Confidentialité de l'accès à nos serveurs

Confidentialité de l'accès à nos serveurs

La plupart des protocoles réseau couramment utilisés (TELNET pour la connexion interactive, FTP pour le transfert de fichiers, HTTP pour la consultation de serveurs Web...) font transiter leurs informations sur le réseau (que ce soit le réseau local de l'Institut Pasteur ou l'Internet) en clair. Cela signifie que les informations sont transmises telles quelles et qu'une personne disposant d'un accès physique aux câbles ou aux équipements réseau par où passent les communications est à même de les intercepter. Ainsi, lorsque vous vous connectez par TELNET sur central.pasteur.fr depuis une machine extérieure au campus, votre mot de passe (et plus généralement tout ce que vous tapez et tout ce qui est affiché dans votre fenêtre TELNET) transite en clair sur l'Internet.

Nous avons récemment eu plusieurs cas de vols de mots de passe. Des personnes se connectant de façon parfaitement légitime sur central.pasteur.fr depuis un site extérieur ont eu leurs mots de passe interceptés par des petits malins (situés sur les sites extérieurs eux-mêmes, ce qui rend l'interception des communications bien plus facile). Ces imposteurs se sont ensuite connectés sur central.pasteur.fr sous l'identité de leurs victimes et ont tenté de pirater la machine. Certaines traces laissées bien maladroitement nous ont permis de les repérer et de prendre les mesures nécessaires mais s'ils avaient utilisé notre ordinateur de manière discrète et intelligente, il aurait été très difficile de repérer ces intrusions illégitimes ayant tout l'aspect de la légalité.

Bien entendu, le moyen le plus simple de voler un mot de passe est encore de le lire sur le petit papier qui trône, bien en évidence, sur de trop nombreux bureaux. Il ne sera sans doute pas inutile de rappeler que ceci représente un risque non négligeable pour la sécurité d'accès à nos systèmes et que ce genre de pratique est à proscrire, de même que celle qui consiste à confier son mot de passe à des collègues. Le mot de passe est et doit rester personnel et secret.

Le chiffrement

Une solution au problème du vol des mots de passe sur le réseau est de ne pas utiliser TELNET pour se connecter depuis l'extérieur mais un logiciel spécial qui établit une communication chiffrée.

La cryptologie est une branche des mathématiques qui s'intéresse entre autres à la confidentialité des informations (ce qu'on appelle le « chiffrement »). L'article 28 de la loi sur la réglementation des télécommunications en donne une assez bonne définition :

On entend par prestation de cryptologie toutes prestations visant à transformer à l'aide de conventions secrètes des informations ou signaux clairs en signaux inintelligibles pour des tiers, ou à réaliser l'opération inverse, grâce à des moyens, matériels ou logiciels conçus à cet effet. On entend par moyen de cryptologie tout matériel ou logiciel conçu ou modifié dans le même objectif.

Le plus ancien algorithme de chiffrement connu est le code de César, utilisé pendant la guerre des Gaules. Il consiste à décaler chaque lettre du message qu'on veut transmettre d'un certain nombre de caractères dans l'ordre alphabétique. César utilisait un décalage de trois caractères. Ainsi, A devenait D, B devenait E, C devenait F ... X devenait A, Y devenait B et Z devenait C. Le destinataire n'avait qu'à effectuer l'opération inverse.

Les algorithmes de chiffrement actuels sont bien plus sophistiqués et font appel à des découvertes mathématiques toutes récentes, en particulier sur les grands nombres premiers (voir par exemple http://www.utm.edu/research/primes/largest.html ).

Mais revenons à nos moutons. Il est clair que le développement des communications transitant par l'Internet fait apparaître un besoin de confidentialité très fort. Toutes les informations n'ont pas besoin d'être chiffrées mais beaucoup d'entre elles le requièrent néanmoins. Le premier candidat est évidemment le mot de passe.

Il existe bien des systèmes dits à mot de passe uniques, reposant sur une liste de mots de passe, où l'on rentre le premier mot de passe lors de la première connexion, le second lors de la seconde et ainsi de suite, chaque mot de passe ne pouvant servir qu'une et une seule fois, ou bien reposant sur des calculettes mais ces techniques se révèlent contraignantes aussi bien pour l'utilisateur que pour l'administrateur.

C'est pourquoi la solution la plus communément adoptée est le chiffrement transparent de la communication au moyen d'un logiciel adapté, qui remplace TELNET. Le chiffrement est transparent parce qu'il se fait sans que l'utilisateur s'en aperçoive. Il utilise un programme se comportant quasiment comme TELNET, où il rentre son mot de passe et travaille de la même façon.

SSF

Le plus répandu de ces programmes s'appelle SSH (Secure Shell). Malheureusement, la législation française, plutôt restrictive en matière de chiffrement (mais qui est en train d'évoluer dans le bon sens) en interdit actuellement l'usage. Une version de SSH adaptée à la législation française, SSF (Shell Sécurisé Français [Per99]), a été mise au point par Bernard Perrot pour les besoins de l'Institut national de physique nucléaire et de physique des particules (IN2P3 [in299]), qui le distribue auprès des organismes qui en font la demande, ce qui est notre cas.

SSF est installé sur tous nos serveurs et il vous est possible de l'utiliser pour vous y connecter. Pour cela, il vous faudra installer un programme client particulier sur votre ordinateur. Aujourd'hui, ces clients existent pour UNIX et pour Windows mais malheureusement pas pour Macintosh. Cependant, une version Java du client SSF est en cours de développement. Elle pourra donc fonctionner sur tous les ordinateurs pas trop lents disposant d'une machine virtuelle Java, ce qui est le cas des Macintosh récents.

Les versions UNIX et Windows de SSF sont disponibles sur notre serveur FTP, ftp.pasteur.fr, dans le répertoire /pub/computing/ssf. Pour UNIX, récupérez le fichier ssf-1.2.26.3.tgz. Il contient, sous forme comprimée, les sources de SSF, qu'il vous faudra compiler sur votre machine. Pour Windows, récupérez les deux fichiers ttermp23.zip et ttssf122.zip.

Si vous avez besoin d'assistance pour installer SSF sur votre ordinateur, n'hésitez pas à écrire à <help@pasteur.fr> en indiquant votre problème.

L'utilisation de SSF, bien que recommandée par principe, n'est pas vitale pour les communications à l'intérieur du campus. En effet, les nouveaux équipements réseau en cours d'installation rendent impossible toute tentative d'écoute du réseau. En revanche, il est essentiel que les personnes se connectant depuis l'extérieur par l'Internet ou depuis leur domicile par téléphone envisagent l'utilisation de SSF à court terme. Encore une fois, n'hésitez pas à nous contacter si vous avez besoin de plus d'informations ou si vous envisagez l'utilisation de SSF.

La confidentialité des informations de l'Institut Pasteur est un enjeu majeur et il convient dès aujourd'hui que nos utilisateurs en saisissent l'importance et prennent les mesures nécessaires.

Le futur

SSF apporte une solution aux problèmes de confidentialité pour les connexions interactives mais le développement des réseaux fait déjà sentir le besoin d'un chiffrement transparent pour toutes les applications. La prochaine version du protocole Internet prend ce besoin en compte. Son déploiement est prévu pour les années qui viennent.

Marc Baudoin

Édité par :
Service Informatique Scientifique
Institut Pasteur
28 rue du Docteur Roux
75724 Paris CEDEX 15
Tél. : +33 (1) 45 68 85 10
Fax. : +33 (1) 40 61 30 80
Câble : mcb@pasteur.fr Les contributions et suggestions
sont à adresser à :
Laurent Bloch bloch@pasteur.fr
Directeur de la publication :
Maxime Schwartz
ISSBN : 1244-524 X

Copyright © Institut Pasteur