Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Chapitre 2 Contrôle d'Accès 1. Principes et Définitions Le contrôle d’accès es

Chapitre 2 Contrôle d'Accès 1. Principes et Définitions Le contrôle d’accès est une technique de sécurité qui peut être utilisée pour déterminer les utilisateurs ou les programmes autorisés à voir ou à utiliser les ressources d’un environnement informatique. Le contrôle d'accès est un dispositif de sécurité électronique et informatique qui permet de se protéger contre les actes de malveillance. Le contrôle d’accès est un composant fondamental de la sécurité des données qui a le droit de consulter et d’utiliser des informations et ressources d’une entreprise. Via une authentification et une autorisation, les stratégies de contrôle d’accès vérifient que les utilisateurs sont bien ceux qu’ils disent être et qu’ils disposent d’un accès adapté aux données de l’entreprise. Comment le contrôle d’accès fonctionne-t-il ? Le contrôle d’accès identifie les utilisateurs en vérifiant plusieurs identifiants de connexion, notamment le nom d’utilisateur et le mot de passe, le code PIN, des scans biométriques (caractéristiques biologique d’un individu) et des tokens de sécurité. De nombreux systèmes de contrôle d’accès comprennent également une authentification multifacteur, une méthode qui nécessite plusieurs méthodes d’authentification pour vérifier l’identité d’un utilisateur. Une fois qu’un utilisateur est authentifié, le contrôle d’accès lui donne le niveau d’accès adapté et l’autorise à effectuer certaines actions. Pourquoi le contrôle d’accès est-il important ? Le contrôle d’accès protège les informations confidentielles, telles que les données des clients, les informations personnellement identifiables et la propriété intellectuelle, et évite qu’elles ne tombent entre les mauvaises mains. Sans une stratégie de contrôle d’accès robuste, les entreprises risquent les fuites de données, que ce soit de sources internes ou externes. Le contrôle d’accès est particulièrement important pour les entreprises qui ont des environnements multi-cloud où les ressources, les applications et les données résident à la fois sur site et dans le cloud. Le contrôle d’accès offre à ces environnements une sécurité d’accès plus robuste au-delà de l’authentification unique (SSO single sign out : accéder à plusieurs applications en ne donnant qu’une seule fois des informations de sécurité comme le nom d’utilisation et mot de passe). 2. Risque associés à la gestion des accès A défaut d’un encadrement adéquat de la gestion des accès, un organisme peut s’exposer à plusieurs risques de sécurité de l’information. 1 Accès non autorisé : un accès non autorisé peut mettre en péril la disponibilité, l’intégrité ou la confidentialité de l’information qu’une organisation détient dans l’exercice de ses fonctions. Il pourra ainsi causer des dommages importants, voire irréversibles à l’organisation. Altération ou destruction de données : l’altération ou la destruction de données peut engendrer des résultats inexacts ou incomplets, voire un ralentissement ou une interruption des services offerts. Une altération avec intention de fraude. Divulgation de l’information ou vol de données : la divulgation est susceptible d’avoir des impacts de diverses natures : atteinte à l’image de marque de l’organisation, atteinte au droit des citoyens à la protection des renseignements personnels qui les concernent et à leur vie privée, baisse de confiance à l’égard de l’Etat, pertes financières, etc Augmentation du niveau de privilège : l’usurpation de privilèges permet à une personne non autorisée d’accéder au information sensible, voire de prendre le contrôle d’applications critiques pour l’organisation. Elle pourra ainsi causer des dommages importants voire irréversibles à l’organisation. 3. Types de Contrôle d’Accès Le contrôle d’accès désigne les différentes solutions techniques qui permettent de sécuriser et gérer les accès physiques à un bâtiment ou un site, ou les accès logiques à un système d’information. On distingue ainsi le contrôle d’accès physique et le contrôle d’accès logique.  Le contrôle d’accès physique permet de limiter les accès aux campus, aux bâtiments, aux salles et aux matériels informatiques.  Le contrôle d’accès logique restreint les connexions aux réseaux informatiques, aux fichiers systèmes et aux données. Les systèmes de contrôle d'accès gèrent l'identification des autorisations, l'authentification, l'approbation des accès et la responsabilité des entités grâce à des identifiants de connexion, notamment des mots de passe, des codes PIN, des analyses biométriques et des clés physiques ou électroniques. 4. Modèles de Contrôle d'Accès Un modèle de contrôle d’accès comprend : - une politique (ou un règlement) de contrôle d’accès qui spécifie les accès autorisés aux données - une politique d’administration qui indique comment la politique de contrôle d’accès peut être mise à jour. 2 Il existe quatre types de contrôle d’accès. En général, les entreprises choisissent la méthode la plus logique en fonction de leurs besoins uniques en matière de sécurité et de conformité. Les quatre modèles de contrôle d’accès sont les suivants : Contrôle d’accès discrétionnaire (DAC : Discretionary Access Control), Contrôle d’accès obligatoire (MAC : Mandatory Access Control), Contrôle d’accès basé sur les rôles (RBAC : Role Based Access Control) Contrôle d’accès basé sur des attributs (ABAC : Attribute Based Access Control) 4.1. Contrôle d’accès discrétionnaire : Dans cette méthode, le propriétaire ou l’administrateur du système protégé, des données ou des ressources détermine les stratégies déterminant l’accès. Dans les modèles DAC, la politique de contrôle d’accès repose sur les concepts de sujet, action et objet. Les sujets sont les entités actives du système (typiquement les utilisateurs), les objets les entités passives (typiquement les données) et les actions les accès directs que les sujets peuvent effectuer sur les objets. La politique de contrôle d’accès est représentée sous la forme d’une série de triplets (sujet, action, objet). Chaque triplet (s, a, o) signifie « le sujet s a la permission d’effectuer l’action a sur l’objet o ». Les modèles DAC sont qualifiés de discrétionnaires dans la mesure où les permissions se réfèrent directement à l’identité d’utilisateur. La plupart des modèles DAC supportent la notion de groupe d’utilisateurs. Les groupes simplifient la gestion des autorisations puisque une permission accordée à un groupe est alors automatiquement applicable à tous les membres du groupe. La plupart des modèles discrétionnaires incluent également la notion de droit propriétaire. Ce droit donne aux utilisateurs le privilège d’administrer le règlement de contrôle d’accès s’appliquant à leurs données (c'est-à-dire les données qu’ils ont eux-mêmes créées). Historiquement, les modèles DAC furent les premiers implantés dans les systèmes informatiques (notamment le système de fichiers d’UNIX). Malgré certaines limites que nous présentons par la suite, Ils restent, cependant, utilisés dans de nombreuses applications modernes. Le modèle de sécurité de Facebook, par exemple, est typiquement un modèle de sécurité discrétionnaire où les utilisateurs définissent les autorisations relatives aux données qu’ils publient. 3 4.2. Contrôle d’accès obligatoire (MAC) : Dans ce modèle non discrétionnaire, les utilisateurs bénéficient de l’accès en fonction d’informations fournies. Une autorité centrale régule l’accès en fonction de différents niveaux de sécurité. Il est courant dans les environnements administratifs et militaires. Les modèles DAC ont le mérite de la simplicité. Cependant, leur principal inconvénient est qu’ils sont entièrement vulnérables aux attaques par cheval de Troie opérant par recopie de l’information. Ce fait est connu depuis les années 70. Afin de contrer ce type d’attaques, de nouveaux modèles de contrôle d’accès obligatoires ont donc été proposés. Dans les modèles MAC, un niveau de sécurité est affecté à chaque sujet et à chaque objet. Le niveau de sécurité associé à un objet s’appelle le niveau de classification alors que le niveau de sécurité associé à un sujet s’appelle le niveau d’habilitation. La politique de sécurité est obligatoire c'est-à-dire qu’elle s’impose à tous les utilisateurs et ne peut être modifiée. Si l’objectif est de garantir la confidentialité des données alors la politique de sécurité obligatoire (que l’on appelle aussi la politique de sécurité multi-niveaux) est la suivante : « les utilisateurs ont l’interdiction de prendre connaissance des données ayant un niveau de classification supérieur à leur niveau d’habilitation mais ont la permission de prendre connaissance des données classifiées à un niveau égal ou inférieur à leur niveau d’habilitation ». 4.3. Contrôle d’accès basé sur des rôles (RBAC) Le RBAC accorde l’accès en fonction du poste et non en fonction de l’identité de l’utilisateur. L’objectif est de fournir aux utilisateurs l’accès aux données considérées comme nécessaires pour remplir leurs fonctions au sein de l’entreprise. Cette méthode largement utilisée repose sur une combinaison complexe de tâches, d’autorisations et de permissions. Les modèles DAC et MAC ne sont pas bien adaptés aux besoins des organisations commerciales. Dans ce type d’organisation les privilèges conférés aux utilisateurs dépendent du rôle des utilisateurs au sein de l’organisation. De ce fait les modèles RBAC sont apparus et se sont imposés comme une alternative aux modèles DAC et MAC traditionnels. En 2004, l’International Committee for Information Technology Standards de l’American National Standards Institute (ANSI/INCITS) a officiellement élevé au statut de standard la proposition de Sandhu, Ferraiolo and Khun. Les principes de base du modèle RBAC sont les suivants : Alors que dans les modèles DAC, les permissions ont trait à des opérations de bas niveau telles que les opérations de lecture/écriture, dans les modèles RBAC elles concernent des tâches de nature organisationnelle telles que « transférer de l’argent », « acheter un billet d’avion » etc. 4 Dans les modèles RBAC, le concept de rôle correspond à une fonction professionnelle. Les permissions sont accordées à des rôles et non pas uploads/Management/ controle-acces.pdf