" Gestion efficace du controle d'accés dans les réseaux"

(1)

Gestion efficace du contrôle

d’accès dans les réseaux

Olivier Paul

Département RSM

ENSTB

(2)

Plan



Introduction.



Etat de l ’art.



Résultats simulatoires.



Conclusion.

(3)

Introduction

 Le contrôle d ’accès:Le contrôle d ’accès:

– Service qui assure une protection contre une utilisation Service qui assure une protection contre une utilisation non autorisée de ressources par une entité ou un groupe

non autorisée de ressources par une entité ou un groupe

d ’entité (ISO).

(4)

Hétérogénéité des

langages/outils

 Les différences peuvent provoquer des erreurs Les différences peuvent provoquer des erreurs

de configuration de configuration

 Le temps passé à étudier les différents langages Le temps passé à étudier les différents langages

est perdu pour des activités plus utiles est perdu pour des activités plus utiles

(5)

Nouvelles architectures

Internet CA Réseau 1 CA Réseau 0

Les architectures de contrôle d ’accès deviennent de plus

en plus complexes. en plus complexes. CA Réseau 2 CA Terminal

(6)

Vision globale de la sécurité

Réseau 2 CA CA _Internet

Réseau 1

CA Réseau 0

Les politiques de sécurité doivent prendre en compte la

globalité du service de contrôle d ’accès

(7)

Conclusion

Internet CA Réseau 1 CA Réseau 0

Il est nécessaire de développer des outils de gestion

automatique du contrôle d ’accès.

CA Réseau 2 CA Terminal Politique de contrôle d ’accès

(8)

Etat de l ’art (1)



Interface graphique

– [Sam95]._[Sam95].



Langage formel

– [Gu97], [Wil98].[Gu97], [Wil98].



Langage de bas niveau

– [Hin99], [Plg099], [Pfip98], [Plg199].[Hin99], [Plg099], [Pfip98], [Plg199].



Langage à base de rôle

(9)

Langage générique

Langage générique Langage générique

Langage A

(10)

Interface graphique

(11)

Langage formel

 Description formelle de la politique de C.A.Description formelle de la politique de C.A.

Zones : a

Zones : a1₁,a,a22,…, a,…, aii, …, a, …, ann Paquets : pPaquets : p11,p,p22,…, p,…, pii, …, p, …, pnn Règle :

Règle : ij_ij(p(pkk) ) Politique : P = {Politique : P = {ijij(p(pkk)} )}

 Permet de prouver que la distribution est correctePermet de prouver que la distribution est correcte  Les utilisateurs !!!Les utilisateurs !!!

(12)

Langage de bas niveau

 Description pratique de la politique de C.A.Description pratique de la politique de C.A.

– Utilisation de langages génériques de bas niveau.Utilisation de langages génériques de bas niveau.

Autoriser la machine 192.165.203.5 à utiliser des serveurs WWW externes: Autoriser la machine 192.165.203.5 à utiliser des serveurs WWW externes:

IF (IP_SRC_ADDRESS = 192.165.203.5 255.255.255.255) AND (IP_DST_ADDRESS = 0.0.0.0 0.0.0.0) AND (SRC_PORT > 1023) AND (DST_PORT = 80) THEN PERMIT TRANSP_CONNECTION LEVEL1; IF (IP_SRC_ADDRESS = 0.0.0.0 0.0.0.0) AND (IP_DST_ADDRESS = 192.165.203.5 255.255.255.255) AND (SRC_PORT = 80) AND (DST_PORT > 1023) AND (TCP_FLAG <> SYN) THEN PERMIT

(13)

Langage de bas niveau

– Utilisation de langages génériques de bas niveau.Utilisation de langages génériques de bas niveau.

 Les utilisateurs.Les utilisateurs.

(14)

Langage à base de rôles

– Utilisation de rôles pour limiter la complexité.Utilisation de rôles pour limiter la complexité.

Service WWW

(SRC_PORT > 1023) AND (DST_PORT = 80)

ClientW3

192.165.203.5, 192.165.203.6, 192.165.203.7

ServeurW3

193.203.165.3

Serveur WWW

ServeurW3 <-> ClientW3 : Service WWW

Politique de contrôle d ’accès instanciée

(15)

Etat de l ’art (2)

 Distribution manuelle centraliséeDistribution manuelle centralisée

– [Sam95].[Sam95].

 Distribution automatique centraliséeDistribution automatique centralisée

– [Gu97].[Gu97].

– [Fir99], [Plg099].[Fir99], [Plg099].

– [Hin99].[Hin99].

 Distribution automatique distribuéeDistribution automatique distribuée

– [Pfip98]. [Pfip98].

(16)

Distribution manuelle

centralisée

 Outil graphique de configuration des équipements.Outil graphique de configuration des équipements.  Indépendance vis à vis du protocole de gestion.Indépendance vis à vis du protocole de gestion.

 Projet européen SAMSON achevé en 1995. Objectif: Faciliter Projet européen SAMSON achevé en 1995. Objectif: Faciliter la gestion d ’équipements de sécurité hétérogènes.

la gestion d ’équipements de sécurité hétérogènes.

Firewall 1

Firewall 2

Firewall 3 Console

(17)

Distribution automatique de la

politique de contrôle d ’accès

 Configurer chaque Configurer chaque

équipement de C. A. équipement de C. A. avec l ’ensemble des avec l ’ensemble des

règles de C. A. règles de C. A.

 Garantir l ’efficacité.Garantir l ’efficacité.  Garantir la sécurité.Garantir la sécurité.

(18)

Garantir l ’efficacité

Routeur Proto Source ports Dest Address Source Source Address Address Flags Dest ports

If Cond1 and Cond2 and Cond3 then action1 If Cond4 and Cond5 then action2

If Cond6 then action1

Politique de n règles

portant sur les c champs

Classification :

 Complexité : O(log n), Complexité : O(log n),

complexité spatiale : O(n

complexité spatiale : O(n cc).).  Complexité spatiale: O(n), Complexité spatiale: O(n),

complexité : O(log

complexité : O(log c-1c-1 n). n).

Le nombre de règle a un impact important sur le processus de classification

Paquet composé de c champs

(19)

Distribution automatique de la

politique de contrôle d ’accès

 Configurer chaque Configurer chaque

équipement de C. A. équipement de C. A. avec l ’ensemble des avec l ’ensemble des

règles de C. A. règles de C. A.

 Garantir l ’efficacité.Garantir l ’efficacité.  Garantir la sécurité.Garantir la sécurité.

 Utiliser le plus petit sous Utiliser le plus petit sous

ensemble des règles de ensemble des règles de

C. A. qui assure la C. A. qui assure la

politique de C. A. politique de C. A.

 Il faut définir des critères afin de Il faut définir des critères afin de

calculer ce sous ensemble. calculer ce sous ensemble.

(20)

Critère 1

 Les capacités de contrôle d ’accès de l ’equipement.Les capacités de contrôle d ’accès de l ’equipement.

 Une règle ne doit pas être attribuée à un Une règle ne doit pas être attribuée à un

équipement si celui-ci n ’a pas les capacités de équipement si celui-ci n ’a pas les capacités de

contrôle d ’accès pour l ’appliquer. contrôle d ’accès pour l ’appliquer.

ATM END System ATM Native Application ATM Native Application C.A.

Rule 1: IF <Conditions at the IP level> Then <Action> Rule 2: IF <Conditions at the ATM level> Then <Action>

(21)

Critère 2

 La topologie du réseau.La topologie du réseau.

 Une règle ne doit être attribuée qu ’aux Une règle ne doit être attribuée qu ’aux

Source Destination C.A. C.A. C.A. C.A. C.A. C.A. C.A. C.A. C.A.

IF SRC_ADDRESS = Source AND DST_ADDRESS = Destination THEN PERMIT

C.A. C.A.

C.A.

(22)

Critère 3

 Le type de règle (autorisation/ interdiction)Le type de règle (autorisation/ interdiction)

 Il suffit qu ’un équipement entre la source et la Il suffit qu ’un équipement entre la source et la

destination implémente la règle pour que la destination implémente la règle pour que la

connexion soit interdite. connexion soit interdite.

Source Destination

C.A.

C.A. C.A.

IF SRC_ADDRESS = Source AND DST_ADDRESS = Destination THEN DENY

C.A. C.A.

C.A. C.A. _C.A. C.A.

C.A.

C.A. C.A.

(23)

Distribution automatique

centralisée

Firewall 1 _{Firewall 3} Officier de sécurité Politique de contrôle d ’accès Modèle du réseau

(24)

Distribution automatique

centralisée

 Définition de conditions statiques de distribution.Définition de conditions statiques de distribution.  Basée sur un modèle du réseau.Basée sur un modèle du réseau.

(25)

Distribution automatique

centralisée

 Critère: Les capacités de contrôle d ’accès.Critère: Les capacités de contrôle d ’accès.

r = {o r = {o  O}, e = {o ’ O}, e = {o ’  O} O} r r  e ? e ? Source Destination C.A. C.A.

(26)

Distribution automatique

centralisée

 Critères: La topologie et le type de règle. Critères: La topologie et le type de règle.  Modèle cyclique.Modèle cyclique.

C.A.

(27)

Distribution automatique

centralisée

 Modèle cyclique.Modèle cyclique.

 Résiste aux changements de topologie.Résiste aux changements de topologie.  Distribution non optimale.Distribution non optimale.

(28)

Distribution automatique

centralisée

 Critère: La topologie et le type de règle.Critère: La topologie et le type de règle.  Modèle acyclique.Modèle acyclique.

C.A.

(29)

Distribution automatique

centralisée

 Modèle acyclique.Modèle acyclique.

 Bonne optimisation.Bonne optimisation.

(30)

Distribution automatique

centralisée

 Critère: La topologie et le type de règle.Critère: La topologie et le type de règle.  Compromis.Compromis. Source Destination C.A. C.A. C.A. C.A. S S S

(31)

Distribution automatique

centralisée

 Compromis.Compromis.

 Facilité d ’utilisation et optimisation.Facilité d ’utilisation et optimisation.  Pas optimal.Pas optimal.

 La taille du modèle si les changements La taille du modèle si les changements

topologiques sont internes.

(32)

Distribution automatique

centralisée

 Définition de conditions statiques de distribution.Définition de conditions statiques de distribution.

 La quasi totalité des solutions commerciales existantes.La quasi totalité des solutions commerciales existantes.  Modèle statique Modèle statique

– Obligation de faire un compromis entre facilité de gestion et Obligation de faire un compromis entre facilité de gestion et optimisation.

(33)

Distribution automatique

répartie

Firewall 1 _{Firewall 3} Officier de sécurité Politique de contrôle d ’accès

(34)

Distribution automatique

répartie

 Définition de conditions dynamiques de distribution.Définition de conditions dynamiques de distribution.  Pas de modèle de réseau.Pas de modèle de réseau.

(35)

Architecture répartie de

gestion du contrôle d ’accès

 Interagissent avec d ’autres Interagissent avec d ’autres

éléments du réseau. éléments du réseau. Equipement 1 Agent de routage Equipement 2 Agent de routage

 Agents placés sur les Agents placés sur les

équipements de C. A.

équipements de C. A. Agent de GCA

Equipement 5

Gestionnaire de CA

 Agents assurent la configuration des Agents assurent la configuration des

équipements de C.A. en appliquant nos

3 critères.

(36)

Distribution automatique

répartie

 Définition de conditions dynamiques de distribution.Définition de conditions dynamiques de distribution.

 Pas de modèlePas de modèle

– Comment s ’assurer que la politique est bien Comment s ’assurer que la politique est bien implémentée.

(37)

Simulations



Objectifs:

– Tester la correction des critères proposés._{Tester la correction des critères proposés.}

– Tester la correction des algorithmes proposés.Tester la correction des algorithmes proposés. – Tester les performances des critères.Tester les performances des critères.

 En fonction de la topologie du réseau.En fonction de la topologie du réseau.  En fonction de la taille du réseau.En fonction de la taille du réseau.

(38)

Simulations



Implémentation sur le simulateur

ns

.

– Utilisation des fonctions de routage.Utilisation des fonctions de routage.



~1000 lignes Otcl, ~100 lignes C++.



Simplification de certains paramètres:

– Relation GCA-AGCA.Relation GCA-AGCA. – Codage des règles.Codage des règles.

– Placement des agents._{Placement des agents.}

(39)

Définition d ’une politique

« standard » de C.A.



Basé sur des politiques génériques [CB94],

[CZ95].



Modifications afin de refléter des politiques

réelles.

Type de règle Permit Deny

Spécifiée 60 10

(40)

Conditions de test

 Tests de différentes topologies.Tests de différentes topologies. – Taille du réseau (4 -121).Taille du réseau (4 -121).

– Type de topologie (maillée, Type de topologie (maillée, étoile).

étoile).

 Fonction des nœuds:Fonction des nœuds:

– Nœuds de bordure: service de Nœuds de bordure: service de contrôle d ’accès complets.

contrôle d ’accès complets.

(41)

Résultats

 Correction des critèresCorrection des critères

– La distribution ne modifie pas les propriétés de contrôle d ’accès.La distribution ne modifie pas les propriétés de contrôle d ’accès.

– Les critères assurent une bonne répartitionLes critères assurent une bonne répartition

 Pour 40 nœuds, Topologie en étoile.Pour 40 nœuds, Topologie en étoile.

– Min : 10 (10).Min : 10 (10). – Max : 144 (140).Max : 144 (140).

(42)

Résultats

76000 51430 11675 ₁₀₄₆₃ 3908 0 10000 20000 30000 40000 50000 60000 70000 80000  PerformancesPerformances

– type de critère.type de critère.

 40 nœuds.40 nœuds.

(43)

Résultats

 PerformancesPerformances

– Taille du réseau.Taille du réseau.

(44)

Résultats

 PerformancesPerformances

– Type de topologie.Type de topologie.

(45)

Conclusion

 Distribution automatique de la politique de Distribution automatique de la politique de

contrôle d ’accès. contrôle d ’accès.

– Langage générique d ’expression de la PCA.Langage générique d ’expression de la PCA. – Architecture de gestion de la PCA.Architecture de gestion de la PCA.

 Distribution efficace.Distribution efficace.

– Processus de contrôle d ’accès plus performant.Processus de contrôle d ’accès plus performant.  Adaptation automatique.Adaptation automatique.

(46)

Travaux futurs

 Sécurisation des communications externes.Sécurisation des communications externes.  Implémentation.Implémentation.

 Comment s ’assurer que la politique de contrôle Comment s ’assurer que la politique de contrôle

d ’accès est bien appliquée ?

 D ’autres critères de diminution de la taille des D ’autres critères de diminution de la taille des

politiques de contrôle d ’accès ?

 Elargissement à d ’autres services (QoS, Elargissement à d ’autres services (QoS,

routage,...).