Cybersécurité 1 — Identités, authentification et contrôle d’accès

1. Réflexion — La triade AAA

Toute politique de sécurité des accès repose sur trois questions distinctes. On les appelle souvent la triade AAA : Authentication, Authorization, Accounting.

Pilier	Question posée	Exemple concret
Authentification	Qui es-tu ?	Saisie d’un identifiant + mot de passe, ou d’une clé
Autorisation	As-tu le droit ?	Droits NTFS sur un partage, sudoers sous Linux
Traçabilité	Qu’as-tu fait ?	Journaux de connexion, auth.log, journaux AD

Q1. Pour chacune des situations suivantes, indiquez quel pilier AAA est concerné : (a) un utilisateur tape son mot de passe au démarrage ; (b) un fichier refuse une écriture ; (c) on retrouve dans un journal l’heure d’une suppression.

Q2. Un étudiant affirme : « si mon mot de passe est bon, je peux tout faire sur le serveur ». Expliquez pourquoi ce raisonnement est faux, en vous appuyant sur la triade.

2. Réflexion — Qu’est-ce qu’un bon mot de passe ?

On entend souvent « 8 caractères avec une majuscule et un chiffre ». L’ANSSI et le NIST recommandent aujourd’hui de privilégier la longueur (phrases de passe) plutôt que la seule complexité, et de bannir les mots de passe déjà connus des attaquants.

Q3. Classez ces 4 mots de passe du plus faible au plus fort et justifiez : P@ssw0rd, MonLycee2026, correct-cheval-pile-agrafe, x9#Lq2

3. Pratique — Hachage et robustesse (VM Debian)

Un système ne stocke jamais les mots de passe en clair : il en conserve une empreinte (hash). On va observer ce mécanisme.

1. Connectez-vous à votre VM Debian en SSH.
2. Générez l’empreinte SHA-256 de deux chaînes avec sha256sum :

echo -n 'motdepasse' | sha256sum
echo -n 'Motdepasse' | sha256sum

Q4. Comparez les deux empreintes. Que constatez-vous en changeant une seule lettre ? Quel est l’intérêt pour la sécurité ?

3. Observez une empreinte réelle de compte local dans /etc/shadow (nécessite les droits) :

sudo grep "^$USER:" /etc/shadow

Q5. Repérez le préfixe entre les premiers symboles « $ » (par exemple $y$ ou $6$). À quoi correspond-il ? Pourquoi voit-on aussi une longue valeur aléatoire juste après ?

4. Pratique — Politique de mots de passe (VM Debian)

On va imposer une longueur minimale et des règles de différence via libpam-pwquality.

4. Installez le module puis éditez sa configuration :

sudo apt update && sudo apt install -y libpam-pwquality
sudoedit /etc/security/pwquality.conf

# Décommentez / ajustez :
minlen = 12
dcredit = -1    # au moins 1 chiffre
ucredit = -1    # au moins 1 majuscule
difok = 3       # au moins 3 caractères différents du précédent

5. Testez en tentant de donner un mot de passe trop court à un compte de test :

sudo useradd -m testsec
sudo passwd testsec   # essayez d'abord 'abc', puis une phrase de 12+ caractères

Q6. Le système refuse-t-il le mot de passe court ? Copiez le message obtenu. Pourquoi imposer un minlen élevé plutôt qu’une simple complexité ?

5. Pratique — Moindre privilège sur l’AD de test (VM Windows)

Sur votre contrôleur de domaine de test (ne jamais travailler sur le domaine de production de l’établissement), on applique le principe du moindre privilège.

6. Créez un utilisateur standard et un groupe « Techniciens » :

New-ADUser -Name "eleve.test" -AccountPassword (Read-Host -AsSecureString) -Enabled $true
New-ADGroup -Name "Techniciens" -GroupScope Global
Add-ADGroupMember -Identity "Techniciens" -Members "eleve.test"

Q7. eleve.test est-il administrateur du domaine ? Comment le vérifier en une commande ? Doit-il l’être pour travailler ?

6. Synthèse

En une phrase chacun, reformulez : (a) la différence authentification / autorisation ; (b) le rôle du sel ; (c) pourquoi la longueur prime sur la complexité ; (d) le principe du moindre privilège.