Recto-verso. À relire la veille. Le cours · Les exercices
| Pilier | = garder | Par |
|---|---|---|
| Confidentialité | lecture autorisée | chiffrement, accès |
| Intégrité | donnée non modifiée | MD5, CRC, signature |
| Disponibilité | service accessible | redondance, PRA |
Intégrité en deux niveaux : Data (les données, via MD5/CRC) et System (le système, via anti-malware).
| Autorisé ? | Intention | |
|---|---|---|
| Blanc | oui | aider — mandaté |
| Gris | non | défi, sans nuire |
| Noir | non | nuire, s'enrichir |
Ce qui tranche blanc/gris : l'autorisation, pas la bonne intention. Le pentester est toujours mandaté.
Responsable : notifier la CNIL, porter plainte, cellule de crise. Ne jamais payer.
| Bloquant | verrouille l'accès (écran) |
| Chiffrant | chiffre les fichiers — le plus grave |
Arrive par pièce jointe / lien piégé. Fichiers perdus = chiffrant. Parade : sauvegardes déconnectées et testées.
Footprinting = collecte passive d'infos publiques. Étapes d'une attaque : reconnaissance → analyse → accès → escalade → effacer les traces.
| Maltego | cartographie domaine → IP, DNS, mails |
| Google Dorks | recherche Google avancée |
| Shodan | objets connectés + vulnérabilités |
Une offre d'emploi révèle toute l'infrastructure.
site: | un domaine précis |
filetype: | un type de fichier |
intitle: | un mot dans le titre |
inurl: | un mot dans l'URL |
after: | après une date |
"…" | correspondance exacte |
Stockés hachés (empreinte non réversible). Cassage : zip2john
→ John the Ripper + rockyou.txt (~14 M).
| 8 car. | Force brute @10¹⁰/s |
|---|---|
| minuscules (26⁸) | ≈ 21 s |
| tous types (95⁸) | ≈ 8 jours |
| 12 car. tous types | ≈ 1,7 M d'années |
≥ 12 car., unique, rien de devinable. La longueur prime → phrase de passe.
Mots de passe · mises à jour · connaître ses users/prestataires · sauvegardes · Wi-Fi (pas de WEP) · smartphone · déplacements · messagerie · sites officiels · paiement en ligne · séparer perso/pro · infos personnelles.
Fréquentes · conservées > 1 mois · délocalisées (> 3 km) · déconnectées · testées · chiffrées.
| ANSSI | cyberdéfense nationale, guides, CERT-FR, SecNumAcadémie |
| CNIL | données personnelles (RGPD) |
| cybermalveillance | assistance aux victimes |
Objectifs → sources variées (dont 1 en anglais) → outils (RSS, newsletters, alertes Google) → trier par date/thème → créneaux réguliers → partager.
30 min/jour valent mieux que 4 h/mois.