Sécurité des communications et des réseaux

1.1 Le modèle OSI à 7 couches

Le modèle OSI (Open Systems Interconnection) de l'ISO décompose la communication en 7 couches. De haut en bas : 7 Application, 6 Presentation, 5 Session, 4 Transport, 3 Network, 2 Data Link, 1 Physical. Chaque couche rend un service précis à la couche supérieure et s'appuie sur la couche inférieure. On regroupe souvent les couches en deux familles : les host layers (7 à 4), proches de l'application et de l'utilisateur, et les media layers (3 à 1), qui gèrent l'acheminement et l'interface avec le support physique.

Fonction de chaque couche. Application (7) : interface des services réseau à l'application (HTTP, DNS, SMTP). Presentation (6) : représentation, encodage et chiffrement des données (formats, TLS). Session (5) : ouverture, maintien et fermeture des sessions entre hôtes. Transport (4) : connexions de bout en bout et fiabilité (TCP, UDP), avec les ports. Network (3) : adressage logique (IP) et détermination du chemin (routage). Data Link (2) : adressage physique MAC, mise en trame, LLC sur un même lien. Physical (1) : transmission binaire, signaux, supports et connecteurs.

Un mnémonique classique aide à mémoriser l'ordre, par exemple, de la couche 7 vers la 1 : All People Seem To Need Delicious Pizza (Application, Presentation, Session, Transport, Network, Data Link, Physical). Inversement, de 1 à 7 : Please Do Not Throw Sausage Pizza Away.

Piège d'examen : ne pas confondre l'ordre, et bien situer chaque protocole ou équipement à sa couche (un routeur opère en couche 3, un switch en couche 2). Le modèle OSI est conceptuel : tout équipement réel n'implémente pas chaque couche de façon strictement isolée.

1.2 Le modèle TCP/IP et la correspondance OSI vers TCP/IP

Le modèle TCP/IP, défini par l'IETF, se concentre sur les fonctions cœur de l'interconnexion et laisse aux applications, au-dessus de lui, le soin de servir les objectifs métier. Il comporte 4 couches : Application, Transport (host-to-host), Internet et Network Access (network interface). C'est un modèle best-effort et pragmatique, taillé pour faire communiquer des hôtes hétérogènes à grande échelle.

Correspondance avec OSI. La couche Application de TCP/IP regroupe les couches OSI 7, 6 et 5 (Application, Presentation, Session) : TCP/IP ne traite pas la notion de session de façon dédiée. La couche Transport est quasiment identique à la couche 4 d'OSI (TCP, UDP, ports). La couche Internet correspond à la couche 3 Network d'OSI (IP, routage). La couche Network Access regroupe les couches 2 et 1 d'OSI (Data Link et Physical). C'est la lecture côte à côte de la figure de comparaison : en bas les deux modèles se ressemblent fortement, en haut ils divergent.

Pourquoi connaître les deux ? Parce que les analyses de sécurité, l'ingénierie et les activités d'assurance deviennent plus simples avec un vocabulaire commun, et parce que produits et documentations empruntent aux deux. Le manuel note aussi des biais régionaux (TCP/IP plutôt côté nord-américain, OSI souvent côté européen) : il faut en être conscient sans en être prisonnier.

Piège d'examen : ne pas plaquer mécaniquement 7 couches sur 4. La règle la plus piégeuse est le haut de pile : Application TCP/IP couvre Application + Presentation + Session d'OSI, et Network Access couvre Data Link + Physical.

1.3 Encapsulation, PDU et décapsulation

Quand un message descend la pile chez l'émetteur, chaque couche encapsule les données reçues de la couche supérieure : elle y ajoute son propre en-tête (header), parfois un suffixe (trailer), avec les informations d'adressage et de contrôle utiles à cette couche, puis transmet le tout à la couche inférieure. C'est l'encapsulation. À la réception, le processus inverse se produit, couche après couche, en remontant : chaque couche retire l'en-tête qui lui est destiné et passe le reste vers le haut. C'est la décapsulation.

À chaque couche, l'unité de données encapsulée porte un nom propre : la PDU (Protocol Data Unit). De haut en bas : aux couches hautes, on parle de données (data) ; à la couche Transport, l'unité devient un segment (un datagram pour UDP) ; à la couche Network, un packet ; à la couche Data Link, une frame (trame) ; à la couche Physical, des bits transmis sur le support. Le manuel résume cette traversée de l'écran jusqu'aux bits.

Point important souligné par le manuel : les couches les plus hautes n'encapsulent pas au sens strict (elles ne reçoivent pas de données d'une couche encore au-dessus pour les empaqueter), tandis que dans les couches encapsulées, la portion de données change de nom à chaque étape. Comprendre ce mécanisme est essentiel pour lire une capture réseau et pour situer où agit une attaque.

Piège d'examen : associer la mauvaise PDU à une couche. Mémorisez l'ordre data, segment, packet, frame, bits. Le terme datagram s'emploie surtout pour UDP au niveau transport et parfois pour IP. Confondre segment (couche 4) et packet (couche 3) est une erreur classique.

1.4 La pile comme carte de la surface d'attaque et la cyber kill chain

Les modèles en couches ne sont pas que pédagogiques : ils servent de grille d'analyse de la surface d'attaque. Chaque couche a ses protocoles, ses équipements et ses menaces propres. Le manuel rappelle que la surface de menace est la plus vaste et la plus complexe à la couche Application, et que le threat modeling, la modélisation de vulnérabilités centrée données et l'expérience utilisateur se concentrent en haut de la pile. Raisonner couche par couche permet de localiser une faiblesse, de choisir la bonne contre-mesure et de ne rien oublier.

Le manuel distingue deux grandes classes de problèmes : les hazards (événements non délibérés - usure, panne d'alimentation, incendie, erreurs d'installation) et les threats (actions délibérées d'un acteur, menées par des attaques). La différence clé est l'intention. Les hazards relèvent de la sûreté de fonctionnement (safety), les threats de la sécurité (security). Cette distinction oriente les contre-mesures.

Pour structurer l'analyse d'une attaque, le manuel présente la cyber kill chain, un modèle inspiré de la doctrine militaire qui décompose une intrusion en phases successives (reconnaissance, armement, livraison, exploitation, installation, commande et contrôle, actions sur l'objectif). Ce découpage en phases aide à reconnaître que des actions isolées en apparence (un nouveau phishing, un malware inédit) peuvent appartenir à une même campagne, notamment les advanced persistent threats (APT) qui s'étalent sur des mois.

Piège d'examen : la kill chain décrit la séquence d'une attaque dans le temps, alors que la pile OSI/TCP-IP décrit où, dans l'architecture, agit chaque protocole ou contre-mesure. Les deux grilles sont complémentaires - l'une temporelle, l'autre structurelle - et l'examen attend que vous sachiez les combiner sans les confondre.

2.1 Supports de transmission : cuivre et fibre

Les bound media reposent sur trois familles. Le coaxial entoure un conducteur central épais d'un isolant puis d'un blindage tressé et d'une gaine. Ce blindage le rend robuste face aux interférences et plus difficile à écouter, au prix d'un rayon de courbure plus grand et d'un coût supérieur à la paire torsadée. La paire torsadée associe des paires de fils de cuivre torsadés : la torsade réduit l'electromagnetic interference (EMI) et le crosstalk (diaphonie entre paires voisines). On distingue l'UTP (unshielded twisted pair), sans blindage, peu cher et omniprésent mais plus exposé à l'écoute et aux interférences, et le STP (shielded twisted pair) dont le blindage métallique relié à la terre protège mieux le signal, au prix d'un câble plus rigide et plus cher. Les catégories (Cat5e, Cat6) fixent le débit et la qualité ; la portée Ethernet sur cuivre est limitée à environ 100 m.

La fibre optique transporte non plus du courant mais des impulsions lumineuses guidées par réflexion dans un coeur de verre ou de plastique entouré d'une gaine optique (cladding). Comme aucun signal électrique ne circule, la fibre est totalement immunisée contre l'EMI et n'émet aucun rayonnement exploitable : son tapping est extrêmement difficile et généralement détectable. La single-mode fiber (SMF) a un coeur fin qui limite les réflexions et autorise de très longues distances (jusqu'à 100 km) ; la multimode fiber (MMF), à coeur plus large, utilise des LED bon marché et sert sur des distances courtes (~2000 m), idéale en intra-bâtiment.

Enjeu sécurité : le choix du support est une décision de sécurité physique. Pour une liaison sensible entre deux bâtiments ou dans une zone à forte EMI (atelier, salle électrique), la fibre s'impose : pas de rayonnement, pas de tapping facile, immunité EMI totale. Sur cuivre, préférer le STP au UTP quand la confidentialité ou l'environnement électromagnétique l'exigent.

Piège d'examen : ne confondez pas immunité EMI et résistance au tapping - la fibre excelle sur les deux, mais l'argument décisif côté confidentialité est l'absence d'émanation électromagnétique exploitable. Et rappelez-vous que la distance maximale dépend du type de fibre (SMF longue, MMF courte), pas seulement du fait que ce soit de la fibre.

2.2 Spectre électromagnétique et médias non guidés

Les unbound media transmettent sans conducteur, en exploitant une portion du spectre électromagnétique. On parle souvent de radio frequency (RF), mais le sans-fil couvre aussi les micro-ondes, l'infrarouge et même la lumière visible (Li-Fi) ou les ondes acoustiques. Plus la fréquence augmente, plus la longueur d'onde diminue, et plus les caractéristiques de propagation changent.

Les ondes radio (du kHz au GHz) traversent les murs et portent loin : c'est la bande de l'AM/FM, du Wi-Fi et du cellulaire. Les micro-ondes (de 1 à 300 GHz) servent aux liaisons point à point et aux satellites mais exigent une ligne de vue (line of sight). L'infrarouge porte sur de courtes distances et ne traverse pas les obstacles (télécommandes, IrDA). La lumière visible permet le Li-Fi : transmettre des données par modulation lumineuse, signal confiné à la pièce et donc plus difficile à intercepter de l'extérieur. L'attribution des bandes est régulée par les États pour éviter les interférences entre usagers.

Enjeu sécurité : sur un média non guidé, le périmètre physique ne protège plus. Plus la portée est grande (radio), plus l'interception à distance est facile - une antenne directionnelle à fort gain ou un drone capte le signal sans entrer dans les locaux. L'espace RF du Wi-Fi ne peut pas être verrouillé ; la parade est de chiffrer la liaison et de surveiller le spectre (RF surveillance) pour détecter les émetteurs pirates.

Piège d'examen : ne réduisez pas le sans-fil à la radio. Le manuel rappelle explicitement que le wireless peut aussi utiliser la lumière (Li-Fi) ou les ondes acoustiques. À l'inverse, la fibre n'est pas un média non guidé : elle utilise la lumière mais reste un bound medium car la lumière est confinée dans le câble.

2.3 Topologies réseau

La topologie décrit comment les noeuds sont reliés physiquement et logiquement. Cinq formes reviennent à l'examen. La topologie bus relie tous les noeuds à une dorsale unique ; chaque noeud reçoit tout le trafic et ne traite que ce qui lui est destiné. Simple mais fragile : une coupure du câble met tout le réseau hors service, et le partage du médium impose un mécanisme d'accès (CSMA/CD pour Ethernet). La topologie ring (anneau) forme une boucle fermée où la donnée circule dans un seul sens, de voisin amont à voisin aval, régulée par un jeton (token). Elle est déterministe (temps d'attente maximal prévisible) mais un anneau simple est un single point of failure ; les variantes à double anneau (FDDI) assurent le failover.

La topologie star (étoile) relie chaque noeud à un équipement central (hub, switch ou routeur). C'est la topologie des LAN modernes : facile à déployer, ajout/retrait de noeuds aisé. Son talon d'Achille est l'équipement central, qui est un single point of failure. La topologie mesh (maillage) relie chaque noeud à plusieurs autres ; un full mesh relie tous les noeuds entre eux et offre une redondance maximale, mais coûte cher (pour N noeuds, chacun demande N-1 liens). On déploie souvent un partial mesh où seuls les noeuds critiques (coeur de réseau, firewalls, routeurs et leurs secours) sont pleinement maillés.

La topologie tree (arbre ou hybride) organise les noeuds en branches hiérarchiques : ajouter un noeud est facile et la panne d'une feuille n'affecte pas le reste, mais la chute d'un noeud de branchement fait tomber tous les noeuds dépendants, et une coupure de câble peut paralyser le réseau.

Enjeu sécurité et piège d'examen : la disponibilité dépend directement de la topologie. Sachez nommer le SPOF de chacune : le câble pour le bus, le noeud unique pour l'anneau simple, l'équipement central pour l'étoile, et le noeud de branchement pour l'arbre ; le mesh, lui, est conçu pour éliminer le SPOF par redondance. Attention aussi au piège physique/logique : Token Ring se câble en étoile physique mais fonctionne en anneau logique.

2.4 Équipements de couche physique

Plusieurs équipements opèrent purement au Layer 1 : ils manipulent le signal, jamais l'adresse ou la donnée. Le line driver conditionne les signaux internes d'un ordinateur en une tension capable de parcourir un long câble (les signaux internes s'atténuent en moins d'un demi-mètre). L'amplifier (amplificateur) augmente le signal pour étendre sa portée, mais amplifie aussi le bruit ; on l'utilise typiquement pour des signaux analogiques. Le repeater (répéteur) régénère le signal sur une seule liaison en éliminant le bruit, ce qui le distingue de l'amplificateur ; il s'emploie pour des signaux numériques. Le multiplexer combine plusieurs signaux sur un même chemin de transmission, utile quand la bande passante est limitée (du simple hub aux DWDM qui multiplexent plusieurs longueurs d'onde sur une seule fibre). Le concentrator regroupe des connexions pour transmettre un signal sur le réseau : un hub, comme un switch, est une forme de concentrateur. Le modem (modulator-demodulator) module un signal numérique en forme analogique et le démodule à l'autre bout.

Le hub mérite une attention sécurité particulière. Comme c'est un équipement de Layer 1, il ne lit aucune adresse : il répète tout signal reçu sur tous ses ports. Conséquence directe, trois problèmes cumulés. D'abord le broadcast : chaque trame part vers tous les hôtes, ce qui gaspille la bande passante. Ensuite les collisions : tous les ports partagent un même domaine de collision, donc le débit s'effondre quand le trafic monte. Enfin et surtout le sniffing : puisque chaque hôte reçoit le trafic de tous les autres, un poste en mode promiscuous peut capturer l'ensemble des communications du segment.

Enjeu sécurité : remplacer un hub par un switch (Layer 2) règle les trois problèmes. Le switch apprend les adresses MAC et ne transmet chaque trame qu'au port de destination, ce qui isole les domaines de collision et empêche un hôte d'écouter passivement le trafic des autres. C'est pour cela qu'on ne trouve plus de hub dans une infrastructure moderne sérieuse.

Piège d'examen : à quelle couche agit un repeater ? Layer 1 - il régénère le signal sans rien comprendre à la donnée. Ne le confondez pas avec un switch (Layer 2, adresses MAC) ni avec un routeur (Layer 3, adresses IP). Et n'oubliez pas que le hub est, lui aussi, un équipement de Layer 1 - c'est précisément ce qui le rend dangereux.

3.1 Sous-couches MAC/LLC et trame Ethernet

La couche liaison transforme les informations des couches supérieures en bits formatés pour la technologie réseau utilisée (Ethernet, token ring), et transmet des trames aux équipements physiquement connectés à l'aide d'adresses matérielles. Elle se divise en deux sous-couches. La sous-couche MAC définit l'adresse physique sur 48 bits (12 chiffres hexadécimaux) gravée dans chaque carte réseau (NIC) : les trois premiers octets identifient le fabricant (OUI attribué par l'IEEE), les trois derniers forment le numéro de série de la carte. La sous-couche LLC, au-dessus, fait l'interface avec l'adressage logique de la couche réseau (Layer 3), permet à Layer 2 de supporter plusieurs protocoles et peut assurer flow control et error correction.

La trame Ethernet (Figure 4.27) s'organise de gauche à droite : un preamble (synchronisation), l'adresse MAC de destination (octets 1 à 6), l'adresse MAC source (octets 7 à 12), le champ Ether Type / Length (octets 13-14), la charge utile (payload) de longueur variable de 46 à 1500 octets, et enfin le FCS (Frame Check Sequence, un CRC sur 4 octets) pour la détection d'erreurs. Les trois premiers champs forment l'en-tête Ethernet. Si la couche liaison détecte une erreur dans une trame via le CRC, elle demande à son pair de retransmettre cette trame.

Point de sécurité : l'adresse MAC est censée être unique et permanente, mais elle est trivialement falsifiable en logiciel (MAC spoofing / cloning). Ne traitez jamais une adresse MAC comme un facteur d'authentification fort. Le filtrage MAC ralentit un attaquant occasionnel mais ne résiste pas à un adversaire qui capture puis rejoue une adresse légitime observée sur le segment.

Piège d'examen : ne confondez pas les unités de données par couche. À Layer 2 on parle de trame (frame) ; à Layer 3 de paquet (packet) ; à Layer 4 de segment. Le Check 4.1 insiste : les segments sont créés à Layer 4, les paquets à Layer 3, les trames à Layer 2, les bits à Layer 1.

3.2 Accès au média : CSMA/CD vs CSMA/CA

Sur un média partagé, plusieurs stations risquent de transmettre en même temps et de brouiller mutuellement leur trafic. Les réseaux doivent donc arbitrer l'accès. Le manuel distingue deux familles : les protocoles à scrutation (polling), où chaque station se voit accorder un créneau d'accès exclusif (réseau dit déterministe : la bande passante par station se dégrade de façon prévisible quand le nombre d'équipements augmente), et les protocoles à contention (contention-based), où en l'absence de scrutation les équipements se disputent la bande passante en écoutant si un autre tente de communiquer (réseau probabiliste).

CSMA/CD (Carrier Sense Multiple Access with Collision Detection) est la méthode filaire, partie de la norme IEEE 802.3. Une station écoute la porteuse avant d'émettre ; si elle ne détecte aucune transmission, elle émet. Deux stations peuvent malgré tout émettre quasi simultanément : la collision est alors détectée par les deux, qui attendent chacune un intervalle aléatoire (backoff) avant de retransmettre. La détection de collision suppose un média sur lequel l'émetteur peut écouter pendant qu'il émet, ce qui est le cas du filaire.

CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance) est la méthode privilégiée en environnement sans-fil, partie de la norme IEEE 802.11. Plutôt que de détecter les collisions après coup, elle cherche à les éviter en amont : la station vérifie que le média est libre, puis envoie une trame de contrôle Request to Send (RTS) au point d'accès ; si le point d'accès accepte, il renvoie un Clear to Send (CTS) à toutes les stations du segment, réservant le canal et empêchant les autres d'émettre. En sans-fil, on ne peut pas écouter en émettant de façon fiable (problème de la station cachée), d'où le choix de l'évitement plutôt que de la détection.

Piège d'examen classique : associer la mauvaise méthode au mauvais média. Retenez : CD = filaire (802.3, on détecte la collision), CA = sans-fil (802.11, on l'évite par RTS/CTS).

3.3 ARP et résolution d'adresses (et ARP poisoning)

Le protocole le plus important de Layer 2 est ARP (Address Resolution Protocol). C'est un protocole indépendant de la technologie : d'un côté il manipule des adresses MAC, de l'autre des adresses IP, mais il n'a pas besoin de connaître les détails des autres protocoles de Layer 2. ARP assure la communication directe entre deux équipements d'un même segment LAN. Quand une station veut envoyer un paquet IP, elle doit résoudre l'adresse logique (IP) du destinataire en adresse physique (MAC), car la trame a besoin d'adresses physiques pour circuler sur le segment.

L'échange (Figure 4.28) se déroule en deux temps. D'abord une requête ARP émise en broadcast à tout le segment (adresse de destination FF:FF:FF:FF:FF:FF) : « qui a l'IP 10.10.1.15 ? ». Ensuite, seule la machine qui possède cette IP répond, en unicast, avec son adresse MAC : « 10.10.1.15 est à l'adresse MAC AA-08-00-13 ». Le demandeur met alors à jour son cache ARP local avec ce mapping IP vers MAC, pour ne pas avoir à redemander à chaque trame.

Le défaut de conception structurel : ARP n'a aucune authentification. N'importe quelle machine peut envoyer une réponse ARP non sollicitée (gratuitous ARP) ou répondre à une requête sans en être la cible légitime. L'attaque ARP poisoning (ou ARP spoofing) injecte du trafic ARP frauduleux sur le segment pour pousser une ou plusieurs machines à mettre à jour à tort leur cache ARP local. Leur trafic est alors redirigé vers la machine de l'attaquant. Cette attaque est la pierre angulaire de nombreux Man-in-the-Middle : une fois le cache empoisonné, l'attaquant intercepte (et peut modifier) tout le trafic entre les deux victimes.

Contre-mesures : Dynamic ARP Inspection (DAI) sur les switches valide les réponses ARP contre une table de liaisons IP/MAC de confiance (typiquement construite par DHCP snooping) et rejette les réponses incohérentes. On surveille aussi activement les services ARP et DHCP, et on peut figer des entrées ARP statiques pour les passerelles critiques. DAI et DHCP snooping relèvent de la cheat sheet et du CBK transverse plutôt que du texte D4, qui mentionne au niveau principe le « service monitoring (ARP, DHCP) ».

Piège d'examen : si un scénario décrit deux victimes dont le trafic transite soudain par un tiers sur le même LAN, le mot-clé est ARP poisoning / MITM, et la parade attendue est DAI (pas le chiffrement de bout en bout, qui limite l'impact mais n'empêche pas le détournement L2).

3.4 Commutation et VLAN

Deux types d'équipements opèrent à Layer 2 : les bridges et les switches. Un bridge filtre le trafic entre segments en se fondant sur les adresses MAC et amplifie le signal pour étendre physiquement le réseau. Un simple (transparent) bridge relie deux segments de même architecture L2 (Ethernet vers Ethernet) ; un translational bridge relie des architectures L2 différentes (Ethernet vers token ring). Un bridge n'empêche pas un intrus d'intercepter le trafic du segment local, et un wireless bridge rend visible à tout connecté au LAN l'ensemble du trafic qui le traverse, ce qui est un risque majeur. Le Check 4.1 le précise : un bridge n'a typiquement que deux ports et sert à connecter des segments, là où un switch a davantage de ports.

Le switch est le coeur des LAN modernes. Un switch de Layer 2 établit un domaine de collision par port, ce qui rend les transmissions bien plus efficaces que sur un média partagé. Surtout, il apprend quels équipements sont connectés à chaque port en observant les adresses MAC sources des trames, et stocke ces associations port vers MAC dans une table CAM (Content Addressable Memory). Il commute alors chaque trame uniquement vers le port du destinataire, au lieu de l'inonder partout. Les switches offrent de nombreuses fonctions de sécurité : port blocking, port authentication, MAC filtering et VLAN. Un switch de Layer 3 combine switch et routeur et peut décider sur la base de l'adresse MAC ou IP.

Les VLAN (Virtual LAN, Figure 4.31) permettent de créer par logiciel des segments LAN distincts sur un ou plusieurs switches : les équipements d'un même VLAN communiquent comme s'ils étaient sur le même réseau L2, même physiquement dispersés. On peut configurer un VLAN par port de switch, par sous-réseau IP, par adresse MAC ou par protocole. Comme les VLAN agissent en réseaux discrets, la communication entre VLAN doit passer par des services de couche supérieure (Layer 3 / routeurs). Le trafic de broadcast est confiné au VLAN, ce qui réduit la congestion et l'efficacité des attaques L2. Le transport de plusieurs VLAN sur un même lien entre switches se fait via un trunk étiqueté 802.1Q, qui ajoute un tag VLAN à chaque trame.

Point de sécurité majeur : les VLAN ne garantissent pas la sécurité du réseau. Il existe des attaques (VLAN hopping, aussi appelées attaques 802.1Q) qui permettent à un utilisateur malveillant de voir le trafic d'autres VLAN. Le VLAN est un outil parmi d'autres pour améliorer la posture globale, pas une frontière de sécurité absolue. Le manuel liste comme menaces L2 : MAC spoofing/cloning, MAC flooding (envoi massif de trames à adresses MAC sources bidons), VLAN hopping, broadcast storms et reconnaissance par MAC sniffing. Les contre-mesures recommandées : configuration correcte des NIC, monitoring des services (ARP, DHCP), configuration correcte des VLAN et des ports de switch, et IDS/IPS de Layer 2.

Piège d'examen : MAC flooding sature délibérément la table CAM du switch. Quand la table déborde, beaucoup de switches basculent en mode fail-open et inondent toutes les trames sur tous les ports (comme un hub), ce qui permet le sniffing. La parade native est le port security (limiter le nombre d'adresses MAC apprises par port). Pour le VLAN hopping, la parade est de désactiver la négociation automatique de trunk (DTP) et de ne pas laisser de port d'accès en VLAN natif par défaut.

4.1 Adressage IPv4 : structure et classes

Une adresse IPv4 tient sur 32 bits, écrite en notation décimale pointée : quatre octets séparés par des points, chacun de 0 à 255 (par exemple 216.12.146.140). Chaque adresse se divise en deux parties : le numéro de réseau (network number), attribué par une autorité externe comme l'ICANN, et le numéro d'hôte (host), qui désigne l'interface au sein de ce réseau. La frontière entre les deux est fixée par le masque de sous-réseau.

Historiquement, cette frontière dépendait de la classe, déterminée par le premier octet. La classe A (1 à 126) réserve un octet au réseau, masque par défaut 255.0.0.0 (/8), jusqu'à 16 777 214 hôtes. La classe B (128 à 191) utilise deux octets, 255.255.0.0 (/16), 65 534 hôtes. La classe C (192 à 223) en utilise trois, 255.255.255.0 (/24), 254 hôtes. La classe D (224 à 239) est réservée au multicast et la classe E (240 à 255) au développement et aux tests.

Deux plages sortent du lot. Le bloc 127.0.0.0/8, dans la zone classe A, est réservé au loopback : 127.0.0.1 permet à une machine de se diagnostiquer elle-même, comme si elle pingait une machine distante. L'APIPA (169.254.x.x) est auto-attribuée quand le DHCP échoue et n'offre qu'une connectivité locale limitée.

Piège d'examen : les classes sont aujourd'hui obsolètes, remplacées par le CIDR. À l'examen, sachez les reconnaître (plage du premier octet, masque par défaut), mais retenez que le découpage réel se fait par préfixe /n, sans contrainte de classe.

4.2 Adresses privées, NAT et PAT

L'espace IPv4 de 32 bits était trop étroit pour le nombre d'appareils connectés. Pour économiser les adresses publiques, IPv4 a réservé des plages privées, réutilisables librement par n'importe quelle organisation car elles ne sont jamais routées sur Internet : 10.0.0.0 à 10.255.255.255 (A), 172.16.0.0 à 172.31.255.255 (B) et 192.168.0.0 à 192.168.255.255 (C). Ces plages constituent la RFC1918, terme à connaître même si le manuel décrit surtout le concept.

Le partage se fait grâce au routeur. Il lit l'adresse de destination : si elle tombe dans la plage privée, il filtre le paquet (le garde à l'intérieur) ; si elle est publique, il le transfère vers le WAN. La traduction entre l'adressage privé interne et une adresse publique est le NAT (Network Address Translation). Le routeur frontière expose une seule IP publique fournie par le FAI (par exemple 1.1.1.1) côté Internet et masque la topologie interne.

Quand plusieurs hôtes privés doivent partager une seule adresse publique, on utilise le PAT (Port Address Translation), aussi appelé NAT overload : le routeur distingue les sessions par le numéro de port source. C'est le mécanisme qui équipe la quasi-totalité des box domestiques. À ne pas confondre avec le loopback (127.0.0.1), purement local et jamais traduit, ni avec l'APIPA (169.254.x.x), utilisée seulement si le DHCP échoue.

Piège d'examen : le NAT masque la topologie et complique la reconnaissance, mais ce n'est PAS un contrôle de sécurité fiable. Il n'inspecte pas le contenu, ne filtre pas les couches supérieures et tombe dès qu'une session sortante est initiée depuis l'intérieur. La sécurité reste l'affaire du pare-feu et des ACL, pas du NAT.

4.3 Subnetting et CIDR (calcul)

Pour faciliter l'administration et segmenter le trafic, on subdivise un réseau en sous-réseaux (subnets). Comme l'adresse seule ne distingue pas les subnets, c'est le masque de sous-réseau qui le fait : un bit du masque vaut 1 quand le bit correspondant de l'adresse sert au réseau ou au subnet, et 0 quand il sert à l'hôte. Le masque 11111111 11111111 11111111 00000000 se note 255.255.255.0, ou /24 en notation CIDR (le nombre de 1 dans le masque).

Le CIDR (Classless Inter-Domain Routing) libère le découpage des classes : on choisit la longueur du préfixe selon le besoin. Pour subnetter, on emprunte des bits à la partie hôte. Le nombre de sous-réseaux créés vaut 2 puissance le nombre de bits empruntés. Le nombre d'adresses par sous-réseau vaut 2 puissance le nombre de bits hôte restants, mais le nombre d'hôtes utilisables est ce résultat moins 2, car la première adresse identifie le réseau et la dernière est l'adresse de broadcast.

Exemple guidé : découper un 192.168.1.0/24 en /26. On emprunte 2 bits (24 vers 26), donc 2^2 = 4 sous-réseaux : .0, .64, .128, .192. Il reste 6 bits hôte, soit 2^6 = 64 adresses par subnet, dont 64 - 2 = 62 hôtes utilisables chacun. Le masque /26 s'écrit 255.255.255.192.

Retenez la formule maîtresse : hôtes utilisables = 2^(bits hôte) - 2, sous-réseaux = 2^(bits empruntés). Quelques repères utiles à l'examen : /30 = 2 hôtes (liens point à point), /29 = 6 hôtes, /28 = 14 hôtes, /25 = 126 hôtes, /23 = 510 hôtes. Pour obtenir au moins N sous-réseaux, choisissez le plus petit b tel que 2^b soit supérieur ou égal à N. Cette section est enrichie au-delà du manuel (provenance cbk), car le texte officiel reste léger sur le calcul détaillé.

4.4 IPv6, ICMP et modes de transmission

L'IPv6 modernise l'IPv4 et corrige plusieurs de ses faiblesses. Son champ d'adresse passe de 32 à 128 bits, soit 2^128 adresses (un nombre à 39 chiffres), ce qui rend l'épuisement théoriquement impossible. Il intègre nativement IPsec pour l'intégrité, la confidentialité et l'authentification mutuelle des partenaires, et améliore la QoS. Une adresse IPv6 s'écrit en huit groupes hexadécimaux. Important : un même réseau ne peut pas faire tourner IPv4 et IPv6 simultanément ; la transition passe par le dual stack, le tunneling ou la conversion native, via un bridge ou une gateway.

L'ICMP (Internet Control Message Protocol), le fameux ping, échange des messages de contrôle entre hôtes et passerelles. Il est la base d'outils de diagnostic comme ping et traceroute. C'est un protocole routé (routed), qui utilise l'infrastructure de routage sans y contribuer. Utile à l'administration, l'ICMP est aussi détourné pour des attaques : MITM, DoS, ping flooding, smurf (amplification par broadcast).

La couche 3 connaît quatre modes de transmission. L'unicast est du un-à-un : un seul émetteur, un seul destinataire. Le multicast est du un-à-plusieurs-d'un-groupe : l'émetteur livre à un sous-ensemble d'hôtes ayant rejoint un groupe multicast (géré par l'IGMP). Le broadcast est du un-à-tous sur le segment : chaque hôte reçoit, ce qui sert aux découvertes de service (par exemple une requête ARP) mais consomme de la bande passante et peut être exploité pour saturer un segment.

L'anycast est du un-à-un-parmi-plusieurs : plusieurs nœuds partagent la même adresse, et le message va au nœud topologiquement le plus proche (le moins de sauts) ou sur le chemin le moins chargé. Les CDN s'en servent pour rapprocher le contenu des utilisateurs. Piège d'examen : ne confondez pas multicast (groupe défini d'abonnés) et broadcast (tout le segment), ni anycast (le plus proche d'un groupe) et unicast (une cible unique fixe).

4.5 Routage et routeurs

Le routeur est l'appareil emblématique de la couche 3. Il lit l'adresse IP de destination d'un paquet et, selon sa vue du réseau, détermine le prochain saut (next hop). S'il ne connaît pas le réseau de destination, il envoie le paquet à sa passerelle par défaut (default gateway), espérant qu'elle en sache davantage. Le routeur s'appuie sur une table de routage et, pour la sécurité de base, sur une ACL (access control list) qui autorise ou refuse adresses et ports. Un routeur ainsi placé entre le LAN et le monde extérieur est un boundary router (souvent sur la DMZ).

Il faut distinguer routage statique et dynamique. Le routage statique fige des routes à la main : simple et prévisible, mais ingérable à grande échelle. Le routage dynamique utilise des protocoles de routage qui échangent automatiquement des informations pour construire et maintenir les tables. Attention au piège : un protocole de routage (RIP, OSPF, BGP) coordonne les routeurs entre eux, tandis qu'un protocole routé (IPv4, IPv6, ICMP) est simplement transporté par l'infrastructure.

Les protocoles de routage se classent en IGP et EGP. Les IGP (Interior Gateway Protocols) opèrent à l'intérieur d'un système autonome (autonomous system, AS). On y trouve RIP (distance-vector, métrique en nombre de sauts, limité à 15 sauts, RIPv1/v2 obsolètes) et les link-state OSPF et IS-IS, qui calculent le plus court chemin (SPF) en tenant compte de la vitesse, de la congestion et de la disponibilité des liens. OSPF converge vite mais consomme du CPU et de la mémoire.

Les EGP (Exterior Gateway Protocols) relient les AS entre eux. Le principal est BGP (path-vector), l'épine dorsale d'Internet, qui annonce les réseaux d'un AS à un autre. Piège et enjeu de sécurité : BGP repose sur une configuration correcte ; des pairs mal configurés peuvent rediriger le trafic (route hijack), ouvrant la porte à la surveillance ou au DoS, comme en 2017 quand le trafic d'institutions financières fut détourné via un FAI russe. Les routeurs frontière entre AS portent donc une responsabilité de sécurité majeure.

5.1 TCP vs UDP et three-way handshake

TCP (Transmission Control Protocol) est un protocole orienté connexion qui garantit la livraison fiable et ordonnée des données. Il numérote les segments, ce qui permet au récepteur de demander la retransmission d'un segment manquant ou corrompu, et il gère le contrôle de flux. Cette fiabilité a un coût : l'établissement de connexion, les accusés de réception et la fermeture ajoutent de l'overhead, surtout quand des pertes imposent des retransmissions.

La connexion TCP s'ouvre par un three-way handshake. L'initiateur envoie un paquet avec le drapeau SYN à 1 (état SYN-SENT). Le serveur alloue des ressources et répond par un SYN-ACK (état SYN-RECEIVED). L'initiateur renvoie un ACK : la connexion est ESTABLISHED des deux côtés. La fermeture, gracieuse, utilise FIN puis ACK de part et d'autre (états FIN-WAIT, CLOSE-WAIT, LAST-ACK, CLOSED). Les principaux drapeaux à connaître sont SYN, ACK, FIN, RST (réinitialisation brutale), PSH et URG.

UDP (User Datagram Protocol) est sans connexion : l'émetteur envoie, sans attendre d'accusé de réception. Il n'y a ni handshake, ni état, ni retransmission native. Cela offre le débit maximal et un overhead minimal, idéal pour la voix, la vidéo, le DNS ou les CDN où une perte occasionnelle est tolérable. Revers de la médaille : l'absence d'état rend UDP commode pour les attaques, car routeurs et firewalls n'ont pas de connexion à observer et à suivre.

Piège d'examen : ne confondez pas "fiable" et "sécurisé". TCP est fiable (livraison garantie) mais ni TCP ni UDP ne chiffrent par eux-mêmes ; la confidentialité vient de TLS au-dessus. Et retenez que le handshake en trois temps est précisément ce qu'exploite le SYN flood.

5.2 Ports, sockets et protocoles assignés

Un port est un identifiant numérique sur 16 bits qui désigne le service logiciel visé sur un hôte. TCP comme UDP utilisent des ports pour aiguiller le trafic : un navigateur HTTPS dirige ses données vers le port 443. La combinaison adresse IP + numéro de port forme un socket, c'est-à-dire l'extrémité unique d'une communication. C'est le socket, pas seulement l'IP, qui permet à une machine de tenir plusieurs conversations simultanées.

L'IANA classe les ports en trois plages. Les well-known ports (0 à 1023) correspondent aux protocoles du coeur de TCP/IP (DNS 53, SMTP 25, HTTP 80, HTTPS 443). Les registered ports (1024 à 49151) sont souvent associés à des applications propriétaires de vendeurs (RADIUS 1812, MS SQL Server 1433/1434, Docker 2375/2376). Les dynamic ou private ports (49152 à 65535) sont attribués à la volée pour la durée d'une session côté client, puis libérés.

À connaître par coeur : 20/21 FTP, 22 SSH, 23 Telnet, 25 et 587 SMTP, 53 DNS, 69 TFTP, 80 HTTP, 161/162 SNMP, 389/636 LDAP/LDAPS, 443 HTTPS, 1433/1434 MS SQL, 3389 RDP. Plusieurs services proposent un port chiffré et un port en clair (FTP/SFTP, HTTP/HTTPS, Telnet/SSH, LDAP/LDAPS) : en cas de doute, on déploie toujours la version la plus sécurisée du protocole.

Piège d'examen : les numéros de port assignés sont une convention, pas une loi. Un administrateur peut remapper un service sur un autre port, ce qui sert parfois à obscurcir un usage. La sécurité ne doit donc jamais reposer sur le seul numéro de port (security through obscurity) ; un firewall qui ne filtre que par port se fait contourner par un service déplacé.

5.3 Firewalls : du packet filter au NGFW

Un firewall applique une politique en filtrant le trafic selon un jeu de règles, avec idéalement une posture default deny (tout ce qui n'est pas explicitement autorisé est rejeté). Le packet filter, la forme historique, est sans état : il décide paquet par paquet en regardant l'adresse IP, le port, le protocole et les drapeaux TCP, au Layer 3/4. Rapide et simple, mais aveugle au contexte : il ne sait pas si un paquet appartient à une connexion légitime déjà établie.

Le stateful inspection corrige cela en maintenant une table d'états des connexions. Il autorise le trafic retour d'une session qu'il a vue s'ouvrir et bloque les paquets qui ne correspondent à aucun état attendu, ce qui le rend bien plus résistant aux paquets forgés. Il opère toujours principalement au Layer 3/4. Au-dessus, les proxies travaillent au niveau session ou application : le circuit-level proxy crée un conduit TCP/UDP (Layer 5) sans inspecter le contenu, tandis que l'application proxy relaie le trafic par application (Layer 7) et analyse le payload, repérant par exemple des buffer overflows, au prix d'un overhead plus élevé. Un proxy masque aussi l'hôte interne derrière sa propre adresse.

Le next-generation firewall (NGFW) consolide ces capacités dans un seul cadre : stateful inspection, services de proxy, prévention d'intrusion (IPS) et intégration étroite avec l'IAM pour n'autoriser que les utilisateurs habilités. Il filtre du Layer 3 (plages IP) au Layer 7 (API et applications), là où le firewall traditionnel se cantonnait au Layer 4. Le WAF (Web Application Firewall) est, lui, spécialisé Layer 7 web : il protège les applications web contre SQL injection, XSS et abus applicatifs.

Piège d'examen : NGFW et WAF ne sont pas interchangeables. Le NGFW est un firewall généraliste multicouche pour le trafic réseau ; le WAF est dédié au trafic HTTP/HTTPS d'une application web. Et retenez la distinction packet filter (sans état) vs stateful (suit l'état des connexions), classique en QCM.

5.4 IDS/IPS et architectures de filtrage

Un IDS (Intrusion Detection System) observe le trafic ou l'activité d'un hôte pour détecter des comportements suspects, puis alerte. Il est passif et placé hors bande (out-of-band) : il reçoit une copie du trafic, typiquement via un TAP ou un port miroir, et n'est pas sur le chemin des paquets. Conséquence : il ne ralentit pas le réseau, mais il ne peut pas, à lui seul, stopper une attaque. Un IPS (Intrusion Prevention System) fait le même travail de détection mais en ligne (inline), sur le chemin du trafic, ce qui lui permet de bloquer ou de modifier les paquets malveillants. Formule à retenir : l'IDS détecte et alerte, l'IPS détecte et bloque.

La portée se décline en deux familles. Le NIDS/NIPS surveille un segment réseau via un capteur ; le HIDS/HIPS est un agent installé sur un hôte, qui voit aussi les évènements locaux (intégrité de fichiers, journaux). On les combine souvent : NIDS pour la vue d'ensemble, HIDS pour le détail sur les actifs sensibles.

Deux méthodes de détection coexistent. La détection par signature compare le trafic à une base de motifs d'attaques connus : précise sur le connu, mais aveugle au nouveau (faux négatifs sur les 0-day). La détection par anomalie (comportementale) établit d'abord une baseline du trafic normal puis signale les écarts : capable de repérer l'inconnu, mais sujette aux faux positifs si la baseline est mal calibrée. Tout alerte, faux positif comme vrai positif, exige une analyse humaine.

Côté architecture, le filtrage s'organise en zones. Le bastion host est un serveur fortement durci, exposé et seul autorisé à dialoguer avec l'extérieur (jump box). Le dual-homed host possède deux interfaces sans routage direct entre elles. Le screened host place un firewall devant un bastion. Le screened subnet (DMZ entre deux firewalls) isole les serveurs exposés (mail, web) du réseau interne. Piège d'examen : on place le NIPS en ligne aux points de passage (gateway, frontière de DMZ) et le NIDS en écoute sur les segments à surveiller ; confondre passif/actif ou détecter/bloquer est l'erreur la plus fréquente.

6.1 Couche session : RPC et modes de dialogue

La couche session (Layer 5) établit, maintient et ferme les dialogues entre deux nœuds. C'est elle qui, lorsqu'une connexion vers un système distant est perdue, tente de la rétablir. Le dialogue peut suivre trois modes : simplex (transmission dans un seul sens, comme un capteur qui n'émet que), half-duplex (les deux sens mais pas en même temps, comme une radio talkie-walkie) et full-duplex (les deux sens simultanément, comme un appel téléphonique). Connaître ces trois modes et savoir les illustrer est un classique d'examen.

Un mécanisme emblématique de cette couche est le Remote Procedure Call (RPC). Le RPC permet d'exécuter du code sur un hôte distant : le client RPC envoie une requête (le calling code) à une procédure appelée (called procedure) résidant sur un autre hôte. Le RPC se comporte comme un service de courtage (brokering service) qui fournit une authentification de base et un moyen de demander l'exécution d'un travail à distance. Bien implémenté, il n'est pas un risque ; mal configuré ou peu robuste, il devient une porte d'entrée significative.

Point de sécurité crucial : la norme ISO 7498-2 précise qu'aucun service de sécurité n'est fourni à la couche session. Il faut donc traiter les vulnérabilités en appliquant des services de sécurité au-dessus ou en dessous (par exemple TLS, qui établit une session mais fournit du chiffrement et déborde du modèle OSI). Les attaques ciblant cette couche incluent le session hijack, le man-in-the-middle (MITM), le man-in-the-browser (MITB) et les tentatives de downgrade SSH. Les contre-mesures : remplacer les protocoles d'authentification par mot de passe faibles (PAP), migrer vers une gestion d'identité forte, utiliser une PKI et surveiller activement avec IDS/IPS/SIEM.

6.2 Couche présentation : encodage, formats, chiffrement

La couche présentation (Layer 6) prend l'information formatée par l'émetteur et la reformate pour qu'elle soit comprise par le récepteur. Ce reformatage porte sur trois services : l'encodage des caractères, le chiffrement et la compression. C'est la couche responsable du formatage de l'information - une question d'examen récurrente (la bonne réponse à 'quelle couche formate l'information ?' est la présentation, pas l'application).

Le service de traduction (translation service) gère les jeux d'encodage standard : ASCII, EBCDIC (hérité des mainframes IBM) et Unicode (UTF-8 domine désormais le Web). Quand deux plateformes utilisent des encodages différents, un gateway opère la conversion : c'est le seul équipement qui fonctionne véritablement à la couche présentation. Le gateway peut aussi convertir IPv4 vers IPv6 ou assurer compression et chiffrement. L'exemple classique : un gateway ASCII vers EBCDIC reliant un poste moderne à un mainframe.

Le chiffrement et la compression sont ici des services de Layer 6, même s'ils peuvent être gérés par d'autres couches (le modèle OSI est un guide, pas une spécification stricte). SSL/TLS et S/MIME sont souvent cités comme protocoles de chiffrement de cette couche. Côté menaces, les attaques à L6 visent surtout la confidentialité et l'intégrité : exfiltration de données chiffrées avec les propres capacités de chiffrement du système, downgrade du chiffrement vers un algorithme cassable, injections SQL et cross-site scripting. Les contre-mesures incluent l'inspection profonde du trafic applicatif, le WAF et la migration vers une architecture zero trust.

6.3 Couche application et protocoles legacy

La couche application (Layer 7) est la plus proche de l'utilisateur et offre la plus grande surface d'attaque de tout le modèle. Attention au piège : les applications que l'utilisateur lance (navigateur, suite bureautique, Teams, Zoom) ne résident pas à cette couche; elles consomment les services de Layer 7. Parmi les protocoles emblématiques : HTTP/HTTPS (qui utilisent TCP, pas UDP, et où HTTPS ajoute TLS), FTP (transfert de fichiers), SMTP (envoi de courrier), SNMP (gestion d'infrastructure), Telnet (terminal distant) et LDAP (services d'annuaire).

Le point d'examen central de cette leçon : les protocoles legacy. Les protocoles d'origine d'Internet n'ont jamais été conçus avec la sécurité comme objectif premier. FTP, Telnet et la commande finger transmettent identifiants et données en clear-text, n'offrent pas d'authentification forte et sont sujets à la manipulation des paquets. Telnet expose une session de terminal en clair (à remplacer par SSH); FTP expose login et fichiers (à remplacer par SFTP ou FTPS). SNMP v1 et v2 utilisent des community strings transmises en clair, facilement interceptables par brute-force ou sniffing - seul SNMPv3 ajoute le chiffrement. LDAP fonctionne par défaut en clair sur le port TCP 389; sa version 3 peut utiliser TLS (LDAPS) pour chiffrer.

LDAP mérite une attention particulière : héritier du standard X.500, il organise les entrées en arbre hiérarchique avec les concepts de Distinguished Name (DN, identifiant unique), Relative Distinguished Name (RDN, premier composant du DN), Common Name (CN), Domain Component (DC) et Organizational Unit (OU). Les annuaires sont des cibles de choix car ils concentrent l'information sur utilisateurs et ressources et s'intègrent étroitement aux outils IAM. Les menaces de Layer 7 sont nombreuses : injection SQL, abus de SNMP, floods HTTP/DDoS, cross-site scripting, LDAP injection, et attaques sur la résolution de noms et d'adresses (rogue DHCP, DNS poisoning). Contre-mesures : MFA, inspection profonde, WAF, blocage des sites/bots suspects et migration vers des protocoles sécurisés.

6.4 DNS : espace de noms, résolution et enregistrements

Le Domain Name System (DNS) résout les Fully Qualified Domain Names (FQDN) en adresses IP, parce que les humains retiennent mal les longues suites de chiffres. Inventé par Mockapetris, Postel et Su, le DNS repose sur un espace de noms hiérarchique : tout en haut la racine (root), représentée par le point administratif final d'un FQDN, qui gère les Top-Level Domains (TLD : .com, .org, .gov, .edu...). Les TLD pointent vers les domaines de second niveau (second-level domains comme isc2.org), puis viennent les sous-domaines de troisième ou quatrième niveau (www.isc2.org, mail.isc2.org). Chaque niveau doit être résoluble en une adresse IP unique.

La résolution suit un parcours précis. Le client consulte d'abord son cache DNS local, puis son fichier HOSTS local. S'il ne trouve pas, il envoie une requête à son serveur DNS local : c'est une requête récursive (recursive), où le résolveur prend en charge tout le travail et renvoie la réponse finale au client. Pour obtenir cette réponse, le résolveur enchaîne lui-même des requêtes itératives (iterative) en interrogeant successivement les serveurs racine, puis TLD, puis les serveurs faisant autorité (authoritative) jusqu'à trouver l'enregistrement. Distinguer récursif (le résolveur fait tout pour le client) et itératif (le résolveur saute de serveur en serveur) est un point d'examen.

Différents services exigent différents types d'enregistrements (record types). Les plus utilisés : A (résout un FQDN en adresse IPv4), AAAA (en IPv6), MX (identifie le relais de messagerie d'un domaine), CNAME (crée un alias de nom), NS (délègue une zone à un serveur de noms), PTR (résolution inverse adresse vers nom, le reverse lookup), TXT (texte libre, souvent pour SPF/DKIM/DMARC), SOA (Start of Authority) et SRV (localise le port et l'hôte d'un service comme LDAP ou SIP). Le DNS s'organise en zones : un ensemble cohérent d'enregistrements administré comme une unité, délégué par un enregistrement NS.

6.5 DNSSEC, DHCP et attaques associées

La spécification DNS d'origine n'a jamais intégré la sécurité : ni authentification, ni non-répudiation, ni mécanisme garantissant que les transferts de zone n'ont pas été manipulés. L'IETF a donc publié DNSSEC (DNS Security Extensions), qui automatise le processus de trust anchor pour valider les nombreux systèmes DNS de la hiérarchie d'un résolveur. DNSSEC signe les enregistrements (RRset) avec des signatures RRSIG, et chaque niveau de la chaîne (racine, TLD, domaine) signe la clé du niveau enfant via des enregistrements DS, formant une chaîne de confiance ancrée à la racine. Le résolveur valide les signatures : si elles sont absentes ou invalides, la réponse est rejetée. Point d'examen majeur : DNSSEC garantit l'intégrité et l'authenticité des réponses DNS, mais PAS la confidentialité - le trafic DNS reste en clair.

Le DHCP (Dynamic Host Configuration Protocol) attribue dynamiquement des adresses IP depuis un pool préconfiguré. Son échange suit le cycle DORA en quatre temps : Discover (le client diffuse une requête en broadcast), Offer (le serveur propose une adresse), Request (le client demande à accepter cette adresse) et Acknowledge (le serveur confirme). Si aucun serveur ne répond dans le délai imparti, le client s'auto-attribue une adresse APIPA dans la plage 169.254.x.x. DHCPv6 fait l'équivalent pour IPv6.

Ces services d'infrastructure sont la cible d'attaques caractéristiques. Côté DNS : le cache poisoning injecte une fausse réponse dans le cache d'un résolveur pour rediriger les victimes vers une IP malveillante; le DNS spoofing falsifie les réponses; le DNS hijacking détourne la configuration ou le domaine lui-même. DNSSEC contre ces falsifications en rejetant toute réponse dont la signature est invalide. Côté DHCP : un rogue DHCP server (serveur pirate) distribue de fausses configurations (passerelle, DNS contrôlés par l'attaquant) pour réaliser un MITM; la DHCP starvation épuise le pool d'adresses en demandant massivement des baux, provoquant un déni de service et facilitant l'installation du serveur pirate. Contre-mesures : DNSSEC, DHCP snooping et port security sur les commutateurs, surveillance des serveurs DHCP rogues.

7.1 Protocoles sécurisés vs non sécurisés : panorama

Les protocoles historiques d'Internet authentifient et transmettent en clair par conception. Telnet envoie chaque caractère écho entre les hôtes et se limite à une authentification username/password sans chiffrement ; une fois des identifiants de bas niveau capturés, l'escalade de privilèges est triviale car le démon telnetd tourne souvent en privilèges système. Les services UNIX rlogin, rsh et rcp reposent sur une confiance mutuelle host/IP non vérifiée et transmettent sans chiffrement : ils sont sujets à l'interception et doivent être remplacés par SSHv2.

L'approche moderne consiste à substituer un équivalent chiffré au protocole en clair, généralement sur un autre port. Quelques couples à mémoriser : HTTP (80) devient HTTPS via TLS (443) ; FTP (20/21) devient FTPS (TLS) ou SFTP (transfert sur SSH, 22) ; Telnet (23) devient SSH (22) ; SMTP (25) se sécurise via STARTTLS ou la soumission authentifiée (587) ; SNMPv1/v2 (161/162) devient SNMPv3 ; LDAP (389) devient LDAPS via TLS (636).

Le choix de la couche compte. TLS se greffe au-dessus de TCP et protège une application donnée (un flux HTTPS protège tout son contenu) ; IPsec opère sous IP et protège tout le trafic entre deux points sans modifier les applications. Le réflexe d'examen : un protocole en clair n'est jamais corrigé par un simple mot de passe ; il faut soit le remplacer, soit l'encapsuler dans un canal cryptographique (TLS, SSH, IPsec).

7.2 TLS/SSL et le handshake

Transport Layer Security (TLS) est le successeur de Secure Sockets Layer (SSL), désormais obsolète et interdit (SSLv2/SSLv3 vulnérables, ex : POODLE). TLS établit une session puis fournit chiffrement et intégrité ; il ne s'inscrit proprement ni dans le modèle OSI ni dans TCP/IP et agit comme un protocole transversal au-dessus de TCP. HTTPS, par exemple, transporte HTTP dans un tunnel TLS sur le port 443.

Le handshake négocie tout ce dont les deux parties ont besoin. Le client envoie un ClientHello (versions supportées, suites de chiffrement, valeur aléatoire) ; le serveur répond par un ServerHello (suite choisie, aléatoire), présente son certificat X.509 (authentification du serveur via la PKI) et les paramètres d'échange de clés. Les deux parties réalisent ensuite un échange de clés, puis chacune envoie un message Finished ; le trafic applicatif passe alors dans un canal chiffré par une clé de session symétrique.

La forward secrecy (PFS) est un point d'examen clé : en utilisant un échange Diffie-Hellman éphémère (ECDHE/DHE), la clé de session ne dérive jamais directement de la clé privée du certificat. Ainsi, la compromission ultérieure de cette clé privée ne permet pas de déchiffrer les sessions passées capturées. TLS 1.3 impose des suites à forward secrecy, supprime les algorithmes faibles et réduit le handshake à 1 RTT (contre 2 RTT en TLS 1.2). Piège : SSL est mort, parler de SSL aujourd'hui désigne TLS ; et le certificat authentifie le serveur, pas le client (sauf TLS mutuel).

7.3 IPsec : AH, ESP, transport vs tunnel

Internet Protocol Security (IPsec) est une suite de protocoles qui sécurise IP en fournissant authentification et chiffrement. IPsec standard n'authentifie que les hôtes entre eux ; pour authentifier des utilisateurs, on combine IPsec avec L2TP. IPsec offre deux protocoles de protection. L'Authentication Header (AH) prouve l'identité de l'origine et garantit l'intégrité grâce à un hash négocié, et inclut un numéro de séquence par paquet pour contrer le rejeu : AH assure authenticité et intégrité mais PAS la confidentialité. L'Encapsulating Security Payload (ESP) chiffre le paquet et en garantit l'intégrité ; il comporte un header (SA + séquence), un payload chiffré (avec IV si besoin), un trailer (padding) et un champ d'authentification optionnel.

IPsec opère selon deux modes. En mode transport, seul le payload IP est protégé et l'en-tête IP d'origine est conservé : c'est l'usage end-to-end (host-to-host), typiquement client vers serveur. En mode tunnel, le payload ET l'en-tête IP d'origine sont protégés, puis l'ensemble devient le payload d'un nouveau paquet doté d'un nouvel en-tête IP : c'est l'usage entre réseaux (gateway-to-gateway), typiquement les VPN firewall-à-firewall.

Cette différence est critique face au NAT. IPsec interprète tout changement d'adresse dans les en-têtes comme une attaque ; le mode tunnel survit au NAT car la source d'origine reste protégée à l'intérieur, alors que le mode transport ferait rejeter le paquet comme altéré. NAT-Traversal (NAT-T) résout cela en encapsulant IPsec dans UDP port 4500. Les clés sont gérées par Internet Key Exchange (IKE), bâti sur ISAKMP, reposant sur Diffie-Hellman (entre routeurs) ou des certificats à clé publique (VPN utilisateur). Chaque Security Association (SA) définit algorithmes, choix AH/ESP et sens ; une SA étant unidirectionnelle, une communication bidirectionnelle exige deux SA.

7.4 SSH, S/MIME, SNMPv3, SRTP et sécurité email

Secure Shell (SSHv2) est le standard d'administration distante : il remplace Telnet, rlogin, rsh et rcp en offrant authentification forte (clés publiques ou mot de passe), confidentialité et intégrité sur le port 22. Il sert aussi de transport à SFTP et de tunnel pour rediriger d'autres protocoles. Piège d'examen : se méfier des tentatives de downgrade SSH (forcer une version ou des algorithmes faibles) et privilégier l'authentification par clés.

Côté email, S/MIME assure la signature (intégrité + non-répudiation) et le chiffrement des messages via des certificats X.509 par utilisateur. Trois mécanismes anti-spoofing complètent la défense au niveau DNS : SPF (Sender Policy Framework) publie les serveurs autorisés à émettre pour un domaine ; DKIM (DomainKeys Identified Mail) signe cryptographiquement le message pour prouver son authenticité et son intégrité ; DMARC s'appuie sur SPF et DKIM pour définir la politique (rejeter, mettre en quarantaine) et le reporting. SPF, DKIM et DMARC ne figurent pas dans le manuel D4 (DKIM/S/MIME apparaissent dans la cheat sheet) et relèvent ici de la provenance cheat/cbk.

SNMP gère l'infrastructure réseau via un manager et des agents. SNMPv1/v2 transmettent les community strings (mots de passe) en cleartext et sont vulnérables au brute-force ; SNMPv3 corrige en ajoutant authentification et chiffrement : c'est la seule version à déployer. Enfin, SRTP (Secure Real-time Transport Protocol) sécurise la voix et la vidéo (VoIP) en chiffrant et authentifiant les flux RTP, là où RTP seul est en clair. SRTP est un complément d'examen non détaillé dans le manuel (provenance cbk).

7.5 Kerberos : authentification réseau

Kerberos est un protocole d'authentification réseau à base de tickets qui permet à un client et à un service de se prouver mutuellement leur identité sans transmettre de mot de passe sur le réseau. Il s'appuie sur un tiers de confiance, le Key Distribution Center (KDC), composé de l'Authentication Server (AS) et du Ticket Granting Server (TGS). Kerberos repose sur de la cryptographie symétrique et offre une authentification mutuelle, ce qui contre l'usurpation de serveur.

Le flux comporte deux temps. D'abord le client s'authentifie auprès de l'AS et reçoit un Ticket Granting Ticket (TGT) chiffré. Ensuite, pour accéder à un service, il présente le TGT au TGS qui lui délivre un ticket de service ; le client présente enfin ce ticket au service cible, qui le valide. L'intérêt majeur est le single sign-on : un seul login initial donne accès à de multiples services via les tickets, et le mot de passe ne circule jamais en clair.

La faiblesse d'examen la plus importante est la sensibilité au décalage d'horloge. Les tickets contiennent des horodatages pour limiter leur durée de vie et contrer le rejeu (replay) ; si les horloges du client, du KDC et du service divergent au-delà de la tolérance (typiquement 5 minutes), l'authentification échoue, d'où la dépendance critique à une synchronisation NTP fiable. Autre point sensible : le KDC est un single point of failure et une cible de grande valeur, car sa compromission expose l'ensemble du domaine d'authentification.

8.1 Wi-Fi 802.11 et sa sécurisation (WEP à WPA3)

Le Wi-Fi repose sur la famille de normes IEEE 802.11x. Un réseau Wi-Fi associe des clients à un wireless access point (WAP), lui-même généralement raccordé au réseau filaire. Le WAP diffuse un identifiant de réseau, le SSID. Un WAP unique forme un Basic Service Set (BSS) ; plusieurs WAP partageant le même SSID forment un Extended Service Set (ESS) qui permet le roaming. Le Wi-Fi opère sur deux bandes principales : 2,4 GHz (longue portée, plus encombrée) et 5 GHz (débit supérieur, portée plus courte). Les versions ont évolué (802.11n, 802.11ac, puis 802.11ax/Wi-Fi 6), la rétrocompatibilité permettant à un vieux poste de se connecter à un routeur récent, mais le débit maximal exige des deux côtés la même génération.

La sécurité du Wi-Fi est une frise d'échecs et de corrections. WEP (1999) utilise RC4 avec un IV de 24 bits trop court et une clé statique : il est cassé depuis longtemps, une clé se retrouve en minutes. WPA (2003) fut une rustine de transition introduisant TKIP (toujours sur RC4, avec clé par paquet) : déprécié. WPA2 (2004) impose AES en mode CCMP, le vrai saut qualitatif, mais reste vulnérable à l'attaque KRACK sur le four-way handshake. WPA3 (2018) remplace l'échange PSK par SAE (Simultaneous Authentication of Equals, dit Dragonfly), qui apporte la forward secrecy et résiste aux attaques par dictionnaire hors ligne.

Deux pièges récurrents. D'abord WPS (Wi-Fi Protected Setup) : ce mécanisme de configuration par code PIN est vulnérable au brute force et doit être désactivé, indépendamment du protocole WPA choisi. Ensuite la distinction de mode : le suffixe -Personal (PSK) partage une seule passphrase pour tout le monde, tandis que -Enterprise délègue l'authentification à un serveur RADIUS via 802.1X (voir leçon suivante), offrant des identités individuelles et la révocation. Cacher le SSID ou filtrer les adresses MAC ne sont pas des contrôles de sécurité fiables : ils se contournent trivialement par sniffing.

8.2 Authentification sans-fil : 802.1X et EAP

IEEE 802.1X est un cadre de contrôle d'accès basé sur le port. Il met en scène trois rôles : le supplicant (le client qui veut se connecter), l'authenticator (le WAP ou le switch, qui contrôle le port d'accès) et le serveur d'authentification (typiquement un serveur RADIUS, qui détient l'annuaire d'identités). Tant que l'authentification n'a pas réussi, l'authenticator garde le port fermé à tout trafic, à l'exception des messages d'authentification eux-mêmes. C'est la grande différence avec le mode PSK : chaque utilisateur a une identité propre, vérifiée centralement, révocable individuellement.

Le dialogue d'authentification utilise EAP (Extensible Authentication Protocol). EAP n'est pas une méthode unique mais une enveloppe extensible : le supplicant et le serveur négocient une méthode concrète. Sur le segment sans-fil, EAP est encapsulé dans EAPOL (EAP over LAN) entre supplicant et authenticator ; l'authenticator relaie ensuite vers le serveur dans des paquets RADIUS. Le manuel souligne qu'EAP emploie un chiffrement plus fort pour protéger les identifiants pendant leur échange, soit avec une clé pré-partagée (EAP-PSK), soit avec TLS (EAP-TLS) pour une protection plus robuste, soit via PEAP qui laisse l'organisation choisir le type d'authentification par certificat adapté à son architecture.

Les variantes diffèrent par la force et le coût de déploiement. EAP-TLS exige des certificats côté client ET côté serveur (authentification mutuelle) : c'est la plus robuste, mais elle impose une PKI. PEAP établit un tunnel TLS authentifié seulement côté serveur, à l'intérieur duquel on présente des identifiants plus simples : déploiement plus léger, très répandu. EAP-PSK repose sur une clé pré-partagée : simple, mais la sécurité s'effondre si la clé fuite. Piège d'examen : 802.1X est le cadre, EAP la méthode, RADIUS le transport vers le serveur ; WPA2-Enterprise et WPA3-Enterprise s'appuient sur ce trio.

8.3 Autres technologies sans-fil

Au-delà du Wi-Fi, l'examen attend une carte mentale des autres technologies sans-fil, classées par portée croissante. Au plus court, NFC (Near Field Communication, 13,56 MHz, moins de 10 cm) sert au paiement sans contact, au badge et à l'amorçage d'appairage. La RFID (étiquettes passives sans batterie ou actives avec batterie, de quelques centimètres à plusieurs mètres) équipe l'inventaire et le contrôle d'accès physique. Bluetooth (IEEE 802.15, WPAN) vise le remplacement des câbles entre périphériques proches : le manuel cite une portée maximale de 100 m, mais la classe 2 usuelle plafonne vers 10 m, avec un débit suffisant pour l'audio haute fidélité ; l'appairage établit la confiance entre deux appareils.

Zigbee (couche réseau au-dessus d'IEEE 802.15.4) cible les objets connectés à très basse consommation, sur topologies mesh, tree ou star. Le manuel insiste sur sa gestion de clés : les appareils arrivent avec une clé symétrique 128 bits préinstallée que Zigbee peut mettre à jour, le but étant d'éviter de transmettre la clé en clair sur le canal de données. Mais il avertit que beaucoup de produits domotiques sont restés avec la seule clé d'usine, jamais renouvelée, et que cette clé est parfois devenue publique : comme dans tout chiffrement symétrique, si la clé fuite, toute la sécurité tombe.

Pour la longue portée, le cellulaire (générations 1G à 5G, standardisé par le 3GPP) couvre des cellules de l'ordre du kilomètre via des stations de base ; la 5G NR vise des débits jusqu'à 20 Gbps et l'IoT massif, en interopérant avec la 4G LTE là où la couverture manque. Le satellite fournit le haut débit aux zones isolées, au prix d'une latence et d'un taux de perte plus élevés, sensibles à la météo et à la ligne de vue. Enfin Li-Fi transmet par lumière visible : très haut débit local, confiné à la pièce et insensible aux interférences RF, mais bloqué par tout obstacle opaque.

8.4 Attaques sans-fil et contre-mesures

Parce que le média est partagé et ouvert, le sans-fil concentre une famille d'attaques propres. La reconnaissance commence souvent par le war driving : parcourir une zone pour cartographier les réseaux Wi-Fi accessibles et leur niveau de protection. Vient ensuite le rogue AP, point d'accès non autorisé branché sur le réseau de l'entreprise par un employé ou un attaquant, qui ouvre une porte dérobée contournant le périmètre. Sa cousine, l'evil twin, est un faux WAP qui imite le SSID légitime pour piéger les clients : l'attaquant intercale alors un man-in-the-middle et capture les identifiants.

Plusieurs attaques exploitent les trames de gestion 802.11, historiquement non authentifiées. L'attaque de deauthentication (deauth) envoie des trames de dissociation forgées pour éjecter les clients ; elle sert de DoS, mais aussi d'amorce : on déconnecte la victime pour la pousser à se reconnecter sur un evil twin, ou pour capturer le four-way handshake en vue d'un crack hors ligne. KRACK (Key Reinstallation Attack) vise précisément ce handshake WPA2 en forçant la réinstallation d'une clé déjà utilisée, ce qui permet de rejouer et déchiffrer du trafic. Le jamming, lui, sature la bande RF : c'est un DoS pur par interférence, que le manuel range parmi les risques intrinsèques du sans-fil.

Côté Bluetooth, le bluejacking envoie des messages non sollicités à un appareil à portée (gênant mais bénin), tandis que le bluesnarfing exfiltre des données (contacts, fichiers) via une faille d'appairage : bien plus grave. Le RFID skimming lit à la dérobée une étiquette ou une carte sans contact pour cloner ses données. Les contre-mesures se superposent en defense in depth : chiffrement fort (WPA3, AES-CCMP) et authentification d'entreprise (802.1X/EAP-TLS) ; détection des rogue/evil twin par un WIPS (Wireless Intrusion Prevention System) qui repère les SSID dupliqués et les bursts de deauth ; gestion des trames protégées (PMF/802.11w) contre les deauth ; appairage Bluetooth en mode sécurisé et désactivation quand inutilisé ; blindage ou désactivation du sans-fil de l'IoT ; et politiques interdisant tout WAP non géré.

9.1 Segmentation, DMZ et micro-segmentation

Segmenter un réseau, c'est le découper en zones de confiance séparées par des contrôles (le plus souvent des firewalls), de sorte qu'une compromission dans une zone ne se propage pas librement. La segmentation classique distingue au minimum trois zones : la zone publique (internet), une zone semi-confiance exposée et une zone interne de confiance. C'est la logique de Trust, but Verify illustrée par le perimeter network : chaque franchissement de frontière exige authentification et autorisation.

La DMZ (demilitarized zone), aussi appelée screened subnet, est cette zone tampon où l'on place les services qui doivent être joignables depuis l'extérieur : serveur web, serveur de messagerie, bastion (jump box), edge servers. L'idée est de ne jamais exposer directement le réseau interne : un attaquant qui compromet un service en DMZ ne doit pas trouver de chemin direct vers la base de données. On encadre la DMZ par deux jeux de règles (vers l'extérieur, vers l'intérieur), souvent matérialisés par deux firewalls ou un firewall à trois pattes.

La micro-segmentation pousse cette logique à l'extrême : au lieu de quelques grandes zones, on isole des charges de travail individuelles (voire des flux applicatifs), avec un point de contrôle à presque chaque connexion (next-generation firewalls). Son bénéfice de sécurité majeur est de limiter drastiquement le lateral movement : même à l'intérieur du périmètre, rien ne communique sans règle explicite. C'est une brique fréquente des réseaux Zero Trust.

Piège d'examen : « DMZ » et « screened subnet » désignent la même chose ; et la micro-segmentation n'est PAS synonyme de Zero Trust (elle en est un composant possible, jamais suffisant à elle seule). Placer une base de données en DMZ est l'erreur type à reconnaître.

9.2 Défense en profondeur réseau et contrôles cloud

La défense en profondeur (defense in depth) applique des contrôles à chaque couche plutôt que de tout miser sur un périmètre unique : segmentation, firewalls, IDS/IPS, chiffrement du data-in-transit, RBAC sur les équipements et la console de supervision, MFA pour les actions privilégiées, audit continu des appels privilégiés. Aucun contrôle n'est parfait, donc on les superpose pour que la défaillance de l'un soit rattrapée par un autre.

Dans le cloud IaaS, ces contrôles changent de forme. Le VPC (Virtual Private Cloud) est la brique d'isolation : une section logiquement isolée où le client maîtrise plages d'IP, subnets, tables de routage et passerelles. La règle d'or : toute défaillance de l'isolation du VPC est susceptible de provoquer une brèche. Attention aussi aux services managés du fournisseur, souvent situés hors du VPC client et parfois joignables depuis internet par défaut (ex. un bucket de stockage objet).

Deux mécanismes de filtrage cloud se complètent et s'opposent au sens de l'examen. Le security group s'applique au niveau de l'instance (la VM) avec des règles stateful : la réponse à un trafic autorisé est implicitement permise. La NACL (Network Access Control List) s'applique au niveau du subnet avec des règles stateless : entrée et sortie sont évaluées séparément, et chaque sens doit être autorisé explicitement. Une NACL peut allow ou deny ; un security group, classiquement, n'exprime que des allow.

La NFV (Network Functions Virtualization) complète le tableau : les fonctions réseau (firewall, routeur, équilibreur de charge) deviennent des logiciels exécutés sur du matériel banalisé. C'est ce qui rend la défense en profondeur élastique et programmable dans le cloud. Piège d'examen : confondre stateful (security group, instance) et stateless (NACL, subnet) est l'erreur classique.

9.3 SDN et SD-WAN

Le SDN (Software-Defined Networking) sépare la décision de l'acheminement. Il s'organise en trois plans. Le plan application porte les besoins réseau des applications métier, exprimés via des API dites northbound interfaces (NBI), souvent propriétaires. Le plan control est le cerveau : un contrôleur centralisé programme les flux et dialogue avec les équipements via les southbound interfaces (SBI), dont OpenFlow fut le protocole pionnier. Le plan data (ou forwarding plane) regroupe switches, routeurs et autres équipements, physiques ou virtuels, qui se contentent d'acheminer le trafic selon les décisions reçues.

La terminologie des flux est piégeuse car elle a deux usages. Au sens SDN, north-south désigne le mouvement vers le haut ou le bas de la pile de plans (NBI/SBI), tandis que east-west désigne les échanges au sein d'un même plan (par exemple le control plane qui parle aux hyperviseurs et au stockage). Au sens sécurité plus large, on parle de trafic north-south pour ce qui entre et sort de l'organisation, et de trafic east-west pour le trafic interne entre charges de travail. Les deux lectures sont valides ; il faut identifier laquelle la question mobilise.

Le SD-WAN (Software-Defined WAN) étend le SDN à l'interconnexion de sites distants via internet, typiquement dans une logique de migration cloud. Il remplace les architectures WAN historiques, peut être hébergé chez un ou plusieurs fournisseurs cloud, et apporte micro-segmentation des types de trafic (broadband, MPLS, internes vs externes), réduction de l'empreinte matérielle on-premises et administration centralisée.

Enjeu de sécurité décisif : en centralisant l'intelligence dans le control plane, le SDN crée un point de contrôle unique - donc un point de défaillance et une cible de choix. Si le contrôleur est compromis, l'attaquant programme tout le réseau. Piège d'examen : « software-defined » ne se limite pas au réseau (il existe une sécurité software-defined) ; et le bénéfice du SDN n'efface pas le risque de concentration sur le control plane.

9.4 CDN et edge computing

Un CDN (Content Distribution Network ou Content Delivery Network) est un vaste système distribué de serveurs déployés dans de multiples data centers à travers internet, dont le but est de servir du contenu aux utilisateurs avec une haute disponibilité et de hautes performances. Le contenu typique est de la vidéo en streaming ou du multimédia, mais les médias d'information s'en servent aussi pour pousser le travail de correspondants vers un serveur d'origine, puis le diffuser à la demande.

Un CDN comporte deux composants majeurs. Le serveur d'origine héberge le contenu source (pages web, médias riches, audio, vidéo). Les serveurs edge reçoivent ce contenu par push et le redistribuent aux utilisateurs finals. L'astuce est géographique : en plaçant des edge servers au plus près des régions à forte densité d'utilisateurs, on réduit la latence et la distance parcourue. Le contenu est mis en cache de proximité sur l'edge, ce qui évite de solliciter l'origine à chaque requête.

L'edge computing généralise cette idée au-delà de la simple diffusion : les serveurs edge offrent de la capacité de calcul au plus près de la bordure de l'organisation. Leurs cas d'usage incluent l'acquisition et la réduction de données issues de grands parcs de capteurs, ou le contrôle et la gestion de flottes IoT diverses et dispersées.

Intérêt sécurité : la dispersion et la capacité distribuée d'un CDN aident à absorber les pics de trafic et à atténuer les attaques DDoS volumétriques, puisque la charge est répartie sur de nombreux points de présence plutôt que concentrée sur l'origine. Les CDN évoluent d'ailleurs vers des services spécialisés de sécurité et d'optimisation. Piège d'examen : ne pas confondre le serveur d'origine (source unique) avec les edge servers (copies de cache réparties) ; et garder que le bénéfice DDoS vient de la répartition, pas d'un chiffrement.

9.5 Trust-but-Verify vs Zero Trust (NIST 800-207)

Le modèle historique trust-but-verify part d'une hypothèse implicite : une fois un sujet authentifié et autorisé à franchir une frontière (token avec une time-to-live), on lui fait confiance tant que son jeton n'a pas expiré. Ce modèle se voit typiquement avec le SSO : un Single Sign On dépose l'utilisateur sur le LAN/WAN, d'où il a une visibilité large, sinon un accès, sur une grande partie des systèmes. C'est pratique, mais la fenêtre de confiance reste ouverte et large.

Zero Trust inverse l'hypothèse : aucun accès n'est implicite, ni à l'intérieur ni à l'extérieur du périmètre. Le principe se résume par never trust, always verify. Chaque action ou requête d'un sujet doit être authentifiée et autorisée, et la fenêtre de confiance (la time-to-live du jeton) devient quasi nulle. Les réseaux Zero Trust sont souvent micro-segmentés, avec des next-generation firewalls à presque chaque point de connexion.

Le NIST a formalisé l'approche dans la SP 800-207 (Zero Trust Architectures, ZTA), qui en donne une vue logique. Trois composants structurent le plan de contrôle. Le Policy Engine (PE) prend la décision d'accès en évaluant la politique et les signaux disponibles. Le Policy Administrator (PA) exécute cette décision en établissant ou coupant la session. Le Policy Enforcement Point (PEP) est le point d'application placé sur le chemin entre le sujet et la ressource : il laisse passer ou bloque chaque requête. Aucune connexion sujet-ressource ne contourne le PEP.

Le NIST insiste : Zero Trust dépasse la technique réseau. Ce n'est pas qu'une affaire de câbles, routeurs, firewalls ou même de micro-segmentation ; il faut combiner des approches stratégiques, tactiques, opérationnelles et technologiques. Pièges d'examen : une DMZ n'est pas du Zero Trust (c'est du périmètre trust-but-verify) ; la micro-segmentation est nécessaire mais pas suffisante ; et Zero Trust contrôle par requête, pas par session de longue durée.

10.1 VPN : accès distant vs site-to-site

Un VPN établit une connexion point-to-point qui prolonge un réseau privé à travers un réseau public, le plus souvent via un tunnel chiffré. Un tunnel est l'encapsulation d'un protocole dans un autre. Deux topologies dominent. Le VPN remote-access relie un poste nomade (avec un client VPN) à une gateway de l'organisation : l'utilisateur retrouve l'accès aux ressources internes comme s'il était au bureau. Le VPN site-to-site relie deux gateways (gateway-to-gateway), par exemple deux sites ou un partenaire, pour transporter le trafic inter-sites sur Internet sans liaison dédiée coûteuse.

Deux familles de protocoles s'opposent à l'examen. L'IPsec VPN opère en couche 3 : il chiffre les paquets IP via AH/ESP, négocie les clés avec IKE et fonctionne en tunnel mode (paquet entier protégé, typique du site-to-site et du remote-access) ou en transport mode (seule la charge utile). Il porte tout protocole IP mais exige un client. Le SSL/TLS VPN s'appuie sur TLS et la PKI pour générer une clé de session ; il est accessible via un navigateur, donc léger à déployer et compatible avec la quasi-totalité des réseaux qui laissent sortir le HTTP. Note historique : SSL est obsolète et insécurisé, remplacé par TLS. PPTP (legacy, GRE) et L2TP (qui ne chiffre pas et s'appuie sur IPsec) complètent le paysage des tunnels.

Le split tunneling laisse le poste distant envoyer une partie de son trafic dans le tunnel (vers l'entreprise) et le reste directement vers Internet. C'est pratique et économe en bande passante, mais cela crée un pont potentiel entre Internet et le réseau interne, contournant les contrôles périmétriques. La contre-mesure classique est le full tunneling (tout le trafic passe par la gateway et ses contrôles).

Piège d'examen : ne confondez pas le type de VPN (qui se connecte à qui : remote-access ou site-to-site) avec le protocole (comment on sécurise : IPsec ou TLS). Les deux questions sont orthogonales. Et rappelez-vous que le SSL/TLS VPN est plus simple à déployer côté client, tandis que l'IPsec VPN est plus universel pour le trafic non web.

10.2 AAA réseau et NAC : RADIUS, TACACS+, Diameter

Les services AAA (authentication, authorization, accounting) centralisent le contrôle d'accès réseau. RADIUS (Remote Authentication Dial-In User Service) utilise UDP (ports 1812/1813), ne chiffre que le mot de passe dans le paquet et combine authentication et authorization dans un même échange. C'est un standard ouvert très répandu pour l'accès réseau et le sans-fil. Son successeur, Diameter, repose sur un transport fiable (TCP ou SCTP), apporte une meilleure sécurité et davantage d'extensibilité ; on le rencontre surtout dans les réseaux mobiles (IMS, 4G/5G).

TACACS+ (Cisco) utilise TCP (port 49), chiffre l'intégralité du payload et sépare les trois A (authentication, authorization, accounting). Cette séparation permet un contrôle fin commande par commande, idéal pour l'administration d'équipements réseau. Mnémonique d'examen : TACACS+ = TCP, chiffre Tout, sépare l'AAA ; RADIUS = UDP, chiffre seulement le mot de passe, combine authn et authz.

Le Network Access Control (NAC) ne crée pas la politique, il l'applique. Il donne la visibilité sur qui et quoi se connecte (employés, BYOD, IoT, invités) et vérifie la posture du terminal avant admission : niveau de patch, antivirus actif, règles de pare-feu, intégrité. Un poste non conforme est isolé dans un réseau de quarantaine, éventuellement remédié, puis admis. Le 802.1X est un protocole de Port-based NAC à trois rôles : le supplicant (le terminal), l'authenticator (commutateur ou point d'accès) et le serveur d'authentification (souvent RADIUS). Le NAC peut être agent (logiciel installé, posture riche) ou agentless (scan réseau, plus léger mais moins profond).

Provenance : RADIUS n'apparaît dans le manuel D4 que comme port (1812) ; TACACS+ et Diameter sont quasi absents du manuel et proviennent ici de la cheat sheet et du CBK transverse. Piège : RADIUS combine authn et authz et ne chiffre que le mot de passe ; ne lui attribuez pas la séparation AAA ni le chiffrement complet, qui sont des marqueurs de TACACS+.

10.3 Convergence voix/vidéo : VoIP, SIP, QoS

La VoIP (Voice over IP) transporte la voix sur des réseaux IP : la voix est numérisée, compressée par un codec, découpée en paquets, transmise puis reconstituée à l'arrivée. Elle est la fondation des communications unifiées (web et visioconférence) et a été absorbée par les plateformes de collaboration multimédia (Zoom, Teams, Skype). Comparée au POTS (plain old telephone system, circuit-switched analogique), la VoIP offre chiffrement, enregistrement et conférence, mais elle hérite de tous les risques du monde IP.

Deux plans coexistent. La signalisation établit, modifie et termine l'appel : c'est le rôle de SIP (Session Initiation Protocol, RFC 2543 puis successeurs), qui permet à tout équipement compatible de dialoguer avec un autre. SIP supporte l'authentification digest (historiquement par hash MD5) et le chiffrement, notamment via TLS, ainsi que des extensions de confidentialité (chiffrement, masquage du caller ID). Le média (la voix elle-même) voyage dans RTP ; sa variante sécurisée SRTP ajoute chiffrement et authentification du flux audio. Une passerelle (gateway) raccorde le monde IP au PSTN pour joindre les téléphones analogiques, et de nombreuses juridictions imposent des services E911 et de géolocalisation.

La qualité de service (QoS) est critique : la voix tolère mal la latence, la gigue (jitter) et la perte de paquets. On la priorise (marquage DiffServ, file d'attente) et on isole souvent la voix dans un VLAN dédié. Côté sécurité, les menaces incluent l'eavesdropping (interception de RTP non chiffré), le SPIT (Spam over Internet Telephony), le toll fraud, le détournement de signalisation SIP, et les DoS qui dégradent les appels.

Piège d'examen : SIP signale, RTP/SRTP portent le média - ne les confondez pas. Et retenez que la VoIP n'efface pas les risques : elle hérite de ceux d'IP (spoofing, DoS, sniffing) tout en ajoutant les siens (SPIT, toll fraud). Le bon réflexe est SRTP pour le média et SIP sur TLS pour la signalisation.

10.4 Réseaux convergés et de stockage

La convergence consiste à faire circuler sur une même infrastructure IP des trafics historiquement séparés (données, voix, stockage). iSCSI (Internet Small Computer Systems Interface) fait passer des commandes SCSI sur des réseaux IP, évitant un câblage de stockage dédié. Idéalement iSCSI fonctionne sur un réseau dédié, car les transferts de masse entrent en contention avec les transactions sensibles au temps. Il supporte plusieurs schémas d'authentification : les anciennes implémentations utilisent CHAP, mais Kerberos ou SRP (Secure Remote Password) sont préférables.

FCoE (Fibre Channel over Ethernet) encapsule le Fibre Channel dans des trames Ethernet pour simplifier l'environnement de centre de données. Correctement mis en oeuvre, FCoE reproduit le comportement d'un réseau de stockage Fibre Channel tout en mutualisant l'infrastructure Ethernet. MPLS (Multiprotocol Label Switching) opère entre les couches 2 et 3 : il commute selon une étiquette (label) plutôt que par recherche d'adresse à chaque saut, améliorant la performance et permettant l'ingénierie de trafic, la priorisation de service et la résilience (par exemple MPLS Fast Reroute). Le routeur de bord (MPLS Edge Node) appose ou retire l'étiquette, les LSR (Label Switching Router) commutent à l'intérieur du domaine.

La connectivité tiers exige des pratiques de gestion : politique d'onboarding/monitoring/offboarding, inventaire des relations et évaluation des risques, monitoring et audit conformes aux contrats. À la fin de l'accès, vérifiez que l'IAM reflète le retrait des privilèges, que les interconnexions physiques et logiques sont supprimées et que le matériel est récupéré.

Enfin, la sécurité des endpoints s'appuie sur un Root of Trust (RoT) : un composant matériel immuable (trust anchor), souvent une puce TPM, qui garantit l'authenticité et l'intégrité de l'amorçage (BIOS, composants système). L'immuabilité est difficile à atteindre en logiciel, d'où l'ancrage matériel. La gestion d'endpoint moderne couvre identité, configuration, vérification de santé, gestion à distance et géolocalisation. Piège : iSCSI et FCoE sont des protocoles convergés/stockage, pas des VPN ; et MPLS améliore la performance et la QoS mais n'est pas un mécanisme de chiffrement.

10.5 Attaques réseau et contre-mesures

Les attaques réseau se rangent par service de sécurité touché. Les attaques de disponibilité visent à interrompre le service. Le DoS sature une cible depuis une source ; le DDoS le fait depuis un botnet distribué (la prolifération de l'IoT a rendu les DDoS volumétriques sans fil spectaculaires). On distingue le DDoS volumétrique (sature la bande passante) du DDoS applicatif (épuise les ressources serveur avec peu de trafic). L'amplification/réflexion exploite des services qui répondent plus gros que la requête : Smurf envoie un echo ICMP à l'adresse de broadcast avec l'IP de la victime usurpée, provoquant une avalanche de réponses ; DNS et NTP servent aussi de réflecteurs. Contre-mesures : rate limiting, scrubbing/anti-DDoS, filtrage en amont (CDN/ISP), fermeture des résolveurs ouverts, anti-spoofing d'entrée (BCP38).

Les attaques de confidentialité et d'intégrité interceptent ou altèrent le trafic. Le MITM (man-in-the-middle) place l'attaquant entre deux parties ; il résulte souvent d'un ARP poisoning/spoofing (injection d'associations IP-MAC fausses) ou d'un DNS poisoning. Contre-mesure : chiffrement bout en bout (TLS), authentification mutuelle, HSTS, et au niveau commutateur Dynamic ARP Inspection (DAI) et DHCP snooping. Le session hijacking vole un jeton ou un cookie de session établie ; on s'en protège par des jetons aléatoires, des cookies Secure/HttpOnly, l'expiration et la re-authentification. Le spoofing usurpe une identité (IP, ARP, DNS, MAC) ; DNSSEC protège l'intégrité DNS, le filtrage anti-usurpation d'entrée limite l'IP spoofing. Le replay rejoue des paquets légitimes capturés ; on le contre par des nonces, de l'horodatage, des numéros de séquence et l'anti-replay d'IPsec.

Piège d'examen classique : la question demande quel attaquant se fait passer pour un système intermédiaire. La réponse précise est souvent l'ARP spoofing (le mécanisme), qui crée une situation de MITM (le terme général). Sachez aussi qu'un teardrop est un DoS par fragments non réassemblables, et que le route poisoning n'est pas une attaque mais un mécanisme de RIP. Le bon réflexe : relier chaque attaque au service (C/I/A) et à sa contre-mesure dédiée plutôt que de mémoriser des noms isolés.