🟢 Niveau Débutant — Concepts Fondamentaux

30 leçons pour comprendre les bases de la cybersécurité et préparer les domaines 1 et 3 de l'examen SY0-702.

Module 1 : Concepts de Sécurité

1.1 Le Triade CIA

La triade CIA est le fondement de toute politique de sécurité de l'information :

Pourquoi c'est important : Un rançongiciel qui chiffre les dossiers patients d un hôpital ne vole rien, mais bloque les soins : c est la disponibilité qui s effondre. Un administrateur qui lit les salaires sans autorisation compromet la confidentialité. Un attaquant qui modifie un relevé bancaire compromet l intégrité. À l examen SY0-701, chaque scénario se ramène à identifier le bon pilier.
L'analogie qui aide : Imaginez une maison : la serrure de la porte, c est la confidentialité (qui peut entrer). Le scellé sur le compteur électrique, c est l intégrité (personne n a trafiqué le relevé). Avoir un double des clés accessible en cas d urgence, c est la disponibilité (vous pouvez toujours entrer). Il faut les trois en même temps.
Démonstration pas à pas : Prenons un virement frauduleux. Étape 1 : l attaquant intercepte un RIB envoyé par courriel non chiffré, la confidentialité tombe. Étape 2 : il remplace l IBAN par le sien avant de retransférer le message, l intégrité tombe. Étape 3 : il lance ensuite un déni de service contre la banque en ligne pour empêcher la victime d annuler à temps, la disponibilité tombe. Conclusion : une seule attaque peut toucher les trois piliers, mais chacun se protège avec des mécanismes différents : chiffrement, hachage et signature, redondance et sauvegardes.

💡 À retenir pour l'examen

Le triade CIA est le fondamental le plus testé. Identifiez toujours quel pilier est compromis dans un scénario donné.

Pièges classiques : 90 pour cent des candidats confondent confidentialité et intégrité : chiffrer ne prouve pas que le message n a pas été modifié, il faut un hachage ou une signature. Autre piège : la disponibilité ne concerne pas que le matériel, un DDoS ou un rançongiciel sont des atteintes à la disponibilité. À l examen, si l énoncé parle de données modifiées ou falsifiées, répondez intégrité ; de données lues ou volées, confidentialité ; de service inaccessible, disponibilité.
À vous de jouer : Un journal d audit montre qu un stagiaire a lu les dossiers médicaux de célébrités sans raison professionnelle. Quel pilier de la triade CIA est compromis ?
Voir la réponse

La confidentialité. Les données n ont pas été modifiées (intégrité intacte) ni rendues inaccessibles (disponibilité intacte), mais elles ont été exposées à une personne non autorisée. Le contrôle adapté serait un contrôle d accès par rôle et une revue des journaux.

1.2 Les Principes du Moindre Privilège et Défense en Profondeur

Moindre privilège : Chaque utilisateur, processus ou système ne doit disposer que des droits strictement nécessaires à sa fonction.

Pourquoi c'est important : Un comptable avec des droits administrateur sur tout le domaine, c est la porte ouverte à un rançongiciel qui chiffre mille postes au lieu d un seul fichier. Le moindre privilège limite l étendue du désastre. La défense en profondeur garantit que si l attaquant passe le pare-feu, l antivirus, la segmentation et le chiffrement l attendent encore. Les deux principes sont au coeur du domaine 1 de SY0-701.
L'analogie qui aide : Imaginez un château médiéval : les douves, le mur d enceinte, les gardes, le donjon et le coffre dans le donjon. Chaque couche retarde l assaillant. Le moindre privilège, c est ne donner la clé du coffre qu au trésorier, et seulement pendant sa garde. Personne n a le passe général par confort.

Défense en profondeur : Stratégie de sécurité multicouche combinant plusieurs mécanismes de protection. Si une couche est compromise, les autres continuent de protéger.

Pièges classiques : Piège classique : croire que le moindre privilège signifie aucun droit, alors qu il signifie droits minimaux nécessaires et révisés régulièrement. Autre piège : empiler deux outils identiques, par exemple deux antivirus, ce n est pas de la défense en profondeur, il faut des couches différentes et complémentaires. À l examen, si on propose de supprimer les droits admin locaux pour des utilisateurs standards, c est du moindre privilège.
À vous de jouer : Un développeur a besoin d administrer un seul serveur de test pendant deux jours. Quelle est la bonne application du moindre privilège ?
Voir la réponse

Un compte administrateur temporaire, limité à ce serveur et expirant après deux jours, avec journalisation. Donner un accès admin permanent au domaine violerait le principe et transformerait tout compromission de son poste en compromission totale.

1.3 Les Contrôles de Sécurité

Les contrôles sont classés en trois catégories :

Pourquoi c'est important : Lors d un audit, on ne demande jamais mettez de la sécurité, on demande quel contrôle, de quelle catégorie et avec quelle fonction. Un badge à l entrée, une politique écrite, un pare-feu : ce ne sont ni le même type ni le même effet. Savoir classer technique, administratif et physique, puis préventif, détectif, correctif, dissuasif et de récupération, rapporte des points directs à l examen.
L'analogie qui aide : Imaginez un stade : le vigile qui fouille les sacs, c est un contrôle physique préventif. La caméra qui filme les tribunes, c est un contrôle physique détectif. Le règlement affiché qui interdit les fumigènes, c est un contrôle administratif dissuasif. Le pare-feu informatique qui bloque les ports, c est un contrôle technique préventif. Même match, plusieurs filets.

Chaque type peut être préventif, détectif, correctif, dissuasif ou de récupération.

Démonstration pas à pas : Prenons la protection d une base clients. Étape 1 : on écrit une politique de classification et on forme le personnel, c est administratif préventif. Étape 2 : on chiffre la base et on impose le multifacteur, c est technique préventif. Étape 3 : on déploie un système de détection qui alerte sur une extraction massive, c est technique détectif. Étape 4 : après incident, on restaure depuis la sauvegarde, c est correctif et de récupération. Le raisonnement montre qu il faut combiner les catégories pour couvrir tout le cycle.

⚠️ Point important

Un pare-feu seul ne suffit pas — il faut une approche de défense en profondeur. L'examen teste fréquemment la capacité à identifier le bon type de contrôle pour un scénario donné.

Module 2 : Menaces et Attaques

Pièges classiques : Le piège numéro un : confondre la catégorie et la fonction. La catégorie répond à comment c est fait : technique, administratif, physique. La fonction répond à quand cela agit : prévenir, détecter, corriger, dissuader, récupérer. Exemple : une caméra est physique et détective, pas technique. Un pare-feu est technique et préventif. La formation est administrative et préventive. Lisez bien ce que la question demande.
À vous de jouer : Un système génère une alerte quand dix échecs de connexion surviennent en une minute. Quelle catégorie et quelle fonction ?
Voir la réponse

Contrôle technique détectif. Technique car c est un mécanisme logiciel automatique, détectif car il signale une activité suspecte sans la bloquer lui-même. S il bloquait le compte, la partie blocage serait préventive.

2.1 Types de Malware

Pourquoi c'est important : Un ver comme WannaCry a paralysé des hôpitaux entiers en quelques heures sans qu aucun utilisateur ne clique, simplement en se propageant sur le réseau. Un rançongiciel chiffre la comptabilité et exige un paiement. Un rootkit reste invisible pendant des mois. Savoir distinguer virus, ver, troyen, rootkit et rançongiciel permet de choisir la bonne réaction : isoler, restaurer ou reconstruire.
L'analogie qui aide : Comparez les malwares aux maladies : le virus a besoin d un hôte, comme la grippe a besoin d un contact pour se transmettre via un fichier. Le ver se propage seul dans l air du réseau, comme la varicelle dans une école. Le troyen est un livreur poli qui cache un cambrioleur dans son colis. Le rootkit est un caméléon qui se fond dans le décor pour ne jamais être vu.
Démonstration pas à pas : Suivons un ver sur un réseau non corrigé. Étape 1 : un poste vulnérable exposé est infecté via une faille SMB. Étape 2 : le ver scanne automatiquement le réseau local à la recherche d autres machines vulnérables, sans action humaine. Étape 3 : chaque nouvelle victime devient à son tour source d infection, la propagation devient exponentielle. Étape 4 : la charge utile, ici un rançongiciel, chiffre les disques. Conclusion : contre un ver, la vitesse de correction et la segmentation comptent plus que la vigilance d un seul utilisateur.
Pièges classiques : Les candidats mélangent virus et ver : le virus exige un fichier hôte et une action humaine, le ver est autonome sur le réseau. Autre confusion : le troyen ne se réplique pas, il trompe pour être exécuté. Le rootkit n est pas un dégât visible, c est une technique de furtivité avec accès administrateur caché. À l examen, propagation automatique sans clic égale ver ; fichier joint exécuté égale souvent troyen ou virus.
À vous de jouer : Un malware se propage d un serveur à l autre sans pièce jointe ni clic, en exploitant une faille réseau. S agit-il d un virus ou d un ver ?
Voir la réponse

Un ver. L indice décisif est la propagation autonome via le réseau sans hôte ni intervention. Un virus aurait nécessité l ouverture d un fichier infecté. La contre-mesure prioritaire est la correction des vulnérabilités et la segmentation, pas seulement l antivirus.

2.2 Attaques Réseau

Pourquoi c'est important : Travailler depuis un café sur un Wi-Fi ouvert sans VPN, c est offrir ses identifiants au voisin de table avec un outil d interception. Une attaque de l homme du milieu peut voler une session bancaire, un déni de service distribué peut mettre une boutique en ligne à genoux un jour de soldes. Ces attaques visent directement la disponibilité et la confidentialité des échanges.
L'analogie qui aide : Imaginez la poste : normalement la lettre va de vous au destinataire. L homme du milieu est un employé indélicat qui ouvre la lettre, recopie le code, puis la referme et la réexpédie. L usurpation ARP, c est changer l étiquette des boîtes aux lettres pour que tout le courrier arrive chez lui. Le déni de service, c est envoyer mille camions vides devant l entrepôt pour bloquer l accès aux vrais clients.
Démonstration pas à pas : Déroulons une usurpation ARP. Étape 1 : l attaquant, sur le même réseau local, envoie de fausses réponses ARP qui associent son adresse MAC à l adresse IP de la passerelle. Étape 2 : les victimes mettent à jour leur cache et envoient leur trafic vers l attaquant. Étape 3 : l attaquant lit ou modifie le trafic puis le retransmet à la vraie passerelle pour rester discret. Étape 4 : sans chiffrement comme HTTPS ou VPN, mots de passe et cookies sont lisibles. La parade est le chiffrement et la détection d anomalies ARP sur les commutateurs.
Pièges classiques : Piège fréquent : confondre déni de service et interception. Le DDoS rend indisponible, il ne vole pas de données. L Evil Twin crée un faux point d accès, c est une forme d homme du milieu sans fil. Le rejeu rejoue une séquence capturée, par exemple un ticket d authentification, la parade est l horodatage et le nonce. À l examen, trafic redirigé vers un serveur malveillant après une requête DNS évoque l empoisonnement DNS.
À vous de jouer : Un employé se connecte au Wi-Fi gratuit HOTEL-GRATUIT qui imite celui de l hôtel, puis sa session de messagerie est volée. Quelle attaque ?
Voir la réponse

Un Evil Twin combiné à un homme du milieu. Le faux point d accès attire la victime, l attaquant relaie le trafic vers Internet tout en l interceptant. La protection est de vérifier le SSID officiel, d utiliser un VPN et de préférer les sites en HTTPS avec une authentification multifacteur.

2.3 Attaques Web et Applications

Pourquoi c'est important : Un seul champ de recherche mal protégé peut exposer toute une base clients via une injection SQL. Un commentaire de blog qui exécute du JavaScript peut voler les cookies de mille visiteurs via un XSS. Ces failles applicatives sont quotidiennes et très testées, car elles touchent directement les données.
L'analogie qui aide : Imaginez un guichet : l injection SQL, c est glisser dans le formulaire une phrase qui transforme la question du guichetier. Au lieu de donnez-moi la fiche Dupont, il entend donnez-moi toutes les fiches. Le XSS, c est coller sur le panneau d affichage un message qui, une fois lu, vole le portefeuille du lecteur. Le CSRF, c est piéger un client déjà identifié pour lui faire signer un ordre qu il n a pas voulu.
Démonstration pas à pas : Déroulons une injection SQL classique. Étape 1 : le formulaire fait confiance à l entrée et construit la requête : SELECT * FROM users WHERE login = saisie. Étape 2 : l attaquant saisit admin OR 1=1 -- ce qui donne WHERE login = admin OR 1=1, toujours vrai. Étape 3 : la base renvoie tous les comptes, l attaquant se connecte sans mot de passe valide. Étape 4 : la correction est la requête préparée avec paramètres, plus la validation des entrées et le moindre privilège sur le compte base. On ne filtre pas à la main, on paramètre.
Pièges classiques : Les élèves confondent XSS et SQL : le XSS vise le navigateur des victimes avec du script, l injection SQL vise la base de données du serveur. Le CSRF ne vole pas le mot de passe, il réutilise la session authentifiée de la victime. Le zero-day n est pas une technique, c est une vulnérabilité sans correctif disponible, donc la fenêtre d exposition est maximale. À l examen, champ qui renvoie des données anormales de la base égale injection SQL.
À vous de jouer : Un forum affiche tel quel le JavaScript saisi par un utilisateur, et les visiteurs qui lisent le message voient leur cookie volé. Quelle vulnérabilité ?
Voir la réponse

Un Cross-Site Scripting stocké. Le script est enregistré sur le serveur puis exécuté par chaque visiteur. La correction est l encodage de sortie, la validation des entrées et une politique de sécurité de contenu. Ce n est pas une injection SQL car la base n est pas interrogée de façon détournée.

2.4 Attaques de Social Engineering

Pourquoi c'est important : La majorité des intrusions commencent par un courriel ou un appel, pas par une prouesse technique. Un faux support qui demande un code à usage unique, un SMS de livraison avec un lien piégé, un faux profil qui gagne la confiance : l humain est contourné avant la machine. Comprendre ces schémas est vital pour les reconnaître en une seconde.
L'analogie qui aide : Imaginez un déguisement : l hameçonnage classique, c est un prospectus distribué à tout le quartier en se faisant passer pour la banque. Le harponnage, c est une lettre manuscrite adressée à une seule personne avec des détails personnels. Le pretexting, c est un acteur qui joue un rôle crédible, technicien ou auditeur, pour se faire ouvrir la porte. Le quid pro quo, c est offrir un faux cadeau contre un vrai secret.
Démonstration pas à pas : Déroulons un harponnage réaliste. Étape 1 : l attaquant collecte sur les réseaux sociaux le nom du directeur, de son assistante et d un projet en cours. Étape 2 : il envoie à l assistante un courriel urgent signé du directeur avec le bon logo, la bonne signature et une facture à payer vite. Étape 3 : sous pression, elle clique et saisit ses identifiants sur une fausse page. Étape 4 : l attaquant rejoue ces identifiants immédiatement. La parade est la vérification par un second canal, par téléphone connu, et le signalement sans cliquer.
Pièges classiques : Piège d examen : vishing égale voix et téléphone, smishing égale SMS, phishing égale courriel générique, spear phishing égale ciblé. Le pretexting repose sur un scénario inventé crédible, le quid pro quo propose un service en échange. Le watering hole ne vise pas directement la victime, mais piège un site qu elle fréquente. Si l énoncé insiste sur une personne précise et des informations personnelles, choisissez le harponnage.
À vous de jouer : Un comptable reçoit un appel d un faux technicien qui propose d accélérer son ordinateur s il installe un outil de prise en main. De quel type d ingénierie sociale s agit-il ?
Voir la réponse

Un quid pro quo. L attaquant offre un service en échange d une action qui donne accès. Ce n est pas du vishing simple car l argument central est l échange de bons procédés. La réponse attendue est de raccrocher, de rappeler le support via le numéro officiel et de ne jamais installer un outil sur demande entrante.

2.5 Indicateurs de Compromission (IOC)

Signes qu'un système ou réseau a été compromis :

Pourquoi c'est important : Repérer tôt un compromission évite le pire : un trafic sortant anormal à trois heures du matin, un compte inconnu avec des droits élevés, des journaux effacés. Chaque heure gagnée réduit le vol de données et le coût de restauration. Les indicateurs de compromission sont le langage quotidien d un centre d opérations de sécurité.
L'analogie qui aide : Comparez-les aux symptômes d une maladie : une fièvre isolée ne prouve rien, mais fièvre plus fatigue plus test positif oriente le diagnostic. De même, un ralentissement seul peut être banal, mais ralentissement plus fichiers chiffrés plus note de rançon signe un rançongiciel. On ne conclut jamais sur un seul signe, on croise.

Module 3 : Cryptographie de Base

Pièges classiques : Erreur classique : prendre un seul indicateur pour une preuve. Un port ouvert inconnu peut être une nouvelle application légitime, il faut corréler. Autre piège : des journaux effacés ne signifient pas absence d attaque, c est au contraire un indice de dissimulation. À l examen, fichiers chiffrés avec extension étrange égale rançongiciel, trafic de beacon régulier égale commande et contrôle.
À vous de jouer : Un serveur envoie chaque heure de petits paquets vers la même adresse externe, et un nouveau compte à privilèges est apparu. Que faut-il conclure et faire ?
Voir la réponse

Suspecter une compromission avec canal de commande et contrôle, et appliquer la procédure : isoler sans éteindre pour préserver la mémoire, collecter les journaux, réinitialiser les identifiants potentiellement volés et escalader au responsable de réponse aux incidents.

3.1 Symétrique vs Asymétrique

🔑 Chiffrement Symétrique

Une seule clé pour chiffrer et déchiffrer. Rapide mais nécessite un partage sécurisé de clé. Exemples : AES (128/256 bits), 3DES, Blowfish, ChaCha20.

Pourquoi c'est important : Sans chiffrement hybride, ni votre banque en ligne ni votre messagerie ne pourraient fonctionner de façon sûre et rapide. Le symétrique chiffre vite de gros volumes avec AES, mais pose la question du partage de la clé. L asymétrique résout le partage avec une paire publique et privée, mais il est trop lent pour tout chiffrer. TLS combine les deux, et c est exactement ce que l examen attend.
L'analogie qui aide : Le symétrique, c est un coffre avec une seule clé à double : pratique, mais il faut remettre une copie à votre correspondant sans qu elle soit copiée en route. L asymétrique, c est une boîte aux lettres ouverte : tout le monde peut y glisser un message avec la clé publique, mais seul le propriétaire ouvre avec sa clé privée. En pratique, on envoie par boîte aux lettres la petite clé du coffre, puis on utilise le coffre pour le reste.
Démonstration pas à pas : Déroulons une connexion HTTPS. Étape 1 : le serveur présente son certificat avec sa clé publique, signée par une autorité de confiance. Étape 2 : le client génère une clé de session symétrique aléatoire pour AES. Étape 3 : il chiffre cette petite clé avec la clé publique RSA ou par échange Diffie-Hellman, et l envoie. Étape 4 : les deux côtés utilisent désormais la clé AES partagée pour chiffrer rapidement tout le trafic. On a combiné distribution sûre et vitesse.

🔐 Chiffrement Asymétrique

Paire de clés : publique (chiffrer) et privée (déchiffrer). Plus lent mais résout le problème de distribution de clés. Exemples : RSA (2048+ bits), ECC, Diffie-Hellman.

Hybride : En pratique, on utilise l'asymétrique pour échanger une clé symétrique, puis le symétrique pour le transfert de données (TLS/SSL).

Pièges classiques : Piège majeur : dire que l asymétrique sert à chiffrer les gros fichiers, alors qu en pratique il protège l échange de clés et les signatures. Autre piège : AES 128 ou 256 bits est robuste, 3DES et Blowfish sont à éviter pour le neuf. RSA exige au moins 2048 bits, l ECC offre une sécurité équivalente avec des clés plus courtes. Si la question parle de partage de clé à grande échelle, pensez asymétrique puis hybride.
À vous de jouer : Pour envoyer un fichier de 5 Go à un partenaire sans secret partagé au préalable, quelle stratégie correcte ?
Voir la réponse

Une approche hybride : échanger une clé AES temporaire via RSA ou Diffie-Hellman authentifié, puis chiffrer le fichier en AES. Chiffrer tout le fichier directement en RSA serait lent et inadapté. Il faut aussi authentifier la clé publique via un certificat pour éviter l homme du milieu.

3.2 Hachage et Intégrité

Les fonctions de hachage produisent une empreinte unique à taille fixe :

Pourquoi c'est important : Stocker des mots de passe en clair, c est offrir tous les comptes à la première fuite de base. Les fonctions de hachage créent une empreinte irréversible qui permet de vérifier sans stocker le secret. Avec un sel unique et un algorithme lent comme bcrypt ou Argon2, même deux mots de passe identiques donnent des empreintes différentes et résistent aux tables arc-en-ciel.
L'analogie qui aide : L empreinte digitale illustre bien le hachage : elle identifie une personne sans la décrire, elle est de taille fixe et on ne peut pas reconstruire la personne depuis l empreinte. Le sel, c est demander à chacun de poser le doigt avec une encre légèrement différente, pour que deux mêmes doigts ne donnent pas exactement la même image exploitable en masse par un attaquant.
Pièges classiques : Le piège le plus rentable à l examen : MD5 et SHA-1 sont cassés pour la sécurité, on exige SHA-256 ou SHA-512, et pour les mots de passe bcrypt, scrypt ou Argon2. Autre confusion : hacher n est pas chiffrer, il n y a pas de déchiffrement possible. Le sel est aléatoire et unique par mot de passe, stocké en clair sans honte, son rôle est d empêcher le précalcul massif. Sans sel, deux comptes avec le même mot de passe ont la même empreinte.
À vous de jouer : Une fuite montre que mille comptes partageant le même mot de passe ont la même empreinte SHA-256 sans sel. Quelle faute et quelle correction ?
Voir la réponse

Absence de sel et usage d un hachage rapide non adapté aux mots de passe. Il faut migrer vers Argon2 ou bcrypt avec sel unique par compte et facteur de coût, forcer la réinitialisation et surveiller les réutilisations. SHA-256 seul est trop rapide pour cet usage.

3.3 Protocoles et PKI

Pourquoi c'est important : Chaque fois que vous voyez le cadenas du navigateur, une infrastructure à clé publique vérifie que le serveur est bien celui qu il prétend être, puis négocie un chiffrement TLS. Sans autorité de certification et chaîne de confiance, n importe qui pourrait se faire passer pour votre banque. IPSec protège les VPN au niveau réseau, SSH protège l administration à distance.
L'analogie qui aide : La PKI est un système de passeports : l autorité de certification est la mairie qui vérifie l identité puis délivre le passeport, c est le certificat. Le navigateur est le policier qui contrôle le passeport, sa date et la signature de la mairie. S il ne connaît pas la mairie ou si le passeport est expiré, il alerte. La révocation, c est la liste des passeports volés à refuser.
Démonstration pas à pas : Déroulons une connexion TLS 1.3 simplifiée. Étape 1 : le client envoie sa proposition de paramètres et une valeur éphémère. Étape 2 : le serveur répond avec son certificat et sa valeur éphémère, prouvant son identité via sa signature. Étape 3 : les deux calculent la même clé de session sans jamais l avoir transmise, grâce à Diffie-Hellman. Étape 4 : tout le trafic applicatif est chiffré et authentifié. Si le certificat est invalide, le client doit refuser avant tout échange sensible.
Pièges classiques : Confusion fréquente : TLS protège le web et la plupart des services applicatifs, IPSec protège au niveau IP pour les VPN site à site, SSH administre des machines sur le port 22. Autre piège : la stéganographie cache l existence même du message dans une image, ce n est pas du chiffrement. À l examen, cadenas invalide ou nom différent égale ne pas continuer et vérifier la chaîne et la révocation.
À vous de jouer : Un utilisateur reçoit un avertissement de certificat pour le site de sa banque et s apprête à cliquer sur continuer. Que faut-il faire ?
Voir la réponse

Ne pas continuer, vérifier l URL exacte, l horloge du poste, puis alerter le support. Cliquer sur continuer expose à un hameçonnage ou à un homme du milieu avec un faux certificat. Le bon réflexe est de joindre la banque par un canal connu et de faire contrôler le poste.

3.4 Concepts Clés

Pourquoi c'est important : Une facture signée numériquement ne peut pas être reniée ensuite par son émetteur, c est la non-répudiation qui sécurise contrats et transactions. Un sel bien utilisé neutralise les tables arc-en-ciel. Un vecteur d initialisation unique évite que deux messages identiques chiffrés se ressemblent. Le renforcement de clé rend un mot de passe humain résistant aux essais massifs.
L'analogie qui aide : La signature numérique est comme une signature devant notaire avec un sceau : le notaire vérifie votre identité, appose un sceau infalsifiable lié au document exact, et toute rature ultérieure brise le sceau. Le sel est comme ajouter un numéro de dossier unique à chaque photocopie avant de la sceller, pour empêcher toute comparaison en série. Le vecteur d initialisation est comme mélanger les cartes différemment à chaque partie.

Module 4 : Identity and Access Management (IAM)

Démonstration pas à pas : Signons un devis. Étape 1 : on calcule l empreinte SHA-256 du document exact. Étape 2 : on chiffre cette empreinte avec la clé privée du signataire, c est la signature. Étape 3 : le destinataire recalcule l empreinte et la déchiffre avec la clé publique, si les deux correspondent et que le certificat est valide, l origine et l intégrité sont prouvées. Étape 4 : le signataire ne peut pas prétendre ne pas avoir signé, car lui seul détient la clé privée. C est la non-répudiation.
Pièges classiques : Piège redoutable : la non-répudiation exige une signature asymétrique avec clé privée, le symétrique seul ne la donne pas car les deux parties partagent le même secret. Autre piège : un vecteur d initialisation doit être aléatoire et jamais réutilisé avec la même clé, sinon des motifs fuient. Le renforcement comme PBKDF2 ou bcrypt ne remplace pas un mot de passe robuste, il augmente seulement le coût d attaque. Sel différent à chaque mot de passe, c est non négociable.
À vous de jouer : Un contrat est chiffré en AES avec une clé partagée entre deux entreprises. L une d elles peut-elle prouver que l autre a rédigé le message ?
Voir la réponse

Non. Avec une clé partagée, chacune peut avoir produit le chiffré, il n y a pas de non-répudiation. Il faut une signature avec la clé privée de l émetteur, vérifiable par sa clé publique via un certificat valide.

4.1 Authentification

Trois facteurs d'authentification :

Pourquoi c'est important : Un simple mot de passe volé par hameçonnage ouvre la messagerie, le VPN et parfois toute l entreprise. L authentification multifacteur bloque la majorité de ces reprises car l attaquant n a qu un seul facteur. Les trois familles, savoir, avoir et être, sont la base du domaine identité de SY0-701. Les retenir, c est répondre vite et juste.
L'analogie qui aide : Imaginez un coffre de banque : ce que vous savez, c est le code du digicode. Ce que vous avez, c est la clé physique que le gardien vous remet. Ce que vous êtes, c est votre visage reconnu par le gardien. Ouvrir avec code plus clé, c est du multifacteur. Donner deux codes différents, ce n est qu un seul facteur répété.

Authentification multifacteur (MFA) : Combinaison d'au moins 2 facteurs différents. Obligatoire pour les systèmes sensibles.

Démonstration pas à pas : Déroulons une connexion protégée. Étape 1 : l utilisateur saisit son mot de passe, premier facteur de connaissance, le serveur le vérifie. Étape 2 : le serveur demande un code TOTP de 30 secondes généré sur le téléphone, deuxième facteur de possession. Étape 3 : même avec le mot de passe volé, l attaquant sans le téléphone est bloqué. Étape 4 : pour les systèmes sensibles, on ajoute la biométrie ou une clé FIDO2 résistante à l hameçonnage. Le raisonnement montre que la force vient de la diversité des facteurs.

Pièges classiques : Attention, le support de cours comporte une coquille : les trois facteurs ne s appellent pas tous de la même façon, ce sont ce que vous savez, ce que vous avez et ce que vous êtes. Piège d examen : mot de passe plus question secrète, c est un seul facteur, pas du MFA. SMS contre application TOTP contre clé FIDO2 : la clé matérielle résiste le mieux à l interception. Exigez le MFA pour l administration, le VPN et la messagerie.
À vous de jouer : Un site propose mot de passe plus question secrète comme double protection. Est-ce une authentification multifacteur ?
Voir la réponse

Non. Les deux appartiennent à la même famille, ce que vous savez. Un vrai MFA combinerait par exemple mot de passe et code TOTP ou clé FIDO2. La question secrète n ajoute presque aucune résistance car ses réponses se devinent ou se trouvent en ligne.

4.2 Contrôle d'Accès

Pourquoi c'est important : Donner à tout le monde l accès en écriture au dossier paie, c est garantir une fuite ou une erreur. Le contrôle par rôle donne au comptable ce qu il faut et à l invité presque rien. Le contrôle obligatoire impose des labels comme Confidentiel que même le propriétaire ne peut pas abaisser. Choisir RBAC, ABAC, MAC ou DAC change qui décide et selon quels critères.
L'analogie qui aide : Imaginez un hôtel : RBAC donne une clé selon votre fonction, femme de chambre, réceptionniste, directeur. ABAC vérifie en plus l heure, l étage et votre badge avant d ouvrir. MAC est l armée : un tampon Top Secret sur la porte que personne ne peut contourner même avec l accord du colonel. DAC, c est le client qui décide qui entre dans sa chambre.
Démonstration pas à pas : Prenons une demande d accès au dossier Budget. Étape 1 : en RBAC, on regarde le rôle, membre de Finance, oui, accès accordé selon la matrice. Étape 2 : en ABAC, on ajoute le contexte, depuis un portable non chiffré à l étranger, accès refusé ou limité malgré le rôle. Étape 3 : en MAC, si le dossier est classé Secret et l utilisateur habilité Confidentiel, refus systématique. Étape 4 : on journalise dans la comptabilité AAA qui a accédé, quand et pour faire quoi. La démonstration montre que le modèle détermine la décision.
Pièges classiques : Piège classique : MAC est imposé par le système avec des niveaux, DAC laisse le propriétaire du fichier décider. ABAC raisonne en attributs dynamiques comme localisation ou heure, RBAC en rôles statiques. AAA signifie authentification, autorisation et traçabilité, ne confondez pas autorisation et authentification. À l examen, si le propriétaire partage depuis son poste, pensez DAC ; si c est le système qui interdit malgré son accord, pensez MAC.
À vous de jouer : Un propriétaire de fichier partage son document avec un collègue via les permissions du fichier. Quel modèle ?
Voir la réponse

Un contrôle discrétionnaire DAC, complété par une liste de contrôle d accès ACL. La décision appartient au propriétaire. À l inverse, un système MAC l aurait empêché si le niveau du collègue était insuffisant pour la classification du document.

4.3 Gestion des Identités

Pourquoi c'est important : Le plus grand risque silencieux, ce sont les comptes orphelins d anciens prestataires encore actifs six mois après leur départ. Sans provisionnement et déprovisionnement rigoureux, sans fédération propre avec SAML ou OpenID Connect, ces comptes deviennent des portes dérobées. Le SSO améliore la vie des utilisateurs mais concentre le risque, il doit donc être verrouillé par du MFA.
L'analogie qui aide : Imaginez un concierge d immeuble : à l arrivée, il crée le badge, programme les étages autorisés et remet les clés, c est le provisionnement. Pendant le séjour, il adapte les droits si vous changez d appartement. Au départ, il récupère tout immédiatement, c est le déprovisionnement. La fédération, c est accepter le badge d un immeuble partenaire après vérification, sans refaire un badge local.
Démonstration pas à pas : Suivons une embauche. Étape 1 : le SIRH signale l arrivée d une analyste Finance, le système crée automatiquement son compte avec le rôle Finance. Étape 2 : elle s authentifie une fois via SSO fédéré en SAML, puis accède à la paie et au reporting sans nouveau mot de passe. Étape 3 : elle change de service, ses rôles sont ajustés automatiquement. Étape 4 : à son départ, tous les accès sont révoqués le jour même et les sessions coupées. Sans l étape 4, son compte devient orphelin et exploitable.

⚠️ Erreur fréquente

Le de-provisionnement est souvent négligé. Lorsqu'un employé quitte l'entreprise, tous ses accès doivent être révoqués immédiatement pour éviter les accès orphelins.

Pièges classiques : Piège d examen : SSO simplifie mais crée un point unique de compromission, d où l obligation du MFA et de la surveillance. SAML sert à la fédération web et au SSO d entreprise, OAuth 2.0 délègue une autorisation via des jetons, OpenID Connect ajoute l authentification au-dessus d OAuth. LDAP et Active Directory restent l annuaire de référence. Si la question parle d accès non révoqués après un départ, répondez déprovisionnement manquant.
À vous de jouer : Une ancienne prestataire se connecte encore au VPN trois mois après sa mission. Quelle faute de gestion des identités ?
Voir la réponse

Un déprovisionnement manquant. Son compte aurait dû être désactivé automatiquement à la fin du contrat, avec révocation des certificats et des jetons SSO. Il faut revoir le processus de sortie, auditer les comptes inactifs et activer une revue périodique des droits.

4.4 Refreshers Rapides

Pourquoi c'est important : À l examen, une question donne souvent un port et attend le protocole : 389 pour LDAP, 636 pour LDAPS, 88 pour Kerberos, 1812 pour RADIUS, 49 pour TACACS+. Confondre LDAPS et LDAP envoie des identifiants en clair sur le réseau. Confondre RADIUS et TACACS+ fait rater la bonne architecture pour administrer des équipements réseau.
L'analogie qui aide : Voyez l annuaire LDAP comme un bottin téléphonique d entreprise : il stocke qui est qui et dans quel service. RADIUS est le gardien à l entrée du Wi-Fi qui téléphone au bottin pour vérifier. TACACS+ est le superviseur des techniciens réseau qui note précisément qui a tapé quelle commande sur quel routeur. Kerberos est un cinéma qui délivre des tickets horodatés à présenter à chaque salle.
Démonstration pas à pas : Déroulons une connexion Wi-Fi d entreprise. Étape 1 : le poste s associe et le point d accès bloque tout sauf l authentification 802.1X. Étape 2 : le point d accès relaie l identité vers le serveur RADIUS. Étape 3 : RADIUS vérifie dans l annuaire LDAP et, si le MFA réussit, renvoie un accord avec le VLAN à appliquer. Étape 4 : l utilisateur accède au réseau avec le bon profil. Pour administrer un routeur, on préférerait TACACS+ car il sépare authentification, autorisation et traçabilité commande par commande.
Pièges classiques : Le piège qui coûte cher : LDAP sur 389 est en clair, imposez LDAPS sur 636. RADIUS chiffre surtout le mot de passe et utilise UDP 1812, TACACS+ chiffre tout l échange en TCP 49 et sépare les trois A, idéal pour l administration réseau. Kerberos sur 88 repose sur des tickets et une horloge synchronisée, un décalage de temps casse tout. À l examen, administration fine des équipements réseau égale TACACS+, accès réseau ou Wi-Fi centralisé égale RADIUS.
À vous de jouer : Un administrateur veut tracer précisément quelle commande chaque technicien a exécutée sur les routeurs. Faut-il RADIUS ou TACACS+ ?
Voir la réponse

TACACS+. Il sépare authentification, autorisation et comptabilité et journalise les commandes une par une, avec chiffrement complet en TCP 49. RADIUS convient pour l accès réseau global mais offre une traçabilité des commandes bien plus limitée.