Module 1Introduire la sécurité informatique
Chapitre 1 sur 9
Le vocabulaire du risque, la triade CID, le cube de McCumber, les familles de failles et d'attaques, les malwares et les types de virus, et le droit d'auteur.
Objectifs
Avec ce chapitre, tu sauras…
Une application web manipule des données qui ont de la valeur : des identifiants, des notes de stagiaires, des numéros de carte bancaire, des dossiers médicaux. Un développeur qui ignore la sécurité produit, sans le vouloir, une porte d'entrée pour les pirates. Ce chapitre pose le vocabulaire qui sert dans tout le module.
Leçon 1
La sécurité ne se limite donc pas à installer un antivirus : une politique de mots de passe, une formation des employés, un contrat avec un hébergeur ou une porte de salle serveur fermée à clé font aussi partie de la sécurité.
Tableau: Le vocabulaire du risque
| Terme | Définition | Exemple dans une banque en ligne |
|---|---|---|
| actif (ou bien) | ce qui a de la valeur et doit être protégé | la base des comptes clients, le site web, la réputation |
| menace | ce qui peut porter atteinte à un actif | un pirate, un employé mécontent, un incendie |
| vulnérabilité (ou faille) | une faiblesse qui peut être exploitée | un formulaire non filtré, un serveur pas à jour |
| attaque | l'action qui exploite une vulnérabilité | une injection SQL dans le formulaire de connexion |
| risque | la possibilité qu'une menace exploite une vulnérabilité, mesurée par sa probabilité et son impact | vol de 100 000 comptes : probabilité moyenne, impact très grave |
| contre-mesure | ce qui réduit le risque | requêtes préparées, mises à jour, sauvegardes |
Leçon 2
| Propriété | Question posée | Atteinte typique | Protection typique |
|---|---|---|---|
| Confidentialité | seules les personnes autorisées peuvent-elles lire l'information ? | vol de la base de données, écoute du Wi-Fi | chiffrement, contrôle d'accès, mots de passe |
| Intégrité | l'information est-elle exacte et complète, sans modification non autorisée ? | un pirate modifie une note ou un montant de virement | hachage, signatures numériques, droits en écriture, journaux |
| Disponibilité |
Leçon 3
| Dimension | Les trois valeurs |
|---|---|
| les objectifs (principes de sécurité) | confidentialité · intégrité · disponibilité |
| les états de l'information | en stockage (au repos : disque, base de données) · en transmission (sur le réseau) · en traitement (en mémoire, pendant le calcul) |
| les contre-mesures | technologies (pare-feu, chiffrement, antivirus) · politiques et pratiques (règles, procédures, lois) · facteur humain (formation, sensibilisation) |
| État ↓ · contre-mesure → | technologie |
|---|
Leçon 4
| Famille | Exemples |
|---|---|
| logicielles | bug de programmation, entrée utilisateur non validée, bibliothèque obsolète |
| de configuration | mot de passe par défaut conservé, port inutile ouvert, messages d'erreur détaillés en production |
| humaines | mot de passe faible ou réutilisé, clic sur un lien piégé, partage d'identifiants |
| physiques | salle serveur non fermée, ordinateur portable volé, clé USB abandonnée |
| organisationnelles | pas de sauvegarde, pas de procédure de départ d'un employé, pas de mise à jour planifiée |
Leçon 5
| Type | Comment il se propage ou agit |
|---|---|
| virus | s'attache à un fichier ou un programme hôte et se réplique quand on l'exécute |
| ver (worm) | se propage tout seul par le réseau, sans action humaine, en exploitant une faille |
| cheval de Troie (trojan) | se fait passer pour un logiciel utile (un « crack », un jeu gratuit) et ouvre une porte au pirate |
| rançongiciel (ransomware) | chiffre les fichiers de la victime et exige une rançon pour la clé |
Leçon 6
| Notion | Ce qu'il faut retenir |
|---|---|
| le symbole © | il informe que l'œuvre est protégée (© 2026 OFPPT. Tous droits réservés.) ; il n'est pas obligatoire pour être protégé |
| le titulaire | le créateur ; mais une œuvre créée par un salarié dans le cadre de son travail, ou commandée par contrat, peut appartenir à l'employeur ou au client : tout dépend du contrat |
| droit moral | droit au respect du nom et de l'œuvre : perpétuel et incessible |
| droits patrimoniaux |
1Une faiblesse qui peut être exploitée par un pirate est…
2Un pirate modifie le montant d'un virement en transit : quelle propriété est atteinte ?
3Une attaque par déni de service vise d'abord…
4Dans le cube de McCumber, « en transmission » est…
5Un programme qui se propage seul par le réseau sans action humaine est…
6Un virus qui change son code à chaque infection est…
7Un programme qui chiffre tes fichiers et réclame une rançon est…
8Le droit d'auteur sur un site web naît…
L'essentiel du chapitre
| l'information et les services sont-ils accessibles quand on en a besoin ? |
| attaque par déni de service, panne, rançongiciel |
| redondance, sauvegardes, protection anti-DDoS |
| politiques et pratiques |
|---|
| facteur humain |
|---|
| stockage | chiffrer le disque | politique de sauvegarde et de classification | apprendre à verrouiller sa session |
| transmission | HTTPS, VPN | interdire le Wi-Fi public pour les données internes | se méfier des Wi-Fi ouverts |
| traitement | antivirus en temps réel | moindre privilège | ne pas exécuter un programme inconnu |
| Attaque | Principe | Propriété visée | Chapitre |
|---|---|---|---|
| déni de service (DoS, DDoS) | submerger un serveur de requêtes pour le rendre indisponible | disponibilité | 3 |
| homme du milieu (MitM) | s'intercaler entre deux parties pour lire ou modifier leurs échanges | confidentialité, intégrité | 2 |
| logiciel malveillant (malware) | programme installé à l'insu de l'utilisateur : virus, ver, rançongiciel… | les trois | 1 |
| hameçonnage (phishing) | message frauduleux qui imite une entité de confiance pour voler des identifiants | confidentialité | 3 |
| injection SQL | insérer du code SQL dans un champ de saisie pour qu'il soit exécuté par la base | confidentialité, intégrité | 2 |
| cross-site scripting (XSS) | injecter du JavaScript qui s'exécute dans le navigateur des autres visiteurs | confidentialité | 2 |
| rootkit | outil qui donne un accès administrateur caché et se dissimule au système | les trois | 1 |
| logiciel espion (spyware) | collecte en secret les données de l'utilisateur ; l'enregistreur de frappe (keylogger) capture tout ce qui est tapé |
| publiciel (adware) | affiche des publicités non désirées, souvent en modifiant le navigateur |
| rootkit | se cache au plus profond du système pour garder un accès administrateur invisible |
| porte dérobée (backdoor) | accès secret qui contourne l'authentification normale |
| bot | machine infectée pilotée à distance, membre d'un botnet (chapitre 3) |
| Type de virus | Ce qu'il infecte ou comment il agit |
|---|---|
| virus de fichier | infecte les fichiers exécutables (.exe, .com) ; il s'active quand on lance le programme |
| virus de macro | écrit dans le langage de macros d'une application (VBA de Word ou Excel) ; il s'active à l'ouverture du document |
| pirate de navigateur (browser hijacker) | modifie les réglages du navigateur (page d'accueil, moteur de recherche) pour rediriger vers des sites malveillants |
| virus du secteur de démarrage | infecte le secteur d'amorçage du disque ou d'une clé USB ; il se charge avant le système d'exploitation |
| virus polymorphe | change son code à chaque infection (chiffrement variable) pour échapper à la détection par signature |
| virus résident | s'installe dans la mémoire vive et infecte les fichiers ouverts, même après la fermeture du programme hôte |
| virus multipartite | combine plusieurs modes : infecte à la fois les fichiers et le secteur de démarrage |
| droit d'exploiter l'œuvre (reproduire, diffuser, vendre) : ils peuvent être cédés et ont une durée limitée |
| la durée | au Maroc (loi 2-00, modifiée par la loi 34-05) comme dans l'Union européenne et aux États-Unis : en général la vie de l'auteur + 70 ans |
Dans la situation suivante, identifie l'actif, la menace, la vulnérabilité, l'attaque et deux contre-mesures : « Le serveur de l'agence de voyages utilise encore le mot de passe admin installé par défaut. Un groupe de pirates qui scanne Internet l'a trouvé, s'est connecté et a téléchargé les copies de passeports des clients. »
Risque = menace × vulnérabilité × impact. Si l'un des trois facteurs vaut zéro, le risque disparaît : une faille dans un serveur débranché d'Internet n'est pas exploitable à distance, et une donnée publique n'a pas d'impact si elle fuit. Le travail de sécurité consiste à réduire les vulnérabilités et l'impact, car on ne contrôle presque jamais les menaces.
Ta maison est l'actif. Le cambrioleur est la menace. La fenêtre du rez-de-chaussée qui ferme mal est la vulnérabilité. Le cambriolage par cette fenêtre est l'attaque. Réparer la fenêtre, installer une alarme et assurer la maison sont trois contre-mesures différentes : la première supprime la vulnérabilité, la deuxième détecte l'attaque, la troisième réduit l'impact.
La sécurité de l'information repose sur trois propriétés fondamentales, appelées la triade CID (en anglais CIA : Confidentiality, Integrity, Availability).
En 1991, John McCumber a proposé un modèle en trois dimensions pour organiser la réflexion sur la sécurité. Chaque petit cube du modèle croise un objectif, un état de l'information et une contre-mesure.
Exemples de mesures pour l'objectif confidentialité (le cube complet répète ce tableau pour l'intégrité et la disponibilité : 3 × 3 × 3 = 27 cases) :
Tableau: Les familles de vulnérabilités
Un logiciel malveillant (malware, contraction de malicious software) est un programme conçu pour nuire : voler des données, chiffrer des fichiers, espionner, prendre le contrôle d'une machine ou la rendre inutilisable.
Un développeur produit des œuvres (code, maquettes, textes, images) et en utilise d'autres (bibliothèques, polices, photos). Le droit d'auteur protège les deux côtés.
Le droit d'auteur (copyright dans les pays anglo-saxons) est l'ensemble des droits dont dispose un créateur sur son œuvre originale : livre, musique, film, photographie, mais aussi programme informatique, base de données et site web. La protection naît automatiquement dès la création de l'œuvre fixée sur un support : aucun dépôt n'est obligatoire.
Ouvre ton carnet de sécurité. Pour l'application de gestion de stagiaires du M107, liste au moins six actifs (données, serveurs, comptes, code…). Pour chacun, note de 1 (faible) à 3 (fort) le besoin en confidentialité, en intégrité et en disponibilité, puis cite la menace qui te semble la plus probable.
Pour chaque incident, indique la propriété de la triade CID qui est atteinte (parfois deux) : (1) la liste des stagiaires avec leurs numéros de CIN est publiée sur un forum ; (2) le site de l'établissement est inaccessible pendant toute la période des inscriptions ; (3) un stagiaire modifie sa note dans la base ; (4) un rançongiciel chiffre le serveur de fichiers ; (5) un employé lit les messages de ses collègues sur le Wi-Fi non chiffré du bureau.
Pour chaque mesure, donne l'état de l'information et le type de contre-mesure du cube de McCumber : (1) activer HTTPS sur le site ; (2) une note de service interdit de noter ses mots de passe sur un post-it ; (3) chiffrer le disque des ordinateurs portables ; (4) une formation de 2 heures sur l'hameçonnage ; (5) un antivirus qui analyse les programmes au lancement.
Tableau: Les attaques les plus courantes
Tableau: Les types de virus