Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

INF4420a > Sécurité SE et des logiciels > Flashcards

Sécurité SE et des logiciels Flashcards

1
Q

Quelles sont les méthodes d’authentification des usagers ?

A

Par quelque chose qu’il :

- connaît
- possède
- est
- fait
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Avec quoi identifie t’on quelque chose qu’il connaît ?

A 
mot de passe
phrase de passe
informations personnelles (nom, date de naissance ...)
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

Avec quoi identifie t’on quelque chose qu’il possède?

A 
carte magnétique
dongle
carte à puce
dispositif "Secure ID"
dispositif ou carte RFID
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Avec quoi identifie t’on quelque chose qu’il est?

A

biométrie statique (empreintes digitales, géométrie de la main, rétine de l’oeil, iris de l’oeil, caractéristique du visage)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Avec quoi identifie t’on quelque chose qu’il fait?

A

Biométrie dynamique (signature, voix. rythme au clavier, géolocalisation)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Quel est le principal porblème de la biométrie statique ?

A

Si elle est compromise, il est impossible de la changer

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

Quelles sont les critères de l’objet pour l’authentifiacation par possession d’un objet ?

A

1) Doit être vraiment unique
2) Devrait être indépendant d’une base de données
3) Doit être difficile/coûteux à reproduire

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Quels sont les problèmes de gestion des objets utilisé pour l’authentifiacation par possession d’un objet ?

A

1) L’émission
2) Le contrôle de possession
3) La perte ou le vol
4) La récupération
5) Le coût
6) Possibilité de falsification

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

Quelles sont les faiblesses de l’authentifiacation par possession d’un objet ?

A

1) Le coût
2) La possibilité de falsification
3) La perteou le vol

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

Quelle la précision des empreintes digitale pour l’authentifiacation par biométrie statique ?

A

Bonne précision : utilisation policière antérieur
Limitée : il est possible de créer une fausse empreinte permettant de passer cette sécurité au bout de 17 tentatives en moyenne

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Quelle la précision de l’empreinte de la main pour l’authentifiacation par biométrie statique ?

A

assez précise

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

Quelle la précision de la rétine de l’oeil pour l’authentifiacation par biométrie statique ?

A

La plus précise des méthodes

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

Quelle la précision de l’iris de l’oeil pour l’authentifiacation par biométrie statique ?

A

très précise (266 caractéristiques => 10^78 combinaisons)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Quelle la précision des caractéristiques du visage pour l’authentifiacation par biométrie statique ?

A

Pas très précis : le taux de précision reste à améliorer

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

Pourquoi ne pas utiliser l’authentification biométrique statique de la rétine de l’oeil ?

A

Elle requiert l’utilisation d’un laser => réticence des usagers

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

Sous quelle forme est la décision pour l’authentification par biométrie dynamique ?

A

La décision est sous forme de probabilité (décision floue)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

Quelles caractéristiques sont annalysées pour l’authentification par signature ?

A

Tient compte de la dynamique du geste et pas seulement de l’apparence de la signature

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

Quelle est la méthode la moins précise pour l’authentification par biométrie dynamique ?

A

La voix

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

Quelles sont les inconvenients de l’utilisation de la voix pour l’authentification par biométrie dynamique ?

A

Elle est sensible à l’état de santé de la personne (laryngite) et la contrefaçon est facile

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

Quel sont les avantage de l’utilisation du rythme au clavier pour l’authentification par biométrie dynamique ?

A

Complètement transparant pour l’usager

Surveillance continuelle tant que le clavier est utilisée

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
21
Q

Quel est l’inconvénient de l’utilisation au rythme aau clavier pour l’authentification par biométrie dynamique ?

A

Non applicable si une interface graphique d’usager est utilisée

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
22
Q

Quelles sont les étapes de changement de mot de passe ?

A

1) l’usager saisi le nouveau mot de passe
2) L’application hash le mot de passe de l’utilisateur (extraction unidirectionnelle), peut ajouter du salt au besoin
3) Le hash est conservé en base de données

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
23
Q

Quelles sont les étape de l’indentification par mot de passe ?

A

1) L’usager saisi son mot de passe
2) Son mot de passe est haché par l’application
3) Le hash est comparé au hash présent dans la base de données

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
24
Q

Quelles sont les techniques de base pour l’attaque sur les mots de passes (4) ?

A

1) Capturer et lire le fichier des mots de passe
2) Deviner le mot de passe
3) Capturer le mot de passe
4) Demander à l’usager

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
25
Q

Quelles sont les vulnérabilités de mots de passe (5) ?

A

1) Mots de passe probables (courts ou mot du dictionnaire)
2) Mots de passe en lien avec l’usager (inforamtion personnelle, familiale…)
3) Mots de passe de faible entropie
4) Mauvaises protection des fichiers de mots de passe
5) Pas d’authentification du système

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
26
Q

Quelles sont les étapes d’une attaque par dicionnaire ?

A

1) Construire une liste de mots de passe possible (w1, w2, …, wt)
2) Pour chaque wj, calculer hj = H(wj) et stocker dans une table T les paires (hj, wj), trier par hj
3) Voler une base de données de mots de passe hachés hi=H(pi)
4) Chercher le mot de passe pi correspondant à l’utilisateur ui avec hash hi en cherchant si hi existe dans la table T. S’il existe, le mot de passe est wj

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
27
Q

Quelle mesure contre les attaques par dictionnaire ?

A

Ajout de salt à haute entropie au mot de passe avant de le hash

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
28
Q

Comment se déroule une attaque sur les mots de passe en devinant le mot de passe en online ?

A

Pour un utilisateur connu U, essayer un ou plusieurs mots de passe séquentiellement (U, Pi). Le serveur indique si le mot de passe est correct ou incorrect

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
29
Q

Comment se défendre face à une attaque sur les mots de passe en devinant le mot de passe en online ?

A

1) Permettre un nombre limité d’essais
2) CAPTCHA
3) Ajouter un délai après chaque essai mauvais

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
30
Q

Comment se défendre d’une attaque sur les mots de passe en devinant le mot de passe en offline ?

A

1) Hash itératif : hacher le mot de passe d fois avant de le stocker. Si d = 1000, on limite la vitesse de l’attaque par un facteur de 1000
2) Fonction Hash spécialisée
3) Salt

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
31
Q

Quel est le problème de l’envoie du lien de récupération du mot de passe par mail ?

A

La communication par courriel n’est pas chiffrée

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
32
Q

Quel est le problème avec les questions secrètes pour récupérer le mot de passe ?

A

Basse entropie pour les questions et souvent les réponses

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
33
Q

Qu’est qu’un gestionnaire de mots de passe ?

A

Un logiciel pour stocker des mots de passe

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
34
Q

Quels sont les avantages d’un gestionnaire de mots de passe ?

A

La sécurité : les mots sont générés automatiquement avec plus d’entropie
La convivialité : auto-remplissage des champs de mot de passe

35
Q

Quels sont les désavantages d’un gestionnaire de mots de passe ?

A

Difficulté de synchronisation entre plusieurs PC
Comment définir un bon mdp maître ?
Point de défaillance unique

36
Q

Quelles sont les mécanismes de protection des mots de passe (contremesures) ?

A

1) Algorithme unidirectionnel
2) Choix du mot de passe
3) Politique de gestion de mdp

37
Q

Comment appliquer la contremesure “Alogrithme unidirectionnel”?

A

1) Introduire une variation aléatoire pour permettre plus d’une variation (salt)
2) Utilisation de fonction de hachage cryptogrtaphique

38
Q

Comment appliquer la contremesure “Choix du mot de passe” (indice : comment faire un bon mdp) ?

A

1) Utiliser plus que 26 caractères : majuscules, minuscules, chiffres et symboles spéciaux
2) Utiliser un mdp suffisamment long (phrase de passe)
3) Éviter des mots de passe qui sont des mots du dictionnaire

39
Q

Comment appliquer la contremesure “Politique de gestion de mdp”?

A

1) Expiration des mdp
2) Mdp à usage unique
3) Contrôles des mécanismes de mise à zéro

40
Q

Quel est le principe d’une authntification à deux facteurs?

A

Combiner au moins deux facteurs d’authentifiaction. Chaque facteur a besoin d’une attaque différente

41
Q

Quelles sont les 3 méthodes d’authentification à deux facteurs ?

A

1) simple
2) threshold
3) OTP

42
Q

Quel est le principe de la méthode simple ?

A

mot de passe + biométrie ou jeton + …

Tous les facteurs sont vérifiés localement par serveur d’authentification

43
Q

Quel est le principe de la méthode threshold?

A

N de M facteurs d’identifications doivent être correct

44
Q

Quel est le principe de la méthode OTP?

A

mdp + mdp à usage unique (One-Time Passsword)

2 méthodes sont possibles : locale et remote

45
Q

Comment se déroule OTP en local ?

A

1) Enrengistrement de l’appareil : on génère un secret S à partir de l’ID et d’une clé maître K (S = h(K,ID) )
2) OTP est généré localement par le dispositif : OTP = h(S, timestamp)
3) L’usager envoie son OTP par Internet au serveur d’authentification
4) Le serveur vérfie le OTP : identifie l’ID à partir du nom de l’usager, puis calcule S, puis h(S, timestamp) et le compare à l’OTP reçu

46
Q

Quel dispositif est généralement utilisé pout OTP en remote ?

A

Un téléphone cellulaire

47
Q

Comment se déroule OTP à distance ?

A

1) L’usage se connecte en indiquant usager et mdp
2) Le serveur calcle un OTP de manière aléatoire
3) Le serveur obtient le no de téléphone de l’usager sur la BD
4) Le serveur envoie OTP au téléphone par un autre canal (sms)
4) Usager entre OTP et l’envoie au serveur par internet

48
Q

Quel est l’avantage de OTP à distance ?

A

Force l’attaquant à intercepter deux canaux indépendants

49
Q

Quel est le désavantage de OTP à distance ?

A

Force l’usager à être sur deux canaux

50
Q

Quelles sont les différences entre les signaux et les facteurs d’identification ?

A

1) Les signaux sont envoyés sans la participation de l’utilisateur contrairement aux facteurs
2) Les signaux peuvent augmenter l’assurance d’une authentifiction, mais ne peuvent pas être utilisés comme facteur indépendant

51
Q

Donner des exemples de signaux d’authentification

A

Adresse IP
Cookies
Géolocalisation
Caractéristiques du matériel ou logiciel

52
Q

Quelles sont les problématiques (type d’attaque) pour l’authentification dans les réseaux ?

A

1) Interception de la session d’authentification
2) Supplantation du système
3) “Replay attacks”
4) Session hi-jacking
5) Chess-master attack

53
Q

Comment se déroule le système de “challenge response” ?

A

1) Le système émet un “challenge”
2) L’utilisateur répond au challenge avec une réponse que seul quelqu’un connaissant l’information d’authentification peut calculer
3) Le système vérifie que la réponse est bonne

54
Q

Quel est le principe du système de “challenge response” ?

A

La possesion d’une information I authentifie l’utilisateur au système. Au lieu de dévoiler I, le système va challenger l’utilisateur dont la solution va faire intervenir I

55
Q

Quel est l’avantage du système de “challenge response” ?

A

Protège contre les intercpetions

56
Q

Quels sont les inconvénients du système de “challenge response” ?

A

1) Le système doit connaître I
2) Vulnérable à l’attaque de supplantation
3) Vulnérable à l’attaque de replay

57
Q

Qu’est ce qu’une preuve à connaissance nulle ?

A

Il s’agit de protocoles permettant à un démonstrateur P de prouver à un vérificateur V qu’il connaît quelque chose ou est capable de réaliser une tâche sans que V n’apprenne rien d’autre que ce fait

58
Q

Sur quoi se base la sécurité par preuve à connaissance nulle ?

A

Elle est basée sur des problèmes calculatoire difficiles : Coloriage ou isomorphisme de graphe

59
Q

Quel est le principe de la sécurité par preuve à connaissance nulle ?

A

Soit I l’information permettant la vérification. Le vérificateur va challenger la personne voulant s’identifier en posant un problème qui ne peut être résolu que par quelqu’un qui connaît I

60
Q

Quels sont les avantages de la sécurité par preuve à connaissance nulle ?

A

Résout le problème de supplantation du système de “challenge response”

61
Q

Quels sont les désavantages de la sécurité par preuve à connaissance nulle ?

A

Vulnérable au session hi-jacking et attaque chess-master

Requiert une capacité de calcul chez l’utilisateur

62
Q

Quel est le principe de l’autehntification unique ?

A

On veut que l’utilisateur s’authentifie une fois seulement pour tous les systèmes

63
Q

Quels sont les avantages de l’autehntification unique ?

A

1) La convivialité
2) La centralisation de la gestion des utilisateurs et des accès
3) L’efficacité

64
Q

Quelles sont les solutions qui existent pour l’autehntification unique ?

A

1) Kerberos

2) “Domain trusts”

65
Q

Sur quoi se base Kerberos pour l’autehntification unique ?

A

1) Des tickets émis par le serveur d’authentification
2) Les tickets ont une durée limitée dans le temps
3) L’acces et l’utilisation des tickets sont limités

66
Q

Sur quoi se base “Domain trusts” pour l’autehntification unique ?

A

1) Sur une relation de confiance entre serveurs/domaines. Cette relation est établis par les administrateurs de systèmes, elle n’est pas nécessairement bi-directionnelle, elle est statique et non-dynamique
2) Sur la transitivité de la relation de confiance

67
Q

Quelles sont les types de restrictions des accès (6) ?

A

1) Aucune
2) Isolation
3) Partage de tout ou rien
4) Partage par système centralisé de contrôle d’accès
5) Partage par capabilités
6) Imposition de limites à l’usage

68
Q

Quelle est la caractéristique recherchée par les restrictions d’accès ?

A

La granularité

69
Q

Qu’est ce que la granularité ?

A

Un contrôle au niveau du bit, de l’octer, du mot, de l’élément, du champ, de la fiche

70
Q

Donner des exemples d’objets généraux dans le modèle d’accès discrétionnaire

A

Mémoire
Fichier
Programme
Répertoire…

71
Q

Donner des exemples de sujets dans le modèle d’accès discrétionnaire

A

Processus
Utilisateurs
Groupe d’utilisateur …

72
Q

Donner des exemples de mode d’accès dans le modèle d’accès discrétionnaire

A

Lecture
Écriture
Exécution …

73
Q

À quoi sert la matrice de contrôle d’accès dans le modèle d’accès discrétionnaire ?

A

À établir quel mode d’accès les sujets ont sur quels objets

74
Q

Quels sont les objectis du modèle d’accès discrétionnaire ?

A

1) Vérifier tous les accès
2) Utiliser le principe du privilège minimum
3) Vérifier l’usage approprié et acceptable

75
Q

Quel est le problème du contrôle d’accès ?

A

Traduire des spécifications abstraites en propriétés vérifiables de bas niveau

76
Q

Comment vérifier le contrôle d’accès ?

A

1) Vérification bas niveau faite par les mécanismes internes du SE
2) Vérification de la traduction par méthodes formelles

77
Q

À quelle question le contrôle d’accès souhaite répondre ?

A

Est-ce que le sujet S voulant accéder à l’objet O en mode M en a la permission et est-ce vraiment le sujet S ?

78
Q

Quelles sont les types d’accès sur BD relationnelle ?

A

Select
Update
Insert

79
Q

Quelles sont les types de sujets sur BD relationnelle ?

A

Usager BD
Usager OS
Groupe OS

80
Q

Quels sont les principes de la gestion des accès AGLP ?

A

On n’attribue pas de permissions aux groupes globaux ni aux utilisteurs
On n’ajoute pas d’utilisateurs dans les groupes locaux
Séparation des responsabilités

81
Q

Quels sont les objets protégés ?

A 
Mémoire
Dispositifs E/S
Programmes et procédures partagés
Ressources réseaux
Données partagées
82
Q

Quelles sont les méthodes de protection dans les systèmes d’exploitation ?

A

Séparation pysique
Séparation temporelle
Séparation logique
Séparation cryptographique

83
Q

Quelles sont les problèmes de protection de la mémoire

A

1) Éviter que certaines parties de la mémoire soient accédées
2) Il est difficile pour le OS de savoir ce qui est mémoire légitime en run-time

84
Q

Quelles sont les mesures de protections de la mémoire ?

A

1) Registre “frontière”
2) Registres de base et de limite
3) Mémoire avec etiquettes (tags)
4) Segmentation
5) Pagination
6) Pagination + Segmentation

INF4420a (4 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions