des failles de sécurité

Les failles de sécurité dans les applications web peuvent avoir des conséquences graves, à la fois pour les utilisateurs et pour les organisations qui les développent et les exploitent.

1. Les développeurs

Les développeurs jouent un rôle indispensable dans la sécurité des applications web. Leur expertise technique et leur compréhension des bonnes pratiques de développement sécurisé sont cruciales pour garantir que les applications sont résistantes aux attaques et protègent les données sensibles.

2. Les testeurs

Les testeurs jouent eux aussi un rôle capital dans la sécurité des applications web en identifiant les vulnérabilités et les faiblesses potentielles des systèmes avant leur déploiement. Leur expertise en matière de tests de sécurité permet de détecter les failles de sécurité et de s’assurer que les applications sont protégées contre les attaques

1. Confidentialité des données

La confidentialité des données concerne la protection des informations personnelles et sensibles des utilisateurs en veillant à ce qu’elles ne soient pas divulguées, compromises ou utilisées de manière inappropriée.

Les applications web doivent collecter uniquement les données nécessaires pour fournir les services attendus. Il est important de limiter la collecte d’informations personnelles et de s’assurer que les utilisateurs sont informés des données collectées et des finalités pour lesquelles elles seront utilisées.

Les données sensibles telles que les informatiques d’identification, les numéros de carte de crédit ou les données médicales doivent être cryptées lorsqu’elles sont stockées ou transmises. Le chiffrement assure que seules les personnes autorisées peuvent accéder aux données, même en cas de violation de sécurité.

Par exemple, pour les données médicales, un algorithme de chiffrement symétrique AES est utilisé pour sécuriser les données. Il utilise une clé secrète pour chiffrer et déchiffrer les informations. La clé est une chaîne de bits aléatoire d’une longueur spécifiée, par exemple, une clé de 256 bits. Les données médicales sont chiffrées à l’aide de l’algorithme AES et la clé de chiffrement. Elles peuvent être ainsi stockées dans une base de données sécurisée. L’objectif est de s’assurer que seules les personnes autorisées avec la clé de déchiffrement appropriée peuvent accéder aux données et les comprendre.

2. Intégrité des données

L’intégrité des données fait référence à...

1. ISO 27001 : un des standards de sécurité

OWASP, l’Open Worldwide Application Security Project, est une fondation à but non lucratif qui travaille à améliorer la sécurité des logiciels. C’est une communauté ouverte et dédiée aux organisations pour leur permettre de concevoir des applications fiables. 

OWASP, étant une référence dans le monde de la sécurité, a créé un document OWASP top 10, que nous avons présenté précédemment. Les développeurs se basent sur ce document comme étant les risques de sécurité les plus critiques au niveau web. 

La norme ISO 27001 est une norme internationale qui vise la gestion de la sécurité de l’information en se concentrant sur quatre aspects principaux :

Certaines entreprises sont certifiées pour prouver leurs niveaux de qualité de service sur la sécurité.

D’après l’OWASP, les dix principaux risques/menaces de sécurité des applications ont changé ces dernières années : 

Nous en verrons quelques-uns dans les sections qui suivent. 

2. Les attaques par injection

Les attaques par injection sont passées en troisième position dans la liste alors qu’en 2017, elles étaient en première position. Malgré tout, elles restent dans le top 10, donc il faut s’en méfier. 

Il s’agit d’exploiter une vulnérabilité dans une application web pour y insérer du code malveillant, comme les attaques d’injection SQL et les attaques XSS (Cross-Site Scripting).

3. Les attaques par force brute

C’est l’une des attaques les plus connues par les néophytes. Il s’agit d’une tentative de trouver un mot de passe en essayant de nombreuses combinaisons différentes jusqu’à ce que le mot de passe correct soit trouvé. Le nom de cette attaque est assez clair, ils attaquent en forçant le champ pour se connecter. Si l’application web ne limite pas le nombre d’essais, cette attaque ne peut pas être stoppée sauf s’il y a une double authentification. 

4. Les attaques par contournement d’authentification

Les attaques de contournement d’authentification : il s’agit d’une tentative de contourner le processus d’authentification d’une application web, souvent en exploitant une faille de sécurité.

5. Les attaques par déni de service

Il s’agit d’une tentative de rendre une application web inaccessible en la submergeant de trafic.

Il y a deux types d’attaque par déni de service : les attaques par déni de service (DoS) et déni de service distribué (SSoS).

Les types d’attaques DoS/DDoS sont :

6. Les attaques par manipulation de session

Il s’agit d’une tentative de voler ou de manipuler les données de session d’un utilisateur pour accéder à une application web.

Il y a également plusieurs types d’attaques :

1. Le principe du moindre privilège

Le principe du moindre privilège est un concept clé de la sécurité informatique qui vise à limiter l’accès et les privilèges accordés aux utilisateurs, aux processus et aux systèmes uniquement à ce qui est strictement nécessaire pour effectuer leurs tâches spécifiques. 

Les privilèges les plus bas doivent être attribués à chaque utilisateur, processus ou système pour effectuer son travail. Cela signifie que les utilisateurs ne doivent pas avoir des privilèges excessifs ou une autorisation d’accès à des ressources qui ne sont pas attribués à leurs fonctions.

Le principe du moindre privilège vise à réduire les risques associés aux accès non autorisés ou aux erreurs humaines. En limitant les privilèges, on réduit la surface d’attaque potentielle et les conséquences potentielles en cas de compromission d’un utilisateur ou d’une application.

En appliquant ce principe, les tâches et les responsabilités sont séparées de manière à ce que chaque utilisateur n’ait accès qu’aux ressources nécessaires pour accomplir ses propres tâches. Par exemple, un utilisateur peut avoir des droits d’accès en lecture seule sur une base de données, tandis qu’un autre utilisateur peut avoir des droits d’accès en écriture. Cette segmentation réduit les risques de modifications ou d’accès non autorisés.

Il est important de mettre en place des mécanismes de contrôle des privilèges pour appliquer le principe du moindre privilège. Cela peut inclure l’utilisation de listes de contrôle d’accès, de rôles et de politiques d’autorisation afin de définir les droits d’accès et les permissions des utilisateurs.

Il est indispensable de surveiller et d’auditer régulièrement les privilèges accordés aux utilisateurs et aux processus. Cela permet de détecter les anomalies, les tentatives d’accès non autorisées ou les changements inappropriés dans les droits d’accès. Les journaux d’audit et les outils de gestion des droits d’accès peuvent être utilisés pour faciliter ce processus.

Une gestion rigoureuse des privilèges est nécessaire pour appliquer le principe du moindre privilège de manière efficace. Cela inclut l’attribution des privilèges en fonction des besoins réels, la révision régulière des droits d’accès, la révocation des privilèges lorsque les utilisateurs n’en ont plus besoin, et la mise en place de processus de demande et d’approbation pour l’attribution de nouveaux privilèges.

Voici un exemple réel : dans une entreprise où l’on doit badger afin d’entrer dans le bâtiment, ces badges servaient à limiter les accès à des salles qui étaient dites sensibles car les projets étaient confidentiels. Or, un jour, un ordinateur physique a été volé dans une salle dite sensible ; personne n’a été accusé car la sécurité n’était pas au point : les badges n’étaient pas activés dans cette salle et les caméras étaient hors service. Le lendemain, les privilèges ont été abaissés. Plus personne n’avait le droit d’accéder aux salles qui ne le concernaient pas et il y avait un historique d’accès aux salles selon le badge nominatif. L’impact financier n’était pas élevé mais la confiance entre les salariés était rompue. Les décisionnaires ont voulu être humains mais des personnes malintentionnées auraient pu exploiter les données de l’ordinateur à des fins malveillantes.

2. Le principe de la défense en profondeur

Le principe de la défense en profondeur est une stratégie de sécurité qui consiste à superposer plusieurs couches de défense pour protéger les systèmes et les données contre les attaques. Les couches peuvent inclure des mesures techniques, des politiques et des procédures. Chaque couche de sécurité est conçue pour contrer un type spécifique de menace ou d’attaque.

L’idée est de créer une série de barrières de sécurité interconnectées, de manière...