CHAPITRE 3 :
SÉCURITÉ DANS LE ROUTAGE IP [2]
[4][18]
3. 1 Introduction
La sécurité des réseaux depuis quelques
années, a vu son importance s'accroître au point de devenir une
priorité. Des outils automatisés de plus en plus complexes, des
virus attaquent les réseaux et menacent en permanence
l'intégrité des systèmes d'information. Les
mécanismes de la sécurité deviennent fortement
consommatrices de temps. Donc, il faut améliorer la gestion de la
sécurité pour garantir la qualité de service surtout dans
les applications temps réel. Il s'agit en fait de la qualité du
transport des informations dans le sens où les données arrivent
avec un délai de transmission contrôlé. Par exemple, pour
la visioconférence, la qualité de service est nécessaire
pour éviter d'avoir des mauvaises transmissions.
Donc en assurant la
sécurité, il faut prendre en compte plusieurs paramètres
et de les gérer d'une manière qui respecte la QoS. Parmi
celles-ci on retrouve :
· Le délai : différents délais
peuvent être pris en compte. Dans ce cas, on s'intéresse au
délai de transport, c'est-à-dire le temps total passé au
niveau des composants actifs du réseau (switch, firewall, etc...) ;
· La latence : la somme de tous les délais, dans
une direction, dans une communication en temps réel. Une limite de 75
millisecondes est tolérable. Au-delà, la communication est
dégradée ou de faible qualité.
· La variance (Jitter) : la variation de la latence. Le
maximum toléré est de 20 millisecondes.
3.2.
Lesdispositifsde la sécurité
3.1.1. Le pare-feu
3.1.1.1. Définition et fonctionnement
Un pare-feu (firewall, en anglais) est un dispositif
matériel et/ou logiciel qui implémente la fonction de
sécurité de contrôle d'accès. Un pare-feu est donc
un dispositif pour filtrer les accès, les paquets IP, les flux entrant
et sortant d'un système. Un pare-feu est installé en coupure sur
un réseau lorsqu'il sert de passerelle filtrante pour un domaine
à la frontière d'un périmètre fermé.
Un pare feu est un système permettant de filtrer les
paquets de données échangés avec le réseau, il
s'agit aussi d'une passerelle filtrante comportant au minimum les interfaces
réseaux suivante:
· Une interface pour le réseau à
protéger (réseau Internet).
· Une interface pour le réseau externe.
Un pare-feu met en vigueur une politique de
sécurité qui laisse passer, ou arrête les trames ou les
paquets d'information selon cette politique. Il peut donc autoriser ou
empêcher des communications selon leur origine, leur destination ou leur
contenu. Dans la pratique, un pare-feu lit et analyse chacun des paquets qui
arrivent. Après analyse, il décide du passage ou de l'arrêt
selon l'adresse IP de l'émetteur, du récepteur, selon le type de
transport (TCP ou UDP) et le numéro de port, en relation avec le type
d'application réseau.
Quand la politique de sécurité ne concerne que
les couches basses, la seule analyse du paquet permet d'autoriser, de rejeter
ou d'ignorer le paquet.Quand la politique décrit des règles de
sécurité qui mettent en jeu le transport fiable, les sessions ou
les applications, le pare feu doit connaître l'état
momentané de la connexion et doit garder en mémoire de nombreux
paquets pendant un certain temps de façon qu'il puisse décider de
l'autorisation ou du rejet des paquets.
Les pare-feu ont des limitations : ils doivent être
très puissants en termes de ressources pour ne pas ralentir le trafic,
dans un sens ou dans un autre, puisqu'ils ont en coupure sur le réseau.
Ils ne doivent pas être court-circuités par d'autres passerelles
ou des modems connectés directement à l'extérieur. Ils
sont des « bastions », c'est-à-dire des cibles pour les
attaquants qui peuvent les assaillir pour saturer leur ressource.
Un pare-feu doit posséder un système de
journalisation (.log) sophistiqué a posteriori tous les faits importants
qui jalonnent la vie de cette passerelle filtrante : tentatives d'intrusion,
événements anormaux, attaques par saturation, par balayage.
Un pare feu est en général architecturé
de telle manière que l'on puisse distinguer physiquement les
communications avec l'extérieur, celles avec le réseau à
protéger et enfin celles qui sont déviées vers une zone
tampon de parking, souvent appelée zone démilitarisée (DMZ
en anglais), c'est dans cette zone qu'on place le site web, ouvert à
l'Internet, à l'abri d'un pare-feu, mais nettement séparé
du réseau Internet à protéger.
Il convient d'ailleurs de dire ici qu'il n'existe aucun
système de sécurité qui soit infaillible à 100%.
Tout logiciel, qu'il soit de type firewall ou de type chiffrement d'information
peut être «cassé». Mais il suffit que les besoins
financiers à mettre en oeuvre pour ce faire soient supérieurs
à la valeurmarchande estimée des informations en notre possession
pour que le système soit considéré comme fiable.
| 
