D411INF0612C

FEDERATION EUROPEENNE DES ECOLES EUROPEAN FEDERATION OF SCHOOLS Organisation non gouvernementale dotée du statut participatif auprès du Conseil de l’Europe NGO enjoying participatory status with the Council of Europe

© Fédération Européenne Des Ecoles - European Federation of Schools - Juin 2012 UC D41.1 Réseaux, système et sécurité - Corrigé

UE D - TECHNIQUES PROFESSIONNELLES

Master Européen d’Informatique

UC D41.1 - Réseaux, système et sécurité

Corrigé

Type d’épreuve : QCM et Exercice pratique

Durée : 3 heures

Session : Juin 2012


2/21

1/ QCM : 45 minutes

1. Quel est le rôle du fichier .rhosts ? a. il contient une liste de comptes du système b. il contient une liste de comptes sur des systèmes distants c. il contient une liste des adresses IP des ordinateurs distants et leur nom FQDN d. il contient une liste des adresses IP des ordinateurs distants et leur nom NetBIOS

2. La commande affichant dynamiquement les processus en cours d'exécution est :

a. pstree b. top c. nice d. renice

3. Lequel de ces protocoles n’est pas un protocole utilisé pour créer un VPN ?

a. IPSec b. L2PP c. L2TP d. SSL

4. L'entête d'un paquet UDP contenant le flag PSH permet de :

a. détruire une connexion TCP en urgence b. initier une fin de connexion c. forcer la couche transport à livrer les données à la couche applicative d. aucune de ces propositions ne convient

5. A quoi sert le protocole ARP ?

a. à effectuer la traduction d’une adresse physique en une adresse réseau ou une adresse de couche 3 b. à effectuer la traduction d’une adresse réseau en adresse physique c. à effectuer la traduction d’une adresse physique en nom Netbios d. à effectuer la traduction d’un nom Netbios en une adresse physique

6. La commande "tail –n –f /var/log/maillog" me permet de :

a. tailler le fichier maillog en bloc de 100 lignes b. visualiser en direct les dernières entrées du fichier maillog en commençant par les 100

dernières lignes c. donner le nombre de bloc de 100 lignes dans le fichier maillog d. formater et visualiser le fichier maillog en ligne de 100 caractères maximum

7. Dans proftpd, la directive conteneur <Limit ……> ………</Limit> permet de :

a. paramétrer un répertoire par défaut b. autoriser ou interdire des commandes FTP c. définir le fichier des droits d’accès d. aucune de ces propositions ne convient

8. La séquence: # for n in $(cat liste|cut -d: -f1) ; do useradd -g ii4 ii4-$n ; done crée des

comptes : a. à partir d'une liste en les plaçant dans un groupe supplémentaire ii4 b. à partir d'une liste c. de login ii4 à partir d'une liste d. à partir d'une liste de type ii4-1, ii4-2, … , ii4-n


3/21

9. Pour configurer SAMBA en PDC, on doit obligatoirement configurer dans le fichier smb.conf, l'option :

a. security = share b. domain master = yes c. domain logons = yes d. domain name = <nom_domaine>

10. Quelle est la séquence à utiliser par défaut pour charger le fichier de configuration

d’un routeur Cisco ? a. NVRAM, FLASH, ROM b. FLASH, TFTP, CONSOLE c. NVRAM, TFTP, CONSOLE d. FLASH, TFTP, ROM

11. Table de routage : quel événement peut-il occasionner une mise à jour déclenchée ?

a. expiration d’un minuteur de routage de mises à jour b. réception d’un message de mise à jour altéré c. installation d’une route dans la table de routage d. convergence du réseau

12. Que se passe-t-il sur un réseau à vecteur de distance qui n'a pas convergé ?

a. le trafic n'est pas acheminé tant que le système ne converge pas b. les mises à jour de table de routage sont envoyées vers des destinations incorrectes c. des entrées de table de routage incohérentes d. rien, le routage à vecteur de distance n’a pas de convergence

13. Quelle est la bonne syntaxe pour autoriser les réponses SMTP ?

a. iptables -A OUTPUT -p tcp --dport 25 -j ACCEPT b. iptables -A INPUT -p tcp --sport 25 -j ACCEPT c. iptables -A INPUT -p tcp --dport 110 -j ACCEPT d. iptables -A OUTPUT -p tcp --dport 110 -j ACCEPT

14. On monte un nouveau système de fichier pendant l'exécution du système

d'exploitation. Ce montage sera enregistré dans : a. /etc/inittab b. /etc/mtab c. /etc/fstab d. /etc/mountab

15. Pour pouvoir filtrer au niveau applicatif il faut utiliser :

a. NAT b. ACL c. Proxy d. Firewall

16. Que se passe-t-il si un routeur ne trouve pas de fichier de configuration correct lors de

la séquence de démarrage ? a. la séquence de démarrage est réinitialisée b. le routeur surveille le trafic local afin de déterminer la configuration requise pour les protocoles de

routage c. le routeur génère un fichier de configuration par défaut basé sur la dernière configuration valide d. le routeur invite l'utilisateur à fournir une réponse pour accéder au mode setup


4/21

17. Quelle différence faites-vous entre adresse multicast et unicast ? a. multicast envoie les paquets à toutes les stations du réseau et unicast à une seule b. multicast envoie les paquets à plusieurs stations désignées du réseau et unicast à une seule

station c. multicast envoie les paquets à une station désignée du réseau et unicast à plusieurs désignées d. multicast et unicast n’ont aucune différence

18. Donnez la simplification totale de l’adresse IPv6 suivante :

2001:0db8:0000:85a3:0000:0000:ac1f:8001 a. 2001:0db8::85a3::ac1f:8001 b. 21:db8::85a3::ac1f:81 c. 2001:db8::85a3::ac1f:8001 d. 2001:db8:0:85a3::ac1f:8001

19. Quelle masque de sous réseaux utiliser pour avoir au minimum 1024 machines dans

chaque sous réseau ? a. 255.255.252.0 b. 255.255.248.0 c. 255.255.255.128 d. 255.255.255.0

20. Quel protocole de routage est un protocole utilisé dans le routage EGP ?

a. RIP b. OSGF c. IGRP d. BGP

21. Quel principe d'authentification repose sur un mécanisme de clefs secrètes et

l’utilisation de ticket (appelé aussi jeton), et présent sur Unix et Windows ? a. NT Lan Manager b. Lightweight Directory Access Protocol c. Kerberos d. Secure Sockets Layer

22. Quelle différence existe entre la commutation de paquets et la commutation de

cellules ? a. Commutation de cellules, les trames ont une taille variable et un traitement logiciel b. Commutation de cellules, les trames ont une taille fixe et un traitement matériel c. Commutation de paquets, les trames ont une taille fixe et un traitement matériel d. Commutation de paquets, les trames ont une taille fixe et un traitement logiciel

23. Qu’est-ce que le caractère & à la fin d’une commande UNIX permet de faire ?

a. transformer le <return> : retour chariot en <newline> : nouvelle ligne b. exécuter la commande en arrière-plan c. exécuter la commande dans un autre terminal d. arrêter le lancement d’autres commandes dans le terminal

24. Une trame LCP (Link Control Protocol) du protocole PPP, ne permet pas :

a. d’établir une liaison b. de fermer une liaison c. de maintenir une liaison d. de s’authentifier sur la liaison


5/21

25. Pour rajouter une route par défaut à un nœud donné, vous utiliserez la commande : a. # route add default 172.16.0.254 netmask 255.255.0.0 b. # route add -net default gw 172.16.0.254 netmask 255.255.255.0 c. # route add default gw 172.16.0.254 d. # toutes ces réponses

26. Quelle entité ne fait pas partie des PKI (Infrastructure à Clés Publiques) définies par

l’IETF ? a. l’autorité de chiffrage b. l’autorité de certification c. l’autorité d’enregistrement d. l’autorité de révocation

27. Que ne permet pas de garantir un chiffrement et une signature numérique ?

a. la confidentialité b. la bonne réception des données c. l’authentification d. l’intégrité

28. Une fonction de hashage :

a. permet à un destinataire d’un message de vérifier l’intégrité des données et de contrôler l’identité de leur expéditeur

b. construit une empreinte d'une chaîne de données, à partir de laquelle, il est impossible de revenir à la chaine de données initiale

c. calcule un checksum sur un fichier qui permet d'assurer de son intégrité d. n'assure aucune des fonctions précédentes

29. Le réseau d'une entreprise très en vue fait face à de nombreuses tentatives

d'intrusions. L'administrateur souhaite mettre en place un dispositif permettant de capturer des informations des pirates, ces derniers pensant accéder à de vraies informations sensibles. Quel dispositif est implémenté ?

a. une DMZ (Demilitarized Zone) b. un pot de miel (honeypot) c. un pare-feu (firewall) d. un nouveau sous-réseau

30. Vous venez de modifier une GPO sur votre serveur Active Directory, qui est aussi le

PDC du domaine. Quelle est la commande pour forcer la mise à jour des stratégies ? a. gmpc b. gpoupdate /Force c. gpupdate /force d. aucune, vous devez obligatoirement attendre 5 minutes

31. Concernant l’équilibrage de charge, quelle affirmation est exacte ?

a. l’équilibrage de la charge se produit lorsqu’un routeur envoie le même paquet à différents réseaux de destination

b. l’équilibrage de la charge se produit lorsque le même nombre de paquets est envoyé sur les routes statiques et dynamiques

c. s’il existe plusieurs chemins avec des mesures différentes vers une destination, le routeur ne peut pas prendre en charge l’équilibrage de la charge

d. l’équilibrage de la charge à coût inégal est pris en charge par le protocole EIGRP


6/21

32. Dans SSH, le cryptage utilisé pour les données est un : a. cryptage symétrique b. cryptage asymétrique c. les deux propositions précédentes d. aucune de ces propositions ne convient

33. Dans Windows, à quoi correspond le "système" WMI ?

a. le nouveau shell remplaçant le MS-DOS b. des modules d’inspection du système c. des sauvegardes incrémentales d. des filtres appliqués sur les GPO

34. Au niveau du VPN IPSEC, quel est le protocole présent ?

a. AH b. ESP c. les deux réponses précédentes d. aucune de ces propositions ne convient

35. Pour qu'un utilisateur Windows puisse accéder à un partage SAMBA, avec l'option

security par défaut, il doit avoir : a. les droits sur le partage b. une entrée dans le fichier smbpasswd c. un mot de passe Windows d. une entrée dans le fichier /etc/shadow

36. Pour interdire à la station Windows "pc1s4/192.168.10.1" l'accès au serveur Samba, on

positionne dans smb.conf le paramètre : a. ip deny = 192.168.10.1 b. interface deny = pc1s4 c. station deny = pc1s4 d. hosts deny = pc1s4

37. La gestion des comptes sous le système d’exploitation Linux permet à un compte

d’avoir : a. plusieurs groupes principaux et plusieurs groupes secondaires b. plusieurs groupes principaux et un seul groupe secondaire c. un seul groupe principal et un seul groupe secondaire d. un seul groupe principal et plusieurs groupes secondaires

38. L'objectif d'un shellcode est :

a. l'écrasement de la valeur de retour de la fonction b. le chargement d'une nouvelle valeur dans la zone mémoire "text" c. l'écrasement de la zone bss d. l'écrasement de l'adresse de retour de la fonction

39. Quelle opération correspond à une attaque ping de la mort ?

a. une corruption de cache ARP b. une prédiction de numéro de séquence c. une émission de fragment ICMP interdit d. une modification des ports source et destination


7/21

40. Quelle opération correspond à une attaque TCP flooding ?

a. une modification des ports source et destination b. une prédiction de numéro de séquence c. un vol d'adresse IP d. une demande ininterrompue de connexion TCP

41. Parmi les attaques informatiques suivantes, laquelle n’est pas une attaque Web ?

a. l’injection MySQL b. débordement de tampon c. XSS d. l’upload de fichiers corrompus

42. Vous venez d’acheter un nom de domaine et vous voulez le faire pointer sur un

ordinateur. Quel est l’enregistrement à utiliser dans votre serveur DNS ? a. A b. MX c. NS d. CNAME

43. L'algorithme cryptographique dans lequel un caractère est chiffré en utilisant la

formule : Crypto = (Claire + Clé) Modulo 128 est : a. DES b. MIT c. RSA d. PGP

44. Quel élément ne fait pas partie du modèle organisationnel de l’administration réseau

SNMP ? a. NMS b. Agents c. NSTP d. MIB

45. Que se passe-t-il si vous cryptez un message confidentiel avec votre clé privée ?

a. vous seul pourrez le déchiffrer b. personne ne pourra le déchiffrer c. le monde entier pourra le déchiffrer d. il est impossible de crypter avec sa clé privée

46. En utilisant la méthode de chiffrement ROT-N, le texte en clair "La bataille commence ce soir" donne le texte chiffré : "WI mleltwwp nzxxpynp np dztc". La valeur de N est de :

a. 1 b. 5 c. 8 d. 11

47. Parmi les algorithmes de compression irréversibles suivants, lequel s'effectue avec une

clef ? a. MD5 b. CRC32 c. SHA-1 d. MAC ou HMAC


8/21

48. Selon l'architecture ELF, la zone mémoire "data" doit contenir les variables :

a. globales statiques initialisées b. globales non initialisées c. locales d. dynamiques

49. Une des propriétés d’un tube nommé est fausse, laquelle ?

a. une opération d'ouverture sur un tube nommé, bloque le code jusqu'à l'arrivée d'une ouverture d'un autre processus à l'autre extrémité

b. les tubes nommés se gèrent par descripteurs c. par défaut un tube nommé n'est pas bloquant d. les tubes nommés peuvent être ouverts grâce à une référence

50. L’administrateur d’un réseau souhaite mettre en place des objets ADSI. A quoi

servent-elles ? a. elles gèrent les interfaces ADSL b. elles permettent de manipuler les objets AD et de créer des scripts c. elles détectent des intrusions réseaux d. aucune de ces propositions ne convient


9/21

2/ Exercice pratique : 2 heures 15

Dossier 1 - Sécurité

Question 1 - Domain Name System Donnez le rôle de chacun des types d'enregistrement de ressource suivants : A, CNAME, PTR, SOA et MX. Exemplifiez votre réponse. Qu’est-ce que le DNS Spoofing ? Expliquez l’attaque du "DNS ID Spoofing" et du "DNS Cache Poisoning". 20 points : 10 points pour le rôle de chacun de types d’enregistrement et exemplification (2 points par bonne réponse avec explications) 5 points pour le DNS Spoofing 5 points pour le DNS Cache Poisoning Rôle de chacun des types d’enregistrement Les enregistrements de ressources constituent les enregistrements de la base de données DNS (Domain Name Server). Ils sont de plusieurs types, on distingue :

- A : type établissant la correspondance entre un nom canonique et une adresse IP. Par ailleurs, il peut exister plusieurs enregistrements A, correspondant aux différentes machines du réseau (serveurs),

- CNAME (Canonical Name) : Il permet de faire correspondre un alias au nom canonique. Il est particulièrement utile pour fournir des noms alternatifs correspondant aux différents services d'une même machine,

- MX (Mail eXchange) : correspond au serveur de gestion du courrier. Lorsqu'un utilisateur envoie un courrier électronique à une adresse (utilisateur@domaine), le serveur de courrier sortant interroge le serveur de nom ayant autorité sur le domaine afin d'obtenir l'enregistrement MX,

- PTR : un pointeur vers une autre partie de l'espace de noms de domaines, - SOA (Start Of Authority) : le champ SOA permet de décrire le serveur de nom ayant autorité sur la

zone de nommage. DNS Spoofing L'objectif de cette attaque est de rédiriger, à leur insu, des Internautes vers des sites pirates. Pour la mener à bien, le pirate utilise des faiblesses du protocole DNS (Domain Name System) et/ou de son implémentation au travers des serveurs de nom de domaine. A titre de rappel, le protocole DNS met en oeuvre les mécanismes permettant de faire la correspondance entre une adresse IP et un nom de machine (ex.: www.truc.com). Il existe deux principales attaques de type DNS Spoofing : le DNS ID Spoofing et le DNS Cache Poisoning. Si une machine A veut communiquer avec une machine B, la machine A a obligatoirement besoin de l'adresse IP de la machine B. Cependant, il se peut que A possède uniquement le nom de B. Dans ce cas, A va utiliser le protocole DNS pour obtenir l'adresse IP de B à partir de son nom. Une requête DNS est alors envoyée à un serveur DNS, déclaré au niveau de A, demandant la résolution du nom de B en son adresse IP. Pour identifier cette requête, un numéro d'identification lui est assigné. Ainsi, le serveur DNS enverra la réponse à cette requête avec le même numéro d'identification. L'attaque va donc consister à récupérer ce numéro d'identification (en sniffant le réseau par exemple) pour pouvoir envoyer une réponse falsifiée avant le serveur DNS.


10/21

DNS Cache Poisoning Les serveurs DNS possèdent un cache permettant de garder pendant un certain temps la correspondance entre un nom de machine et son adresse IP. En effet, un serveur DNS n'a les correspondances que pour les machines du domaine sur lequel il a autorité. Pour les autres machines, il contacte le serveur DNS ayant autorité sur le domaine auquel appartiennent ces machines. Ces réponses, pour éviter de sans cesse les redemander aux différents serveurs DNS, seront gardées dans ce cache. Le DNS Cache Poisoning consiste à corrompre ce cache avec de fausses informations. Pour cela le pirate doit avoir sous son contrôle un nom de domaine (par exemple fourbe.com) et le serveur DNS ayant autorité sur celui-ci ns.fourbe.com. Question 2 - Cryptographie Calculez le CRC de 101010010010001010101 avec le polynôme générateur. 15 points : 5 points pour les calculs 10 points pour CRC 101010010010001010101000000 1101011 011111110010001010101000000 1101011 00101000010001010101000000 1101011 011101110001010101000000 1101011 00111000001010101000000 1101011 001101101010101000000 1101011 0000110010101000000 1101011 000111001000000 1101011 001100100000 1101011 0001111000 1101011 0010011 CRC = 010011


11/21

Question 3 - Sécurité Multiprocessus a) Pour cela, on crée d’abord un script nommé « charge » qui mesure la charge « en nombre de processus » sur un système toutes les 10 secondes. Ecrivez ce script « charge ». b) Dans un second temps, on vous demande de développer un script « redond » qui lance un processus qui observe, toutes les 5 sec, si le processus qui fait tourner « charge » est toujours en vie. Si ce n’est pas le cas, il le régénère (il relance le script « charge » par un processus enfant). c) Dans un troisième temps, on vous demande de modifier « redond » pour qu’il prenne en charge lui-même le lancement de « charge » en argument, sur un de ces processus enfant et qu’en même temps il lance un deuxième processus enfant qui exécuterait comme lui « rebond ». On aurait ainsi, 1 processus exécutant « charge » (mesure de la charge en nb de processus) et 2 processus « redond » surveillant en redondance si le script « charge » continue de tourner. 20 points : 5 points pour le script « charge » 5 points pour le script « rebond » 10 points pour la modification en « rebond2 » Script « charge » # vi charge #! /bin/bash while : do # le passage par une variable n’est pas obligatoire, sauf si on veut

# tracer nbp=$(ps –edf|wc -l) # on peut prendre ps –aux,…, aussi echo $nbp # on peut afficher à un endroit particulier : tput cup 10 20 ;echo…. Sleep 10 done Script « rebond » # vi redond #! /bin/bash while : do # Etre souple sur les critères du grep, car pas de machine à l’examen # teste si la ligne de processus se terminant par charge, ./charge,… # est vide, donc le processus n’existe plus

if [ -z "$(ps –edf|grep ’charge$’)" ] then # regeneration /root/charge & # &: execution asynchrone ou conccurrente # n’importe quel nom absolu de lien (on evite les relatifs et PATH) fi sleep 5

done


12/21

Script « rebond2 » # vi redond2 #! /bin/bash if [ -z "$1" ] then

echo "pas d’argument concernant la tâche à lancer " exit

fi # teste si l’argument 1 est fichier régulier et exécutable if ! [ -f "$1" –a –x "$1" ] then

echo "l’argument 1 n’est pas régulier ou exécutable " exit

fi while : do # Teste au cas où, si la tâche charge n’est pas lancée, il la lance, # puis lance son double exécutant « redond2 » au cas où l’un des 2 # viendrait à mourir

if [ -z "$(ps –edf|grep ’$1$’)" ] then # lancement ou régénération de “charge” $1 & # &: execution asynchrone ou concurrente # n’importe quel nom absolu de lien (on évite les relatifs et PATH) fi # Lancement d’un 2 ème processus « redond2 » au cas où il serait seul if [ "$(ps –edf|grep ’redond2$’|wc -l)" –lt 2 ] then # lancement ou régénération de “charge” /root/redond2 & # &: exécution asynchrone ou concurrente fi sleep 5

done Note Importante au correcteur : On ne demande pas dans cette épreuve, compte tenu du temps imparti, de traiter le cas où les deux processus de sécurisation « redond2 » lanceraient, en presque même temps (time sharing), la régénération de « charge ». On se retrouverait alors avec deux processus « charge ». Le problème est plus long à traiter et difficile.


13/21

Question 4 - Chiffrement VPN Définissez brièvement les 4 types de protocoles VPN. Pour chacun d’entre eux, donnez les avantages et les inconvénients. 20 points : 5 points par protocole avec avantages et inconvénients Un seul avantage et inconvénient suffisent par VPN. PPTP Principe : créer des trames sous le protocole PPP et les encapsuler dans un datagramme IP. + Avantages : Implanter sur toutes les plates-formes Microsoft d'où sa facilité de mise en place. - Inconvénients : Problème de sécurité dû à l'authentification par mot de passe (MS-CHAP). L2TP Issu de la convergence des protocoles PPTP et L2F : Encapsule des paquets PPP au niveau des couches 2 (Frame Relay et ATM) et 3 (IP). + Avantages : Mobilité (salarié peut se connecter à un VPN de son entreprise en conservant ses droits. - Inconvénients : Empilement des couches protocolaires : IP/PPP/L2TP/UDP/IP/Couche2 (L'ensemble n'est pas très léger). OpenVPN Principes : expédier ces données chiffrées et authentifiées via SSL sur un port UDP en utilisant un mot de passe ou une clé publique. Les paquets sont chiffrés et authentifiés (certificat sur chaque machine) en utilisant la librairie openssl. + Avantages :

- outil de création de VPN facile à utiliser, robuste, sécurisé, rapide et configurable sur tous les systèmes d'exploitations,

- compatible avec le NAT et l'adressage dynamique, - évolutif, vu qu’il repose sur 2 projets en constante évolution : la bibliothèque OPenSSL et le pilote

TUN/TAP qui fait partie du kernel linux. - Inconvénients : gaspillage des adresses IP. IPSEC Permet de sécuriser l'échange de données au niveau de la couche réseau. Basé sur 2 mécanismes de sécurité :

- AH (Authentification Header) vise à assurer l'intégrité et l'authenticité des datagrammes IP, - ESP (Encapsulating Security Payload) peut assurer confidentialité et intégrité des données.

+ Avantages : - sécurité optimale et plus robuste que celle de PPTP, - sécurité modulable, - transparence de la sécurité par rapport aux applications.

- Inconvénients : - identifie les machines et non les utilisateurs, - alourdit les perfomances des réseaux du fait des opérations de cryptage/décryptage, - pose des difficultés au niveau de la mise en place au niveau des messages de broadcast et multicast, - possède de nombreux systèmes de sécurité ce qui le rend complexe, - ne possède pas d’outil centralisé pour la définition des règles de sécurité.


14/21

Question 5 - Authentification Web Expliquez le mode fonctionnement du chiffrement asymétrique et l’utilité des signatures numériques. Pourquoi ce chiffrement asymétrique n’est utilisé que pour l’authentification, et plus pour l’échange des données ? 15 points : 10 points pour l’explication 5 points pour la justification de l’authentification Explication La cryptographie asymétrique, ou cryptographie à clé publique, est une méthode de chiffrement qui s'oppose à la cryptographie symétrique. Elle repose sur l'utilisation d'une clé publique (qui est diffusée) et d'une clé privée (gardée secrète), l'une permettant de coder le message et l'autre de le décoder. Ainsi, l'expéditeur peut utiliser la clé publique du destinataire pour coder un message que seul le destinataire (en possession de la clé privée) peut décoder, garantissant la confidentialité du contenu. Inversement, l'expéditeur peut utiliser sa propre clé privée pour coder un message que le destinataire peut décoder avec la clé publique ; c'est le mécanisme utilisé par la signature numérique pour authentifier l'auteur d'un message. Justification de l’authentification 1re étape : Alice génère deux clés. La clé publique (verte) qu'elle envoie à Bob et la clé privée (rouge) qu'elle conserve précieusement sans la divulguer à quiconque.

2e et 3e étapes : Bob chiffre le message avec la clé publique d'Alice et envoie le texte chiffré. Alice déchiffre le message grâce à sa clé privée.

La signature numérique (ou certificat) permet d’authentifier la clef publique avec son propriétaire (pour éviter une attaque MITM par exemple). Le problème étant la lenteur de l’échange des informations dans un chiffrement asymétrique. C’est pourquoi l’utilisation du chiffrement asymétrique sur Internet "ne sert" qu’à l’authentification et à échanger une clef privée entre les 2 entités.


15/21

Question 6 - Pare-feu Netfilter Donnez les commandes iptables permettant :

- au client et au serveur de communiquer mutuellement par ping, - au client de se connecter au serveur via VNC, - au client de se connecter au serveur via RDP.

20 points : 5 points pour les commandes permettant au client et au serveur de communiquer (2,5 points par ligne) 10 points pour les commandes permettant au client de se connecter au serveur via VNC (5 points par ligne) 5 points pour les commandes permettant au client de se connecter au serveur via RDP (2,5 points par ligne) Commandes permettant au client et au serveur de communiquer # iptables –A FORWARD –p icmp –i eth0 – o eth1 –s 12.0.0.1 –d 192.168.1.1 –j ACCEPT # iptables –A FORWARD –p icmp –i eth1 – o eth0 –s 192.168.1.1 –d 12.0.0.1 –j ACCEPT Commandes permettant au client de se connecter au serveur via VNC # iptables –A FORWARD –p icmp –i eth0 – o eth1 –s 12.0.0.1 –d 192.168.1.1 --sport 5900 –j ACCEPT # iptables –A FORWARD –p icmp –i eth1 – o eth0 –s 192.168.1.1 –d 12.0.0.1 --dport 5900 –j ACCEPT Commandes permettant au client de se connecter au serveur via RDP # iptables –A FORWARD –p icmp –i eth0 – o eth1 –s 12.0.0.1 –d 192.168.1.1 --sport 3389 –j ACCEPT # iptables –A FORWARD –p icmp –i eth1 – o eth0 –s 192.168.1.1 –d 12.0.0.1 --dport 3389 –j ACCEPT Question 7 - Script Shell Rédigez un script shell qui permet de vérifier si un login passé en argument est déclaré dans le fichier des comptes. Dans le but d'assurer un suivi plus rigoureux des différents processus lancés, on décide de réaliser un second script userproc qui permettra de lister tous les processus en cours mais par login en session (ou connecté) et de stocker les résultats de ce script dans un fichier dont le nom est "login.proc". Ce même fichier doit également contenir le nombre de processus lancés par un login en session (ou connecté).

20 points : 10 points pour le script shell 10 points pour le script userproc Script shell

#! /bin/sh if [ "$#" -ne 1 ] ; then echo "Mauvais nombre d'arguments" echo "Usage: $0 login" exit 1 fi if grep "^$1:" /etc/passwd > /dev/null then echo "Le login $1 est défini sur le système" else echo "Le login $1 n'est pas défini sur le système" fi exit 0


16/21

Script userproc

umask 177 proc=$(who am i) set $(who|awk ‘{print $1}`) for i in $* do echo -n "$i : " n=$(ps -u $i | wc –l) if [ "$i" = "$proc" ] then echo $(($n – 4)) else echo $n fi

done >login.proc

Dossier 2 - Réseaux avancés

Question 1 - NAT Quelles sont les commandes IOS à réaliser sur le routeur 2 pour configurer et appliquer la règle NAT souhaitée ? 25 points : 10 points pour la commande « ip nat inside… » 15 points pour les interfaces (7,5 points par interface correctement figurée) $ enable # conf t (config) # ip nat inside source static 172.30.1.1 10.0.0.2 (config) # interface Fa 0/0 (config-if) # ip nat outside (config-if) # exit (config) # interface eth 1/0 (config-if) # ip nat inside Question 2 - Routage OSPF Quelles sont les commandes IOS à réaliser sur le routeur 1 et retour 2 pour configurer le routage OSPF afin que les 2 hôtes puissent communiquer ? 20 points : 10 points par routeur correctement configuré Ne pas oublier le masque générique. La zone (area) est bien sûr à l’appréciation du candidat, mais celle-ci doit être la même dans les commandes suivantes. Sur le Routeur 1 : $ enable # conf t (config) # router ospf 10 (config-router) # network 192.0.0.0 0.255.255.255 area 10 (config-router) # network 172.1.1.0 0.0.0.255 are a 10


17/21

Sur le Routeur 2 : $ enable # conf t (config) # router ospf 10 (config-router) # network 10.0.0.0 0.0.0.255 area 10 (config-router) # network 172.1.1.0 0.0.0.255 are a 10 Question 3 - FrameRelay Quelle est l’origine probable du problème ? 15 points Le paramètre ietf est absent de la commande frame-relay map ip 10.10.10.3 203.

Question 4 -VLAN Présentez les 3 niveaux de VLAN. Donnez les commandes IOS pour configurer les ports VLAN. Comment devrez-vous configurer les ports Fa 0/0 des 2 switchs pour faire passer plusieurs VLANS ? Donnez les commandes IOS à réaliser. 30 points : 20 points pour les VLAN (10 points par switch bien configuré) 10 points pour les commandes d’agrégation Un seul switch suffira pour avoir tous les points. Pas besoin de configurer les subinterfaces des routeurs pour l’encapsulation. VLAN Sur le Switch 1 : $ enable # vlan database (vlan) # vlan 20 (vlan) # vlan 30 Il faut ensuite appliquer ces vlan sur les interfaces en questions : (vlan) # exit # conf t (config) # interface Ethernet 1/0 (config-if) # switchport mode access (config-if) # switchport access vlan 30 (config-if) # exit (config) # interface Ethernet 1/1 (config-if) # switchport mode access (config-if) # switchport access vlan 20 Sur le Switch 2 : $ enable # vlan database (vlan) # vlan 20 (vlan) # vlan 30 Il faut ensuite appliquer ces vlan sur les interfaces en questions : (vlan) # exit # conf t


18/21

(config) # interface Ethernet 1/0 (config-if) # switchport mode access (config-if) # switchport access vlan 30 (config-if) # exit (config) # interface Ethernet 1/1 (config-if) # switchport mode access (config-if) # switchport access vlan 20 Commandes d’agrégation Il faut que les ports Fa 0/0 des 2 switchs soient configurés comme « Trunk » (aggrégation en Français) pour que ces ports transmettent plusieurs vlans sur une même liaison. Les commandes à faire sur les 2 switchs sont : (config) # interface Fa 0/0 (config-if) # switchport mode trunk (config-if) # switchport trunk allowed vlan all (la commande # switchport trunk allowed vlan 20,30 est acceptée) Question 5 - Routage Que représente "O*E2" dans la ligne "O*E2 0.0.0.0/0 [110/1] via 192.168.1.1, 00:05:34, Serial0/0" 15 points : 10 points pour le terme « défaut » 5 points pour l’interface Serial Route OSPF externe (par défaut) sans incrément de coût. Toutes les trames transiteront via l’interface Serial 0/0. Question 6 - Pare-feu Expliquez le rôle des deux règles de filtrage numéro 1 et numéro 4. Ajoutez la règle permettant d’autoriser ces connexions de maintenance en spécifiant sa position dans la table. 25 points : 16 points pour le rôle des deux règles (8 points par règle correcte) 9 points pour l’ajout (6 points pour la règle, 3 points pour le placement de la règle) Rôle des deux règles Règle N° 1 : elle autorise les connexions des clients internet (IP source non spécifiée) au site Web (serveur 179.169.10.106) par le protocole http (port 80) Règle N°4 : elle autorise l’entrée des réponses aux requêtes DNS (port source 53) à destination du serveur DNS (serveur 179.169.10.107) venant de n’importe quel serveur internet (IP source non spécifiée). Le contrat de maintenance du site marchand prévoit la mise à jour du site pendant deux ans. Pour permettre au technicien de maintenance d’effectuer des mises à jour à distance sur le serveur Web, vous devez autoriser les connexions par le protocole SSH (Secure Shell) sur ce serveur, ceci uniquement en provenance de l’ordinateur d’adresse 195.65.21.4. Ajout de la règle La règle suivante est à insérer avant la règle numéro 7.


19/21

Question 7 - Trames réseaux A quoi correspondent les trames de la capture ci-dessous ? Quel est le mot de passe de l’utilisateur ? Expliquez les 2 modes de ce protocole. Quelles sont les méthodes pour sécuriser ces transactions ? 25 points : 5 points pour l’échange FTP et le mot de passe 16 points pour les 2 modes de ce protocole (8 points pour le mode passif, 8 points pour le mode actif) 4 points pour les méthodes Correspondance des trames de la capture et mot de passe Les trames de la capture présente une communication (plus précisément une authentification) FTP. Le mot de passe de l’utilisateur est : cdts3500 2 modes de ce protocole

- Mode FTP passif Comme pour le FTP actif, le client établi une première session TCP sur le port 21 (FTP) du serveur ("control channel"). Une fois la session établie et l'authentification FTP acceptée, on demande au serveur de se mettre en attente de session TCP grâce à la commande PASV. Alors le client peut établir une seconde session TCP sur un port dynamique vers le serveur ("data channel"). Le numéro de port dynamique est transmis du serveur vers le client suite à la commande PASV

- Mode FTP actif C'est le mode par défaut des clients FTP. Le client établi dans un premier temps une session TCP sur le port 21 (FTP) du serveur ("control channel"). Une fois la session établie et l'authentification FTP acceptée, c'est le serveur qui établit une session TCP (avec le port source 20, FTP-DATA) vers un port dynamique du client ("data channel").


20/21

Méthodes Pour offrir de la sécurité au protocole ftp, un protocole ftp sécurisé a été développé – aussi nommé FTP over SSL (RFC2228). La plupart des serveurs ftp sécurisés utilisent des certificats et clefs de sécurité pour l’authentification des clients. Durant les tentatives de connexion, le serveur vérifie le certificat du client. Certificat permettant de confirmer l’identité du serveur FTP (pour éviter une attaque MITM par exemple). Il existe d’autres mécanismes de sécurisation, mais pas directement lié au protocole. Par exemple, nous pourrions encapsuler toutes les trames dans un tunnel VPN. Question 8 - Trames et routage Donnez les trames des 3 étapes (cf. réseau ci-dessus) en fournissant les bonnes informations pour chacune d’entre elles (adresse MAC et adresse IP). 15 points : 5 points par trame correcte Etape 1 :

Etape 2 :

Etape 3 :


21/21

GRILLE DE NOTATION - D41.1 Réseaux, système et sécurité : Exercice -

NOM DU CORRECTEUR__________________________________ Prénom du correcteur___________________________________ N° de candidat____________

Dossier Note attribuée Observations obligatoires

Dossier 1 - Sécurité /130

Dossier 2 - Réseaux avancés /170

TOTAL /300 Appréciation générale : Je soussigné,____________________, certifie avoir corrigé la copie d’examens en suivant le corrigé d’examens en ma possession et en respectant la procédure de correction des examens. Fait à _______________________________________ le ____________ Signature :

D411INF0612C

Documents

Transcript of D411INF0612C