Les menaces et les attaques : cours de Bac pro CIEL

Tu utilises des comptes en ligne, une messagerie, un navigateur, un réseau au lycée ou à l'atelier. Chacun de ces éléments peut être pris pour cible. En Bac pro CIEL, tu seras la personne qui installe, configure et surveille ces systèmes : tu dois donc savoir ce qui peut leur arriver avant de savoir comment les protéger.

Ce cours pose le vocabulaire de base, puis passe en revue les familles de menaces que les formations proposées en cybersécurité placent en premier : les menaces qui touchent les mots de passe, la navigation, la messagerie et le réseau ^{3 4}.

Le sujet dépasse le cadre scolaire. Chaque mois d'octobre, un rendez-vous européen, le Cybermois, est consacré à la promotion de la cybersécurité auprès du grand public ⁶. Son point de départ est simple : tout le monde sait qu'il faut se méfier des menaces numériques, mais les bons réflexes ne sont pas toujours appliqués ⁶. Ce cours vise précisément ce décalage entre savoir et faire.

Les formations de cybersécurité commencent par un module consacré aux menaces, aux vulnérabilités et aux attaques ⁴. Ces trois mots paraissent proches, mais ils décrivent trois choses différentes. Les confondre, c'est se tromper dans l'analyse d'un incident.

Une formation de cybersécurité proposée aux élèves de Bac pro présente les fondamentaux sous deux angles : celui de l'attaquant et celui de la défense, avant d'aborder les métiers de la cybersécurité ⁵. Ce choix pédagogique est logique : on protège mieux ce qu'on sait attaquer.

Un mot de passe est le moyen d'authentification le plus répandu : il prouve que tu es bien la personne qui possède le compte. Les formations de sensibilisation consacrent tout un volet aux moyens d'authentification, aux attaques sur les mots de passe, à leur complexité et à leur gestion ³. La maîtrise d'une politique de mots de passe fait explicitement partie des bases de l'hygiène informatique ².

Une attaque sur un mot de passe consiste à trouver sa valeur sans que son propriétaire la donne. Deux idées guident la défense : rendre la devinette longue et ne jamais réutiliser le même mot de passe d'un service à l'autre.

Après les mots de passe, les formations de sensibilisation abordent le fonctionnement d'Internet, puis les menaces de navigation et celles de la messagerie ³. Elles présentent aussi le principe d'une navigation authentifiée, c'est-à-dire d'un accès à un service après vérification de l'identité de l'utilisateur ³. Ces deux usages sont les plus quotidiens, donc les plus exposés.

Navigation. Quand tu ouvres un site, ton navigateur échange avec un serveur que tu ne contrôles pas. Une menace de navigation joue sur ce point : te faire arriver sur une page qui n'est pas celle que tu crois, ou te pousser à saisir des informations au mauvais endroit. Un compte connecté reste un compte ouvert : se déconnecter d'un poste partagé fait partie des bons gestes.

Messagerie. Un message arrive dans ta boîte, avec un expéditeur et un texte convaincants. Le piège tient souvent à l'urgence ou à la peur : « votre compte sera fermé », « un colis vous attend ». Le but est que tu cliques ou que tu donnes un identifiant avant d'avoir réfléchi. Cette technique s'appelle l'hameçonnage (en anglais phishing) : c'est une forme d'ingénierie sociale, qui manipule une personne plutôt qu'une machine.

Un cours de cybersécurité largement utilisé dans les formations consacre un module entier aux attaques ciblant les fondements du réseau, et un autre à l'infrastructure de sécurité du réseau ⁴. L'idée est la suivante : un réseau repose sur un petit nombre de mécanismes de base qui permettent aux équipements de se trouver et de communiquer. Si un attaquant perturbe l'un de ces mécanismes, il peut gêner, détourner ou observer des échanges, et cela concerne tous les équipements qui s'en servent. Deux exemples classiques : le déni de service (DoS, ou DDoS quand de nombreuses machines participent) sature un serveur ou une liaison pour le rendre indisponible ; l'interception, dite attaque de l'homme du milieu, place l'attaquant entre deux équipements pour lire ou modifier ce qu'ils échangent.

Pour toi, futur technicien, cela veut dire deux choses :

• Un réseau n'est pas sûr parce qu'il fonctionne. Un réseau peut marcher parfaitement et être pourtant très vulnérable.
• La sécurité se construit par couches : on ne compte pas sur un seul équipement, mais sur un ensemble d'éléments qui se complètent, ce qu'on appelle l'infrastructure de sécurité ⁴. Le détail de ces protections est étudié dans la suite du programme.