Devensys Cybersecurity – The Blog

Présentation du contrôle d’accès

Les contrôles d’accès furent de tout temps utilisés (le contrôle d’accès physique avec les gardes, ou l’accès administratif par la surveillance du passé d’un employé), mais le développement des nouvelles technologies nous a contraints à améliorer les techniques préexistantes. Le contrôle d’accès logique fut donc développé dès la création d’ARPANET. Ainsi, le DoD (Department of Defence),  développa le modèle Bell-La Padula pour assurer la confidentialité des informations, principalement dans ce contexte de guerre froide, ou encore Biba pour l’intégrité. D’autres modèles furent ensuite créés, ayant pour base certains principes de sécurité, et étant plus ou moins adaptés à certaines structures (gouvernementales ou économiques).

Le contrôle d’accès donne à une entité l’autorisation d’accéder aux ressources demandées, qu’elles soient physiques (accès à un bâtiment, une salle, un coffre, etc.) ou logiques (accès à certains dossiers, programmes, informations, etc.). Les deux principales entités définies dans le contrôle d’accès sont le sujet et les objets.

Le sujet

Le sujet est défini comme l’entité qui initie la demande d’accès à un objet. Il peut être affecté de manière unique à des règles spécifiques concernant un ou plusieurs objets, ou être implémenté dans un groupe disposant de règles communes à tous. Un sujet peu être un utilisateur, un programme, un processus, un fichier, un ordinateur, une base de données, etc.

Les objets

Les objets, ou ressources sont les éléments auxquels le sujet veut accéder. Une ressource peut être une imprimante, un programme, un processus, un fichier, un ordinateur, une base de données, un lieu, etc.

Les étapes de gestion du contrôle d’accès

Le contrôle d’accès est donc un moyen de ne laisser que les sujets autorisées à accéder à une ressource spécifique. Ainsi l’entreprise utilisera une politique de sécurité établie préalablement afin de définir quels sujets auront accès à tel ou tel objet. On pourrait prendre par exemple le cas de casiers privés (ou le contrôle d’accès physique serait obtenu par l’utilisation d’une clef) où la confidentialité des informations serait garantie. L’accès à la salle serveur uniquement à l’administrateur réseaux permet  d’éviter  une indisponibilité du réseau de l’entreprise par l’altération physique ou logique des équipements par d’éventuels attaquants, ou encore l’accès aux ressources seulement pour les personnes autorisées évite la modification des données par des individus considérés comme malveillant et préserve ainsi l’intégrité de ces dernières. Cette méthode permet donc de renforcer la C.I.A au sein de l’entreprise, mais elle seule n’est pas suffisante.

Le contrôle d’accès peut être décomposé en quatre étapes:

L’identification : Le sujet désirant un accès à une ressource doit avant tout s’identifier, c’est-à-dire qu’il doit annoncer qui il est.

Authentification : Après l’identification, le sujet doit prouver son identité.

Droits d’accès : Le sujet se voit attribuer les permissions qui lui ont été accordées vis-à-vis de la ressource sollicitée.

Traçabilité: Après l’authentification, les actions du sujet seront tracées et conservées au sein d’une base de données ou d’un fichier de log.

Permissions, droits d’accès et privilèges

Permissions, droits d’accès et privilèges  sont 3 termes ayant la même signification concernant le contrôle d’accès. Ils désignent la permission d’accéder à une ressource confidentielle par un sujet, c’est-à-dire une ressource qui ne peut être accessible par un sujet non autorisé. On désigne donc ainsi toute autorisation qui permet aux sujets autorisés explicitement, et à eux seuls d’accéder à une ressource spécifique.

Principe de moindre privilège

Le principe de moindre privilège revêt une grande importance en termes de sécurité dans une entreprise. On désigne ici le fait d’accorder à un sujet le minimum de permissions nécessaire à l’accomplissement de ses tâches au sein de l’entreprise.

Cette méthode a pour principal avantage de réduire les risques qu’une ressource soit menacée par une personne n’ayant nullement besoin de celle-ci. Ainsi, une personne (tel qu’un salarié) n’ayant aucun besoin d’être dans un lieu important (tel que la salle serveur) ne sera pas autorisée et ne pourra par conséquent être une menace potentielle pour les serveurs de l’entreprise.

Cependant, un des problèmes de cette méthode est justement la limitation des privilèges au strict minimum. Lorsque l’on assigne à un employé une tâche en dehors de son travail standard qui nécessite certaines permissions supplémentaires, l’employé aura tendance à demander/prendre le compte d’un autre utilisateur disposant de ces droits d’accès. Cela ouvre une faille de sécurité (une personne aura accès à des privilèges qu’il ne devrait pas avoir, et partager ce compte avec d’autres employés). Pour pallier à ce problème, il est indispensable d’avoir une bonne gestion de l’attribution de privilèges spécifiques et momentanés.

Identification et authentification

Identification

L’identification désigne le fait de donner son identité. La réponse d’une demande d’accès à une ressource non publique, un service, un secteur de l’entreprise nécessite de connaitre l’identité du demandeur. L’identification est souvent représentée par un nom d’utilisateur, un login, on peut donc entrer l’identifiant de notre choix. L’identification ne prouve pas qu’on est bien celui qu’on prétend être. C’est-à-dire qu’on pourra s’identifier comme étant l’administrateur, alors qu’on est en fait un simple employé.

La phase d’identification ne demande aucune preuve de l’identité du sujet.

Exemple :

Un policier ou un gardien vous interpelle, il vous demande votre identité. Libre à vous de lui mentir en vous faisant passer pour un autre. C’est la même chose en informatique on peut donner l’identité de notre choix, en entrant le login d’un collègue par exemple.

Authentification

L’authentification est le fait de prouver son identité par une quelconque méthode, qu’elle soit choisie ou imposée. Cette opération intervient juste après l’identification. Elle peut utiliser plusieurs moyens, information que seuls nous connaissons (mot de passe), une autorité tierce (carte d’identité), ou encore des moyens biométriques.

Exemples :

Pour reprendre l’exemple précédent, un policier nous interpelle et nous demande notre identité. Libre à nous de lui mentir lors de l’identification, seulement il faudra par la suite prouver notre identité. La présentation d’une pièce d’identité valide permettra aisément à l’agent de faire la comparaison et de vérifier ou non la véracité de nos dires. En informatique, l’authentification est souvent basée sur l’utilisation d’un mot de passe qui, en principe, est connue uniquement par l’utilisateur.

Les types de contrôles d’accès

Contrôle Administratif

Le contrôle administratif intervient principalement sur les employés. Le facteur humain est le principal risque de sécurité dans une entreprise. Il faut donc avoir une politique de sécurité adaptée et utiliser un contrôle administratif. Le contrôle administratif a pour principe de  renforcer la sécurité des systèmes d’informations sans utiliser de technologie, et principalement en inspectant tout se qui ce rapporte aux ressources humaines.

On vérifiera par conséquent le passé de l’employé (si l’employé a un casier judiciaire avant de l’embaucher par exemple), expliquer les politiques de sécurité de l’entreprise (afin que chacun les intègrent et les comprennent) et faire de la surveillance pour vérifier qu’elles soient comprises et appliquées par tous.

Contrôle Physique

Le contrôle d’accès physique intervient notamment sur le matériel et les lieux de l’entreprise. Empêcher l’accès aux zones sensibles au personnel non autorisé, ou encore éviter que l’employé ne modifie ses outils de travail sont des points importants de la sécurité en entreprise. Le contrôle physique a pour principe d’utiliser toute méthode pouvant entraver, surveiller  ou dissuader l‘accès physique d’une entité sans permissions aux systèmes d’informations à protéger.

L’utilisation de caméra de surveillance pour garder une trace des accès à une zone de l’entreprise, de garde, de porte blindée, de serrure de sécurité ou encore de biométrie est courante.

Contrôle Logique

Les entreprises sont de plus en plus dépendantes de l’informatique et des réseaux. Par conséquent, elles se voient obligées d’appliquer des politiques de sécurité pour le réseau et les systèmes informatiques de l’entreprise avec des contrôles d’accès logique adaptés. Le contrôle d’accès logique utilise des procédés visant à limiter l’action d’un compte sur un système/réseau logique.

On attribuera pour cela des permissions appropriées sur le compte de l’utilisateur. Cela peut être le droit de lire certains fichiers, d’installer de nouveaux programmes (compte utilisateur restreint) ou encore d’accéder à certains éléments du réseau (imprimante, serveur…) par le biais d’ACL (Access Control List).