Web Security Introduction Lecture 1

(1)

Web Security Introduction

Lecture 1

Pascal Lafourcade

2020-2021

(2)

6 statistiques en cybers´ ecrurit´ e en 2019

1. 92% malwares sont propagés par email 2. 1.76 milliard données volées en Janvier 2019 3. Ransomwares coûteront$11.5 milliards en 2019

4. Phishing par email est responsable de 91% de cyberattaques 5. Coˆut global du cybercrime 2 millions de milliards $en 2019 6. 7 entreprises sur 10 ne sont pas prˆetes face aux cyber attaques

Source : https://thebestvpn.com/cyber-security-statistics-2019

2 / 114

(3)

5 Familles de Cybercriminalit´ e

I Escroquerie I Sabotage I Ransomwares I Espionnage I Destabilisation

(4)

Escroquerie : Phishing

Voyant + Papillon

4 / 114

(5)

En 2019

(6)

Escroquerie : Fraude au pr´ esident

VIDEO

6 / 114

(7)

Sabotage

Stuxnet, 2010

Saudi Aramco 35 000 PC deleted in 2012.

(8)

Ransomwares: Wannacry et al. 12 may 2017

http://stopransomware.fr/

8 / 114

(9)

(10)

Espionnage

I Little Brother (Individuel) I Medium Brother (Entreprise) I Big Brother (Gouvernement) Edward Joseph Snowden, 6th june 2013

Citizen Four

10 / 114

(11)

Une technique d’espionnage : MICE

Monnaie

Id´eologie

Compromission

Ego

(12)

Destabilisation : Defacement

12 / 114

(13)

Destabilisation: Trojan, Botnets and Zombies

(14)

http://cybermap.kaspersky.com/

https://threatmap.fortiguard.com/

14 / 114

(15)

Pourquoi y a-t-il de plus en plus d’attaques ?

Rapide, large ´echelle, semi-automatique ...

mais faussement anonyme ! Internet a été con¸cu pour fonctionner pas pour être sûr !

(16)

Pourquoi y a-t-il de plus en plus d’attaques ?

15 / 114

(17)

Pourquoi y a-t-il de plus en plus d’attaques ?

(18)

Pourquoi y a-t-il de plus en plus d’attaques ?

15 / 114

(19)

Pourquoi y a-t-il de plus en plus d’attaques ?

mais faussement anonyme !

Internet a été con¸cu pour fonctionner pas pour être sûr !

(20)

Pourquoi y a-t-il de plus en plus d’attaques ?

15 / 114

(21)

Agences pour la s´ ecurit´ e informatique

I 1919

I 1952,

I 1995, I 2002,

I 7 Juillet 2009, ANSSI

(22)

Cyberguerre est une r´ ealit´ e

$7 milliards pour les op´erations cyber en 2017 au USA et plus de

$35 milliards sur 5 ans.

I Communication est essentielle : r´evolutions en Egypte, Tunisie

I Identifier les auteurs n’est pas facile

I Stratégies de défense et d’attaques sont différentes

I Cyberattaques ont des cons´equences physiques

17 / 114

(23)

Cyberguerre est une r´ ealit´ e

(24)

Cyberguerre est une r´ ealit´ e

17 / 114

(25)

Cyberguerre est une r´ ealit´ e

(26)

Cyberguerre est une r´ ealit´ e

17 / 114

(27)

Outline

Introduction

Fonctionnement du Web Cadre juridique

RGPD Apr`es le 25 mai 2018 Histoire de la cryptographie Introduction `a la cryptographie Conclusion

(28)

Internet vs Web

The web

I one of the services that can run over the internet I using the HTTP/HTML protocol family

The internet

I provides networking between computers I using the IP protocol family over UDP or TCP

19 / 114

(29)

Web Applications

I Shopping (Amazon) I Eauction (Ebay) I Gambling (Betfair)

I Social Network (Facebook) I Web search (Goolge) I Email (Gmail)

I Information (Wikipedia) I Video (Youtube)

Browsers

Safari, Firefox, Chrome, Brave, Opera, Links, lynks, w3m, IE ... Protocols

http / https, ftp / sftp, mail, ... Langages

Html, Php, Java, Ruby, Python, SQL, javascript, ASP.net, JavaScript, css, Forms, HTML, XML, Ajax, Json, flash ...

(30)

Web Applications

I Shopping (Amazon) I Eauction (Ebay) I Gambling (Betfair)

I Social Network (Facebook) I Web search (Goolge) I Email (Gmail)

I Information (Wikipedia) I Video (Youtube) Browsers

Safari, Firefox, Chrome, Brave, Opera, Links, lynks, w3m, IE ...

Protocols

http / https, ftp / sftp, mail, ...

Langages

Html, Php, Java, Ruby, Python, SQL, javascript, ASP.net, JavaScript, css, Forms, HTML, XML, Ajax, Json, flash ...

20 / 114

(31)

URL : Uniform Resource Locator (RFC 39863) 2005

URL follows Uniform Resource Identifier (URI) syntax URI Syntax

URI = scheme:[//authority]path[?query][#fragment]

I scheme= http, https, ftp, mailto, file, data, irc I authority = [userinfo@]host[:port]

http://Toto:lA8In@www.exemple.com:8888/chemin.php?q=req&q2=req2#signet

Uniform Resource Name (URN), RFC 1737 (1994) Examples :

I urn:isbn:0451450523 I urn:ietf:rfc:2648 I urn:ISSN:0167-6423

I urn:isan:0000-0000-2CEA-0000-1-0000-0000-Y

(32)

URL : Uniform Resource Locator (RFC 39863) 2005

URL follows Uniform Resource Identifier (URI) syntax URI Syntax

URI = scheme:[//authority]path[?query][#fragment]

I scheme= http, https, ftp, mailto, file, data, irc I authority = [userinfo@]host[:port]

http://Toto:lA8In@www.exemple.com:8888/chemin.php?q=req&q2=req2#signet

Uniform Resource Name (URN), RFC 1737 (1994) Examples :

I urn:isbn:0451450523 I urn:ietf:rfc:2648 I urn:ISSN:0167-6423

I urn:isan:0000-0000-2CEA-0000-1-0000-0000-Y

21 / 114

(33)

curl

A tool to transfer data from or to a server, using :

DICT, FILE, FTP, FTPS, GOPHER, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, POP3, POP3S, RTMP, RTSP, SCP, SFTP, SMB, SMBS, SMTP, SMTPS, TELNET and TFTP.

The command is designed to work without user interaction.

(34)

Example: curl

curl -d ’{"user":"Alice", "permission":"admin"}’

-H "Content-Type: application/json"

-X POST http://example.com/data

Example Domain

This domain is for use in illustrative examples in documents. You may use this domain in literature without prior coordination or asking for permission.

More information...

https://www.iana.org/domains/reserved

23 / 114

(35)

Example: curl

curl -d ’{"user":"Alice", "permission":"admin"}’

-H "Content-Type: application/json"

-X POST http://example.com/data Example Domain

This domain is for use in illustrative examples in documents. You may use this domain in literature without prior coordination or asking for permission.

More information...

https://www.iana.org/domains/reserved

(36)

IANA: Internet Assigned Number Authority

Role

The global coordination of the DNS Root, IP addressing, and other Internet protocol resources.

Particularities

As described in RFC 2606 and RFC 6761, a number of domains such asexample.comandexample.orgare maintained for documentation purposes. These domains may be used as

illustrative examples in documents without prior coordination with us. They are not available for registration or transfer.

24 / 114

(37)

HTML: HyperText Markup Language

World Wide Web Consortium (W3C) develops open standards to ensure the long-term growth of the Web.

HTML Historic

1991, Berners-Lee HTML, 1995 HTML 2.0 RFC 1866, 1997 HTML 3.0, 1997 HTML 4.0, 2014 HTML5

Synchronous Interactions

1. Static hypertext: http requests & respones 2. Dynamic Hypertext: Dynamic server response

3. Dynamic Web: Execution of server on the client browser Asynchronously interactinons

I Ajax (AsynchronousJavascript andXML)

(38)

Example: Static HTML

<!DOCTYPE html PUBLIC "-//IETF//DTD HTML 2.0//EN">

<html>

<head>

<title>

Exemple de HTML

</title>

</head>

<body>

Ceci est une phrase avec un <a href="cible.html">hyperlien</a>.

<p>

Ceci est un paragraphe avec un image <img="photo.png">.

var x = ’ string // a JavaScript program

</script>

</p>

</body>

</html>

26 / 114

(39)

Several ways to do it.

I Full URL:

<a href=’https://sancy.iut-clermont.uca.fr/~lafourcade/enseignement.html’>Cours</a>

I Relative URL: <a href=’enseignement.html>Cours</a>

I Absolute URL: <a href=’/events’>Events</a>

I Fragment URL:

<a href=’#section3’>Jump to Section 3</a>

Scrolls to<a name=’section3’ /> within page

Same as http://www.example.org/events#section3

(40)

HTTP : Hypertext Transfer Protocol

Client Server

HTTP HTTP

TCP TCP

IP IP

Link Link

| |

|_______ Physical______|

28 / 114

(41)

(42)

HTTP supports many methods

GET for information retrieval

I Body usually empty, parameters are encoded in the URL I Can be cached, bookmarked

I End up in browser history

I Should not be used for sensitive data!

I Have a maximum length

POST for submitting information

I Body contains the submitted information I Are never cached, cannot be bookmarked I Do not end up in browser history

I Have no restrictions on length XMLhttpRequest

I For AJAX

30 / 114

(43)

HTTP supports many methods

I Have a maximum length POST for submitting information

I Have no restrictions on length

XMLhttpRequest I For AJAX

(44)

HTTP supports many methods

I Have a maximum length POST for submitting information

I Have no restrictions on length XMLhttpRequest

I For AJAX _{30 / 114}

(45)

Error codes

I 1xx : Informational, request received, continuing process I 2xx : Successful, request received, understood, and accepted I 3xx : Redirection, further action needed for the request I 4xx : Client Error, request bad syntax or cannot be fulfilled I 5xx : Server Error, server failed to fulfill an valid request

(46)

HTTP Success Codes

I 200 OK - Request succeeded

I 206 Partial Content - Request for specific byte range succeeded

32 / 114

(47)

HTTP Redirection Codes

I 301 Moved Permanently - Resource has a new permanent URL I 302 Found - Resource temporarily resides at a different URL I 304 Not Modified - Resource has not been modified since last

cachedError codes

(48)

HTTP Client Error Codes

I 400 Bad Request - Malformed request

I 401 Unauthorized - Resource is protected, need to authorize I 403 Forbidden - Resource is protected, denying access I 404 Not Found - Ya’ll know this one

I 429 Too Many Requests

34 / 114

(49)

HTTP Server Error Codes

I 500 Internal Server Error - Generic server error

I 502 Bad Gateway - Server is a proxy; backend server is unreachable

I 503 Service Unavailable - Server is overloaded or down for maintenance

I 504 Gateway Timeout - Server is a proxy; backend server responded too slowly

(50)

HTTP proxy servers

+---+ Request +---+ Request +---+

| | ---> | | ---> | |

| | <--- | | <--- | |

+---+ +---+ +---+

I Can cache content

I Can block content (e.g. malware, adult content) I Can modify content

I Can sit in front of many servers (”reverse proxy”)

36 / 114

(51)

Domain Name System

+---+ +---+

| | -- sancy.iut-clermont.uca.fr ? --> | |

| Client | | DNS Server |

| | <--- 193.49.118.205 --- | |

+---+ +---+

DNS Recursive Resolver:

Root namesever .fr⇒ “.fr” NameServer⇒ “uca.fr” Nameserver

(52)

Browser Engines

38 / 114

(53)

Browsers Evolution

(54)

Web Attack Surface

Complex and rapidly evolving I Network issues

I Browser weaknesses I Language issues

I Old/New protocols, old/new code and old/new libraries, I Multipleversions and Custom APIs

I Mistakes in design and implementation I Web forms

I Files from outside

I Security code: cryptography, authentication, authorization (access control) and session management

Widely used ⇒ interesting to attack !

40 / 114

(55)

Web Attack Surface

Complex and rapidly evolving I Network issues

I Browser weaknesses I Language issues

I Old/New protocols, old/new code and old/new libraries, I Multipleversions and Custom APIs

I Mistakes in design and implementation I Web forms

I Files from outside

I Security code: cryptography, authentication, authorization (access control) and session management

(56)

Demo Qualys

https://www.ssllabs.com

41 / 114

(57)

Plan

Introduction

(58)

CNIL cr´ e´ e en 1978

Commission nationale de l’informatique et des libert´es BUT

Protéger les données personnelles, accompagner l’innovation, préserver les libertés individuelles

ANSSI cr´e´ee le 7 juillet 2009.

43 / 114

(59)

STAD

Système de Traitement Automatisé de Données

“Tout ensemble composé d’une ou plusieurs unités de traitement, de mémoire, de logiciel, de données, d’organes d’entrées-sorties et de liaisons, qui concourent à un résultat déterminé, cet ensemble

étant protégé par des dispositifs de sécurité”.

Aucune d´efinition pr´ecise dans la loi Dans les faits c’est presque tout :

(60)

3 acteurs

Utilisateur Responsable Pirate

45 / 114

(61)

L’utilisateur

Droits

I D’accès : demander directement au responsable d’un fichier s’il détient l’intégralité de ces données

I De rectification

I D’opposition dˆetre dans un fichier

I Déréférencement sur le web par rapport au nom et prénom

(62)

Le responsable

Et le sous-traitant via le contrat.

Devoirs

I D´eclarer les traitements de donn´ees personnelles 5 ans & 300 000

I Prendre toutes précautions pour la sécurité des données selon I la nature des données

I les risques pr´esent´es par le traitement 5 ans & 300 000

Lois informatique et libert´es : Article 22 et Article 34.

Guide de la CNIL : La sécurité des données personnelles

47 / 114

(63)

Conservation des logs

LCEN 2004

•1 an pour les logs (jurisprudence de la BNP Paribas)

•Décret 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne:

I ip, url, protocole, date heure, nature de l’opération I éventuellement les données utilisateurs

I éventuellement données bancaires I accédées dans le cadre d’une réquisition I conservées un an

I données utilisateurs pendant un an après la clôture Article 226-20 : les logs ont une date de péremption

(64)

Le pirate

Risques (STAD (Article 323-1))

I acc`es frauduleux ou maintien frauduleux de l’acc`es 2 ans & 60 000

I suppression ou modification des données3 ans & 100 000 I si données à caractère personnel 5 ans & 150 000

I altération du fonctionnement5 ans et de 75 000 I si données à caractère personnel 7 ans & 100 000

49 / 114

(65)

Risques encourus

En pratique

I Atteintes aux intérêts fondamentaux de la nation (Sécurité nationale) Article 410-1 à 411-6

I Secret des communication pour l’autorit´e publique et FAI3 ans et 45 000Article 432-9

I Usurpation d’identité 5 ans et de 75 000Article 434-23 I Importer, détenir, offrir ou mettre à disposition un moyen de

commettre une infraction est puni

(66)

Sauf si

Pas de condamnation si I aucune protection

I aucune mention de confidentialit´e

I accessible via les outils de navigation grand public I mˆeme en cas de donn´ees nominatives

Il est donc important de prot´eger ces donn´ees

51 / 114

(67)

Sauf si

Pas de condamnation si I aucune protection

I aucune mention de confidentialit´e

I accessible via les outils de navigation grand public I mˆeme en cas de donn´ees nominatives

Il est donc important de prot´eger ces donn´ees

(68)

Plan

Introduction

52 / 114

(69)

(70)

53 / 114

(71)

(72)

Sanctions

20 millions

ou 4 %

En France la CNIL devient autorit´e de contrˆole

54 / 114

(73)

Règlement Général sur la Protection des Données GDPR : General Data Protection Regulation

(74)

Qui est touch´ e ?

TOUT LE MONDE !

56 / 114

(75)

5 types de donn´ ees

1. neutres 2. personnelles 3. sensibles 4. pseudonymis´ees 5. anonymis´ees

(76)

Qu’est-ce qu’une donn´ ee personnelle ?

Toutes informations relatives `a une personne physique qui peuvent

´etre utilis´ees pour re-indentifier la personne.

58 / 114

(77)

Qu’est-ce qu’une donn´ ee personnelle ?

Information qui permet d’identifier une personne physique, directement ou indirectement.

I un nom,

I une photographie, I une adresse IP,

I un numéro de téléphone,

I un identifiant de connexion informatique, I une adresse postale,

I une empreinte,

I un enregistrement vocal, I un numéro de sécurité sociale, I un mail, etc.

(78)

Qu’est-ce qu’une donn´ ee personnelle sensible?

Collecte sans consentement pr´ealable ´ecrit, clair et explicite

60 / 114

(79)

Safe Harbor: 07 octobre 2015

I Invalidation par la Cour de Justice de l’Union européenne I Une décision clé pour la protection des données,

I Quel niveau de protection des données personnelles transférées aux Etats-Unis ?

Règlement Général sur la Protection des Données (RGPD) Règlement no 2016/679 adopté le 27 avril 2016.

Mise en application le 25 mai 2018.

(80)

Safe Harbor: 07 octobre 2015

I Invalidation par la Cour de Justice de l’Union européenne I Une décision clé pour la protection des données,

I Quel niveau de protection des données personnelles transférées aux Etats-Unis ?

Règlement Général sur la Protection des Données (RGPD) Règlement no 2016/679 adopté le 27 avril 2016.

Mise en application le 25 mai 2018.

61 / 114

(81)

Plus de droits pour vos donn´ ees !

Sanction Plus de transparence Droit `a l’oubli

Guichet unique Protection des mineurs Portabilit´e

(82)

Objectifs?

Renforcer la transparence:

I Quelles donn´ees sont collect´ees?

I Dans quels buts?

I Pour combien de temps?

Faciliter l’exercice des droits I droit `a la rectification

I droit à la portabilité : récupération et communication à un autre traitement

I droit à l’oubli : suppression de données personnelles I dès qu’elles ne sont plus nécessaires au traitement I dès que le consentement de l’utilisateur a été retiré I dès que la personne s’y oppose

63 / 114

(83)

RPGD : en 6 ´ etapes @CNIL

1. D´esigner un pilote 2. Cartographier 3. Prioriser

4. G´erer les risques 5. Organiser 6. Documenter

(84)

Etape 1 : D´ ´ esigner un pilote

Délégué à la protection des données

Mission d’information, de conseil et de contrˆole en interne.

Conformit´e au RGPD.

65 / 114

(85)

Etape 2 : Cartographier ´

Tenir une documentation interne compl`ete sur leurs traitements de donn´ees personnelles

I Catégories les données traitées

I Recenser pr´ecisement vos traitements de donn´ees personnelles (Registre des traitements)

I Lister les objectifs I Identifier les acteurs

I Identifier les flux des donn´ees

But: Assurer que ces traitements respectent bien le r`eglement.

(86)

Etape 3 : Prioriser ´

1. Collecter et traiter que les donn´ees n´ecessaires.

2. Base juridique du traitement : consentement de la personne, contrat, obligation l´egale ...

3. R´evisez vosmentions d’information : articles 12, 13 et 14:

droits de la personne concern´ee : Transparence, Information et Transitivit´e

4. V´erifier vossous-traitants et clause des contrats

5. Prévoyez les modalités d’exercice des droits des personnes concernées : droit d’accès, de rectification, droit à la

portabilit´e, retrait du consentement...

6. Vérifiez lesmesures de sécurité mises en place.

67 / 114

(87)

Etape 3 : VIGILANCE, des ´ types de donn´ ees

I origine pr´etendument raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale,

I lasanté ou l’orientation sexuelle, I génétiques oubiométriques,

I infraction ou de condamnation p´enale, I sur les mineurs.

(88)

Etape 3 : VIGILANCE, votre traitement ´

I la surveillance systématiqueà grande échelle d’une zone accessible au public

I l’´evaluation syst´ematiqueet approfondie d’aspects

personnels, y compris le profilage, sur la base de laquelle vous prenez des décisions produisant des effets juridiques à l’égard d’une personne physique ou l’affectant de manière

significative.

69 / 114

(89)

Etape 3 : VIGILANCE ´ transfert des donn´ ees hors UE

I Vérifiez que le pays vers lequel vous transférez les données est reconnu comme adéquat par la Commission européenne ; I Dans le cas contraire, encadrez vos transferts.

(90)

Etape 4 : G´ ´ erer les risques

Privacy Impact Assessment (PIA) Data protection impact assessment

I Principes et droits fondamentaux, non n´egociables, de la loi I Gestion des risques sur la vie priv´eedes personnes

concernées, pour déterminer les mesures techniques et d’organisation pour protéger les données personnelles.

Un PIA contient :

I Une descriptiondu traitement étudié et de ses finalités.

I Uneévaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités

I Uneévaluation des risquespour les droits et libertés des personnes, les mesures envisagées pour faire face aux risques.

71 / 114

(91)

Etape 4 : Qui participe au PIA? ´

I Le responsable de traitement: valide et applique le PIA.

I Le délégué à la protection des données: élabore le plan d’action et se charge de vérifier son exécution ;

I Le(s) sous-traitant(s): fournit les informations nécessaires à l’élaboration du PIA ;

I Les métiers (RSSI, maˆıtrise d’ouvrage, maˆıtrise d’œuvre) : aident à la réalisation du PIA en fournissant les éléments adéquats ;

I Les personnes concern´ees : donnent leurs avis sur le traitement.

(92)

Etape 4 : ´ PIA obligatoire Art. 35

Pour tout traitement susceptible d’engendrer desrisques élevés pour les droits et libertés des personnes concernées.

1. Evaluation ou notation;

2. D´ecision automatis´ee avec effet juridique significatif;

3. Surveillance syst´ematique ;

4. Données sensibles ou données à caractère hautement 5. Données personnelles traitées à grande échelle ; 6. Croisement d’ensembles de données ;

7. Donn´ees concernant des personnes vuln´erables ; 8. Usage innovant ou application de nouvelles solutions

technologiques ou organisationnelles ;

9. Exclusion du b´en´efice d’un droit, d’un service ou contrat.

Siau moins 2 de ces crit`eres, alors faire un PIA.

73 / 114

(93)

Etape 5 : Organiser ´

I Protection des données personnellesdès la conception I Sensibiliser et d’organiser la remontée d’information I Traiter les réclamations et les demandesdes personnes

concern´ees quand `a l’exercice de leurs droits

I Anticiper les violations de données, dans les 72 heures aux autorités et personnes concernées

(94)

Etape 6 : Documenter ´

Prouver la conformit´e = Avoir la documentation n´ecessaire

I Traitements

I Information des personnes I Contrat pour les acteurs

75 / 114

(95)

Etape 6 : Documenter les traitements ´

I Le registre des traitements(pour les responsables de traitements) ou des cat´egories d’activit´es de traitements (pour les sous-traitants)

I PIA pour les traitements `a risque

I L’encadrement des transferts de donn´ees hors de l’Union europ´eenne.

(96)

Etape 6 : Documenter l’information ´

I Les mentions d’information

I Les mod`eles de recueil du consentementdes personnes concern´ees,

I Les proc´eduresmises en place pour l’exercice des droits

77 / 114

(97)

Etape 6 : Documenter les contrats ´

I Les contrats avec les sous-traitants

I Les procédures internes en cas de violations de données I Les preuvesque les personnes concernées ont donné leur

consentement lorsque le traitement de leurs donn´ees repose sur cette base.

(98)

Sanctions de la CNIL

79 / 114

(99)

Par pays

(100)

Par industries

81 / 114

(101)

Evolution ´

(102)

Plaintes d´ epos´ ees 2018

83 / 114

(103)

Tendances 2018

(104)

Contrˆ oles 2018

85 / 114

(105)

Sanctions 2018

(106)

1 an apr` es

“70 % des Fran¸cais se disent aujourd’hui plus sensibles aux probl´ematiques de protection des donn´ees.”

I 2 044 notifications de violation de donn´ees en France I 89 271 au niveau europ´een ;

I Plus de 19 000 DPO d´esign´es par plus de 53 000 organismes I Plus de 8,1 millions de visites depuis un an cnil.fr

87 / 114

(107)

Cas d’´ etude : Collecte de donn´ ees

Vous voulez collecter des donn´ees.

V´erifier

Personnelles ?

Chanceux! Non

Minimiser

Oui Consentement

de l’utilisateur

Protection des donn´ees Diffusion ?

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

(108)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux! Non

Minimiser

Oui Consentement

de l’utilisateur

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

88 / 114

(109)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser

Oui Consentement

de l’utilisateur

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

(110)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser Oui

Consentement de l’utilisateur

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

88 / 114

(111)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser

Oui Consentement

de l’utilisateur

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

(112)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser

Oui Consentement

de l’utilisateur

Protection des donn´ees

Diffusion ?

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

88 / 114

(113)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser

Oui Consentement

de l’utilisateur

Destruction

Bonne chance!

Oui

Bien jou´e!

Non

(114)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser

Oui Consentement

de l’utilisateur

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

88 / 114

(115)

Cas d’´ etude : Collecte de donn´ ees

V´erifier

Personnelles ?

Chanceux!

Non

Minimiser

Oui Consentement

de l’utilisateur

Destruction Bonne

chance!

Oui

Bien jou´e!

Non

(116)

89 / 114

(117)

Plan

Introduction

(118)

L’art de cacher un secret ´ ecrit

St´eganographie Cryptographie

Transposition Substitution

Code

Chiffr´e

91 / 114

(119)

L’art de cacher un secret ´ ecrit

St´eganographie

Cryptographie

Code

Chiffr´e

(120)

L’art de cacher un secret ´ ecrit

Code

Chiffr´e

91 / 114

(121)

L’art de cacher un secret ´ ecrit

Transposition

Substitution

Code

Chiffr´e

(122)

L’art de cacher un secret ´ ecrit

Code

Chiffr´e

91 / 114

(123)

L’art de cacher un secret ´ ecrit

Code

Chiffr´e

(124)

L’art de cacher un secret ´ ecrit

Code

Chiffr´e

91 / 114

(125)

Applications

(126)

Il y a tr` es longtemps

93 / 114

(127)

Les grecs inventent la Scythale

Transposition

(128)

Les grecs inventent la Scythale

Transposition

94 / 114

(129)

Les Romains

Chiffrement de C´esar Substitution +3

Dyh Fhvdu Ave Cesar

(130)

Les Romains

Dyh Fhvdu

Ave Cesar

95 / 114

(131)

Les Romains

Dyh Fhvdu Ave Cesar

(132)

Est-ce sˆ ur?

Analyse de fr´equences

96 / 114

(133)

Est-ce sˆ ur?

Analyse de fr´equences

(134)

Substitution polyalphabetique (Alberti, Vigen` ere 1553)

Exemple avec la clef k = 3,7,10

m = CON NAI TRE

E_k(m) = FVX QHS WYO

97 / 114

(135)

Substitution polyalphabetique (Alberti, Vigen` ere 1553)

Exemple avec la clef k = 3,7,10

m = CON NAI TRE E_k(m) = FVX QHS WYO

(136)

Kerchoff’s Principle

In 1883, a Dutch linguist Auguste Kerchoff von Nieuwenhof stated in his book “La Cryptographie Militaire” that:

101 / 114

(145)

Shannon’s Principle 1949

Confusion

Diffusion

The best diffusing component is substitution (homophonic) Principle

(146)

Plan

Introduction

102 / 114

(147)

Clef sym´ etrique

chiffrement d´echiffrement

Clef symétrique Clef symétrique

Exemples I DES I AES

(148)

Communications t´ el´ ephoniques

104 / 114

(149)

Chiffrement ` a clef publique

chiffrement d´echiffrement

Clef publique

Clef privée

Exemples

I RSA :c =m^e mod n I ElGamal : c ≡(g^r,h^r ·m)

(150)

Comparison

I Size of the key

I Complexity of computation (time, hardware, cost ...) I Number of different keys ?

I Key distribution

I Signature only possible with asymmetric scheme

106 / 114

(151)

Computational cost of encryption

2 hours of video (assumes 3Ghz CPU)

DVD 4,7 G.B Blu-Ray 25 GB Schemes encrypt decrypt encrypt decrypt RSA 2048(1) 22 min 24 h 115 min 130 h RSA 1024(1) 21 min 10 h 111 min 53 h AES CTR(2) 20 sec 20 sec 105 sec 105 sec

(152)

Fonction de Hachage (SHA-1, SHA-3)

Propriétés de résitance I Pré-image

I Seconde Pr´e-image

I Collision

108 / 114

(153)

Fonction de Hachage (SHA-1, SHA-3)

I Collision

(154)

Fonction de Hachage (SHA-1, SHA-3)

I Collision

108 / 114

(155)

Fonction de Hachage (SHA-1, SHA-3)

I Collision

(156)

Installation de logiciel

H( )

Integrity of the downloaded file.

1. Download on server 1 the software.

2. Download on server 2 the hash of the software.

3. Check the integrity of the software.

109 / 114

(157)

Signature

signature

clef secr´ete clef publique v´erification

Clef privée

Clef publique

RSA:m^d modn

(158)

Signature

signature

clef secr´ete clef publique v´erification

Clef privée

Clef publique

RSA:m^d modn

110 / 114

(159)

Application : ´ eviter la “fraude au pr´ esident”

I En 2010 >485 millions d’euros

I En 5 ans 2.300 plaintes ont été déposées,

Solution :

(160)

Application : ´ eviter la “fraude au pr´ esident”

Solution :

111 / 114

(161)

Application : ´ eviter la “fraude au pr´ esident”

(162)

Plan

Introduction

112 / 114

(163)

Today

1. Introduction 2. GDPR

3. Historic of Cryprography 4. Cryptographic primitives

(164)

Ron Rivest

“Once you have something on the Internet, you are telling the world, please come hack me.”

114 / 114